Từ cuộc phỏng vấn giả đến vụ hack hàng tỷ USD: Cảnh báo an ninh mạng với ngành tài chính

Tin tặc được cho là đã tiếp cận nhân viên Binance thông qua một cuộc phỏng vấn tuyển dụng giả mạo, sau đó khai thác máy tính bị nhiễm mã độc và các điểm yếu trong hệ thống nội bộ để đánh cắp tài sản số. Vụ việc không chỉ phơi bày rủi ro từ yếu tố con người mà còn đặt ra yêu cầu thay đổi chiến lược an ninh mạng đối với các ngân hàng và tổ chức tài chính.

Kẽ hở từ một cuộc phỏng vấn tuyển dụng giả

Ngày 3/11, Binance công bố báo cáo ban đầu về vụ tấn công mạng khiến sàn giao dịch tiền điện tử này thất thoát lượng tài sản kỹ thuật số trị giá hàng tỷ USD vào cuối tháng 10. Theo mô tả của doanh nghiệp, đây là chiến dịch tấn công nhiều giai đoạn, được chuẩn bị từ tháng 6/2026.

Theo báo cáo, tin tặc đã tiếp cận một kỹ sư phần mềm của Binance thông qua nền tảng tìm kiếm việc làm, giả danh giám đốc dự án để tạo dựng lòng tin. Sau đó, đối tượng tiếp tục liên lạc với nhân viên này qua ứng dụng nhắn tin, dưới danh nghĩa lãnh đạo một công ty không có thật.

Kỹ sư được dụ tải về máy tính cá nhân một tệp tài liệu chứa mã độc. Binance cho biết đây là bước khởi đầu cho chuỗi hoạt động xâm nhập trái phép sau đó.

Đến ngày 20/10, tin tặc sử dụng chiếc máy tính đã bị xâm nhập để tiếp cận thiết bị của hai kỹ sư phần mềm khác thuộc nhóm phát triển ví kỹ thuật số của Binance. Một trong hai nhân viên này từng vô tình tải phần mềm độc hại từ tháng 6 khi tìm cách cài đặt “một công cụ hỗ trợ lập trình bằng AI phổ biến”. Sự cố đã làm lộ thông tin về vị trí công việc và vai trò của một số đồng nghiệp phụ trách hệ thống ví.

Theo Binance, tin tặc còn sử dụng một “công cụ AI nội bộ” để giành quyền truy cập, song doanh nghiệp chưa công bố cụ thể công cụ này cũng như cách thức bị khai thác.

Với thông tin xác thực bị đánh cắp và quyền kiểm soát máy tính của các kỹ sư, tin tặc kích hoạt mã độc vào ngày 29/10, thực hiện cuộc tấn công và lấy đi lượng tiền điện tử trị giá hàng tỷ USD.

Ông Richard Teng, đồng CEO Binance, nhấn mạnh: “Đây không phải là sai sót đơn lẻ của một cá nhân hay một vụ xâm nhập duy nhất. Đó là một chiến dịch được dàn dựng trong suốt nhiều tháng”.

Binance và Cục Điều tra Liên bang Mỹ (FBI) cáo buộc tin tặc Triều Tiên đứng sau vụ việc, trong khi Bình Nhưỡng phủ nhận mọi liên quan. Binance cho biết trong năm 2026, công ty đã phát hiện và ngăn chặn 57 nỗ lực tấn công từ các nhóm tin tặc có liên hệ với Triều Tiên.

Những diễn biến trên cho thấy rủi ro an ninh mạng không chỉ nằm ở hệ thống lưu trữ tài sản hay công nghệ bảo vệ ví, mà còn có thể bắt nguồn từ thiết bị cá nhân, quy trình tuyển dụng và quyền truy cập của nhân viên vào các dịch vụ nội bộ.

AI làm gia tăng sức ép lên hệ thống bảo mật

Vụ việc tại Binance diễn ra trong bối cảnh trí tuệ nhân tạo đang làm thay đổi đáng kể cả phương thức phòng thủ lẫn cách thức tấn công mạng.

Theo ông Arseniy Shcheltsin, Giám đốc điều hành tổ chức phi lợi nhuận Nền tảng kỹ thuật số, các tác nhân AI có chi phí khoảng 5.000 USD đã có thể quét hàng nghìn trang web để tìm kiếm lỗ hổng. Nếu thực hiện thủ công, công việc này sẽ tốn nhiều thời gian và chi phí hơn. AI vì vậy đang làm tăng đáng kể năng suất tìm kiếm điểm yếu trong hệ thống.

Điều này khiến nguy cơ an ninh mạng không còn giới hạn ở những nhóm tội phạm có nguồn lực và trình độ kỹ thuật đặc biệt cao. Với công cụ phù hợp, các đối tượng có thể tìm kiếm điểm yếu trên diện rộng, rút ngắn thời gian chuẩn bị và tăng khả năng tiếp cận các mục tiêu có giá trị.

Mức độ lo ngại của các tổ chức tài chính cũng đang gia tăng. Báo cáo Phân tích tình hình ngành quản lý tài sản 2026 của GlobalData cho thấy 65% tổ chức quản lý tài sản được khảo sát xác định các mối đe dọa an ninh mạng là mối quan ngại lớn nhất, tăng so với mức 56% năm 2025. Khảo sát được thực hiện với 478 công ty quản lý tài sản tại 20 thị trường trong quý II/2026.

Theo bà Phoebe Hodgson, chuyên gia phân tích cấp cao về ngân hàng và thanh toán của GlobalData, chiến lược an ninh mạng không nên chỉ tập trung vào ngăn chặn truy cập trái phép. Khi ngân hàng đẩy mạnh ứng dụng AI, thanh toán tự động và các nền tảng kỹ thuật số có tính kết nối cao, việc phát hiện giao dịch đáng ngờ, khoanh vùng và kiểm soát sự cố trước khi dòng tiền bị chuyển đi cũng trở nên quan trọng.

Các chiến lược an ninh mạng thế hệ mới sẽ không chỉ xoay quanh việc ngăn chặn các cuộc tấn công, mà còn phải hạn chế những hậu quả tài chính do các cuộc tấn công gây ra, làm sao để ngăn chặn một vụ xâm nhập riêng lẻ leo thang thành tổn thất tài chính quy mô lớn.

Ngành tài chính cần chuyển từ ngăn chặn sang tăng khả năng chống chịu

Thách thức lớn đối với các tổ chức tài chính là tốc độ tấn công ngày càng nhanh, trong khi quy trình phát hiện và khắc phục lỗ hổng vẫn có thể kéo dài. Sự phát triển của AI đang khiến việc phản ứng kịp thời trở nên khó khăn hơn.

Theo Microsoft, khoảng thời gian từ khi một lỗ hổng được công bố đến cuộc tấn công đầu tiên hiện chỉ vào khoảng một ngày, trong khi doanh nghiệp có thể mất từ 30–60 ngày để vá các lỗ hổng nghiêm trọng.

Ngày 21/10, hai lỗ hổng bảo mật nghiêm trọng được phát hiện trong PHP, ngôn ngữ lập trình được sử dụng rộng rãi trên các trang web. Một trong hai lỗ hổng được phát hiện bởi mô hình của OpenAI. Chỉ trong vài giờ, Cloudflare ghi nhận hàng triệu cuộc tấn công.

Trong trường hợp Binance, phần lớn số tiền điện tử bị đánh cắp đã được chuyển đi trong khoảng 20 phút. Khoảng thời gian ngắn này cho thấy nếu các lớp bảo vệ không kịp thời phát hiện và ngăn chặn giao dịch bất thường, thiệt hại có thể xảy ra trước khi đội ngũ an ninh mạng hoàn tất quy trình ứng phó.

Bà Yulia Voronova, Giám đốc tư vấn của công ty an ninh mạng Positive Technologies, cho rằng các tổ chức cần xây dựng hệ thống an ninh thông tin theo nguyên tắc phòng thủ nhiều lớp. Đội ngũ bảo mật phải dự liệu những bước mà tin tặc có thể thực hiện, đồng thời bố trí các lớp bảo vệ nhằm kéo dài thời gian xâm nhập và tạo điều kiện phát hiện, ứng phó trước khi kẻ tấn công đạt được mục tiêu.

Cùng quan điểm, chuyên gia GlobalData nhấn mạnh khả năng chống chịu trước các cuộc tấn công mạng trong thời gian tới không nên chỉ được đánh giá bằng việc tổ chức có ngăn chặn được mọi vụ xâm nhập hay không. Quan trọng hơn là khả năng kiểm soát sự cố, ngăn chặn tin tặc biến một vụ xâm nhập thành tổn thất tài chính không thể đảo ngược.

Sau vụ việc, Binance cho biết đã triển khai các biện pháp khắc phục, trong đó có xây dựng lại hạ tầng tiền điện tử bị ảnh hưởng, phát triển lại công cụ AI nội bộ, tăng cường quét bảo mật và các hệ thống phát hiện mối đe dọa dựa trên AI.

Dù vụ tấn công có quy mô lớn, tác động đến thị trường tiền điện tử được ghi nhận ở mức hạn chế. Bitcoin từng giảm hơn 4% sau khi sự việc xảy ra, xuống gần 76.000 USD, trước khi phục hồi một phần và giao dịch quanh 77.600 USD vào ngày 3/11.

Vụ việc tại Binance một lần nữa cho thấy trong môi trường tài chính số có mức độ kết nối cao, một thiết bị nhân viên bị xâm nhập cũng có thể trở thành mắt xích dẫn đến rủi ro trên toàn hệ thống. Khi AI tiếp tục được ứng dụng rộng rãi, các tổ chức tài chính sẽ phải đầu tư nhiều hơn cho bảo mật thiết bị đầu cuối, quản lý quyền truy cập, giám sát giao dịch và khả năng ứng phó sự cố, thay vì chỉ dựa vào các lớp phòng thủ truyền thống.