Microsoft thừa nhận bị nhóm hacker Lapsus$ đánh cắp mã nguồn thông qua quyền truy cập "giới hạn"

Lapsus$ cho biết họ đã truy cập dữ liệu từ Okta, Nvidia, Samsung và Ubisoft

Sau khi tấn công Nvidia, Samsung và một loạt công ty khác, mới đây nhóm hacker Lapsus$ vừa đưa ra tuyên bố họ đã hack thành công cả Microsoft. Lapsus$ đã lấy được một phần mã nguồn của Bing và Cortana trong một khối dữ liệu gần 37GB. Sau cuộc điều tra, Microsoft đã xác nhận rằng một nhóm hacker mà họ gọi là DEV-0537 đã xâm phạm “một tài khoản duy nhất” và đánh cắp các phần mã nguồn của một số sản phẩm của Microsoft.

Một bài đăng trên blog bảo mật cho biết các nhà điều tra của Microsoft đã theo dõi nhóm Lapsus$ này trong nhiều tuần và nêu ra chi tiết một số phương pháp họ đã sử dụng để xâm nhập hệ thống của nạn nhân. Theo Trung tâm Tình báo Đe dọa của Microsoft (MSTIC), “mục tiêu của nhóm DEV-0537 là có được quyền truy cập mức cao thông qua việc đánh cắp các thông tin xác thực để lấy dữ liệu và thực hiện các cuộc tấn công phá hoại chống lại một tổ chức được nhắm mục tiêu, thường dẫn đến tống tiền. Các mục tiêu chiến thuật và chỉ ra rằng đây là một nhóm tội phạm mạng được thúc đẩy bởi hành vi trộm cắp và phá hoại.”

Tuy nhiên, Microsoft cũng đưa ra lời khẳng định rằng mã nguồn bị rò rỉ không đủ nghiêm trọng để gây ra các rủi ro bảo mật nào.

Trong khi các công ty như Samsung và Nvidia đã thừa nhận việc dữ liệu của họ đã bị đánh cắp thì riêng Okta lại bác bỏ tuyên bố của nhóm hacker Lapsus$ và khẳng định rằng: “Dịch vụ của Okta không bị xâm phạm và vẫn hoạt động với đầy đủ các chức năng”.

Đây không phải là lần đầu tiên Microsoft xác nhận rằng những kẻ tấn công đã truy cập vào mã nguồn của mình – hãng cũng đã nói điều tương tự sau cuộc tấn công Solarwinds. Lapsus$ cũng thừa nhận rằng họ chỉ tiếp cận được khoảng 45% mã nguồn của Bing và Cortana, và khoảng 90% mã nguồn của Bing Maps. Mặc dù mã nguồn của Bing Maps có vẻ như là một mục tiêu kém giá trị hơn so với Bing và Cortana thì Microsoft cũng rất lo lắng vì mã nguồn của nó sẽ làm lộ ra các lỗ hổng của họ.

Trong bài đăng trên blog của mình, Microsoft nêu ra một số bước mà các tổ chức khác có thể thực hiện để cải thiện bảo mật của họ, bao gồm:

• Yêu cầu xác thực đa yếu tố
• Không sử dụng các phương pháp xác thực đa yếu tố “yếu” như tin nhắn SMS hoặc địa chỉ email phụ
• Đào tạo cho các thành viên trong nhóm về khả năng xảy ra các cuộc tấn công mạng và tạo các quy trình cho các phản ứng đáp trả đối với các cuộc tấn công như của Lapsus$.

Microsoft cũng cho biết rằng họ sẽ tiếp tục theo dõi Lapsus$ và để mắt đến bất kỳ cuộc tấn công khác nhắm đến khách hàng của Microsoft.

Nguồn: theverge.com