Chuyên mục bảo mật: Sự sụp đổ của an ninh mạng lấy con người làm trung tâm

Chuyện gì đã xảy ra

Mùa thu này, nhiều công ty tài chính Hàn Quốc bị tấn công mạng. Các công ty này gồm ngân hàng, ngân hàng tiết kiệm, công ty vốn, công ty chứng khoán và sàn giao dịch tiền ảo. Đến giữa tháng 10, cơ quan quản lý tài chính xác nhận 16 công ty bị ảnh hưởng. Kẻ tấn công có vẻ đã dùng công cụ AI để chạy các cuộc tấn công tự động quy mô lớn. Một người với vài máy chủ và công cụ AI có thể đã làm phần lớn việc này. Kẻ tấn công còn hỏi AI xem có thể bán dữ liệu tài chính bị đánh cắp ở đâu. Danh tính của kẻ tấn công vẫn chưa được biết.

Các con số chính

• Theo cơ quan quản lý, 16 công ty tài chính bị hack tính đến giữa tháng 10.
• Một công ty thẻ đã làm lộ dữ liệu của khoảng 3 triệu người, cách đây một năm.
• Một mô hình AI đã tìm thấy hơn 10.000 điểm yếu rủi ro cao chỉ trong một tháng.
• Thời gian trung bình từ khi có điểm yếu đến khi kẻ tấn công dùng là "âm 7 ngày", nghĩa là tấn công có thể xảy ra trước khi bản vá được phát hành một tuần.
• Một số ngân hàng lớn mất từ 15 đến 68 giờ mới nhận ra mình đã bị xâm nhập.

Vì sao cách cũ không còn đủ

Hầu hết các công ty bị hack đều có chứng chỉ bảo mật, thiết bị tốt và kiểm tra đều đặn. Nhiều đội bảo mật dựa vào việc vá lỗ hổng và thêm mục vào danh sách kiểm tra. Cách này chỉ hiệu quả khi công ty biết rõ toàn bộ tài sản, chặn được mọi điểm yếu và làm việc nhanh hơn kẻ tấn công. AI phá vỡ cả ba điều kiện này. Khi một điểm yếu được đóng lại, kẻ tấn công chuyển sang con người, hệ thống, máy chủ dùng chung, tài khoản bị đánh cắp hoặc lừa đảo qua điện thoại. Tác giả ví việc này như quả bóng: ấn một bên thì bên kia phình ra.

Vì sao điều này quan trọng

Bài bình luận cho rằng mục tiêu thật sự là nhìn thấy và kiểm tra những gì xảy ra sau khi kẻ tấn công vượt qua lớp phòng thủ đầu tiên. Đây gọi là "zero trust", nghĩa là không tin bất kỳ người dùng hay hành động nào chỉ vì nó nằm trong mạng. Tác giả cũng nói AI có thể giúp người phòng thủ nhiều như giúp kẻ tấn công. Công ty nên dùng AI để theo dõi hành vi bình thường trong hệ thống và nhanh chóng chặn truy cập lạ. Con người nên chuyển từ việc xem cảnh báo sang đặt quy tắc và chịu trách nhiệm. Lãnh đạo nên đo độ an toàn bằng tốc độ phát hiện và chặn xâm nhập, chứ không phải bằng số chứng chỉ đang có.

Cần theo dõi điều gì

• Kẻ tấn công có bị xác định danh tính không, và cuộc điều tra 16 công ty tiến triển thế nào.
• Các công ty tài chính Hàn Quốc có chuyển từ bảo mật dựa trên danh sách kiểm tra sang zero trust không.
• Ngân hàng sẽ tăng hay cắt giảm chi tiêu cho việc bảo vệ thông tin.
• Cơ quan quản lý có bắt đầu đánh giá công ty theo tốc độ phản ứng, thay vì theo chứng chỉ không.