Tài khoản X của Ủy ban Chứng khoán Mỹ bị hack, X bảo mật quá tệ?

Vụ việc một lần nữa dấy lên lo ngại về tính bảo mật của X (trước đây là Twitter) của tỉ phú Elon Musk.

Tài khoản SEC bị hack như thế nào?

Theo Hãng tin AFP và Reuters ngày 10-1, khoảng sau 16h giờ địa phương (4h tại Việt Nam), giá tiền mã hóa bitcoin tăng đột biến lên gần 48.000 USD (mức cao nhất trong 22 tháng qua) sau dòng tweet trên tài khoản X @SECGov của Ủy ban Chứng khoán và Giao dịch Mỹ (SEC) nói rằng họ đã chấp thuận việc ra mắt loại sản phẩm đầu tư mới được chờ đợi từ lâu là bitcoin ETF.

Vài phút sau, Chủ tịch SEC Gary Gensler cảnh báo trên X của ông rằng tài khoản của SEC đã bị “xâm nhập” và một tweet “trái phép” đã được đăng tải.

SEC đã xóa bài đăng khoảng 30 phút sau khi nó xuất hiện.

Người phát ngôn của SEC nói với AFP: “Dòng tweet trái phép liên quan đến bitcoin ETF không phải do SEC hay nhân viên của cơ quan thực hiện”.

Sau cuộc điều tra sơ bộ, nền tảng X xác nhận tài khoản của SEC đã bị xâm nhập bởi một cá nhân không rõ danh tính. Người này giành quyền kiểm soát qua số điện thoại liên kết với tài khoản thông qua bên thứ ba.

X cũng cho hay SEC đã không kích hoạt xác thực hai yếu tố tại thời điểm tài khoản bị xâm nhập.

Vấn đề bảo mật của X

Từ trước khi tỉ phú Elon Musk mua lại Twitter và đổi tên thành X, vấn đề bảo mật của nền tảng này đã nhiều lần gây lo ngại.

Các tài khoản có thể bị tấn công bằng cách đánh cắp mật khẩu, lừa mục tiêu cung cấp thông tin đăng nhập, hoặc cũng có thể được thực hiện bởi các vụ vi phạm bảo mật.

Năm 2019, Mỹ buộc tội hai cựu nhân viên Twitter làm gián điệp và cung cấp thông tin về những người bất đồng chính kiến cho Saudi Arabia.

Năm 2020, một thiếu niên chủ mưu vụ đột nhập vào mạng máy tính nội bộ của Twitter, chiếm quyền kiểm soát hàng chục tài khoản nổi tiếng, bao gồm cựu tổng thống Barack Obama và cả tỉ phú Elon Musk.

Ông Elon Musk đã quảng cáo về khả năng bảo mật khi mua lại Twitter vào tháng 10-2022. Nhưng các nhân viên của mạng xã hội này lại cho rằng tình hình đã trở nên tồi tệ hơn.

Theo đơn kiện được đệ trình vào tháng 12-2023 của cựu giám đốc an ninh công nghệ thông tin Alan Rosa, ông Elon Musk đã yêu cầu cắt giảm 50% ngân sách bảo mật vật lý của X, đồng thời muốn loại bỏ các chương trình nhằm giúp nền tảng tìm và sửa các lỗ hổng kỹ thuật số.

Ông Rosa cáo buộc rằng ông đã bị sa thải vì phản đối các biện pháp này.

Một cựu điều hành Twitter từ chối nêu tên cho biết trước khi ông Musk mua lại, việc bảo vệ các tài khoản nổi bật như của các quan chức chính phủ là trọng tâm chính của nền tảng, bao gồm cảnh báo về các vụ hack đáng ngờ cùng các biện pháp phản ứng nhanh. Nhưng những nhân viên phụ trách các nỗ lực này đã bị cho thôi việc vào năm ngoái.

Đầu năm 2023, X đã hạn chế việc xác thực hai yếu tố – một biện pháp bảo mật quan trọng – với những người dùng không trả tiền.

Song, X cũng cho biết công ty “chủ động” bảo vệ và bảo mật tài khoản của các quan chức chính phủ và các ứng cử viên chính trị.

Theo ông Austin Berglas – cựu quan chức an ninh mạng tại Văn phòng Cục Điều tra liên bang Mỹ (FBI) ở New York, nhà điều hành cấp cao tại Công ty bảo mật BlueVoyant, không rõ liệu tài khoản của SEC có được bảo mật theo cách nêu trên không. Nếu không, tin tặc có thể chiếm lấy tài khoản với mật khẩu cũ bị rò rỉ.

“Khi giảm chức năng bảo mật trong một nền tảng như X, điều đó thật đáng lo ngại”, ông nhấn mạnh.