Lỗ hổng iPhone được 'thu mua' giá 7 triệu USD

Minh họa việc tìm lỗ hổng bảo mật trên sản phẩm Apple. Ảnh: 9to5mac

Các công ty như Crowdfense, hay Zerodium thường mua lại lỗ hổng zero-day từ hacker với mục tiêu bán lại cho các tổ chức khác, thường là cơ quan chính phủ hoặc nhà thầu chính phủ - các tổ chức tuyên bố rằng họ cần công cụ hack để theo dõi tội phạm, theo TechCrunch.

Bên bán thường là hacker chuyên phát hiện lỗi bảo mật. Những người này tìm ra lỗi phần mềm hoặc phần cứng nhưng không thông báo cho công ty bị ảnh hưởng hoặc nhà phát triển phần mềm, cũng không rao bán trên chợ đen để tránh rơi vào tay kẻ xấu nhưng vẫn muốn "được giá" nhất. Việc giao dịch được thực hiện thông qua các công ty chuyên thu gom lỗ hổng như Crowdfense.

Theo 9to5mac, Crowdfense là công ty chào giá zero-day cao so với mặt bằng chung trên thế giới, nhưng chưa phải cao nhất. Năm ngoái, công ty Operation Zero cho biết sẵn sàng trả tới 20 triệu USD cho công cụ hack iPhone và thiết bị Android.

Thực tế, các công ty như Google, Apple, Microsoft vẫn tổ chức cuộc thi hàng năm dành cho hacker để tìm ra vấn đề bảo mật trên nền tảng của mình. Tuy vậy, họ thường trả thưởng ít hơn. Chẳng hạn, Apple trả tối đa 2 triệu USD cho nhà nghiên cứu tìm được lỗi.

Tại tọa đàm về phòng chống mã hóa dữ liệu tống tiền (ransomware) chiều 5/4 ở Hà Nội, Trung tá Lê Xuân Thủy, Giám đốc Trung tâm An ninh mạng quốc gia - Bộ Công an, cho biết đang tồn tại một thị trường chuyên rao bán, cung cấp mã độc và lỗ hổng bảo mật. Các nhóm tấn công không cần quá giỏi vẫn có thể có được quyền sử dụng, truy cập mã độc để phục vụ mục đích bất chính.

Ông Vũ Ngọc Sơn, Trưởng ban Nghiên cứu công nghệ - Hiệp hội An ninh mạng quốc gia, có những nhóm chuyên đi xâm nhập hệ thống rồi bán lại quyền khai thác cho nhóm khác.

"Bán lỗ hổng bảo mật, bán quyền truy cập hệ thống đã trở thành một nền công nghiệp", ông Sơn nói.

Theo thống kê của các tổ chức an ninh mạng, tính từ đầu năm 2023 đến nay có hơn 13.750 cuộc tấn công gây ra sự cố vào hệ thống thông tin tại Việt Nam. Còn tính riêng 3 tháng đầu năm, số vụ tấn công là 2.323, trong đó có các trường hợp nghiêm trọng như của VnDirect, PVOil.