Không có bằng chứng về bất kỳ cuộc xâm nhập nào đã sử dụng các lỗ hổng này. Nhưng sự tồn tại của chúng trong phần mềm liên lạc dữ liệu trung tâm cho các thiết bị kết nối Internet được Cơ quan An ninh mạng và an ninh hạ tầng Mỹ (CISA) chỉ ra.
Trong một báo cáo ngày 8/12 của Công ty an ninh mạng Forescout Technologies, các thiết bị có thể bị ảnh hưởng đến từ khoảng 150 nhà sản xuất, từ nhiệt kế nối mạng đến phích cắm và máy in “thông minh”, bộ định tuyến văn phòng và thiết bị chăm sóc sức khỏe cho đến các thành phần của hệ thống điều khiển công nghiệp. Trong đó, các camera và cảm biến nhiệt độ điều khiển từ xa nằm trong số những thiết bị dễ bị tấn công nhất.
Awais Rashid, một nhà khoa học máy tính tại Đại học Bristol, Anh, người đã xem xét các phát hiện của Forescout, cho biết trong trường hợp xấu nhất, các hệ thống kiểm soát giúp “các dịch vụ quan trọng đối với xã hội” hoạt động như nước, điện và quản lý tòa nhà tự động có thể bị tê liệt.
Trong văn bản khuyến cáo, CISA gợi ý các biện pháp phòng vệ để giảm thiểu nguy cơ bị tin tặc tấn công. Cụ thể, hệ thống kiểm soát công nghiệp không nên cho phép truy cập từ Internet và cần cô lập khỏi mạng doanh nghiệp.
Các khám phá này nhấn mạnh vào mối nguy mà những chuyên gia an ninh mạng vẫn thường bắt gặp, bởi các thiết bị kết nối Internet không được quan tâm nhiều về mặt an ninh, bảo mật. Rashid nhấn mạnh lập trình cẩu thả của các nhà phát triển là vấn đề chính trong trường hợp này.
Việc giải quyết vấn đề được ước tính ảnh hưởng đến hàng triệu thiết bị đặc biệt phức tạp vì chúng nằm trong cái gọi là phần mềm, mã nguồn mở được phân phối tự do để sử dụng và sửa đổi thêm. Trong trường hợp này, vấn đề liên quan đến phần mềm Internet cơ bản quản lý thông tin liên lạc qua công nghệ gọi là TCP/IP.
Elisa Costante, Phó Chủ tịch nghiên cứu của Forescout Technologies cho biết việc sửa chữa các lỗ hổng trong các thiết bị bị ảnh hưởng là đặc biệt phức tạp vì phần mềm nguồn mở không thuộc sở hữu của bất kỳ ai. Mã như vậy thường được duy trì bởi các tình nguyện viên. Một số mã TCP/IP dễ bị tấn công đã có tuổi đời kéo dài hai thập kỷ. Một số trong số đó không còn được hỗ trợ.
Việc “vá” các lỗ hổng này là tùy thuộc vào các nhà sản xuất thiết bị và một số có thể không bận tâm vì thời gian và chi phí cần thiết cho công việc. Một số mã bị xâm phạm được nhúng trong một thành phần từ một nhà cung cấp - và nếu không ai ghi lại điều đó, thậm chí không ai có thể biết nó ở đó.
Các nhà nghiên cứu cho biết, nếu không được khắc phục, các lỗ hổng này có thể khiến các mạng công ty đứng trước nguy cơ bị tê liệt trong các cuộc tấn công từ chối dịch vụ, phân phối ransomware hoặc phần mềm độc hại chiếm quyền điều khiển thiết bị và sử dụng chúng trong các botnet zombie.
Đặc biệt, vì rất nhiều người đang làm việc tại nhà trong mùa dịch Covid-19 nên mạng ở nhà cũng có thể bị xâm nhập và lợi dụng như một kênh trung gian tấn công vào mạng doanh nghiệp, thông qua các kết nối truy cập từ xa.
Forescout Technologies thông báo cho nhiều nhà cung cấp nhất có thể về các lỗ hổng bảo mật mà họ đặt tên là AMNESIA: 33. Nhưng không thể xác định tất cả các thiết bị bị ảnh hưởng. Công ty cũng cảnh báo các cơ quan an ninh máy tính của Hoa Kỳ, Đức và Nhật Bản.
