Framework cảnh báo rò rỉ dữ liệu khách hàng do lỗ hổng zero-day tại Metabase

Hãng sản xuất laptop mô-đun Framework cho biết tin tặc đã khai thác một lỗ hổng zero-day tại Metabase để truy cập dữ liệu khách hàng. Zero-day là dạng lỗ hổng bảo mật chưa từng được nhà cung cấp biết đến hoặc chưa có bản vá vào thời điểm bị tấn công, vì vậy mức độ rủi ro thường rất cao. Theo thông báo được chia sẻ với khách hàng, dữ liệu bị lộ có thể bao gồm họ tên, địa chỉ email, số điện thoại, địa chỉ nhà và địa chỉ IP đăng nhập. Địa chỉ IP là mã số định danh giúp nhận diện thiết bị hoặc kết nối internet của người dùng khi truy cập dịch vụ.

Với nhóm khách hàng doanh nghiệp, Framework cho biết dữ liệu bị truy cập có thể còn bao gồm tên công ty, số điện thoại, mã VAT hoặc EIN, cùng địa chỉ email thanh toán. VAT là mã số thuế giá trị gia tăng phổ biến tại nhiều quốc gia, còn EIN là mã số định danh doanh nghiệp do cơ quan thuế tại Mỹ cấp. Công ty nhấn mạnh rằng thông tin đơn hàng và dữ liệu thanh toán không bị ảnh hưởng trong đợt tấn công này.

Nguồn gốc sự cố được xác định bắt đầu từ Metabase, nền tảng business intelligence mà Framework sử dụng để phân tích dữ liệu. Business intelligence, hay BI, là nhóm công cụ hỗ trợ doanh nghiệp tổng hợp, truy vấn và trực quan hóa dữ liệu để phục vụ ra quyết định. Theo Metabase, kẻ tấn công đã nhắm vào dịch vụ đám mây của hãng thông qua một lỗ hổng chưa từng được công bố, ảnh hưởng đến các phiên bản từ 1.58 trở lên. Sau khi phát hiện, Metabase đã chặn các endpoint bị lợi dụng, vá lỗi và triển khai bản sửa trên hệ thống cloud. Endpoint có thể hiểu là một điểm truy cập cụ thể của ứng dụng hoặc API mà bên ngoài có thể gửi yêu cầu đến.

Theo thông tin từ Framework, Metabase phát hiện cuộc tấn công vào ngày 3/8 và đến 9 giờ sáng ngày 6/8 theo giờ Thái Bình Dương mới thông báo cho hãng laptop này rằng hệ thống của họ đã bị truy cập thành công. Framework sau đó đã xoay vòng toàn bộ thông tin xác thực của các cơ sở dữ liệu kết nối với Metabase. Việc xoay vòng thông tin xác thực, hay rotate credentials, là quy trình thay mới mật khẩu, khóa truy cập hoặc token để ngăn tin tặc tiếp tục sử dụng dữ liệu đăng nhập đã bị lộ.

Metabase cho biết việc khai thác lỗ hổng có thể cho phép tin tặc thực hiện arbitrary SQL, tức chèn và chạy các câu lệnh SQL tùy ý trên cơ sở dữ liệu của ứng dụng. SQL là ngôn ngữ truy vấn dữ liệu được dùng rất phổ biến trong các hệ quản trị cơ sở dữ liệu. Nếu leo thang thành công lên quyền quản trị viên, kẻ tấn công có thể thay đổi cấu hình, đánh cắp thông tin đăng nhập tới các cơ sở dữ liệu được kết nối, truy vấn dữ liệu mà các kết nối đó có quyền xem và xuất toàn bộ kết quả ra ngoài. Đây là lý do những nền tảng phân tích dữ liệu thường trở thành mục tiêu hấp dẫn: chúng có thể đóng vai trò như cửa ngõ vào nhiều kho dữ liệu khác nhau.

Framework cho biết hiện chưa phát hiện thay đổi nào liên quan đến quyền quản trị và cũng chưa thấy bằng chứng cho thấy các hệ thống nằm ngoài môi trường Metabase đã bị truy cập. Tuy vậy, công ty nhấn mạnh kết quả điều tra hiện mới chỉ ở giai đoạn sơ bộ. Framework đã thuê một đơn vị pháp chứng số bên thứ ba để điều tra sâu hơn. Pháp chứng số, hay digital forensics, là quá trình thu thập và phân tích dấu vết kỹ thuật số nhằm xác định cách thức tấn công, phạm vi ảnh hưởng và dữ liệu nào có thể đã bị lấy đi.

Metabase cũng phát đi cảnh báo tới các tổ chức đang tự triển khai hệ thống của mình, yêu cầu cập nhật bản vá ngay lập tức. Nếu endpoint đặt lại mật khẩu dễ bị tổn thương từng được mở ra internet, quản trị viên cần thực hiện thêm nhiều bước như chấm dứt các phiên đăng nhập đang hoạt động, kiểm tra khóa API hoặc tài khoản quản trị đáng ngờ, thay mới thông tin đăng nhập cơ sở dữ liệu và rà soát log để tìm dấu hiệu bất thường. API key là khóa cho phép phần mềm hoặc dịch vụ khác truy cập hệ thống theo cách được cấp quyền; nếu khóa này bị lộ, tin tặc có thể dùng nó để giả mạo kết nối hợp lệ.

Sự cố lần này đặc biệt gây chú ý vì Framework lâu nay được biết đến như một biểu tượng của phong trào Right to Repair, tức quyền sửa chữa, với các mẫu laptop mô-đun cho phép người dùng dễ dàng thay thế linh kiện. Tuy nhiên, khả năng tự sửa phần cứng không giúp ích nhiều khi dữ liệu cá nhân lại bị lộ qua một dịch vụ phân tích bên thứ ba. Framework cho biết họ đang rà soát lại cách dữ liệu khách hàng được đưa vào các dịch vụ phân tích bên ngoài, nhưng chưa công bố cụ thể sẽ thay đổi ra sao.

Vụ rò rỉ dữ liệu xảy ra trong giai đoạn không mấy thuận lợi với Framework. Trước đó, công ty từng cảnh báo giá bộ nhớ LPCAMM2 dùng trong Laptop 13 Pro đã tăng hơn gấp đôi, buộc hãng phải nâng giá tùy chọn bộ nhớ. LPCAMM2 là một chuẩn mô-đun RAM mới cho laptop, hướng tới thiết kế mỏng hơn nhưng vẫn có khả năng thay thế hoặc nâng cấp trong một số cấu hình nhất định. Framework cũng cho biết giá CPU đang đi lên, có thể kéo giá toàn hệ thống tăng trong thời gian tới. Trong bối cảnh đó, một sự cố an ninh mạng ảnh hưởng đến toàn bộ khách hàng càng khiến áp lực với thương hiệu này lớn hơn.