Forbes đưa tin, các nhà nghiên cứu an ninh mạng mới đây xác nhận đã phát hiện một kho dữ liệu khổng lồ không được bảo mật, chứa thông tin cá nhân của người dùng tại 26 quốc gia, trong đó Mỹ chiếm số lượng lớn nhất. Tập dữ liệu được cho là có liên quan đến một dịch vụ xác minh danh tính dựa trên trí tuệ nhân tạo, với quy mô gần 1 terabyte và khoảng 1 tỷ bản ghi. Những thông tin bị lộ bao gồm họ tên đầy đủ, địa chỉ, số điện thoại, email và giấy tờ tùy thân.
Chưa dừng lại ở đó, cùng nhóm nghiên cứu tiếp tục công bố một vụ rò rỉ dữ liệu khác liên quan đến các dịch vụ AI. Lần này, đối tượng bị ảnh hưởng là người dùng một ứng dụng sử dụng trí tuệ nhân tạo để chỉnh sửa ảnh selfie theo phong cách điện ảnh. Dù mức độ nghiêm trọng không sánh bằng vụ rò rỉ dữ liệu xác minh danh tính, sự cố này vẫn gây lo ngại khi khoảng 2 triệu hình ảnh và video cá nhân đã bị lộ.
Theo báo cáo, tập dữ liệu trong vụ rò rỉ quy mô lớn đầu tiên chứa thông tin KYC (Know Your Customer – dữ liệu nhận dạng khách hàng), vốn được sử dụng phổ biến trong các quy trình xác minh đa bước của tổ chức tài chính nhằm phòng chống gian lận và tài trợ khủng bố. Việc loại dữ liệu nhạy cảm này bị phơi bày trên internet được đánh giá là đặc biệt nguy hiểm.
Ảnh minh họa
Trong bối cảnh các vụ rò rỉ dữ liệu ngày càng xuất hiện dày đặc – gần đây nhất là sự cố làm lộ hàng chục triệu tài khoản và mật khẩu – nguy cơ “bình thường hóa” các vi phạm an ninh mạng đang ngày càng rõ rệt. Tuy nhiên, theo các chuyên gia, một cơ sở dữ liệu chứa tới 1 tỷ bản ghi, trong đó riêng Mỹ có hơn 203 triệu bản ghi bị ảnh hưởng, là vấn đề không thể xem nhẹ.
Nhóm nghiên cứu của Cybernews cho biết họ đã phát hiện tập hợp các cơ sở dữ liệu bị lộ trong một phiên bản MongoDB vào ngày 11/11 và đã liên hệ với công ty liên quan – được cho là nhà cung cấp dịch vụ xác minh danh tính kỹ thuật số bằng AI mang tên IDMerit – vào ngày 12/11. Sự cố được cho là đã được khắc phục ngay trong cùng ngày.
Dù hiện chưa ghi nhận dấu hiệu cho thấy dữ liệu bị khai thác với mục đích xấu, các chuyên gia an ninh cảnh báo rằng những hệ thống thu thập dữ liệu tự động do các tác nhân đe dọa vận hành luôn quét internet để tìm kiếm các cơ sở dữ liệu bị lộ và tải về ngay khi phát hiện. Điều này đồng nghĩa với việc nếu các nhà nghiên cứu có thể tìm thấy, thì các đối tượng khác cũng có thể làm điều tương tự. Phần lớn các vụ tấn công mạng không bắt đầu từ lỗ hổng zero-day, mà từ việc khai thác dữ liệu đã bị lộ hoặc xâm phạm.
Báo cáo cho biết, dữ liệu KYC bị rò rỉ bao gồm thông tin cá nhân của người dùng tại 26 quốc gia như Mỹ, Đức, Pháp, Trung Quốc và Brazil. Các dữ liệu bị lộ gồm: họ tên, địa chỉ, mã bưu chính, ngày sinh, giấy tờ tùy thân quốc gia, số điện thoại, giới tính, email và siêu dữ liệu viễn thông. Ở quy mô này, nguy cơ có thể bao gồm chiếm đoạt tài khoản, lừa đảo có chủ đích, gian lận tín dụng, đánh cắp SIM và những hệ lụy lâu dài đối với quyền riêng tư cá nhân.
Trong một báo cáo khác công bố ngày 19/2, Cybernews tiếp tục tiết lộ một vụ rò rỉ dữ liệu liên quan đến máy chủ AI ảnh hưởng đến người dùng một ứng dụng có hơn 500.000 lượt tải xuống. Ứng dụng có tên “Video AI Art Generator & Maker” được cho là đã để lộ hàng triệu tệp phương tiện do lỗi cấu hình kho lưu trữ đám mây, cho phép truy cập tự do mà không cần xác thực.
Dữ liệu bị lộ bao gồm:
- 2,87 triệu video do AI tạo ra
- 386.000 tệp âm thanh do AI tạo ra
- 2,87 triệu hình ảnh do AI tạo ra
- 385.000 video do người dùng tải lên
- 1,57 triệu hình ảnh do người dùng tải lên
Nhóm nghiên cứu cho biết đã liên hệ với nhà phát triển ứng dụng Codeway để yêu cầu phản hồi. Theo thông tin cập nhật, công ty được cho là đã giành lại quyền kiểm soát dữ liệu vào ngày 3/2.
Dù chưa chắc dữ liệu của người dùng có nằm trong các vụ rò rỉ nêu trên hay không, các chuyên gia khuyến nghị người dùng nên kiểm tra địa chỉ email của mình thông qua dịch vụ Have I Been Pwned để phát hiện sớm nguy cơ từ các sự cố khác. Đồng thời, người dùng được khuyên không nên hoảng loạn, mà cần chủ động áp dụng các biện pháp bảo mật cơ bản như sử dụng trình quản lý mật khẩu, kích hoạt xác thực đa yếu tố và cảnh giác với các chiêu trò lừa đảo trực tuyến.
