SecurityScorecard đã phân tích hồ sơ an ninh mạng của 48 công ty năng lượng lớn nhất ở Mỹ, Vương quốc Anh, Pháp, Đức và Ý. Các công ty này hoạt động trong các lĩnh vực quan trọng như than, dầu, khí đốt tự nhiên và điện. Tổng cộng, SecurityScorecard đã kiểm tra hơn 21.000 tên miền và phân tích bao gồm cả nhà cung cấp bên thứ ba và bên thứ tư của 48 công ty năng lượng hàng đầu được xếp hạng theo doanh thu hiện tại. Nhóm nghiên cứu đã phát hiện ra nhiều số liệu cảnh báo nghiêm trọng như:

- 100% trong số 10 công ty năng lượng hàng đầu của Mỹ gặp phải sự cố vi phạm của bên thứ ba.

- 92% các công ty năng lượng được đánh giá đã gặp phải sự cố vi phạm của bên thứ tư.

- 33% công ty năng lượng có Xếp hạng bảo mật loại C trở xuống.

- Trong ba tháng theo dõi, SecurityScorecard đã xác định được 264 sự cố vi phạm liên quan đến hành vi xâm phạm của bên thứ ba.

- MOVEit là lỗ hổng phổ biến nhất của bên thứ ba trong 6 tháng theo dõi, với hàng trăm công ty bị ảnh hưởng trên khắp thế giới.

Theo ông Ryan Sherstobitoff, Phó chủ tịch phụ trách Nghiên cứu và Tình báo mối đe dọa của SecurityScorecard cho biết: “Hơn hai năm sau sự cố tấn công sử dụng mã độc tống tiền nhắm vào đường ống dẫn dầu Colonial Pipeline ở Mỹ, thế giới vẫn thiếu một khuôn khổ chung để đo lường rủi ro mạng. Tính minh bạch và chia sẻ thông tin về an ninh mạng là rất quan trọng đối với an ninh quốc gia”.

Các nhà nghiên cứu của SecurityScorecard đã phân tích hơn 2.000 nhà cung cấp dịch vụ bên thứ ba và phát hiện ra rằng chỉ 4% trong số họ từng gặp phải vi phạm bảo mật. Tuy nhiên, 90% các công ty năng lượng được khảo sát đã bị vi phạm dữ liệu của bên thứ ba. Sự chênh lệch này nhấn mạnh lỗ hổng nghiêm trọng trong an ninh chuỗi cung ứng của ngành năng lượng, nơi một số lượng nhỏ vi phạm có thể dẫn đến các sự cố an ninh trên phạm vi diện rộng. Khi tin tặc xâm phạm thành công một phần mềm được sử dụng rộng rãi, chúng có khả năng truy cập vào tất cả các tổ chức sử dụng phần mềm đó.

Số lượng các cuộc tấn công mạng và vi phạm công khai đang tăng lên theo cấp số nhân, ước tính trị giá 8 nghìn tỷ USD vào năm 2023. An ninh mạng trong cơ sở hạ tầng quan trọng từ lâu đã là mối lo ngại, thực tế cho thấy nhiều tổ chức vẫn dễ bị tổn thương trước các sự cố mạng do nhiều nguyên nhân khác nhau, từ các tác nhân đe dọa ngày càng tinh vi, các công nghệ lạc hậu, biện pháp an ninh không chặt chẽ, các rủi ro và mối đe dọa nội bộ, hạn chế về nguồn nhân lực,... Bên cạnh đó, các cuộc xung đột đang diễn ra trên toàn cầu, các cuộc tấn công giữa các quốc gia nhằm vào cơ sở hạ tầng quan trọng cũng đang gia tăng.

Rủi ro mạng của bên thứ ba hiện là một trong những mối đe dọa lớn nhất hiện nay, với nhiều vụ vi phạm lớn gần đây (SolarWinds, Log4j và MOVEit) xuất phát từ một lỗ hổng duy nhất. Nghiên cứu chung của SecurityScorecard với Viện Nghiên cứu an ninh mạng Cyentia (Canada) cho thấy 98% tổ chức có mối liên hệ với ít nhất một bên thứ ba đã từng bị vi phạm trong hai năm qua.

Ông Jim Routh, Chủ tịch Ban cố vấn an ninh mạng của SecurityScorecard chia sẻ: “Ngăn chặn sự gia tăng của các cuộc tấn công chuỗi cung ứng đòi hỏi phải áp dụng một cách có hệ thống dữ liệu thời gian thực, có quy trình làm việc phù hợp để quản lý rủi ro trong hệ sinh thái kỹ thuật số”.