Điểm chính

  • Bot bảo mật Double Counter trên nền tảng Discord vừa vướng phải sự cố lộ dữ liệu nghiêm trọng, ảnh hưởng đến khoảng 28 triệu tài khoản người dùng.
  • Kẻ tấn công đã khai thác lỗ hổng trên một máy chủ Metabase cũ để leo thang đặc quyền và xâm nhập vào hệ thống đám mây.
  • Nhiều loại dữ liệu quan trọng như ID Discord, địa chỉ IP, email và thông tin tài chính đã bị đánh cắp trong cuộc tấn công này.

Bot bảo mật phổ biến trên Discord mang tên Double Counter đã trở thành nạn nhân trong một vụ tấn công hạ tầng có chủ đích, làm rò rỉ thông tin cá nhân của hàng triệu người dùng và dấy lên hồi chuông cảnh báo về an ninh mạng.

Chi tiết về chuỗi tấn công và kỹ thuật khai thác

Cuộc tấn công bắt nguồn từ một máy chủ OVH không còn sử dụng nhưng vẫn tồn tại trong hạ tầng của Double Counter. Dù đã ngắt kết nối khỏi mạng chính, máy chủ này vẫn duy trì một phiên bản Metabase analytics có thể truy cập từ internet. Kẻ xấu đã lợi dụng lỗ hổng sẵn có để giả mạo phiên làm việc của quản trị viên và xâm nhập vào hệ thống.

Sau khi có được chỗ đứng ban đầu, kẻ tấn công tiến hành leo thang đặc quyền và di chuyển ngang trong môi trường đám mây. Chúng tìm thấy khóa tài khoản dịch vụ có quyền quản trị và phiên làm việc CLI đã lưu, sau đó thêm khóa SSH mới để duy trì truy cập. Dữ liệu cơ sở dữ liệu được xuất ra một storage bucket mới, đồng thời token của bot cũng bị đánh cắp để thực hiện các hành vi phá hoại như đảo ngược lệnh cấm và phát tán lời mời tham gia máy chủ.

Thống kê mức độ thiệt hại dữ liệu

Sự cố này đã gây ra ảnh hưởng lớn với quy mô dữ liệu bị lộ bao gồm: khoảng 28 triệu ID và tên người dùng Discord; 27 triệu địa chỉ IP cùng dữ liệu vị trí địa lý thô; 25 triệu user-agent hashes; 1 triệu địa chỉ email; và gây thất thoát tài chính thông qua hành vi gian lận thẻ công ty.

Khuyến nghị phòng thủ và khắc phục sự cố

Nhằm đối phó với các nguy cơ tương tự, các tổ chức buộc phải tuân thủ nghiêm ngặt quy trình quản lý hạ tầng và kiểm soát truy cập. Việc để sót các máy chủ cũ hoặc dịch vụ chưa được vá lỗi là lỗ hổng chí mạng. Quản trị viên hệ thống cần rà soát nhật ký kiểm toán và loại bỏ các liên kết mời bot đáng ngờ, trong khi người dùng cần cảnh giác trước các thủ đoạn lừa đảo.

Các biện pháp tăng cường bảo mật hệ thống bao gồm: loại bỏ hoàn toàn tài sản cũ không còn dùng đến; quản lý chặt chẽ thông tin nhạy cảm và không lưu trữ khóa API trên máy chủ công cộng; triển khai giám sát truy cập thời gian thực; và áp dụng phân đoạn mạng kết hợp xác thực đa yếu tố cho các dịch vụ quản trị.