Một cựu giám đốc an ninh mạng của IBM đã cáo buộc công ty này che giấu nhiều vụ vi phạm dữ liệu của các tin tặc có liên hệ với nhà nước Trung Quốc. William Barlow từng là phó chủ tịch phụ trách tình báo mối đe dọa của IBM cho đến tháng 8 năm 2019. Trong một vụ kiện tố giác chưa được niêm phong trong tuần này, ông cáo buộc IBM đã biết về các vi phạm và cố tình không thông báo cho chính quyền Hoa Kỳ.
Vụ kiện ban đầu được đệ trình kín vào năm 2020. Nó tập trung vào chiến dịch hack của APT 10, một nhóm liên kết với chính phủ Trung Quốc có các thành viên là bị truy tố vào năm 2018. Giám đốc FBI lúc bấy giờ là Christopher Wray đã mô tả các mục tiêu của nhóm là “Ai là Ai” của nền kinh tế toàn cầu.
Barlow cáo buộc rằng một cuộc điều tra nội bộ của IBM đã phát hiện hơn 56.000 vụ xâm nhập APT 10 tiềm ẩn từ năm 2013 đến năm 2016. Quy mô rất lớn. Theo một báo cáo nội bộ được trích dẫn trong đơn khiếu nại, những kẻ tấn công đã truy cập gần 400 tài khoản bị xâm nhập và gần 200 hệ thống trên mọi đơn vị kinh doanh của IBM.
Sự vi phạm kéo dài tới 18 quốc gia và nhiều sản phẩm của IBM. Các tin tặc cũng đã xâm nhập vào dữ liệu mà IBM hợp tác với AT&T duy trì, dữ liệu này cũng có tên trong vụ kiện.
TNW City Coworking Space – Nơi công việc tốt nhất của bạn diễn ra
Một không gian làm việc được thiết kế để phát triển, hợp tác và có cơ hội kết nối vô tận ở trung tâm công nghệ.
Vào tháng 3 năm 2017, các quan chức tình báo của liên minh Five Eyes đã cảnh báo IBM về hành vi vi phạm. Điều đó đã thúc đẩy một cuộc điều tra nội bộ. Nhưng IBM không thể đánh giá đầy đủ thiệt hại vì họ không lưu giữ nhật ký về những người truy cập vào mạng của mình và khi nào, một biện pháp bảo mật cơ bản.
Bất chấp những phát hiện đó, IBM được cho là chưa bao giờ tiết lộ những vi phạm này cho chính quyền. Chính phủ Mỹ là một trong những khách hàng lớn nhất của nó. IBM là nhà cung cấp an ninh mạng lớn cho các cơ quan liên bang, điều này khiến cho việc che giấu bị cáo buộc trở nên đặc biệt quan trọng.
Khiếu nại của Barlow mô tả cơ sở hạ tầng mạng cốt lõi của công ty là “cổ xưa.Nó tuyên bố rằng tin tặc có thể “đi lang thang ở hầu hết mọi nơi mà không bị phát hiện”.
Các vi phạm đã mở rộng ra ngoài mạng lõi của IBM. Barlow cáo buộc rằng Trusteer, một công ty khởi nghiệp an ninh mạng được IBM mua lại vào năm 2013, đã bị vi phạm vào năm 2018. Truven, một công ty dữ liệu chăm sóc sức khỏe được IBM mua vào năm 2016 với giá 2,6 tỷ USD, đã bị vi phạm nhiều lần sau thương vụ mua lại.
Trong cả hai trường hợp, ông đều cáo buộc IBM đã không điều tra hoặc tiết lộ đúng đắn các vụ việc.
Người phát ngôn của IBM Miki Carver từ chối trả lời các câu hỏi cụ thể. Cô ấy kể TechCrunch: “Khiếu nại này đã được đệ trình cách đây sáu năm và Bộ Tư pháp Hoa Kỳ đã từ chối can thiệp. IBM tự tin rằng hành động của chúng tôi tuân thủ đúng quy định của pháp luật.”
Quyết định không can thiệp của DOJ không kết thúc vụ việc. Một thẩm phán liên bang ở New York đã ra lệnh niêm phong vụ kiện. Luật sư của Barlow, Jason Brown, nói với TechCrunch rằng công ty của ông là “mong muốn được tích cực khởi kiện vụ việc.”
Brown nói thêm: “Bạn không thể bán an ninh mạng cho chính phủ liên bang trong khi bị cáo buộc đang gặp phải những vấn đề bảo mật này trong chính công ty của bạn.”
Vụ việc nhấn mạnh một vấn đề dai dẳng trong an ninh mạng doanh nghiệp: những vi phạm không bao giờ được đưa ra ánh sáng. Uber đã phải trả 148 triệu USD vào năm 2018 sau khi che giấu vi phạm năm 2016 ảnh hưởng đến 57 triệu người dùng. Liên Hợp Quốc bị bắt quả tang đang che giấu hành vi vi phạm văn phòng Geneva và Vienna.
Kể từ khi IBM bị cáo buộc vi phạm, các quy định mới của SEC đã yêu cầu các công ty đại chúng phải tiết lộ các sự cố an ninh mạng quan trọng trong vòng bốn ngày làm việc. Việc thực thi vẫn chưa đồng đều.
Nguồn The Next Web