Hack Wi-Fi ở bể bơi khách sạn

Sáng nay khi đang làm bữa sáng cho lũ nhóc nhà tôi, vợ tôi gửi một đoạn video ngắn vài giây của Today Show với lời nhắn "Chắc giờ em đã biết anh làm cái gì rồi" cộng thêm biểu tượng mặt cười. Trong buổi phát sóng, người dẫn chương trình Jeff Rossen đã cảnh báo với khán giả về việc sử dụng WiFi công cộng và một số mẹo để phòng ngừa.

Rossen lên mạng tại một hồ bơi trong khu resort, nơi mà các vị khách đã kết nối điện thoại của họ vào honeypot và mạng Wi-Fi sinh đôi ác quỷ được điều khiển bởi một hacker mũ trắng gần đó. Một khi đã kết nối, hacker có thể xem toàn bộ mọi thứ mà các vị khách đang làm trên điện thoại của họ thông qua Wi-Fi và có thể thâm nhập vào username/password của email, số thẻ tín dụng và thậm chí có thể thấy được số ghế trên máy bay của Rossen. Đây là một cơ hội giáo dục tuyệt vời để cho mọi người biết những nguy cơ khi sử dụng Wi-Fi công cộng. Hãy xem việc hack này diễn ra như thế nào.

Làm thế nào mà các khách hàng lại kết nối vào các Wi-Fi độc hại?

Hacker mũ trắng cho thấy hai cách thông thường để tấn công Wi-Fi để kết nối với điện thoại thông minh của khách hàng với điểm kết nối độc hại để anh ta có thể chặn tất cả lưu lượng truy cập:

Wi-Fi Honeypot - Trong khi đang ngồi gần các vị khách, hacker sử dụng laptop và một access point Wi-Fi để phát một SSID tương tự với của khách sạn để đánh lừa mọi người đây là hàng chính hãng. Ví dụ, SSID chính xác của khách sạn là "Hotel Wi-Fi" và kẻ tấn công phát "Hotel Wi-Fi poolside". Cách này buộc mọi người chủ động kết nối vào SSID giả mạo của kẻ tấn công thay vì cái thật.

Sinh đôi ác quỷ - Tại cùng một vị trí ở hồ bơi, hacker phát một SSID giống hệt như của khách sạn, về cơ bản là giả mạo "Hotel Wi-Fi". Trong cuộc tấn công này, điện thoại thông minh, laptop, máy tính bảng hay bất cứ khách hàng nào sử dụng "auto connect" với Wi-Fi (thường được mở sẵn) sẽ tự động kết nối vào Wi-Fi giả mạo của kẻ tấn công vì không thể phân biệt SSID Wi-Fi nào "tốt" hay "xấu".

Làm cách nào hacker chặn username/password và thẻ tín dụng nếu các websites sử dụng mã hóa HTTPS?

Đoạn video không chỉ rõ hacker làm cách nào có thể chặn các thông tin thông qua mẫu web như địa chỉ email, mật khẩu và số thẻ tín dụng. Hacker trong video có thể đã sử dụng công cụ tấn công nổi tiếng man-in-the-middle (MiTM) như là khuôn mẫu để biểu diễn một cách đơn giản cuộc tấn công SSL Strip trên Wi-Fi khách hàng đã được kết nối thông qua điểm kết nối honeypot hoặc sinh đôi ác quỷ của kẻ tấn công. SSL Strip cho phép kẻ tấn công loại bỏ mã hóa SSL từ website, đồng thời cho phép họ nhìn thấy các dữ liệu mà nạn nhân đang xem và gửi đi.

Đây có phải là một mối đe dọa đối với Wi-Fi hay không có thể làm điều gì để ngăn chặn?

Vâng, nó thực sự là một mối đe dọa và một tràng vỗ tay cho Today Show vì đã mang thông điệp bảo mật này ra truyền thông chính thống. Wi-Fi thực sự là một công nghệ đầy thành công khi mà mọi người hầu như đều phụ thuộc vào nó mỗi ngày, nhưng có rất ít người hiểu được các rủi ro bảo mật. Các công cụ kiểm tra thâm nhập phổ biến như Wi-Fi Pineapple bởi Hak5 đã khiến việc tấn công trở nên dễ dàng hơn. Thực tế thì, mọi người có thể dành ra ít thời gian để học cách hack thông qua các video trên mạng.

Các mẹo để bảo mật Wi-Fi cho những người điều khiển từ xa (Remote Worker) hoặc khách du lịch

Đừng kết nối với nhiều SSID Wi-Fi được phát tại nơi công cộng - hoàn toàn không bình thường chút nào nếu như các kết nối đó có thể tin tưởng được

Khi bạn muốn lướt những web riêng tư như mua sắm online, đăng nhập vào ngân hàng, mua gì đó trên mạng hoặc đặt vé máy bay, hãy ngắt kết nối Wi-Fi và thay vào đó sử dụng 4G. Một khi bạn đã xong các thông tin nhạy cảm, bạn có thể mở lại Wi-Fi.

Xóa hết các tên Wi-Fi và tắt chế độ "auto connect".

Các mẹo bảo mật Wi-Fi dành cho chủ doanh nghiệp và bộ phận IT

Khách hàng, nhân viên và ông chủ của bạn sẽ yêu cầu kết nối Wi-Fi, vậy nên hảy đảm bảo các kết nối đó an toàn. Khi lựa chọn nhà cung cấp access point (AP), hãy lưu ý những công nghệ sau để đảm bảo bạn có thể cung cấp cho khách hàng trải nghiệm Internet an toàn:

Hệ thống ngăn chặn xâm nhập wireless (WIPS) được quảng cáo với độ chính xác cao và giá thành hợp lý. Hệ thống này giúp đảm bảo chỉ triệt hạ các hacker mà không ảnh hưởng đến mạng kế bên mà không vướng pháp lý.

Các AP mà có thể bật cảm biến WIPS hoặc AP có radio bảo mật mà bạn có thể thêm vào tùy chọn Wi-Fi mà không cần phải thay mới toàn bộ AP.

Cảnh báo bảo mật và báo cáo có thể tự động hóa. Bạn không muốn bị nhấn chìm trong các bản báo cáo, bạn cần một hệ thống Wi-Fi bảo mật tự động biết phải làm gì và gửi cho bạn một cái email dễ thương nói rằng mọi thứ đều đã được giải quyết tốt.

Việc bảo mật hệ thống Wi-Fi ở Việt Nam còn nhiều lỏng lẻo do chủ quan của người dùng và cả các nhà cung cấp dịch vụ. Cho dù thế, hậu quả của hành động này vẫn chưa tạo nên hồi chuông cảnh tỉnh nào đủ mạnh cho người dùng và chủ doanh nghiệp. 

(Sưu tầm từ ITMAP)

Các dạng mã độc hàng đầu và ý nghĩa của chúng trong dịch vụ nhà hàng khách sạn

Vào năm 2017, đã có hơn 53.000 sự cố an ninh được xác nhận và hơn 2.200 vụ vi phạm dữ liệu (được báo cáo chính thức) theo Báo cáo điều tra vi phạm dữ liệu năm 2018 của Verizon, và nhiều công ty dịch vụ lưu trú là mục tiêu. Ví dụ, năm ngoái Hyatt thông báo rằng 41 khách sạn của mình bị nhiễm phần mềm độc hại đã lấy đi một lượng thông tin thẻ tín dụng của khách hàng. Và gần đây hơn trong năm nay, một sự vi phạm tại Orbitz đã để lộ thông tin trên 880.000 thẻ thanh toán của khách hàng. Ngành khách sạn cung cấp một mục tiêu hấp dẫn cho các tin tặc tìm cách ăn cắp dữ liệu thẻ tín dụng. Tại sao? Bởi vì các tổ chức này theo truyền thống có một nền tảng dễ bị tấn công bao gồm việc dễ dàng khai thác Wi-Fi, hệ thống POS có ít hoặc không có bảo mật và Rolodex của các nhà cung cấp bên thứ ba có quyền truy cập mạng. Hãy xét riêng lẻ những điều này. Watchguard Technologies nêu chi tiết về những phần mềm độc hại hàng đầu và cách các công ty dịch vụ lưu trú tự bảo vệ mình.

Dữ liệu thẻ tín dụng có giá trị vì những lý do hiển nhiên, điều này khiến các kẻ tấn công nhắm mục tiêu đến các hệ thống POS bằng cách cài đặt phần mềm độc hại sau khi họ có quyền truy cập vào mạng của khách sạn hoặc nhà hàng. Điều này thường được thực hiện bằng các chiến thuật như email lừa đảo, truy cập của bên thứ ba bị xâm phạm hoặc thông qua mạng Wi-Fi không an toàn. Loại phần mềm độc hại này có thể chạy âm thầm trong nền trong nhiều tháng hoặc nhiều năm, sao chép dữ liệu thẻ tín dụng từ thẻ mà hệ thống POS chạy và gửi thông tin đó về cho hacker. Đây là những gì đã xảy ra với Hyatt năm ngoái, cũng như nhiều công ty khách sạn khác. Hầu hết các hệ thống POS không có bất kỳ bảo mật tích hợp nào, vì vậy việc bảo vệ mạng mà chúng được kết nối là vô cùng quan trọng. Hơn nữa, để giúp bảo vệ các hệ thống này và những người khác trong tổ chức, mạng nên được phân đoạn để làm cho nó khó khăn hơn cho tin tặc để có được phần mềm độc hại vào một hệ thống POS từ lần đầu.

Wi-Fi miễn phí của khách sạn cũng là mục tiêu hấp dẫn đối với tin tặc. Có nhiều cách hacker có thể khai thác Wi-Fi miễn phí để lấy cắp thông tin của khách hoặc truy cập vào các phần khác của mạng nội bộ khách sạn. Một lần nữa, phân chia mạng thích hợp là rất quan trọng - mạng Wi-Fi của khách phải được tách riêng khỏi mạng doanh nghiệp để nếu hacker truy cập vào mạng khách, họ không thể đào sâu hơn để lấy cắp dữ liệu cá nhân khác. Quản trị viên CNTT của khách sạn cũng nên cân nhắc triển khai Hệ thống ngăn chặn xâm nhập không dây (WIPS) có thể phát hiện và chặn các nỗ lực tấn công chống lại các mạng Wi-Fi công cộng.

Các công ty khách sạn cũng làm việc với một số lượng lớn các nhà cung cấp bên thứ ba như các công ty phân phối, dịch vụ vệ sinh, nhà cung cấp dịch vụ và hơn thế nữa. Những đối tác này thường có quyền truy cập vào mạng của họ và có thể cung cấp cho tin tặc một cửa sau vào hệ thống. Ví dụ, một số chuyên gia tin rằng việc xâm nhập dữ liệu của Orbitz là do tin tặc lấy thông tin từ một bên thứ ba làm việc với Orbitz và có quyền truy cập vào cơ sở dữ liệu khách hàng của họ. Các công ty dịch vụ lưu trú nên hạn chế thông tin họ chia sẻ với đối tác và nhà cung cấp. Chỉ cung cấp cho các tổ chức bên ngoài quyền truy cập vào dữ liệu mà họ thực sự cần và yêu cầu họ sử dụng mật khẩu mạnh.

Mật khẩu yếu và bảo mật mật khẩu - đây là một vấn đề bảo mật lớn cho tất cả các doanh nghiệp, bao gồm cả khách sạn. Một giải thích khác có thể cho việc vi phạm dữ liệu tại Orbitz là mật khẩu của quản trị viên đã bị chặn hoặc đoán được. Với mật khẩu mạnh hơn có thể đã tạo ra sự khác biệt trong cuộc tấn công này.Nếu quản trị viên được đề cập đã sử dụng mật khẩu có hơn 10 chữ số, bao gồm cả kết hợp ngẫu nhiên các số và chữ cái, sẽ rất khó đoán hoặc bẻ khóa. Nhiều vi phạm xảy ra do nhân viên sử dụng lại mật khẩu cho nhiều tài khoản, chỉ để có một trong những tài khoản đó bị xâm phạm do vi phạm dữ liệu. Ví dụ, Dropbox đã bị xâm nhập vào năm 2012 vì mật khẩu của nhân viên Dropbox đã bị đánh cắp do vi phạm dữ liệu riêng biệt tại Expedia và nhân viên đó đã sử dụng cùng một mật khẩu cho tài khoản công việc của mình làm tài khoản Expedia.

Tin tốt lành là phần mềm độc hại tuân theo các xu hướng có thể được đo lường và phòng ngừa. Dưới đây là một số phát hiện chính từ Báo cáo bảo mật Internet của chúng tôi cho quý 4 năm 2017 và ý nghĩa của chúng đối với hoạt động kinh doanh khách sạn.

Tội phạm mạng tận dụng tài liệu văn phòng độc hại để lừa nạn nhân. Cuộc tấn công liên quan đến lỗ hổng trong giao thức Trao đổi dữ liệu động (DDE) của Microsoft Office đã đưa ra danh sách mười phần mềm độc hại hàng đầu của WatchGuard lần đầu tiên và hai trong số mười cuộc tấn công mạng hàng đầu mà chúng tôi thấy trong Q4 liên quan đến việc khai thác Microsoft Office. Điều này có nghĩa là tin tặc đang ngày càng ngụy trang mã độc trong tài liệu Office. Phần mềm độc hại thường được gửi bằng email lừa đảo, một thư giả mạo được thiết kế để thuyết phục người nhận nhấp vào liên kết hoặc mở tài liệu. Nếu họ làm điều này, tài liệu độc hại sẽ chạy mã bí mật tải xuống và cài đặt phần mềm độc hại trên thiết bị của họ. Đào tạo tất cả nhân viên khách sạn hoặc nhà hàng của bạn bằng tài khoản email công việc để theo dõi các email có tài liệu Microsoft Office mà họ không mong đợi hoặc nhận ra - đó có thể là một sự cố gắng.

Các cuộc tấn công phần mềm độc hại tổng thể tăng đáng kể. WatchGuard đã thấy 33% phần mềm độc hại trong quý 4 so với quý trước. Điều này có thể là do hoạt động tội phạm được nâng cao trong mùa lễ. Giống như bán hàng và quảng cáo, phần mềm độc hại theo mùa. Đảm bảo nhân viên của bạn được đào tạo để nhận ra email lừa đảo và xem lại các thực tiễn bảo mật của bạn trước mùa nghỉ lễ chính để chuẩn bị cho những cuộc đột biến này.

Gần một nửa số phần mềm độc hại đã bỏ qua các giải pháp chống vi-rút cơ bản (AV). Mức độ tăng trưởng này cho thấy bọn tội phạm đang sử dụng kỹ thuật trốn tránh tinh vi hơn có khả năng vượt mặt các tính năng AV truyền thống. Đảm bảo rằng bất kỳ sản phẩm bảo mật tường lửa hoặc Unified Management (UTM) nào mà tổ chức của bạn đã triển khai đều cung cấp cả hai phương thức AV này.

Các cuộc tấn công tập lệnh chiếm 48% phần mềm độc hại hàng đầu. Các cuộc tấn công dựa trên tập lệnh chiếm phần lớn các phần mềm độc hại được phát hiện trong quý 4 năm 2017. Loại phần mềm độc hại này thường được nhúng trong trang web hoặc tệp đính kèm email. Tất cả nhân viên khách sạn phải hết sức cẩn thận khi nhấp vào liên kết hoặc tệp đính kèm trong email. Không bao giờ nhấp vào liên kết hoặc mở tệp đính kèm từ địa chỉ email mà bạn không nhận ra, nhưng cũng lưu ý rằng các email lừa đảo tinh vi thường xuất hiện đến từ một thành viên của tổ chức của bạn. Nếu có điều gì đó có vẻ đáng ngờ, hãy đảm bảo rằng bạn và nhóm của bạn nhớ xác nhận nó ngoại tuyến hoặc nhập liên kết vào trình duyệt của bạn theo cách thủ công thay vì tự động nhấp vào.

Tất cả thông tin này có vẻ đáng sợ, nhưng thực tế tốt nhất về bảo mật cơ bản tạo ra sự khác biệt lớn khi bảo vệ doanh nghiệp của bạn khỏi các cuộc tấn công trên mạng. Với một số bước đơn giản, các tổ chức khách sạn thuộc mọi quy mô có thể giảm khả năng bị vi phạm. Hãy chắc chắn đào tạo nhân viên để cảnh giác trong khi sử dụng email của công ty, đặc biệt là đối với các thư bao gồm các tài liệu Office hoặc các liên kết và tệp đính kèm tiềm ẩn độc hại. Cuối cùng, ở phía trước các chiến dịch phần mềm độc hại theo mùa và đảm bảo bạn có một sản phẩm bảo mật mạng cung cấp giải pháp AV có khả năng phát hiện dựa trên hành vi. Hãy nhớ những mẹo này để tránh trở thành thống kê vi phạm dữ liệu vào năm 2018.

(Sưu tầm từ ITMAP)