Ban cố vấn chính phủ Hoa Kỳ: ‘Văn hóa’ của Microsoft tạo ra lỗ hổng để tin tặc Trung Quốc tấn công
Ủy ban Đánh giá An toàn Mạng, do Tổng thống (TT) Joe Biden thành lập và bổ nhiệm vào năm 2021, cho biết trong một báo cáo mới rằng tin tặc tại Trung Quốc có thể đánh cắp dữ liệu trong một vụ xâm phạm thư điện tử của hơn 500 người hồi năm ngoái là do “hàng loạt lỗi đáng ra có thể tránh được của Microsoft.”
Báo cáo cho biết: “Ủy ban nhận thấy rằng Microsoft đã không ưu tiên đầy đủ trong việc tái cấu trúc cơ sở hạ tầng lâu đời của mình để giải quyết bối cảnh mối đe dọa hiện tại.”
Báo cáo này là đỉnh điểm của một cuộc điều tra về một vụ tấn công mạng lớn hồi năm ngoái, trong đó các tin tặc bị tình nghi có trụ sở ở Trung Quốc đã đánh cắp hàng chục ngàn thư điện tử từ hàng trăm trương mục quan trọng ở Hoa Kỳ và các chính phủ khác.
Vụ tấn công mạng này được Microsoft cho là do Storm-0558 thực hiện, nhóm mà Microsoft mô tả là “tác nhân đe dọa có trụ sở tại Trung Quốc với các mục tiêu gián điệp.”
Báo cáo này nhấn mạnh rằng ban đầu Microsoft tin rằng vụ tấn công mạng được thực hiện bằng các khóa mã hóa bị đánh cắp, được lấy từ một thiết bị bị đánh cắp hoặc trương mục bị xâm nhập.
Tuy nhiên, sau đó người ta phát hiện ra rằng Storm-0558 đã giả mạo mã thông báo bảo mật của riêng mình từ một thông tin xác thực bị đánh cắp để truy cập vào các hệ thống đám mây của Microsoft từ tận năm 2016.
“Tính đến ngày lập báo cáo này, Microsoft không biết Storm-0558 lấy được khóa ký ứng dụng (signing key) bằng cách nào hoặc khi nào.”
Báo cáo này còn chỉ trích các nhà lãnh đạo Microsoft vì đã trì hoãn việc ngừng sử dụng khóa xác thực vào năm 2021, loại khóa có thể khiến các khóa truy cập giả mạo trở nên vô dụng.
Ủy ban này nhận thấy văn hóa [bảo mật] của Microsoft “không phù hợp” cho việc bảo đảm an ninh chuyên sâu.
Báo cáo cho biết: “Ủy ban cũng kết luận rằng văn hóa bảo mật của Microsoft chưa phù hợp và cần phải xem xét lại, đặc biệt là xét đến vai trò trung tâm của công ty trong hệ sinh thái công nghệ và mức độ tin cậy của khách hàng đối với công ty trong việc bảo vệ dữ liệu và các hoạt động của họ.”
Thanh Nguyên lược dịch
Quý vị tham khảo bản gốc từ The Epoch Times
