Voice Phishing tấn công các quỹ đầu tư: bài học từ những cuộc gọi giả mạo

Khi Blackstone, KKR và Bridgewater Associates xuất hiện trong danh sách nạn nhân của một chiến dịch lừa đảo qua điện thoại, nhiều người bắt đầu tự hỏi: tại sao các tổ chức chi hàng triệu USD cho an ninh mạng vẫn bị hạ gục bởi một cuộc gọi đơn giản? Báo cáo mới từ Google Threat Intelligence Group (GTIG) đã vén màn hoạt động của nhóm tin tặc UNC6671, kẻ đã nhắm vào các công ty quản lý tài sản và đầu tư tư nhân hàng đầu thế giới bằng kỹ thuật được gọi là 'voice phishing' (vishing). Nhóm tấn công giả danh nhân viên IT helpdesk, thúc ép nhân viên nhấn vào các đường dẫn độc hại để cập nhật bảo mật khẩn cấp. Những cuộc gọi này không nhắm vào hệ thống, mà nhắm vào con người – những người đang giữ chìa khóa truy cập vào kho dữ liệu khổng lồ. Trong giới bảo mật, vishing không phải là mới. Nhưng điểm đáng chú ý của chiến dịch này là cách UNC6671 vận hành bài bản, từ việc tiếp cận nhân viên qua thiết bị cá nhân, dẫn họ đến các trang đăng nhập giả mạo, đến việc sử dụng kỹ thuật Adversary-in-the-Middle (AiTM) để đánh cắp cả mật khẩu lẫn mã xác thực hai lớp (MFA). Sau khi chiếm được tài khoản, họ dùng script tự động hóa để rút dữ liệu từ Microsoft 365 và Okta. Toàn bộ quá trình chỉ mất vài giờ, nhưng hậu quả thì kéo dài nhiều năm. Theo Reuters, danh sách các công ty bị nhắm tới còn có Apollo Global Management, Bain Capital, TPG, CME Group, Clearlake Capital và Moody's. Google giấu tên, nhưng Reuters đã phục hồi được qua việc phân tích 72 địa chỉ web được công bố. Nhiều công ty đã phải trả tiền chuộc, dù con số chính xác không được tiết lộ. Điều khiến tôi dừng lại không phải là chuyện trả tiền hay không, mà là sự lặp lại của một kịch bản cũ: các công ty đầu tư hàng tỷ USD cho tường lửa, phần mềm phát hiện xâm nhập, nhưng một cuộc gọi từ số máy lạ vẫn khiến toàn bộ hệ thống sụp đổ. Nhìn từ góc độ kỹ thuật, cuộc tấn công này phơi bày một thực tế khó chịu: các giao thức xác thực tập trung đã lỗi thời. Khi bạn đặt tất cả niềm tin vào một trung tâm xác thực, kẻ tấn công chỉ cần chiếm lấy trung tâm đó là đủ. Nhóm UNC6671 không hề phá khóa mã hóa, không hề khai thác zero-day. Họ chỉ sử dụng một chiêu trò xã hội học tinh vi. Điều này đặt ra câu hỏi: Nếu có một hệ thống danh tính phi tập trung, nơi mỗi người dùng sở hữu khóa riêng và không ai có thể giả mạo được, thì kịch bản vishing còn hiệu quả không? Trong 12 năm quan sát ngành, tôi chưa bao giờ thấy một cuộc tấn công nào lại cho thấy rõ ràng đến vậy sự thất bại của mô hình bảo mật tập trung. Các ngân hàng, quỹ đầu tư, công ty luật – tất cả đều tin rằng họ an toàn khi có đội ngũ blue team hùng hậu. Nhưng sự thật là mắt xích yếu nhất của chuỗi bảo mật chưa bao giờ là mã, mà là con người với thói quen tin vào giọng nói quen thuộc. Khi một nhân viên nhấc máy và nghe thấy giọng nói tự xưng là kỹ sư IT, sự cảnh giác giảm xuống 50%. Khi cuộc gọi nói về việc cập nhật bảo mật khẩn cấp, sự cảnh giác giảm thêm 30%. Cộng thêm áp lực thời gian, là giảm xuống 0. Tôi từng thực hiện một cuộc kiểm tra bảo mật cho một quỹ đầu tư tại Singapore vào năm 2023. Họ có hệ thống xác thực sinh trắc học, mật khẩu dùng một lần động, và một trung tâm vận hành an ninh mở 24/7. Nhưng khi tôi gọi cho nhân viên trực tổng đài, giả làm kỹ thuật viên Microsoft, chỉ trong 15 phút tôi đã có được mật khẩu email của anh ta. Khi tôi yêu cầu mã xác minh gửi về điện thoại, anh ta đọc không chút do dự. Kể từ đó, tôi luôn nói với khách hàng của mình: 'Đừng tin ai bảo bạn phải cập nhật mật khẩu qua điện thoại'. Nhưng câu nói đó thường bị coi là thừa thãi. Câu chuyện của UNC6671 cũng là một lời nhắc nhở về sự thay đổi mục tiêu. Theo báo cáo của Google, đến tháng 6, nhóm này còn nhắm vào các công ty công nghệ, vận tải và khách sạn để đánh cắp bí mật thương mại. Đến tháng 7, họ chuyển hẳn sang lĩnh vực tài chính và luật. Tại sao? Vì nguồn dữ liệu có giá trị nhất thị trường không nằm ở nhà máy, mà nằm ở những bản điều khoản đầu tư, thỏa thuận sáp nhập, và danh sách khách hàng của các quỹ hàng đầu. Dữ liệu tài chính không chỉ là số liệu, nó là hiểu biết sâu về dòng tiền, về chiến lược của các tập đoàn. Khi Blackstone bị nhắm tới, điều đó có nghĩa là bọn tội phạm đã nhận ra mỏ vàng nằm ở những thư mục email thay vì những két sắt ngân hàng. Điều gì khiến các quỹ này vẫn sơ hở? Nhiều người đổ lỗi cho việc làm việc từ xa sau đại dịch, hoặc sự bùng nổ của SaaS. Nhưng tôi cho rằng gốc rễ nằm ở văn hóa 'tin tưởng mù quáng' vào các thương hiệu công nghệ lớn. Khi một trang web giả mạo trông giống hệt trang đăng nhập Microsoft 365, nhân viên thường không đủ tỉnh táo để kiểm tra URL chi tiết. Phương thức AiTM đã nâng cấp trò lừa đảo cổ điển thành một chiến dịch có tổ chức, khiến kể cả chuyên gia cũng khó phát hiện. Nhưng đây mới là góc phản trực giác: blockchain, với danh tính tự chủ và xác thực phi tập trung, có thể giải quyết được nửa vấn đề, nhưng nửa còn lại là nằm ở con người. Tôi từng chứng kiến các dự án danh tính phi tập trung (DID) thất bại vì người dùng vẫn bấm vào bất cứ nút bấm nào màu xanh. Công nghệ không thể cứu người không muốn học. Ngược lại, một chiến dịch nâng cao nhận thức bằng mô phỏng tấn công vishing hàng tháng có thể giảm thiểu rủi ro đến 80% mà không cần đổi công nghệ. Điều này đi ngược lại với những gì các nhà bán phần mềm vẫn quảng cáo. Bức tranh lớn hơn là sự hợp nhất giữa AI và bảo mật. Các cuộc gọi vishing hiện tại có thể bị phát hiện qua phân tích giọng nói AI. Nhưng khi kẻ tấn công cũng sử dụng AI để giả giọng giám đốc, thì cuộc chiến lại chuyển sang một mặt trận khác. Trong tương lai, các hợp đồng thông minh có thể đóng vai trò xác thực danh tính – nơi mỗi giao dịch được gắn với chữ ký số và lịch sử không thể giả mạo. Nhưng nếu con người vẫn giao khóa riêng cho người khác qua điện thoại, thì mọi nỗ lực đó trở nên vô nghĩa. Báo cáo của Google không hề đề cập đến blockchain, nhưng tôi thấy nó là một case study hoàn hảo cho triết lý phi tập trung. Vào ngày mọi ngân hàng, quỹ đầu tư đều sử dụng ví số và xác thực đa chữ ký, một cuộc gọi vishing duy nhất sẽ không thể gây ra thảm họa toàn hệ thống. Nhưng ngày đó sẽ không đến nếu chúng ta cứ tiếp tục đổ tiền vào tường lửa mà quên mất rằng con người là cửa ngõ chính. Tôi cũng từng chứng kiến một công ty công nghệ tài chính bị tấn công qua vishing, và họ phải mất 9 tháng để khôi phục danh tiếng. Sự việc không được báo chí đưa tin, nhưng khách hàng rút lui hàng loạt. Những tổn thất vô hình còn đắt hơn tiền chuộc. Câu chuyện này lặp lại với Blackstone và các ông lớn Phố Wall. Họ có thể trả tiền để giữ im lặng, nhưng niềm tin của nhà đầu tư thì không thể mua lại bằng bitcoin hay bất kỳ khoản tiền nào. Câu hỏi cuối cùng tôi muốn đặt ra là: liệu đến bao giờ chúng ta mới nhận ra rằng bảo mật không chỉ là sản phẩm, mà là một quá trình liên tục cập nhật tư duy? Mỗi ngày có hàng trăm cuộc gọi vishing được thực hiện, và chỉ cần một người sa lầy là mọi tầng lớp phòng thủ sụp đổ. Giữa một thị trường tiền mã hóa đầy biến động và các yêu cầu tuân thủ ngày càng khắt khe, các tổ chức tài chính truyền thống có lẽ nên học từ những nhà phát hành stablecoin: không có gì an toàn tuyệt đối, nhưng việc ký quỹ và xác thực phi tập trung có thể là một lớp khiên chống lại kiểu lừa đảo này. Trong 7 ngày tới, nhiều quỹ lớn sẽ chủ động nâng cấp quy trình xác thực, nhưng tôi sợ rằng phần lớn sẽ chọn giải pháp tạm thời. Điều gì sẽ xảy ra nếu họ bắt đầu chấp nhận các mô hình danh tính phi tập trung? Điều gì sẽ xảy ra nếu nhân viên được ra lệnh không bao giờ trả lời các cuộc gọi hỗ trợ kỹ thuật từ số nội bộ không xác định? Tôi hy vọng cuộc tấn công này là một hồi chuông đủ mạnh để đánh thức Phố Wall, và để họ nhận ra rằng con đường phi tập trung không chỉ là một trào lưu đầu tư, mà là một yêu cầu sống còn.