Hãy gửi bài viết này cho những người xung quanh bạn. Bất kỳ ai sử dụng internet, mà về cơ bản là tất cả mọi người, đều cần biết chuyện gì đang xảy ra và họ có thể làm gì để tự bảo vệ mình.
Ngay lúc này, khi bạn đang đọc những dòng này, rất có thể hàng loạt tác nhân AI đang cố gắng xâm nhập vào các trang web bạn sử dụng. Không phải một, mà là rất nhiều.
Chúng ta đang ở giữa thời điểm an ninh mạng nghiêm trọng nhất trong nhiều năm qua. Một số chuyên gia bảo mật đã gọi đây là Tháng Mười Đen.
Tôi viết bài này không phải để dọa bạn. Phần lớn chuyện này nằm ngoài tầm kiểm soát của bạn. Nhưng vẫn có những việc đơn giản bạn có thể làm để tự bảo vệ mình, và làm gì cũng tốt hơn là không làm gì cả.
Cứ mỗi giờ trong tuần này, lại có thêm một vụ tấn công bị phanh phui. Đến khi bạn đọc xong bài này, có lẽ sẽ lại có thêm một vụ nữa.
Vậy nên, đây là những gì đang diễn ra và bạn nên làm gì với nó.
Chuyện gì đang xảy ra ngay lúc này
Nếu thấy quá tải, bạn có thể bỏ qua và nhảy thẳng đến phần nên làm gì. Nhưng tôi thực sự khuyên bạn nên đọc hết toàn bộ.
Hôm qua, một lỗ hổng nghiêm trọng đã được phát hiện trong PHP, phần mềm đứng sau khoảng 70% các trang web trên thế giới.
Hãy tưởng tượng thế này: ai đó phát hiện ra hàng triệu tòa nhà trong nước dùng chung một loại ổ khóa bị hỏng, và giờ thì ai cũng biết cách mở nó. Nhà sản xuất khóa đã tung ra bản sửa lỗi, nhưng chủ của từng tòa nhà phải tự tay lắp đặt, và rất nhiều người vẫn chưa làm điều đó.
Chỉ hai giờ sau khi tin tức lan ra, kẻ tấn công đã thử chiếc khóa đó hàng trăm ngàn lần, theo CEO của Cloudflare. Giờ con số đã lên tới hàng triệu. Amazon cho biết ai đó đã thử khai thác lỗ hổng này từ bốn ngày trước khi nó được công bố, và giám đốc bảo mật của hãng nói rằng lỗ hổng "hiện đang bị khai thác rộng rãi trên thực tế." (Đó là Amazon đang gióng hồi chuông cảnh báo, chứ không phải Amazon bị hack.) Cho đến nay, chưa ai xác nhận có vụ đột nhập thành công nào qua lỗ hổng này, nhưng kẻ tấn công đang thử ở khắp mọi nơi. Để đề phòng, tổ chức vận hành Wikipedia đã tắt một số hệ thống của mình, và chính phủ các nước Hà Lan, Phần Lan, Đức, Pháp cùng nhiều nơi khác đã ngắt kết nối các trang web.
Đó chỉ là một câu chuyện, và mới chỉ là phần nổi của tảng băng chìm. Tôi chia sẻ vài vụ lớn nhất. Nếu liệt kê hết, bạn sẽ phải đọc mất mấy tiếng đồng hồ.
- Theo Microsoft, một nhóm hacker có liên hệ với nhà nước Trung Quốc đã dùng công cụ hack bằng AI để cố xâm nhập hơn 2.000 tổ chức thông qua một dịch vụ sao lưu mà các công ty IT phụ thuộc vào.
- Một nền tảng đám mây được khoảng hai triệu lập trình viên sử dụng cho biết khóa bí mật của khách hàng có thể đã bị truy cập. Sáng nay, một người bạn của tôi đã bị ai đó rút cạn tài khoản bằng một trong những khóa đó.
- Ngân hàng lớn nhất Ấn Độ cho biết thông tin cá nhân của gần 3.900 khách hàng đã bị phát tán trên dark web.
- Một băng nhóm tội phạm đã dùng công cụ AI để tấn công hơn 400 ngân hàng và công ty tài chính trên khắp châu Mỹ Latinh.
- Hacker đã đột nhập vào 16 công ty tài chính tại Hàn Quốc, bao gồm cả các ngân hàng lớn.
- Chính phủ Nhật Bản yêu cầu các doanh nghiệp siết chặt phòng thủ sau các vụ rò rỉ có thể đã phơi bày dữ liệu của hàng chục triệu người.
- Website và ứng dụng của Stop & Shop, Hannaford và Food Lion đã sập hơn một tuần.
- FBI, NSA và ba cơ quan khác cảnh báo rằng các hacker sử dụng mã tấn công do AI viết đang dòm ngó những hệ thống vận hành nhà máy nước, năng lượng và sản xuất.
Các chính phủ đã lường trước điều này. Vào tháng 6, Mỹ và các đồng minh thân cận nhất đã cảnh báo về nạn hack bằng AI: "Thời hạn không tính bằng năm, mà bằng tháng." Bốn tháng sau, chúng ta đang ở đây.
Bản gốc của bài viết này có tại đây.
Tại sao lần này lại khác
Bạn đã nghe về các vụ hack suốt nhiều năm qua. Đây là điều vừa thay đổi.
Tòa nhà nào cũng có điểm yếu: một cửa sổ chốt không chặt, một cửa hậu dùng ổ khóa rẻ tiền. Phần mềm cũng vậy. Nó đầy những điểm yếu ẩn giấu. Trong nhiều thập kỷ, việc tìm ra chúng đòi hỏi những người cực kỳ hiếm và có tay nghề cao, mà số đó thì không nhiều. Đó chính là lớp bảo vệ của chúng ta. Không phải nhờ khóa tốt. Chỉ là do thiếu trộm.
Sự khan hiếm đó đã chấm dứt. Ba điều vừa xảy ra cùng một lúc.
Thứ nhất, AI giờ đây có thể tìm ra các điểm yếu. Lỗ hổng PHP được phát hiện nhờ sự trợ giúp của AI, và các công cụ AI đang tìm ra hàng ngàn lỗi đã nằm im không ai để ý suốt nhiều năm.
Thứ hai, AI giờ đây có thể tự mình đột nhập. Không cần hacker lành nghề. Một người đã đưa cho các tác nhân AI đoạn hướng dẫn ngắn hơn cả một dòng tweet, chưa tới 100 ký tự, rồi để chúng tự hoạt động gần như hoàn toàn. Chúng đã đột nhập vào trang web của hơn 100 công ty, bao gồm cả John Deere, với chi phí ước tính chỉ 50 USD cho mỗi vụ. Chúng không ngủ và không biết chán. Chúng cứ thử mãi cho đến khi tìm được đường vào.
Thứ ba, phe phòng thủ đang phải chạy đua để theo kịp. Mọi điểm yếu vẫn phải được sửa, kiểm tra và cài đặt trên hàng triệu hệ thống do những người vốn đã quá tải vận hành. Ngay cả với những lỗi nghiêm trọng nhất, trung bình cũng mất khoảng hai tuần chỉ để tung ra bản vá, và vô số trang web chẳng bao giờ được vá cả. Hãng bảo mật Cisco ước tính khoảng một nửa số máy chủ kết nối internet đang chạy phần mềm đó quá cũ để nhận được bản vá chính thức.
Gộp lại, bạn có một cuộc rượt đuổi mèo vờn chuột mà kẻ tấn công chỉ cần thắng một lần. Khoảng cách giữa kẻ tấn công và người phòng thủ chính là thứ bạn sẽ thấy diễn ra trên mặt báo trong vài ngày tới.
Chuyện này sẽ còn tiếp diễn và tồi tệ hơn
Đây không phải là một tuần xui xẻo. Đây là khởi đầu của một điều mà tất cả chúng ta đều cần chuẩn bị đối mặt.
Cứ nhìn vào các con số. Hãng bảo mật CrowdStrike cho biết số vụ tấn công mà họ ghi nhận có khả năng liên quan đến tác nhân AI đã tăng hơn gấp đôi vào tháng 8, rồi lại tăng gấp đôi vào tháng 9. Và nếu tuần này là dấu hiệu, thì tốc độ đó chỉ đang nhanh hơn. AI cứ giỏi lên sau mỗi vài tháng trong khi chi phí vận hành lại rẻ đi. Những công cụ hacker đang dùng hôm nay là phiên bản tệ nhất mà chúng từng có.
Các công cụ đó giờ cũng đã tràn lan ngoài kia. Khi một công cụ hack bằng AI bị phát hiện có liên quan đến các vụ tấn công ngân hàng Hàn Quốc, người tạo ra nó đã ngừng phát hành công khai và gỡ trang tải xuống. Nhưng điều đó chẳng có ý nghĩa gì. Bất kỳ ai đã tải nó về vẫn có thể tiếp tục sử dụng.
Tuy nhiên, tin tốt là phe phòng thủ cũng có AI, và nó đang tìm cũng như vá các điểm yếu nhanh hơn bao giờ hết. Cuối cùng thì phần mềm sẽ khó bị xâm nhập hơn nhiều so với hiện tại. Nhưng ngay lúc này, bên tấn công đang dẫn trước bên phòng thủ, và tình trạng này có thể kéo dài thêm một thời gian nữa.
Điều này có ý nghĩa gì với bạn
Theo Axios, hiện tại các ngân hàng lớn của Mỹ, bao gồm JPMorgan, Bank of America và Wells Fargo, đang phát hiện các tác nhân AI trái phép bên trong tài khoản khách hàng. Một số do chính khách hàng thiết lập, nhưng nhiều ngân hàng không thể phân biệt được đâu là tác nhân đại diện cho khách hàng và đâu thì không. Các lãnh đạo ngân hàng mô tả tình hình này là "đáng sợ". Axios không ghi nhận trường hợp nào bị mất tiền.
Nhưng với đa số mọi người hiện nay, mối nguy lớn hơn vẫn xoay quanh ba điều. Thông tin của bạn bị rò rỉ, khiến kẻ lừa đảo biết tên, ngày sinh, địa chỉ và ngân hàng của bạn, làm cho các cuộc gọi và tin nhắn của chúng nghe rất thật. Tài khoản của bạn bị chiếm đoạt qua một trang web bạn từng dùng một lần từ nhiều năm trước, với mật khẩu bạn đang dùng chung cho mọi nơi. Và những thứ bạn phụ thuộc vào, như một ứng dụng, một nhà thuốc hay website của một cửa hàng, bị sập suốt nhiều ngày.
Nói rõ nhé: chuyện này đang diễn ra, nhưng những kịch bản tồi tệ nhất mà mọi người lo sợ vẫn chưa xảy ra. Tôi hy vọng chúng sẽ không bao giờ xảy ra. Nhưng cẩn tắc vô áy náy, nhất là khi chuyện này chắc chắn sẽ còn tiếp diễn.
Nên làm gì ngay hôm nay
Thứ nhất, tránh xa những trang web bạn không biết cho đến khi cơn bão này qua đi. Hãy bám vào những trang lớn, quen thuộc: ngân hàng của bạn, Amazon, Google. Các trang nhỏ ít có khả năng đã vá lỗi nhất, và bạn không thể biết điều đó từ bên ngoài. Trong vài tuần tới, đừng gõ mật khẩu hay số thẻ vào bất cứ thứ gì lạ lẫm.
Thứ hai, cập nhật mọi thứ: điện thoại, máy tính, máy tính bảng và trình duyệt web. Khi phần Cài đặt của điện thoại hoặc máy tính báo có bản cập nhật, hãy cài nó. Đó chính là ổ khóa của bạn. Làm tương tự với router, và nếu nó quá cũ đến mức không còn được cập nhật nữa, hãy thay cái mới. Nhưng đừng bao giờ cài "bản cập nhật" từ một cửa sổ bật lên trên trang web hay từ một đường link trong tin nhắn hoặc email. Đó là chiêu lừa đảo phổ biến. Không chắc phải làm những việc này thế nào? Đây là hướng dẫn từng bước đơn giản.
Thứ ba, đóng những cánh cửa bạn không dùng tới. Rút phích cắm các thiết bị thông minh không cần thiết và xóa những ứng dụng bạn không dùng. Mỗi thứ kết nối mạng là thêm một lối vào cho kẻ xấu.
Thứ tư, bảo vệ tài khoản ngân hàng của bạn. Nếu có ai gọi điện, nhắn tin hay gửi email yêu cầu bạn cung cấp mật khẩu hoặc mã vừa gửi đến điện thoại, đó là lừa đảo. Luôn luôn như vậy. Những mã đó chỉ để bạn tự nhập vào ứng dụng hoặc website chính thức của ngân hàng. Hãy coi mọi cuộc gọi, tin nhắn hay email liên quan đến ngân hàng là đáng ngờ cho đến khi bạn tự mình kiểm chứng: đừng nhấp vào link của họ, và đừng gọi lại số họ cung cấp. Hãy cúp máy và gọi đến số in ở mặt sau thẻ của bạn. Nếu đó thực sự là ngân hàng, họ sẽ hỗ trợ được bạn.
Chỉ nhập tên đăng nhập và mật khẩu ngân hàng vào ứng dụng hoặc website chính thức của ngân hàng. Đừng đưa chúng cho bất kỳ ai khác, kể cả trợ lý AI hay một ứng dụng khác, dù nó có vẻ hữu ích đến đâu. Chase khuyến cáo không cung cấp thông tin này cho bất kỳ ai. Hãy bật đăng nhập hai bước cho email và tài khoản ngân hàng của bạn (xem cách làm tại đây), và ngừng dùng chung một mật khẩu cho nhiều nơi. Trình quản lý mật khẩu giúp việc này trở nên dễ dàng, và iPhone hay điện thoại Android của bạn đã có sẵn một cái tích hợp rồi.
Nếu muốn cẩn thận hơn nữa, hãy giữ một ít tiền mặt ở nhà, đủ mua thực phẩm cho vài ngày, kèm theo chút đồ ăn và nước uống. Đó là bộ dụng cụ khẩn cấp thông thường, và dù sao thì cũng nên có sẵn.
Điều tôi khuyên bạn không nên làm là rút hết tiền khỏi ngân hàng. Hoảng loạn chính là thứ kẻ lừa đảo mong đợi ở bạn. Nếu một ngân hàng thực sự sụp đổ, tiền gửi tại các ngân hàng được FDIC bảo hiểm sẽ được bảo vệ lên tới 250.000 USD cho mỗi người, tại mỗi ngân hàng. Bảo hiểm đó không chi trả cho tiền bị đánh cắp từ một tài khoản bị hack. Nhưng luật liên bang thường giới hạn số tiền bạn mất từ các giao dịch trái phép nếu bạn báo cáo nhanh chóng, vì vậy hãy kiểm tra tài khoản thường xuyên và gọi ngay cho ngân hàng nếu thấy điều gì bất thường. Tiền mà bạn tự tay chuyển đi do bị lừa sẽ khó lấy lại hơn nhiều, đó là lý do các cuộc gọi lừa đảo mới là mối nguy lớn hơn.
Vài ngày tới sẽ khá kỳ lạ. Sẽ còn nhiều thông báo nữa. Hy vọng của tôi là phần lớn mọi thứ vẫn sẽ hoạt động bình thường. Hôm nay, bạn cứ làm những việc nhàm chán đó đi.
Hãy gửi bài này cho những người xung quanh bạn ngay bây giờ. Bố mẹ bạn, ông bà bạn, bạn bè, các nhóm chat. Bất kỳ ai kết nối internet, mà thực sự là tất cả mọi người, đều cần biết chuyện gì đang xảy ra. Những người ít có khả năng nghe được tin này nhất lại chính là những người dễ bị tổn thương nhất.
Bản gốc của bài viết này có tại đây.
