Mối nguy từ việc vứt smartphone hỏng vào sọt rác

[june04]

Bỏ smartphone, máy tính hỏng ra bãi rác hoặc bán đồ cũ mà không xóa dữ liệu có thể tạo điều kiện cho kẻ gian đánh cắp thông tin.

"Những thứ tìm thấy trên các thiết bị số bỏ đi kinh khủng hơn những gì bạn có thể tưởng tượng", Kurt Gruber, nhà sáng lập và CEO công ty an toàn mạng WV Technologies ở Australia, nói.

Kết luận trên được đưa ra sau khi WV và công ty tư vấn PwC thực hiện nghiên cứu về rác thải điện tử. Rob Di Pietro, tác giả chính của nghiên cứu, đã mua một smartphone và một máy tính bảng với giá chưa đến 50 USD tại một cửa hàng đồ cũ với mục đích xem có những dữ liệu gì bên trong.

"Kết quả gây sốc với tôi", Pietro nói với NCA NewsWire.

Cụ thể, nhóm nghiên cứu truy xuất 65 mẩu thông tin nhận dạng cá nhân (PII) từ điện thoại. Trên máy tính bảng vốn đang dán nhãn của một công ty, nhóm cũng lấy được thông tin đăng nhập cho phép truy cập vào cơ sở dữ liệu của 20 triệu bản ghi PII nhạy cảm khác.

"Vấn đề lớn hơn nhiều so với chúng ta có thể nhận ra trong thời đại kỹ thuật số hiện nay", Pietro cho biết. "Chúng tôi đã sốc khi nhiều người để lại dữ liệu nhạy cảm nhất của mình ở nơi dễ thấy nhất".

Theo News.com.au, chỉ riêng Australia, hàng nghìn tấn rác điện tử được thải ra mỗi năm, nhưng chỉ 10% trong số đó được xử lý. Trên toàn cầu, loại rác này cũng tăng lên nhanh chóng và sẽ vượt quá 70 triệu tấn mỗi năm vào năm 2030.

Không chỉ người dùng thông thường, các doanh nghiệp, tổ chức tư nhân và chính phủ cũng không xử lý triệt để dữ liệu trước khi loại bỏ thiết bị công nghệ. "Chúng tôi đã tìm thấy khóa mạng trên một số thiết bị điện tử của một tiểu bang tại một cửa hàng bán đấu giá đồ cũ", Gruber cho biết sau khi phân tích một số ổ cứng bị vứt đi. "Sau đó, chúng tôi tìm thấy hàng loạt thông tin cá nhân, gồm hồ sơ y tế đầy đủ của nhân viên chính phủ, dữ liệu nhân thân, thậm chí là hình ảnh nhạy cảm từ các ca phẫu thuật".

WV Technologies còn phát hiện file Excel chứa tên, địa chỉ, số điện thoại và chi tiết thẻ tín dụng của khách hàng. Dữ liệu có được sau khi công ty mua một số ổ cứng bỏ đi từ hàng chục cửa hàng của một chuỗi bán lẻ tại Australia.

Theo ước tính của WV Technologies, cứ 250 ổ cứng bị bỏ đi thì có một ổ không được xóa dữ liệu đúng cách. "Điều đó đang góp phần tạo cơ hội cho tội phạm mạng", Gruber nói. "Rất có thể các cuộc tấn công mạng được thực hiện theo con đường thiết bị cũ, bởi đó là điểm ít kháng cự nhất. Thay vì gặp rắc rối khi xâm nhập vào hệ thống để đánh cắp danh tính, chúng có thể bỏ 20-30 USD mua đồ điện tử vứt đi".

Thực tế, một số công ty đã thiệt hại hàng tỷ USD vì không hủy dữ liệu đúng cách. Tháng 9 năm ngoái, Ủy ban Chứng khoán và Giao dịch Mỹ (SEC) đã phạt ngân hàng Morgan Stanley 35 triệu USD vì lỗi "đáng kinh ngạc" trong việc bảo vệ dữ liệu khách hàng. Trong đó, ngân hàng bán các máy chủ và ổ cứng ngừng hoạt động mà không xóa sạch dữ liệu bên trong đúng cách. Năm 2020, Morgan Stanley cũng bị phạt 60 triệu USD và bị kiện tập thể với khoản bồi thường tương tự. Một số ổ cứng chứa dữ liệu ngân hàng sau đó bị bán đấu giá trực tuyến.

Theo giới chuyên gia, nhiều tổ chức và cá nhân sẵn sàng bỏ hàng triệu USD để xây dựng hệ thống chống hack, nhưng lại chi ít tiền cho việc hủy bỏ hoặc tái chế rác thải điện tử đúng cách. Điều này do công đoạn xóa tốn thời gian và tiền bạc không kém. Các công ty thường chọn giải pháp đơn giản là nghiền nhỏ hoặc vứt bỏ thiết bị thay vì tái chế chúng.

Trước đó, Russ Ernst, Phó giám đốc mảng sản phẩm và công nghệ của công ty bảo vệ dữ liệu Blannco, cũng cảnh báo việc xóa dữ liệu trên smartphone có thể không loại bỏ mọi thứ hoàn toàn, kể cả khôi phục cài đặt gốc (factory reset). Theo ông, smartphone chứa tin nhắn, email, thông tin tài khoản ngân hàng cùng nhiều dữ liệu nhạy cảm khác, như địa điểm GPS. Việc khôi phục cài đặt gốc chỉ là một trong ba bước để bảo vệ dữ liệu toàn diện trước khi bán lại thiết bị cho ai đó. Bởi "factory reset' chỉ đơn giản là xóa đường dẫn tới các thư mục chứa dữ liệu trên thiết bị chứ không tiêu hủy toàn bộ.

Để xóa hoàn toàn trên điện thoại, Ernst khuyến nghị người dùng thực hiện ba bước: xóa dữ liệu, xác thực dữ liệu đã bị xóa và nhận báo cáo về thao tác thành công. Đối với ổ cứng và các thiết bị lưu trữ khác, người dùng có thể tìm đến các dịch vụ chuyên nghiệp.