Trong lần thông báo đầu tiên về vụ xâm phạm dữ liệu vào tháng 8 năm nay, JPMorgan tin rằng tội phạm mạng đã khai thác một lỗi bảo mật trong phần mềm máy chủ web (zero-day Web server) để truy nhập vào hệ thống máy tính của ngân hàng.

Tuy nhiên, tờ Thời báo New York vừa thông báo tội phạm mạng đã đánh cắp tài khoản của nhân viên ngân hàng và do một máy chủ của ngân hàng đã không kích hoạt tính năng nhận thực hai bước (two-factor authentication) nên đã truy nhập được vào hệ thống.

Việc một tài khoản của nhân viên ngân hàng bị đánh cắp chưa phải là một vấn đề nghiêm trọng, do JPMorgan sử dụng nhận thực hai bước. Điều này có nghĩa rằng sau khi mật khẩu bị đánh cắp, tội phạm mạng vẫn chưa thể đăng nhập vào hệ thống vì phải nhập mã bí mật luôn được thay đổi.

Điều không may mắn đã xảy đến với ngân hàng này là không hiểu vì nguyên nhân nào đó mà một máy chủ ngân hàng đã không bật chức năng nhận thực này, tức không yêu cầu nhập mã bí mật sau khi đăng nhập tên tài khoản và mật kh??u th??nh công. Tội phạm mạng đã khai thác lỗi này và truy nhập vào hơn 90% số máy chủ trong toàn bộ hệ thống mạng của JPMorgan.

Hệ thống mạng của JPMorgan bị xâm nhập bắt đầu từ mùa xuân năm nay và lần cuối cách đây vài tháng, chỉ bị chặn lại vào giữa tháng tám. Nguồn tin từ điều tra của FBI cho biết các thông tin tài chính của ngân hàng không bị xâm hại. Quá trình xâm hại chỉ bị phát hiện khi JPMorgan được cảnh báo là các máy chủ sử dụng cho đối tác truyền thông xúc tác các chiến dịch quảng cáo của hãng này bị xâm hại.

Hiện vẫn không rõ tại sao một máy chủ của ngân hàng JPMorgan lại không được bật chức năng nhận thực hai bước, cho dù JPMorgan lưu ý rằng hệ thống tin học của JPMorgan là một hệ thống phức tạp kết hợp từ nhiều hệ thống khác do việc mua bán sáp nhập của ngân hàng này và các ngân hàng khác mang lại. Việc quản lý một hệ thống tin học được tích hợp từ nhiều hệ thống do sáp nhập doanh nghiệp đã làm cho nó trở nên khó khăn hơn bình thường.

JPMorgan Chase xác nhận vào tháng chín năm nay rằng chỉ có tên, địa chỉ, số điện thoại và địa chỉ thư đi???n t??? của 83 triệu tài khoản bị xâm hại và trở thành một trong những vụ rò rỉ dữ liệu lớn nhất trong lịch sử. Ngân hàng này đã tiến hành các biện pháp phòng ngừa để hạn chế ảnh hưởng của vụ tấn công mạng và cho đến thời điểm này, chưa có vụ gian lận nào sử dụng dữ liệu bị đánh cắp được phát hiện.

Nguy cơ lớn nhất từ vụ đánh cắp dữ liệu là tội phạm sử dụng các thông tin lấy được tiến hành tấn công giả mạo (tấn công phishing), như gọi điện thoại giả làm như là nhân viên ngân hàng, gửi thư đi???n t??? yêu cầu tiến hành giao dịch hay các hành vi xã hội khác để thực hiện một ý đồ xấu nào đó.

Link truy cập Savior-Sword