Email rác gửi đến địa chỉ riêng của nhà tài trợ Pi-hole hé lộ sự cố bảo mật?

Duy Linh · 11:50

Một nhà tài trợ cho Pi-hole – công cụ chặn quảng cáo mã nguồn mở – vừa báo cáo việc nhận được email rác gửi đến địa chỉ email chỉ dùng cho khoản quyên góp của họ. Điều này khiến cộng đồng lo ngại về khả năng rò rỉ dữ liệu trong hệ thống nhà tài trợ của dự án.

Sự việc được nêu ra trên diễn đàn Reddit của cộng đồng Pi-hole và đang được điều tra. Địa chỉ email bị rò rỉ là địa chỉ độc quyền, được người tài trợ tạo riêng cho lần quyên góp vào tháng 2/2025. Điều đáng chú ý là email rác được viết bằng tiếng Phần Lan, kèm theo liên kết độc hại (đã bị vô hiệu hóa).

Người tài trợ cho biết địa chỉ email này dùng tên miền riêng, có tiền tố duy nhất và chưa từng sử dụng cho bất kỳ dịch vụ nào khác. Nhờ đó, họ có thể dễ dàng xác định nguồn gốc thư rác là từ phía liên quan đến dự án Pi-hole.

Một số bằng chứng chính cho thấy có khả năng xảy ra vi phạm bảo mật:

Email rác gửi đến địa chỉ email dành riêng cho Pi-hole
Nội dung spam bằng tiếng Phần Lan có kèm liên kết độc hại
Tiêu đề email được chia sẻ công khai trên Pastebin để kiểm chứng
Không có nguồn nào khác ngoài quyên góp Pi-hole từng biết đến email này
Khoảng thời gian giữa lúc quyên góp và khi nhận email rác kéo dài vài tháng

Việc sử dụng địa chỉ email duy nhất cho từng dịch vụ là biện pháp phổ biến với người dùng quan tâm đến quyền riêng tư, giúp xác định chính xác nguồn gây rò rỉ dữ liệu nếu có.

Người báo cáo đã yêu cầu phản hồi từ các quản trị viên diễn đàn để làm rõ liệu đây có phải là lỗ hổng đã được biết đến hay không. Trong khi đó, cộng đồng Pi-hole đã ghi nhận sự cố và đang tiến hành điều tra thêm.

Các khả năng gây ra sự cố bao gồm:

Hệ thống hạ tầng của nền tảng quyên góp Pi-hole
Bộ xử lý thanh toán của bên thứ ba
Dịch vụ email đang lưu trữ thông tin của nhà tài trợ
Tích hợp với GitHub Sponsors hoặc Patreon
Quản lý cơ sở dữ liệu nội bộ

Pi-hole hiện nhận tài trợ qua các nền tảng như GitHub Sponsors và Patreon. Việc phụ thuộc vào bên thứ ba để xử lý thanh toán và liên lạc khiến dự án dễ gặp rủi ro về bảo mật, đặc biệt khi không có đội ngũ an ninh chuyên biệt như các công ty lớn.

Sự việc là lời nhắc cảnh báo cho cả người dùng và các dự án mã nguồn mở: Việc sử dụng email riêng biệt cho từng dịch vụ là cách hiệu quả để theo dõi và phòng ngừa rò rỉ dữ liệu. Người dùng nên theo dõi hoạt động bất thường trong tài khoản email và cân nhắc áp dụng cách làm tương tự cho các khoản quyên góp trong tương lai.

Đọc chi tiết tại đây: https://gbhackers.com/pi-hole-plugin-flaw/