Bao giờ bạn mới nhận ra rằng thông tin cá nhân của mình có thể bị lộ chỉ vì đăng ký học một khóa học trực tuyến? Công ty công nghệ giáo dục Infrastructure vừa trở thành nạn nhân của một cuộc tấn công mạng nghiêm trọng. Hacker đã xâm nhập thành công vào hệ thống của họ và đánh cắp thông tin cá nhân của hàng nghìn sinh viên tại các cơ sở giáo dục. Vụ việc một lần nữa cho thấy sự dễ tổn thương đáng báo động của ngành giáo dục trước các mối đe dọa an ninh mạng.

Thảm họa an ninh mạng trong lĩnh vực giáo dục

Steve Proud, giám đốc an ninh thông tin (CISO - Chief Information Security Officer) của Infrastructure, đã xác nhận vào thứ Bảy rằng tin tặc đã thành công trong việc truy cập trái phép vào cơ sở dữ liệu của công ty. Theo ông Proud, những thông tin bị đánh cắp bao gồm họ tên đầy đủ, địa chỉ email, mã số sinh viên và thậm chí cả các tin nhắn trao đổi giữa người dùng trên nền tảng. Đây không chỉ là một vụ rò rỉ dữ liệu thông thường mà còn có thể ảnh hưởng đến quyền riêng tư và an toàn của hàng nghìn sinh viên.

Chúng tôi nhận thấy rằng việc Infrastructure phải đến tận thứ Bảy mới công bố thông tin về vụ tấn công này đặt ra câu hỏi về thời gian phát hiện và ứng phó của công ty. Trong lĩnh vực an ninh mạng, thời gian phát hiện và thông báo sự cố (Time to Detection - TTD) là yếu tố quyết định mức độ thiệt hại. Việc trì hoãn công bố có thể khiến sinh viên và các cơ sở giáo dục không kịp thời thực hiện các biện pháp bảo vệ cần thiết.

Ngành giáo dục - mục tiêu béo bở của tin tặc

Các cơ sở giáo dục ngày càng trở thành mục tiêu hấp dẫn đối với tội phạm mạng vì một lý do đơn giản: họ lưu trữ lượng lớn dữ liệu cá nhân có giá trị cao nhưng thường có hệ thống bảo mật lỏng lẻo. Data breach (rò rỉ dữ liệu) trong ngành giáo dục đã tăng 15% so với năm trước, theo báo cáo của các chuyên gia bảo mật quốc tế. Thông tin sinh viên như mã số, email giáo dục và dữ liệu học tập có thể được bán trên dark web với giá từ 10-50 USD mỗi hồ sơ.

Vụ tấn công vào Infrastructure nhắc nhở chúng ta về những vụ việc tương tự trước đây, như vụ hack vào Blackbaud năm 2020 ảnh hưởng đến hàng trăm trường đại học toàn cầu. Điều đáng lo ngại là các công ty công nghệ giáo dục như Infrastructure thường kết nối với nhiều cơ sở giáo dục khác nhau, tạo ra hiệu ứng domino khi bị tấn công. Chúng tôi cho rằng đây chính là lý do vì sao tin tặc nhắm đến những "trung gian" này thay vì tấn công trực tiếp từng trường học.

Tác động lan tỏa từ một cuộc tấn công

Thông tin bị đánh cắp từ Infrastructure không chỉ gây rủi ro trực tiếp cho sinh viên mà còn có thể dẫn đến các cuộc tấn công phishing (lừa đảo qua email) có độ chính xác cao. Với họ tên thật, email và mã số sinh viên, tin tặc có thể dễ dàng tạo ra những email lừa đảo cực kỳ thuyết phục nhắm vào từng cá nhân cụ thể - đây được gọi là spear phishing. Những tin nhắn riêng tư bị lộ còn có thể bị sử dụng để tống tiền hoặc làm tổn hại danh tiếng của sinh viên.

Tại Việt Nam, mặc dù Infrastructure có thể chưa có nhiều đối tác, nhưng xu hướng số hóa giáo dục đang tăng mạnh sau đại dịch COVID-19 khiến chúng ta cần rút kinh nghiệm từ vụ việc này. Theo thống kê của Bộ Giáo dục và Đào tạo, có hơn 80% các trường đại học trong nước đã triển khai hệ thống học tập trực tuyến, nhưng chỉ có 30% đầu tư đầy đủ cho an ninh mạng.

Hành động ngay để bảo vệ bản thân

Nếu bạn đang sử dụng các nền tảng giáo dục trực tuyến, hãy thực hiện ngay các bước sau để bảo vệ mình. Đầu tiên, thay đổi mật khẩu cho tất cả tài khoản giáo dục và kích hoạt xác thực hai yếu tố (2FA - Two-Factor Authentication) nếu có sẵn. Thứ hai, kiểm tra kỹ các email bạn nhận được, đặc biệt là những email yêu cầu cung cấp thông tin cá nhân hoặc nhấp vào liên kết lạ. Cuối cùng, thường xuyên theo dõi các thông báo bảo mật từ trường học và các nền tảng học tập bạn đang sử dụng.

Đối với các cơ sở giáo dục Việt Nam, chúng tôi khuyến nghị nên thực hiện đánh giá bảo mật định kỳ cho tất cả hệ thống IT và các ứng dụng của bên thứ ba. Việc đầu tư vào giải pháp SIEM (Security Information and Event Management - quản lý thông tin và sự kiện bảo mật) và đào tạo nhân sự về an ninh mạng không còn là lựa chọn mà đã trở thành điều bắt buộc trong thời đại số.