Sự kiện xôn xao giới bảo mật này bắt đầu từ ngày 4/8. Trên diễn đàn chuyên chia sẻ và bán thông tin bảo mật R***, một tài khoản có tên chunxong đã rao bán mã nguồn các sản phẩm của Bkav, trong đó có phần mềm bảo mật Bkav Pro. Tài khoản này yêu cầu người mua liên lạc qua email để biết được giá bán.
Theo bài viết của tài khoản chunxong, người dùng này khẳng định mình đã hack vào máy chủ của Bkav, lấy được mã nguồn sản phẩm và nhiều tài liệu nội bộ. Để làm bằng chứng, chunxong đăng tải một đoạn mã nguồn ngắn, ảnh chụp các tập tin với tiêu đề Bkav.
Bkav nói thông tin bị lộ từ nhân viên cũ nhưng không công khai
Trả lời Zing ngay sau khi bài đăng của chunxong được lan truyền, đại diện Bkav xác nhận đây là mã nguồn cũ của một số module thành phần trong phần mềm Bkav. Tuy nhiên, công ty này khẳng định do là mã nguồn cũ nên việc này không gây ảnh hưởng tới khách hàng.
Theo Bkav, đây là dữ liệu xuất phát từ một nhân viên cũ đã nghỉ việc, bị rò rỉ từ cách đây hơn một năm. Theo đánh giá từ phía công ty, những module thành phần cũ này không gây ra ảnh hưởng với khách hàng.
 |
| Email báo giá những thông tin được cho là hack từ Bkav. |
Tối 8/8, tài khoản có tên "chunxong" trên diễn đàn R*** tiếp tục tung lên những tin nhắn trên nền tảng chat nội bộ của Bkav để khẳng định mình sở hữu những dữ liệu mới, không phải mã nguồn cũ như công ty này nói.
Trong bài viết của mình, chunxong cho biết phần trò chuyện này cũng như mã nguồn đang rao bán được hack từ mạng xã hội nội bộ dành cho công việc có tên VALA của Bkav. Nội dung của cuộc hội thoại xoay quanh việc các lãnh đạo Bkav tìm cách giải thích nguyên nhân của dữ liệu bị rao bán cũng như cách tìm ra thủ phạm.
Đồng thời, Chunxong cũng phản bác thông tin mà Bkav chia sẻ trước đó rằng đây là mã nguồn cũ và xuất phát từ nhân viên đã nghỉ việc. “Tôi quá mệt mỏi khi bị Bkav bảo mình là cựu nhân viên của họ và đây là mã nguồn cũ. Tôi chưa bao giờ làm việc cho Bkav và dữ liệu này cũng mới như bài đăng này vậy”, hacker này cho biết.
Thông qua trang WhiteHat (diễn đàn bảo mật do chính Bkav hậu thuẫn), hãng bảo mật này tiếp tục khẳng định những tin nhắn nội bộ bị lộ bởi nhân viên cũ của công ty. Theo Bkav, trong thời gian còn làm việc, người này đã thu thập thông tin đăng nhập nhắn tin nội bộ và dùng nó để chụp ảnh các đoạn hội thoại gần đây.
Chưa dừng lại, hacker hẹn ngày livestream tấn công Bkav
Trả lời Zing qua email, hacker Chunxong cho biết mình đang sống ở nước ngoài, và còn nhiều tài liệu khác của Bkav có thể tung ra. "Tôi là người Việt Nam nhưng đang sống ở nước ngoài. Hiện tại, tôi không thể phỏng vấn bằng hình ảnh được, vì người ta sẽ tìm ra tôi ngay", chunxong cho biết qua email.
Theo chia sẻ của chunxong, người này chọn Bkav làm mục tiêu tấn công vì cảm thấy công ty này thường nói quá so với những gì mình làm được. Hacker này cũng cho biết mình sở hữu nhiều dữ liệu của Bkav sau khi tấn công vào mạng nội bộ của công ty, nhưng có những dữ liệu không muốn bán hoặc công bố.
 |
| Bkav xác định hacker là nhân viên cũ của công ty. Ảnh: Shutter. |
Trên thực tế, hacker vẫn đưa ra mức giá cho những thông tin chiếm được từ Bkav. Khi liên lạc qua mail, tin tặc này cho biết gói mã nguồn của Bkav có giá 290.000 USD, tương đương 6,6 tỷ đồng.
Cụ thể người này báo giá 150.000 USD cho mã nguồn phần mềm (source code) và mã nguồn máy chủ (server side code) của các phần mềm diệt virus. Riêng phần mã nguồn AI (trí thông minh nhân tạo) của Bkav được rao bán với giá 100.000 USD.
Ngoài ra, người này còn bán nhiều tài liệu khác của công ty bảo mật Việt Nam. Trong đó, 10.000 USD là mức giá cho quyền truy cập ban đầu và 30.000 USD để tiếp cận các thông tin bên trong.
Đến ngày 10/8, tài khoản “chunxong” công khai giá bán 290.000 USD cho những thông tin người này hack được từ Bkav. Đồng thời, tài khoản này cũng yêu cầu giao dịch bằng bằng đồng coin Monero (tên mã XMR) để không bị truy ra danh tính.
 |
| Mục đích cuối cùng của hacker vẫn là rao bán thông tin chiếm được từ Bkav. Ảnh: Monster Cloud. |
“Nếu muốn mua bất cứ phần dữ liệu nào, vui lòng gửi đúng số coin XMR vào địa chỉ ví của tôi. Sau khi nhận được tiền, tôi sẽ gửi mã nguồn và tài liệu. Do có quá nhiều người hỏi giá vì tò mò nên tôi sẽ chỉ giao dịch khi nhận được coin XMR chuyển trước”, tài khoản chunxong viết. Ngoài ra, người dùng này cũng cho biết nếu muốn sở hữu số dữ liệu này độc quyền, người mua phải trả gấp đôi, khoảng gần 600.000 USD, tương đương 13 tỷ đồng.
Diễn biến mới nhất của vụ tấn công là việc hacker tuyên bố sẽ livestream, xâm nhập vào hệ thông của Bkav vào ngày 18/8. Chunxong cho biết sẽ thông báo nền tảng livestream khi bắt đầu vụ hack.
Ngày 14/8, bằng tài khoản cá nhân, CEO Bkav, ông Nguyễn Tử Quảng chia sẻ quan điểm "an ninh mạng càng thực chiến càng mạnh". Đồng thời, ông Quảng cho rằng dư luận nên tránh cổ vũ, nâng tầm hay tiếp tay cho hành vi tấn công an ninh mạng bởi đây là việc làm vi phạm pháp luật.
Rao bán mã nguồn có thể bị phạt, bồi thường
Luật An ninh mạng quy định "gián điệp mạng" là hành vi cố ý vượt qua cảnh báo, mã truy cập, mật mã, tường lửa, sử dụng quyền quản trị của người khác hoặc bằng phương thức khác để chiếm đoạt, thu thập trái phép thông tin, tài nguyên thông tin trên mạng viễn thông, mạng Internet, mạng máy tính, hệ thống thông tin, hệ thống xử lý và điều khiển thông tin, cơ sở dữ liệu, phương tiện điện tử của cơ quan, tổ chức, cá nhân.
 |
| Đoạn chat nội bộ của Bkav được hacker chia sẻ trên diễn đàn. |
Theo luật sư Nguyễn Đức Toàn - Đoàn Luật sư TP. Hồ Chí Minh, hành vi bẻ khóa, trộm cắp, sử dụng mật khẩu, khóa mật mã và thông tin của tổ chức, cá nhân khác trên không gian mạng sẽ bị phạt tiền 10-20 triệu đồng theo Điều 80 Nghị định 15/2020/NĐ-CP.
Hành vi như cản trở hoạt động cung cấp dịch vụ của hệ thống thông tin; xâm nhập, sửa đổi, xóa bỏ nội dung thông tin của tổ chức, cá nhân trên môi trường mạng hay truy cập trái phép vào mạng hoặc thiết bị số của người khác để chiếm quyền điều khiển thiết bị số sẽ bị xử phạt 30-50 triệu đồng.
Bên cạnh đó, cơ quan điều tra có thể xem xét, xử lý hình sự hacker về tội Xâm nhập trái phép vào mạng máy tính, mạng viễn thông hoặc phương tiện điện tử của người khác theo Điều 289 Bộ luật Hình sự 2015.
