Hacker hăm dọa trang web 'đen' Ashley Madison

(PCWorldVN) Hacker đánh cắp thông tin nhạy cảm của trang mạng xã hội AshleyMadison.com và đã tung một phần dữ liệu lên Internet.

• Trung Quốc tiếp tục 'nắn gân' các hãng công nghệ Mỹ
• Trung Quốc: 15.000 người bị bắt trong chiến dịch Tảo thanh Internet
• Liên Hiệp Quốc kêu gọi tôn trọng quyền riêng tư sau tiết lộ về AT&T

Tổng dung lượng mà hacker lấy cắp từ một trang web "đen", sử dụng một địa chỉ Onion mà người dùng muốn truy cập buộc phải sử dụng trình duyệt Tor. Những file này gồm mọi thông tin tài khoản và thông tin đăng nhập của khoảng 32 triệu người dùng mạng xã hội hẹn hò Ashley Madison này. Đây là mạng xã hội "cao cấp" dành cho những ai đã lập gia đình, nhưng lại muốn đi tìm "của lạ".

Dữ liệu của 7 năm qua, có cả dữ liệu về thông tin tài chính khác, kể từ năm 2007 đến nay. Dữ liệu này cũng chứa hàng triệu giao dịch, gồm có tên tuổi, địa chỉ, email và số tiền thanh toán, nhưng không có số thẻ tín dụng. Thay vào đó chỉ là 4 số của mỗi giao dịch, rất có thể đó là 4 số cuối của thẻ tín dụng, hoặc đơn giản là một mã số ID giao dịch cho mỗi lần thực hiện thanh toán. AsleyMadison.com khẳng định có gần 40 triệu người dùng bị mất thông tin vào thời điểm bị tấn công cách nay 1 tháng. Hồi đầu tuần, hacker đã tung khoảng 9,7GB dữ liệu. Đến cuối tuần, nhóm tin tặc tung thêm lần nữa, khoảng 20GB dữ liệu được nén.

Ảnh screenshot dữ liệu email của Noel Biderman, CEO của ALM vừa bị tung lên mạng.

Dữ liệu mà hacker tung ra gồm có tên, địa chỉ và số điện thoại mà người dùng cung cấp cho trang web này, mặc dù không có gì xác thực được rằng thông tin ấy là thông tin thực sự hay không. Có một số mẫu dữ liệu cho thấy người dùng có vẻ cung cấp thông tin ngẫu nhiên, không chính xác nhưng những file chứa thông tin giao dịch lại đưa ra tên thật và địa chỉ thật, ngoại trừ một số thành viên sử dụng thẻ trả trước, ẩn danh. Một phân tích về các địa chỉ email cho thấy rằng dữ liệu này cũng có khoảng 15.000 địa chỉ có đuôi là .mil hoặc .gov.

Dữ liệu cũng có mô tả về thông tin mà thành viên tìm kiếm. Chẳng hạn như một thành viên có thể đăng thông tin tìm kiếm như "I'm looking for someone who isn't happy at home or just bored and looking for some excitement" (tôi tìm người về nhà không cảm thấy vui vẻ hoặc đơn giản là chán, muốn tìm một thứ gì đó hấp dẫn), và thành viên này cung cấp một địa chỉ thực ở Ottawa, có tên và số điện thoại.

Trong dữ liệu tiết lộ ấy cũng có thông tin mật khẩu, nhưng đã được mã hóa bằng thuật toán băm "bcrypt" của ngôn ngữ PHP, và theo các chuyên gia bảo mật thì cách mã hoá này hiện là một trong những cách an toàn nhất để lưu mật khẩu. Để biết được mật khẩu thì hacker cần phải "bẻ khoá" nhiều hàm băm thì mới biết được mật khẩu gốc.

Tuy vậy, điều đáng chú ý là trang web này sử dụng thuật toán bảo mật trên đã ít nhiều hạn chế được rủi ro mất mật khẩu so với những trang web bị tấn công khác trong vài năm vừa qua.

Những vụ tấn công mạng trước đây hầu như mật khẩu của người dùng hầu như không được mã hoá.

Trong hình chụp screenshot cho thấy tin tặc đã trưng ra dữ liệu mà chúng lấy được.

Động thái tiếp theo mà hacker tự xưng là Impact Team đòi hỏi là buộc Avid Life Media, công ty sở hữu AshleyMadison.com và một trang web thành viên khác là Established Men, phải đóng cửa hai trang web này.

EstablishedMen.com là trang web chuyên kết nối giữa phụ nữ đẹp với đàn ông lớn tuổi. Hacker không nhắm đến trang CougarLife, cũng là trang "chị em" của ALM, chuyên kết nối phụ nữ lớn tuổi với trai trẻ.

Impact Team đe doạ nếu ALM không dẹp bỏ hai trang Ashley Madison và Established Men , họ sẽ công bố tất cả dữ liệu của khách hàng, trong đó có những profile vô cùng nhạy cảm, có cả thông tin giao dịch, tên thật, địa chỉ và các tài liệu liên quan của nhân viên.

Như để chứng thực cho khả năng này, hacker đã tải file mẫu có chứa dữ liệu lấy cắp được, trong đó có thông tin tài chính của ALM, lương nhân viên và các tài liệu nội bộ.

Có vẻ hacker không chỉ muốn nhắm đến việc dẹp bỏ những vấn đề đạo đức, lối sống mà hai trang dịch vụ này gây ra, mà Impact Team có vẻ muốn phanh phui những gian lận thương mại của ALM.

Theo nhóm hacker này, mặc dù ALM hứa với khách hàng là sẽ xóa dữ liệu khách hàng trên trang của họ với mức phí 19 USD nhưng ALM thực sự vẫn giữ dữ liệu ấy trên các máy chủ của mình.

Thông báo của nhóm tin tặc Impact Team muốn gửi tới người dùng.

Avid Life Media hoàn toàn làm ngơ trước cảnh báo ấy và vẫn duy trì 2 trang web của họ sau khi dữ liệu bị lấy cắp, và thông báo với khách hàng rằng họ đã tăng cường bảo mật cho hệ thống mạng.

Nhưng hứa hẹn này không giúp gì được đối với khách hàng có dữ liệu bị trộm. Cho dù có biện pháp an ninh nào đi nữa thì dữ liệu đã bị lấy rồi. Đến nay, họ phải đối diện với một áp lực lớn là khi nào dữ liệu của họ bị tiết lộ trên mạng, gia đình họ sẽ như thế nào, đó là chưa kể có thể gặp những trường hợp tống tiền qua thư từ và mất tiền bạc vì lừa đảo, bị lộ thông tin tài chính.

Một điều quan trọng ở đây là quy trình đăng ký của Ashley Madison không yêu cầu xác nhận ngược lại qua email khi bạn mở tài khoản người dùng mới, vì vậy những địa chỉ email hợp lệ có thể bị tấn công và bị các thành viên khác trên trang web này lợi dụng. Ví dụ có một email trong dữ liệu mẫu cho thấy email ấy thuộc cựu thủ tướng Anh Tony Blair.