Cú nhấp chuột 6,3 tỷ USD

Bảo mật là bài toán quản trị sự phù phiếm của con người mà người Việt Nam hiểu rất rõ qua bài học trái tim lầm chỗ của nàng Mỵ Châu. Hãy nhìn vào biên bản hiện trường vụ cướp tài chính lớn nhất lịch sử nhân loại. Không có những dòng lệnh ma trận màu xanh lá cây chạy dọc màn hình đen trong một căn hầm bí mật.

Kịch bản diễn ra giữa ban ngày, qua khung hình của một cuộc gọi video. Nhóm tin tặc khoác lên mình vỏ bọc nhà tuyển dụng, dàn dựng một quy trình phỏng vấn trực tuyến chuyên nghiệp kéo dài nhiều vòng để tiếp cận một kỹ sư đang làm việc tại Binance. Ở cuối buổi trò chuyện, chúng tung ra đòn quyết định: gửi một "bài test tuyển dụng". Người kỹ sư tải tệp tin có mã độc về chiếc máy tính của công ty.

Pháo đài trị giá hàng tỷ USD bị đột nhập

Tại sao một bộ óc đủ nhạy bén để vượt qua hàng ngàn ứng viên xuất sắc nhất thế giới, đủ trình độ để vận hành hạ tầng đẳng cấp toàn cầu lại thực hiện một thao tác sơ đẳng đến mức ngây ngô trên thiết bị làm việc? Câu trả lời nằm ở sinh học tiến hóa, không nằm ở khoa học máy tính. Bộ não con người vận hành bằng hormone dopamine trước khi vận hành bằng đại số Boole. Khi một "nhà tuyển dụng" vẽ ra viễn cảnh về mức đãi ngộ mới, vị thế mới và sự công nhận năng lực, lượng dopamine tiết ra lập tức làm tê liệt vùng vỏ não trước trán là trung tâm kiểm soát sự cảnh giác và tư duy phản biện. Trong vật lý, dòng điện luôn chọn con đường có điện trở thấp nhất. Trong chiến tranh không gian mạng, tin tặc cũng tuân theo nguyên tắc tương tự. Đục thủng cái tôi của một kỹ sư đang chán việc chỉ tốn ba buổi trò chuyện qua mạng.

Bi kịch không dừng lại ở chiếc máy tính đầu tiên bị nhiễm độc, mà nằm ở cách mã độc di chuyển bên trong cơ thể vật chủ. Sau khi cắm rễ vào thiết bị của kỹ sư, nhóm hacker không vội vã. Chúng ẩn mình, leo thang kiểm soát từng nấc một. Hacker trưng dụng chính công cụ AI nội bộ của sàn để dò đường, lập bản đồ nhân sự và tiếp cận những nhân viên quản lý hệ thống ví. Từ bàn đạp đó, chúng chiếm đoạt các quyền truy cập trọng yếu, can thiệp trực tiếp vào hệ thống phê duyệt giao dịch và rút 6,34 tỷ USD. Dù các nỗ lực ứng cứu đã đóng băng hoặc chặn đứng được khoảng 2,85 tỷ USD, phần thất thoát còn lại vẫn đủ biến sự kiện này thành vụ cướp lớn nhất lịch sử tiền mã hóa, và nếu quy đổi ra tiền pháp định, nó cũng đứng đầu toàn bộ lịch sử ngành tài chính thế giới.

"Công cụ AI nội bộ" là một chi tiết đặc biệt cần chú ý. Đây là gót chân Achilles mới nhất của các tập đoàn công nghệ hiện đại. Trong xu hướng trí tuệ nhân tạo, các công ty gom toàn bộ tài liệu kiến trúc hệ thống, mã nguồn, sơ đồ phân quyền, lịch sử trò chuyện và danh mục nhân sự vào các mô hình ngôn ngữ nội bộ để tối ưu hóa năng suất. Họ tạo ra một bộ não toàn tri biết tuốt mọi ngóc ngách trong doanh nghiệp.

Trước đây, khi tin tặc xâm nhập được vào máy tính của một nhân viên cấp trung, chúng phải mất hàng tháng trời dò dẫm từng thư mục, đọc lén từng email để tìm xem ai là người giữ chìa khóa két sắt. Ngày nay, kẻ đột nhập chỉ cần mở khung chat AI nội bộ ngay trên chiếc máy vừa chiếm quyền và gõ lệnh. Trí tuệ nhân tạo chẳng có trực giác nghi ngờ. Với một tài khoản hợp lệ đã được xác thực, AI nội bộ là gã quản gia mẫn cán, dâng tận tay kẻ cướp tấm bản đồ kho báu: ai đang quản lý hệ thống ví, quy trình phê duyệt giao dịch nằm ở máy chủ nào, và cách thức tiếp cận những con người đó ra sao.

Lịch sử công nghệ suốt một thập kỷ qua đã lặp đi lặp lại của cùng một lỗi hệ thống này, chỉ khác nhau về quy mô số tiền. Năm 2020, một nhóm thiếu niên đã chiếm quyền điều khiển tài khoản mạng xã hội của Elon Musk, Barack Obama, Bill Gates và hàng loạt tỷ phú khác không phải bằng cách bẻ khóa máy chủ, mà bằng cách gọi điện lừa một nhân viên cấp quyền truy cập công cụ quản trị nội bộ. Năm 2022, cầu nối Ronin của mạng lưới Axie Infinity bốc hơi 625 triệu USD theo kịch bản y hệt: một kỹ sư cấp cao trải qua nhiều vòng phỏng vấn ảo với một công ty ma, rồi tải về một tệp PDF chứa lời mời nhận việc giả mạo trên máy tính làm việc. Và bây giờ là cột mốc 6,34 tỷ USD tại Binance.

Con số thiệt hại tăng theo cấp số nhân, từ vài triệu, lên hàng trăm triệu, rồi vọt lên hàng tỷ USD nhưng phương thức tấn công không thay đổi: nhắm thẳng vào "con người".

Mỗi khi một vụ hack xảy ra, phản xạ quen thuộc của giới quản trị doanh nghiệp luôn là tổ chức các buổi học trực tuyến về an toàn thông tin, gửi email nhắc nhở nhân viên không nhấp vào đường dẫn lạ, và bắt họ đổi mật khẩu phức tạp hơn. Nhưng chúng ta không thể vá lỗi phần cứng sinh học bằng một bài giảng PowerPoint.

Con người, xét về mặt cấu trúc bản thể, là một "mã nguồn" chứa đầy lỗ hổng không thể khắc phục. Con người biết mệt mỏi lúc 15h chiều. Con người biết bất mãn khi đồng nghiệp được tăng lương. Con người có lòng tham, có nỗi sợ hãi, có sự tò mò và nhu cầu được vuốt ve cái tôi. Chỉ cần một kỹ sư trong số 5.000 nhân viên có một ngày tồi tệ ở văn phòng, nhận được một lời mời phỏng vấn hấp dẫn và tải một bài kiểm tra năng lực về máy công ty, toàn bộ 4.999 người còn lại có tuân thủ quy trình nghiêm ngặt đến đâu cũng trở thành vô nghĩa.

Trong một hệ thống liên thông, độ an toàn của cả pháo đài không phải nằm ở sức mạnh của bức tường dày nhất, mà bằng đúng độ bền của mắt xích yếu đuối nhất vào lúc nó mất cảnh giác nhất. Nếu một kiến trúc hệ thống cho phép sai lầm của một cá nhân tải mã độc dẫn đến việc mở khóa két sắt 6,34 tỷ USD, thì lỗi không thuộc về người kỹ sư nhẹ dạ kia. Lỗi thuộc về kiến trúc sư đã thiết kế ra một hệ thống đặt cược sự sống còn vào sự tỉnh táo của con người.

Người ta thường viết những kịch bản viễn tưởng đen tối về ngày Trí tuệ nhân tạo tổng quát nổi dậy, chế tạo robot hủy diệt và phóng tên lửa hạt nhân để xóa sổ loài người. Thực tế diễn ra đơn giản và ít tốn kém hơn nhiều. Một hệ thống siêu trí tuệ muốn làm sụp đổ nền tài chính nhân loại chẳng cần bắn một viên đạn nào. Nó chỉ cần tự động hóa hàng triệu cuộc gọi phỏng vấn giả mạo, mượn chính công cụ AI nội bộ trong các tập đoàn để tìm ra người giữ chìa khóa, và gửi đi một tệp đính kèm mang tên Bai_Test_Tuyen_Dung.zip.

2,85 tỷ USD đã được đóng băng kịp thời, nhưng 3,49 tỷ USD còn lại đã bốc hơi như khoản học phí đắt đỏ nhất lịch sử tài chính hiện đại. Hàng nghìn chuyên gia bảo mật trên khắp thế giới sẽ thức trắng bên những ly cà phê đặc quánh để vá lại tường lửa, khóa quyền truy cập của các công cụ AI nội bộ và viết lại quy trình phê duyệt đa tầng. Nhưng ngay sáng ngày mai, ở một tòa nhà văn phòng nào đó, một kỹ sư khác vẫn sẽ lén mở cửa sổ trình duyệt trên chiếc máy tính công ty sau một cuộc họp căng thẳng. Anh ta sẽ mỉm cười trước lời mời phỏng vấn từ một nhà tuyển dụng săn đầu người, lắng nghe những lời có cánh qua tai nghe từ một cô gái dễ thương chưa gặp lần nào, rồi đưa ngón tay trỏ đặt lên chuột.

Khoảnh khắc ngón tay đó nhấn xuống nút "Tải về", mọi phương trình mật mã học vĩ đại nhất của thế kỷ 21 đều phải quỳ gối đầu hàng trước bản năng nguyên thủy của con người.  

Trung Quốc triệt phá nhiều vụ án liên quan mã độc “Cáo Bạc”

VOV.VN - Ngày 16/6, Cục An ninh mạng thuộc Bộ Công an Trung Quốc thông báo đã triệt phá hàng loạt vụ án tội phạm mạng liên quan đến biến thể mới của mã độc Trojan mang tên “Cáo Bạc” (Silver Fox), một loại mã độc mới xuất hiện gần đây.