Tin tặc do thám hệ thống làm lạnh châu Âu: Ai đứng sau và mục tiêu tiếp theo là gì?

Tin tặc đã dò tìm lỗ hổng trong hệ thống làm lạnh tại châu Âu trước khi tấn công siêu thị và ngân hàng máu. Vụ việc cảnh báo nguy cơ các hệ thống hạ tầng kết nối Internet tại bệnh viện, trung tâm dữ liệu và nhiều công trình hiện đại cũng có thể trở thành mục tiêu…

Các cuộc tấn công đã phơi bày những lỗ hổng an ninh cơ bản trong các hệ thống làm lạnh được kết nối Internet - Ảnh: AP.

Các cuộc tấn công mạng nhằm vào hệ thống làm lạnh tại nhiều quốc gia châu Âu đầu tháng 11/2026 cho thấy một nguy cơ ngày càng rõ nét: tin tặc không nhất thiết phải xâm nhập những hệ thống công nghệ thông tin phức tạp hay đánh cắp dữ liệu để gây thiệt hại. Chỉ bằng cách khai thác các thiết bị điều khiển kết nối Internet với mật khẩu yếu và lỗ hổng chưa được xử lý, chúng có thể tác động trực tiếp đến hoạt động của những hệ thống vật lý thiết yếu.

Đáng chú ý, các nhà nghiên cứu an ninh mạng phát hiện tin tặc đã tiến hành dò tìm hệ thống làm lạnh từ nhiều ngày trước khi các sự cố xảy ra. Những dấu hiệu này làm dấy lên nghi vấn về một chiến dịch được chuẩn bị và phối hợp có chủ đích, dù danh tính cũng như động cơ của những kẻ tấn công hiện vẫn chưa được xác định.

DO THÁM NHIỀU NGÀY TRƯỚC KHI TẤN CÔNG

Theo các nhà nghiên cứu an ninh mạng, ngày 2 và 3/11/2026, hệ thống làm lạnh tại các siêu thị thuộc 9 quốc gia châu Âu cùng một số ngân hàng máu tại Pháp đã bị tấn công. Tin tặc khai thác những điểm yếu bảo mật và lỗ hổng trong hệ thống quản lý thiết bị làm lạnh AK-SM của nhà sản xuất Danfoss, qua đó chuyển tủ lạnh và tủ đông sang chế độ xả đá. Trong một số trường hợp, nhiệt độ được điều chỉnh lên tới 50 độ C.

Các sự cố khiến nhiều cửa hàng phải loại bỏ thực phẩm bị hư hỏng do không còn được bảo quản ở nhiệt độ thích hợp. Vụ việc trở thành minh chứng rõ ràng cho thấy những cuộc tấn công mạng nhằm vào các hệ thống hạ tầng ít được chú ý có thể gây gián đoạn trực tiếp đến hoạt động kinh doanh và đời sống thường nhật.

Công ty an ninh mạng Lupovis có trụ sở tại Glasgow (Scotland, Vương quốc Anh), chuyên phát triển công nghệ phát hiện và đánh lừa tin tặc, cho biết đã ghi nhận nhiều dấu hiệu do thám nhằm vào các hệ thống điều khiển làm lạnh trong khoảng thời gian từ ngày 20 đến 30/10, trước khi các cuộc tấn công diễn ra.

Trong 10 ngày này, Lupovis ghi nhận hơn 276 lần thử xâm nhập từ 91 tác nhân đe dọa khác nhau, nhắm vào những thành phần cụ thể trong hệ thống điều khiển của Danfoss. Hoạt động đạt đỉnh vào ngày 26/10, sau đó dừng lại vào cuối tháng.

"Trong khoảng thời gian từ ngày 20 đến 30/10, những gì chúng tôi quan sát được là một làn sóng hoạt động mà chúng tôi gọi là trinh sát". Ông Xavier Bellekens,Giám đốc điều hành Lupovi.

Theo ông, trong suốt 10 ngày, các đối tượng liên tục thử sử dụng mật khẩu mặc định và khai thác một số lỗ hổng bảo mật.

Lupovis phát hiện hoạt động này thông qua hệ thống được gọi là “honeypot” (hệ thống mồi nhử). Đây là những hệ thống mô phỏng hạ tầng trực tuyến và công nghệ của khách hàng, được trang bị cảm biến và chủ động đưa ra môi trường Internet để thu hút các cuộc tấn công.

Thông qua việc theo dõi cách tin tặc truy cập và khai thác các hệ thống mồi nhử, công ty có thể nhận diện những lỗ hổng bảo mật mà không gây nguy hiểm cho hệ thống thực tế của khách hàng.

Lupovis hiện có khách hàng gồm Chính phủ Scotland, Orange, Telefonica và một số doanh nghiệp bán lẻ. Công ty cho biết chính hệ thống giám sát này đã giúp phát hiện hoạt động dò tìm nhằm vào các hệ thống Danfoss trước các cuộc tấn công tháng 11.

Ông Bellekens ví hoạt động do thám này giống như những tên trộm lái xe qua một khu phố để xác định những ngôi nhà mà chúng dự định đột nhập. Điều đó cho thấy việc phát hiện các dấu hiệu bất thường trước khi xảy ra sự cố có thể đóng vai trò quan trọng trong công tác phòng thủ mạng. 

NGHI VẤN CHIẾN DỊCH CÓ SỰ THAM GIA CỦA CHỦ THỂ CẤP NHÀ NƯỚC

Sau khi phát hiện hoạt động dò tìm, Lupovis tiếp tục lần theo những dấu vết kỹ thuật số để lại trong quá trình trinh sát và tấn công. Các nhà nghiên cứu nhận thấy những đối tượng liên quan đã sử dụng dịch vụ lưu trữ web được gọi là “bulletproof hosting”.

Đây là những dịch vụ lưu trữ được thiết kế nhằm chống lại các yêu cầu gỡ bỏ và sự can thiệp của cơ quan thực thi pháp luật, qua đó gây khó khăn cho việc ngăn chặn các máy chủ được sử dụng vào mục đích độc hại.

Một dấu hiệu khác được công ty chú ý là hoạt động dò tìm chỉ được ghi nhận tại các cảm biến đặt ở châu Âu. Những cảm biến của Lupovis tại Nam Mỹ, châu Phi, Bắc Mỹ và châu Á không ghi nhận hoạt động tương tự. Bên cạnh đó, phần lớn các cuộc tấn công xảy ra trong khoảng thời gian 24 giờ, cho thấy khả năng có sự phối hợp giữa các đối tượng.

"Tất cả những điều này khiến chúng tôi cho rằng đối tượng đứng sau không phải là một tin tặc nghiệp dư thiếu kỹ năng, cũng không phải một cá nhân hoạt động đơn độc. Đây có vẻ là một chiến dịch được lên kế hoạch kỹ lưỡng. Vì vậy, khả năng có sự tham gia của một chủ thể cấp nhà nước là hoàn toàn có cơ sở". Ông Xavier Bellekens,Giám đốc điều hành Lupovi

Ông George Nott, biên tập viên công nghệ của The Grocer, cho rằng các cuộc tấn công dường như không đòi hỏi những kỹ thuật xâm nhập đặc biệt tinh vi. Tin tặc chỉ cần tìm thấy các trang đăng nhập của hệ thống trên Internet công khai, sau đó khai thác những lỗ hổng đã được vá hoặc sử dụng mật khẩu yếu.

Ông cũng cảnh báo không nên vội kết luận về thủ phạm, bởi chưa có nhóm nào nhận trách nhiệm và cũng không xuất hiện yêu cầu tiền chuộc. Theo ông, thủ phạm có thể là một nhóm được nhà nước hậu thuẫn hoặc thậm chí là những cá nhân thực hiện hành vi này chỉ để mua vui.

Các cơ quan an ninh mạng tại châu Âu cũng có cách đánh giá khác nhau về tính chất vụ việc. Bỉ, Luxembourg, Italy, Bồ Đào Nha và Estonia gọi đây là các cuộc tấn công mạng, trong khi Thụy Điển và Ireland sử dụng thuật ngữ “sự cố mạng”. Cơ quan An ninh mạng Liên minh châu Âu (ENISA) cũng chưa chính thức xác định đây là một cuộc tấn công mạng.

Theo Lupovis, các đối tượng có thể truy cập hệ thống làm lạnh thông qua những hộp điều khiển kết nối Internet, vốn được sử dụng để quản lý từ xa các thiết bị làm lạnh.

Việc điều khiển thiết bị từ xa ngày càng phổ biến trong môi trường số hóa. Tuy nhiên, ông Bellekens cho rằng nhiều hệ thống có thể được bảo vệ tốt hơn nếu được đặt trong mạng riêng ảo (VPN), thay vì để lộ trực tiếp trên Internet.

Đáng lo ngại hơn, nhiều hệ thống được cho là vẫn sử dụng thông tin đăng nhập mặc định từ nhà sản xuất, chẳng hạn tên người dùng “Supervisor” và mật khẩu “12345”. Điều này cho thấy những biện pháp bảo mật cơ bản như thay đổi mật khẩu mặc định đã không được thực hiện.

Ông Nott nhận định vấn đề phản ánh một điểm yếu phổ biến trong ngành bán lẻ: các doanh nghiệp thường ưu tiên bảo vệ những hệ thống dễ nhận thấy như thanh toán và dữ liệu khách hàng, trong khi an ninh của các thiết bị kết nối lại chưa được quan tâm tương xứng.

Sau khi xâm nhập thành công, tin tặc có thể điều khiển hệ thống làm lạnh chuyển sang chế độ xả đá và tăng nhiệt độ, khiến thực phẩm trong các tủ lạnh, tủ đông bị hư hỏng.

Điều đáng chú ý là những thiết bị này vốn được thiết kế để hỗ trợ quản lý và vận hành từ xa, nhưng nếu không được bảo vệ đúng cách, chính khả năng kết nối lại trở thành điểm yếu để tin tặc khai thác.

BỆNH VIỆN, TRUNG TÂM DỮ LIỆU CÓ THỂ TRỞ THÀNH MỤC TIÊU TIẾP THEO

Các cuộc tấn công đã làm dấy lên lo ngại rằng những hệ thống kết nối Internet khác cũng có thể đối mặt với rủi ro tương tự, từ thiết bị trong siêu thị đến hệ thống kiểm soát ra vào, sưởi ấm và thông gió trong các tòa nhà.

Ông Nott cảnh báo những cuộc tấn công trong tương lai có thể không chỉ giới hạn ở hệ thống làm lạnh. Ngày càng nhiều thiết bị phục vụ hoạt động của siêu thị được kết nối Internet, bao gồm hệ thống sưởi, thông gió và điều hòa không khí, nhãn giá điện tử và robot vệ sinh sàn. Nếu quyền truy cập từ xa không được bảo vệ và phần mềm không được cập nhật bản vá bảo mật, những thiết bị này đều có thể xuất hiện các lỗ hổng tương tự.

Theo ông Kumar Sokka, Giám đốc điều hành Acre Security, một nhà cung cấp giải pháp an ninh vật lý tích hợp toàn cầu, hệ thống làm lạnh chỉ là ví dụ dễ nhận thấy nhất của một nhóm hạ tầng có nguy cơ lớn hơn nhiều.

Ông cho biết cùng một loại bộ điều khiển nhỏ kết nối Internet được sử dụng để điều chỉnh nhiệt độ tủ lạnh cũng có thể vận hành cửa ra vào, đầu đọc kiểm soát truy cập, camera, hệ thống báo động, chiếu sáng, sưởi ấm và thông gió tại nhiều tòa nhà hiện đại.

Những điểm yếu tương tự có thể ảnh hưởng đến các lĩnh vực logistics, kho bãi, y tế, sản xuất và trung tâm dữ liệu, đặc biệt khi thiết bị kết nối được đưa vào sử dụng mà không có sự giám sát đầy đủ.

Ông Sokka cảnh báo, tại một văn phòng, bệnh viện hoặc trung tâm dữ liệu, một vụ xâm nhập có thể khiến cửa ra vào tự động mở, camera ngừng hoạt động hoặc hệ thống báo động không phát tín hiệu. Những sự cố như vậy có thể diễn ra mà không để lại dấu hiệu dễ nhận biết như thực phẩm bị hư hỏng trong các vụ tấn công hệ thống làm lạnh.

Rủi ro càng nghiêm trọng đối với những hệ thống mà một hành vi xâm nhập kỹ thuật số có thể gây ra hậu quả trực tiếp trong thế giới vật lý.

AI CÓ THỂ RÚT NGẮN THỜI GIAN TỪ PHÁT HIỆN LỖ HỔNG ĐẾN TẤN CÔNG

Theo ông Sokka, mặc dù châu Âu đã có các quy định về an ninh mạng, nhiều tổ chức vẫn chưa xem những hệ thống vật lý kết nối Internet là một phần trong trách nhiệm bảo vệ an ninh tổng thể.

Chỉ thị NIS2 của Liên minh châu Âu yêu cầu các tổ chức thuộc phạm vi điều chỉnh phải quản lý rủi ro đối với hệ thống mạng và thông tin, bao gồm các biện pháp bảo mật, quản lý tài sản và xử lý sự cố.

Tuy nhiên, nhiều tổ chức vẫn tập trung triển khai các yêu cầu tuân thủ đối với những hệ thống công nghệ thông tin truyền thống như máy chủ, máy tính xách tay và email. Trong khi đó, hệ thống làm lạnh, kiểm soát ra vào và các thiết bị kỹ thuật tòa nhà thường được giao cho bộ phận quản lý cơ sở vật chất, với tư cách là công việc bảo trì thay vì một vấn đề an ninh mạng.

Ông Sokka cho rằng điểm thiếu hụt không hẳn nằm ở việc chưa có quy định, mà ở cách các tổ chức xác định và quản lý những rủi ro này. Theo ông, các hệ thống vật lý kết nối Internet cần được xem là một phần của bề mặt tấn công mà những quy định hiện hành đã yêu cầu bảo vệ. Đồng thời, doanh nghiệp phải xác định rõ bộ phận hoặc cá nhân chịu trách nhiệm quản lý an ninh của các hệ thống đó.

Bên cạnh những lỗ hổng bảo mật hiện hữu, các chuyên gia còn cảnh báo sự phát triển của trí tuệ nhân tạo (AI) có thể giúp tin tặc phát hiện điểm yếu trong các thiết bị kết nối dễ dàng hơn và đẩy nhanh quá trình xây dựng những phương thức tấn công mới.

Ông Gianni Cuozzo, nhà sáng lập kiêm Giám đốc điều hành công ty an ninh mạng Exein của Italy, cho rằng AI đang làm thay đổi đáng kể khoảng thời gian giữa việc phát hiện một lỗ hổng bảo mật và biến lỗ hổng đó thành một cuộc tấn công có thể triển khai.

"AI đang rút ngắn khoảng thời gian từ khi tìm ra một lỗ hổng bảo mật đến khi biến nó thành một cuộc tấn công thực sự". Ông Gianni Cuozzo Nhà sáng lập kiêm Giám đốc điều hành công ty an ninh mạng Exein của Italy

Theo ông, các nhà sản xuất thiết bị kết nối có thể gặp khó khăn trong việc vá lỗi, kiểm thử và triển khai lại phần mềm với tốc độ tương ứng tốc độ phát hiện lỗ hổng.

Những hệ thống đáng lo ngại nhất là các thiết bị kết nối được triển khai trong thời gian dài và có thể điều khiển từ xa, bao gồm hệ thống làm lạnh, hệ thống điều khiển tòa nhà, thiết bị công nghiệp, hệ thống y tế, trung tâm dữ liệu và một phần hạ tầng năng lượng, giao thông.

Ông Cuozzo cho rằng các tổ chức không nên chỉ dựa vào việc cập nhật bản vá hoặc bảo vệ mạng, mà cần bảo đảm bản thân thiết bị cũng có khả năng nhận diện và ngăn chặn những hành vi bất thường ngay trong quá trình vận hành.

Theo chuyên gia này, mỗi thiết bị cần có khả năng chủ động ngăn chặn những hành vi mà nó không được phép thực hiện, bất kể lỗ hổng đã được phát hiện hay chưa và bản vá bảo mật đã được triển khai hay chưa.

Vụ việc tại các siêu thị châu Âu cho thấy an ninh mạng không còn chỉ là vấn đề bảo vệ máy chủ, dữ liệu hay hệ thống thanh toán. Khi ngày càng nhiều thiết bị vật lý được kết nối và điều khiển từ xa, phạm vi bảo vệ cũng phải mở rộng sang những hệ thống trực tiếp duy trì hoạt động của doanh nghiệp và các hạ tầng thiết yếu.

Những chiếc tủ lạnh bị tin tặc điều khiển có thể chỉ là biểu hiện dễ nhận thấy của một nguy cơ rộng hơn: một lỗ hổng trong thiết bị kết nối Internet có thể tạo ra hậu quả thực tế đối với hoạt động sản xuất, kinh doanh, chăm sóc sức khỏe và vận hành các công trình hiện đại.