Một cuộc điều tra an ninh mạng gần đây đã phanh phui mối liên hệ đáng lo ngại giữa nhóm tin tặc APT39, được cho là có sự hậu thuẫn của chính quyền Iran, và công ty an ninh mạng Amnban. Vụ việc này đã dẫn đến việc rò rỉ hàng gigabyte dữ liệu nhạy cảm, đồng thời vạch trần hoạt động gián điệp mạng có tổ chức, đe dọa đến an toàn hàng không và bảo mật cá nhân trên toàn cầu.

Công ty Amnban được thành lập vào năm 2018 với sự hậu thuẫn của các cựu sinh viên Đại học Sharif và Đại học Amir Kabir, ban đầu quảng bá là đơn vị chuyên về thử nghiệm xâm nhập và tư vấn bảo mật hợp pháp. Tuy nhiên, dữ liệu bị rò rỉ gần đây đã cho thấy một bức tranh hoàn toàn khác: công ty này bị cáo buộc là vỏ bọc cho nhóm APT39 (còn gọi là Chafer), chuyên thu thập thông tin tình báo mạng cho Bộ Tình báo Iran (MOIS).

Các tài liệu bị đánh cắp cho thấy Amnban không chỉ bị xâm nhập mà còn trực tiếp vận hành các chiến dịch thu thập dữ liệu nhạy cảm như hộ chiếu, địa chỉ, ảnh chân dung và thông tin liên hệ của hàng triệu hành khách hàng không trên toàn thế giới. Những dữ liệu này có thể bị sử dụng để theo dõi, đánh cắp danh tính, thậm chí phục vụ mục đích vi phạm nhân quyền.

Một số nhân vật chủ chốt của công ty Amnban đã bị nêu tên, bao gồm CEO Behnam Amiri, người từng bị tình báo quốc tế cảnh báo, và Ali Kamali, hacker từng bị FBI trừng phạt vì các cuộc tấn công vào cơ sở hạ tầng của Mỹ. Ngoài ra, đặc vụ Hamed Mashayekhi của MOIS cũng được cho là thường xuyên lui tới trụ sở Amnban.

Từ các hãng hàng không đến sàn tiền số: Mục tiêu toàn cầu

Dưới danh nghĩa đào tạo OSINT (tình báo nguồn mở), Amnban đã tiến hành do thám hàng loạt hãng hàng không như Emirates, Qatar Airways, Turkish Airlines, Etihad, Kenya Airways… cùng các công ty vận chuyển lớn như FedEx, DHL, USPS, và cả các thực thể của Nga. Dữ liệu cho thấy các chiến dịch có quy mô lớn, có tổ chức và nhắm đến cả đồng minh lẫn đối thủ của Iran.

Không dừng lại ở đó, nhóm còn nhắm đến sàn giao dịch tiền số như KuCoin, Binance, CoinSwitch… bằng cách sử dụng kỹ thuật xã hội tinh vi như tạo hồ sơ giả trên LinkedIn để lừa đảo nhân viên, dụ họ cài mã độc, hoặc thu thập thông tin hệ thống qua các liên kết theo dõi.

Hạ tầng hỗ trợ chiến dịch này bao gồm hàng trăm máy chủ ảo và hệ thống gửi email giả mạo được phân bố toàn cầu, cho phép vận hành liên tục các hoạt động lừa đảo, đánh cắp dữ liệu, kiểm soát từ xa, đe dọa nghiêm trọng đến an ninh hàng không và mạng lưới tài chính quốc tế.

Sự cố này là lời cảnh báo mạnh mẽ về rủi ro đến từ các hoạt động gián điệp mạng do nhà nước tài trợ. Các tổ chức hàng không, công nghệ và tài chính cần khẩn cấp đánh giá lại hệ thống bảo mật, trong khi cộng đồng quốc tế cần phối hợp hành động để đối phó với những mối đe dọa có tổ chức như APT39.

Ngày 7/7/2025, Microsoft đã phát đi cảnh báo bảo mật khẩn cấp liên quan đến một chiến dịch tấn công có chủ đích và đang diễn ra, nhắm vào hệ thống SharePoint Server on-premises. Ba nhóm tin tặc có nguồn gốc từ Trung Quốc, bao gồm Linen Typhoon, Violet Typhoon và Storm-2603, được xác định là những kẻ đứng sau các cuộc tấn công này. Thông qua việc khai thác một chuỗi các lỗ hổng bảo mật nghiêm trọng, các nhóm tin tặc đã có thể vượt qua xác thực, thực thi mã từ xa và chiếm quyền kiểm soát hệ thống nội bộ của nạn nhân.

Một trong những điểm đáng chú ý của chiến dịch tấn công này là việc Cơ quan Quản lý An ninh Hạt nhân Quốc gia Mỹ (NNSA), thuộc Bộ Năng lượng Hoa Kỳ, đã trở thành nạn nhân của vụ tấn công vào ngày 18/7/2025. Mặc dù chỉ một số hệ thống bị ảnh hưởng và không có bằng chứng về việc rò rỉ dữ liệu mật, sự việc này đã phơi bày quy mô và mức độ tinh vi của làn sóng tấn công hiện tại.

Qua quá trình điều tra, Microsoft đã xác định được bốn lỗ hổng bảo mật chính được khai thác trong đợt tấn công này, bao gồm CVE-2025-49706, CVE-2025-49704, CVE-2025-53770 và CVE-2025-53771. Những lỗ hổng này ảnh hưởng đến các phiên bản SharePoint Server 2016, 2019 và Subscription Edition cài đặt tại chỗ. Điều này đồng nghĩa với việc hàng nghìn tổ chức trên toàn thế giới có thể đang đối mặt với nguy cơ bị tấn công.

Để đối phó với tình hình, Microsoft đã nhanh chóng phát hành các bản vá bảo mật tương ứng nhằm khắc phục các lỗ hổng đã được xác định. Song song với đó, Microsoft cũng đưa ra khuyến nghị cho các tổ chức về việc triển khai ngay các biện pháp phòng thủ. Các biện pháp này bao gồm kích hoạt AMSI ở chế độ Full Mode, trang bị Microsoft Defender Antivirus, thực hiện xoay vòng khóa xác thực ASP.NET và khởi động lại dịch vụ IIS.

Cục Quản lý An ninh Mạng và An toàn Thông tin (CISA) đã đưa CVE-2025-53771 vào danh sách các lỗ hổng cần được khắc phục khẩn cấp vào ngày 22/7/2025, với thời hạn hoàn thành chỉ một ngày sau đó. Các chuyên gia an ninh mạng cảnh báo rằng sự kết hợp giữa khả năng vượt qua xác thực và thực thi mã từ xa tạo ra công thức lý tưởng cho các chiến dịch tấn công mã hóa dữ liệu, một loại tấn công ngày càng phổ biến và nguy hiểm.

Trong bối cảnh các lỗ hổng bảo mật đang bị khai thác tích cực và có sẵn trên thị trường, việc cập nhật bản vá không còn là một lựa chọn mà đã trở thành một hành động sống còn đối với các tổ chức. Việc chậm trễ trong việc áp dụng các bản vá bảo mật có thể khiến cho hệ thống của các tổ chức trở thành mục tiêu tấn công dễ dàng, gây ra những hậu quả nghiêm trọng.

Nguồn: Microsoft

Một loạt vụ tấn công mạng gần đây đã nhắm vào phần mềm quản lý tài liệu SharePoint của Microsoft, với Cơ quan An ninh hạt nhân quốc gia Mỹ (NSA) là một trong những mục tiêu chính. Mặc dù hệ thống của NSA bị xâm nhập, nhưng may mắn là không có dữ liệu mật hay thông tin nhạy cảm nào bị đánh cắp.

Các cuộc tấn công này nằm trong chiến dịch có tên ‘ToolShell’, cho phép tin tặc chiếm quyền kiểm soát hoàn toàn hệ thống và cài đặt cửa hậu (backdoor) để truy cập lâu dài. Chiến dịch này đã nhắm vào các tổ chức sử dụng SharePoint trong nhiều lĩnh vực, bao gồm chính phủ, công nghiệp quốc phòng, ngân hàng và y tế.

Đức và một số nước châu Âu khác cũng là mục tiêu của các cuộc tấn công này. Các chuyên gia bảo mật cho biết, sự phát triển của trí tuệ nhân tạo (AI) đã giúp tin tặc tạo ra các cuộc tấn công mạng tinh vi hơn. Chúng sử dụng email lừa đảo với nội dung tự nhiên giống như thật để đánh lừa người dùng.

Các chuyên gia bảo mật khuyến cáo người dùng cần nâng cao cảnh giác và áp dụng các biện pháp bảo mật cần thiết để phòng tránh các cuộc tấn công mạng. Việc cập nhật phần mềm và hệ thống thường xuyên, sử dụng mật khẩu mạnh và cẩn thận khi mở email từ nguồn không xác định là một số biện pháp giúp bảo vệ thông tin.

Các tổ chức và doanh nghiệp cần ưu tiên bảo mật và triển khai các giải pháp cần thiết để ngăn chặn các cuộc tấn công mạng. Mới đây, Microsoft đã cảnh báo về các cuộc tấn công mạng nhắm vào SharePoint và khuyến cáo người dùng cần thận trọng khi sử dụng phần mềm này.

Microsoft và các chuyên gia bảo mật khác đang làm việc để ngăn chặn các cuộc tấn công mạng và bảo vệ thông tin của người dùng. Người dùng cũng cần tích cực hợp tác và chủ động bảo vệ thông tin của mình để giảm thiểu rủi ro.