Nguồn gốc sâu xa của Nigeria

Vào ngày 3 tháng 4, Website Planet đang chạy một dự án lập bản đồ web khi phát hiện ra các nhóm dữ liệu AWS S3 không an toàn thuộc một cơ quan y tế nhà nước ở Nigeria. Các nhóm này chứa khoảng 75.000 mục nhập trên 37.000 người ước tính — tổng cộng khoảng 45 GB, bao gồm các giấy tờ tùy thân và ảnh của những người đã đăng ký với cơ quan. Các thùng có từ tháng 1 năm 2021 và chúng đang tồn tại và được cập nhật tại thời điểm phát hiện, theo Website Planet.

Cơ quan này, được gọi là Cơ quan quản lý chăm sóc sức khỏe đóng góp của bang Plateau (PLASCHEMA), được thành lập vào tháng 9 năm 2020 bởi thống đốc bang, Simon Bako Lalong, và hướng tới việc cung cấp dịch vụ chăm sóc sức khỏe giá rẻ và dễ tiếp cận cho người dân bang Plateau của Nigeria.

Vào ngày 5 tháng 4, Website Planet đã liên hệ với các nhà chức trách Nigeria, thông báo cho họ về các thùng dữ liệu bị lộ. Nhưng Website Planet cho biết các nhóm dữ liệu vẫn tồn tại và không được bảo mật cho đến cuối tháng Bảy. Người phát ngôn của Website Planet cho biết vẫn chưa biết liệu những kẻ độc hại có tìm thấy dữ liệu trước khi chúng được bảo mật hay không, nhưng “nó càng để mở lâu thì càng có nhiều khả năng bị các bên độc hại bắt được”. Thông tin cá nhân như vậy được tìm thấy trong các thùng có thể bị lợi dụng để đánh cắp danh tính, có thể được sử dụng để mở mạng xã hội và tài khoản ngân hàng hoặc tín dụng ảo.

Vào ngày 23 tháng 7, vài ngày sau khi các thùng không an toàn bị khóa, Fabong Yildam, tổng giám đốc của PLASCHEMA, đã phủ nhận mọi vi phạm hoặc tiết lộ dữ liệu trong một cuộc họp báo.

Đáng buồn thay, vụ việc là điển hình của các vấn đề an ninh mạng phổ biến ở Nigeria, nơi các quy định không hiệu quả, các hoạt động xấu diễn ra tràn lan và việc tiết lộ công khai các vi phạm an ninh thường chậm và không kịp thời.

Confidence Staveley, nhà phân tích bảo mật người Nigeria và giám đốc điều hành của Cybersafe Foundation, một nhóm vận động và tư vấn bảo mật, cho biết: “Nhiều tổ chức ở các nước phát triển liên lạc với nhau khi họ có các trường hợp tấn công mạng. Tuy nhiên, ở đây, chúng ta thấy rằng nhìn chung, rất nhiều tổ chức phủ nhận tuyệt đối việc xảy ra các cuộc tấn công mạng và sự cố vi phạm dữ liệu, ngay cả khi có bằng chứng không thể phủ nhận được, hoặc họ hạ thấp vụ việc một cách quyết liệt. ”

Vào tháng 8 năm 2020, hai ngân hàng lớn của Nigeria được báo cáo là đã bị vi phạm dữ liệu, làm lộ thông tin tài chính của khách hàng. Cả hai ngân hàng đều không phản hồi cho đến nhiều ngày sau đó, và sau đó thông cáo báo chí của họ rất mơ hồ, không phủ nhận hay thừa nhận đã xảy ra bất kỳ vi phạm dữ liệu nào.

Đầu năm nay, vào tháng 7, David Hundeyin, một nhà báo độc lập người Nigeria, cũng đã báo cáo một sự xâm phạm có thể xảy ra đối với các email thuộc chính quyền bang Lagos và việc bán những email này trong thị trường đen tối. Chính quyền bang Lagos và các cơ quan an ninh mạng của Nigeria vẫn giữ im lặng trước những tuyên bố của Hundeyin, không phản hồi hay phủ nhận cáo buộc vi phạm.

Bằng cách không liên lạc, các đại lý này không trang bị cho khách hàng của họ và các bên liên quan khác thông tin họ cần để bảo vệ bản thân và đưa ra lời khuyên hữu ích cho bất kỳ ai bị lộ do vi phạm tiềm ẩn. Staveley nói rằng việc thiếu thông tin liên lạc, cùng với nhiều hoạt động an ninh mạng tồi tệ, làm suy yếu an ninh mạng và bảo vệ dữ liệu ở Nigeria, đồng thời tạo ra sự thiếu tin cậy và năng lực trầm trọng.