Theo các cáo trạng được Bộ Tư pháp Mỹ (DOJ) công bố hôm 1/8, ba hacker tấn công vào Twitter gồm Mason Sheppard, có biệt danh là “Chaewon”, 19 tuổi, sống tại Bognor Regis (Anh); Nima Fazeli, 22 tuổi, còn được gọi là “Rolex“; và Graham Ivan Clark, 17 tuổi, biệt danh “Kirk“. Fazeli và Clark sống tại Tampa, Florida (Mỹ)

Hình ảnh hacker 17 tuổi tấn công Twitter

Tài liệu tòa án cho thấy, toàn bộ vụ tấn công bắt đầu vào ngày 3/5. Không biết bằng cách nào, Clark có được quyền truy cập vào công cụ quản trị nội bộ của Twitter. Thế nhưng, từ lúc đó đến thời điểm Twitter bị tấn công – ngày 15/7, mọi thứ dường như “án binh bất động”.

Trong khi đó, báo cáo của New York Times cho thấy, Clark tìm được thông tin truy cập hệ thống Twitter sau khi được quyền vào cuộc hội thoại Slack của nhân viên mạng xã hội này. Slack là ứng dụng chat nhóm nổi tiếng, được nhiều người yêu thích vì các tính năng gửi tập tin nhanh, trò chuyện tiện lợi thông qua các kênh và được mệnh danh là “sát thủ email”.

Tuy vậy, thông tin đăng nhập có được từ Slack chưa đủ để Clark truy cập vào hệ thống nội bộ của Twitter, bởi nó được bảo vệ bởi tính năng xác thực hai yếu tố (2FA). Hacker này tiếp tục thực hiện một cuộc tấn công lừa đảo khác qua điện thoại nhằm vào nhân viên Twitter, mục đích là để lấy mã 2FA và đã thành công.

Tài khoản Twitter nhân viên do Clark chiếm được có đầy đủ các tính năng thêm sửa và xóa bất kỳ nội dung nào

Clack tham gia Discord, một nền tảng trò chuyện bằng giọng nói và văn bản, vào ngày 7/7 với tên tài khoản là “Kirk#5270“. Hacker này đã tiếp cận với hai người khác trên kênh Discord của OGUsers, một diễn đàn dành riêng cho tin tặc bán và mua tài khoản truyền thông xã hội.

Nhật ký trò chuyện trên Discord thu thập được cho thấy, Clark đã tiếp cận hai hacker khác là Fazeli với tên tài khoản “Rolex#037” và Sheppard là “ever so anxious#0001“, đồng thời cho biết mình đang làm việc tại Twitter. Để chứng minh mình có thể hack được Twitter, Clark đã vào tài khoản của Fazeli và sửa đổi một số thông tin. Đồng thời, hacker 17 tuổi này cũng bán quyền truy cập của nhiều tài khoản Twitter dạng ngắn như @xx, @dark, @vampire, @obinna hay @drug cho Sheppard.

Sau đó, Clark thuyết phục Sheppard và Fazeli cùng mình đăng quảng cáo trên OGUsers để bán các tài khoản Twitter đánh cắp được. Từ lúc này, có thể không ít tài khoản đã bị mua bán. Đây cũng chính là nguyên nhân khiến hàng loạt tài khoản của các công ty và người nổi tiếng, như Barrack Obama, Joe Biden, Bill Gates, Elon Musk, Jeff Bezos, Apple, Uber, Kanye West, Kim Kardashian, Floyd Mayweather, Michael Bloomberg… đăng tweet yêu cầu gửi Bitcoin đến cùng một địa chỉ vào 15/7.

Nội dung Clark trao đổi với Fezali trên Discord

Theo tài liệu của DOJ, địa chỉ Bitcoin nói trên nhận khoảng 12,83 Bitcoin, tương đương 117.000 USD. Tuy nhiên, cuộc điều tra khác tiết lộ nền tảng trao đổi tiền điện tử Coinbase đã ngăn chặn số Bitcoin khác gửi đến địa chỉ trên với tổng số tiền 280.000 USD.

Đến lúc này, tài khoản Twitter nội bộ mà Clack dùng để đăng tweet trên tài khoản người nổi tiếng đã bị khóa. Mạng xã hội đã điều tra và phát hiện hacker này tương tác với ít nhất 130 tài khoản qua công cụ nội bộ, thiết lập lại mật khẩu của 45 tài khoản và xem tin nhắn riêng tư của 36 tài khoản.

Một ngày sau vụ hack, Twitter gửi đơn khiếu nại hình sự lên các nhà chức trách. FBI và Sở Mật vụ Mỹ nhanh chóng vào cuộc điều tra.

Đầu tiên, FBI đã sử dụng dữ liệu được chia sẻ trên mạng xã hội và các cơ quan báo chí, sau đó thu thập nhật ký trò chuyện và thông tin người dùng từ Discord. Do đã có một số quảng cáo được hacker đăng trên OGUsers, cộng thêm dữ liệu trên mạng khi diễn đàn này bị hack vào tháng 4, FBI nhanh chóng tìm thấy thông tin mình cần, gồm chi tiết tên người dùng, email, địa chỉ IP, thậm chí có cả tin nhắn riêng tư.

Tiếp đó, với sự giúp đỡ của Chi cục Thuế Mỹ (IRS), cơ quan điều tra đã thu được dữ liệu liên quan đến địa chỉ Bitcoin giao dịch qua sàn Coinbase. Xâu chuỗi thông tin từ Discord, OGUsers và Coinbase, FBI nhanh chóng tìm thấy danh tính của ba hacker.

Trong số này, Fazili phạm nhiều sai lầm nhất trong việc che giấu danh tính. FBI đã thấy rằng hacker này liên kết tên người dùng và địa chỉ email trên OGUsers với Discord. Đầu tiên, Fazili dùng email damniamevil20@gmail.com để đăng ký tài khoản trên OGUsers và dùng email chancelittle10@gmail.com để chiếm đoạt tài khoản Twitter @foreign. Tuy nhiên, hai email này cũng được dùng để đăng ký tài khoản Coinbase, sau đó xác minh danh tính bằng ảnh trên giấy phép lái xe của mình.

Thậm chí, Fazili còn “nghiệp dư” đến mức sử dụng luôn mạng Internet của gia đình mình để truy cập các tài khoản trên Discord, OGUsers và Coinbase mà không ẩn danh. Kết quả là, địa chỉ IP và nhật ký truy cập trên cả ba dịch vụ này đã được lưu lại.

Điều tương tự cũng xảy ra với Sheppard. FBI cho biết hacker có biệt danh “Chaewon” này đã kết nối tài khoản Discord với OGUsers và dùng nó để bán các tài khoản Twitter hack được. Thậm chí, tên này còn mua một trò chơi điện tử bằng ví Bitcoin có liên kết với địa chỉ tiền ảo đã đăng trên các tài khoản bị hack vào cùng ngày 15/7.

Với trường hợp của Clark, FBI không tìm thấy mối liên hệ trực tiếp giữa tài khoản “Kirk#5270” với hai dịch vụ còn lại. Tuy nhiên, xâu chuỗi bằng chứng, các nhân viên điều tra đã dần nhận biết đây là một cá nhân và nhanh chóng truy ra tên tuổi của hacker này sau đó.

Khóa học Hacker Mũ Trắng – AEH

• Khóa học Chuyên gia An ninh mạng – AN2S
• Khóa học Hacker Mũ Trắng – AEH
• Khóa học Quản trị mạng nâng cao – MCSA

“FBI có khoảng một nghìn cuộc điều tra liên quan đến việc Trung Quốc cố gắng đánh cắp công nghệ ở 56 văn phòng trên khắp nước Mỹ, trải trên mọi ngành nghề và lĩnh vực”, Giám đốc FBI Christopher Wray nói. “Điều này thực sự là mối đe dọa lâu dài với an toàn thông tin và tài sản trí tuệ của nước Mỹ, tác động mạnh đến đời sống kinh tế, xã hội”.

Số vụ trộm cắp công nghệ có nguồn gốc từ Trung Quốc do FBI điều tra.

Phát biểu của Wray được đưa ra tại hội nghị dành cho các thành viên chính phủ Mỹ tổ chức tuần này tại Washington, với chủ đề liên quan đến trộm cắp sở hữu trí tuệ. Trong thời gian 4 tiếng, một số quan chức cấp cao nhất của FBI và Bộ Tư pháp (DOJ) đã thảo luận những dấu hiệu báo động về các mối đe dọa và trộm cắp tài sản trí tuệ (IP) từ các thực thể Trung Quốc ở khối tư nhân và học thuật.

“Mối đe dọa từ Trung Quốc là có thật và nó dai dẳng do cách hoạt động hợp lý cũng như nguồn lực tốt từ phía sau. Nó sẽ không biến mất sớm”, John Demers, Trợ lý Tổng chưởng lý An ninh Quốc gia Mỹ, khai mạc hội nghị.

John Brown, Trợ lý Giám đốc FBI, cũng cho biết cơ quan này đã thực hiện 19 vụ bắt giữ trong năm qua liên quan đến gián điệp kinh tế có nguồn gốc Trung Quốc.

Một số quan chức Mỹ nhấn mạnh trong bài phát biểu của mình, rằng việc trộm cắp sở hữu trí tuệ đang diễn ra “bừa bãi” và đều được lập kế hoạch sẵn. “Họ không chỉ nhắm vào các công ty thuộc lĩnh vực quốc phòng. Mục tiêu của người Trung Quốc là mọi thứ, từ gạo, ngô cho đến phần mềm cho tuabin gió, thiết bị y tế cao cấp, bất cứ thứ gì mang lại cho họ lợi thế cạnh tranh”, Wray nói.

Cũng theo Wray, việc đánh cắp không dừng lại ở những người làm nghiệp vụ tình báo. Thay vào đó, bất kể doanh nghiệp nhà nước, công ty tư nhân, nghiên cứu sinh, người dân bình thường… đều có thể tham gia.

Mỹ cho rằng hacker Trung Quốc đang trộm cắp tài sản trí tuệ ở mọi lĩnh vực.

Jay Town, Luật sư thuộc Tòa án Quận Bắc Alabama, cho biết, các nỗ lực trộm cắp không chỉ xảy ra ở các thành phố lớn và trung tâm công nghệ của Mỹ như Thung lũng Silicon hay New York mà trên khắp đất nước, từ Alabama đến Iowa.

Tại hội nghị, quan chức Mỹ nghi ngờ Trung Quốc đang khuyến khích hành vi trộm cắp sở hữu trí tuệ từ nước ngoài, thậm chí có hẳn một hệ thống các mức thưởng cho những hành động này. “Chúng tôi chưa có bằng chứng, nhưng có căn cứ để nghi ngờ rằng chính phủ Trung Quốc đã mua sắm các tài sản trí tuệ đánh cắp được hoặc bảo trợ cho hành vi trộm cắp”, Adam Hickey, Phó Trợ lý DOJ, nói. “Có một cấu trúc được thiết lập để khuyến khích điều này”.

Trên mặt trận không gian mạng, cách thức tấn công để đánh cắp dữ liệu cũng “biến hóa” khôn lường hơn. Trích dẫn nhiều nguồn báo cáo, các hoạt động hack của Trung Quốc được Bộ An ninh Nhà nước Trung Quốc ra lệnh, được điều phối bởi nhân viên tình báo ở các lĩnh vực cụ thể. Những người này thay vì tự tấn công, họ sẽ thuê nhà thầu tư nhân để tránh sự chú ý, có thể là tin tặc hình sự, nhà nghiên cứu bảo mật, nhân viên công ty bảo mật hoặc chuyên gia công nghệ thông tin thông thường.

Ngoài ra, việc tấn công còn được thực hiện bởi những nhóm hacker được cho là thân với Bắc Kinh, chẳng hạn APT3, APT10, APT17 hay APT40. Trong đó, APT3 và APT10 đã bị DOJ khởi kiện lên tòa án Mỹ, cáo buộc các thành viên (là hacker độc lập, nhân viên công ty bảo mật, nhân viên tình báo) đánh cắp dữ liệu của doanh nghiệp Mỹ.

Nguồn vnexpress.net

Khóa học Hacker Mũ Trắng – AEH

• Khóa học Chuyên gia An ninh mạng – AN2S
• Khóa học Hacker Mũ Trắng – AEH
• Khóa học Quản trị mạng nâng cao – MCSA