Vở kịch hoàn hảo của gã kỹ sư "ảo"

[WhiteHat Team]

Hãy tưởng tượng, bạn là một nhà khoa học tại NASA, đang ngày đêm nghiên cứu những mô hình khí động học cho các dự án hàng không vũ trụ tầm cỡ. Bỗng một ngày, một email gửi đến từ đồng nghiệp cũ, hoặc một chuyên gia uy tín trong ngành. Lời lẽ nhã nhặn, chuyên nghiệp, họ nhờ bạn chia sẻ một phần mềm mô phỏng để "phục vụ nghiên cứu chung". Bạn tin tưởng rồi gửi đi, và thế là... cánh cửa bí mật quốc gia đã bị lộ.
​

​

Phía sau những email đó là Song Wu - một kỹ sư có liên hệ với ngành công nghiệp hàng không Trung Quốc, bị cáo buộc đứng sau chiến dịch kéo dài nhiều năm nhằm thu thập công nghệ nhạy cảm. Theo cáo trạng, đối tượng này có sự chuẩn bị kỹ lưỡng, nghiên cứu mục tiêu rất sâu trước khi tiếp cận. Điều đó lý giải vì sao các yêu cầu của hắn luôn “đúng người, đúng việc”, đủ thuyết phục để ngay cả những chuyên gia giàu kinh nghiệm cũng khó phát hiện bất thường.

Từ năm 2017 đến 2021, Song Wu đã diễn một vở kịch dài hơi như thế. Hắn không dùng những mã độc "hầm hố" để phá rào. Ngược lại, hắn chọn cách len lỏi tấn công tâm lý nạn nhân, mà giới an ninh mạng gọi là Social Engineering. Hàng chục nhà khoa học tại NASA, quân đội Mỹ và các viện đại học danh tiếng đã rơi vào bẫy Spear-phishing (tấn công giả mạo có đích danh).

Tiếc thay, những phần mềm mà các nạn nhân vô tình chuyển giao lại chính là "linh hồn" của các hệ thống vũ khí và thiết kế hàng không hiện đại.

"Kẻ trộm thông minh nhất không bẻ khóa cửa, hắn thuyết phục chủ nhà tự tay đưa chìa khóa". Chiến dịch của Song Wu hội tụ đủ các yếu tố:​

• Xây dựng vỏ bọc: Giả danh kỹ sư, chuyên gia Mỹ để tạo niềm tin tuyệt đối​
• Kiên trì đeo bám: Hắn duy trì mối quan hệ và lặp lại các yêu cầu một cách bất thường nhưng đầy thuyết phục​
• Dấu vết mờ nhạt: Sử dụng các phương thức thanh toán đáng ngờ để che giấu dòng tiền và nguồn gốc thực sự​

Nhìn về thực tế tại Việt Nam, khi chúng ta đang đẩy mạnh chuyển đổi số trong các cơ quan nhà nước và tập đoàn quốc phòng, đây chính là một hồi chuông cảnh tỉnh. Phishing ngày nay không còn là những email spam sai lỗi chính tả, mà là những kịch bản được dàn dựng công phu, "đo ni đóng giày" cho từng nạn nhân.

Đối với các tổ chức nhạy cảm, việc đào tạo nhận diện lừa đảo và thắt chặt quy trình chia sẻ dữ liệu không bao giờ là thừa. Đừng để sự nhiệt tình hay niềm tin cá nhân trở thành "gót chân Achilles" cho những kẻ như Song Wu khai thác. Bởi lẽ, một khi những dòng code nhạy cảm đã vượt biên giới, cái giá phải trả sẽ không chỉ tính bằng tiền, mà là bằng chính vận mệnh an ninh của một dân tộc.
​

The Hacker News​