QĐND - Cảnh sát liên bang Ca-na-đa ngày 16-4 cho biết, họ đã bắt giữ và buộc tội một đối tượng nam giới bị tình nghi lấy cắp dữ liệu của Cơ quan Thuế vụ Ca-na-đa (CRA). Kẻ tình nghi này đã sử dụng "Con bọ điện toán Heartbleed"- một lỗ hổng an ninh mạng nghiêm trọng đang tồn tại trong 67% website trên toàn thế giới...

Theo cảnh sát, Xtê-phen A-thu-rô Xô-lít - Ri-ét (Stephen Arthuro Solis-Reyes), 19 tuổi, đã bị bắt giữ tại nhà riêng ở thành phố Luân Đôn thuộc tỉnh Ôn-ta-ri-ô, sau khi bị theo dõi trong 4 ngày. Dự kiến, y sẽ phải ra hầu tòa vì những cáo buộc như phá hoại và sử dụng máy tính trái phép để đánh cắp dữ liệu của CRA. Khoảng 900 số sổ bảo hiểm xã hội được mã hóa của CRA-chứa những dữ liệu thông tin cá nhân thường được dùng cho việc tuyển dụng hoặc nhận các khoản trợ cấp của chính phủ - đã bị Xtê-phen đánh cắp trong tuần qua dựa vào lỗ hổng an ninh Heartbleed trong thư viện OpenSSL, một phần mềm được 2/3 website trên thế giới sử dụng để bảo mật thông tin, khiến cho cơ quan này phải đóng cửa trang web của họ trong vài ngày.

Biểu tượng của Heartbleed do Codenomicon sáng tạo. Ảnh: Heartbleed.com

Trước đó, Trung tâm Internet thuộc Viện Nghiên cứu SANS của Mỹ từng cảnh báo con bọ điện toán Heartbleed là một lỗ hổng an ninh mạng nghiêm trọng có nguy cơ tấn công nhiều hệ thống máy tính trên toàn thế giới. Trung tâm này cũng cho biết việc khắc phục sự cố con bọ điện toán Heartbleed có thể dẫn tới tình trạng nghẽn mạng kéo dài. Theo chuyên gia Giô-han Un-rích (Johannes Ullrich) thuộc Trung tâm Internet, chương trình "vá" lỗi các chứng nhận an ninh ở phần lớn các website có thể khiến các trình duyệt bị quá tải, tốc độ truy cập chậm và người dùng thường xuyên phải nhận những tin nhắn báo lỗi. Chuyên gia này cho biết, nếu quá trình xác nhận diễn ra quá lâu, các trình duyệt sẽ tuyên bố là website không tồn tại hoặc gửi tin nhắn báo lỗi tới người dùng. Ông cũng cảnh báo, nếu người dùng phớt lờ các cảnh báo hoặc kiểm tra an ninh, các tin tặc sẽ lập tức tấn công hệ thống máy tính.

Theo đánh giá của Cơ quan an ninh mạng Fox-It của Hà Lan, lỗi bảo mật trên đã tồn tại từ khoảng 2 năm nay kể từ khi OpenSSL được công bố. Lỗi này được Google và Codenomicon, một công ty bảo mật Phần Lan, phát hiện cách đây một tuần. Tuy nhiên, CRA là cơ quan đầu tiên xác nhận các vụ tấn công của Heartbleed. Bởi con bọ Heartbleed nổi tiếng vì cho phép tin tặc đánh cắp thông tin mà không để lại dấu vết nào. Tính đến nay, Heartbleed là một trong những lỗi bảo mật lớn nhất trong lịch sử internet. Brúc-xi Xnây-ơ (Bruce Schneier), một chuyên gia bảo mật máy tính có uy tín cao cho rằng, Heartbleed thậm chí phải xếp ở mức 11 trong thang điểm từ 1 đến 10 về mức độ nguy hiểm. Việc phát hiện ra nó đã gây ra cơn sốt trên toàn cầu khi các ngân hàng cùng nhiều nơi khác nhanh chóng tìm cách bịt lỗ hổng, trong khi người tiêu dùng được khuyến cáo đổi mật khẩu truy cập. Dữ liệu do cơ quan này cung cấp cũng cho thấy, có đến 50 triệu thiết bị Android trên toàn thế giới (riêng Mỹ là 4 triệu) có thể dễ bị bọ Heartbleed tấn công.

Website Mumsnet, cung cấp OpenSSL với hơn 60 triệu lượt truy cập/tháng, cho biết sau khi phát hiện ra các vụ tấn công thông qua lỗ hổng an ninh Heartbleed của OpenSSL, trang web này đã yêu cầu toàn bộ người dùng thay đổi mật khẩu. Tuy nhiên, Mumsnet không cho biết liệu các thông tin cá nhân đã bị đánh cắp hay chưa. Các nhà nghiên cứu cũng thừa nhận, mặc dù Heartbleed tồn tại trong OpenSSL đã vài năm, song họ cũng không xác định được thủ phạm đã sử dụng con bọ này để tiến hành các vụ tấn công vào hệ thống bảo mật.

Nguy hiểm hơn, một chuyên gia an ninh mạng cảnh báo thậm chí cả những tin tặc không phải là những người thành thạo trong lĩnh vực công nghệ thông tin cũng có thể sử dụng Heartbleed để thực hiện các vụ đánh cắp thông tin nhằm vào những tài khoản có độ bảo mật thấp vì Heartbleed được công khai trên internet. Các chuyên gia an ninh mạng không loại trừ nguy cơ xảy ra những vụ tấn công mới theo hình thức này trong tương lai và khuyến cáo người dùng mã hóa các dữ liệu dễ bị tấn công. Hiện tại, các công ty internet, nhà cung cấp công nghệ, doanh nghiệp và các cơ quan chính phủ đang điều tra xem liệu các hệ thống máy tính của họ có bị nguy hiểm với Heartbleed hay không.

Trong khi đó, hãng tin Bloomberg mới đây đã hé lộ một thông tin gây sốc trong đó cho biết: Cơ quan An ninh quốc gia Mỹ (NSA) đã từng biết đến sự tồn tại của lỗ hổng bảo mật Heartbleed trong ít nhất là 2 năm nay, nhưng không phát ra bất kỳ cảnh báo nào. Ngược lại, họ còn tận dụng lỗi bảo mật này để thường xuyên thu lượm thông tin tình báo. Bloomberg cho biết, thoạt tiên NSA từ chối bình luận nhưng sau đó họ phủ nhận biết đến sự tồn tại của lỗ hổng Heartbleed cho đến khi sự việc được công khai cách đây mấy hôm.

Bloomberg cho rằng, khi lợi dụng con bọ Heartbleed, NSA lấy được mật khẩu và các dữ liệu cơ bản nhưng đồng thời cũng khiến hàng triệu người dùng trở thành miếng mồi ngon cho tình báo trên khắp thế giới, hay đơn giản là trở thành nạn nhân của bọn tin tặc. Hãng tin này cũng nhận định, NSA có chức năng truy tìm các lỗi bảo mật tương tự Heartbleed. Vấn đề là họ chọn lỗi nào để thông báo rộng rãi, lỗi nào thì cứ im lặng lợi dụng.

Phản bác lại thông tin  trên, người phát ngôn của NSA cho biết: “NSA không biết gì về lỗ hổng được phát hiện gần đây trong OpenSSL cho đến khi một báo cáo an ninh mạng của khu vực tư nhân phát hiện ra nó. Các thông tin nào nói ngược lại là sai”. Phát ngôn viên của Nhà Trắng cũng cho rằng, không có cơ quan nào của chính phủ Mỹ biết trước sự tồn tại của Heartbleed.

Tuy vậy, phần lớn người dùng tỏ ra thiếu tin tưởng vào lời khẳng định của NSA-cơ quan từng bị dư luận lên án gay gắt sau vụ Ét-uốt Xnâu-đơn (Edward Snowden). Đặc biệt, những tiết lộ của Xnâu-đơn trước đó cũng đã làm rõ hai vai trò trái ngược của NSA: Một mặt là bảo vệ hệ thống máy tính của chính phủ Mỹ không bị tin tặc tấn công; mặt khác lại tấn công máy tính nơi khác, kể cả hệ thống máy tính của bọn khủng bố, bọn buôn lậu vũ khí hạt nhân và chính phủ nước khác để thu thập thông tin tình báo. Vì vậy, thật khó có thể tin rằng, NSA có dễ dàng bỏ qua một miếng mồi ngon như Heartbleed.

HÙNG HÀ