Chuyện gì đã xảy ra?
Cuối năm 2013, chuỗi bán lẻ Target (Hoa Kỳ) bị đánh cắp dữ liệu thanh toán tại các cửa hàng. Target cho biết việc truy cập trái phép vào dữ liệu thẻ diễn ra từ 27/11 đến 15/12/2013. Khoảng 40 triệu tài khoản thẻ thanh toán bị ảnh hưởng, cùng thông tin liên hệ của tới 70 triệu người.
Theo thông tin Target đưa ra, kẻ tấn công vào hệ thống bằng tên đăng nhập và mật khẩu bị đánh cắp từ một nhà cung cấp. Báo chí, dẫn nguồn của nhà báo bảo mật Brian Krebs, cho biết đó là Fazio Mechanical Services, một công ty điện lạnh ở bang Pennsylvania. Báo cáo của nhân viên Thượng viện Hoa Kỳ cho rằng sau khi vào mạng, kẻ tấn công di chuyển từ khu vực ít nhạy cảm sang hệ thống chứa dữ liệu khách hàng vì mạng chưa được cách ly đầy đủ.
Target cho biết chỉ biết sự việc khi Bộ Tư pháp Hoa Kỳ liên hệ vào ngày 12/12/2013. Năm 2017, Target đạt thỏa thuận 18,5 triệu USD với các bang. Báo cáo gửi cơ quan chứng khoán của Target ghi nhận tổng chi phí liên quan đến sự cố là 292 triệu USD, trong đó 90 triệu USD được bảo hiểm bồi hoàn.
Bài học cho doanh nghiệp
- Đối tác có thể là cánh cửa hẹp nhưng dẫn vào nhiều nơi. Quyền truy cập của nhà thầu nên được giới hạn đúng phạm vi công việc.
- Phân tách mạng và phân quyền dữ liệu là hai lớp độc lập. Khi một lớp thất bại, lớp còn lại vẫn cần giữ được dữ liệu.
- Cảnh báo chỉ có ích nếu có người xử lý. Hệ thống giám sát của Target phát cảnh báo trong lúc mã độc được cài, nhưng theo phân tích của Thượng viện, phản ứng chưa hiệu quả.
Cách tiếp cận lấy dữ liệu làm trung tâm
Vụ Target bắt đầu từ quyền truy cập mạng. Nếu dữ liệu quan trọng được bảo vệ ngay trên tệp, việc vào được hệ thống chưa chắc đồng nghĩa với đọc được nội dung, vì quyền mở tệp còn phụ thuộc vào chính sách gắn với từng người dùng. Với tệp phải chia sẻ cho đối tác, doanh nghiệp có thể đặt thời hạn truy cập, giới hạn thiết bị và thu hồi quyền khi hợp đồng kết thúc. Đây là biện pháp bổ sung cho an ninh mạng, không thay thế. Xem thêm Sản phẩm.
Ba câu hỏi để tự kiểm tra
- Nhà cung cấp nào đang có tài khoản hoặc truy cập từ xa vào hệ thống của bạn?
- Tài liệu chia sẻ cho đối tác có thời hạn sử dụng và có thu hồi được không?
- Khi nhận cảnh báo bất thường, ai chịu trách nhiệm xử lý và trong bao lâu?
Nguồn tham khảo
- MPR News: Report: Target hackers breached account security via Penn. heating contractor
- Red River: Warnings (& Lessons) of the 2013 Target Data Breach
