Trao đổi với phóng viên ICTnews, ông Ngô Tuấn Anh, Phó Chủ tịch phụ trách An minh mạng của Tập đoàn BKAV cho biết, hiện tại có hàng trăm hệ thống tại Việt Nam có thể bị tấn công khi tin tặc khai thác lỗ hổng DROWN trên các website sử dụng giao thức HTTPS.

Từ đó, các thông tin quan trọng như mật khẩu, thông tin cá nhân, tài khoản ngân hàng có thể bị lộ. Trong đó, các tổ chức tài chính chiếm số lượng nhiều nhất trong các hệ thống được kiểm tra với 58%. Tiếp đến là nhóm doanh nghiệp dầu khí với 21%. 11% thuộc lĩnh vực công nghiệp, hàng tiêu dùng, 5% thuộc lĩnh vực công nghệ, viễn thông và 5% thuộc lĩnh vực vận tải, du lịch.

Cũng theo ông Ngô Tuấn Anh, “lỗ hổng DROWN khó khai thác hơn lỗ hổng Heartbleed do tin tặc phải đứng giữa kết nối của máy chủ và người dùng. Tuy nhiên, nguy cơ khai thác lỗ hổng để đánh cắp các thông tin của người dùng hoàn toàn có thể xảy ra. Vì vậy, các quản trị hệ thống cần lập tức vô hiệu hóa giao thức SSLv2 (Secure Sockets Layer) để bảo an toàn cho hệ thống”.

Vị Phó Chủ tịch của BKAV cũng nhấn mạnh rằng lỗ hổng trên chỉ tác động đến các hệ thống và các máy chủ của các doanh nghiệp, tổ chức cung cấp dịch vụ tài chính, thương mại điện tử v.v.. Bên cung cấp dịch vụ phải có nhiệm vụ thực hiện các biện pháp đề phòng và vá lổ hổng trên nhằm tránh ảnh hưởng đến quyền lợi của khách hàng. Tuy nhiên, người dùng phổ thông cũng cần cảnh giác, nếu thấy thông tin truy cập vào các dịch vụ mà mình không sử dụng thì cần kiểm tra và báo ngay với đơn vị cung cấp.

Trước đó, vào ngày 2/2, nhiều website bảo mật trên thế giới đã lên tiếng cảnh báo có hơn 11 triệu trang web và dịch vụ email được bảo vệ bởi giao thức SSLv2  và 1/3 trong tổng số các máy chủ đang sử dụng giao thức web HTTPS đang phơi mình trước các cuộc tấn công nhờ lỗ hổng bảo mật này. Trong đó có các website của các hãng lớn như Yahoo, Samsung…

Lỗ hổng DROWN khai thác điểm yếu của giao thức SSLv2, ảnh hưởng tới các kết nối có mã hóa như HTTPS và các dịch vụ khác dựa trên giao thức SSL và TLS. Đây là các giao thức được dùng để mã hóa dữ liệu trong các dịch vụ như ebanking, thương mại điện tử… Đồng thời cũng được nhiều cơ quan sử dụng để cho phép nhân viên có thể truy cập vào các ứng dụng nội bộ của cơ quan, làm việc từ xa qua Internet.

Khai thác lỗ hổng DROWN, tội phạm mạng có thể lấy được các thông tin nhạy cảm của người dùng như mật khẩu, thông tin cá nhân, tài khoản ngân hàng, truy cập hộp thư hoặc xâm nhập trái phép vào mạng nội bộ của cơ quan.