Cảnh báo nguy cơ mất an toàn thông tin từ thiết bị IoT

Thiết bị IoT như camera IP, khóa cửa thông minh, loa thông minh, máy in mạng hay cảm biến công nghiệp mang lại tiện lợi, nhưng nhiều thiết bị được thiết kế với ưu tiên giá rẻ và dễ cài đặt hơn là bảo mật. Mật khẩu mặc định, phần mềm hiếm khi được cập nhật và kết nối thẳng ra Internet khiến chúng trở thành điểm yếu dễ bị khai thác. Bài viết điểm qua các nguy cơ chính và cách giảm rủi ro cho cả gia đình lẫn doanh nghiệp.

Vì sao IoT là điểm yếu bảo mật

• Mật khẩu mặc định: nhiều thiết bị xuất xưởng với tên đăng nhập và mật khẩu giống nhau cho mọi sản phẩm. Người dùng thường không đổi.
• Firmware lỗi thời: nhà sản xuất có thể ngừng phát hành bản vá sau một thời gian, hoặc người dùng không bao giờ cập nhật.
• Dịch vụ mở không cần thiết: Telnet, giao diện quản trị web, cổng gỡ lỗi để mở ra mạng.
• Tính năng truy cập từ xa tự động: một số thiết bị tự mở cổng trên router qua UPnP để truy cập từ Internet.
• Thiếu mã hóa: dữ liệu truyền đi dạng rõ, có thể bị nghe lén trong mạng nội bộ.
• Khó giám sát: không cài được phần mềm chống mã độc, ít nhật ký.

Những kịch bản rủi ro thực tế

Thiết bị bị biến thành một phần của botnet

Mã độc nhắm vào IoT có thể quét Internet tìm thiết bị dùng mật khẩu mặc định, chiếm quyền và biến chúng thành mạng máy tính ma (botnet) để thực hiện tấn công từ chối dịch vụ. Botnet Mirai từng gây chú ý vì sử dụng số lượng lớn camera và thiết bị ghi hình bị chiếm quyền. Chủ thiết bị thường không hề biết.

Camera bị xem trộm

Camera giám sát với mật khẩu yếu hoặc lỗ hổng chưa vá có thể bị truy cập trái phép, làm lộ hình ảnh trong nhà, văn phòng. Đây là rủi ro trực tiếp đến quyền riêng tư. Với webcam máy tính, xem thêm bài bảo vệ webcam và micro.

Bàn đạp xâm nhập mạng nội bộ

Trong doanh nghiệp, thiết bị IoT kết nối cùng mạng với máy tính nhân viên và máy chủ. Nếu kẻ tấn công chiếm được một thiết bị IoT, họ có thể dùng nó làm bàn đạp để dò quét và tấn công các hệ thống khác.

Rò rỉ dữ liệu thu thập

Loa thông minh, thiết bị đeo, cảm biến thu thập nhiều dữ liệu về thói quen, vị trí, sức khỏe. Dữ liệu này có thể được gửi về máy chủ nhà sản xuất, chia sẻ với bên thứ ba hoặc lộ ra nếu dịch vụ đám mây bị xâm phạm.

Bảo vệ thiết bị IoT tại gia đình

1. Đổi mật khẩu mặc định ngay khi cài đặt, dùng mật khẩu riêng cho mỗi thiết bị.
2. Cập nhật firmware: bật cập nhật tự động nếu có, hoặc kiểm tra định kỳ trong ứng dụng.
3. Tách mạng: dùng mạng khách (guest network) của router cho thiết bị IoT, tách khỏi máy tính, điện thoại chứa dữ liệu quan trọng.
4. Tắt UPnP trên router nếu không thật sự cần.
5. Tắt tính năng không dùng: micro, truy cập từ xa, chia sẻ dữ liệu.
6. Chọn thương hiệu có cam kết hỗ trợ cập nhật và chính sách quyền riêng tư rõ ràng.
7. Bảo vệ tài khoản ứng dụng điều khiển bằng mật khẩu mạnh và xác thực hai yếu tố.

Router là cửa ngõ của mọi thiết bị trong nhà.

Quản lý IoT trong doanh nghiệp

Ở môi trường doanh nghiệp, rủi ro lớn hơn vì số lượng thiết bị nhiều và giá trị dữ liệu cao. Các biện pháp chính:

Tường lửa thế hệ mới có thể nhận diện thiết bị và ứng dụng, hỗ trợ kiểm soát lưu lượng IoT chi tiết hơn. Xem bài cơ chế hoạt động của NGFW.

Thiết bị "IoT ngầm"

Nhân viên có thể tự mang thiết bị thông minh vào văn phòng: loa, ổ cắm thông minh, camera mini. Những thiết bị này kết nối vào mạng công ty mà bộ phận IT không biết. Chính sách nên quy định rõ việc kết nối thiết bị cá nhân và cung cấp mạng riêng cho khách và thiết bị cá nhân.

Tiêu chí chọn mua thiết bị IoT an toàn hơn

• Bắt buộc đổi mật khẩu khi thiết lập lần đầu.
• Có chính sách cập nhật bảo mật rõ ràng, công bố thời gian hỗ trợ.
• Hỗ trợ mã hóa kết nối.
• Cho phép hoạt động cục bộ, không bắt buộc kết nối đám mây nếu không cần.
• Có kênh tiếp nhận báo cáo lỗ hổng.
• Chính sách quyền riêng tư minh bạch về dữ liệu thu thập.

Một số quốc gia và khu vực đã ban hành quy định hoặc chương trình dán nhãn an ninh mạng cho thiết bị IoT tiêu dùng, nhằm buộc nhà sản xuất đáp ứng yêu cầu cơ bản như không dùng mật khẩu mặc định chung. Khi mua, có thể tham khảo các nhãn chứng nhận này nếu có.

Dấu hiệu thiết bị IoT có thể đã bị xâm nhập

• Thiết bị chậm bất thường, nóng, khởi động lại liên tục.
• Cài đặt bị thay đổi mà bạn không làm.
• Đèn báo hoạt động camera, micro bật khi không sử dụng.
• Router ghi nhận lưu lượng lớn từ thiết bị.
• Tài khoản ứng dụng có đăng nhập lạ.

Khi nghi ngờ, ngắt thiết bị khỏi mạng, khôi phục cài đặt gốc, cập nhật firmware mới nhất, đổi mật khẩu thiết bị và tài khoản liên quan trước khi kết nối lại.

Kết luận

Mỗi thiết bị thông minh là một máy tính nhỏ kết nối mạng, và cần được đối xử như vậy. Đổi mật khẩu mặc định, cập nhật đều đặn, tách mạng và chỉ bật tính năng cần thiết là những bước đơn giản nhưng loại bỏ phần lớn rủi ro phổ biến. Với doanh nghiệp, kiểm kê và phân đoạn mạng là nền tảng không thể thiếu.