Lỗi lập trình, website của CMC bị lộ mật khẩu cơ sở dữ liệu

Khoảng 7h30 đến 9h30 sáng nay, website của tập đoàn CMC gặp sự cố và gây lộ nhiều dữ liệu nghiêm trọng.

Khi truy cập vào website chính thức của CMC tại địa chỉ cmc.com.vn, các dữ liệu DEBUG liên quan đến các cấu hình quan trọng của website được trả ngay về trình duyệt web của người truy cập. Các dữ liệu này bao gồm: tên CSDL, đường dẫn thư mục web, nền tảng Drupal tài khoản và mật khẩu (không mã hóa) của cơ sở dữ liệu mà website đang sử dụng…


Hình ảnh được chia sẻ từ một người dùng mạng xã hội Facebook
Ở thời điểm hiện tại, khi truy cập vào website sẽ xuất hiện thông báo “Đang bảo trì máy chủ” và mời người dùng quay lại sau.



Nhận định về sự cố
Dưới góc độ một người làm kỹ thuật thì sự cố này là do lỗi của các lập trình viên của CMC khi cập nhật phiên bản mới, sửa lỗi hoặc do cấu hình của máy chủ. Về mặt an toàn thông tin thì việc để lộ các thông tin nhạy cảm về cấu hình CSDL (bao gồm cả mật khẩu), đường dẫn, nền tảng xây dựng là một điều không nên, nó có thể mang đến nhiều vấn đề sau này phục vụ cho các cuộc tấn công lớn hơn từ hacker.

Việc lộ thông tin về CSDL, đường dẫn thì sẽ không ảnh hưởng ngay lập tức đến máy chủ và ứng dụng nếu được cấu hình tốt, ứng dụng không có lỗ hổng bảo mật và không mở cổng các dịch vụ ra bên ngoài. Tuy nhiên về mặt trải nghiệm người dùng, thì việc này ảnh hưởng lớn tới danh tiếng của CMC, niềm tin vào các dịch vụ bảo mật và các dịch vụ CNTT khác mà CMC đang cung cấp.

Hiện tại, website đang trong quá trình khắc phục và sẽ sớm quay lại để phục vụ người dùng.