Vụ trộm Bảo tàng Louvre tiết lộ mật khẩu ‘Louvre’ kinh hoàng: Những lỗ hổng bảo mật thế giới thực ngang ngược sự phi lý trong game điện tử

Vụ trộm trắng trợn gần đây của vương miện và Stones quý giá từ Bảo tàng Louvre đã tiết lộ mức độ phòng thủ kỹ thuật số sơ sài đến mức làm cho các biện pháp bảo mật đơn giản trong game điện tử dường như tinh vi hơn rất nhiều. Không phải là tội phạm thiên tài, vụ trộm vào ngày 18 tháng 10, trong đó khoảng 102 triệu đô la các hiện vật quý giá bị đánh cắp, liên quan đến một nhóm trộm bất ngờ vụng về đã làm rơi một chiếc vương miện và thất bại trong việc châm đ diversionary.

Vượt qua vụ trộm: Mười năm sơ suất kỹ thuật số

Các báo cáo ban đầu có thể gợi ý một cuộc tấn công tội phạm thiên tài, nhưng những thông tin từ tờ báo Pháp Libération vẽ nên một bức tranh khác: Louvre đã bị ám ảnh bởi những sơ suất an ninh nghiêm trọng và những lỗ hổng công nghệ thông tin lộ liễu trong hơn một thập kỷ. Đây không phải là một vụ việc đơn lẻ; đó là triệu chứng của những vấn đề hệ thống kéo dài.

Như Cass Marshall, đồng sáng lập Rogue và cựu biên tập viên Polygon, đã chỉ ra một cách hài hước trên Bluesky, có lẽ chúng ta nên xin lỗi nhiều nhà phát triển game điện tử. Trong nhiều năm, người chơi đã chế giễo các nhân vật game để lại các mã bảo mật và mã khóa hầm để mở một cách cởi mở. Tuy nhiên, trong thực tế, một trong những cơ quan văn hóa nổi tiếng nhất thế giới được cho là đã sử dụng “Louvre” làm mật khẩu cho máy chủ giám sát video của mình.

Đây không phải là lời nói đại loại. Các tài liệu bí mật được Libération xem xét phác thảo một lịch sử đáng lo ngại về những yếu điểm bảo mật của Louvre, có thể truy tìm lại một cuộc kiểm tra an ninh mạng quan trọng vào năm 2014.

Kiểm tra nghiêm ngặt và mật khẩu ‘trivial’

Do chính bảo tàng ủy thác, cuộc kiểm tra an ninh mạng năm 2014 do Cơ quan An ninh Mạng Pháp (ANSSI) thực hiện đã phát hiện ra các sai lệch đáng kể. Các chuyên gia của ANSSI được cho là đã xâm nhập thành công mạng bảo mật của Louvre, giành được khả năng thao tác giám sát video và thay đổi quyền truy cập thẻ. Nguyên nhân chính là những mật khẩu cực kỳ yếu.

Brice Le Borgne của Libération, thông qua dịch máy, đã mô tả những mật khẩu này là “trivial.” Ví dụ, chỉ cần gõ “LOUVRE” đã cho phép truy cập vào một máy chủ quản lý giám sát video của bảo tàng. Tương tự, “THALES” là mật khẩu cho phần mềm do công ty Thales xuất bản. Những tiết lộ này nhấn mạnh sự thiếu vắng an ninh vận hành (opsec) cơ bản, sẽ bị coi là nghiệp dư trong bất kỳ doanh nghiệp hiện đại nào.

Các lo ngại không dừng lại ở đó. Năm 2015, bảo tàng tìm kiếm một cuộc kiểm tra toàn diện khác từ Viện Quốc gia Nghiên cứu Nâng cao về An ninh và Công lý của Pháp. Kết thúc sau hai năm, báo cáo 40 trang đã chi tiết “những thiếu sót nghiêm trọng”, bao gồm:

• Quy trình quản lý dòng khách du lịch kém hiệu quả
• Trần mái dễ tiếp cận trong quá trình xây dựng
• Hệ thống bảo mật cũ kỹ và thường xuyên hỏng hóc

Gia tăng thêm vấn đề, các tài liệu gần đây chỉ ra rằng cho đến năm 2025 (theo các báo cáo ban đầu), Louvre vẫn đang sử dụng phần mềm bảo mật được mua vào năm 2003. Hệ thống遗留 này, không còn được hỗ trợ bởi nhà phát triển, đang chạy trên phần cứng được điều hành bởi Windows Server 2003, một thập kỷ đã hết hỗ trợ. Một cơ sở hạ tầng lỗi thời như vậy tạo ra một bề mặt tấn công khổng lồ cho tội phạm mạng.

Tái định hình các vụ trộm thế giới thực và an ninh kỹ thuật số

Khi những người bảo vệ Stones quý giá của Pháp phải dựa vào các biện phòng thủ kỹ thuật số đã lỗi thời hàng thập kỷ và được bảo vệ bằng mật khẩu mặc định hoặc trivial, điều này buộc chúng ta phải đánh giá lại nhận thức của mình. Sự phi thường thường được mô tả trong các vụ trộm hư cấu – các nhân vật tìm thấy mã khóa hầm trên những mẩu giấy note hoặc khai thác trò hacking đơn giản – đột nhiên trở nên ít trớ trêu hơn nhiều.

Chuyện bảo mật của Louvre là một lời nhắc nhở đáng thức tỉnh rằng ngay cả những cơ quan danh tiếng nhất cũng có thể che giấu những lỗ hổng IT quan trọng. Vụ việc này nhấn mạnh nhu cầu cấp thiết về các thực hành an ninh mạng mạnh mẽ, các cuộc kiểm tra định kỳ và cập nhật kịp thời cơ sở hạ tầng kỹ thuật số. Có lẽ, các vụ trộm không khó như chúng ta từng nghĩ, đặc biệt khi vệ sinh bảo mật cơ bản bị xem nhẹ.