Hôm nay, Trung tâm Phân tích Mối đe dọa Kỹ thuật số (DTAC) của Microsoft quy trách nhiệm cho một tác nhân được nhà nước Iran hậu thuẫn về hoạt động gây ảnh hưởng gần đây nhằm vào tạp chí châm biếm của Pháp – Charlie Hebdo. Microsoft đặt tên cho tác nhân này là NEPTUNIUM; và Bộ Tư pháp Hoa Kỳ cũng đã xác định đây là Emennet Pasargad.
Đầu tháng 1, một nhóm hoạt động trực tuyến chưa từng được biết đến trước đây, tự xưng là “Holy Souls” (mà hiện nay chúng tôi xác định là NEPTUNIUM), tuyên bố đã thu thập được thông tin cá nhân của hơn 200.000 khách hàng của Charlie Hebdo sau khi “có quyền truy cập vào một cơ sở dữ liệu”. Để làm bằng chứng, Holy Souls đã công bố một mẫu dữ liệu, bao gồm bảng tính nêu chi tiết họ tên đầy đủ, số điện thoại, địa chỉ nhà và địa chỉ email của những người đã đăng ký hoặc mua hàng hóa từ ấn phẩm này. Thông tin do tác nhân Iran thu thập được có thể khiến những người đăng ký của tạp chí đối mặt với nguy cơ trở thành mục tiêu tấn công trực tuyến hoặc tấn công ngoài đời thực từ các tổ chức cực đoan.
Chúng tôi tin rằng vụ tấn công này là phản ứng của chính phủ Iran đối với cuộc thi tranh biếm họa do Charlie Hebdo tổ chức. Một tháng trước khi Holy Souls tiến hành vụ tấn công, tạp chí này đã thông báo về việc tổ chức một cuộc thi quốc tế dành cho tranh biếm họa “chế giễu” Lãnh tụ Tối cao Iran – Ali Khamenei. Số báo đăng tải các tác phẩm đoạt giải dự kiến được phát hành vào đầu tháng 1, trùng với dịp kỷ niệm tám năm vụ tấn công nhằm vào trụ sở của tạp chí do hai kẻ tấn công chịu ảnh hưởng từ tổ chức al-Qa'ida trên Bán đảo Ả Rập (AQAP) thực hiện.
Holy Souls đã rao bán kho dữ liệu này với giá 20 BTC (tương đương khoảng 340.000 USD vào thời điểm đó). Việc công khai toàn bộ dữ liệu bị đánh cắp (giả sử tin tặc thực sự sở hữu dữ liệu như tuyên bố) về cơ bản sẽ dẫn đến hành vi công khai thông tin cá nhân trên diện rộng đối với độc giả của một ấn phẩm vốn đã từng là mục tiêu của các mối đe dọa cực đoan (2020) và các vụ tấn công khủng bố gây chết người (2015). Để bác bỏ nghi ngờ rằng dữ liệu khách hàng bị đánh cắp chỉ là giả mạo, tờ Le Monde của Pháp đã có thể xác minh tính xác thực của tài liệu mẫu do Holy Souls công bố thông qua “nhiều nạn nhân của vụ rò rỉ này”.
Sau khi Holy Souls đăng tải dữ liệu mẫu lên YouTube và nhiều diễn đàn tin tặc, vụ rò rỉ đã được khuếch đại thông qua một chiến dịch phối hợp trên nhiều nền tảng mạng xã hội. Nỗ lực khuếch đại này đã sử dụng một bộ chiến thuật, kỹ thuật và quy trình (TTP) gây ảnh hưởng cụ thể mà DTAC đã chứng kiến trước đây trong các hoạt động xâm nhập và rò rỉ gây ảnh hưởng của Iran.
Vụ tấn công diễn ra đồng thời với làn sóng chỉ trích tranh biếm họa từ phía chính phủ Iran. Ngày 4 tháng 1, Bộ trưởng Ngoại giao Iran Hossein Amir-Abdollahian đăng trên X: “Hành động xúc phạm và thiếu tôn trọng của ấn phẩm Pháp [...] đối với giới chức tôn giáo và chính trị – tinh thần sẽ không [...] bị bỏ qua mà không có phản ứng đáp trả”. Cùng ngày, Bộ Ngoại giao Iran đã triệu tập Đại sứ Pháp tại Iran để phản đối hành động “xúc phạm” của Charlie Hebdo. Ngày 5 tháng 1, Iran đã đóng cửa Viện Nghiên cứu Pháp tại Iran trong động thái mà Bộ Ngoại giao Iran mô tả là “bước đầu tiên”, đồng thời tuyên bố sẽ “theo đuổi vụ việc một cách nghiêm túc và thực hiện các biện pháp cần thiết”.
Theo dõi Microsoft Security