Asus nhận án phạt 20 năm bị kiềm tỏa vì router không an toàn bảo mật?

03/03/2016 03:00:00

Một án phạt có thời hạn lên đến 20 năm đối với một công ty công nghệ là một án phạt không hề nhẹ khi mà hãng phải chịu sự kiểm tra bảo mật độc lập thường kì trong suốt thời gian đó. Và hãng sản xuất thiết bị điện tử Đài Loan Asus đang phải đối mặt với án phạt này. Nếu vi phạm, hãng buộc phải trả 16.000 USD mỗi lần vi phạm.

Asus nhận án phạt 20 năm bị kềm tỏa vì router không an toàn bảo mật?

Ủy ban Thương Mại Liên Bang Mỹ (FTC) vừa ban hành bộ luật có liên quan đến việc thiết bị định tuyến không dây (Wireless Router) của hãng ASUS không an toàn bảo mật. Và ASUS phải chịu sự kiểm tra bảo mật độc lập 2 năm 1 lần trong vòng 20 năm tới.

Có thể nói, trái với những gì mà Asus cam kết với hàng ngàn khách hàng hộ gia đình và doanh nghiệp, về việc thiết bị định tuyến không dây của hãng là an toàn và thông minh, nhiều lỗi bảo mật đã bị phát hiện.

1. Tài khoản và mật khẩu mặc định : ADMIN, trang quản trị router dễ dàng bị tấn công

Trong năm 2014, một lỗ hổng bảo mật nghiêm trọng đã được công bố công khai với mật khẩu mặc định trong các sản phẩm của Asus. Tin tặc có thể sử dụng một đoạn script độc hại với các thông tin tài khoản mặc định để chiếm quyền truy cập trái phép vào router và xâm nhập vào mạng của nạn nhân. Hầu hết các biện pháp bảo mật do Asus khuyến cáo đều dễ dàng bị qua mặt. Thông qua một trong những lỗ hổng bảo mật phổ biến hiện nay, tin tặc có thể chiếm quyền điều khiển trang quản trị và vô hiệu hóa cài đặt bảo mật thông qua giao diện web.

Asus cũng không hề thông báo hay nhắc nhở người dùng thay đổi tài khoản và mật khẩu mặc định này nhằm duy trì an toàn và riêng tư cho mạng của mình.

Asus nhận án phạt 20 năm bị kềm tỏa vì router không an toàn bảo mật?

2. Nút ‘Check for Upgrades’ (kiểm tra các bản cập nhật) không hoạt động

FTC phát hiện các nút dành cho chức năng cập nhật “Check for Upgrades” chỉ được làm giả mà không hề có các hàm thực thi đằng sau. Tất cả các khiếu nại đều cho thấy tình trạng lỏng lẻo trong các biện pháp bảo mật của Asus.

3. Asus AiCloud & AiDisk có nhiều nguy cơ bị tấn công từ xa

AiCloud và AiDisk là hai dịch vụ cho phép người dùng duyệt các tập tin trên cơ sở lưu trữ như là một dịch vụ thu nhỏ sau khi cắm ổ cứng USB của họ vào router, nhưng nó lại không mã hóa thông tin truyền tải . Lỗi bảo mật nghiêm trọng này cho phép tin tặc sử dụng giao thức tấn công Man-in-the-Middle truy cập vào ổ đĩa cứng của nạn nhân từ xa ở bất cứ đâu, dẫn đến xâm hại hoàn toàn hệ thống. Vấn đề này đã được cảnh báo từ tháng 1/2014 nhưng ASUS vẫn không thông báo cho người dùng nâng cấp firmware sau khi vá lỗ hổng.

Không chỉ Asus, hơn 300.000 router được sản xuất bởi các hãng khác như D-Link, Micronet, Tenda, TP-Link đều bị xâm hại thông qua các phương pháp hack tương tự.

Xuân Dung