Nhiều tập đoàn lớn trên thế giới bị tấn công mạng

Ngày 16-7-2025, Allianz Life có trụ sở tại Minneapolis (Mỹ) - một công ty con của Allianz SE có trụ sở ở Munich, Đức - đã bị tấn công bằng hình thức phi kỹ thuật thông qua một nền tảng thứ 3. Kẻ tấn công đã có thể lấy cắp dữ liệu nhận dạng cá nhân liên quan đến phần lớn khách hàng, chuyên gia tài chính và một số nhân viên của Allianz Life. Đây là một trong năm công ty con tại Bắc Mỹ của tập đoàn dịch vụ tài chính toàn cầu Allianz SE. Công ty này có gần 2.000 nhân viên tại Mỹ, phục vụ hơn 125 triệu khách hàng trên toàn thế giới.

Trước đó, ngày 4-7 tại Hàn Quốc, chính quyền nước này đã ra lệnh cho SK Telecom tăng cường bảo mật dữ liệu và áp dụng mức phạt sau khi nhà mạng di động lớn nhất nước này bị tấn công mạng, gây rò rỉ 26,96 triệu dữ liệu người dùng do đã không hoàn thành nghĩa vụ bảo vệ dữ liệu USIM và không tuân thủ các quy định liên quan. Cơ quan chức năng Hàn Quốc cho biết sẽ áp dụng mức phạt lên tới 30 triệu won (21.970 USD) và buộc SK Telecom phải thực thi các biện pháp bảo mật ít nhất một lần mỗi quý, giao cho giám đốc điều hành trực tiếp giám sát việc quản trị dữ liệu, đồng thời tăng cường nhân sự và đầu tư vào bảo mật dữ liệu.

Cần xây dựng hệ thống phòng thủ toàn diện, vững chắc

Trao đổi với Tuổi Trẻ, ông Nguyễn Văn Tạo - Giám đốc Công ty bảo mật an ninh mạng Vnetwork - cho biết rủi ro an ninh mạng thường bắt nguồn từ các lỗ hổng bên trong hệ thống, chứ không chỉ đến từ các cuộc tấn công bên ngoài.

Các phần mềm không được cập nhật thường chứa những lỗ hổng đã được công khai, tạo cơ hội cho kẻ tấn công khai thác. Nếu tổ chức, doanh nghiệp tuân thủ quy trình cập nhật các quy tắc và bản vá lỗi mới nhất, khả năng bị tấn công sẽ giảm đáng kể.

Theo ông Tạo, nhiều doanh nghiệp chần chừ đầu tư cho bảo mật vì một phần không nhận thức hết tầm quan trọng, một phần vì lo ngại phát sinh thêm chi phí.

Tuy nhiên khi một sự cố an ninh mạng xảy ra, thiệt hại còn lớn hơn nhiều về cả nguồn lực, thời gian và tiền bạc.

Khi đó, cái giá phải trả là rất lớn cho việc điều tra sự cố, khắc phục hệ thống, khôi phục dữ liệu và bồi thường cho khách hàng.

Ngoài ra, việc gián đoạn hoạt động kinh doanh, mất uy tín với đối tác và người dùng và còn nhiều hệ lụy về sau mà không thể lường hết được, cũng như những chi phí pháp lý phát sinh là những gánh nặng tài chính không hề nhỏ.

Để giảm thiểu các rủi ro, ông Tạo cho rằng đội ngũ kỹ sư hệ thống mạng phải cập nhật thông tin các lỗi bảo mật một cách liên tục, đồng thời xây dựng quy trình bảo mật và thay đổi quy trình bảo mật liên tục để đảm bảo không bị khai thác.

Bên cạnh đó có thể kết hợp với các giải pháp ứng dụng trí tuệ nhân tạo (AI) để tăng bảo mật bằng cách sử dụng AI chống lại AI. Bảo mật là một hệ thống đa lớp, nơi mỗi yếu tố trên hỗ trợ và bổ sung cho nhau, tạo nên một lớp phòng thủ toàn diện. Để xây dựng một hệ thống phòng thủ vững chắc, cần tập trung vào các trụ cột như sau:

Con người là tuyến phòng thủ đầu tiên và quan trọng nhất; cần tổ chức diễn tập thường xuyên và cập nhật kiến thức liên tục cho nhân viên về các mối đe dọa mới.

Kế đến là quy trình bảo mật bởi mỗi hệ thống phải được xây dựng, kiểm định thường xuyên, ngoài ra còn phải thay đổi quy trình bảo mật một cách liên tục để hacker không thể khai thác được lỗ hổng. Trong khi đó, hạ tầng công nghệ cần được xây dựng một cách mạnh mẽ, kiên cố, có khả năng phục hồi và giám sát liên tục.

Và cuối cùng là công nghệ bảo mật phù hợp, từ tường lửa (firewall phần cứng và cả trên cloud), hệ thống phát hiện và ngăn chặn xâm nhập (IDS/IPS), đến các giải pháp mã hóa dữ liệu.

Người dân không nên hoang mang

Ngày 13-9, Phòng an ninh mạng và phòng chống tội phạm sử dụng công nghệ cao Công an TP.HCM đã có thông báo đề nghị người dân cần chủ động cảnh giác trước các thủ đoạn lừa đảo trực tuyến sau sự cố lộ dữ liệu cá nhân tại CIC.

Theo Phòng an ninh mạng và phòng chống tội phạm sử dụng công nghệ cao (PA05), liên quan tới sự cố an ninh mạng tại CIC vừa được Trung tâm Ứng cứu khẩn cấp không gian mạng Việt Nam (VNCERT) công bố, với kết quả ban đầu cho thấy có dấu hiệu dữ liệu cá nhân bị xâm phạm.

Do đó PA05 đề nghị người dân không hoang mang trước các cảnh báo thất thiệt liên quan yêu cầu như: phải đổi thẻ ngân hàng, hay kẻ lừa đảo dọa khóa thẻ, rút tiết kiệm... vì đây có thể là một thủ đoạn dẫn dụ nạn nhân làm theo các kịch bản lừa đảo.

Tuy nhiên người dân cần lưu ý rằng thông tin tín dụng do CIC thu thập theo quy định của pháp luật không bao gồm thông tin về: tài khoản tiền gửi, số dư tiền gửi, sổ tiết kiệm, tài khoản thanh toán, số thẻ ghi nợ, số thẻ tín dụng, mã số bảo mật (CVV/CVC), lịch sử giao dịch thanh toán của khách hàng. Hệ thống công nghệ thông tin của các tổ chức tín dụng hoạt động độc lập và hoạt động cung cấp dịch vụ của các tổ chức tín dụng hiện nay đang được thực hiện liên tục, an toàn và ổn định.

Trước đó Phòng cảnh sát hình sự Công an TP.HCM khuyến cáo người dân tuyệt đối không cung cấp mật khẩu, OTP cho bất kỳ ai qua điện thoại, tin nhắn, email.

Không bấm vào link lạ và chỉ đăng nhập ứng dụng, website chính thức của ngân hàng. Kiểm chứng thông tin qua hotline hoặc đến trực tiếp ngân hàng, cơ quan chức năng. Không chuyển tiền "xác minh" vào tài khoản không rõ ràng.

Với sinh viên, công nhân cần tuyệt đối không tin quảng cáo "xóa nợ CIC", "vay nhanh lãi suất 0%". Gia đình có người lớn tuổi nên nhắc nhở, hướng dẫn người thân của mình cách nhận biết cuộc gọi, tin nhắn lừa đảo.

Kinh nghiệm từ Singapore và Mỹ trong bảo vệ dữ liệu tín dụng

Hồi tháng 7-2024, hệ thống của Ezynetic - một nhà cung cấp dịch vụ công nghệ thông tin bên thứ 3 tại Singapore - đã bị tấn công, dẫn đến việc rò rỉ dữ liệu của 128.000 khách hàng của 12 công ty cho vay. Các thông tin bị đánh cắp bao gồm tên, số thẻ căn cước và thông tin khoản vay của khách hàng. Các dữ liệu này sau đó đã xuất hiện trên một trang web.

Bộ Pháp luật Singapore cho biết các khách hàng bị ảnh hưởng đã được khuyến cáo cảnh giác với các chiêu trò lừa đảo sử dụng dữ liệu bị lộ. Các công ty cho vay cùng với Ezynetic cũng trình báo vụ việc lên cảnh sát, Cơ quan an ninh mạng Singapore và Ủy ban bảo vệ dữ liệu cá nhân. Cơ quan Thông tin tín dụng Singapore (CBS), đơn vị quản lý kho dữ liệu về các khoản vay và lịch sử trả nợ của khách hàng tại tất cả công ty cho vay hợp pháp ở nước này, đã chặn quyền truy cập nền tảng này đối với toàn bộ 20 công ty cho vay do Ezynetic cung cấp dịch vụ.

Bộ Pháp luật nhấn mạnh các công ty cho vay hợp pháp có trách nhiệm bảo vệ mọi thông tin mà họ sở hữu hoặc kiểm soát, bao gồm cả thông tin nằm trên hệ thống của các nhà cung cấp bên thứ 3.

Còn ở Mỹ, Luật báo cáo tín dụng công bằng (FCRA) quản lý hoạt động của các cơ quan báo cáo tín dụng và bảo vệ quyền của người tiêu dùng. Năm 2003, luật này được sửa đổi thông qua Luật giao dịch tín dụng công bằng và chính xác (FACTA), bổ sung thêm nhiều quyền lợi cho người tiêu dùng và nạn nhân bị đánh cắp danh tính. FCRA quy định người tiêu dùng được quyền nhận bản sao báo cáo tín dụng miễn phí 1 lần/năm để kiểm tra sai sót hoặc hành vi gian lận. Người tiêu dùng cũng sẽ được thông báo nếu thông tin tín dụng được dùng cho các hành động bất lợi với họ, chẳng hạn như từ chối khoản vay, bảo hiểm, việc làm.

Người tiêu dùng có thể yêu cầu cơ quan báo cáo tín dụng xóa các thông tin không chính xác hoặc không đầy đủ. Các thông tin này phải được xóa hoặc chỉnh sửa trong vòng 30 ngày. Người tiêu dùng có thể giới hạn quyền truy cập hồ sơ tín dụng, chỉ ai có nhu cầu hợp pháp như ngân hàng, bảo hiểm... mới được xem. Họ cũng có quyền yêu cầu "đóng băng an ninh" trên báo cáo tín dụng, ngăn cơ quan báo cáo cung cấp thông tin nếu không có sự đồng ý rõ ràng. Mục đích của việc này là ngăn chặn việc phê duyệt tín dụng, khoản vay hoặc dịch vụ dựa trên tên của người tiêu dùng mà không nhận được sự cho phép. Ngoài ra người tiêu dùng cũng có quyền đặt cảnh báo gian lận trong hồ sơ.