Tấn công vào xe điện và các thiết bị IoT

[nktung]

Các cách mà xe điện và các thiết bị IoT có thể bị tấn công mạng và liệu điều này có phải là nghiêm trọng trong thực tế hay không là câu hỏi mà nhiều người quan tâm. Bài viết này sẽ đề cập đến vấn đề nêu trên.

Ảnh: Bộ Thông tin và Truyền thông​

Vấn đề với xe điện​

Suốt nhiều năm đã có nhiều bài viết về cách xe điện (đặc biệt là xe hãng Tesla) có thể bị tấn công bởi nhiều lỗ hổng bảo mật, thậm chí có một số có thể cho phép kẻ xấu đánh cắp chiếc xe nếu họ tiếp cận đủ gần đến chìa khóa của xe. Vì vậy cần quan tâm hơn đến các cách khai thác mà những kẻ tấn công có thể lợi dụng dựa trên tính kết nối của các chiếc xe điện.

Các xe điện đều có kết nối Wi-Fi để người lái có thể kiểm soát tốc độ và thời gian sạc của xe, theo dõi các trạm sạc công cộng và liên lạc với đại lý về bất kỳ sự cố điện nào. Một loạt các lỗ hổng mới liên quan đến xe điện đã xuất hiện ở sự kiện hack Pwn2Own tại Tokyo (tháng 1/2024) trong khuôn khổ Hội nghị Thế giới Ô tô. Các công ty sản xuất xe và trạm sạc đã cung cấp tổng cộng 1 triệu đô la để thanh toán tiền thưởng cho những nhà nghiên cứu có thể tìm thấy lỗ hổng bảo mật trên nhiều loại xe và sản phẩm liên quan đến xe điện như bộ sạc tại nhà.

Tổng cộng, các nhà nghiên cứu đã phát hiện 49 lỗ hổng bảo mật Zero-day, trong đó có một chuỗi khai thác hai lỗ hổng trên các xe Tesla có thể cho phép kẻ tấn công chiếm quyền hệ thống giải trí trên xe. Các lỗ hổng khác cũng được phát hiện trong sản phẩm của ChargePoint và Juicebox, hai nhà sản xuất nổi tiếng của thiết bị sạc điện. Mặc dù có ít thông tin chi tiết về những lỗ hổng cụ thể, Zero Day Initiative cho biết trên blog của họ rằng một nghiên cứu viên "đã thực hiện cuộc tấn công của mình trên ChargePoint Home Flex".

Một số cuộc tấn công khá hài hước. Kẻ tấn công xâm nhập vào modem của một chiếc Tesla để có thể bật chế độ làm sạch kính chắn mưa mà chủ xe không hề biết. Tesla khẳng định sau Pwn2Own rằng không có lỗ hổng nào được phát hiện để có thể gây phiền toái cho người lái xe. Nhưng nếu giống như trước đây, có những lỗ hổng có thể cho phép ai đó lái xe đi mất mà không cần sự chấp nhận từ phía chủ xe là rất nghiêm trọng. Thật may là trong cuộc thi này, điều đó chưa xảy ra!

Tôi có thể thấy rất nhiều người truyền thống có thể do dự chuyển sang sử dụng xe điện vì chiếc xe xăng Toyota Corolla 2011 của họ không cần kết nối internet mà vẫn hoạt động tốt, và tất nhiên là an toàn. Nhưng như vậy có vẻ chưa đúng lắm. Vì xe điện chỉ là một trong các thiết bị kết nối Internet mà thôi. Nếu bộ định tuyến tại nhà bạn có lỗ hổng bảo mật thì khả năng tất cả các thiết bị kết nối mạng trong gia đình bạn, cũng có thể gặp nguy cơ.

Vấn đề với các thiết bị IoT​

Cơ quan FBI thông báo rằng họ đã xử lý Volt Typhoon, một nhóm hacker thân chính phủ Trung Quốc. Giám đốc FBI Christopher Wray thông báo về điều này trong buổi điều trần với Ủy ban Hạ viện Hoa Kỳ hôm 31/1/2024. Nhóm Volt Typhoon lần đầu tiên bị phát hiện vào giữa năm 2023 vì nhắm vào các bộ định tuyến không dây cũ, trong đó vẫn còn được sử dụng tại cơ sở hạ tầng quan trọng của Hoa Kỳ. Theo lời ông Wray, những kẻ tấn công đã nhắm vào các nhà máy xử lý nước, lưới điện, đường ống dầu và khí tự nhiên, và hệ thống vận tải.

Hạ tầng mạng lưới cũ kỹ là một vấn đề cho tất cả người dùng trên khắp thế giới. Những bộ định tuyến chưa được update firmware là mục tiêu dễ dàng cho những nhóm hacker được hỗ trợ từ chính phủ. Và điều tệ là các thiết bị này thường không được quan tâm update trong nhiều tháng hoặc thậm chí cả năm. Nhóm Volt Typhoon khét tiếng vì nhắm vào các lĩnh vực rủi ro cao và căn cứ quân sự của Hoa Kỳ.

Một cuộc tấn công mạng khác đã làm gián đoạn hầu hết các dịch vụ chính phủ của Quận Fulton, Georgia, trong tuần đầu tháng 1/2024. Cuộc tấn công này đáng chú ý vì Quận Fulton là nơi cựu Tổng thống Hoa Kỳ Donald Trump bị buộc tội và đang bị truy cứu trách nhiệm về sự can thiệp vào kết quả cuộc bầu cử tổng thống năm 2020. Cuộc tấn công mạng cũng nhắm vào văn phòng của Viện kiểm sát viên điều tra và buộc tội Trump. Hệ thống điện thoại của quận đều tạm thời tắt, cũng như quyền truy cập vào các tệp tin tòa án, xử lý thuế và nhiều dịch vụ khác. Cảnh sát vẫn đang điều tra vụ tấn công cho đến chiều thứ tư, mặc dù các quan chức quận nói họ chưa thấy bằng chứng nào chứng minh thông tin cá nhân của nhân viên hoặc công dân đã bị đánh cắp. (NBC News, CNN)

Cozy Bear, một nhóm tấn công nổi tiếng của Nga, được cho là đứng sau hai vụ xâm nhập gần đây tại Microsoft và Hewlett Packard Enterprise (HPE). Microsoft cho biết kẻ tấn công đã lợi dụng một tài khoản người dùng "để tạo, sửa đổi và cấp quyền cao cho các ứng dụng OAuth mà họ có thể lạm dụng để che giấu hoạt động độc hại". Cozy Bear đã theo dõi tài khoản email của các quan chức cấp cao của Microsoft và các thành viên trong đội ngũ an ninh mạng của công ty.

Cách thức đối phó​

FBI và Cơ quan An ninh và Kiến trúc Cơ sở hạ tầng Công nghệ thông tin Hoa Kỳ cảnh báo các nhà sản xuất bộ định tuyến cập nhật thiết bị của họ ngay lập tức để ngăn chặn việc khai thác lỗ hổng mà Volt Typhoon đã khai thác. Tất cả người dùng nên kiểm tra để đảm bảo rằng bộ định tuyến của họ, bất kể thương hiệu, kiểu dáng hoặc tuổi đời, đều đã cài đặt firmware mới nhất.

Tuy nhiên với những người dùng thông thường điều này nằm ngoài khả năng. Do đó khuyến cáo các nhà mạng cung cấp thiết bị cho khách hàng cần có cơ chế tự động nâng cấp lên phần cứng mới.

Theo Cisco Talos​