Chuyển tới nội dung chính

Tháng 10 đen tối của an ninh mạng

· 13 phút để đọc
Hong Bao Ngan
Hong Bao Ngan
Cha đẻ của bug 404

Hơn 20 vụ tấn công trong 31 ngày. Vụ trộm crypto lớn nhất lịch sử. Một làn sóng ransomware chạm tới cả NAS của người dùng Việt Nam. Và một điểm chung đáng sợ hơn bất kỳ con số nào.

Một tháng không có ngày yên​

Nếu bạn làm IT, tháng 10/2026 có lẽ là tháng bạn mở tin tức bảo mật nhiều nhất trong năm. Gần như mỗi sáng đều có một cái tên mới: PHP, Railway, OpenCode, Binance, Polymarket, GitHub Actions, SoftBank, Cursor Marketplace, LiteLLM, Capcom, TiDB Cloud, Chainalysis. Rồi đến ngân hàng Hàn Quốc, ngân hàng Ấn Độ, NAS Synology, và cuối cùng là chính các doanh nghiệp Việt Nam.

Nhưng nếu chỉ đọc danh sách, bạn sẽ bỏ lỡ điều quan trọng nhất. Phần lớn các vụ này không phải do kẻ tấn công "phá cửa chính". Chúng đi vào qua một chiếc laptop của kỹ sư, một khóa truy cập bị quên thu hồi, một thư viện mã nguồn mở, một thiết bị NAS chưa cập nhật, hoặc một đối tác.

Bài viết này điểm lại những vụ đáng chú ý nhất, rút ra ba mẫu hình chung, và kết thúc bằng một checklist mà doanh nghiệp Việt Nam có thể làm ngay trong tuần này.

Binance: 6,3 tỷ USD trong khoảng 20 phút​

Tối 29/10/2026, kẻ tấn công rút khoảng 6,3 tỷ USD khỏi ví nóng của Binance trên khoảng 10 blockchain. Phần lớn số tiền đi mất chỉ trong khoảng 20 phút, bắt đầu từ 20:05 UTC. Đây là vụ trộm crypto lớn nhất từng được ghi nhận, gấp khoảng 4 lần vụ Bybit 1,5 tỷ USD hồi tháng 2/2025.

Điều đáng học không nằm ở con số. Theo Binance, điểm khởi đầu là một laptop DevOps bị xâm nhập. Không phải lỗ hổng tiền mã hóa phức tạp, không phải khóa ví bị lộ. Chỉ là một thiết bị làm việc của một người có quyền cao trong hệ thống.

Các hãng phân tích blockchain như TRM Labs, Chainalysis và Elliptic đều quy trách nhiệm cho nhóm TraderTraitor, liên hệ với Triều Tiên. Đến 30/10, chưa chính phủ nào xác nhận chính thức. Kẻ tấn công cũng đã chuẩn bị ít nhất 36 giờ trước đó, gồm cả việc thử nghiệm mã độc trên ví Binance.

Phản ứng của ngành khá nhanh: Tether, Circle, Ripple và các đối tác đóng băng khoảng 3 tỷ USD. Binance tuyên bố trích hơn 6,34 tỷ USD để bù lỗ cho người dùng.

Bài học cho doanh nghiệp không làm crypto: thiết bị của quản trị viên, kỹ sư DevOps và IT admin là tài sản rủi ro cao nhất trong tổ chức. Nếu laptop của người giữ chìa khóa không được quản lý chặt hơn laptop của nhân viên thường, bạn đang có cùng điểm yếu với Binance, chỉ ở quy mô nhỏ hơn.

Chuỗi cung ứng phần mềm và AI: cửa sau mới​

Nếu Binance là vụ lớn nhất về tiền, thì nhóm sự cố chuỗi cung ứng mới là câu chuyện đáng lo nhất về dài hạn. Danh sách tháng 10 gồm: lỗ hổng PHP2Shell, GitHub Actions, nhiều package npm, Cursor Marketplace, và một loạt nền tảng AI/dev như OpenCode, LiteLLM, Fireworks AI, Railway, TiDB Cloud cùng đối tác của Warp.

LiteLLM: một khóa bị quên suốt 5 tháng​

LiteLLM là proxy mã nguồn mở dùng để định tuyến request tới nhiều nhà cung cấp LLM, được rất nhiều công ty AI sử dụng. Ngày 21/10/2026, pipeline phát hành của họ bị chiếm quyền. Phiên bản độc hại 1.107.0 được đẩy lên PyPI, Docker Hub và GHCR, kèm mã đánh cắp thông tin đăng nhập và công cụ điều khiển từ xa. Gói độc hại tồn tại trên PyPI khoảng 1 giờ 44 phút.

Nguyên nhân gốc theo postmortem: một khóa truy cập bị lộ từ tháng 5 nhưng không ai thu hồi. Tháng 10, kẻ tấn công dùng chính khóa đó để vào nền tảng nội bộ, lấy token GitHub, rồi chiếm pipeline phát hành. Đây cũng là lần thứ hai LiteLLM bị tấn công trong năm 2026, sau vụ tháng 3.

GitHub Actions, npm và PHP2Shell​

Trong tháng 10, một package npm độc hại với khoảng 206.000 lượt tải bị phát hiện nhắm vào các repository của chính tổ chức GitHub để lấy token. Cùng lúc, lỗ hổng PHP2Shell (CVE-2026-109618 và CVE-2026-109619) là lỗi thực thi mã từ xa trong lõi PHP, ảnh hưởng tới vô số ứng dụng web và cả gói phần mềm trên NAS Synology.

Vì sao điều này quan trọng với doanh nghiệp Việt Nam​

Đội dev của bạn có thể không dùng LiteLLM, nhưng gần như chắc chắn đang dùng npm, PyPI, GitHub Actions, extension VS Code, hoặc plugin AI coding. Mỗi thư viện, mỗi extension là một nhà cung cấp mà bạn chưa bao giờ đánh giá. Khi nhà cung cấp đó bị chiếm quyền, mã độc chạy với quyền của chính bạn, trong pipeline của chính bạn.

Ngân hàng châu Á: tấn công có AI hỗ trợ​

Hàn Quốc là nơi đáng theo dõi nhất tháng này, vì đây là lần đầu chính phủ một nước công khai nói AI đã được dùng trong các vụ hack ngân hàng. Từ cuối tháng 9, ít nhất 7 tổ chức tài chính lần lượt công bố bị xâm nhập. Đến 8/10, tổng số khách hàng bị ảnh hưởng được báo cáo lên tới khoảng 68.000 người, và con số vẫn tiếp tục tăng sau đó.

  • Daishin Securities: hơn 38.000 khách hàng. Bị tấn công ngày 17/10, nhắm vào máy chủ mở tài khoản online.
  • Shinhan Bank: khoảng 25.000 khách hàng đăng ký vay. Lộ tên, số điện thoại, thu nhập.
  • KB Kookmin Bank: 2.210 người. Ban đầu công bố 119 người ngày 2/10, sau đó bổ sung thêm 2.091 người ngày 26/10.
  • Welcome Savings Bank: khoảng 2.200 người, công bố đầu tháng 10.
  • Bithumb: khoảng 600 nhân viên. Bị xâm nhập hệ thống làm việc di động ngày 27/10.
  • Hana Bank: 89 khách hàng, công bố ngày 2/10.

Tổng thống Lee Jae Myung đã yêu cầu điều tra toàn diện. Cơ quan tài chính Hàn Quốc ghi nhận khoảng 4,4 triệu lượt tấn công từ dải IP Triều Tiên kể từ 21/10. Đáng chú ý, KB Kookmin phải xin lỗi vì ban đầu không nắm hết quy mô sự cố: con số tăng từ 119 lên hơn 2.200 người sau ba tuần.

Tại Ấn Độ, ngân hàng ICICI được cho là bị lợi dụng kết nối và mất khoảng 2 triệu USD. Ở khối doanh nghiệp lớn, SoftBank và Capcom cũng nằm trong danh sách bị tấn công tháng này.

Bài học: khi kẻ tấn công dùng AI để dò quét và khai thác, chúng tìm ra hệ thống yếu nhất nhanh hơn trước rất nhiều. Ngân hàng có quy trình tốt chặn được, ngân hàng có lỗ hổng thì bị trúng. Và nếu bạn không biết dữ liệu nào nằm ở đâu, bạn sẽ không đếm được mình mất bao nhiêu.

Việt Nam: không còn là chuyện của nước khác​

NAS Synology bị mã hóa bởi C3RB3R​

Đây là vụ gần với doanh nghiệp vừa và nhỏ Việt Nam nhất. Từ đầu tháng 10, ransomware C3RB3R (họ Cerber) mã hóa dữ liệu trên NAS Synology, đổi đuôi file thành .L0CK3D và để lại ghi chú đòi tiền chuộc bằng bitcoin trong từng thư mục. Có cả người dùng tại Việt Nam bị ảnh hưởng.

Ngày 29/10, Synology xác nhận các vụ tấn công khai thác một lỗ hổng đã được vá từ tháng 12/2024, nhắm vào thiết bị chạy DSM cũ. Hãng bảo mật 360 (Trung Quốc) thì cho rằng điểm vào là hai lỗ hổng nghiêm trọng (CVSS 9.8) được vá ngày 18/9/2026. Dù theo bên nào, kết luận vẫn giống nhau: thiết bị không cập nhật là nạn nhân chính.

Ở Việt Nam, NAS thường được dùng làm nơi lưu file chung và nơi chứa bản sao lưu. Khi NAS bị mã hóa, doanh nghiệp mất cả dữ liệu gốc lẫn bản backup cùng lúc. Snapshot trên cùng thiết bị không thay thế được một bản sao lưu độc lập.

HOCMAI và khối tài chính trong nước​

HOCMAI bị nghi lộ dữ liệu hơn 7 triệu học sinh. Tại thời điểm viết, mình chưa thấy xác nhận chính thức từ doanh nghiệp hay cơ quan chức năng, nên thông tin này cần được xem là nghi vấn. Song song, một số công ty tài chính, chứng khoán và ngân hàng trong nước cũng được ghi nhận bị tấn công.

Dữ liệu học sinh là mục tiêu có giá trị cao: đó là dữ liệu của trẻ vị thành niên, kèm thông tin phụ huynh, trường học, số điện thoại. Với Luật Bảo vệ dữ liệu cá nhân đã có hiệu lực, đây không còn chỉ là vấn đề kỹ thuật mà là trách nhiệm pháp lý.

Ba mẫu hình của tháng 10​

Đặt các vụ cạnh nhau, có ba mẫu hình lặp đi lặp lại. Không mẫu hình nào cần công nghệ mới để phòng ngừa. Chúng cần kỷ luật quản trị.

1. Danh tính và thiết bị đặc quyền là điểm vào chính. Laptop DevOps ở Binance. Khóa truy cập bị quên ở LiteLLM. Token GitHub bị đánh cắp qua npm. Kẻ tấn công không cần phá tường lửa khi có thể mượn danh tính của người đã ở bên trong.

2. Rủi ro bên thứ ba lớn hơn rủi ro nội bộ. Đối tác của Coinbase, đối tác của Warp, thư viện npm, extension marketplace, nền tảng AI. Bạn kiểm soát được hệ thống của mình, nhưng không kiểm soát được nhà cung cấp của nhà cung cấp. Thứ duy nhất bạn làm được là biết mình phụ thuộc vào ai và giới hạn quyền của họ.

3. Bản vá có sẵn nhưng không được áp dụng. Synology vá lỗ hổng từ tháng 12/2024, gần hai năm trước khi bị khai thác hàng loạt. Đây là mẫu hình quen thuộc nhất và cũng dễ sửa nhất, nếu tổ chức có quy trình quản lý tài sản và cập nhật thật sự.

Điểm chung của cả ba: tổ chức không biết rõ mình đang có gì, ai đang có quyền gì, và cái gì chưa được vá. Đây chính là phần mà các tiêu chuẩn như ISO 27001 buộc bạn phải trả lời.

Checklist cho doanh nghiệp Việt Nam, làm được ngay tuần này​

Không cần ngân sách lớn. Phần lớn chỉ cần một buổi chiều và một người chịu trách nhiệm.

Thiết bị và bản vá

  • Kiểm tra phiên bản DSM của mọi NAS Synology, cập nhật lên bản mới nhất và bật tự động cập nhật
  • Ngắt NAS, firewall, camera khỏi truy cập trực tiếp từ Internet nếu không thật sự cần; dùng VPN thay thế
  • Lập danh sách thiết bị "để đó chạy" (NAS, server cũ, router) kèm ngày cập nhật gần nhất

Danh tính và quyền truy cập

  • Bật MFA cho mọi tài khoản quản trị, ưu tiên MFA chống phishing
  • Tách tài khoản quản trị khỏi tài khoản dùng hằng ngày
  • Rà soát và thu hồi API key, token, tài khoản của người đã nghỉ hoặc dự án đã đóng

Sao lưu

  • Đảm bảo có ít nhất một bản sao lưu ngoại tuyến hoặc bất biến, không nằm trên cùng thiết bị với dữ liệu gốc
  • Thử khôi phục thật một lần, không chỉ kiểm tra job backup báo "thành công"

Chuỗi cung ứng

  • Liệt kê các nhà cung cấp, SaaS, công cụ AI đang có quyền truy cập dữ liệu công ty
  • Với đội dev: khóa phiên bản dependency (lockfile), giới hạn quyền token trong CI/CD

Quản trị

  • Xác định ai chịu trách nhiệm khi có sự cố và số điện thoại liên hệ ngoài giờ
  • Tự đánh giá mức độ tuân thủ theo một khung chuẩn như ISO 27001 để biết mình đang thiếu ở đâu

Bạn đã biết tổ chức mình đang ở đâu chưa?​

Tháng 10/2026 cho thấy một điều: không tổ chức nào quá lớn để bị hack, và cũng không doanh nghiệp nào quá nhỏ để bị bỏ qua. Binance có hàng nghìn kỹ sư bảo mật vẫn mất 6,3 tỷ USD. Một văn phòng 20 người với NAS chưa cập nhật có thể mất toàn bộ dữ liệu kế toán chỉ sau một đêm.

Khác biệt không nằm ở việc bạn có bị tấn công hay không, mà ở chỗ bạn đã chuẩn bị đến đâu. Và bước đầu tiên của chuẩn bị luôn là đánh giá trung thực hiện trạng.

PCS Platform: Compliance & Quản lý ISO​

PCS Platform giúp bạn tự đánh giá mức độ tuân thủ ISO 27001 (an toàn thông tin) và ISO 42001 (quản trị hệ thống AI), từng control một, để biết chính xác tổ chức đang thiếu ở đâu và nên ưu tiên gì trước.

  • Dùng thử ngay, không cần tài khoản: mở trình duyệt và bắt đầu đánh giá
  • Đăng nhập để đồng bộ: lưu tiến độ và làm việc trên nhiều thiết bị

Dùng thử tại: pcs.io.vn/c

Nếu bài viết hữu ích, hãy chia sẻ cho đồng nghiệp IT hoặc người quản lý của bạn. Một checklist được làm trong tuần này có giá trị hơn mười bài phân tích sau sự cố.

Nguồn tham khảo​