Hacker có khả năng tấn công cả hệ thống máy bay chỉ bằng một smartphone Android?

Tại hội thảo Hack in The Box đang diễn ra ở Amsterdam (Hà Lan), Teso, người đã có thâm niên 11 năm làm trong lĩnh vực công nghệ đã mang đến cho cử tọa một cái nhìn hiện thực và đáng lo ngại về tình trạng an ninh/bảo mật của các hệ thống máy tính cũng như giao thức liên lạc của ngành hàng không.

Sau khi phát hiện, thu thập thông tin về những lỗ hổng trong hệ thống, Teso đã tạo ra một khung framework để khai thác lỗ hổng, sau đó, sử dụng một ứng dụng Android có tên PlaneSploit để gửi đi các tin nhắn tấn công tới hệ thống quản lý chuyến bay của máy bay. Bằng cách này, Teso đã giành được toàn quyền điều khiển chiếc máy bay ảo và ra lệnh cho nó "nhún nhảy" theo một giai điệu bật sẵn.

Cụ thể hơn, Teso cho biết hai công nghệ mới mà anh sử dụng để phát hiện, thu thập thông tin là máy phát Giám sát bán tự động ADS-B. Thiết bị này sẽ gửi thông tin về máy bay (từ mã hiệu nhận dạng, vị trí hiện tại, kinh độ, vĩ độ...) thông qua bộ phát sóng trên máy bay tới đài kiểm soát không lưu, cho phép các máy bay có trang bị ADS-B nhận được thông tin về thời tiết, tình hình giao thông của các máy bay khác ở gần.

Công nghệ còn lại là Hệ thống báo cáo và liên lạc máy bay ACARS, được sử dụng để trao đổi tin nhắn giữa các máy bay với trạm không lưu thông qua sóng radio hoặc vệ tinh, cũng như tự động cung cấp thông tin mỗi chuyến bay về cho đài không lưu.

Điều nguy hiểm là cả hai công nghệ này đều rất hớ hênh, không có nhiều hàng rào bảo mật và có thể dễ dàng bị hạ gục trong các cuộc tấn công. Teso đã sử dụng ADS-B để lựa chọn mục tiêu tấn công, còn ACARS giúp anh thu thập thông tin về máy tính trên máy bay, cũng như khai thác các lỗ hổng của máy tính này thông qua việc gửi một tin nhắn độc giả mạo.

Từ những nghiên cứu cá nhân của mình, Teso đã xây dựng nên một khung tấn công có tên SIMON, cho phép chia nhỏ các bước tấn công máy bay. Rất may là SIMON chỉ có thể chạy được trong môi trường ảo chứ không thể áp dụng cho các máy bay ngoài đời thực. Mặc dù vậy, Teso khẳng định nguy cơ máy bay bị tấn công là hoàn toàn có thật và rất gần, nếu các hãng hàng không không cảnh giác và nhanh chóng siết lại khâu bảo mật.

Thú vị hơn, Teso còn trình diễn một ứng dụng Android sử dụng sức mạnh của SIMON để điều khiển từ xa những máy bay bị "đoạt quyền" ngay trên điện thoại di động. Với tên gọi PlaneSploit, ứng dụng này có giao diện rất đơn giản, gọn gàng nhưng đầy ắp tính năng. Sử dụng tần số quét radar để dò sóng máy bay, PlaneSploit cho phép bạn tiếp cận bất cứ chiếc máy bay nào đang di chuyển trong một bán kính nhất định.

"Việc hàng không - một ngành công nghiệp nơi sự an toàn luôn được đặt lên hàng đầu - lại quá hớ hênh về bảo mật có thể khiến nhiều người bất ngờ", Teso khẳng định. Anh không chia sẻ quá nhiều chi tiết về những công cụ mà mình sử dụng do những lỗ hổng này đều chưa được khắc phục. "Các máy bay khác nhau có thể chứa những lỗ hổng hệ thống khác nhau, nhưng không khó để tìm ra lỗ hổng nào đang hiện diện", Teso khẳng định.

Tin mừng là các phi công có một giải pháp để giành lại quyền điều khiển máy bay và cho máy bay hạ cánh khẩn cấp một cách an toàn. Những vụ tấn công kiểu này chỉ thực hiện được khi máy ở chế độ lái tự động, do đó, nếu tắt chức năng này và sử dụng các thiết bị Analog thì phi công sẽ tạm thời loại bỏ được nguy cơ. Tuy nhiên, tin xấu là ngày nay, đa số máy bay hiện đại không còn chế đô analog nữa. Bên cạnh đó, phi công cũng không dễ phát hiện được máy bay đã bị hack để mà tiến hành các thao tác nói trên.

Trọng Cầm(Theo Net-Security)

Tại điểm thi Trường THCS Hoàng Văn Thụ, Quận 10, phụ huynh đứng chờ đón con dưới cơn mưa tầm tã.

Nhiều phụ huynh đã có mặt tại cổng trường từ khá sớm để chờ con

Thí sinh được các tình nguyện viên che ô từ phòng thi ra tận nơi có người thân đứng chờ

Thí sinh Đào Duy Khánh nhận xét đề thi năm nay không quá khó khăn với thí sinh, sự phân biệt độ khó khá rõ ràng về những câu gần cuối. "10 câu cuối bắt buộc thí sinh phải suy nghĩ mới có thể làm tốt được".  Khánh cho biết thêm sau một ngày thi tới 4 môn, em cảm thấy khá mệt mỏi vì phải nhớ quá nhiều kiến thức, làm em không thể tập trung làm bài tốt được. Nhưng dù sao thì hôm nay em đã hoàn thành tốt được phần thi của mình, em mong sẽ được điểm cao trong kì thi lần này"

Tại điểm thi này, thí sinh Trần Thị Thanh Trúc cho biết đề thi Tiếng Anh năm nay khá là vừa sức, không dài quá. "Đề thi vừa với khả năng của em, em nghĩ có khoảng 7-8 câu là khó, thử thách đối với thí sinh".

Tại TP.HCM thí sinh Nguyễn Thảo Vy, Trường THPT Nguyễn Thị Minh Khai bày tỏ niềm vui vì đã hoàn thành kỳ thi của mình trong chiều nay. Thảo Vy cho biết em làm mã đề 417 có câu hỏi liên quan đến sinh vật sống và hoàn thành khá tốt bài thi ngoại ngữ. Vi tự tin có thể được 9 điểm.

Thí sinh Toàn Thắng cũng cho rằng đề thi có nhiều câu tương đối dễ. Yêu cầu đề thi sắp xếp theo thứ tự từ dễ đến khó, trong đó 30 câu hỏi đầu tương đối dễ. Thắng có thể hoàn toàn 30 câu này và kiếm được 6 điểm. Trong 20 câu hỏi còn lại có 10 câu cuối khó hơn, đặc biệt là câu hỏi từ 43-50 chiếm khá nhiều thời gian phải đọc đề và yêu cầu.

Thí sinh Đặng Quốc Trung, lớp 12A1, Trường THPT Nhân Việt làm mã đề 418 cho rằng đề thi bám sát thực tiễn hơn trong sách giáo khoa về thông tin, câu từ. Đề thi có nhiều câu hỏi hay, gắn với thực tiễn như nêu tới những vấn đề ảnh hưởng của trẻ như internet, đọc sách, truyện tranh.  Theo Trung, đề thi này phân loại khá rõ khi sắp xếp câu hỏi từ dễ đến khó, trong đó 10 câu cuối là phức tạp gồm bài đọc, chọn từ, điền từ vào chỗ trống dành cho học sinh giỏi.

Thí sinh Nghệ An cho rằng dễ đạt điểm cao môn Tiếng Anh  Ở điểm thi Trường THPT Phan Bội Châu (Vinh, Nghệ An), các thí sinh tỏ ra hài lòng về bài thi của mình. Các thí sinh tại điểm trường THPT Huỳnh Thúc Kháng cũng vui vẻ rời phòng thi. Hầu hết các em cho rằng đề Tiếng Anh dễ. Ra về sau khi kết thúc buổi thi môn Tiếng Anh tại điểm thi Trường THPT Huỳnh Thúc Kháng (Vinh, Nghệ An) Thí sinh Ngô Sỹ Hiệu nhận xét: “Đề Tiếng Anh năm nay dễ hơn đề năm ngoái, em không chuyên ban D nhưng cũng tự tin bài làm của mình, các bạn em đều nói rằng dễ đạt điểm tuyệt đối”. Theo báo cáo nhanh của Sở GD-ĐT Nghệ An, kết thúc buổi thi tổ hợp môn Khoa học Tự nhiên, có 1 thí sinh dự thi tại điểm thi Trường THPT Huỳnh Thúc Kháng bị đình chỉ thi do mang điện thoại vào phòng thi. Bá Cường

Theo cuộc điều tra riêng của Bloomberg, thủ phạm của đợt tấn công diện rộng này là một băng hacker có nguồn gốc Đông Âu. Ngoài Apple, Facebook và Twitter, chúng còn tấn công khoảng vài chục công ty ít nổi tiếng hơn.

Hai nguồn tin thân cận với vụ việc tiết lộ với Bloomberg rằng hacker đặc biệt săn tìm các nghiên cứu, sở hữu trí tuệ và những thông tin mật đáng giá của nạn nhân để sau đó có thể bán ra thị trường chợ đen. Trước đó, hồi đầu tuần, Apple đã xác nhận việc máy tính của một số nhân viên bị hạ gục sau khi họ ghé thăm một website dành cho giới phát triển ứng dụng iPhone. Website này trước đó đã bị hack và khai thác một lỗ hổng bên trong plug-in trình duyệt Java.

Vài tuần trước, mạng xã hội đông người dùng nhất thế giới Facebook cũng đưa ra tiết lộ tương tự: một số nhân viên sau khi truy cập vào website SDK thì máy tính cũng bị đoạt quyền kiểm soát. Cả Facebook lẫn Apple, dù vậy, đều khẳng định thủ phạm chưa thành công trong việc tiếp cận dữ liệu mật.

Tuy nhiên, chính Twitter mới là mục tiêu đầu tiên và thường xuyên của vụ việc. Ngay từ đầu tháng 1, mạng tiểu blog này đã bị tấn công và khoảng 250.000 tài khoản người dùng đã bị chiếm, với tên tuổi và địa chỉ email nhiều khả năng đã bị lộ.

Việc Apple, Facebook, Twitter bị tấn công được phanh phui đúng thời điểm báo Mỹ đang nghi ngờ quân đội Trung Quốc nuôi dưỡng một đội "chiến binh số", bao gồm những tin tặc tinh nhuệ nhất chuyên tấn công mạng lưới của các quốc gia khác. Chính vì thế, sự nghi ngờ đang đổ dồn về phía Trung Quốc, bất chấp việc chính phủ nước này đã công khai phủ nhận mọi cáo buộc liên đới.

Mặc dù vậy, Tạp chí Time cho biết họ đã phỏng vấn nhiều chuyên gia bảo mật và sẽ không bất ngờ nếu như các cuộc tấn công khởi phát từ Đông Âu thay vì Trung Quốc. "Chúng tôi đều theo dõi Trung Quốc rất kỹ, nhưng họ không phải những kẻ tội phạm mạng cao siêu, tinh vi nhất", ông Tom Kellerman, cựu ủy viên của hội đồng Bảo mật mạng cho Tổng thống Barack Obama bình luận. "Những băng đảng tinh vi nhất đến từ khối Đông Âu và Nga". Cũng theo Kellerman thì cả một thị trường ngầm khổng lồ đã hình thành tại khu vực này, nơi bọn tội phạm mạng có thể dễ dàng bán công cụ hack cho nhau.

Đợt tấn công nhằm vào các doanh nghiệp công nghệ có vẻ như đã sử dụng thủ pháp mà giới chuyên gia gọi là "Vũng nước". Giống như một con sư tử rình đợi con mồi nhanh chân giảm tốc và dừng lại uống nước, bọn tội phạm cũng hack và tải virus lên những site mà chúng tin rằng các mục tiêu hấp dẫn sẽ ghé thăm, sau đó kiên nhẫn chờ đợi.

Chúng không biết chính xác ai sẽ là nạn nhân, nhưng một khi các nạn nhân bị nhiễm virus, hacker sẽ có thể theo dấu họ ngược trở lại mạng doanh nghiệp để do thám.

Một website được sử dụng trong đợt tấn công có tên là iPhone Dev SDK, một diễn đàn dành cho giới phát triển các ứng dụng tương thích với iOS. Trang này sau đó đã yêu cầu tất cả thành viên phải đặt lại mật khẩu và siết chặt lại hàng rào bảo mật của mình.

Tin an ủi là rất ít người dùng bị ảnh hưởng bởi những lỗ hổng bảo mật này. Cho tới thời điểm này, Twitter là hãng duy nhất thừa nhận một bộ phận thành viên của họ bị tấn công. Tất nhiên, chưa ai rõ thiệt hại thực sự lớn đến cỡ nào, vì có thể nhiều nạn nhân khác vẫn chưa nhận ra họ bị tấn công, hoặc không muốn công khai chuyện này với dư luận.

Đối với động cơ của vụ tấn công, hãng F-Secure lại có giả thiết khác so với Time. Hãng bảo mật này cho rằng mục tiêu thực sự của hacker là hạ gục tài khoản của các nhà phát triển ứng dụng di động, cho phép kẻ tấn công nhúng mã đọc vào trong các ứng dụng smartphone. Nếu đúng như vậy thì giới phát triển cần phải kiểm tra lại tài khoản và mã nguồn của mình tức thì.

Trọng Cầm

Ảnh minh hoạ. Nguồn: ZDNet.

Đến tháng 12, trụ sở ở Quảng trường Thời đại của Morgan Stanley chỉ kín phân nửa chỗ trong một ngày điển hình. “Tôi đã sai lần này”, Gorman nói với một người phỏng vấn, thừa nhận rằng ông đã đánh giá sai thái độ kém thiết tha của người lao động đối với việc quay trở lại với những chuyến đi về và lịch trình trước đại dịch của mình.

Các công ty trên khắp nước Mỹ đều trì hoãn các mốc thời gian mà họ đã đề ra trước đó. Lyft, ứng dụng gọi xe, cho biết họ sẽ không yêu cầu lao động quay trở lại văn phòng cho đến năm 2023. Tại Ford, 30.000 lao động được kỳ vọng sẽ quay trở lại với công việc văn phòng - công nhân nhà máy đã quay lại xưởng từ gần một năm rưỡi qua - nhưng giờ lại nhận được thông báo rằng họ có thể tiếp tục làm việc tại nhà cho đến ít nhất là tháng 3. Google và Uber mở rộng tùy chọn làm việc tại nhà đến vô thời hạn.

Từ nhiều năm trước khi nó bắt đầu, các nhà truyền bá công nghệ đã dự đoán về cái chết của các văn phòng hữu hình và những nỗi nhọc nhằn đến từ việc phải có mặt, hứa hẹn rằng phần mềm ngày càng cải tiến, từ Internet siêu nhanh đến tai nghe thực tế ảo, sẽ cho phép con người làm việc từ bất cứ đâu một cách trơn tru, giành lại số giờ đồng hồ từng bỏ vào việc di chuyển, và định hình lại cuộc sống làm việc.

Nhưng điều đó chưa bao giờ xảy ra, và các thí nghiệm trong quá khứ đã thất bại hoàn toàn. Khi Yahoo bổ nhiệm Marissa Mayer làm CEO trẻ thành đạt của công ty, một trong những động thái đầu tiên của cô là thắt chặt các chính sách làm-việc-tại-nhà đã được nới lỏng dưới thời người tiền nhiệm.

IBM từng là công ty tiên phong về làm việc từ xa. Vào năm 1979, họ đã cho năm nhân viên tại Phòng thí nghiệm Santa Teresa ở Thung lũng Silicon mang các thiết bị đầu cuối là những máy vi tính hình hộp về nhà để làm việc với hy vọng giảm bớt tình trạng tắc nghẽn trên các máy chủ ở văn phòng của mình.

Trong một báo cáo năm 2009, về sau đã bị xóa khỏi trang web của công ty, IBM đã khoe rằng 40% trong số 386.000 nhân viên của họ làm việc từ xa. Năm 2017, IBM đưa ra tối hậu thư cho nhân viên: quay lại văn phòng hoặc tìm công việc mới. Sự đảo ngược này đã vang động khắp các cấp quản lý doanh nghiệp vì IBM, theo lời của chính công ty này, là “một doanh nghiệp có hoạt động kinh doanh là cách các doanh nghiệp khác thực hiện hoạt động kinh doanh”.

Nếu họ không thể hiện thực hóa nổi tầm nhìn đầy tính tương lai, ấy là còn chưa nói đến chi phí thấp, về một lực lượng lao động phi tập trung hóa, thì không một ai có thể làm được.

Và cuộc bùng nổ đầu tư mạo hiểm vào những năm 2010, giai đoạn các công ty đang thi nhau đưa ra chính những loại đổi mới có thể cho phép xây dựng một văn phòng từ xa đích thực của tương lai, lại làm điều ngược lại xét trên nhiều phương diện, khi vạch ra những ranh giới cho công việc trong bán kính 20 dặm ở khu vực phía nam San Francisco.

Đành rằng họ đã truyền bá các ứng dụng trò chuyện và phần mềm quy trình làm việc và các kết nối video cho phép những khách hàng mục tiêu của họ tiếp cận phương thức làm-việc-từ-bất-cứ-đâu, song khuôn viên của doanh nghiệp họ, được trang bị các buồng nhộng ngủ và phòng mát xa và bữa ăn miễn phí, lại khuếch trương một thông điệp duy nhất: Chúng tôi muốn các bạn có mặt ở văn phòng.

Song đại dịch đã thay đổi điều đó. Công nghệ đã giúp việc duy trì kết nối trở nên dễ dàng hơn - FaceTime, ứng dụng trò chuyện qua video của Apple dành cho iPhone và máy Mac, đã ra đời từ năm 2011, trong khi phần mềm họp video doanh nghiệp đã sinh sôi nảy nở mạnh mẽ từ những phần mềm tương tự của Microsoft, Google, và sau đó là Zoom - nhưng chưa bao giờ có cơ hội trải qua một cuộc thử nghiệm đời thực về tính năng kỹ thuật và mức độ cộng hưởng cảm xúc. Đại dịch đã cung cấp cả hai.

Các chuyên gia vừa cảnh báo người sử dụng xe về nguy cơ lộ thông tin cá nhân khi dùng hệ thống định vị trên ôtô.

Trong khi đó, theo điều tra của GAO, những thông tin về người sử dụng cung cấp cho hệ thống kết nối của một số dòng xe như các địa điểm đến và đi, biển số xe hay các thông tin khác có thể được lưu giữ trong hơn 7 năm.

GAO cho biết, các hãng xe có thể tập hợp những dữ liệu về hành trình đi lại của người sử dụng như trạm xăng hay nhà hàng ở gần nhất, địa chỉ nhà… và sử dụng với những mục đích khác nhau mà người dùng có thể không biết.

“Các thông tin liên quan tới việc định vị người dùng có thể được sử dụng để ăn cắp danh tính, suy luận các thông tin nhạy cảm khác về cá nhân như tôn giáo hay hoạt động chính trị hoặc để theo dõi họ”, đại diện GAO nhận định.

Việc các hãng xe liên kết để phát triển hệ thống định vị dựa trên Google Maps cùng các hệ thống kết nối điện thoại thông minh có thể sẽ làm tăng nguy cơ lộ thông tin cá nhân của người sử dụng.

Do đó, GAO cho rằng cần phải có những chính sách để bảo vệ quyền riêng tư của người sử dụng xe cũng như ngăn chặn khả năng các nhà sản xuất xe bán thông tin cá nhân của người dùng cho các công ty tổ chức bên ngoài.

Ngoài hệ thống định vị, trên xe còn có nhiều hệ thống khác có thể cung cấp thông tin về người sử dụng như thiết bị lưu trữ dữ liệu có tên là hộp đen, hệ thống kết nối điện thoại rảnh tay Bluetooth cùng một số hệ thống kết nối thông minh khác.

Đại diện Hiệp hội các nhà sản xuất xe Mỹ khẳng định các hãng xe luôn cam kết và thực hiện nghiêm túc việc bảo đảm quyền riêng tư của người dùng.

Tuy nhiên, thực tế cho thấy xe hơi càng hiện đại thì các nguy cơ liên quan tới bảo mật càng tăng. Trước đó, các chuyên gia cũng đã lên tiếng cảnh báo về khả năng các dòng xe hơi đời mới bị hacker ăn cắp hoặc điều khiển từ xa.

Theo CAND