Theo NCSC, vào ngày 1/7, Microsoft tiếp tục công bố CVE-2021-34527, lỗ hổng đang được cho là liên quan đến lỗ hổng CVE-2021-1675 trước đó.

Khai thác thành công lỗ hổng thực thi mã từ xa thứ 2 trong Windows Print Spooler, các đối tượng tấn công có thể thực thi mã tùy ý với các đặc quyền của hệ thống.

Cùng với việc cập nhật thông tin về lỗ hổng mới trong Windows Print Spooler, Trung tâm NCSC cũng đề nghị các cơ quan, đơn vị, doanh nghiệp kiểm tra, rà soát và kịp thời có phương án xử lý trong trường hợp bị ảnh hưởng bởi lỗ hổng bảo mật mới.

Trước đó, vào ngày 22/6, Trung tâm NCSC đã phát hành cảnh báo rộng rãi về dự báo sớm nguy cơ tấn công mạng trên diện rộng.

Tại cảnh báo này, NCSC cho biết, trong tháng 6, Microsoft đã công bố bản vá cho lỗ hổng bảo mật CVE-2021-1675 trong Windows Print Spooler cùng với thông tin bổ sung rằng thực tế lỗ hổng này có thể khai thác từ xa và tăng mức độ ảnh hưởng của lỗ hổng từ thấp lên nghiêm trọng. Lỗ hổng CVE-2021-1675 đang được gọi với cái tên là “PrinterNightmare”.

Cụ thể, lỗ hổng CVE-2021-1675 không chỉ đơn giản là khai thác được khi có quyền truy cập trực tiếp vào máy tính, máy chủ cài đặt phiên bản hệ điều hành Windows bị ảnh hưởng; mà còn có thể tấn công thông qua một mạng máy tính.

Trên cơ sở nhận định lỗ hổng bảo mật CVE-2021-1675 có thể ảnh hưởng nghiêm trọng hơn những gì đã được Microsoft công bố trước đó, cũng như thực tế triển khai công tác giám sát an toàn thông tin những năm qua, Trung tâm NCSC đưa ra dự báo sớm rằng: "Lỗ hổng CVE-2021-1675 hoàn toàn có thể được tận dụng để tiến hành các chiến dịch tấn công có chủ đích lớn trên quy mô rộng trong thời gian ngắn sắp tới vào không gian mạng Việt Nam".

Để đảm bảo an toàn cho hệ thống thông tin của đơn vị và không gian mạng Việt Nam, các cơ quan, đơn vị, doanh nghiệp được đề nghị kiểm tra, rà soát và xác định máy chủ, máy trạm sử dụng hệ điều hành Windows có khả năng bị ảnh hưởng bởi các lỗ hổng thực thi mã từ xa trong Windows Print Spooler; thực hiện cập nhật bản vá bảo mật cho các máy bị ảnh hưởng theo hướng dẫn của hãng Microsoft.

Bên cạnh đó, các cơ quan, tổ chức, doanh nghiệp cần tăng cường giám sát và sẵn sàng phương án xử lý khi phát hiện có dấu hiệu bị khai thác, tấn công mạng. Thường xuyên theo dõi kênh cảnh báo của các cơ quan chức năng và những tổ chức lớn về an toàn thông tin để phát hiện kịp thời các nguy cơ tấn công mạng.

Vân Anh

Lỗ hổng bảo mật trên Windows có thể bị lợi dụng để tấn công APT diện rộng

Theo dự báo sớm của Trung tâm NCSC, lỗ hổng CVE-2021-1675 trên hệ điều hành Windows có thể bị tận dụng để tiến hành các chiến dịch tấn công có chủ đích APT lớn trên quy mô rộng trong thời gian ngắn sắp tới vào không gian mạng Việt Nam.

Nhiều người bàng hoàng vì tiền trong thẻ tín dụng tự nhiên "bốc hơi" mà không biết vì sao

Những trường hợp bất ngờ "bốc hơi" mất một khoản tiền trong thẻ tín dụng không phải là hiếm trong thời gian qua. Chia sẻ với báo chí, chị N.T.T.L tại Hà Nội cho biết, sáng 30/5, chị nhận được hàng loạt tin nhắn trừ tiền trong tài khoản thẻ Vietcombank MasterCard, thời gian từ 1h16 đến 1h33 sáng, có tất cả 7 giao dịch thành công bị trừ tiền, trong đó 3 giao dịch trừ 1 USD/lần và 4 giao dịch trừ 6 triệu đồng/lần. Mặc dù thẻ không bị mất và chị cũng không thực hiện giao dịch nào nhưng hơn 24 triệu đồng trong tài khoản đã không cánh mà bay. Đặc biệt, tất cả giao dịch này đều thanh toán cho dịch vụ quảng cáo trên Facebook mà không yêu cầu nhập mã OTP.

Sau khi mất tiền, chị L. đã gọi đến tổng đài Vietcombank và được hướng dẫn khiếu nại. Song chị L. không khỏi băn khoăn khi thẻ tín dụng được cất giữ cẩn thận nhưng vẫn bị lộ thông tin.

Một trường hợp khác là anh N.M.H cũng bị trừ tiền tại thẻ MSB Creditcard. Theo đó, năm trước anh H. có mua một dịch vụ trên internet và thanh toán bằng thẻ, sau một năm dịch vụ này tự động gia hạn mà không có thông báo với khách hàng, đồng thời trừ tiền trên thẻ cũng không yêu cầu mã OTP. Số tiền anh H. bị trừ mất 200 USD, tương đương hơn 4 triệu đồng. Anh H. đã liên hệ với ngân hàng MSB để làm rõ giao dịch thì được trả lời là do anh không tắt chức năng gia hạn nên đến "hẹn" tài khoản sẽ tự động khấu trừ.

Giải thích về việc vì sao không cần mã OTP mà thẻ vẫn bị trừ tiền, phía ngân hàng cho biết, đây là do thoả thuận giữa nhà thanh toán với các đối tác bán hàng chứ không nằm ở phía ngân hàng.

"Sau khi nghe ngân hàng phân tích, tôi đã chấp nhận mất số tiền hơn 4 triệu đồng vì không thể đề nghị bồi hoàn. Nhưng sau đó, tôi cũng yêu cầu đóng thẻ vì cảm thấy quá rủi ro khi tài khoản cứ tự động trừ tiền cho những dịch vụ mình không sử dụng, không mong muốn, thậm chí là có thể bị mất dữ liệu về sau.", anh H chia sẻ.

Theo một chuyên gia phân tích, có 3 "thủ đoạn" để hack thẻ hiện nay, đó là:

Thứ nhất, hack trang web mua bán: Hackers công nghệ có thể lấy thông tin người dùng bằng cách hack trang web mua sắm, dịch vụ,… nơi khách hàng hay sử dụng thẻ tín dụng thanh toán. Một khi kẻ gian đã hack trang web thì tất cả thông tin trong web đó sẽ bị lấy đi, có nghĩa là có thể hàng trăm, hàng ngàn thông tin thẻ tín dụng đều bị ảnh hưởng.

Thứ hai, sử dụng máy quét dữ liệu thẻ (Skimming). Hình thức này ở nước ngoài rất phổ biến, nhất là khi tới nhà hàng, khách sạn, trong lúc đưa thẻ thanh toán đã bị đặt thiết bị quét dữ liệu mà người thanh toán không hề hay biết.

Thứ ba, kẻ gian sẽ đặt máy MP3 tại cây ATM, với máy MP3 này, khi khách hàng thực hiện giao dịch trên cây ATM, mọi tiếng động gõ phím sẽ được ghi lại và chuyển hóa thành các bộ số chính và mã pin thẻ của khách hàng.

"Lỗ hổng về bảo mật mà khách hàng hay gặp phải nhất đó là bị lộ số CVV/CVC2 là mã số bảo mật của thẻ tín dụng dùng trong thanh toán quốc tế, để xác minh quyền sở hữu thẻ của người dùng. Mã CVV/CVC gồm 3 chữ số được in ở phần dưới dải băng đen do ngân hàng phát hành thẻ cấp và quản lý giao dịch mỗi khi người dùng thanh toán hoặc chi tiêu trên thẻ. Cũng không loại trừ trường hợp, ngân hàng làm lộ thông tin của khách hàng, như trường hợp tại ngân hàng MSB làm lộ thông tin 2 triệu tài khoản khách hàng trước đây", vị chuyên gia phân tích.

Đi tìm giải pháp

Thời gian vừa qua, rất nhiều ngân hàng đã áp dụng phương thức 3D-Secure (3DS) là một lớp bảo vệ tăng cường cho các chủ thẻ khi giao dịch trực tuyến. Với phương thức này, khi thực hiện các giao dịch trên các website thương mại điện tử, bên cạnh các bước xác thực thông thường, ngân hàng sẽ gửi thêm mật khẩu giao dịch một lần (OTP) qua tin nhắn hoặc email để khách hàng nhập và hoàn tất giao dịch.

Có nhiều nguyên nhân gây lộ thông tin khách hàng, bao gồm cả trách nhiệm của những nhà thanh toán khi giám sát lỏng lẻo các giao dịch

3DS đảm bảo rằng chỉ có khách hàng, với tư cách là chủ thẻ, sẽ có mật khẩu để hoàn tất giao dịch đó. 3DS được các tổ chức thẻ quốc tế áp dụng và có tên gọi khác nhau như Safe Key (Amex), Verified by Visa (Visa), Mastercard SecureCode hoặc Master ID check (Mastercard), J-Secure (JCB).

Tuy nhiên, theo một lãnh đạo ngân hàng cho biết, việc không áp dụng 3DS là do thỏa thuận giữa Visa, MasterCard với các doanh nghiệp cung cấp dịch vụ. Cụ thể, với các doanh nghiệp lớn đã được xác thực danh tính (verified merchant) như Facebook, Google, Apple…, các giao dịch đều không đòi hỏi mã OTP. Đây cũng là kẽ hở nhiều đối tượng lợi dụng để lừa đảo.

"Ngân hàng muốn áp dụng 3DS để an toàn cho khách hàng, nhưng các đơn vị cung cấp dịch vụ không hỗ trợ, thì ngân hàng cũng không có cách nào. Dù vậy, nếu khách hàng phát hiện và khiếu nại sớm, chúng tôi sẽ phối hợp với Visa, MasterCard điều tra và gần như 100% giao dịch liên quan đến Facebook, Google, Apple… đều được hoàn lại trong vòng 30 - 90 ngày, đồng thời cấp thẻ mới cho khách hàng", vị lãnh đạo khẳng định.

Trao đổi với Diễn đàn Doanh nghiệp, ông Đinh Hồng Sơn, Tổng giám đốc công ty Cổ phần Tài chính Thế hệ mới cho rằng, việc lộ thông tin bảo mật thẻ tín dụng không chỉ xuất phát từ lòng tham của các tin tặc mà một phần nguyên nhân cũng do người dùng không cẩn trọng trong việc bảo mật. Người dùng cần lưu ý một số điều sau để bảo mật thông tin thẻ an toàn:

Một là cần dán nhãn che 3 số bí mật sau thẻ (mã số CVV/CVC) hoặc ghi nhớ rồi xóa đi.

Hai là khi sử dụng thẻ tín dụng, hãy chắc chắn rằng thẻ của mình được bảo mật trước sự quan sát của người khác cũng như không cho người khác mượn thẻ tín dụng cá nhân để thanh toán, hoặc đưa thẻ thanh toán cho nhân viên phục vụ làm giúp mình.

Ba là, không truy cập vào những đường link lạ, không sử dụng các phần mềm lậu do dễ bị cài phần mềm đánh cắp thông tin tài khoản (malwave).

Bốn là, nếu thường xuyên thực hiện các giao dịch tài chính cần sử dụng các chương trình Antivirus để đảm bảo máy tính sạch, không nhiễm trojan, keylogger đồng thời cần bật chức năng chống giả mạo (Anti Phising) để đảm bảo an toàn khi truy cập các trang ngân hàng điện tử.

Năm là, sau khi đăng nhập vào các tài khoản ngân hàng, cần đăng xuất ngay và tránh đánh dấu vào tiện ích lưu mật khẩu trên trang.

Sáu là, không can thiệp vào hệ điều hành của điện thoại như root máy với Android hay jailbreak với iPhone, những hành vi này làm vô hiệu hóa khả năng bảo mật của máy.

Còn đối với các ngân hàng, cần thiết phải xây dựng hệ thống xác thực 3D-Secure cho thanh toán qua thẻ tín dụng, cũng như hệ thống cảnh báo, phát hiện giao dịch bất thường và có quy trình hỗ trợ khách hàng thương lượng với bên cung cấp sản phẩm để hoàn toàn cho khách hàng nếu có thể.

(Theo Diễn Đàn Doanh Nghiệp)

Chiêu thức tinh vi giả mạo ngân hàng lừa đảo người dùng

Các đối tượng lừa đảo dùng chiêu thức lập website hay giả mạo tin nhắn ngân hàng rồi dẫn dụ người dùng truy cập vào đường link để chiếm đoạt tiền trong tài khoản, lấy cắp thông tin người dùng.  

Thi trắc nghiệm khó thúc đẩy dạy học STEM

Cách thức tổ chức các kỳ thi ảnh hưởng lớn tới việc dạy và học, do đó tác động tới việc biên soạn chương trình giáo dục phổ thông (GDPT) mới.

Nhận định này được nhiều đại biểu đề cập tại hội thảo giáo dục STEM trong chương trình GDPT mới, hôm qua 25/7.

Trong bài tham luận "Chúng ta học được gì từ giáo dục STEM", GS.TS Đỗ Đức Thái, Thành viên Ban Phát triển Chương trình GDPT tổng thể, Chủ biên chương trình môn Toán nêu ra những lưu ý về việc này.

Ông Thái cho rằng, kiểm tra đánh giá và thi cử cần tương thích với những tư tưởng cơ bản của giáo dục STEM. Thế nhưng nếp nghĩ “thi gì học nấy” là một trở lực lớn trong việc đưa giáo dục STEM vào nhà trường phổ thông.

Bên cạnh đó, trong hoàn cảnh thực tế về trình độ và năng lực của đội ngũ cán bộ quản lý của giáo viên, cơ sở vật chất của các nhà trường, điều kiện kinh tế-xã hội của các địa phương,... việc khai thác, áp dụng những điểm mạnh của giáo dục STEM không đơn giản.

"Chúng ta đã chuẩn bị các văn bản cần thiết chỉ đạo triển khai giáo dục STEM? Cán bộ quản lí các nhà trường phổ thông có thực sự quan tâm đến giáo dục STEM hay không? Bởi nếu không thì có thể viện dẫn rất nhiều lí do để không áp dụng" - ông Thái nêu vấn đề.

Các nội dung giáo dục STEM mang tính thực hành trong khi thi vẫn là kiểm tra kiến thức.

Trong bài tham luận trình bày kinh nghiệm triển khai giáo dục STEM tại Trường THCS - THPT Nguyễn Tất Thành (Hà Nội), bà Nguyễn Thu Anh, hiệu trưởng nhà trường cũng nhận thấy hình thức thi như hiện nay là một "khó khăn" đối với việc triển khai giáo dục STEM.

Cụ thể, kỳ thi THPT quốc gia thi được tổ chức bằng các bài thi trắc nghiệm, trong khi STEM là sản phẩm. Từ lớp 11 là phải "nói không" với STEM để ôn luyện thi trắc nghiệm "cho thật siêu" để sắp tới thi đỗ vào một trường ĐH.

"Vì vậy, thay đổi chương trình thì dứt khoát phải thay đổi đánh giá. GS Thái nói rất đúng, học sinh hiện nay học để thi thôi, mục tiêu là làm sao đỗ được ĐH. Vì vậy, thay đổi cách đánh giá thì tính khả thi trong việc triển khai GD STEM mới có thể đạt được".

Trong phần phát biểu kết luận, GS Nguyễn Minh Thuyết, Tổng chủ biên Chương trình GDPT mới khẳng định, ban soạn thảo cũng nhận thức rất rõ về tác động của các kỳ thi đến chương trình.

"Chương trình này đòi hỏi học sinh đi vào thực tiễn rất nhiều, các em phải tham gia các dự án nghiên cứu khoa học. Nhưng đến lúc thi mà thi chung như thế này thì chỉ ra đề kiểm tra kiến thức, kỹ năng giải bài tập thôi. Như thế, làm sao giáo viên dành thì giờ dạy học sinh theo phương pháp STEM, chú trọng thực hành được?"

GS Thuyết cho biết, trong dự thảo chương trình đã quy định việc thay đổi cách thức đánh giá, bỏ kỳ thi tốt nghiệp THPT. Tuy nhiên, sau đó, Hội đồng thẩm định có ý kiến cho rằng, Luật Giáo dục hiện hành vẫn đang quy định phải thi tốt nghiệp. Nghị quyết 88 cũng đề cập đến việc đổi mới cách thi và đánh giá.

Nếu quy định ngay trong chương trình GDPT mới thì sẽ liên quan tới luật và nghị quyết.

Vì vậy, ban soạn thảo đã chuyển phần "thi tốt nghiệp, tuyển sinh các lớp đầu cấp, tuyển sinh ĐH" ở phần "điều kiện thực hiện chương trình".

Học sinh nông thôn học STEM thế nào?

Ngoài cách thức thi và đánh giá, các đại biểu cũng nêu ra nhiều băn khoăn cũng như vướng mắc khi triển khai giáo dục STEM trong chương trình GDPT mới.

Ông Tô Văn Dũng, Phó Trưởng Phòng GD-ĐT Thái Thụy (Thái Bình) cho rằng, trường học ở nông thôn sẽ gặp khó khăn về cơ sở vật chất.

"Nông thôn chúng tôi đủ phòng học là quý lắm rồi chứ không có phòng học với các thiết bị rồi tích hợp này kia. Các thiết bị để dạy học STEM lại càng không có".

Ông Dũng kể, cách đây vài tháng có một tổ chức về trường ở Thái Thụy giới thiệu về lập trình robot, học sinh rất hào hứng, phấn khỏi nhưng khi nói đến giá tiền mỗi con robot như vậy là 6-7 trăm ngàn thì học sinh đều lắc đầu vì không có tiền.

"Các trường thành phố dễ xã hội hóa thì việc nhà trường đầu tư 6-7 trăm ngàn để mua một con robot cho học sinh học đơn giản, còn ở nông thôn thì rất khó. Bỏ tiền mua thì không được vì nó không nằm trong danh mục thiết bị đã được Bộ quy định".

Từ đó, ông Dũng cho rằng, khi có kế hoạch triển khai nội dung giáo dục STEM trong chương trình mới, ban soạn thảo cũng phải kiến nghị Bộ GD-ĐT bổ sung các thiết bị này vào danh sách thiết bị trường học để thuận lợi cho các trường.

GS Nguyễn Minh Thuyết khẳng định, cách thức tổ chức các kỳ thi tác động tới việc soạn thảo chương trình.

Một số đại biểu khác cũng nêu ra những vấn đề về tập huấn giáo viên, nhận thức của các cán bộ quản lý giáo dục, phụ huynh học sinh, quy định thời lượng, đồng bộ hóa chương trình… 

"Định vị" STEM trong chương trình giáo dục phổ thông mới

GS Nguyễn Minh Thuyết cho rằng, việc phát triển giáo dục STEM trong chương trình mới là tất yếu vì mục tiêu của chương trình STEM cũng là hình thành những phẩm chất năng lực mà chương trình GDPT đang hướng tới.

Tuy nhiên, giáo dục STEM là một phương pháp, mô hình giáo dục, chứ không phải là một môn học. 

Do đó, sẽ dạy trong các chương trình chính khóa ở các môn học STEM (Toán, Công nghệ, Tin học) theo các chủ đề từng môn hoặc tích hợp liên môn.

Học sinh tham gia khoá học Robotics - một hoạt động ngoại khoá sau giờ học của trung tâm ASP (Hà Nội). Ảnh: ASP cung cấp

Hoặc cũng có thể tổ chức chức theo hình thức câu lạc bộ, hoạt động nghiên cứu khoa học…

Theo GS Thuyết, dạy như hiện nay theo cách "chẻ từng chữ trong SGK để dạy" thì STEM không có chỗ, nhưng nếu học sinh tự đọc tài liệu, tự thực hành để có hiểu biết, năng lực vận dụng vào thực tiễn thì đó là giáo dục STEM.

Với việc "chương trình hóa" giáo dục STEM, sắp tới, các chương trình môn học sẽ ra chủ đề có thể dạy STEM, gợi ra phạm vi nghiên cứu khoa học của học sinh. Đây là vấn đề không chỉ của môn Công nghệ mà còn ở tất cả các môn học theo phương pháp STEM.

GS Thuyết cũng khẳng định, khi "chương trình hóa" giáo dục STEM, ban soạn thảo cũng sẽ kiến nghị các chính sách, chế độ, quy định kèm theo; từ việc định biên giáo viên, kinh phí cho tới bổ sung danh mục thiết bị và tập huấn cho giáo viên về giáo dục STEM.

Lê Văn