Tổng thống Barack Obama trừng phạt Nga vì quy lỗi cho Moscow về các vụ tin tặc nhắm mục đích gây ảnh hưởng tới cuộc bầu cử tổng thống Mỹ. Tuy nhiên Tổng thống đắc cử Donald Trump nói ông không tin là Nga đã làm điều đó. Các nhà điều tra tội phạm mạng điện toán có chứng cứ xác thực đến mức nào khi nêu đích danh thủ phạm thực hiện vụ tin tặc? Theo tường trình của thông tín viên Steve Baragona của đài VOA, thì một phần dựa vào dữ liệu khoa học, và một phần là suy diễn từ kinh nghiệm.
Không gian mạng là bãi chiến trường không ngơi nghỉ của các chương trình điện toán tự động, virút máy tính và phần mềm độc hại.
Nhưng trong thế giới không nhìn thấy mặt nhau này, rất khó có thể xác định được ai là kẻ tấn công mình.
Ông Dmitri Alperovitch là nhà đồng sáng lập công ty an ninh điện toán CrowdStrike. Phần mềm của công ty này được dùng để quét tin tặc cho Ủy ban Quốc gia của Ðảng Dân chủ hồi mùa xuân năm nay. Ông Alperovitch nói:
"Ngay lập lức đèn báo động chớp sáng như cây Noel, báo cho chúng tôi biết rằng có hai tin tặc không liên hệ với nhau đang xâm nhập mạng máy tính của Ủy ban Ðảng Dân chủ."
Công ty CrowdStrike xác định hai kẻ xâm nhập này là hai nhóm tin tặc Nga liên hệ mật thiết với Điện Kremlin.
Ông Alperovitch cho biết việc đi đến kết luận như vậy rất giống với cách điều tra của cảnh sát:
"Giống như khi chúng ta đến hiện trường vụ án và tìm thấy dấu vân tay. Chúng ta muốn đối chiếu với kho dữ liệu ngay để xem dấu vân tay đó có khớp với dấu vân tay của một nghi can có tiền án hình sự mà chúng ta biết. Kế đến là xem chiêu thức hành động có giống như những vụ cướp nhà băng khác mà ta từng điều tra hay không."
Cuộc điều tra của CrowdStrike tìm được các mã điện toán quen thuộc.
Đó là các mã điện toán được tìm thấy trong các vụ tấn công tin tặc khác bị quy cho cùng các nhóm tin tặc Nga này đã thực hiện. Ông Alperovitch:
"Khi đã chế tạo được vũ khí, chúng không muốn dùng vũ khí đó chỉ một lần. Thường chúng không cưỡng lại được ý muốn tiếp tục dùng vũ khí đó. Và đó là cách mà các vụ tấn công tin tặc vẫn xảy ra."
Vũ khí mới chỉ là một mấu chốt. Vũ khí đó được dùng như thế nào là một yếu tố quan trọng khác. CrowdStrike tìm hiểu chiêu thức hành động của các vụ tấn công tin tặc trước. Ông Alperovitch:
"Trên mạng Internet thì không có cái gì biến mất hết. Do đó chúng ta có thể xem ngược lại những gì xảy ra trong 10 năm trước đó và hàng ngàn vụ tấn công."
Ông Nick Rossman của công ty an ninh mạng điện toán FireEye nói tìm ra những mấu chốt khác để nhận diện một tin tặc có thể đơn giản như việc đối chiếu một thời khóa biểu. Ông cho biết:
"Khi chúng tôi nhận thấy tin tặc Nga hành động, chúng tôi thường thấy các mã độc được cài thời gian của các múi giờ Moscow và St. Petersburg. Những cách thức tương tự như vậy cũng được các tin tặc Trung Quốc áp dụng. Chúng tôi cũng điều tra xem khoảng thời gian nào thì tin tặc hành động trên mạng. Chúng thường hoạt động trong khoảng thời gian từ 9 giờ sáng đến 5 giờ chiều."
Nhưng những người hoài nghi nói rằng những mấu chốt thời gian đó không thể là một tang chứng xác thực. Hơn nữa ai cũng có thể sao chép mã điện toán của một tin tặc. Không thể so sánh với mẫu DNA tại hiện trường của một vụ giết người, bởi vì khó có được một bằng chứng không thể tranh cãi trong các vụ tấn công tin tặc.
Ông Rossman thừa nhận rằng các bằng chứng tấn công tin tặc phần lớn là gián tiếp:
"Chúng tôi không thể bảo đảm chắc chắn là chúng tôi đã có đủ tang chứng để đưa vụ án ra tòa. Nhưng chúng tôi tin rằng với các bằng chứng trong một phạm vi lớn hơn đó có thể chứng minh cho lập luận đó."
Ông Rossman đồng ý với kết luận của CrowdSrike rằng các tin tặc Nga đã tấn công mạng điện toán của Ủy ban Quốc gia Ðảng Dân chủ.
Nhưng các chuyên gia nói rằng trong không gian mạng nặc danh này thì thế giới ẩn của gián điệp vẫn rất mù mờ.
