Phân tích kỹ thuật: Chiến dịch đánh cắp dữ liệu thuế tại Pháp qua tài khoản nhân viên

• Tóm tắt sự cố: Kẻ tấn công đã khai thác thông tin đăng nhập bị đánh cắp từ nhân viên DGFIP để truy cập trái phép vào hệ thống E-Contact, dẫn đến rò rỉ dữ liệu của hơn 350.000 cá nhân và 250.000 doanh nghiệp.
• Nguyên nhân gốc rễ: Thiếu xác thực đa yếu tố (MFA), phân tách mạng kém giữa các hệ thống chính phủ và sự giám sát lỏng lẻo của SOC đối với các cổng thông tin nhạy cảm.
• Phương thức tấn công: Sử dụng Infostealer để thu thập mật khẩu, kết hợp kỹ thuật scraping dữ liệu tự động qua các cổng PIGP và ADER.
• Khuyến nghị: Triển khai MFA cứng, giám sát SIEM tập trung và hạn chế quyền truy cập từ thiết bị cá nhân vào tài nguyên nội bộ.

1. Bối cảnh và Tổng quan sự cố

Vào tháng 6 và tháng 7, cơ quan quản lý thuế của Pháp (DGFIP) đã trở thành mục tiêu của một chiến dịch tấn công mạng nghiêm trọng. Kẻ tấn công đã lợi dụng thông tin đăng nhập của nhân viên để truy cập vào hệ thống E-Contact, đánh cắp dữ liệu nhạy cảm của hàng trăm nghìn người nộp thuế. Sự cố này không chỉ phơi bày những lỗ hổng trong quy trình bảo mật nội bộ mà còn cho thấy sự thiếu hụt trong khả năng phát hiện sớm các hành vi bất thường của hệ thống giám sát (SOC).

Theo báo cáo từ cơ quan an ninh mạng quốc gia Pháp (ANSSI), cuộc tấn công không đòi hỏi kỹ thuật quá phức tạp nhưng lại đạt hiệu quả cao do sự kết hợp giữa mật khẩu yếu, mạng nội bộ không được phân tách (network segmentation) và thiếu các cơ chế kiểm soát truy cập chặt chẽ.

2. Phân tích Kỹ thuật và Chuỗi tấn công (Kill Chain)

Dựa trên khung MITRE ATT&CK, chiến dịch này có thể được phân tích qua các giai đoạn chính sau:

• Initial Access (T1190/T1566): Kẻ tấn công sử dụng các thông tin đăng nhập bị đánh cắp bởi mã độc Infostealer từ các thiết bị cá nhân của nhân viên. Các thông tin này sau đó được sử dụng để truy cập vào cổng thông tin PIGP và ADER.
• Lateral Movement (T1021): Kẻ tấn công di chuyển từ các hệ thống bị xâm nhập của Bộ Giáo dục Pháp sang mạng RIE (Réseau Interministériel de l'État), từ đó tiếp cận các ứng dụng nhạy cảm của DGFIP do thiếu sự phân tách mạng (Network Segmentation).
• Collection & Exfiltration (T1059/T1110): Sử dụng các công cụ scraping tự động để trích xuất dữ liệu theo từng trang từ hệ thống E-Contact. Dữ liệu bị đánh cắp bao gồm mã số thuế, thông tin liên lạc, tình trạng gia đình và chi tiết các trao đổi với cơ quan thuế.

3. Dấu hiệu nhận biết và Bảng chỉ số IOCs

Việc phát hiện sớm các hành vi này đòi hỏi sự giám sát chặt chẽ đối với các luồng truy cập bất thường. Dưới đây là các chỉ số cần lưu ý:

4. Hướng dẫn Phát hiện (Threat Hunting)

Để phát hiện các hành vi tương tự trong tương lai, các đội ngũ SOC cần thiết lập các quy tắc giám sát dựa trên hành vi (Behavioral Analytics) trong SIEM:

# Ví dụ truy vấn KQL để phát hiện scraping dữ liệu bất thường: 

SecurityEvent | where EventID == 4624 | summarize RequestCount = count() by IpAddress, bin(TimeGenerated, 1h) | where RequestCount > 500

Ngoài ra, cần giám sát chặt chẽ các kết nối từ dải IP của các đối tác bên thứ ba và thiết lập cảnh báo khi có sự gia tăng đột biến về lưu lượng dữ liệu (Data Volume) được truyền tải từ các ứng dụng kinh doanh.

5. Biện pháp Khắc phục và Khuyến nghị Phòng thủ

⚠️ Cảnh báo quan trọng: Việc chỉ sử dụng mật khẩu đơn thuần là không đủ. Mọi ứng dụng truy cập từ xa phải được bảo vệ bằng xác thực đa yếu tố (MFA) sử dụng thiết bị phần cứng hoặc ứng dụng xác thực (Authenticator App).

Để tăng cường khả năng phòng thủ, các tổ chức cần thực hiện các bước sau:

• Triển khai MFA cứng: Loại bỏ xác thực qua email hoặc SMS, thay thế bằng token phần cứng hoặc ứng dụng xác thực trên thiết bị riêng biệt.
• Phân tách mạng (Network Segmentation): Đảm bảo các ứng dụng nhạy cảm được cô lập hoàn toàn khỏi các mạng dùng chung (như RIE) để ngăn chặn di chuyển ngang (Lateral Movement).
• Giám sát tập trung: Tích hợp log của tất cả các ứng dụng kinh doanh vào hệ thống SIEM và thiết lập ngưỡng cảnh báo (threshold) cho số lượng bản ghi được truy cập trong một khoảng thời gian.
• Chính sách thiết bị: Cấm truy cập vào tài nguyên công việc từ các thiết bị cá nhân không được quản lý (BYOD không kiểm soát).
• Quy trình phản ứng: Khi phát hiện tài khoản bị xâm nhập, cần thực hiện thu hồi toàn bộ phiên làm việc (session revocation) trên tất cả các ứng dụng thay vì chỉ đổi mật khẩu.

Việc tuân thủ các tiêu chuẩn bảo mật như Zero Trust Maturity Model của CISA là cần thiết để giảm thiểu rủi ro từ các cuộc tấn công dựa trên danh tính trong tương lai.