Nếu tính cả tài khoản không hoạt động và đã hủy, tổng số lên tới 39,54 triệu tài khoản… mỗi người có thể có tối đa 13 tài khoản trùng lặp
Số lượng nạn nhân thực tế dự kiến sẽ giảm đáng kể
Đoàn điều tra cho biết 'thông tin cá nhân và tài sản công nghệ của Tving đã bị rò rỉ đồng thời'
Dịch vụ video trực tuyến (OTT) Tving đã xác nhận rằng tổng cộng 39,54 triệu tài khoản, bao gồm cả tài khoản đang hoạt động, không hoạt động và đã hủy, đã bị rò rỉ thông tin cá nhân. Số lượng nạn nhân thực tế có thể sẽ giảm đáng kể do một người có thể sở hữu tối đa 13 tài khoản trùng lặp.
Vào ngày 3 tháng 9, Bộ Khoa học và Công nghệ Hàn Quốc (Bộ Khoa học) đã công bố kết quả điều tra của đoàn điều tra liên ngành về vụ rò rỉ thông tin cá nhân của Tving xảy ra vào tháng 5. Kết quả cho thấy khoảng 39,54 triệu tài khoản đã bị rò rỉ, bao gồm cả các tài khoản trùng lặp.
Trong số đó, có 22.063.021 tài khoản đang hoạt động có thể đăng nhập vào dịch vụ Tving, 8.502.679 tài khoản không hoạt động do không truy cập trong hơn một năm, 8.868.174 tài khoản đã hủy và 106.823 tài khoản thử nghiệm.
Có nhiều trường hợp một cá nhân sở hữu nhiều tài khoản. Trong trường hợp của Tving, người dùng có thể sở hữu nhiều tài khoản thông qua việc đăng nhập bằng mạng xã hội (SNS), với một người có thể có tối đa 13 tài khoản.
Theo loại hình đăng ký, có 7.260.000 tài khoản đăng ký trực tiếp với Tving, 8.630.000 tài khoản thành viên tích hợp CJ ONE và 22.470.000 tài khoản đăng ký dễ dàng qua SNS.
Đoàn điều tra đã xác định rằng vụ rò rỉ này đã làm lộ ra 20 mục thông tin cá nhân, bao gồm: ID, mật khẩu, ID tích hợp CJ ONE, họ tên, số điện thoại di động, địa chỉ email, ngày tháng năm sinh, số chứng minh nhân dân và thông tin liên kết (CI) để xác định cá nhân.
Số điện thoại di động, địa chỉ email và một số thông tin khác đã được mã hóa một phần khi bị rò rỉ. Tuy nhiên, do khóa mã hóa cũng bị rò rỉ, đoàn điều tra đã đánh giá rằng thông tin này có thể được giải mã và tương đương với thông tin không mã hóa.
Mật khẩu đã được mã hóa một chiều và không thể giải mã thành văn bản gốc.
Phạm vi thông tin cá nhân bị rò rỉ cũng khác nhau tùy thuộc vào đặc điểm tài khoản. Có 19.040.000 tài khoản có CI, và sau khi loại bỏ trùng lặp, còn lại 13.240.000 tài khoản. Những tài khoản này đã để lộ trung bình 11,1 mục thông tin cá nhân. Ngược lại, 20.400.000 tài khoản không có CI chỉ để lộ trung bình 4,6 mục thông tin.
Do đó, số lượng nạn nhân thực tế dự kiến sẽ ít hơn tổng số tài khoản bị rò rỉ. Nếu loại bỏ tài khoản thử nghiệm và chỉ tính các tài khoản có CI sau khi loại bỏ trùng lặp, số tài khoản còn lại là 33.640.000. Tuy nhiên, việc xác định xem một cá nhân có sở hữu nhiều tài khoản hay không đối với các tài khoản không có CI là rất khó, vì vậy số lượng nạn nhân thực tế vẫn chưa được xác định. Đoàn điều tra cho biết Ủy ban Bảo vệ Thông tin Cá nhân sẽ phân tích chi tiết quy mô rò rỉ và công bố số liệu cụ thể trong thời gian tới.
◇ Kẻ tấn công đã đánh cắp khóa truy cập môi trường phát triển… Dự án rò rỉ tổng cộng 30,35GB
Đoàn điều tra cũng đã công bố quy mô thiệt hại cùng với con đường xâm nhập của kẻ tấn công và phương pháp đánh cắp thông tin cá nhân. Kết quả cho thấy kẻ tấn công đã đánh cắp 'khóa truy cập môi trường phát triển' của các nhà phát triển Tving và xâm nhập vào hệ thống nội bộ.
Kẻ tấn công đã thực hiện hai đợt tấn công để lấy cắp dự án phát triển. Trong đợt tấn công đầu tiên, 14 dự án đã bị rò rỉ, trong khi đợt tấn công thứ hai đã làm lộ 361 dự án có thể truy cập vào môi trường phát triển. Tổng cộng, 30,35GB dữ liệu đã bị rò rỉ, bao gồm mã nguồn liên quan đến thuật toán gợi ý nội dung cá nhân hóa, hệ thống quản lý và xác thực người dùng, cũng như các dịch vụ thanh toán và dịch vụ trả phí của Tving.
Trong số đó, mã nguồn của 43 dự án đã chứa 'khóa truy cập môi trường hoạt động' có thể xâm nhập vào môi trường hoạt động của Tving. ID và mật khẩu của cơ sở dữ liệu (DB) nơi lưu trữ thông tin người dùng cũng đã được lưu trữ dưới dạng văn bản không mã hóa.
Kẻ tấn công đã sử dụng thông tin này để truy cập vào DB vào ngày 30 tháng 5 và cố gắng rò rỉ thông tin cá nhân. Lúc đó, mức sử dụng CPU của máy chủ DB đã tăng lên 100%, dẫn đến cảnh báo bất thường, và Tving đã chặn các hoạt động liên quan.
Sau đó, kẻ tấn công đã tạo một máy chủ ảo nội bộ bằng khóa truy cập môi trường hoạt động khác vào ngày hôm sau và tiếp tục tấn công. Thông tin người dùng được lưu trữ trong DB, khoảng 24GB, đã được chuyển sang máy chủ ảo đó và sau đó bị lấy ra ngoài. Để xóa dấu vết, kẻ tấn công đã xóa máy chủ ảo. Trong đợt tấn công thứ hai, không có cảnh báo bất thường nào phát sinh do tăng khối lượng công việc của máy chủ.
◇ Tving, tình trạng bảo mật tổng thể yếu kém… chỉ có 4 nhân viên chuyên trách bảo mật thông tin
Đoàn điều tra đã đánh giá rằng việc quản lý khóa truy cập và kiểm soát quyền truy cập, cũng như phát hiện hành vi bất thường của Tving rất yếu kém, dẫn đến thiệt hại lớn. Việc để lộ khóa truy cập môi trường phát triển và môi trường hoạt động trong mã nguồn hoặc lưu trữ dưới dạng văn bản không mã hóa và chia sẻ qua tin nhắn nội bộ đã được xác nhận. Tất cả các nhà phát triển đều được cấp quyền truy cập vào toàn bộ dự án phát triển, vì vậy chỉ cần đánh cắp một khóa truy cập là có thể truy cập vào toàn bộ dự án. Khi có dấu hiệu bất thường như tải CPU tăng cao, cũng không có hệ thống phát hiện và phản ứng kịp thời.
Tving đã phát hiện lỗ hổng 'hardcoding' khóa truy cập trong một cuộc tấn công mô phỏng vào năm 2024 nhưng không thực hiện cải thiện nào. Nhân viên chuyên trách bảo mật thông tin chỉ có 4 người, trong khi số lượng nhân viên phát triển là 149 và tổng số nhân viên là 265. Hồ sơ truy cập của thiết bị mạng riêng ảo (VPN) mới chỉ được lưu trữ trong khoảng 6 ngày, và việc quản lý antivirus trên máy tính làm việc cũng không được thực hiện định kỳ. Sau khi nhận thức được sự cố xâm nhập, Tving đã báo cáo cho Cơ quan Phát triển Internet Hàn Quốc (KISA) sau khoảng 29 giờ, vi phạm luật mạng thông tin quy định phải báo cáo trong vòng 24 giờ.
Bộ Khoa học đã yêu cầu Tving nộp kế hoạch thực hiện các biện pháp phòng ngừa tái diễn theo kết quả điều tra trong tháng này. Tving sẽ thực hiện các biện pháp từ tháng 10 đến tháng 12, và Bộ Khoa học sẽ kiểm tra việc thực hiện từ tháng 1 năm sau. Kết quả kiểm tra sẽ xác định các vấn đề cần khắc phục theo luật mạng thông tin.
Trong khi đó, Tving dự kiến sẽ công bố quan điểm chính thức cùng với kế hoạch tăng cường bảo mật thông tin và các phương án bồi thường cho khách hàng trong thời gian tới.
* Bài viết này được dịch tự động bằng AI.
Na Seon Hye
hisunny20@ajunews.com
© Bản quyền thuộc về Thời báo Kinh tế AJU & www.ajunews.com: Việc sử dụng các nội dung đăng tải trên vietnam. kyungjeilbo.com phải có sự đồng ý bằng văn bản của Aju News Corporation.