Những lỗ hổng an ninh mạng gần đây đang đặt doanh nghiệp trước câu hỏi: nền tảng và nhân sự có sức chống chịu đến đâu nếu sự cố diễn ra.
Đầu tháng 11/2026, nhiều siêu thị ở châu Âu phải đổ bỏ thực phẩm sau khi nhiệt độ tủ đông tăng vọt trong đêm, vài ngày sau khi Binance mất khoảng 6,3 tỷ USD khỏi ví nóng. Các vụ việc khác ngành nhưng cùng đi qua những điểm quen thuộc: máy tính của nhân viên, nền tảng của nhà cung cấp và khâu ký duyệt. Chưa có bằng chứng AI đứng sau các vụ này nhưng các cơ quan an ninh mạng đánh giá AI đang giúp việc tìm ra những điểm yếu như vậy nhanh và rẻ hơn.
Đọc những thông tin này, tôi nghĩ ngay đến những tủ điều khiển inverter trên mái các nhà xưởng. Tủ đông, điều hòa trung tâm hay hệ thống điện mặt trời giờ đều nối mạng, để kỹ thuật viên của nhà cung cấp theo dõi và chỉnh thông số từ xa. Tiện ích đó kéo theo một câu hỏi ít khi xuất hiện trong phòng họp hội đồng quản trị: thiết bị điều khiển được từ xa thì ai đang cầm bộ điều khiển?
Ba vụ việc, một kiểu đường vào
Theo Reuters, sự cố đêm 2/11 xảy ra ở các siêu thị ICA và Coop tại Thụy Điển cùng các chuỗi Ahold Delhaize và Colruyt ở Bỉ và Luxembourg. Các bản tin sau đó nhắc thêm cửa hàng ở Ireland, Estonia và Hà Lan. Chưa đầy ba tuần trước, cảnh sát Pháp cho biết tin tặc đã chiếm quyền thiết bị làm lạnh tại hàng trăm siêu thị, gây cháy và hư hỏng hàng hóa. Đến nay chưa có bên nào bị quy trách nhiệm cho đợt nào.
Trước đó, tối 29/10, Binance ghi nhận khoảng 6,3 tỷ USD tài sản bị ảnh hưởng khi các ví nóng bị rút trên nhiều blockchain; sau đó khoảng 2,85 tỷ USD được đóng băng hoặc chặn lại. Báo cáo sơ bộ của Binance mô tả một chuỗi sự việc kéo dài từ tháng 6: phần mềm bị can thiệp, một cuộc phỏng vấn tuyển dụng giả, máy tính của kỹ sư bị xâm nhập, một công cụ AI nội bộ bị lợi dụng rồi cuối cùng là quyền truy cập vào thao tác ký ví.
Vụ Bybit tháng 2/2025 đi đường khác nhưng tới cùng một khâu: thông tin đăng nhập của một nhà phát triển ở Safe, bên cung cấp ví, bị xâm phạm và người ký bị đánh lừa để phê duyệt một giao dịch độc hại (Bybit).
Ngày 4/11, Ngân hàng hợp tác xã Pháp Crédit Mutuel Arkéa cho biết tin tặc đã đi qua nền tảng của một nhà cung cấp dịch vụ để chuyển tiền từ tài khoản của chính tập đoàn sang các ngân hàng khác. Tài khoản khách hàng không bị dùng tới và khách hàng không chịu tổn thất. Ngân hàng xác nhận thiệt hại khoảng 118 triệu euro nhưng chưa chốt con số và đã chặn được một phần (AFP).
Không vụ nào cần bẻ khóa mật mã. Kẻ tấn công vào qua con người, qua một bên thứ ba, hoặc qua khâu phê duyệt. Đó là những vùng ở rìa tổ chức, nơi trách nhiệm chia cho nhiều bên nên hiếm ai nhìn được trọn.
Việc đi tìm cửa rẻ hơn với AI
Chưa có bằng chứng công khai nào cho thấy AI đứng sau các vụ trên. Điều các cơ quan an ninh mạng lo ngại là AI đang hạ chi phí của những cách tấn công vốn đã có. Trung tâm An ninh mạng Quốc gia Anh (NCSC) đánh giá AI có thể giúp kẻ tấn công trinh sát, nghiên cứu lỗ hổng, viết mã khai thác và lừa đảo hiệu quả hơn. Trong khi đó, Trung tâm An ninh mạng Canada ghi nhận AI đã được dùng để soạn email lừa đảo cá nhân hóa ở quy mô lớn.
Trước đây, công sức dò tìm vô tình lọc bớt mục tiêu. Một chuỗi cửa hàng tiện lợi hay một nhà máy trong khu công nghiệp tỉnh thường bị xem là quá nhỏ để ra tay. Khi mỗi lần thử rẻ đi, mục tiêu nhỏ cũng thành đáng thử. Các bản chỉnh sửa cũng có mặt trái khi mỗi bản vá lại công bố cho người ngoài biết chỗ nào từng hở trong khi thiết bị đang chạy ca sản xuất không dễ dừng lại để cập nhật ngay.
Lừa đảo thì khó nhận ra hơn, từ email viết đúng giọng sếp, cuộc gọi bằng giọng nói giả lập đến hồ sơ ứng viên trau chuốt. Chuỗi sự việc ở Binance có cả một cuộc phỏng vấn tuyển dụng giả. Thủ đoạn không mới nhưng số lần thử mà mỗi doanh nghiệp phải đón thì đang tăng.
Từ an ninh sang khả năng chống chịu
Người làm điện quen với cách nghĩ này. Hệ thống điện nào cũng có khả năng xảy ra sự cố. Thứ được thiết kế kỹ là rơ-le bảo vệ cô lập đoạn hỏng thật nhanh để phần còn lại tiếp tục vận hành cùng quy trình khôi phục đã diễn tập từ trước.
Doanh nghiệp cũng vậy. Khả năng chống chịu không phải là không bao giờ bị tấn công mà là chịu được đòn, chặn được lan truyền và phục hồi nhanh. Cách nhìn đó dựa trên bốn lớp nền tảng.
Thứ nhất, biết mình có gì. Doanh nghiệp thường có danh sách máy chủ và máy tính văn phòng nhưng ít khi có danh mục đầy đủ các thiết bị vận hành đang nối mạng như hệ thống làm lạnh, camera, inverter hay hệ thống quản lý pin. Thiết bị không có trong danh mục thì khó được vá và giám sát.
Thứ hai, kiểm soát ai được vào. Quyền truy cập từ xa của nhà cung cấp nên ở mức tối thiểu đủ làm việc, có xác thực đa yếu tố, có thời hạn và được thu hồi khi hợp đồng kết thúc. Một rủi ro dễ bị bỏ quên là tài khoản của nhà thầu cũ vẫn còn mở.
Thứ ba, thiết kế lớp phê duyệt. Ở bài viết về VIFC trên TheLEADER, tôi đề nghị quy chế nội bộ chỉ rõ việc nào hệ thống được tự động làm, việc nào cần người có thẩm quyền ký, việc nào phải lên hội đồng. Vụ Binance cho thấy sự phân định ấy còn là chuyện an ninh. Giao dịch lớn và lệnh đổi cấu hình quan trọng cần nhiều người duyệt và việc xác minh phải đi qua một kênh độc lập với kênh nhận yêu cầu.
Thứ tư, thiết kế để thất bại an toàn. Bộ điều khiển tủ đông nên có giới hạn cứng để không thể nhận lệnh đặt 50 độ C dù lệnh đến từ đâu. Chế độ vận hành thủ công, bản sao lưu ngoại tuyến và diễn tập khôi phục thuộc cùng nhóm biện pháp này.
Công cụ AI cũng là một cánh cửa
Với tôi, chi tiết đáng chú ý nhất trong báo cáo của Binance là một công cụ AI nội bộ nằm trên đường tấn công. Công cụ AI mà doanh nghiệp đang dùng cũng là một nhà cung cấp và là một đường vào. Một tiện ích tải về từ nguồn không rõ có thể mang mã độc. Một agent được cấp quyền đọc email, truy cập kho dữ liệu và gửi lệnh thay người dùng dễ trở thành tài khoản có đặc quyền cao mà ít ai rà soát. Nhân viên đưa hợp đồng hay bảng lương lên một dịch vụ AI đám mây cho nhanh thì đang mở một kênh rò rỉ mà bộ phận công nghệ không thấy.
Trong bài Không chỉ năng lượng, AI cũng cần 'hạ tầng quản trị', tôi viết về trách nhiệm của người lãnh đạo khi AI tham gia vào quyết định. Nhìn từ góc an ninh, câu chuyện ấy gói trong ba điều cần trả lời: AI được làm gì và việc gì bắt buộc phải có người bấm nút, dữ liệu nào được đưa vào AI và khi AI sai thì ai đã ký duyệt. Nguyên tắc vẫn như trước: AI hỗ trợ phân tích, còn quyền phê duyệt và trách nhiệm thuộc về một người có tên.
Câu hỏi của hội đồng quản trị
Hội đồng quản trị nên đọc khả năng chống chịu như một chỉ tiêu tài chính. Một sự cố như ở Stockholm chạm thẳng vào doanh thu, hàng tồn kho và uy tín. Về lâu dài, đó cũng là thông tin mà bên bảo hiểm và bên cho vay có lý do để hỏi tới.
Với hạ tầng năng lượng phân tán, điều này càng rõ. Hệ thống điện mặt trời áp mái hay trạm pin lưu trữ được giám sát và điều khiển qua inverter và hệ thống quản lý pin; về kỹ thuật, chúng cũng là những chiếc tủ đông, nối mạng và thường do nhà cung cấp bên ngoài bảo trì. Tôi cho rằng khi thẩm định một dự án năng lượng, khả năng chống chịu của lớp điều khiển nên được xem xét ngang với giả định sản lượng và điều khoản hợp đồng mua bán điện.
HĐQT không cần thành chuyên gia an ninh mạng nhưng có thể đặt năm câu hỏi ở kỳ họp tới, đó là doanh nghiệp đã có danh mục đầy đủ các thiết bị đang nối mạng chưa, kể cả thiết bị vận hành; những nhà cung cấp nào đang có quyền truy cập từ xa vào hệ thống của doanh nghiệp và quyền đó hết hạn khi nào; giao dịch hoặc lệnh thay đổi nào hiện chỉ cần một người duyệt.
Cùng với đó là câu hỏi nếu mất hệ thống trong 72 giờ, doanh nghiệp tiếp tục vận hành bằng cách nào; lần gần nhất ta diễn tập khôi phục là khi nào và kết quả ra sao.
Chuyển đổi số càng nhanh thì yêu cầu chống chịu càng phải tăng theo; câu chuyện châu Âu không cho doanh nghiệp Việt lý do để làm chậm lại. Nhóm đáng lo nhất là doanh nghiệp vừa và nhỏ và các nhà máy trong khu công nghiệp, nơi nguồn lực bảo mật ít nhưng thiết bị nối mạng nhiều, từ máy nén khí, kho lạnh đến điện mặt trời trên mái nhà xưởng.
Khung pháp lý năm nay đã dày lên. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ 1/1/2026, Luật Trí tuệ nhân tạo số 134/2025/QH15 từ 1/3/2026 và Luật An ninh mạng số 116/2025/QH15 từ 1/7/2026. Điểm g khoản 2 Điều 7 Luật An ninh mạng cấm dùng AI hoặc công nghệ mới để giả mạo video, hình ảnh, giọng nói của người khác trái quy định của pháp luật. Nghị định 330/2026/NĐ-CP về xử phạt vi phạm hành chính trong an ninh mạng và bảo vệ dữ liệu cá nhân có hiệu lực từ 19/8/2026. Tuân thủ là điều kiện cần nhưng hồ sơ đầy đủ không giữ được kho hàng nếu tài khoản của nhà thầu bảo trì vẫn còn mở.
Áp lực thứ hai đến từ chuỗi cung ứng. Sau những vụ tấn công đi qua nhà cung cấp, các tập đoàn đa quốc gia có lý do để đòi đối tác chứng minh khả năng chống chịu bằng bằng chứng cụ thể, và với nhà cung cấp Việt Nam, đó có thể sớm trở thành điều kiện để ở lại trong chuỗi.
Người mua hàng ở Stockholm sáng hôm ấy không nghĩ tới phần mềm điều khiển tủ đông; họ chỉ tin hộp sữa trên kệ đã được giữ lạnh suốt đêm. Khách hàng của một sàn tiền số hay một ngân hàng cũng không đọc quy trình ký duyệt, họ tin quy trình ấy tồn tại và chạy đúng. Ở bài về VIFC, tôi viết rằng phép thử rõ nhất của niềm tin là cam kết có còn vận hành khi có sự cố hay không. Với an ninh doanh nghiệp, phép thử ấy thường đến lúc 2 giờ sáng khi không ai nhìn màn hình.
Máy móc đã học cách tìm mọi cánh cửa chưa khóa. Lợi thế còn lại thuộc về những tổ chức học được cách khóa cửa nhanh hơn và biết ai đang giữ chìa.
5 việc cho lãnh đạo doanh nghiệp trong 90 ngày
1. Lập danh mục mọi thiết bị đang nối mạng, kèm danh sách nhà cung cấp có quyền truy cập từ xa và thời hạn của từng quyền.
2. Bật xác thực đa yếu tố cho toàn bộ tài khoản quản trị và tài khoản của nhà cung cấp.
3. Áp dụng phê duyệt hai người, có xác minh qua kênh độc lập, cho giao dịch lớn và lệnh thay đổi cấu hình quan trọng.
4. Ban hành quy định sử dụng công cụ AI: nguồn được phép tải, loại dữ liệu được phép đưa vào, phạm vi quyền của agent và người chịu trách nhiệm.
5. Diễn tập một kịch bản mất hệ thống trong 72 giờ, ghi lại những gì không chạy được, và sửa trước kỳ họp hội đồng quản trị tiếp theo.
*Bài viết thể hiện quan điểm cá nhân, không đại diện cho các tổ chức.
Ông Phạm Đăng An
Phó tổng giám đốc Vũ Phong Energy Group*
Tạp chí điện tử Nhà Quản Trị - TheLEADER
Nguồn: https://theleader.vn/tu-an-ninh-mang-den-kha-nang-chong-chiu-cau-hoi-cua-hdqt-trong-ky-nguyen-ai-d48556.html - 15/11/2026 16:29