Hàng loạt website bị rò rỉ dữ liệu do lỗ hổng của Cloudflare

Một lỗi bảo mật của Cloudflare đã khiến rất nhiều website lớn nhỏ như Uber, Fitbit hay OkCupid… phải lao đao khi có nguy cơ lộ tài khoản và mật khẩu người dùng.

Cloudflare là một công ty chuyên về vấn đề bảo mật và tối ưu nội dung trên Internet, đồng thời cung cấp dịch vụ cho hàng loạt website lớn trên thế giới. Lỗi trong hệ thống của Cloudflare vừa được phát hiện có khả năng làm rò rỉ dữ liệu nhạy cảm như các bản ghi chứa thông tin riêng tư như tên đăng nhập, mật khẩu,… được lưu vào bộ nhớ đệm (cache) của các công cụ tìm kiếm và thậm chí là các tin nhắn và  khóa API.

lo hong bao mat cloudflare

Lỗ hổng bảo mật không chỉ làm giảm uy tín công ty mà còn đe dọa tới độ an toàn thông tin người dùng qua các trang website hợp tác với Cloudflare

Lỗ hổng này xuất phát từ một công cụ của chính CloudFlare đang được sử dụng rộng rãi để quản lý và bảo vệ các lưu lượng Internet cho các trang web khỏi bị lây nhiễm mã độc. Được biết, có khoảng 3.400 website bị mất an toàn thông tin trong tai nạn lần này. Đây đều là các khách hàng của CloudFlare.

Người phát hiện ra lỗ hổng nghiêm trọng trên không phải đến từ công ty mà do nhà nghiên cứu bảo mật Tavis Ormandy của Google.

Theo Ormandy, ông đã tìm thấy “các tin nhắn từ những trang web hẹn hò lớn, thậm chí là nội dung đầy đủ của các tin nhắn từ một dịch vụ chat nổi tiếng, các dữ liệu quản lý mật khẩu trực tuyến, các dữ liệu riêng tư từ các trang video “người lớn” và cả các thông tin đặt phòng khách sạn”.

Sự cố bảo mật trên tạm được gọi với tên Cloudbleed, gợi nhớ đến lỗ hổng bảo mật “Trái tim rỉ máu” (Heartbleed) nghiêm trọng không kém trước đó. Heartbleed là một lỗ hổng trong giao thức web phổ biến vốn liên quan tới các lưu lượng thông tin Internet nhạy cảm. Lần rò rỉ dữ liệu này của Cloudflare “may mắn” hơn khi được phát hiện sớm và chỉ sau 7 giờ đã được khắc phục. Hiện tại, Cloudflare đang trong quá trình liên hệ với các bộ phận quản lý bộ máy tìm kiếm để gỡ bỏ các dữ liệu lỗi. Trong khi đó, lỗ hổng “Trái tim rỉ máu” đã tồn tại nhiều năm và chỉ bị phát hiện vào năm 2014.

Khoảng 10.000 website của Việt Nam cũng nằm trong danh sách bị ảnh hưởng bởi Cloudbleed, đây là con số được đưa ra bởi công ty bảo mật Alvasky, trong đó phần lớn là những trang sử dụng tên miền dành cho cơ quan giáo dục, các doanh nghiệp.

Leave a Reply