Theo cảnh báo của chuyên gia an ninh mạng Bkav, trong số các hệ thống bị ảnh hưởng, có tới 58% thuộc lĩnh vực tài chính, 21% thuộc lĩnh vực dầu khí, 11% thuộc lĩnh vực công nghiệp, hàng tiêu dùng, 5% thuộc lĩnh vực công nghệ, viễn thông và 5% thuộc lĩnh vực vận tải, du lịch.
DROWN, lỗ hổng nghiêm trọng trong OpenSSL được miêu tả như một cuộc tấn công chi phí thấp có thể giải mã các liên lạc HTTPS an toàn, nhạy cảm, bao gồm mật khẩu và thông tin thẻ tín dụng chỉ trong vài giờ, hoặc gần như ngay lập tức trong một số trường hợp.
Khai thác lỗ hổng DROWN, tội phạm mạng có thể lấy được các thông nhạy cảm của người dùng như mật khẩu, thông tin cá nhân, tài khoản ngân hàng, truy cập hộp thư hoặc xâm nhập trái phép vào mạng nội bộ của cơ quan.
Bkav đã gửi cảnh báo đến các đơn vị bị ảnh hưởng và hướng dẫn cách khắc phục lỗ hổng, đảm bảo an toàn thông tin cho khách hàng.
 |
DROWN là viết tắt của "Decrypting RSA with Obsolete and Weakened eNcryption - Giải mã RSA có mã hóa cũ và yếu". Lỗ hổng DROWN khai thác điểm yếu của giao thức SSLv2, ảnh hưởng tới các kết nối có mã hóa như HTTPS và các dịch vụ khác dựa trên giao thức SSL và TLS. Đây là các giao thức được dùng để mã hóa dữ liệu trong các dịch vụ như ebanking, thương mại điện tử…, đồng thời cũng được nhiều cơ quan sử dụng để cho phép nhân viên có thể truy cập vào các ứng dụng nội bộ của cơ quan, làm việc từ xa qua Internet.
Trong khi các phiên bản mới nhất không mặc định kết nối SSLv2, các quản trị đôi khi vô tình ghi đè lên các thiết lập này để tối ưu hóa các ứng dụng.
Các nhà nghiên cứu lưu ý, người dùng có nguy cơ bị tấn công nếu certificate (chứng chỉ) hoặc key (khóa) trang web của bạn được sử dụng đâu đó trên server có hỗ trợ SSLv2.
