Hơn 49.000 hệ thống kiểm soát ra vào tòa nhà bị lộ thông tin trên internet

[WhiteHat Team]

Các nhà nghiên cứu bảo mật đã phát hiện hơn 49.000 hệ thống kiểm soát ra vào (AMS - Access Management Systems) bị cấu hình sai để lộ thông tin trên internet. Trong đó, Việt Nam là một trong những quốc gia bị ảnh hưởng nhiều nhất, với 5.035 hệ thống bị lộ, chỉ đứng sau Ý và Mexico.

Những hệ thống này kiểm soát việc ra vào tòa nhà, văn phòng, khu công nghiệp, trung tâm dữ liệu thông qua thẻ từ, nhận diện sinh trắc học hoặc biển số xe.Việc bị lộ có thể dẫn đến xâm nhập trái phép vào các tòa nhà, văn phòng quan trọng; đánh cắp hoặc giả mạo danh tính cá nhân và doanh nghiệp; lộ thông tin cá nhân, lịch trình ra vào của nhân viên.

Các cuộc điều tra toàn diện vào đầu năm 2025 và phát hiện hàng chục nghìn hệ thống AMS có kết nối internet không được cấu hình đúng cách để xác thực an toàn, cho phép bất kỳ ai cũng có thể truy cập.

AMS bị lộ chứa dữ liệu nhân viên nhạy cảm chưa được mã hóa, bao gồm:

• Thông tin nhận dạng cá nhân (tên, địa chỉ email, số điện thoại)
• Dữ liệu sinh trắc học như dấu vân tay và nhận dạng khuôn mặt
• Hình ảnh
• Lịch trình làm việc
• Nhật ký truy cập cho biết ai đã vào/ra và khi nào

Trong một số trường hợp, các nhà nghiên cứu bảo mật Modat còn có thể chỉnh sửa hồ sơ nhân viên, thêm nhân viên giả, thay đổi thông tin đăng nhập hoặc thao túng hệ thống ra vào tòa nhà để hạn chế quyền truy cập của nhân viên hợp pháp hoặc cho phép kẻ xấu truy cập vật lý trái phép.

Rủi ro an ninh sẽ đặc biệt đáng lo ngại đối với AMS dành cho các tòa nhà chính phủ và cơ sở hạ tầng quan trọng như nhà máy điện và đơn vị xử lý nước. Ngoài bảo mật vật lý, thông tin bị lộ cũng có thể được sử dụng để thực hiện các cuộc tấn công lừa đảo qua email và kỹ thuật xã hội nhằm vào các tổ chức bị lộ.

Các chuyên gia khuyến cáo người dùng AMS nên:

• Đưa hệ thống AMS ra khỏi internet hoặc đặt sau VPN/tường lửa để giới hạn truy cập.
• Đổi mật khẩu mặc định, bật MFA, cập nhật phần mềm & firmware mới nhất.
• Tắt dịch vụ mạng không cần thiết để giảm rủi ro tấn công.
• Mã hóa dữ liệu sinh trắc học & PII, xóa/ vô hiệu hóa các tài khoản nhân viên đã nghỉ việc để tránh truy cập trái phép.

Theo Bleeping Computer​