Công ty thuốc lá bị lộ công thức bí mật trên thư mục chia sẻ
"A pen tester discovered sensitive tobacco recipes accessible via an open, unauthenticated Windows SMB file share. The company initially denied the files' authenticity but subsequently removed them. The tester was instructed to delete the downloaded file, hindering proof of the vulnerability."
Sự cố này cho thấy thiếu sót nghiêm trọng trong kiểm soát truy cập và khả năng bảo vệ dữ liệu nhạy cảm của công ty. Việc lộ công thức sản xuất có thể gây tổn thất lớn về mặt kinh tế và uy tín.
Việc rò rỉ công thức sản xuất có thể dẫn đến mất lợi thế cạnh tranh, ảnh hưởng đến doanh thu và chi phí khắc phục hậu quả. Các doanh nghiệp cần đầu tư vào giải pháp bảo mật và đào tạo nhân viên để ngăn chặn các sự cố tương tự.
Một chuyên gia kiểm thử xâm nhập (pen tester) phát hiện công thức sản xuất thuốc lá bí mật trên một thư mục chia sẻ Windows SMB không cần xác thực. Ban đầu công ty phủ nhận tính xác thực của các file này, nhưng sau đó đã gỡ chúng xuống. Chuyên gia này bị yêu cầu xóa file đã tải xuống, gây khó khăn cho việc chứng minh lỗ hổng.
Đây là một vấn đề đáng quan tâm với các doanh nghiệp Việt Nam đang lưu trữ dữ liệu nhạy cảm trên các hệ thống chia sẻ file nội bộ. Việc cấu hình sai quyền truy cập có thể dẫn đến rò rỉ thông tin quan trọng, ảnh hưởng đến lợi thế cạnh tranh.
Chuyên gia Dahvid Schloss đã sử dụng các công cụ như Metasploit để quét mạng của công ty thuốc lá. Đáng ngạc nhiên, phần mềm diệt virus Trend Micro không phát hiện bất kỳ cảnh báo nào trong quá trình quét. Anh mô tả việc này giống như bắn súng máy mà không ai nghe thấy.
Schloss tìm thấy một thư mục có tên “confidential” chứa các file có tên “recipe”, tên sản phẩm, tên sản phẩm phụ và ngày tháng. Bên trong file là thông tin chi tiết về cách sản xuất thuốc lá, bao gồm tỷ lệ phần trăm của từng hóa chất. File được đánh dấu “Confidential” và “Do not share”.
Anh tải file xuống để chứng minh khả năng đánh cắp dữ liệu, nhưng quản lý yêu cầu anh xóa file vì tính nhạy cảm của thông tin. Sau đó, đội bảo mật của công ty phủ nhận sự tồn tại của các file này và cho rằng không có lỗ hổng bảo mật nào.
Schloss đã liệt kê các file công thức trong báo cáo bảo mật, nhưng công ty tiếp tục phủ nhận tính xác thực của chúng. Anh không thể cung cấp file đã tải xuống vì đã bị yêu cầu xóa. Cuối cùng, các file đã bị xóa hoặc di chuyển khỏi thư mục.
Câu hỏi thường gặp
Chuyên gia kiểm thử xâm nhập đã sử dụng công cụ nào?
Chuyên gia Dahvid Schloss đã sử dụng Metasploit và Nmap để quét mạng và tìm kiếm lỗ hổng bảo mật. Anh cũng sử dụng Windows Explorer để duyệt qua các thư mục chia sẻ.
Công ty thuốc lá đã phản ứng như thế nào khi phát hiện lỗ hổng?
Ban đầu, công ty phủ nhận tính xác thực của các file công thức và cho rằng không có lỗ hổng bảo mật nào. Sau đó, họ đã gỡ bỏ các file khỏi thư mục chia sẻ.
Tại sao chuyên gia kiểm thử xâm nhập lại bị yêu cầu xóa file đã tải xuống?
Chuyên gia bị yêu cầu xóa file vì tính nhạy cảm của thông tin chứa trong đó. Việc giữ lại file có thể gây rủi ro cho bảo mật dữ liệu.
Góc nhìn của Orange Cloud
Theo chúng tôi, sự việc này cho thấy tầm quan trọng của việc kiểm soát quyền truy cập và giám sát hệ thống chia sẻ file. Các doanh nghiệp Việt Nam cần thường xuyên kiểm tra cấu hình SMB share và đảm bảo chỉ những người được ủy quyền mới có thể truy cập dữ liệu nhạy cảm. Điều đáng chú ý là việc phủ nhận lỗ hổng sau khi phát hiện có thể gây tổn hại lớn hơn về uy tín và chi phí khắc phục.