Hệ thống hỗ trợ khách hàng thực chất chỉ là một lỗ hổng bảo mật đang chờ để xảy ra?

Trong khi chúng ta đang dọn dẹp nhà cửa, chuẩn bị đón một cái Tết 2020 đầy vui vẻ thì đội ngũ nhân viên Microsoft đang phải làm việc cật lực để vá một lỗ hổng bảo mật khổng lồ làm lộ thông tin của gần 250 triệu hồ sơ dịch vụ và hỗ trợ khách hàng, mà hầu như những ai sử dụng trình duyệt web đều có thể truy cập được. 

Nhà nghiên cứu bảo mật Bob Diachenko và trang tin tức Comparitech đã phát hiện ra lỗ hổng bảo mật này vào ngày 29 tháng 12, và Microsoft đã lập tức sửa ngay vấn đề này vào hai ngày sau đó. Họ giải thích rằng việc thông tin bị lộ ra ngoài là do một trong số những dữ liệu hỗ trợ khách hàng nội bộ bị lỗi. Tuy nhiên, Microsoft tuyên bố rằng vẫn chưa có bằng chứng nào cho thấy những dữ liệu này được sử dụng cho mục đích xấu.

Máy chủ dữ liệu bao gồm tất cả các cuộc hội thoại có từ những năm 2005 giữa nhân viên hỗ trợ Microsoft với khách hàng từ khắp nơi trên thế giới. Và theo như Comparitech, những dữ liệu này không hề được bảo mật bằng mật khẩu!

Microsoft cho biết “phần lớn” các dữ liệu cá nhân bị lộ thông tin đều đã được xử lý. Tuy nhiên, Comparitech cũng lưu ý rằng những thông tin trong email hay địa chỉ IP đều được lưu lại dưới dạng văn bản thuần túy. Nên nếu có một ai đó “vô tình” đọc được những thông tin này, họ có thể sử dụng nó để mạo danh nhân viên hỗ trợ của Microsoft để lừa đảo người dùng.

Microsoft đã bắt đầu gửi những thông tin cảnh báo tới những người lưu trữ dữ của họ trên cơ sở dữ liệu. Đồng thời thông báo rằng: “Chúng tôi chân thành gửi lời xin lỗi tới người dùng Windows, và cũng xin đảm bảo với các bạn rằng chúng tôi đang cố gắng hết sức và làm việc chăm chỉ để học hỏi và thực hiện ngăn chặn kịp thời những sự việc như vậy xảy ra trong tương lai.”.

Với sự cố rò rỉ thông tin này, Microsoft cho biết họ đang có kế hoạch kiểm soát lại các quy tắc an ninh nội bộ. Đồng thời triển khai thực hiện các công cụ bổ sung có khả năng tự động xác định những thông tin cá nhân của người dùng. Ngoài ra, Microsoft còn đưa ra các phương thức cảnh báo mới nhằm báo hiệu cho đội ngũ dịch vụ mỗi khi có sự cố xảy ra.

Có thể nói đây là sự cố lần thứ hai trong năm liên quan đến hệ thống hỗ trợ người dùng của Microsoft. Vào tháng 4 năm 2019, Microsoft thông báo về việc phát hiện một hacker sử dụng thông tin đăng nhập từ hệ thống hỗ trợ khách hàng để đánh cắp tài khoản email của người dùng. Nói chung, vấn đề lớn nhất của hai sự cố đã xảy ra đó là do các hệ thống hỗ trợ nội bộ đang sở hữu quyền tuyệt đối trong việc truy cập vào thông tin khách hàng. Và điều này đã biến chúng thành những mục tiêu béo bở cho các hacker.

Nguồn: engadget