Robot hút bụi cũng có thể đánh cắp bitcoin của bạn?
Tuyển chọn TechFlowTuyển chọn TechFlow
Robot hút bụi cũng có thể đánh cắp bitcoin của bạn?
Robot hút bụi đang nhìn bạn.
Chuyên sâu báo cáo Web3Tác giả:Felix Ng
Biên dịch: TechFlow
Các robot hút bụi thông minh và các thiết bị gia đình thông minh khác rất dễ bị tin tặc xâm nhập để ghi lại mật khẩu hoặc cụm từ khôi phục ví tiền mã hóa của bạn.
Hãy tưởng tượng một buổi sáng thức dậy, bạn phát hiện robot hút bụi mất kiểm soát, chiếc tủ lạnh bắt đầu đòi tiền chuộc, trong khi tài khoản tiền mã hóa và ngân hàng của bạn đã bị rút sạch.
Đây không phải là cốt truyện của bộ phim kinh dị năm 1986 "Maximum Overdrive" của Stephen King – bộ phim kể về một sao chổi lang thang gây ra làn sóng điên cuồng giết người trên toàn thế giới bởi các cỗ máy.
Ngược lại, đây là nguy cơ thực tế có thể xảy ra nếu tin tặc xâm nhập vào máy tính của bạn thông qua các thiết bị thông minh trong nhà. Với số lượng thiết bị Internet vạn vật (IoT) trên toàn cầu dự kiến đạt 18,8 tỷ và trung bình mỗi ngày xảy ra khoảng 820.000 cuộc tấn công IoT, khả năng xảy ra tình huống này đang gia tăng.
"Các thiết bị IoT không an toàn (ví dụ như bộ định tuyến) có thể trở thành lối vào để xâm nhập mạng gia đình," Tao Pan, nhà nghiên cứu tại công ty an ninh blockchain Beosin, cho biết trong một cuộc phỏng vấn.
Tính đến năm 2023, trung bình mỗi hộ gia đình tại Mỹ sở hữu 21 thiết bị kết nối mạng, trong đó một phần ba người tiêu dùng sử dụng thiết bị gia đình thông minh đã từng trải qua sự cố rò rỉ dữ liệu hoặc lừa đảo trong vòng 12 tháng qua.
"Một khi bị tin tặc xâm nhập, kẻ tấn công có thể di chuyển ngang để truy cập các thiết bị được kết nối, bao gồm cả máy tính hoặc điện thoại dùng để giao dịch tiền mã hóa, đồng thời có thể đánh cắp thông tin đăng nhập giữa thiết bị và sàn giao dịch. Điều này đặc biệt nguy hiểm đối với những người dùng API để giao dịch tiền mã hóa," ông bổ sung.
Vậy rốt cuộc, tin tặc có thể đánh cắp những thông tin nào trong ngôi nhà của bạn, và gây ra những thiệt hại gì?
Tạp chí đã tổng hợp một số vụ hack kỳ lạ nhất trong vài năm gần đây, bao gồm cả trường hợp cảm biến cửa bị xâm nhập để đào tiền mã hóa. Chúng tôi cũng cung cấp một số lời khuyên thực tiễn nhằm bảo vệ dữ liệu và tài sản tiền mã hóa của bạn.
Xâm nhập máy pha cà phê
Năm 2019, Martin Hron, nhà nghiên cứu tại công ty an ninh mạng Avast, đã trình diễn cách mà tin tặc có thể dễ dàng truy cập vào mạng gia đình và các thiết bị của nó.
Ông chọn một mục tiêu đơn giản: xâm nhập từ xa vào chính chiếc máy pha cà phê của mình.
Theo giải thích của Hron, giống như hầu hết các thiết bị thông minh, máy pha cà phê sử dụng cài đặt mặc định, cho phép kết nối vào WiFi mà không cần mật khẩu, điều này khiến việc tải lên mã độc vào thiết bị trở nên rất dễ dàng.
"Nhiều thiết bị IoT trước tiên kết nối vào mạng gia đình thông qua mạng WiFi riêng của chúng, mạng này chỉ dùng để thiết lập cấu hình thiết bị. Về lý tưởng, người dùng sẽ ngay lập tức bảo vệ mạng WiFi này bằng mật khẩu," Hron giải thích.
"Nhưng nhiều thiết bị xuất xưởng mà không có mật khẩu bảo vệ mạng WiFi, và nhiều người tiêu dùng cũng không tự đặt mật khẩu," ông bổ sung.
Liên kết video gốc: Nhấn vào đây
"Tôi có thể làm bất cứ điều gì mình muốn vì tôi có thể thay thế firmware, tức là phần mềm vận hành máy pha cà phê. Và tôi có thể thay thế nó bằng bất cứ thứ gì tôi muốn. Tôi có thể thêm chức năng, xóa chức năng, thậm chí phá vỡ các biện pháp bảo mật tích hợp. Vì vậy, tôi có thể làm bất cứ điều gì," ông nói trong một video do Avast công bố.
Trong phần trình diễn của mình, Hron đã hiển thị một bức thư tống tiền trên màn hình máy pha cà phê, thiết bị bị khóa cho đến khi nạn nhân trả tiền chuộc.
Bạn có thể chọn tắt thiết bị, nhưng điều đó đồng nghĩa với việc bạn sẽ không bao giờ uống được cà phê nữa
(Avast/YouTube)
Tuy nhiên, ngoài việc hiển thị thư tống tiền, máy pha cà phê còn có thể bị lợi dụng để thực hiện các hành vi ác ý hơn, chẳng hạn như bật bộ gia nhiệt gây nguy cơ cháy nổ, hoặc phun nước sôi nhằm đe dọa nạn nhân.
Đáng sợ hơn, nó có thể âm thầm trở thành cổng vào toàn bộ mạng lưới, cho phép tin tặc theo dõi thông tin tài khoản ngân hàng, email hay thậm chí là cụm từ khôi phục ví tiền mã hóa của bạn.
Xâm nhập bể cá tại sòng bạc
Một trong những vụ nổi tiếng nhất xảy ra vào năm 2017, khi tin tặc xâm nhập vào bể cá được kết nối mạng tại một sòng bạc ở Las Vegas và truyền đi 10GB dữ liệu.
Bể cá được trang bị các cảm biến điều chỉnh nhiệt độ, cho ăn và làm sạch, các cảm biến này kết nối với một máy tính trên mạng của sòng bạc. Tin tặc đã lợi dụng bể cá để xâm nhập vào các khu vực khác của mạng và gửi dữ liệu đến một máy chủ từ xa tại Phần Lan.
Bể cá có thể trông giống như thế này
(Muhammad Ayan Butt/ Unsplash)
Mặc dù sòng bạc đã triển khai tường lửa và phần mềm diệt virus thông thường, cuộc tấn công vẫn thành công. May mắn thay, sự việc đã được phát hiện và xử lý nhanh chóng.
Nicole Eagan, CEO của công ty an ninh mạng Darktrace, lúc đó nói với BBC: "Chúng tôi đã chặn ngay lập tức, không gây ra thiệt hại nào." Bà cũng bổ sung rằng sự gia tăng liên tục về số lượng thiết bị kết nối internet đồng nghĩa với việc "đó là thiên đường cho tin tặc".
Cảm biến cửa cũng có thể âm thầm đào tiền
Năm 2020, tại các văn phòng đóng cửa trên toàn cầu do đại dịch COVID-19, công ty an ninh mạng Darktrace phát hiện một vụ đào tiền mã hóa bí mật – tin tặc đã lợi dụng máy chủ điều khiển hệ thống kiểm soát ra vào sinh trắc học tại văn phòng để khai thác trái phép.
Dấu hiệu đầu tiên của vụ việc là máy chủ tải xuống một tệp thực thi đáng ngờ từ một địa chỉ IP bên ngoài chưa từng xuất hiện trong mạng. Sau đó, máy chủ liên tục kết nối với các điểm cuối bên ngoài liên quan đến nhóm đào tiền Monero (XMR), một loại tiền riêng tư.
Kiểu tấn công này được gọi là "cryptojacking", và đội ngũ Tình báo Đe dọa của Microsoft vào năm 2023 đã phát hiện thêm nhiều vụ tương tự, khi tin tặc nhắm mục tiêu vào các hệ thống Linux và thiết bị thông minh kết nối internet.
Theo điều tra của Microsoft, tin tặc sử dụng phương pháp dò mật khẩu để xâm nhập vào các thiết bị Linux và IoT được kết nối internet. Một khi đã xâm nhập vào mạng, họ cài đặt chương trình cửa hậu, sau đó tải xuống và chạy phần mềm đào tiền mã hóa. Việc này không chỉ khiến hóa đơn điện tăng vọt mà còn chuyển toàn bộ lợi nhuận đào tiền trực tiếp vào ví của tin tặc.
Các vụ cryptojacking diễn ra liên tục, một ví dụ mới nhất là việc nhúng mã đào tiền vào các trang HTML lỗi 404 giả mạo.
Tin tặc xâm nhập thiết bị thông minh: Phá hủy lưới điện
Đáng sợ hơn, các nhà nghiên cứu an ninh tại Đại học Princeton từng đưa ra một giả thuyết: Nếu tin tặc có thể kiểm soát đủ nhiều thiết bị tiêu thụ điện năng cao, ví dụ như 210.000 máy điều hòa không khí, và bật chúng cùng lúc, có thể dẫn đến tình trạng mất điện trên diện rộng tương đương với dân số California – khoảng 38 triệu người.
(Unsplash)
Các thiết bị này cần được tập trung tại một khu vực nhất định của lưới điện và khởi động đồng thời, nhằm gây quá tải dòng điện trên một số đường dây nhất định, dẫn đến hư hỏng hoặc kích hoạt rơ le bảo vệ, buộc chúng phải ngắt. Điều này sẽ chuyển tải sang các đường dây còn lại, làm tăng áp lực lên lưới điện và cuối cùng gây ra phản ứng dây chuyền.
Tuy nhiên, tình huống này đòi hỏi sự sắp xếp thời gian ác ý cực kỳ chính xác, vì dao động lưới điện là hiện tượng phổ biến trong các điều kiện thời tiết đặc biệt (ví dụ như đợt nắng nóng).
Robot hút bụi đang nhìn bạn
Năm ngoái, robot hút bụi tại nhiều nơi ở Mỹ đột nhiên tự khởi động. Hóa ra, tin tặc đã phát hiện một lỗ hổng bảo mật nghiêm trọng trên robot hút bụi Ecovac do Trung Quốc sản xuất.
Báo cáo cho thấy tin tặc có thể điều khiển từ xa các thiết bị này, dùng chúng để dọa thú cưng, la hét những lời thô tục qua loa tích hợp, thậm chí sử dụng camera tích hợp để do thám môi trường trong nhà người dùng.
Hình ảnh từ màn hình trực tiếp của một robot hút bụi Ecovac bị xâm nhập
(ABC News)
"Một vấn đề nghiêm trọng với các thiết bị IoT là nhiều nhà sản xuất vẫn chưa chú trọng đúng mức đến bảo mật," công ty an ninh mạng Kaspersky cho biết.
Rõ ràng, nếu tin tặc nắm được hình ảnh bạn nhập mật khẩu hoặc ghi lại cụm từ khôi phục ví, hậu quả sẽ vô cùng nghiêm trọng.
Làm thế nào để tự bảo vệ khỏi tin tặc xâm nhập thiết bị thông minh?
Nhìn quanh, bạn có thể nhận ra rằng gần như mọi thiết bị trong nhà bạn đều đã kết nối internet – robot hút bụi, khung ảnh kỹ thuật số, camera cửa. Vậy thì bạn nên bảo vệ an toàn bitcoin của mình như thế nào?
Một lựa chọn là áp dụng phương pháp của hacker chuyên nghiệp Joe Grand: hoàn toàn tránh sử dụng bất kỳ thiết bị thông minh nào.
"Chiếc điện thoại của tôi là thiết bị thông minh duy nhất trong nhà, nhưng ngay cả như vậy, tôi cũng miễn cưỡng dùng nó, chỉ để định vị và liên lạc với gia đình," ông từng nói với Tạp chí, "Còn thiết bị thông minh? Hoàn toàn không."
Hron từ Avast cho biết biện pháp tốt nhất là đảm bảo đặt mật khẩu cho các thiết bị thông minh và tránh sử dụng cài đặt mặc định.
Các chuyên gia khác khuyên nên sử dụng mạng khách riêng biệt cho các thiết bị IoT, đặc biệt là những thiết bị không cần chia sẻ mạng với máy tính và điện thoại; ngắt kết nối khi không dùng; và luôn cập nhật phần mềm kịp thời.
Ngoài ra, còn có một công cụ tìm kiếm thanh toán kết nối Shodan, có thể giúp người dùng kiểm tra các thiết bị kết nối mạng trong nhà và các lỗ hổng tiềm tàng.
Chào mừng tham gia cộng đồng chính thức TechFlow
Nhóm Telegram:https://t.me/TechFlowDaily
Tài khoản Twitter chính thức:https://x.com/TechFlowPost
Tài khoản Twitter tiếng Anh:https://x.com/BlockFlow_News
@Cointelegraph
