Meta, công ty sở hữu Instagram, Facebook và WhatsApp, thông báo rằng họ đã khắc phục một lỗ hổng bảo mật nghiêm trọng trong trợ lý hỗ trợ sử dụng trí tuệ nhân tạo (Meta AI Support Assistant) của mình.
Lỗ hổng này, theo hãng thống tấn Anadolu của Thổ Nhĩ Kỳ ngày 2/6, cho phép tin tặc vượt qua các cơ chế bảo mật và chiếm quyền kiểm soát các tài khoản Instagram cao cấp.
Trong một thông báo trên nền tảng mạng xã hội X có trụ sở tại Mỹ hôm 2/6, ông Andy Stone, quan chức truyền thông của Meta, cho biết: “Vấn đề này đã được giải quyết và chúng tôi đang bảo vệ các tài khoản bị ảnh hưởng”.
Lỗ hổng nghiêm trọng này, vốn được lan truyền trên các kênh Telegram trước khi bị phơi bày trên nền tảng mạng xã hội X, cho phép các đối tượng xấu chiếm đoạt tài khoản mà không cần truy cập vào địa chỉ email hoặc số điện thoại của nạn nhân.
Theo một báo cáo hôm thứ Hai (1/6) của hãng tin giải trí TMZ, tài khoản Instagram chính thức của Nhà Trắng liên quan đến cựu Tổng thống Mỹ Barack Obama cũng đã bị tin tặc xâm nhập.
Vụ xâm nhập được phát hiện vào ngày 31/5 sau khi một số bài đăng bất thường xuất hiện trên tài khoản này.
Hình thức khai thác lỗ hổng yêu cầu kẻ tấn công sử dụng mạng riêng ảo (VPN) để khớp vị trí địa lý với người dùng mục tiêu, qua đó vượt qua các cơ chế bảo vệ tự động theo khu vực.
Sau đó, đối tượng tấn công kích hoạt chức năng đặt lại mật khẩu để mở một cửa sổ trò chuyện với trợ lý hỗ trợ sử dụng trí tuệ nhân tạo, công cụ được Meta triển khai trên toàn cầu hồi đầu năm nay nhằm tự động hóa việc khôi phục tài khoản và hỗ trợ kỹ thuật.
Tin tặc chỉ cần yêu cầu hệ thống tự động thay đổi địa chỉ email đã đăng ký của tài khoản mục tiêu sang địa chỉ email do chúng kiểm soát. Chatbot sau đó sẽ gửi một mã xác minh gồm 8 chữ số cho kẻ tấn công.
Sau khi nhập lại mã này vào giao diện trò chuyện, hệ thống sẽ tạo một liên kết đặt lại mật khẩu, cho phép kẻ tấn công thiết lập mật khẩu mới và khóa chủ sở hữu hợp pháp khỏi tài khoản.
Chiến dịch tấn công mạng này đã xâm phạm một số tài khoản nổi tiếng trong cuối tuần qua, bao gồm tài khoản Nhà Trắng thời Obama đã ngừng hoạt động, nhà bán lẻ mỹ phẩm toàn cầu Sephora và tài khoản cá nhân của ông John Bentivegna, một quan chức cao cấp thuộc Lực lượng Không gian Mỹ.
Tài khoản Nhà Trắng thời Tổng thống Obama bị xâm nhập, vốn không có hoạt động nào kể từ năm 2017, đã bị chỉnh sửa tạm thời bằng các hình ảnh và thông điệp ủng hộ Iran trước khi Meta can thiệp.
Sự cố của Meta cho thấy một hệ thống AI có thể tạo ra giá trị lớn nhưng cũng trở thành điểm xâm nhập mới nếu an ninh không được tích hợp ngay từ thiết kế, qua đó đặt ra bài toán trực tiếp đối với Việt Nam khi AI được xác định là một trong những công nghệ chiến lược cần ưu tiên phát triển.
Đối với Việt Nam, bài học từ sự cố của Meta cho thấy thực hiện Nghị quyết số 57-NQ/TW ngày 22/12/2024 của Bộ Chính trị về đột phá phát triển khoa học, công nghệ, đổi mới sáng tạo và chuyển đổi số quốc gia trong lĩnh vực AI phải đồng thời giải quyết hai yêu cầu: thúc đẩy nhanh ứng dụng, làm chủ công nghệ và thiết lập an ninh, an toàn như một tiêu chí bắt buộc ngay từ khâu thiết kế, thử nghiệm đến vận hành sản phẩm.
Nghị quyết 57 xác định AI là công nghệ chiến lược cần từng bước làm chủ, nhưng đồng thời coi bảo đảm an ninh mạng, an ninh dữ liệu và an toàn thông tin của tổ chức, cá nhân là yêu cầu xuyên suốt, không thể tách rời quá trình phát triển khoa học, công nghệ, đổi mới sáng tạo và chuyển đổi số.
Thông báo số 24-TB/CQTTBCĐ kết luận của đồng chí Tổng Bí thư, Chủ tịch nước Tô Lâm tại Hội nghị toàn quốc sơ kết 1 năm 6 tháng triển khai thực hiện Nghị quyết số 57-NQ/TW cụ thể hóa yêu cầu này khi nhấn mạnh không đánh đổi an ninh, an toàn để lấy phát triển, nhưng cũng không vì lo ngại rủi ro mà làm chậm đổi mới sáng tạo, đồng thời yêu cầu mọi hệ thống số, cơ sở dữ liệu và nền tảng số phải được thiết kế, xây dựng và vận hành bảo đảm an ninh, an toàn ngay từ đầu.
Vì vậy, các chương trình AI của Việt Nam, nhất là AI phục vụ dịch vụ công, tài chính, y tế, giáo dục, hạ tầng thiết yếu hoặc xử lý dữ liệu cá nhân, cần đưa kiểm thử an ninh, kiểm soát quyền truy cập, bảo vệ dữ liệu và cơ chế ứng phó sự cố thành tiêu chí nghiệm thu sản phẩm, thay vì bổ sung sau khi hệ thống đã vận hành.
Cách tiếp cận này cũng phù hợp với yêu cầu của Thông báo 24 về chuyển mạnh sang sản phẩm thực tế, bởi một sản phẩm AI chỉ có thể được coi là tạo ra hiệu quả bền vững khi vừa có người dùng, hiệu quả đo đếm được, vừa bảo đảm an ninh và an toàn trong vận hành.
