Và sử dụng một phương pháp hack đơn giản đến không ngờ.
Kẻ được cho là đứng sau vụ hack hôm 15/7 nhằm vào tài khoản Twitter của các công ty lớn, người nổi tiếng, và một cựu tổng thống, chẳng cần đến bất kỳ công cụ hack tinh vi nào để xuyên thủng hệ thống bảo mật của công ty. Thay vào đó, tên này đã thuyết phục một nhân viên IT tại Twitter rằng mình là một sinh viên cần các thông tin đăng nhập để truy xuất đến nền tảng hỗ trợ khách hàng của công ty. Và như các bạn đã biết, mọi chuyện trót lọt một cách ngoạn mục.
Graham Ivan Clark, 17 tuổi, bị cáo buộc chiếm dụng 130 tài khoản Twitter trong một phi vụ lừa đảo tiền mã hoá. Các tài khoản bị hack bao gồm tài khoản của cựu tổng thống Barack Obama, CEO Amazon Jeff Bezos, và CEO Tesla Elon Musk.
Clark, vừa tốt nghiệp cấp 3, hiện phải đối mặt với hơn 30 trọng tội vì hack các tài khoản nói trên, sau đó dùng chúng để đăng tải các tin nhắn và dụ các nạn nhân khác chuyển Bitcoin cho mình - theo lực lượng hành pháp, số Bitcoin trên thị giá đến hơn 100.000 USD. Hai kẻ khác cũng bị chính quyền liên bang khép tội vì đã hỗ trợ cho kế hoạch của Clark bằng cách đóng vai trò môi giới rao bán các tài khoản Twitter bị hack, gồm: Mason Sheppard, 19 tuổi, sống tại Anh, và Nima Fazeli, 22 tuổi, sống tại Orlando.
Mẹ của Clark, Emiliya Clark, cho biết con trai bà vô tội. "Tôi tin nó không làm điều đó. Ngày nào tôi cũng nói chuyện với nó" - bà nói. "Tôi tuyệt vọng quá".
Twitter đã cảm ơn lực lượng hành pháp sau vụ bắt giữ nhanh chóng này. Trong bản tin mới nhất liên quan vụ hack, vào ngày 30/7, công ty thừa nhận các nhân viên đã bị lừa và chia sẻ thông tin nhạy cảm qua điện thoại, và hãng đã quyết định tạm thời giới hạn truy xuất đến các công cụ nội bộ của mình nhằm tìm hiểu ngọn ngành vụ xâm nhập, đồng thời cải thiện các giao thức bảo mật để "biến chúng trở nên tinh vi hơn nữa".
Một vụ việc đầy hổ thẹn
Trong số 130 tài khoản bị hack, có 45 tài khoản bị sử dụng để gửi đi các đoạn tweet - theo tiết lộ từ Twitter. Có 36 tài khoản bị truy xuất vào hộp tin nhắn trực tiếp, và 7 tài khoản có dữ liệu Twitter bị tải xuống.
Trải qua nhiều vụ xâm nhập đầy hổ thẹn trong vài năm trở lại đây, Twitter, nền tảng truyền thông xã hội yêu thích của tổng thống Donald Trump cũng như nhiều lãnh đạo chính trị và doanh nghiệp khác, nay phải muối mặt trước hiện thực rằng một cậu nhóc tuổi teen cũng có thể đánh bại đội ngũ kỹ sư và nhiều lớp bảo mật an ninh mạng của mình. Các cự nhân viên bảo mật của Twitter từng nói rằng có quá nhiều người có thể truy xuất đến các tài khoản người dùng, bao gồm cả các nhân viên và nhà thầu bên ngoài, và rằng đội ngũ quản lý của công ty thường xuyên có thái độ miễn cưỡng đối với việc nâng cấp hệ thống bảo mật thông tin. Tất nhiên, Twitter lên tiếng phủ nhận những điều mà các cựu nhân viên phát biểu về hoạt động giám sát tài khoản của mình.
Các bị cáo trong vụ hack được cho là một phần của một nhóm hacker ngầm tuổi teen, được biết đến với tên gọi "OGUsers", chuyên đánh cắp và mua bán các tài khoản trực tuyến với những username được nhiều người ham muốn. Trong thế giới OGUser, một username ngắn gọn trên Instagram hay Twitter có thể bán được với giá hàng chục ngàn USD tiền mã hoá. Việc sở hữu được những username, như @6 hay @dark, được xem là những thành tích đáng nể để chúng khoe khoang trên mạng.
Theo một đơn khiếu nại liên bang, một người dùng tên Kirk#5270 nói trên một diễn đàn trực tuyến rằng, "Tôi làm việc cho Twitter. Tôi có thể lấy bất kỳ @ nào cho các bạn".;Một người dùng khác, Rolex#0373, mà theo chính quyền thì đó là một bí danh được sử dụng bởi Fazeli, đáp lại rằng, "Chứng minh đi". Trong cuộc trao đổi của họ, Kirk#5270 đã cung cấp cho Rolex#0373 quyền truy cập đến tài khoản Twitter tên @Foreign với giá 500 USD. Kirk#5270 không được xác định rõ là ai, tuy nhiên chính quyền liên bang nói rằng tên này đóng vai trò trung tâm trong vụ hack Twitter vừa qua.
Chân dung hacker tuổi teen Graham Ivan Clark
"Chaewon", một bí danh của Sheppard, đã đăng lên OGUser một chủ đề tên là "Pulling email for any Twitter/Taking Request" (lấy email của bất kỳ tài khoản Twitter nào/ đang nhận đơn đặt hàng). Trong đó, Chaewon "quảng cáo rằng hắn có thể thay đổi địa chỉ email liên kết với bất kỳ tài khoản Twitter nào với giá 250 USD và cung cấp quyền truy cập trực tiếp đến các tài khoản với giá từ 2.500 - 3.000 USD" - theo một hồ sơ liên bang.
"Quan niệm sai lầm"
Các cơ quan chức năng đã buộc tội Clark như một người trưởng thành theo luật pháp Florida, thay vì luật liên bang, bởi "luật Florida cho phép chúng tôi linh hoạt hơn trong việc buộc tội một người chưa trưởng thành như người trưởng thành trong một vụ lừa đảo tài chính" - thẩm phán quận Hillsborough, Andrew Warren, cho biết. "Cậu ta đã chiếm quyền truy cập đến các tài khoản Twitter và đến các công cụ kiểm soát nội bộ của Twitter thông qua lừa gạt một nhân viên Twitter".
Thẩm phán David Anderson thuộc quận phía Bắc California nói rằng trong giới hacker có một "quan niệm sai lầm" rằng chúng có thể thực hiện các vụ tấn công như vụ hack Twitter vừa qua "một cách ẩn danh và không để lại hậu quả gì".
Những lời buộc tội dành cho ba tên hacker tuổi teen nói trên "minh chứng rằng sự hãnh diện khi thực hiện những vụ hack đáng lên án vào một môi trường bảo mật chỉ để cho vui hoặc vì lợi nhuận sẽ không thể bền lâu" - ông nói.
Minh.T.T (theo Bloomberg)