Cuộc tấn công mạng vào Manchester United tiết lộ lỗ hổng bảo mật lớn trong thể thao chuyên nghiệp

Vào tháng 11 năm 2020, Manchester United trở thành mục tiêu của một cuộc tấn công mạng nghiêm trọng, không chỉ làm tê liệt các hệ thống kỹ thuật của câu lạc bộ mà còn phơi bày những điểm yếu sâu sắc trong việc tự bảo vệ kỹ thuật số của toàn bộ ngành thể thao.

Những kẻ tấn công, được cho là một nhóm hacker Đông Âu, đã xâm nhập sâu vào mạng IT và buộc các hệ thống trung tâm phải ngừng hoạt động. Đặc biệt đáng lo ngại: Dữ liệu cá nhân nhạy cảm của nhân viên, cầu thủ và có thể cả người hâm mộ có thể đã bị xâm phạm.

Trong một ngành mà hàng tỷ đô la được thực hiện qua quyền truyền thông, tài trợ và cá cược thể thao, những lỗ hổng an ninh như vậy không chỉ đe dọa hoạt động hàng ngày mà còn cả nền tảng của niềm tin kinh tế trong thể thao chuyên nghiệp.

Thể thao là mục tiêu kỹ thuật số không được bảo vệ và béo bở

Trong khi các ngân hàng, chính phủ và tập đoàn công nghệ đã thực hiện các biện pháp an ninh toàn diện từ lâu, thì thể thao chuyên nghiệp vẫn tụt hậu. Ngày nay, các câu lạc bộ không chỉ quản lý hợp đồng cầu thủ và dữ liệu hiệu suất mà còn cả hồ sơ di chuyển, báo cáo y tế và thông tin sinh trắc học cực kỳ nhạy cảm.

Những dữ liệu này không chỉ cần thiết cho hiệu suất thể thao mà còn là một mục tiêu hấp dẫn cho tội phạm mạng. Đặc biệt trong lĩnh vực Cá cược thể thao kiến thức sớm về chấn thương hoặc thay đổi chiến thuật có thể làm thay đổi giá trị hàng triệu đô la.

Thị trường cá cược được số hóa cao, phản ứng nhanh và do đó dễ bị tổn thương hơn bao giờ hết, là một miếng mồi ngon cho những kẻ tấn công, những người nhắm mục tiêu khai thác các điểm yếu.

Điều gì đã xảy ra tại Manchester United?

Bộ phận IT của câu lạc bộ phát hiện ra rằng nhiều máy chủ đã bị xâm phạm. Câu lạc bộ đã ngay lập tức tắt các hệ thống bị ảnh hưởng. Mặc dù các trận đấu vẫn diễn ra như kế hoạch, nhưng việc liên lạc nội bộ, bán vé, phần mềm tìm kiếm tài năng và cửa hàng người hâm mộ đã bị gián đoạn trong nhiều ngày.

Đây là một cuộc tấn công ransomware cổ điển với yêu cầu tiền chuộc. Việc Manchester United có trả tiền hay không vẫn chưa rõ ràng. Cơ quan bảo vệ dữ liệu Anh (ICO) đã tiến hành điều tra, bao gồm cả việc tuân thủ GDPR.
Vụ việc đã gây chấn động khắp châu Âu và kích hoạt một cuộc tranh luận về các biện pháp bảo vệ kỹ thuật số trong thể thao chuyên nghiệp.

Số hóa không có mạng an toàn

Nhiều câu lạc bộ đang ngày càng dựa vào số hóa: Quản lý đào tạo dựa trên đám mây, Phân tích hiệu suất dựa trên AI và giao tiếp trực tuyến hiện nay là tiêu chuẩn.
Nhưng về an ninh IT, thường thiếu các tiêu chuẩn rõ ràng, ngân sách và kế hoạch khẩn cấp. Nếu ngay cả một câu lạc bộ hàng đầu toàn cầu như Manchester United cũng dễ bị tấn công thì các câu lạc bộ hạng hai hoặc học viện trẻ sẽ ra sao?
Câu trả lời thật đáng thất vọng: Nhiều câu lạc bộ không được chuẩn bị. Trong một môi trường ngày càng phụ thuộc vào cơ sở hạ tầng kỹ thuật số, đó là một điểm yếu nguy hiểm.

Phản ứng: UEFA và các giải đấu rút ra kết luận

Cuộc tấn công đã gây ra phản ứng ở cấp độ châu Âu. UEFA đã công bố các khuyến nghị về kiểm toán an ninh IT, kiểm tra thâm nhập và kiểm soát truy cập.
Một số giải đấu quốc gia đã khởi động các chương trình riêng để xác định và đóng các lỗ hổng an ninh. Các câu lạc bộ đã bắt đầu mở rộng các bộ phận IT, sử dụng các chuyên gia bên ngoài và bổ nhiệm các cán bộ bảo vệ dữ liệu.

Các nhà cung cấp cá cược cũng tăng cường áp lực: Quan hệ đối tác với các câu lạc bộ giờ đây ngày càng yêu cầu chứng minh về cơ sở hạ tầng IT an toàn, đặc biệt khi trao đổi dữ liệu trận đấu nhạy cảm hoặc chỉ số hiệu suất.

Áp lực ngày càng tăng từ công chúng và truyền thông

Theo một báo cáo của EU, số lượng các cuộc tấn công mạng vào các tổ chức thể thao đã tăng gấp ba lần kể từ năm 2019. Động cơ không chỉ là tài chính: Các cuộc tấn công vào các câu lạc bộ nổi tiếng tạo ra tiếng vang lớn trên truyền thông, một đòn bẩy bổ sung cho những kẻ tống tiền.

Hợp đồng tài trợ, cá cược trực tiếp, chương trình thưởng, cổng thông tin người hâm mộ tương tác tất cả đều là các điểm xâm nhập tiềm năng. Nếu những hệ thống này không được bảo vệ đầy đủ hoặc không được tách biệt, sẽ tạo ra những điểm yếu chết người.
Đặc biệt trong lĩnh vực cá cược thể thao, rủi ro rất lớn: Dữ liệu bị thao túng hoặc thông tin sớm có thể làm suy yếu tính toàn vẹn của cả một thị trường.

Con đường đến một tương lai an toàn

An ninh IT trong thể thao không bắt đầu bằng tường lửa, mà bằng nhận thức. Các chuyên gia yêu cầu đào tạo bắt buộc cho tất cả nhân viên, các quy tắc an ninh rõ ràng cho các câu lạc bộ và các yêu cầu nghiêm ngặt hơn từ các liên đoàn, đặc biệt trong quy trình cấp phép.

Cũng cần có sự thay đổi tư duy trong quản lý: IT không nên chỉ được coi là một yếu tố chi phí mà là một khoản đầu tư chiến lược vào khả năng cạnh tranh và niềm tin.

Kết luận

Cuộc tấn công mạng vào Manchester United không phải là một trường hợp đơn lẻ, mà là một tín hiệu cảnh báo. Trong một ngành công nghiệp hàng năm di chuyển hàng tỷ đô la nhưng lại thiếu sót về an ninh mạng, cuộc tấn công tiếp theo chỉ là vấn đề thời gian.

Đặc biệt trong các lĩnh vực dựa trên dữ liệu như cá cược thể thao, nơi dữ liệu thời gian thực quyết định thành công kinh tế, mức độ an ninh cao là điều không thể thiếu. Chuyển đổi kỹ thuật số mà không có bảo vệ không phải là tiến bộ mà là rủi ro.