Úp sọt quả demo ERP đi vào lòng đất: Một Google Sheet cân cả trăm mật khẩu Root và cái kết toang toàn tập

Tưởng tượng các ông bỏ đống tiền thuê "chuyên gia" về triển khai ERP để chuyên nghiệp hóa bộ máy, xong họ "tặng" kèm luôn một vé mời cho hacker vào quẩy banh xác dữ liệu công ty? Chuyện thật như đùa này vừa lên sóng Reddit, khiến anh em sysadmin được một phen sang chấn tâm lý đúng nghĩa.

Khi "pháp sư" ERP trổ tài... tự hủy

Chuyện là có một bác nọ đi họp với đối tác cung cấp giải pháp ERP (đội này dùng bản Odoo Community để đi cài cho khách). Mọi thứ đang diễn ra khá mượt cho đến khi ông chủ bên phía đối tác thực hiện màn screen share định mệnh. Để trả lời mấy câu hỏi xoáy đáp xoay của khách hàng, ông này thản nhiên mở một file Google Sheet lên và cuộn chuột "show hàng".

Đập vào mắt người xem là gì? Một cái danh sách dài dằng dặc hơn 100 dòng, chứa link của đủ loại môi trường từ Dev, Staging cho đến LIVE (Production). Điều kinh hãi là tất cả đều chạy HTTP – vâng, các ông không nghe nhầm đâu, thời đại này rồi mà vẫn NO SSL! Nhưng đó chưa phải là đỉnh điểm của sự vô tri. Ngay bên cạnh mỗi cái link là cột mật khẩu ROOT của server.

Chưa hết, một đống instance của các khách hàng khác nhau lại được gom chung vào một con server (chung IP). Nghĩa là sao? Nghĩa là chỉ cần một nhân viên bất mãn, hoặc cái link Google Sheet đó bị leak ra (mà thực tế là nó đang bị leak ngay trong buổi demo rồi), thì toàn bộ dữ liệu của cả trăm doanh nghiệp sẽ "bay màu" trong một nốt nhạc. Backup á? Nhìn cách họ làm việc thì anh em tự hiểu là đừng hy vọng gì nhé. Cay đắng nhất là đơn vị này lại được giới thiệu bởi một "ông anh" Senior trong công ty – đúng kiểu combo "người quen" và "cái kết đắng".

Cộng đồng mạng: "Chạy ngay đi trước khi mọi chuyện dần tồi tệ hơn"

Sau khi bài viết được đăng tải, anh em dev và sysadmin trên Reddit đã được dịp vào mỉa mai và chia sẻ những pha xử lý đi vào lòng đất không kém:

• Phe thực dụng (CYA): Có ông khuyên ngay là phải báo cáo lên sếp và quản lý cấp cao ngay lập tức. Nếu công ty vẫn đâm đầu vào ký hợp đồng với đội này thì tốt nhất là viết sẵn cái email cảnh báo để sau này có biến còn có bằng chứng bảo vệ mình (Cover Your Ass). Chứ cái file kia đã được show công khai thế này thì coi như nó đã bị compromise từ lâu rồi.
• Phe hóng hớt kể khổ: Một bác khác kể chuyện từng thấy consultant của một bên ERP nhỏ cầm laptop cá nhân sang, RDP thẳng vào server của khách hàng bằng quyền Administrator mà không cần dùng VPN. Khi được hỏi VPN đâu, ông nội kia nhìn như người ngoài hành tinh rồi hỏi ngược lại: "VPN là cái giống gì?".
• Team bảo mật: Nhiều anh em chỉ biết lắc đầu ngao ngán khi thấy password 5 ký tự hay chuyện các MSP (đơn vị cung cấp dịch vụ quản trị) đưa cả chùm chìa khóa và danh sách password cho bất kỳ ai tự xưng là "người của bên Bob" mà chẳng thèm check ID.

Góc nhìn từ WorkCloud: Đừng để "ông anh quen biết" đốt cháy doanh nghiệp

Câu chuyện này là bài học cảnh tỉnh cực gắt cho các doanh nghiệp SME đang loay hoay chuyển đổi số. Nhiều khi chúng ta cứ ham rẻ, hoặc quá tin vào lời giới thiệu của "người quen" mà bỏ qua những tiêu chuẩn kỹ thuật tối thiểu.

Trong kỷ nguyên Cloud, bảo mật không còn là một tính năng "có thì tốt", mà là điều kiện sống còn. Một giải pháp ERP ngon lành không chỉ là giao diện đẹp, tính năng nhiều, mà quan trọng là dữ liệu của các ông có được an toàn hay không. Dùng HTTP cho môi trường Production và để pass Root vào Google Sheet là một hành động "tự sát công nghệ".

Ở WorkCloud, chúng tôi hiểu rằng các SME cần sự tối ưu về chi phí, nhưng không bao giờ được đánh đổi bằng sự an toàn của dữ liệu. Một nền tảng Work OS đúng nghĩa phải có cơ chế phân quyền chặt chẽ, hạ tầng được mã hóa SSL/TLS chuẩn chỉ và đặc biệt là không bao giờ có chuyện "quản lý mật khẩu bằng cơm" như ví dụ kể trên. Tiết kiệm một ít tiền triển khai mà để lộ toàn bộ bí mật kinh doanh cho đối thủ hoặc hacker thì đúng là "tham bát bỏ mâm".

Túm cái váy lại: Trước khi ký hợp đồng với bất kỳ bên công nghệ nào, hãy soi kỹ cách họ vận hành. Đừng để buổi demo rực rỡ biến thành một vụ cháy kho dữ liệu trong tương lai!

Nguồn: Reddit - r/sysadmin