Các dịch vụ số của Nepal đối mặt với rò rỉ dữ liệu, gián đoạn thị trường và những lỗ hổng trong trách nhiệm giải trình

135 tài khoản email chính phủ làm lộ vấn đề an ninh rộng hơn

Ít nhất 135 tài khoản email thuộc tên miền chính phủ nepal.gov.np của Nepal được xác định xuất hiện trong các vụ rò rỉ dữ liệu bên ngoài, sau khi Trung tâm An ninh mạng Quốc gia tham gia Have I Been Pwned, dịch vụ theo dõi thông tin đăng nhập bị lộ. Các địa chỉ bị ảnh hưởng bao gồm những tài khoản liên quan đến Văn phòng Thủ tướng và các bộ Nội vụ, Tài chính, Ngoại giao.

Phát hiện này xuất hiện cùng với các thông tin về tài liệu của sinh viên và giảng viên bị lộ, các cuộc tấn công vào cổng thông tin chính phủ, sự can thiệp vào hoạt động mua sắm điện tử và một vụ mã độc tống tiền làm gián đoạn giao dịch chứng khoán. Những thông tin được công bố vào tháng 10/2026 cho thấy một nền hành chính số có các lỗ hổng an ninh gây ảnh hưởng đến cả quyền riêng tư cá nhân lẫn khả năng tiếp cận các dịch vụ thiết yếu.

Các vụ việc này liên quan đến những vấn đề khác nhau. Việc một địa chỉ email xuất hiện trong vụ rò rỉ, tự nó, không chứng minh rằng có người đã xâm nhập mạng lưới chính phủ. Một trang web bị đánh sập cũng không chứng minh dữ liệu trên đó đã bị đánh cắp. Tuy nhiên, thông tin đăng nhập bị lộ, biện pháp kiểm soát truy cập yếu và sự phụ thuộc vào hạ tầng dùng chung có thể kết hợp với nhau, tạo lối vào các hệ thống nhạy cảm hơn.

Nepal đang kết nối hộ chiếu, xác minh danh tính, thuế, ngân hàng và an sinh xã hội với các dịch vụ số, trong khi người dân vẫn phản ánh tình trạng xếp hàng, chậm cấp thẻ căn cước và máy chủ không hoạt động. Vì vậy, vấn đề cốt lõi rộng hơn việc ngăn chặn tin tặc: chính phủ phải bảo vệ thông tin mà người dân buộc phải cung cấp, đồng thời duy trì khả năng sử dụng dịch vụ khi một thành phần gặp sự cố.

Phát hiện về email xác nhận điều gì

Theo Giám đốc Trung tâm An ninh mạng Quốc gia Raj Kumar Maharjan, Nepal trở thành thực thể chính phủ thứ 47 tham gia Have I Been Pwned. Việc kết nối giúp trung tâm xác định các địa chỉ chính phủ bị lộ qua những vụ rò rỉ ở nơi khác, thay vì chỉ dựa vào bằng chứng từ chính mạng lưới của mình.

Maharjan cho biết trung tâm sẽ thông báo cho các cơ quan bị ảnh hưởng và yêu cầu đổi mật khẩu. Ông giải thích dịch vụ giám sát này làm thay đổi cách ứng phó như sau:

Thông qua cổng thông tin này, trung tâm của chúng tôi hiện nhận được thông tin chính xác về địa chỉ email nào bị lộ và nguồn phát tán là đâu. Nhờ đó, chúng tôi có thể cảnh báo các quan chức liên quan theo thời gian thực, yêu cầu đặt lại mật khẩu ngay lập tức và ngăn ngừa thiệt hại thêm.

Không nên hiểu con số 135 là số vụ xâm nhập đã được xác nhận vào 135 hộp thư chính phủ. Các thông tin công khai chưa xác định có bao nhiêu tài khoản vẫn còn dễ bị tấn công, mật khẩu bị lộ có còn hiệu lực hay không, hoặc có bao nhiêu tài khoản được bảo vệ bằng xác thực bổ sung.

Chuyên gia an ninh mạng Mona Nyachhyon cảnh báo các tài khoản chính thức bị xâm nhập có thể đe dọa mạng nội bộ và thông tin liên lạc mật. Kẻ tấn công kiểm soát được một hộp thư chính phủ thật cũng có thể khiến các yêu cầu gian lận trông đáng tin, nhất là khi người nhận nhận ra địa chỉ đó.

Các thông tin riêng biệt cho biết thông tin đăng nhập liên quan đến Ngân hàng Phát triển Nông nghiệp xuất hiện trong dữ liệu do mã độc đánh cắp từ các thiết bị bị nhiễm. Việc đánh cắp như vậy có thể xảy ra trên máy tính dùng để truy cập dịch vụ, không cần kẻ tấn công xâm nhập trực tiếp vào máy chủ trung tâm của dịch vụ.

Tài liệu của người dân và cổng thông tin công đối mặt với các mối đe dọa khác nhau

Hệ thống trực tuyến của Ủy ban Tài trợ Đại học được cho là đã làm lộ giấy tờ quốc tịch, chứng chỉ giáo dục, thông tin tài khoản ngân hàng và hồ sơ Mã số thuế cá nhân của giáo sư và sinh viên. Theo thông tin được đưa ra, chỉ cần thay đổi địa chỉ web là có thể truy cập tài liệu do thiếu biện pháp kiểm soát truy cập.

Kiểm soát truy cập là bước kiểm tra để xác định một người có được phép xem hồ sơ cụ thể hay không. Tài liệu không được bảo vệ chỉ vì địa chỉ của nó khó đoán. Máy chủ phải xác minh quyền truy cập mỗi khi có người yêu cầu xem tài liệu.

Các thông tin cũng đề cập việc truy cập trái phép vào giao diện lập trình ứng dụng công khai của cổng thông tin đám mây chính phủ. Giao diện này, thường gọi là API, cho phép các hệ thống phần mềm trao đổi thông tin hoặc thực hiện thao tác. Các nhóm được xác định là PSy404 và AnoNagoSt, có liên hệ với mạng lưới ForceAnon, được cho là đã dùng quyền truy cập đó để đăng thông điệp và hình ảnh.

Những vụ việc khác được đưa tin gồm các lỗ hổng do Midnight Ops Nepal công bố trong những hệ thống như Cục Thủy văn và Khí tượng, cùng việc truy cập các bảng quản trị của bộ, được quy cho FunkSec. Tài liệu ngân sách và tài liệu của chính quyền đô thị được cho là đã bị rao bán.

Cần đánh giá riêng từng cáo buộc. Đăng nội dung thông qua một giao diện công khai cho thấy có lỗ hổng kiểm soát, nhưng không chứng minh rằng toàn bộ cơ sở dữ liệu lưu trên đám mây chính phủ đã bị truy cập. Thông tin về tài liệu bị rao bán cũng cần được xác minh về tính xác thực, phạm vi và nguồn gốc trước khi có thể đánh giá đầy đủ mức độ lộ lọt.

Dòng thời gian các vụ tấn công được đưa tin và hành động của chính phủ

Các thông tin mô tả những vụ việc diễn ra trong nhiều năm, chứ không phải một cuộc tấn công phối hợp duy nhất. Trình tự này cũng cho thấy việc thành lập một trung tâm an ninh mạng chuyên trách không chấm dứt các sự cố gián đoạn.

• Ngày 1/1/2024: Một cuộc tấn công từ chối dịch vụ phân tán được cho là đã làm gián đoạn các trang web và ứng dụng dịch vụ công, với ảnh hưởng kéo dài nhiều tuần.
• Ngày 23/1/2024: Nội các quyết định thành lập Trung tâm An ninh mạng Quốc gia; cơ quan này đi vào hoạt động vào mùa xuân năm đó.
• Tháng 12/2024: Các vụ tấn công vào cổng thông tin chính phủ tại các tỉnh Gandaki, Lumbini và Bagmati được đưa tin.
• Tháng 2/2025: Các thông tin đề cập những vụ tấn công nhằm vào 21 tên miền phụ của tỉnh Koshi.
• Tháng 3/2025: Cơ sở dữ liệu của nền tảng khiếu nại Hello Sarkar được cho là đã bị xâm nhập và rao bán.
• Tháng 4/2025: Khoảng 2 triệu hồ sơ quốc tịch được gửi để làm báo cáo cảnh sát được cho là đã bị đánh cắp từ một trang web của Cảnh sát Nepal và rao bán.
• Ngày 13/5/2026: Các sửa đổi được công bố đối với Quy chế Phân công Công việc của Chính phủ Nepal được cho là đã chuyển các cơ quan công nghệ chủ chốt về Văn phòng Thủ tướng.
• Tháng 9/2026: Một vụ tấn công bằng mã độc tống tiền được cho là đã làm gián đoạn các hệ thống phục vụ 72 công ty môi giới chứng khoán và khiến hoạt động giao dịch ngừng một ngày.
• Đầu tháng 10/2026: Pathao Nepal được cho là đã thừa nhận vụ rò rỉ liên quan đến tên người dùng, địa chỉ email và số điện thoại.

Vụ đánh cắp khoảng 2 triệu hồ sơ cảnh sát bị cáo buộc là một trong những vụ lộ dữ liệu lớn nhất được đề cập. Đây là con số được đưa tin, chưa phải số người bị ảnh hưởng đã được xác minh độc lập. Các thông tin không đưa ra thống kê đã được kiểm chứng về số hồ sơ riêng biệt hoặc đánh giá công khai đầy đủ về thiệt hại.

Mua sắm điện tử đưa vấn đề an ninh vào chi tiêu công

Vụ xâm nhập được đưa tin nhằm vào hệ thống mua sắm điện tử của chính phủ, gọi là e-GP, liên quan đến tính toàn vẹn của các hợp đồng công cũng như thông tin mật. Văn phòng Giám sát Mua sắm Công vận hành nền tảng này để đấu thầu các công trình chính phủ trị giá hàng tỷ rupee.

Các điều tra viên được cho là phát hiện người dùng trái phép có thể xem giá dự thầu mật của đối thủ và thay đổi số liệu sau thời hạn nộp hồ sơ. Các thông tin mô tả sự phối hợp bị cáo buộc giữa tin tặc, bên trung gian và nhà thầu, trong đó có các khoản thanh toán bằng tiền mã hóa và một trang web mua sắm giả mạo.

Cục Điều tra Trung ương thuộc Cảnh sát Nepal được cho là đã bắt giữ hơn 20 người, trong đó có một cựu bộ trưởng, các nhân vật trong ngành xây dựng và nhân viên kỹ thuật, đồng thời đưa vụ án ra tòa. Bắt giữ và cáo buộc không đồng nghĩa với kết án. Các thông tin chưa nêu phán quyết cuối cùng xác định trách nhiệm của từng người bị cáo buộc.

Những lo ngại về an ninh được cho là đã khiến hoạt động đấu thầu điện tử bị đình chỉ và quay lại sử dụng hồ sơ giấy niêm phong đối với các gói mua sắm thiết yếu. Các thông tin không đưa ra ngày khôi phục đã được xác nhận.

Điểm khác biệt so với vụ rò rỉ tài liệu rất quan trọng. Tính bảo mật bị phá vỡ khi ai đó xem được hồ sơ dự thầu mà họ không được phép xem. Tính toàn vẹn bị phá vỡ khi ai đó thay đổi chính hồ sơ dự thầu. Nếu một trong hai biện pháp bảo vệ không còn hiệu lực, hệ thống số vốn nhằm tăng tính minh bạch trong mua sắm có thể thay vào đó đem lại lợi thế không công khai cho một số nhà thầu được lựa chọn.

Một nhà cung cấp có thể làm gián đoạn cả thị trường

Một vụ tấn công bằng mã độc tống tiền hồi tháng 9/2026 được cho là đã nhắm vào một trung tâm dữ liệu tư nhân lưu trữ hệ thống quản lý giao dịch cho 72 công ty môi giới. Hoạt động giao dịch tại Sở Giao dịch Chứng khoán Nepal được cho là đã ngừng cả ngày. Thông tin ban đầu cũng cho biết dữ liệu của chính phủ được lưu tại cơ sở bị ảnh hưởng.

Mã độc tống tiền thường chặn quyền truy cập vào hệ thống hoặc dữ liệu, thường bằng cách mã hóa tệp, rồi đòi tiền chuộc. Các thông tin chưa xác định cơ chế kỹ thuật của vụ tấn công, liệu dữ liệu có bị đánh cắp hay không, hoặc có khoản tiền chuộc nào được trả hay không.

Hệ quả được mô tả rõ hơn là sự gián đoạn hoạt động: sự cố tại một nhà cung cấp dịch vụ lưu trữ lan rộng đến hàng chục công ty môi giới và khiến nhà đầu tư không thể giao dịch. Đây là rủi ro tập trung, xảy ra khi nhiều tổ chức phụ thuộc vào cùng một nhà cung cấp hoặc hạ tầng.

Vụ rò rỉ được Pathao Nepal công bố là một trường hợp khác trong khu vực tư nhân. Tên, địa chỉ email và số điện thoại được cho là đã bị lộ vào đầu tháng 10/2026. Các thông tin đề cập hàng nghìn người dùng bị ảnh hưởng nhưng không đưa ra tổng số chính xác đã được xác minh.

Các thông tin trước đó cũng đề cập vụ rò rỉ dữ liệu khách hàng liên quan đến Vianet và Foodmandu, các cuộc tấn công nhằm vào hệ thống ATM của ngân hàng, cùng một nỗ lực tấn công hệ thống SWIFT của Ngân hàng NIC Asia. Quy mô và kết quả của các vụ việc này khác nhau, nhưng cho thấy thách thức an ninh không chỉ giới hạn ở các trang web chính phủ mà còn bao trùm những dịch vụ phục vụ liên lạc, mua sắm, vận tải và tài chính.

Vấn đề năng lực của hệ thống định danh quốc gia lan sang nhiều dịch vụ

Hệ thống định danh quốc gia cho thấy một dịch vụ có thể gặp sự cố mà không cần có vụ tấn công mạng được xác nhận. Các thông tin quy việc gián đoạn xác thực kéo dài nhiều tuần cho áp lực kỹ thuật khi hệ thống sinh trắc học tiến gần sức chứa khoảng 20 triệu hồ sơ.

Hơn 16 cơ quan được cho là đã gặp gián đoạn, trong đó có các dịch vụ hộ chiếu, thuế, giao thông và ngân hàng. Con số này phản ánh áp lực lên sức chứa của hệ thống như được đưa tin, chứ không phải số người có thông tin sinh trắc học bị lộ đã được xác minh.

Các thông tin mô tả khác nhau về tên doanh nghiệp của nhà cung cấp Pháp. Bài viết ban đầu đề cập việc chuyển từ Idemia sang IN Groupe, trong khi một bài viết khác tiếp tục gọi tên hiện tại là IDEMIA. Các sắp xếp cụ thể về hợp đồng và hỗ trợ chưa được xác định. Vấn đề vận hành vẫn không đổi: nhiều dịch vụ phụ thuộc vào một nền tảng xác thực duy nhất và bị ảnh hưởng khi nền tảng này không khả dụng.

Dịch vụ định danh dùng chung có thể giảm việc kiểm tra lặp lại và giấy tờ. Nhưng dịch vụ này cũng trở thành điểm lỗi đơn lẻ nếu các cơ quan không thể tiếp tục hoạt động bằng một phương án thay thế an toàn khi nó ngừng phản hồi. Vì vậy, bên cạnh việc chống xâm nhập, công tác hoạch định năng lực, phương án khôi phục và trách nhiệm rõ ràng của nhà cung cấp cũng rất quan trọng.

Hệ quả đối với quyền riêng tư cũng cần được xem xét thận trọng tương tự. Dấu vân tay là dữ liệu định danh sinh trắc học; số quốc tịch và ngày sinh là thông tin nhận dạng, không phải dữ liệu sinh trắc học. Không giống mật khẩu, dấu vân tay không thể đơn giản thay thế. Việc lộ những thông tin này có thể tạo cơ hội lâu dài cho hành vi giả mạo danh tính và lừa đảo có chủ đích.

Năng lực phòng vệ của chính phủ đang được mở rộng, nhưng vẫn có giới hạn

Trung tâm An ninh mạng Quốc gia được cho là đã kiểm toán gần 40 hệ thống chính phủ trong bốn tháng trước khi báo cáo về vụ rò rỉ email được công bố. Trung tâm cũng sử dụng CTM360, công cụ giám sát do Liên minh Viễn thông Quốc tế cung cấp, để theo dõi các hoạt động trao đổi trái phép liên quan đến thông tin của chính phủ.

Một hệ thống Quản lý Thông tin và Sự kiện An ninh mới được mua có chức năng thu thập và phân tích nhật ký hoạt động trên các mạng chính phủ. Những công cụ này giúp nhân viên nhận diện các dấu hiệu đáng ngờ, nhưng hiệu quả phụ thuộc vào phạm vi giám sát và tốc độ điều tra cảnh báo của các nhóm.

Prakash Duwadi, được bài viết tiếng Nepal xác định là cán bộ thông tin tại Văn phòng Công nghệ Thông tin và Quản trị Điện tử, cho biết các cổng thông tin chính phủ được lưu trữ có thể đồng thời phải đối mặt với 7.000 đến 8.000 nỗ lực tấn công. Ông ước tính các lần kiểm thử cơ bản của sinh viên hoặc trẻ em chiếm 10 đến 20% số lần thử. Các thông tin không giải thích khoảng thời gian đo lường hoặc phương pháp thống kê.

Duwadi cũng cho biết nhân viên đôi khi ngắt kết nối hệ thống khi không thể bảo vệ chúng một cách an toàn. Vì vậy, máy chủ ngừng hoạt động có thể là hành động phòng vệ chứ không phải bằng chứng cho thấy kẻ tấn công đã chiếm quyền kiểm soát. Dù vậy, người dân vẫn mất quyền truy cập trong cả hai trường hợp, khiến thông báo dịch vụ chính xác và quy trình khôi phục trở nên cần thiết.

Maharjan cho rằng hơn 90% sự cố an ninh mạng bắt nguồn từ hành vi con người và kỹ thuật thao túng tâm lý. Đây là đánh giá do ông đưa ra, không phải kết quả thống kê quốc gia đã được ghi nhận. Ông cũng cảnh báo việc phát triển ứng dụng nhanh chóng bằng trí tuệ nhân tạo có thể khiến nhà phát triển không nhận biết được điểm yếu trong mã hóa và bảo mật.

Các tin nhắn lừa đảo được đưa tin đã giả danh Phó Tổng thanh tra Manoj Kumar KC, Văn phòng Thủ tướng và các quan chức cảnh sát khác. Tin nhắn đe dọa truy tố nhằm gây áp lực buộc người nhận trả lời hoặc tiết lộ thông tin. Những ví dụ này cho thấy nỗi sợ và uy tín của cơ quan công quyền có thể bị lợi dụng làm công cụ lừa đảo.

Quyền riêng tư cần được thực thi một cách rõ ràng

Điều 28 Hiến pháp Nepal bảo vệ quyền riêng tư. Luật Quyền riêng tư, năm 2075 (2018), cũng quy định nghĩa vụ liên quan đến thông tin cá nhân do các cơ quan công nắm giữ. Bài viết ban đầu và phần phân tích kèm theo xác định Điều 29 quy định mức phạt tù lên đến ba năm, Điều 31 quy định bồi thường và Điều 32 quy định xử lý kỷ luật.

Các quy định đó không có nghĩa mọi sự cố kỹ thuật được đưa tin đều đáp ứng điều kiện cấu thành tội phạm hình sự hoặc được bồi thường. Trách nhiệm phải được xác định dựa trên hành vi, quy định pháp luật áp dụng và bằng chứng. Các thông tin công khai chỉ cung cấp rất ít chi tiết về hình phạt hoặc khoản bồi thường liên quan đến những vụ việc được đề cập.

Trách nhiệm hành chính cũng đang thay đổi. Các sửa đổi được công bố ngày 13/5/2026 được cho là đã chuyển Trung tâm An ninh mạng, Trung tâm Quản lý Dữ liệu và Cục Công nghệ Thông tin về Văn phòng Thủ tướng. Một nội dung trong chương trình nghị sự nội các được thông qua ngày 27/3/2026 kêu gọi thành lập Văn phòng Công nghệ Thông tin và Quản trị Điện tử trong vòng ba tháng, nhưng theo thông tin tại thời điểm bài viết được đăng, các cuộc khảo sát về tổ chức vẫn chưa hoàn tất.

Cơ cấu và hệ thống báo cáo sau đó vẫn chưa được xác định. Việc chuyển các cơ quan không tự làm rõ ai phải thông báo cho người dân bị ảnh hưởng, phê duyệt khôi phục dịch vụ bị xâm nhập hay xác minh rằng nhà cung cấp đã khắc phục lỗ hổng an ninh.

Kiểm thử, mua sắm và công bố thông tin là những quyết định tiếp theo

Phần phân tích ban đầu đề xuất đưa các nghĩa vụ an ninh vào quy trình mua sắm phần mềm ngay từ đầu. Các nghĩa vụ này bao gồm mã hóa, cập nhật liên tục, bảo trì và lựa chọn dựa trên chất lượng lẫn chi phí, thay vì xem phần mềm là món hàng đã hoàn tất ngay khi được bàn giao. Đây là các đề xuất, không phải yêu cầu mới đã được chính phủ xác nhận.

Phân tích cũng đề xuất bắt buộc đánh giá lỗ hổng và kiểm thử xâm nhập trước khi mở dịch vụ cho người dân. Các cuộc kiểm thử này giúp phát hiện điểm yếu và thử xâm nhập có kiểm soát. Hoàn tất kiểm thử không đồng nghĩa với khắc phục các phát hiện: quyết định đưa dịch vụ vào hoạt động đáng tin cậy cần có bằng chứng cho thấy các lỗi nghiêm trọng đã được sửa và kiểm tra lại.

Chuyên gia an ninh mạng Naresh Lamgade cho biết an ninh thường bị bỏ qua trong quá trình phát triển và các nhà nghiên cứu độc lập bị ngăn cản khi báo cáo lỗ hổng. Một kênh báo cáo rõ ràng, có quy trình xử lý cụ thể, sẽ giúp biến những phát hiện thành biện pháp khắc phục, thay vì khiến các nhà nghiên cứu không biết nên liên hệ với cơ quan nào.

Các biện pháp được đề xuất khác gồm xác thực bổ sung cho email chính phủ và tài khoản quản trị, kiểm toán trung tâm dữ liệu thường xuyên, thông báo cho người dân bị ảnh hưởng sau các vụ rò rỉ và thành lập một cơ quan quản lý bảo vệ dữ liệu độc lập. Các thông tin không nêu ngày áp dụng đã được xác nhận cho những biện pháp này.

Những câu hỏi trước mắt vẫn chưa có lời giải rất cụ thể: bao nhiêu tài khoản bị lộ đã được bảo mật, các bộ dữ liệu bị cho là đánh cắp đã được xác thực hay chưa, khi nào đấu thầu điện tử hoạt động trở lại và làm thế nào để dịch vụ định danh tránh một đợt gián đoạn năng lực khác. Câu trả lời công khai sẽ giúp đánh giá việc khôi phục dựa trên kết quả, thay vì số lượng dịch vụ được đưa lên mạng.

Điểm chính

• Ít nhất 135 tài khoản email chính phủ được xác định xuất hiện trong các vụ rò rỉ bên ngoài sau khi Nepal tham gia Have I Been Pwned.
• Các vụ lộ dữ liệu được đưa tin bao gồm tài liệu đại học và khoảng 2 triệu hồ sơ quốc tịch trong báo cáo cảnh sát; con số sau vẫn chưa được xác minh.
• Hơn 20 người được cho là đã bị bắt trong vụ mua sắm điện tử; chưa có thông tin về kết quả xét xử cuối cùng.
• Một vụ tấn công bằng mã độc tống tiền hồi tháng 9/2026 bị cáo buộc đã làm gián đoạn các hệ thống phục vụ 72 công ty môi giới và khiến giao dịch chứng khoán ngừng một ngày.
• Các vấn đề về sức chứa của hệ thống định danh quốc gia được cho là đã làm gián đoạn hoạt động xác thực của hơn 16 cơ quan trong nhiều tuần.
• Hoạt động giám sát và kiểm thử an ninh đã được mở rộng, nhưng việc thông báo khi xảy ra rò rỉ, trách nhiệm liên quan và một số mốc khôi phục vẫn chưa được giải quyết.