Ngày nay, website trở thành công cụ mặc định, kênh truyền thông tiên quyết phải có đối với bất kỳ ai kinh doanh trên thị trường số có chiến lược lâu dài.

Trong những năm trở lại đây, tình trạng tấn công mạng ngày càng gia tăng, các doanh nghiệp nhỏ rất khó đối đầu với vấn nạn này vì không có đội I.T chuyên biệt để theo dõi vận hành.

Thời nay, “thông tin” chính là một loại tài sản quý báu, tạo nên lợi thế cạnh tranh của doanh nghiệp.

Một số con số thống kê:

1. Dữ liệu bị xâm phạm gia tăng, riêng năm 2023, đã có 422 triệu lượt báo cáo dữ liệu bị xâm phạm, tăng 68% so 2022 (nguồn: Cybersecurity Ventures)
2. Tội phạm mạng gây thiệt hại 4.35 triệu độ la năm 2023 (nguồn IBM)
3. Tổ chức sức khỏe và chính phủ là những đơn vị bị nhắm too71i nhiều nhất, tăng 121 % so 2021. (nguồn: SonicWall)
4. Phần lớn (77%) doanh nghiệp có phòng thủ yếu trước những đợt tấn công mạng và xâm phạm dữ liệu (nguồn: Ponemon Institute)

WordPress – nền tảng CMS phổ biến nhất thế giới, cũng thu hút nhiều đợt tấn công, với 91,000 lỗ hổng được báo cáo năm 2023 (nguồn: WP White Security).

Các nhóm nguy cơ:

1. Malware: dạng đánh cắp dữ liệu, chuyển hướng khách hàng đến những trang web độc hại.
2. DDoS: kiểu tấn công tạo một lượng cực lớn truy cập đến website của bạn cùng một thời điểm, làm gián đoạn truy cập của tất cả người dùng, website sẽ rơi vào tình trạng không truy cập được.
3. Xâm phạm dữ liệu (data breaches): tấn công để truy cập và các thông tin nhạy cảm nhưng khách hàng, tài chính
4. Lừa đảo (Phishing): giả dạng email, website chính thức để lừa người dùng cung cấp thông tin, từ đó chiếm đoạn thông tin, tài sản giá trị
5. Chèn mã độc (Injection attacks): kẻ tấn công tìm được nơi để chèn những đoạn mã nhắm thực hiện hành động không được cho phép.

Vì sự phổ biến của WordPress, phần sau của bài viết này sẽ chủ yếu nói về các vấn đề của WordPress.

Hiểu về nguyên nhân

Nguyên nhân chia thành 2 nhóm, nhóm hệ thống và nhóm con người.

Nhóm hệ thống

1. Mã nguồn lỗi thời (bao gồm cả nhân WordPress và các plugin): sau một thời gian xuất bản, sẽ có các lỗ hổng bị phát hiện với cả ý tốt và ý xấu, thường thì chỉ sau vài ngày, WordPress và các nhà phát triển plugin sẽ xử lý và đưa ra bản cập nhật, tuy nhiên, không phải web admin nào cũng chú ý để cập nhật, hoặc họ lo ngại việc cập nhật plugin sẽ gây ra lỗi.
2. Mã nguồn có nguồn gốc không rõ ràng (như các bản lậu của plugin trả phí)
3. Phân quyền trong mã nguồn chưa chặt chẽ, dẫn đến một website trên hosting bị hack thì lây lan sang tài khoản hosting bạn đang sử dụng.

Nhóm con người

1. Đặt mật khẩu phổ biến: có hẳn danh sách hàng triệu tên đăng nhập, mật khẩu thường được sử dụng, kẻ tấn công chỉ việc dùng công cụ tự động để thử lần lượt.
2. Dùng mật khẩu giống nhau trên nhiều nền tảng: khi các nền tảng đó bị lộ dữ liệu, kẻ tấn công sẽ dùng nó để tiếp tục thử tấn công tài khoản của bạn trên các nền tảng khác.
3. Cài đặt các plugin không rõ nguồn gốc

Hiểu về cách phòng ngừa và xử lý

Sau đây là các gợi ý phòng ngừa và xử lý mà chúng tôi đúc kết trong những năm qua, bạn có thể sử dụng nó như một tài liệu tham khảo cho nhóm kỹ thuật đang vận hành – bảo trì website của bạn.

1. Sử dụng hosting của những nhà cung cấp chuyên nghiệp, ít bị vấn đề trong quá khứ.
2. Backup thường xuyên, đặc biệt trước và sau khi diệt malware.
3. Bắt buộc người dùng sử dụng mật khẩu mạnh bằng biện pháp kỹ thuật và cả quy định chính sách
4. Cập nhật thường xuyên mã nguồn
5. Sử dụng các mã nguồn có nguồn gốc rõ ràng
6. Cài đặt theo dõi hoạt động admin, theo dõi sự thay đổi của file tự động
7. Giới hạn truy cập: chỉ những IP cụ thể được phép truy cập
8. Thiết lập quét malware tự động
9. Sử dụng hệ thống quản trị DNS bên thứ 3 như Cloudflare để thiết lập tường lửa
10. Cài đặt quyền truy cập đúng cho mã nguồn (chmod, chown)