Khi 11.000 Thiết Bị Có Nguy Cơ Bị Chiếm Quyền: Cảnh Báo An Ninh Cho Ngành Viễn Thông

Ngành viễn thông là nền tảng của xã hội kỹ thuật số ngày nay. Từ kết nối di động, hỗ trợ kinh tế, cho đến việc duy trì hạ tầng quốc gia và các hệ thống thông minh như nhà ở, giao thông, tất cả đều phụ thuộc vào hệ thống mạng viễn thông ổn định và bảo mật. Tuy nhiên, quy mô rộng lớn cùng hạ tầng cũ kỹ khiến các nhà cung cấp dịch vụ phải đối mặt với một bề mặt tấn công ngày càng khó kiểm soát bằng các công cụ truyền thống.

Phát Hiện Lỗ Hổng Trên 11.000 Thiết Bị: Câu Chuyện Từ ULTRA RED

Trong quá trình quét tự động cơ sở hạ tầng viễn thông, ULTRA RED — một tổ chức chuyên về an ninh mạng — đã phát hiện một bảng điều khiển quản trị có thể truy cập bất hợp pháp tại hệ thống quản lý điện thoại nội bộ của một nhà mạng lớn ở Châu Âu. Điều đặc biệt nguy hiểm là quá trình xác thực của cổng đăng nhập này lại phụ thuộc vào mã JavaScript phía client — một cấu trúc bảo mật rất dễ bị vô hiệu hóa.

Chỉ bằng cách tắt đoạn script này, đội ngũ ULTRA RED đã vượt qua toàn bộ quy trình đăng nhập và truy cập được vào backend hệ thống. Họ phát hiện thêm rằng các API đằng sau bảng điều khiển hoàn toàn không có xác thực session và cũng không có kiểm soát quyền truy cập nào. Đây là một lỗ hổng nghiêm trọng, mở đường cho kẻ tấn công.

Quyền Kiểm Soát Đầy Đủ Trên Thiết Bị Người Dùng

Những gì hệ thống ULTRA RED truy cập được không chỉ là giao diện quản trị — mà là trung tâm điều khiển của hơn 11.000 điện thoại được quản lý từ xa. Chức năng bao gồm:

Khởi động lại thiết bị
Đẩy hoặc thay đổi firmware
Tải ROM thiết bị
Điều chỉnh cấu hình hệ thống
Xuất dữ liệu dưới dạng CSV bao gồm địa chỉ IP, số điện thoại, ID thiết bị và tên người dùng

Một kẻ tấn công, nếu phát hiện lỗ hổng này trước, có thể gây ra thiệt hại khôn lường: từ việc “brick” thiết bị (biến thiết bị thành vật vô dụng), thay đổi firmware theo ý đồ xấu, đến cài cắm phần mềm gián điệp trực tiếp vào phần cứng viễn thông.

Rủi Ro Từ Thiết Kế Hệ Thống

Sự cố trên không phải là trường hợp cá biệt, mà là biểu hiện của một vấn đề mang tính toàn ngành. Hạ tầng viễn thông thường bao gồm nhiều lớp hệ thống đã cũ, hàng loạt API không được kiểm soát và rất nhiều thiết bị kết nối internet. Sự phức tạp và quy mô lớn khiến việc giám sát bảo mật trở thành một thách thức lớn.

Các đội ngũ an ninh thường phải xử lý số lượng lớn cảnh báo mỗi ngày, nhưng không có đủ công cụ để xác định những lỗ hổng nào thực sự có thể khai thác. Hệ thống quét lỗ hổng có thể phát hiện hàng nghìn vấn đề, nhưng lại không đưa ra bằng chứng cụ thể — dẫn đến tình trạng xử lý bị động, dàn trải và dễ bỏ sót điểm yếu quan trọng.

Sức Mạnh Của Xác Thực Chủ Động

ULTRA RED đã áp dụng cách tiếp cận “xác thực trước” (validation-first) bằng chính nền tảng bảo mật của họ. Thay vì chỉ liệt kê các lỗ hổng có thể có, hệ thống sẽ kiểm tra thực tế, chứng minh lỗ hổng nào có thể khai thác và cung cấp bằng chứng cụ thể. Trong vụ việc vừa qua, sự xác minh kịp thời đã tạo ra sự khác biệt lớn: lỗ hổng không chỉ được phát hiện mà còn được đánh giá trong thời gian thực, đi kèm với hướng dẫn khắc phục gửi ngay tới nhà mạng — tất cả đều được thực hiện trước khi bất kỳ tổ chức nào có thể khai thác lỗ hổng này.

Với tỷ lệ false positives chưa đến 1%, hệ thống giúp nhóm bảo mật tiết kiệm thời gian, tập trung vào xử lý các rủi ro thực tế và không phải chạy theo các cảnh báo giả, không chính xác.

Tổng Kết

Vụ việc lần này là một hồi chuông cảnh tỉnh cho toàn ngành viễn thông. Trong bối cảnh tấn công mạng đang ngày càng tinh vi, nhanh chóng và dựa vào AI cũng như tự động hóa, việc phát hiện sớm và xác thực rõ ràng các lỗ hổng bảo mật không còn là lựa chọn, mà là điều bắt buộc.

Các nhà cung cấp dịch vụ viễn thông cần chuyển từ phương pháp scan truyền thống sang hướng tiếp cận xác thực chủ động. Khi attack surface ngày càng mở rộng, những lỗ hổng nhỏ nhất cũng có thể mang lại hậu quả khôn lường — và chỉ có chiến lược bảo mật thông minh, hiệu quả mới có thể đảm bảo an toàn thực sự cho hạ tầng số.

Thông tin hãng cung cấp giải pháp:

Unitas là nhà phân phối ủy quyền tại Việt Nam của các hãng công nghệ lớn của thế giới: Commvault, ExaGrid, VergeIO, Nexsan, DDN, Tintri, MinIO, LogicMonitor, Netgain, Kela, UltraRed, Sling, Quokka, Safous, Hackuity, Cyabra, Cymetrics, ThreatDown, F-Secure, OutSystems, Micas Networks ….

Liên hệ Unitas ngay hôm nay để được tư vấn chi tiết!