Hơn 132.000 thông tin cá nhân của mẹ và trẻ sơ sinh bị rao bán, nguyên nhân do đâu?

Kaya · 13:31 Hôm qua

Một người mẹ vừa sinh con bất ngờ khi liên tục nhận những cuộc gọi quảng cáo dịch vụ sau sinh. Người gọi còn biết quá rõ về họ tên, số điện thoại, địa chỉ, thông tin của người mẹ, thậm chí cả giờ sinh của đứa trẻ. Đây không còn là chuyện “bị làm phiền bởi quảng cáo” mà là dấu hiệu cho thấy dữ liệu vốn phải được bảo vệ trong một hệ thống thông tin y tế đã bị đưa ra ngoài và biến thành hàng hóa.

Theo quá trình điều tra từ cơ quan chức năng cho thấy, một số người từng có quyền truy cập hệ thống tiêm chủng đã lợi dụng chính quyền truy cập đó để tra cứu, trích xuất và bán dữ liệu. Một trường hợp được xác định từng làm nhân viên tư vấn tiêm chủng, sau khi nghỉ việc, tài khoản được cấp trước đó có thể vẫn được sử dụng để truy cập hệ thống. Hơn 132.000 thông tin của mẹ và trẻ sơ sinh đã bị khai thác, với số tiền thu lợi bất chính hơn 530 triệu đồng.

Chưa đến mức hacker phải phá được tường lửa hay tìm ra một lỗ hổng phần mềm nghiêm trọng. Hệ thống vẫn đang hoạt động bình thường, tài khoản vẫn đăng nhập đúng, phần mềm vẫn chạy đúng chức năng, nhưng dữ liệu vẫn bị lấy đi. Đây chính là kiểu rủi ro thường bị đánh giá thấp trong an ninh mạng - "lỗ hổng quản trị quyền truy cập".

Một hệ thống có thể được bảo vệ bằng rất nhiều lớp kỹ thuật, nhưng nếu một tài khoản được cấp quyền quá rộng, không được giám sát đầy đủ và không bị thu hồi kịp thời khi nhân sự thay đổi, thì chính tài khoản hợp lệ đó có thể trở thành “chìa khóa” mở kho dữ liệu. Nếu cán bộ ở các vị trí khác nhau đều có khả năng khai thác dữ liệu tương tự nhau, nguy cơ dữ liệu bị thu thập trái phép sẽ còn lớn hơn rất nhiều.

Đây cũng là lý do trong an ninh mạng hiện đại, câu hỏi “Ai được phép truy cập?” đôi khi quan trọng không kém “Hệ thống có bị hack hay không?”. Một nhân viên chỉ cần được quyền xem dữ liệu để phục vụ công việc nhưng lại có khả năng tải xuống hàng loạt, xuất thành file hoặc tiếp tục sử dụng tài khoản sau khi đã nghỉ việc thì rủi ro đã xuất hiện ngay từ khâu quản lý. Khi dữ liệu đã được xuất ra thành hàng nghìn file Excel và nằm trên máy tính cá nhân, việc bảo vệ nó bằng tường lửa của hệ thống ban đầu gần như không còn nhiều ý nghĩa.

Điều khiến vụ việc này đặc biệt đáng lo là dữ liệu trẻ sơ sinh có giá trị rất cao đối với hoạt động tiếp thị. Người mua không cần biết đứa trẻ là ai theo nghĩa xã hội; họ chỉ cần biết “đây là một em bé vừa chào đời” là đã có thể xác định được thời điểm mà gia đình có nhu cầu lớn về sữa, tã, tiêm chủng, chăm sóc mẹ và bé, tắm bé hay các dịch vụ sau sinh. Nói cách khác, dữ liệu bị đánh cắp không chỉ là những con số nằm trong cơ sở dữ liệu. Nó có thể được biến thành một danh sách khách hàng cực kỳ chính xác và có giá trị thương mại.

Khi một cuộc gọi lạ biết chính xác thông tin của mình, chúng ta thường lập tức nghĩ đến khả năng “bị hack”. Nhưng thực tế, dữ liệu cá nhân có thể đã đi qua rất nhiều bàn tay trước khi xuất hiện trong một cuộc gọi lừa đảo hoặc quảng cáo. Nó có thể bắt đầu từ một hệ thống mà người dùng hoàn toàn tin tưởng, một tài khoản nhân viên, một file Excel được xuất ra, một giao dịch mua bán dữ liệu rồi tiếp tục được chia sẻ qua nhiều kênh khác.

Vì vậy, bảo mật dữ liệu không thể chỉ được hiểu là chặn hacker bên ngoài. Một hệ thống thực sự an toàn phải kiểm soát được cả những người ở bên trong: họ được xem gì, được tải gì, được xuất bao nhiêu dữ liệu, hành vi nào bất thường và quyền truy cập có được thu hồi ngay khi không còn cần thiết hay không. Đặc biệt với dữ liệu y tế, dữ liệu trẻ em và thông tin định danh, nguyên tắc “đã cấp quyền thì cứ để đó” rõ ràng không còn phù hợp.

Trong an ninh mạng, hacker phá được hệ thống là một vấn đề. Nhưng nguy hiểm hơn là khi hệ thống tự mở cửa cho người có chìa khóa bước vào và không ai biết họ đã mang thứ gì ra ngoài.

Giải pháp đầu tiên chúng ta cần cân nhắc tới không phải là cấm nhân viên tiếp cận dữ liệu, bởi họ cần dữ liệu để làm việc mà phải giới hạn quyền truy cập đúng đến mức cần thiết. Một nhân viên tư vấn không nhất thiết phải có quyền xem toàn bộ dữ liệu của hàng trăm nghìn người, càng không nên có khả năng tải xuống hoặc xuất hàng loạt thông tin cá nhân. Hệ thống cần áp dụng nguyên tắc “quyền tối thiểu”, phân quyền theo vị trí và nhiệm vụ, đồng thời tự động thu hồi quyền ngay khi nhân sự nghỉ việc hoặc chuyển công tác. Những tài khoản lâu không sử dụng, đăng nhập bất thường hoặc có hành vi khác với thói quen làm việc cũng cần được hệ thống tự động cảnh báo hoặc khóa để kiểm tra.

Quan trọng hơn, không thể chỉ kiểm soát việc đăng nhập mà phải kiểm soát cả những gì xảy ra sau khi đăng nhập. Nếu một tài khoản bình thường chỉ tra cứu vài chục hồ sơ mỗi ngày nhưng đột nhiên tải xuống hàng nghìn hồ sơ trong vài phút, đó phải là một tín hiệu cảnh báo rõ ràng. Các hệ thống chứa dữ liệu nhạy cảm cần ghi nhận đầy đủ nhật ký truy cập, theo dõi hành vi người dùng, cảnh báo khi có hoạt động bất thường và hạn chế khả năng xuất dữ liệu hàng loạt. Với những dữ liệu đặc biệt nhạy cảm như thông tin y tế, trẻ em hay căn cước, thậm chí có thể yêu cầu thêm bước xác thực hoặc phê duyệt khi thực hiện thao tác có nguy cơ cao. Bảo mật tốt không phải là tin rằng tất cả người được cấp quyền đều sẽ làm đúng, mà là thiết kế hệ thống sao cho ngay cả khi một người có ý định làm sai, họ cũng không thể dễ dàng lấy đi một lượng lớn dữ liệu mà không bị phát hiện.