Theo chuyên trang theo dõi sự cố toàn cầu DownDetector, các dịch vụ của Facebook hiện đang ghi nhận sự cố khắp thế giới với hơn 82.000 báo cáo lỗi trên trang chủ Facebook.com, 76.000 báo cáo lỗi trên Instagram. 

Các dịch vụ nhắn tin như WhatsApp và Facebook Messenger ghi nhận báo cáo lỗi ít hơn, nhưng cũng không thể sử dụng vào thời điểm này. 

Các sự cố trên diện rộng đối với Facebook hiếm khi xảy ra và thường được khắc phục sớm, nên trường hợp kéo dài hơn 2 tiếng như lần này khá hiếm gặp. Hiện chưa rõ nguyên nhân của sự cố tối nay.

Phương Nguyễn

Người dùng Việt kêu trời vì Facebook bị sự cố nghiêm trọng đêm qua

Chúng ta đang quá phụ thuộc vào Facebook? Đó là điều mà nhiều người nhận ra trong bối cảnh các công cụ mạng xã hội như Facebook hay Messenger gặp sự cố.  

Sau sự cố nói trên, Axie Infinity chính thức lên tiếng xác nhận vụ việc. Tựa game tỷ USD cho biết một kẻ lừa đảo đã lừa nhân viên hỗ trợ của họ chia sẻ tài khoản của anh ta. Điều này dẫn đến việc kẻ xấu chiếm được quyền kiểm soát tài khoản Discord của Axie Infinity, dù tài khoản đã bật xác thực 2 bước. 

Đây không phải là một sự cố quá hiếm gặp bởi con người luôn là mắt xích yếu nhất trong mọi quy trình bảo mật. Các hacker thường xuyên tạo ra những cuộc tấn công phishing với đích nhắm đến là chính con người. 

Trước thiệt hại của người chơi, Axie Infinity cho biết đang có kế hoạch hoàn lại tiền cho những ai bị đánh cắp mất tài sản. Họ cũng quản lý chặt hơn và giảm số người quản trị có thể truy cập các tài khoản trên những kênh truyền thông xã hội của mình. Bên cạnh đó, Axie Infinity sẽ làm việc với Discord để tìm cách giải quyết tốt hơn các vấn đề bảo mật. 

Discord hiện là kênh truyền thông xã hội thường được các dự án blockchain và game sử dụng để kết nối và quản lý, hỗ trợ cho cộng đồng người sử dụng của mình. Hiện công cụ có tới 140 triệu người sử dụng trên khắp thế giới và thường xuyên bị rơi vào trong tầm ngắm của giới tin tặc. 

Trong một báo cáo của công ty an ninh mạng Sophos, số lượng đường link chứa phần mềm độc hại được lan truyền trên Discord đã tăng gấp 140 lần chỉ sau một năm. Kết quả này dựa trên một cuộc khảo sát được thực hiện vào giữa tháng 7/2021. 

Trước thực tế trên, người dùng Discord cần thực sự cảnh giác khi truy cập vào các đường link được đăng tải trên đó. Thậm chí, kể cả khi những đường link này được chia sẻ bởi một tài khoản chính thức của nhà phát hành game như trường hợp của Axie Infinity. 

Trọng Đạt

Công ty "cha đẻ" game Axie Infinity được định giá 3 tỷ USD

Ngay sau khi có thông tin này, tổng giá trị vốn hóa của Axie Infinity đã tăng vọt lên mức 8,5 tỷ USD. Axie Infinity cũng là dự án blockchain có giá trị lớn nhất của người Việt từ trước đến nay. 

Nhiều doanh nghiệp tìm đến Penetration Testing (Pentest – Kiểm thử thâm nhập) như một giải pháp bảo mật, giúp tránh xa tầm tay của hacker. Sự thật, không phải như thế.

Các nhà tư vấn bảo mật tin rằng “To beat a hacker, you gotta think like one” (Tạm dịch: Để đánh bại một hacker, bạn phải suy nghĩ như họ). Sự thật, Pentester (Người kiểm thử thâm nhập) không thể có được suy nghĩ và cách tấn công như một hacker, vì hacker không bị giới hạn bởi bất kì điều gì nhưng Pentester thì lại có rất nhiều hạn chế về phạm vi, thời gian, kỹ thuật. Do đó yêu cầu thực hiện kiểm thử thâm nhập từ góc nhìn của một hacker là điều không thể xảy ra. Sau đây là những lý do mà pentester không thể là một hacker.

Theo ECQ, công ty tư vấn bảo mật cho rằng pentest chỉ giúp tìm những lỗ hổng bảo mật, cách khai thác và các nguy cơ bị tấn công vào thời điểm kiểm tra, với cấu hình và các cơ chế bảo mật đang có. Không điều gì có thể đảm bảo sau khi thực hiện Pentest hệ thống sẽ an toàn.

Ngoài ra, mức độ hiệu quả và bức tranh tổng thể về cấu trúc bảo mật của doanh nghiệp còn dựa trên phạm vi kiểm tra, các kỹ thuật được phép sử dụng trong quá trình kiểm thử thâm nhập. Đặt câu hỏi “Điều gì doanh nghiệp sợ nhất khi bị tấn công mạng?” Để xác định tiêu chí thành công cũng là kim chỉ nam để nhóm pentest tập trung đi đúng mục tiêu.

Vulnerability Assessment (VA - Dò quét lỗ hổng bảo mật) và Penetration Testing (Pentest - Kiểm thử thâm nhập) thường bị các công ty bảo mật đánh tráo khái niệm, khách hàng thường được đề xuất dịch vụ Pentest nhưng báo cáo nhận lại chỉ nằm ở mức độ của VA. Giá trị của hai dịch vụ này vẫn bị nhập nhằng và mơ hồ. Vậy điểm khác nhau thật sự nằm ở đâu?

Để dễ hiểu hơn cho hai dịch vụ này, chúng ta có một ví dụ mình hoạ: Hãy tưởng tượng một toà nhà có 30 tầng, cửa sổ của tầng 5 và tầng 29 đều mở. Một giả thuyết được đặt ra là kẻ trộm có thể vào bên trong bằng cửa sổ. VA sẽ cho ra báo cáo là tầng 5 và tầng 29 mở cửa, mức độ nguy hiểm như nhau.

Pentest sẽ chỉ tầng 5 là nguy cơ có thật vì đang có một loại thang đủ cao, giúp kẻ trộm trèo tới đây. Pentester phải chứng minh rằng điều này có thật bằng cách anh ta sẽ dùng chiếc thang đó trèo vào bên trong và để lại bằng chứng là anh ta đã tới đây. Còn tầng 29 là lỗ hổng có thật nhưng nguy cơ thấp hơn rất nhiều vì không có chiếc thang nào có thể giúp ăn trộm leo tới hoặc phải sử dụng trực thăng để tiếp cận. 

Các hoạt động của VA giúp tiết kiệm chi phí và thời gian nhờ sử dụng các công cụ tự động để rà soát các lỗ hổng bảo mật nhưng độ chính xác không được đảm bảo. Pentest là công việc được thực hiện sau VA và sử dụng thêm các kỹ thuật thủ công để độ chính xác cao hơn. Ngoài ra, Pentest còn giúp chứng minh các nguy cơ có thật thông qua việc khai thác thành công các lỗ hổng. Do đó, giá cả đi đôi cùng chất lượng, những lời mời gọi kiểm thử xâm nhập giá rẻ thực chất giá trị nhận được chỉ là bản báo cáo công cụ quét lỗi tự động.

Tóm lại, kiểm thử thâm nhập không giúp bảo mật hơn, dịch vụ này chỉ giúp chứng minh vào thời điểm hiện tại hệ thống có thể bị tấn công như thế nào. Khả năng lặp lại lỗi vẫn có thể xảy ra do cấu trúc bảo mật, công nghệ, quy trình đã sai ngay từ khi bắt đầu. Bảo mật luôn cần đầy đủ ba yếu tố phòng chống, phát hiện và phản ứng. Không hệ thống nào được cho hoàn hảo dù thường xuyên thực hiện kiểm thử thâm nhập, sẽ là lời nói dối khi công ty bảo mật nói rằng họ có thể kiểm tra hết tất cả các lỗ hổng. Và đừng quên Zero-day (lỗ hổng chưa được biết đến và không có bản vá lỗi) là một phần của cuộc sống.