Vụ rao bán 153 triệu bằng lái xe: Không còn là cảnh báo lý thuyết
Vụ việc hơn 153 triệu bản scan bằng lái xe bị rao bán trên dark web là sự cố rò rỉ dữ liệu giấy tờ tùy thân quy mô lớn, trong đó hình ảnh, thông tin cá nhân và dấu thời gian sử dụng giấy tờ bị thu thập từ các hệ thống xác minh danh tính rồi trở thành hàng hóa cho tội phạm mạng mua bán trên các chợ dark web, đặt ra nguy cơ lạm dụng dữ liệu lâu dài cho người dùng tại Mỹ, Canada và cả phần còn lại của thế giới thông qua các chuỗi cung ứng số liên quan.
Theo thông tin từ dịch vụ Nexus trên một diễn đàn tội phạm mạng ngôn ngữ Nga, kho dữ liệu này gồm hơn 153 triệu bằng lái xe của công dân Mỹ và Canada, hơn 10 triệu thẻ căn cước, hơn 3 triệu giấy tờ du lịch hoặc định danh quốc tế và ít nhất 579.000 thẻ y tế. Đây là quy mô khiến cụm từ “bằng lái xe bị đánh cắp” không còn là rủi ro cá biệt mà là vấn đề an ninh dữ liệu diện rộng. Đáng chú ý, toàn bộ dữ liệu không bị lộ từ người dùng, mà từ hệ sinh thái các nhà cung cấp dịch vụ xác minh danh tính – nơi chúng ta buộc phải giao nộp bản scan giấy tờ mỗi lần thuê xe, nhận phòng khách sạn hay mở một tài khoản dịch vụ nào đó.
FBI vào cuộc, Nexus “biến mất”: Dấu hỏi lớn hơn là hệ thống phía sau
Ngày 2/9, Cục Điều tra Liên bang Mỹ (FBI) cho biết đang xem xét vụ việc sau khi nhà báo điều tra bảo mật Brian Krebs phát hiện một dịch vụ trên dark web rao bán bản scan bằng lái xe của công dân Mỹ và Canada. Trước đó, ông nhận được thông tin về một dịch vụ mới tên Nexus, cho phép mua quyền truy cập các bản scan giấy tờ tùy thân thông qua chợ dark web – một ví dụ điển hình cho mô hình dark web lừa đảo, nơi dữ liệu cá nhân bị biến thành tài sản giao dịch công khai cho giới tội phạm.
Trong quá trình kiểm tra, Brian Krebs so sánh dữ liệu rao bán với hơn chục người quen và người thân sau khi được họ đồng ý; kết quả, chín người phát hiện bằng lái xe của họ nằm trong cơ sở dữ liệu này. Họ xác nhận các mốc thời gian trên ảnh trùng hoặc rất gần thời điểm đi du lịch, thuê xe hoặc xuất trình giấy tờ tại các doanh nghiệp. Khi thông tin bị công bố công khai, dịch vụ Nexus ngay lập tức không còn truy cập được trên dark web và hiển thị thông báo đã ngừng hoạt động. Nhưng việc một chợ dữ liệu đóng cửa không có nghĩa là dữ liệu biến mất; nó thường chỉ chuyển sang tay các nhóm khác, khiến công tác FBI điều tra nguồn gốc và độ xác thực của kho dữ liệu càng cấp bách hơn, dù đến nay cơ quan này chưa công bố số nạn nhân thực, nguồn rò rỉ hay danh sách tổ chức bị ảnh hưởng.
IDScan.net, nhà cung cấp bên thứ ba và mặt tối của tiện lợi số
Từ các trường hợp đối chiếu thành công, Brian Krebs lần ngược dấu vết về IDScan.net – một công ty tại Louisiana cung cấp công nghệ quét và xác minh giấy tờ tùy thân cho các doanh nghiệp. Công ty này cung cấp giải pháp cho nhiều thương hiệu lớn trong lĩnh vực cho thuê xe, bán lẻ, vận tải, tài chính, cũng như các cửa hàng cần kiểm tra tuổi, và được dùng tại hơn 20.000 điểm trên toàn thế giới. Một số nạn nhân cho biết thời gian ghi trên bản scan trùng với chuyến đi Las Vegas, nơi họ xuất trình bằng lái tại sân bay, khách sạn và một cơ sở sử dụng công nghệ của IDScan.net.
IDScan.net khẳng định đang điều tra sự cố, nhưng chưa kết luận được nguồn gốc hay mức độ dữ liệu bị ảnh hưởng. Câu chuyện ở đây không chỉ là một nhà cung cấp bị tấn công, mà là mô hình bảo mật dữ liệu toàn thị trường: các doanh nghiệp lần lượt chuyển việc xác minh khách hàng cho bên thứ ba, kéo theo việc tập trung khối dữ liệu khổng lồ vào tay các nhà cung cấp mà cơ chế giám sát còn quá lỏng lẻo. Một nhà nghiên cứu bảo mật nhận định: “Các hệ thống này đang đẩy dữ liệu nhạy cảm vào tay ngày càng nhiều nhà cung cấp bên thứ ba, trong khi chúng ta thiếu hẳn cơ chế giám sát để đảm bảo chúng an toàn.” Khi sự tiện lợi số được đặt lên trước bảo mật dữ liệu, những kho bằng lái xe bị đánh cắp là cái giá tất yếu.
Người dùng bị đặt vào thế “vỡ trận danh tính” mà không biết
Khía cạnh đáng lo nhất của vụ việc không phải là con số 153 triệu trên giấy, mà là cách dữ liệu bị thu thập lặng lẽ trong đời sống thường ngày. Bất cứ khi nào chúng ta đưa bằng lái cho quầy thuê xe, quầy lễ tân khách sạn hay nhân viên tại cửa hàng, rất có thể một bản scan đã được sinh ra, kèm theo tên đầy đủ, số giấy tờ, địa chỉ – và được chuyển tiếp đến hệ thống xác minh bên ngoài. Những bản scan mà Brian Krebs và người quen tìm thấy đều gắn mốc thời gian trùng chuyến đi, lần thuê xe hay sự kiện cụ thể, cho thấy dữ liệu bị thu thập ở đúng những điểm tiếp xúc này.
Khi bản scan tồn tại, rủi ro đánh cắp danh tính về mặt lý thuyết trở nên rõ ràng, kể cả khi nguồn chính thức chưa công bố các hành vi lạm dụng liên quan. Việc các hệ thống chứa bản scan có thể bao gồm ảnh mặt trước, mặt sau, thậm chí phiên bản chụp bằng hồng ngoại và tia cực tím kèm dấu thời gian cho thấy kẻ xấu, nếu tiếp cận được, sẽ nắm trong tay bộ dữ liệu gần như hoàn chỉnh để mạo danh. Trong bối cảnh đó, cụm từ dark web lừa đảo không còn xa lạ mà trở thành phần kéo dài của chuỗi rủi ro bắt đầu ngay từ quầy lễ tân nơi người dùng giao nộp giấy tờ. Vấn đề là người dùng hoàn toàn không được lựa chọn – từ góc nhìn của họ, đó là thủ tục bắt buộc, không phải quyết định chia sẻ dữ liệu.
Từ sự cố Nexus đến yêu cầu mới về bảo mật dữ liệu
Vụ Nexus đặt ra một câu hỏi thẳng thắn cho mọi bên: chúng ta chấp nhận đánh đổi mức nào giữa tiện lợi và bảo mật dữ liệu? Việc FBI điều tra là cần thiết để xác định nguồn rò rỉ và quy mô thực tế của kho bằng lái xe bị đánh cắp, nhưng ngay cả khi thủ phạm bị lần ra, cấu trúc rủi ro vẫn giữ nguyên nếu cách thu thập và lưu trữ dữ liệu không thay đổi. Quan trọng hơn, đây không còn là câu chuyện riêng của Mỹ – mô hình thuê ngoài xác minh danh tính, dùng bản scan giấy tờ đang phổ biến toàn cầu, trong đó có Việt Nam.
Sự cố này cho thấy mọi doanh nghiệp sử dụng nhà cung cấp bên thứ ba cần xem lại hợp đồng, quy trình và tiêu chuẩn bảo mật, thay vì mặc định rằng “bên dịch vụ sẽ lo”. Người dùng, dù khó có quyền từ chối, vẫn có thể yêu cầu giải thích dữ liệu được lưu bao lâu, có bị scan không, và kênh liên hệ khi cần yêu cầu xóa. Về phía cơ quan thực thi, ưu tiên không chỉ là điều tra sau khi sự cố xảy ra, mà là thiết lập chuẩn kiểm toán bắt buộc với các nhà cung cấp xác minh danh tính. Nếu không, mỗi lần xuất trình giấy tờ sẽ là một lần đặt cược mới với danh tính số của chính mình – và dark web luôn sẵn sàng mua lại phần dữ liệu bị rơi rớt đó.
