Verizon: "Outsource IT làm tăng nguy cơ mất dữ liệu!"

Theo các thám tử của Tập đoàn truyền thông Verizon, một trong những nguyên nhân gây ra các vụ mất dữ liệu trong vài năm trở lại đây chính là do hệ thống các nhà hàng và cửa hàng bán lẻ đã tín nhiệm giao cho các công ty bên ngoài quản lý các hoạt động xử lý thẻ tín dụng và các chức năng công nghệ thông tin.

Ông Bryan Sartin, Trưởng nhóm phản ứng điều tra của Verizon Business cho biết: “Ngay cả một hệ thống hàng nghìn nhà hàng cũng chỉ có chừng 100 nhân viên IT, nên họ phải thuê các nhà cung cấp dịch vụ bên ngoài trong rất nhiều quy trình liên quan đến IT và kỹ thuật này."

Ông Sartin nói “Vấn đề chính là sự thiếu trách nhiệm của bên thứ ba này”.

Nhóm điều tra của Verizon phát hiện ra hàng trăm vụ rò rỉ dữ liệu mỗi năm nhưng chỉ công bố từ 1/3 đến ¼ các vụ nghiêm trọng.

Theo báo cáo Verizon đưa ra trong tuần vừa qua, một vài năm trở lại đây, trong số 230 – 250 vụ rò rỉ thông tin do Verizon thống kê thì quá nửa thuộc về các công ty kinh doanh nhà hàng và các hãng bán lẻ. Và thường thì chính những nhân viên của nhà cung cấp dịch vụ IT thuê ngoài chính là nguời tham gia lấy cắp các dữ liệu của người dùng như mã thẻ tín dụng, mã số cá nhân...

Những nhóm trộm dữ liệu có tổ chức thường đến các trung tâm tổng đài, công ty phát triển web, công ty phát triển nội dung, đối tác kinh doanh hoặc những người lưu trữ dữ liệu dự phòng và nói rằng… “Nếu bạn không ưa sếp của mình hoặc đang khó khăn về tài chính thì chúng tôi chính là giải pháp của bạn. Hãy để chúng tôi truy cập vào hệ thống khách hàng của bạn, mà tốt nhất là cho chúng tôi những dữ liệu bạn đang có”.

Trong một trường hợp điển hình mà Sartin trực tiếp xử lý, đội của ông đã được một công ty dầu khí lớn có hàng nghìn trạm xăng ở Canada thuê điều tra. Khách hàng của công ty này phát hiện thấy mình bị thanh toán phụ trội khi sử dụng thẻ tín dụng ở các trạm xăng này.

Nhóm điều tra đã sớm tìm ra rằng có kẻ trong đội ngũ nhân viên của nhà cung cấp dịch vụ IT thuê ngoài đã đứng sau vụ này nhưng họ không thể chỉ ra đó là ai. Vì thế mà các chuyên viên điều tra đã cài một cái bẫy trong hệ thống để xem kẻ nào đã truy cập vào dữ liệu khách hàng.

Ông Sartin cho biết “Cái bẫy đã sập vào một buổi sáng thứ 7. Hacker luôn cho rằng sáng thứ 7 thì sẽ không ai nghi ngờ gì”. Một chiếc xe cảnh sát ập đến văn phòng của nhà cung cấp dịch vụ IT cho hệ thống của công ty xăng dầu, và thủ phạm hoá ra là một thanh niên 21 tuổi hỗ trợ phần mềm vận hành các máy bơm xăng. Thủ phạm đã bán các dữ liệu thẻ tín dụng của khách hàng cho các nhóm tội phạm có tổ chức.

Có rất nhiều vụ rò rỉ dữ liệu không phải do outsource. Một trong số các vụ lớn nhất vài năm gần đây là thủ phạm lấy cắp 41 triệu số thẻ tín dụng của các hệ thống nhà hàng bao gồm TJX Cos, bằng cách đột nhập vào mạng không dây không được bảo mật mà không phải qua bất kì hệ thống nào của nhà thầu phụ.

Báo cáo của Verizon khuyên các công ty nên thắt chặt quản lý đối với các nhà cung cấp dịch vụ thuê ngoài IT, và hạn chế cả các đối tác của mình, chỉ cho phép truy cập vào dữ liệu mà đối tác đó cần.