Cơ quan đăng ký và báo cáo tín dụng quốc gia Việt Nam bị tấn công mạng; hầu hết dân số bị ảnh hưởng

[hungbinh]

Vietnam’s national credit registration and reporting agency hacked; most of the population affected – DataBreaches.Net

Some data breaches make headlines for the number of people affected globally, such as a Facebook scraping incident in 2019 that affected 553 million people worl

databreaches.net

Một số vụ rò rỉ dữ liệu gây chấn động vì số người bị ảnh hưởng toàn cầu, như vụ Facebook năm 2019 với hơn 553 triệu tài khoản bị lộ. Còn tại Việt Nam, ShinyHunters tuyên bố đã tấn công thành công và chiếm đoạt hơn 160 triệu bản ghi từTrung tâm Thông tin Tín dụng Quốc gia (CIC), trực thuộc Ngân hàng Nhà nước.

CIC là một tổ chức công, không vì mục đích thương mại, đảm nhiệm việc đăng ký tín dụng toàn quốc; thu thập, xử lý, lưu trữ và phân tích thông tin tín dụng; đánh giá rủi ro tín dụng của cá nhân và doanh nghiệp; đồng thời cung cấp các dịch vụ thông tin tín dụng theo quy định pháp luật.

ShinyHunters quảng bá trên Telegram rằng “Việt Nam đã bị thâu tóm trong vòng 24 giờ,” và họ đã đăng dữ liệu này lên một diễn đàn tin tặc. Họ công bố một mẫu dữ liệu dày đặc gồm hơn 160 triệu bản ghi chứa thông tin cực kỳ nhạy cảm như: dữ liệu cá nhân (PII), thanh toán tín dụng, phân tích rủi ro, thông tin thẻ tín dụng (yêu cầu giải mã thuật toán FDE), số ID quân đội, chứng minh nhân dân, mã số thuế, bản kê thu nhập, thông tin nợ, và nhiều dữ liệu khác.

Khi được hỏi về số lượng cá nhân thực sự bị ảnh hưởng (so với số bản ghi), ShinyHunters cho biết có thể có dữ liệu lịch sử (historical data), và họ không rõ chính xác có bao nhiêu cá nhân duy nhất, nhưng nghi ngờ dữ liệu gần như bao phủ toàn bộ dân số Việt Nam (dưới 102 triệu dân).

Về phương thức tấn công, ShinyHunters nói rằng họ chọn CIC vì đây là đơn vị lưu giữ lượng dữ liệu rất lớn. Tổng số dòng dữ liệu (records) trong các bảng có thể lên tới 3 tỷ dòng hoặc hơn, và họ xâm nhập nhờ khai thác một lỗ hổngn-day exploit— phần mềm đã bị ngừng hỗ trợ (end-of-life), tức CIC không thể vá lỗi được.

ShinyHunters cũng khẳng định không hề có đòi tiền chuộc, vì họ cho rằng CIC sẽ không đáp lại bất kỳ yêu sách nào. Khi DataBreaches.net liên hệ CIC để xác minh, tổ chức này chưa có phản hồi chính thức.

Cần lưu ý rằng hiện tại thông tin từ ShinyHunters chưa được xác nhận độc lập, dù có vẻ đáng tin cậy. Nếu đúng, đây có thể là một trong những vụ rò rỉ dữ liệu lớn nhất ở Việt Nam.