Loạt thương hiệu hàng đầu thế giới điêu đứng trước lỗ hổng mới của Microsoft

Gần đây nhất, hãng công nghệ Microsoft đã gửi cảnh báo tới các khách hàng đang sử dụng dịch vụ điện toán đám mây Azure của công ty, trong số các khách hàng này không ít là các doanh nghiệp thuộc Top 500 thế giới như như thương hiệu nước giải khát Coca Cola, hãng bảo hiểm Liberty Mutual Insurance, xăng dầu ExxonMobil…

Nội dung của lời cảnh báo này đề cập tới một lỗ hổng có thể khiến dữ liệu của họ bị lộ trong 2 năm qua. Ở đây, Microsoft cảnh báo những kẻ tấn công mạng rất có thể có khả năng đọc, thay đổi hoặc thậm chí xóa các cơ sở dữ liệu của hàng ngàn khách hàng đang sử dụng dịch vụ điện toán đám mây của công ty,  qua một lỗ hổng bảo mật nghiêm trọng.

Wiz là hãng bảo mật đã phát hiện vấn đề nói trên. Nhóm nghiên cứu Wiz đã tìm ra lỗ hổng này vào ngày 9/8 và báo cáo lên Microsoft vào ngày 12/8. Họ gọi đây là ChaosDB vì lỗ hổng có thể tạo ra hỗn loạn khủng khiếp khi kẻ gian có thể truy cập vào cơ sở dữ liệu chính của Azure, và lấy đi bất cứ thứ gì chúng muốn lấy của khách hàng.

Giải thích kỹ hơn về vấn đề này, Wiz cho biết lỗ hổng tồn tại trong một công cụ gọi là Jupyter Notebook, mà mới được bật lên mặc định trong CosmosDB từ tháng 2 năm 2021.

Hiện tại, Microsoft cho biết chưa tìm thấy bằng chứng cụ thể cho thấy lỗ hổng đã bị khai thác để truy cập vào cơ sở dữ liệu, và công ty cũng chưa nhận được báo cáo nào từ phía khách hàng bị ảnh hưởng vì lỗ hổng nói trên. Tuy vậy, Microsoft vẫn trả cho Wiz 40.000 USD tiền thưởng vì phát hiện này.

Công ty Wiz phát hiện lỗi khoảng 2 tuần trước và Microsoft lập tức vá xong trong vòng 48 giờ kể từ thời điểm nhận được thông báo. Tập đoàn đồng thời gửi email tới khách hàng để nhắc nhở họ thay đổi quyền truy cập để tránh bị khai thác.

"Chúng tôi đã sửa lỗi này ngay lập tức để đảm bảo khách hàng của mình an toàn và được bảo vệ. Chúng tôi cũng cảm ơn đội ngũ các nhà nghiên cứu Wiz đã làm việc hợp tác để tìm ra lỗ hổng", đại diện Microsoft trả lời phỏng vấn trên trang Reuters.

Trong khi đó, phía Wiz cho biết Microsoft cũng đã đề nghị hơn 30% khách hàng của Cosmos DB thay đổi mật khẩu truy cập dịch vụ. Tuy nhiên, Wiz cảnh báo những công ty khác cũng có nguy cơ, vì lỗ hổng bảo mật này có thể đã bị khai thác trong ít nhất vài tháng, cũng có thể vài năm mà không hề hay biết.

Được biết, Microsoft là một trong những nhà cung cấp dịch vụ điện toán đám mây lớn nhất thế giới, sau Amazon. Nhu cầu dịch vụ này đã tăng vọt trong bối cảnh bùng phát đại dịch COVID-19, và các nước triển khai hình thức làm việc tại nhà để ngăn chặn dịch bệnh lây lan, đồng thời người dân gia tăng sử dụng dịch vụ kỹ thuật số để giải trí và mua sắm.

Tuy nhiên, Microsoft đã phải đối mặt với nhiều vấn đề an ninh mạng. Đầu năm nay, Microsoft cho biết nhóm tin tặc nước ngoài đã lợi dụng lỗi bảo mật của dịch vụ thư điện tử Microsoft Exchange và làm ảnh hưởng đến ít nhất 30.000 máy chủ sử dụng dịch vụ này của chính phủ và tư nhân.

Sau đó, tháng 6 vừa qua, Microsoft cho biết tin tặc đã tấn công một trong các bộ phận dịch vụ khách hàng của công ty này.

Thế nên, gần đây nhất, tại Hội nghị thượng đỉnh về an ninh mạng của Tổng thống Mỹ Joe Biden với các công ty Big Tech, lãnh đạo nhóm Big Tech, gồm các công ty hàng đầu trong lĩnh vực công nghệ Mỹ, trong đó có Microsoft đã có cuộc gặp với Tổng thống Mỹ Joe Biden để thảo luận về các vụ tấn công mạng bằng mã độc tống tiền, và cách thức bảo vệ hệ thống điện toán đám mây khỏi tin tặc.

Cuộc họp giữa chính phủ Mỹ với các doanh nghiệp dẫn đầu trong nhiều lĩnh vực, từ công nghệ đến bảo hiểm, diễn ra vào ngày 25/8 sau khi xuất hiện một số cuộc tấn công mạng nổi cộm gần đây, đặc biệt là vụ tấn công vào nhà thầu phần mềm chính phủ SolarWinds và hệ thống đường ống dẫn dầu Colonial Pipeline.

Các doanh nghiệp Mỹ đưa ra nhiều cam kết ngay tại cuộc họp với Tổng thống Biden, từ việc hướng tới các tiêu chuẩn mới của ngành, đến việc cung cấp cho các doanh nghiệp khác công cụ bảo mật mạnh hơn, và đào tạo kỹ năng cho người lao động để lấp đầy khoảng trống 500.000 việc làm trong lĩnh vực an ninh mạng tại Mỹ.

Nhà Trắng cho biết, Apple sẽ xây dựng một chương trình nhằm cải thiện bảo mật trên các chuỗi cung ứng công nghệ của họ, bao gồm hệ thống làm việc với các nhà cung ứng để áp dụng xác thực đa yếu tố và đào tạo bảo mật.

Phía Google khẳng định họ sẽ đầu tư hơn 10 tỷ USD trong 5 năm tới để tăng cường an ninh mạng, và cam kết đào tạo 100.000 lao động Mỹ trong các lĩnh vực kỹ thuật như hỗ trợ công nghệ thông tin, và phân tích dữ liệu thông qua chương trình Chứng chỉ nghề nghiệp. Khoản cam kết tài chính của Google sẽ được sử dụng để tăng cường chuỗi cung ứng phần mềm và bảo mật nguồn mở, cùng nhiều thứ khác.

Sau cuộc họp với Tổng thống Mỹ, Giám đốc điều hành Microsoft, ông Satya Nadella đã đăng tải dòng tweet trên trang cá nhân rằng, tập đoàn này cam kết chi 20 tỷ USD trong vòng 5 năm để cung cấp các công cụ bảo mật cao cấp hơn. Vị CEO này cho biết thêm, Microsoft sẽ đầu tư 150 triệu USD để hỗ trợ các cơ quan chính phủ Mỹ nâng cấp hệ thống bảo mật và mở rộng quan hệ đối tác đào tạo về an ninh mạng. Trước đó, Microsoft đã chi 1 tỷ USD mỗi năm cho an ninh mạng, kể từ năm 2015.