Vụ rò rỉ dữ liệu tại SK Telecom: Nhà mạng di động lớn nhất Hàn Quốc bị tấn công như thế nào và điều đó có ý nghĩa gì với hàng triệu người

Gã khổng lồ viễn thông Hàn Quốc bị tấn công: Chuyện gì đã xảy ra với SK Telecom?

Trong một trong những sự cố an ninh mạng nghiêm trọng nhất lịch sử Hàn Quốc, SK Telecom (SKT) — nhà mạng di động lớn nhất nước này — đã hứng chịu vụ rò rỉ dữ liệu quy mô lớn, làm lộ thông tin nhạy cảm của gần như toàn bộ thuê bao. Vụ xâm nhập có thể đã bắt đầu từ tháng 8/2021 nhưng đến tháng 4/2025 mới được phát hiện, gây chấn động hạ tầng số quốc gia và làm dấy lên những câu hỏi cấp bách về trách nhiệm doanh nghiệp, an ninh quốc gia và tương lai của công tác bảo vệ dữ liệu tại Hàn Quốc.

Giới chức xác nhận tin tặc đã xâm nhập mạng lõi của SKT và lấy đi gần 10 gigabyte dữ liệu, trong đó có thông tin xác thực quan trọng của thẻ SIM của tới 27 triệu người dùng. Hệ quả diễn ra nhanh chóng và nghiêm trọng: các cuộc điều tra của chính phủ, lời xin lỗi công khai, làn sóng khách hàng rời mạng và nguy cơ đối mặt với mức phạt kỷ lục. Nhưng đây không chỉ là câu chuyện về một sự cố kỹ thuật — mà còn là hồi chuông cảnh tỉnh cho toàn ngành viễn thông và một trường hợp điển hình về bối cảnh các mối đe dọa mạng đang thay đổi.

Vụ xâm nhập xảy ra như thế nào? Dòng thời gian và phương thức tấn công

Vụ xâm nhập SK Telecom không phải là một cuộc tấn công chớp nhoáng. Thay vào đó, đây là quá trình xâm nhập âm thầm, kéo dài nhiều năm mà không bị phát hiện. Theo cuộc điều tra chung của Bộ Khoa học và ICT cùng các chuyên gia an ninh mạng tư nhân, những kẻ tấn công đã cài mã độc lên máy chủ nội bộ của SKT từ ngày 6/8/2021, sớm hơn gần 10 tháng so với nhận định ban đầu. Mã độc, bao gồm ít nhất 27 biến thể của một loại cửa hậu Linux tinh vi có tên BPFDoor, cho phép tin tặc di chuyển ngang trong mạng lưới SKT và cuối cùng truy cập Máy chủ thuê bao nhà (HSS), cơ sở dữ liệu trung tâm quản lý danh tính và xác thực thuê bao.

BPFDoor là công cụ thường gắn với các nhóm đe dọa dai dẳng nâng cao (APT), vốn thường có nguồn lực dồi dào và đôi khi được nhà nước bảo trợ. Khả năng ẩn mình và vượt qua các biện pháp bảo mật truyền thống khiến công cụ này đặc biệt nguy hiểm. Các nhà điều tra phát hiện tin tặc khai thác lỗ hổng trong hệ thống quản lý mạng của SKT, có thể tận dụng điểm yếu trong phần mềm bên thứ ba như thiết bị VPN của Ivanti — một phương thức từng được liên hệ với các nhóm tin tặc được Trung Quốc hậu thuẫn trong những vụ việc khác trên toàn cầu.

Sau khi xâm nhập, tin tặc lấy đi 9,82 gigabyte dữ liệu Mô-đun nhận dạng thuê bao toàn cầu (USIM), bao gồm các số Nhận dạng thuê bao di động quốc tế (IMSI) — mã định danh riêng của mỗi thẻ SIM. Dữ liệu này rất quan trọng để xác thực người dùng trên mạng di động và nếu bị lạm dụng, có thể cho phép sao chép SIM hoặc chặn mã xác thực hai yếu tố được gửi qua SMS.

Đáng lo ngại, các nhà điều tra phát hiện phần lớn dữ liệu nhạy cảm này, bao gồm mã định danh thiết bị và bản ghi chi tiết cuộc gọi, được lưu dưới dạng văn bản thuần thay vì mã hóa. Việc thiếu những biện pháp bảo mật cơ bản này khiến vụ rò rỉ gây thiệt hại nghiêm trọng hơn nhiều so với khả năng có thể xảy ra.

Dữ liệu nào đã bị đánh cắp? Quy mô và rủi ro của vụ rò rỉ

Quy mô vụ rò rỉ tại SKT thật đáng kinh ngạc. Gần 27 triệu bản ghi IMSI bị lộ — nhiều hơn số thuê bao đang hoạt động của SKT, cho thấy cả người dùng đồng hồ thông minh, thiết bị IoT và có thể cả khách hàng cũ cũng bị ảnh hưởng. Dữ liệu bị xâm phạm bao gồm:

• Số IMSI ("dấu vân tay" của thiết bị di động)
• Khóa xác thực USIM
• Số điện thoại
• Mã định danh thiết bị (có một số bằng chứng cho thấy IMEI cũng bị lộ)
• Bản ghi chi tiết cuộc gọi (CDR), dù SKT khẳng định những dữ liệu này đã được mã hóa

SKT khẳng định tên, địa chỉ và thông tin tài khoản tài chính không bị lộ, nhưng việc đánh cắp dữ liệu USIM và IMSI vẫn đặc biệt nghiêm trọng. Với những thông tin này, về lý thuyết, kẻ tấn công có thể sao chép thẻ SIM, chặn mã xác thực qua SMS hoặc tìm cách gian lận hoán đổi SIM — thủ đoạn trong đó tội phạm chiếm đoạt số điện thoại của nạn nhân để truy cập các tài khoản trực tuyến.

Cho đến nay, chưa có báo cáo xác nhận nào về tình trạng gian lận trên diện rộng hoặc việc lạm dụng dữ liệu bị đánh cắp. Tuy nhiên, nguy cơ vẫn còn, và giới chức đã khuyến cáo tất cả người dùng bị ảnh hưởng đổi thẻ SIM và đăng ký các dịch vụ bảo vệ tăng cường.

Ai đứng sau vụ tấn công? Các giả thuyết và cuộc điều tra quốc tế

Danh tính kẻ chủ mưu vụ xâm nhập SKT vẫn chưa được chính thức xác định, nhưng ngày càng có nhiều bằng chứng cho thấy thủ phạm là một đối tượng có kỹ năng cao, có thể được nhà nước bảo trợ. Việc sử dụng mã độc BPFDoor, vốn trước đây được liên hệ với các nhóm APT của Trung Quốc như Salt Typhoon và Red Mansion, làm dấy lên nghi vấn có sự can dự từ nước ngoài. Công ty an ninh mạng TeamT5 của Đài Loan cho biết các lỗ hổng trong thiết bị VPN của Ivanti — được nhiều doanh nghiệp Hàn Quốc, trong đó có SKT, sử dụng — đã bị tin tặc có liên hệ với Trung Quốc khai thác trên toàn cầu vào khoảng thời gian xảy ra vụ xâm nhập SKT.

Cảnh sát Hàn Quốc đang tích cực điều tra vụ tấn công với sự phối hợp của các cơ quan thực thi pháp luật tại năm quốc gia khác, trong đó có Mỹ. Hơn 100 địa chỉ IP đáng ngờ đã được xác định và các yêu cầu cung cấp dữ liệu quốc tế đã được gửi tới 18 doanh nghiệp nước ngoài. Dù có nhiều suy đoán, giới chức chưa chính thức quy trách nhiệm cho bất kỳ quốc gia hay nhóm cụ thể nào, và cuộc điều tra vẫn đang tiếp diễn.

Các chuyên gia an ninh mạng nhận định tính chất âm thầm, kéo dài của vụ xâm nhập cho thấy động cơ có thể vượt xa mục tiêu kiếm lợi tài chính đơn thuần. Giáo sư Lim Jong-in, chuyên gia phòng thủ mạng tại Đại học Korea, nhận xét rằng những chiến dịch như vậy thường do các tác nhân cấp nhà nước thực hiện nhằm duy trì quyền truy cập lâu dài hoặc thu thập tình báo, chứ không phải tội phạm mạng thông thường.

SK Telecom đã ứng phó ra sao? Xin lỗi, bồi thường và đại tu bảo mật

SK Telecom đã triển khai nhiều biện pháp ứng phó với vụ rò rỉ, nhưng không tránh khỏi tranh cãi. Sau khi vụ việc được công bố vào tháng 4/2025, công ty đã đưa ra lời xin lỗi công khai; CEO Ryu Young-sang gọi đây là “sự cố an ninh nghiêm trọng nhất trong lịch sử công ty”. Chủ tịch Tập đoàn SK, Chey Tae-won, cũng xin lỗi và cam kết chịu hoàn toàn trách nhiệm về mọi thiệt hại gây ra.

Để giảm thiểu hậu quả, SKT triển khai một số chương trình hướng tới khách hàng:

• Đổi SIM miễn phí cho toàn bộ 23 triệu người dùng tại hơn 2.600 cửa hàng bán lẻ
• Giảm 50% phí thuê bao tháng 8 cho tất cả khách hàng
• Tăng cường dịch vụ bảo vệ SIM nhằm ngăn chặn việc chuyển mạng hoặc hoán đổi trái phép
• Miễn phí phạt chấm dứt hợp đồng trước hạn cho khách hàng bị ảnh hưởng

Công ty ước tính nếu có tới 5 triệu khách hàng quyết định rời mạng, tổng thiệt hại từ việc miễn phí phạt và mất doanh thu có thể vượt 7 nghìn tỷ won (khoảng 5,1 tỷ USD). Hàng trăm nghìn người dùng đã chuyển sang các nhà mạng đối thủ, còn giá cổ phiếu SKT giảm đáng kể.

Về mặt kỹ thuật, SKT đã công bố một “Chương trình trách nhiệm và cam kết” toàn diện, cam kết đầu tư 700 tỷ won (514 triệu USD) trong 5 năm để xây dựng lại các hệ thống bảo vệ thông tin. Chương trình bao gồm:

• Tăng gấp đôi quy mô đội ngũ an ninh mạng
• Nâng vị trí Giám đốc an ninh thông tin (CISO) lên cấp báo cáo trực tiếp cho CEO
• Kiểm toán bảo mật hàng quý và thường xuyên kiểm thử xâm nhập
• Mã hóa toàn bộ khóa xác thực USIM (tiêu chuẩn mà các đối thủ KT và LG Uplus đã áp dụng)
• Triển khai các giải pháp phát hiện và ứng phó thiết bị đầu cuối tiên tiến
• Thành lập “Đội đỏ” để chủ động tìm kiếm lỗ hổng

SKT cũng thành lập quỹ 10 tỷ won (7,3 triệu USD) nhằm phát triển nhân lực an ninh mạng tại Hàn Quốc, hợp tác với các trường đại học và hỗ trợ các công ty khởi nghiệp trong lĩnh vực này.

Chính phủ đã làm gì? Hành động quản lý và các mức phạt

Chính phủ Hàn Quốc đã có lập trường cứng rắn trước vụ xâm nhập SKT. Sau cuộc điều tra toàn diện, Bộ Khoa học và ICT kết luận SKT đã sơ suất trong trách nhiệm bảo vệ dữ liệu thuê bao. Thứ trưởng Ryu Je-myung cho biết SKT không thực hiện đầy đủ các nghĩa vụ bảo mật và vi phạm yêu cầu thông báo do không báo cáo vụ việc trong thời hạn 24 giờ theo quy định pháp luật.

Do đó, giới chức đã áp dụng một số hình phạt và yêu cầu:

• Phạt tới 30 triệu won đối với các vi phạm quy định (có thể phải chịu mức phạt lớn hơn nhiều theo Luật Bảo vệ Thông tin Cá nhân)
• Bắt buộc kiểm tra bảo mật hàng quý và lưu nhật ký trong ít nhất sáu tháng
• Cho phép khách hàng bị ảnh hưởng chấm dứt hợp đồng mà không bị phạt
• Chuyển hồ sơ để điều tra hình sự liên quan đến việc không tuân thủ lệnh bảo toàn dữ liệu

Ủy ban Bảo vệ Thông tin Cá nhân (PIPC) đang cân nhắc mức phạt kỷ lục, có thể lên tới 3% doanh thu hằng năm của SKT — tương đương hơn 530 tỷ won. PIPC cũng chỉ trích tình trạng thiếu đầu tư cho an ninh mạng nói chung trong các tập đoàn lớn của Hàn Quốc và kêu gọi toàn ngành cam kết mạnh mẽ hơn về nhân lực và ngân sách.

Vì sao SKT dễ bị tấn công đến vậy? Những vấn đề mang tính hệ thống trong an ninh mạng Hàn Quốc

Vụ xâm nhập SKT không xảy ra riêng lẻ, mà nằm trong một xu hướng rộng hơn về các thách thức an ninh mạng tại Hàn Quốc. Dù là một trong những xã hội phát triển số hàng đầu thế giới, nhiều doanh nghiệp Hàn Quốc từ lâu vẫn chưa đầu tư tương xứng cho an ninh mạng. Một khảo sát của chính phủ năm 2024 cho thấy chỉ 8,7% doanh nghiệp cho rằng họ cần nhân sự an ninh mạng chuyên trách; ngay cả trong các công ty lớn, chỉ 14% coi đây là ưu tiên. Mức lương dành cho chuyên gia an ninh mạng tại Hàn Quốc thấp hơn nhiều so với tiêu chuẩn toàn cầu, khiến việc thu hút và giữ chân nhân tài hàng đầu trở nên khó khăn.

Phần lớn công ty dựa vào nhân viên CNTT kiêm nhiệm nhiều vai trò, và chỉ một số ít có chuyên gia bảo mật làm việc toàn thời gian. Tình trạng thiếu đầu tư có tính hệ thống này khiến ngay cả các nhà cung cấp hạ tầng thiết yếu như SKT cũng dễ bị tổn thương trước những cuộc tấn công tinh vi. Chính phủ đã thừa nhận những thiếu sót này và đang thúc đẩy cải cách toàn ngành, nhưng sự cố SKT cho thấy nhu cầu thay đổi là cấp bách.

Khách hàng nên làm gì? Các bước thiết thực để tự bảo vệ

Đối với hàng triệu thuê bao SKT bị ảnh hưởng bởi vụ rò rỉ, các chuyên gia và giới chức khuyến nghị một số hành động cần thực hiện ngay để giảm nguy cơ gian lận hoặc truy cập trái phép:

• Đổi thẻ SIM: SKT đang cung cấp SIM thay thế miễn phí; việc này sẽ vô hiệu hóa các khóa xác thực đã bị xâm phạm.
• Đăng ký dịch vụ bảo vệ SIM: Dịch vụ này liên kết điện tử số điện thoại với SIM hiện tại, ngăn chặn việc chuyển mạng hoặc hoán đổi trái phép.
• Cảnh giác với các nỗ lực lừa đảo: Chỉ tin tưởng thông tin liên lạc chính thức từ SKT; tránh nhấp vào liên kết đáng ngờ hoặc cung cấp thông tin cá nhân để đáp lại tin nhắn không mong muốn.
• Xác thực lại và theo dõi tài khoản: Đăng xuất rồi đăng nhập lại vào các ứng dụng quan trọng, theo dõi tài khoản tài chính để phát hiện hoạt động bất thường và cập nhật mật khẩu. Khi có thể, hãy bật xác thực đa yếu tố, ưu tiên phương thức không dựa trên SMS.
• Cập nhật thông tin: Theo dõi thông báo chính thức từ SKT và các cơ quan chính phủ để nắm hướng dẫn và các kênh hỗ trợ mới nhất.

Thực hiện các bước này có thể giúp giảm đáng kể nguy cơ gian lận hoán đổi SIM và những hành vi lạm dụng khác có thể phát sinh từ vụ rò rỉ.

Ảnh hưởng rộng hơn: An ninh quốc gia và tương lai ngành viễn thông

Vụ xâm nhập SKT không chỉ là khủng hoảng của một doanh nghiệp mà còn là vấn đề an ninh quốc gia. Là nhà mạng không dây hàng đầu, SKT giữ vai trò trụ cột trong hạ tầng số Hàn Quốc, hỗ trợ không chỉ liên lạc di động mà còn các giao dịch tài chính, xác minh danh tính và dịch vụ thiết yếu. Vụ rò rỉ đã phơi bày những lỗ hổng có thể bị khai thác cho hoạt động gián điệp, giám sát hoặc làm gián đoạn các hệ thống thiết yếu.

Quan chức chính phủ và chuyên gia an ninh mạng cảnh báo sự cố này cần là hồi chuông cảnh tỉnh cho toàn ngành. Bộ trưởng Khoa học Yoo Sang-im cho biết:

Vụ rò rỉ dữ liệu tại SKT là hồi chuông cảnh tỉnh cho toàn ngành viễn thông và hạ tầng mạng quốc gia. Là nhà mạng di động hàng đầu Hàn Quốc, SKT phải đặt an ninh mạng lên hàng đầu.

Chính phủ hiện đang cân nhắc siết chặt quy định, tăng mức phạt và áp dụng các tiêu chuẩn bảo mật bắt buộc cho tất cả nhà mạng. Hợp tác quốc tế cũng được chú trọng trở lại, khi các mối đe dọa mạng ngày càng vượt qua biên giới quốc gia và đòi hỏi phản ứng phối hợp.

Tóm tắt

• SK Telecom hứng chịu vụ rò rỉ dữ liệu quy mô lớn, làm lộ thông tin xác thực SIM nhạy cảm của tới 27 triệu người dùng.
• Vụ xâm nhập bắt đầu từ tháng 8/2021 nhưng đến tháng 4/2025 mới được phát hiện, cho thấy những thiếu sót trong công tác phát hiện và ứng phó.
• Tin tặc sử dụng mã độc tinh vi, nhiều khả năng là BPFDoor, có liên hệ với các nhóm đe dọa dai dẳng nâng cao và có thể liên quan đến Trung Quốc.
• Dữ liệu bị đánh cắp gồm số IMSI, khóa USIM và số điện thoại, làm tăng nguy cơ sao chép SIM và gian lận.
• SKT đã cung cấp SIM thay thế miễn phí, miễn một số khoản phí và cam kết đầu tư lớn cho an ninh mạng, nhưng vẫn đối mặt với nguy cơ bị phạt kỷ lục và mất khách hàng.
• Chính phủ đã áp dụng hình phạt, yêu cầu cải cách và mở cuộc điều tra hình sự về cách SKT xử lý vụ rò rỉ.
• Sự cố phơi bày những điểm yếu mang tính hệ thống trong năng lực an ninh mạng của Hàn Quốc, đặc biệt tại các tập đoàn lớn.
• Khách hàng được khuyến nghị đổi SIM, đăng ký dịch vụ bảo vệ và cảnh giác với nguy cơ gian lận.
• Vụ rò rỉ ảnh hưởng đến an ninh quốc gia, thúc đẩy cải cách toàn ngành và hợp tác quốc tế.