Ba triệu bàn chải thông minh bị dùng để tấn công DDoS

Theo công ty an ninh mạng Fortinet, hacker đã khống chế và biến một lượng lớn bàn chải đánh răng thông minh thành "thiết bị ma", từ đó tấn công từ chối dịch vụ (DDoS) vào website một công ty có trụ sở ở Thụy Sĩ. Trang web này không chịu được sức ép vì quá tải, gây tổn hại ước tính hàng chục triệu euro do các dịch vụ bị gián đoạn.

Stefan Züger, chuyên gia bảo mật cấp cao của Fortinet, cho biết việc hacker huy động bàn chải thông minh tham gia vào mạng thiết bị ma (botnet) là chiêu thức mới. Tuy vậy, điều này không gây ngạc nhiên và bàn chải có kết nối Internet để theo dõi và cải thiện thói quen vệ sinh răng miệng của người dùng, do đó cũng hoàn toàn có thể bị nhiễm phần mềm độc hại. Hệ điều hành của chúng chạy dựa trên Java - một trong những nền tảng yếu về bảo mật và không được cập nhật thường xuyên.

Chi tiết cuộc tấn công và tên các mẫu bàn chải bị khống chế không được công bố.

Cũng theo Züger, bàn chải thông minh cùng với bộ định tuyến, hộp giải mã tín hiệu, camera giám sát, chuông cửa, máy giặt kết nối wifi... đang là mục tiêu lây nhiễm mã độc và tạo mạng botnet của hacker do loại thiết bị này ngày càng phổ biến nhưng mức độ bảo mật chưa được quan tâm đúng mức như smartphone hay máy tính. Ngoài ra, chúng dễ bị kiểm soát do không được cập nhật bản vá bảo mật thường xuyên.

"Mọi thiết bị kết nối Internet đều là mục tiêu tiềm năng", Züger nói với Tom's Hardware. "Những thiết bị này liên tục bị hacker thăm dò để tìm lỗ hổng. Do đó, sẽ xảy ra một cuộc chạy đua thực sự giữa các nhà sản xuất phần mềm với tội phạm mạng thời gian tới".

DDoS là dạng tấn công từ chối dịch vụ bằng cách gửi một lượng yêu cầu lớn đến hệ thống mục tiêu, làm hệ thống trở nên quá tải và bị tê liệt. Cách tấn công này ra đời từ lâu, nhưng vẫn là hình thức phổ biến được tội phạm mạng sử dụng do dễ triển khai và khó để lại dấu vết.

Năm 2020, Microsoft và các đối tác tại 35 quốc gia từng đánh sập mạng botnet phát tán mã độc Necurs, lây nhiễm khoảng 9 triệu máy tính toàn cầu. Năm 2021, Google ghi nhận cuộc tấn công từ chối dịch vụ lớn nhất lịch sử kéo dài 69 phút, với đỉnh điểm 46 triệu yêu cầu mỗi giây - con số cao nhất tính đến khi đó. Cuối năm ngoái, nhóm công ty Internet hàng đầu gồm Google, Amazon và Cloudflare cũng phát hiện loạt tấn công DDoS với quy mô gấp gần chục lần kỷ lục bị chặn năm 2022.

Theo các chuyên gia, với sự phổ biến của 5G và IoT, kẻ tấn công có thể kiểm soát hàng triệu bộ định tuyến, camera an ninh... và tạo ra các mạng botnet lớn để thực hiện DDoS nhiều hơn trong tương lai.