Singapore đối mặt với cuộc tấn công mạng nghiêm trọng: Nhóm gián điệp UNC3886 bị cho là có liên hệ với Trung Quốc nhắm vào hạ tầng trọng yếu

Singapore đối mặt với mối đe dọa mạng chưa từng có nhằm vào hạ tầng trọng yếu

Singapore đang đối mặt với một trong những cuộc khủng hoảng an ninh mạng nghiêm trọng nhất từ trước đến nay khi nhóm gián điệp tinh vi mang tên UNC3886 — được các chuyên gia cho là có liên hệ với Trung Quốc — nhắm vào hạ tầng trọng yếu của đảo quốc. Các cuộc tấn công đang diễn ra, được giới chức mô tả là nghiêm trọng và dai dẳng, đã làm dấy lên lo ngại trong chính phủ, ngành công nghiệp và công chúng, đồng thời cho thấy những rủi ro ngày càng lớn từ các đối thủ mạng tinh vi trong thế giới ngày càng số hóa.

Bộ trưởng Điều phối An ninh Quốc gia K. Shanmugam công khai thừa nhận mối đe dọa, nói rằng UNC3886 gây nguy hiểm đáng kể cho an ninh quốc gia Singapore. Ông cảnh báo hoạt động của nhóm có thể làm suy yếu các dịch vụ thiết yếu và ảnh hưởng đến cuộc sống thường nhật của hàng triệu người. Dù các chi tiết cụ thể về những cuộc tấn công vẫn được giữ bí mật vì lý do an ninh, việc chính phủ hiếm hoi công khai nêu tên nhóm này cho thấy mức độ nghiêm trọng của tình hình và bối cảnh chiến tranh mạng đang thay đổi tại Đông Nam Á.

UNC3886 là ai? Tìm hiểu về nhóm gián điệp đứng sau các cuộc tấn công

UNC3886 là một tác nhân đe dọa dai dẳng nâng cao (APT) — thuật ngữ an ninh mạng dùng để chỉ các nhóm có trình độ cao, nguồn lực dồi dào và tiến hành những chiến dịch mạng âm thầm trong thời gian dài. Được công ty an ninh mạng Mandiant phát hiện lần đầu vào năm 2022, UNC3886 nhanh chóng nổi tiếng nhờ trình độ kỹ thuật tinh vi và tập trung vào các mục tiêu có giá trị cao trong lĩnh vực quốc phòng, công nghệ và viễn thông tại Mỹ và châu Á.

Ký hiệu “UNC” là viết tắt của “uncategorized” hoặc “unclassified” (chưa phân loại), cho biết hoạt động của nhóm đã được ghi nhận đầy đủ nhưng nhóm chưa chính thức được xác định là một đơn vị tin tặc của quốc gia nào. Tuy nhiên, Mandiant và các chuyên gia an ninh mạng khác liên tục cho rằng UNC3886 có liên hệ với Trung Quốc, dựa trên mô thức hoạt động, lựa chọn mục tiêu và các dấu hiệu kỹ thuật.

UNC3886 nổi tiếng với sự kiên nhẫn, khả năng thích ứng và việc sử dụng các kỹ thuật tiên tiến. Nhóm chuyên khai thác các lỗ hổng zero-day — những lỗi bảo mật trong phần mềm hoặc phần cứng mà nhà cung cấp chưa biết đến và chưa có bản vá. Bằng cách nhắm vào các thiết bị mạng như bộ định tuyến, tường lửa và nền tảng ảo hóa của những công ty như Juniper Networks, Fortinet và VMware, UNC3886 có thể xâm nhập mạng, cài mã độc tùy chỉnh và duy trì hiện diện mà không bị phát hiện trong thời gian dài. Cách thức này cho phép nhóm đánh cắp dữ liệu nhạy cảm, theo dõi liên lạc và có khả năng làm gián đoạn các dịch vụ thiết yếu.

Các mối đe dọa dai dẳng nâng cao (APT) hoạt động ra sao?

Các nhóm APT như UNC3886 khác với tội phạm mạng thông thường ở một số điểm chính:

• Duy trì quyền truy cập lâu dài: Các nhóm APT tìm cách thiết lập và duy trì quyền truy cập trái phép vào mục tiêu trong nhiều tháng, thậm chí nhiều năm, thường không bị phát hiện.
• Ẩn mình và né tránh: Họ sử dụng mã độc tùy chỉnh, các công cụ hợp pháp vốn có trên hệ thống của nạn nhân và những kỹ thuật tinh vi để tránh bị phần mềm bảo mật phát hiện.
• Lựa chọn mục tiêu chiến lược: Thay vì tìm kiếm lợi ích tài chính nhanh chóng, các nhóm APT tập trung thu thập thông tin tình báo, hoạt động gián điệp và khả năng làm gián đoạn hoặc phá hoại hạ tầng trọng yếu.
• Khai thác lỗ hổng zero-day: Bằng cách tận dụng những lỗ hổng chưa được phát hiện trước đó, các nhóm APT có thể vượt qua cả những biện pháp phòng vệ an ninh cập nhật nhất.

Hoạt động của UNC3886 thể hiện rõ những đặc điểm này, khiến nhóm trở thành đối thủ đáng gờm ngay cả với những quốc gia có năng lực an ninh mạng hàng đầu.

Hạ tầng trọng yếu của Singapore: Những gì đang bị đe dọa?

Hạ tầng thông tin trọng yếu (CII) của Singapore là nền tảng cho các dịch vụ thiết yếu của quốc gia. Chính phủ chính thức xác định 11 lĩnh vực thuộc CII, bao gồm:

• Năng lượng
• Nước
• Ngân hàng và tài chính
• Y tế
• Giao thông (đường bộ, hàng hải, hàng không)
• Chính phủ
• Thông tin và truyền thông
• Truyền thông
• An ninh và dịch vụ khẩn cấp

Gián đoạn ở bất kỳ lĩnh vực nào trong số này đều có thể gây tác động dây chuyền đến xã hội và nền kinh tế. Chẳng hạn, một cuộc tấn công thành công vào lưới điện có thể khiến nguồn điện ngừng cung cấp, ảnh hưởng đến bệnh viện, hệ thống giao thông và các tổ chức tài chính. Tương tự, các vụ xâm nhập cơ sở dữ liệu y tế hoặc chính phủ có thể làm lộ thông tin cá nhân nhạy cảm, như vụ rò rỉ dữ liệu SingHealth năm 2018 ảnh hưởng đến 1,5 triệu bệnh nhân, trong đó có cả thủ tướng khi đó.

Bộ trưởng Shanmugam nhấn mạnh những cuộc tấn công như vậy có thể gây gián đoạn trên diện rộng:

Các cuộc tấn công nhằm vào hệ thống và hạ tầng của chúng ta sẽ ảnh hưởng đến cách chúng ta kinh doanh, các nhà cung cấp của chúng ta là ai và chuỗi cung ứng của chúng ta gồm những gì. Tất cả những điều đó sẽ phải được xem xét lại và nếu quyết định rằng không thể tin cậy họ, chúng ta có thể chọn không sử dụng họ.

Ngoài việc làm gián đoạn dịch vụ trước mắt, các cuộc tấn công mạng nhằm vào CII có thể làm xói mòn lòng tin của công chúng, gây tổn hại danh tiếng của Singapore với tư cách là trung tâm kinh doanh toàn cầu, đồng thời tạo cơ hội đánh cắp dữ liệu chiến lược hoặc phá hoại dịch vụ công.

Thông tin kỹ thuật: UNC3886 xâm nhập và duy trì hiện diện như thế nào

Phương thức hoạt động của UNC3886 thể hiện sự am hiểu sâu sắc về cấu trúc bên trong của mạng và chú trọng khả năng ẩn mình. Nhóm được ghi nhận khai thác các lỗ hổng zero-day trong những thiết bị mạng và công nghệ ảo hóa được sử dụng rộng rãi. Chẳng hạn, năm 2023, UNC3886 nhắm vào các cơ quan chính phủ bằng cách khai thác lỗ hổng tường lửa Fortinet (CVE-2022-41328) để triển khai các cửa hậu tùy chỉnh. Tháng 3 năm 2025, nhóm mở chiến dịch nhằm vào bộ định tuyến chạy Junos OS của Juniper Networks, cho thấy khả năng can thiệp nhật ký hệ thống và duy trì hiện diện ngay cả sau khi bị phát hiện ban đầu.

Sau khi xâm nhập mạng, UNC3886 thường cài các cửa hậu thụ động — phần mềm độc hại cho phép truy cập từ xa mà không kích hoạt cảnh báo. Nhóm cũng rất thành thạo trong việc sử dụng các công cụ quản trị hợp pháp vốn có trên hệ thống của nạn nhân, khiến hoạt động của họ hòa lẫn với các tác vụ thông thường. Cách tiếp cận này, được gọi là “sống nhờ tài nguyên sẵn có”, làm phức tạp việc phát hiện và loại bỏ.

Satnam Narang, nghiên cứu viên cấp cao tại công ty an ninh mạng Tenable, giải thích về thách thức này:

Các nhóm APT như UNC3886 kiên nhẫn, linh hoạt và có kỹ năng cao. Họ khai thác lỗ hổng zero-day trên nền tảng ảo hóa, tường lửa và bộ định tuyến để xâm nhập hệ thống, cài mã độc và rootkit, đánh cắp thông tin xác thực rồi di chuyển ngang theo những cách khó phát hiện.

Cơ quan An ninh mạng Singapore (CSA) cho biết hoạt động của UNC3886 đã được phát hiện tại một số bộ phận thuộc CII của nước này; cơ quan đang tích cực điều tra, giám sát và chia sẻ thông tin tình báo về mối đe dọa với các tổ chức bị ảnh hưởng.

Singapore ứng phó: Chính phủ hành động, ngành công nghiệp vào cuộc

Chính phủ Singapore đã khẩn trương và minh bạch ứng phó với mối đe dọa. Cơ quan An ninh mạng cùng các cơ quan hữu quan đang phối hợp chặt chẽ với các đơn vị vận hành CII để ngăn chặn cuộc tấn công, đánh giá lỗ hổng và củng cố hệ thống phòng vệ. Giới chức chưa công bố toàn bộ phạm vi vụ xâm nhập hoặc hệ quả của nó, nhưng nhấn mạnh tình hình nghiêm trọng và cần tiếp tục cảnh giác.

David Koh, Giám đốc điều hành CSA, nhấn mạnh tầm quan trọng của sự linh hoạt và cam kết trong việc bảo vệ không gian mạng Singapore. Ông lưu ý rằng gần 80% tổ chức tại Singapore từng trải qua một hình thức tấn công mạng nào đó, cho thấy mối đe dọa phổ biến đến mức nào. Chính phủ cũng đang rà soát các chính sách về độ tin cậy của nhà cung cấp và an ninh chuỗi cung ứng, nhận thức rằng việc phụ thuộc vào công nghệ có khả năng bị xâm phạm có thể tạo ra rủi ro mang tính hệ thống.

Cách ứng phó của Singapore bao gồm:

• Giám sát liên tục và chia sẻ thông tin tình báo về mối đe dọa giữa các lĩnh vực
• Hợp tác với các công ty và đối tác an ninh mạng quốc tế
• Kiểm toán an ninh định kỳ và diễn tập ứng phó sự cố
• Chiến dịch nâng cao nhận thức cộng đồng nhằm cải thiện vệ sinh an ninh mạng

Những sự cố trước đây cũng dẫn đến các biện pháp ứng phó tương tự, như vụ xâm nhập Bộ Ngoại giao năm 2014, các cuộc tấn công nhằm vào các trường đại học trong nước năm 2017 và vụ rò rỉ dữ liệu SingHealth năm 2018. Năm 2024, một vụ lây nhiễm botnet toàn cầu ảnh hưởng đến 2.700 thiết bị tại Singapore, dù không có CII nào bị xâm phạm. Những sự việc này càng cho thấy nhu cầu xây dựng hệ thống phòng vệ vững chắc, linh hoạt và văn hóa an ninh mạng trên mọi lĩnh vực.

Phản ứng của Trung Quốc và bối cảnh địa chính trị

Trung Quốc luôn phủ nhận mọi liên quan đến hoạt động gián điệp mạng, trong đó có những hoạt động bị quy cho UNC3886. Đại sứ quán Trung Quốc tại Singapore bày tỏ sự bất bình mạnh mẽ trước các tin tức liên hệ nhóm này với Trung Quốc, đồng thời tuyên bố Trung Quốc phản đối mọi hình thức tấn công mạng và bản thân cũng là nạn nhân của các chiến dịch tin tặc quốc tế.

Bất chấp những lời phủ nhận này, các chuyên gia an ninh mạng và cơ quan tình báo phương Tây từ lâu đã ghi nhận hoạt động của các nhóm APT có liên hệ với Trung Quốc, nhắm vào chính phủ, doanh nghiệp và hạ tầng trọng yếu trên khắp thế giới. Những năm gần đây, các nhóm khác có liên hệ với Trung Quốc như Volt Typhoon cũng bị cho là đứng sau các cuộc tấn công nhằm vào các tổ chức Singapore, trong đó có nhà mạng di động lớn nhất nước này, Singapore Telecommunications Ltd.

Bối cảnh địa chính trị rộng hơn là sự cạnh tranh và hoạt động gián điệp trên không gian mạng ngày càng gia tăng, đặc biệt tại khu vực châu Á - Thái Bình Dương. Khi Singapore củng cố vị thế trung tâm công nghệ và tài chính toàn cầu, nước này trở thành mục tiêu hấp dẫn của tin tặc được nhà nước hậu thuẫn, những đối tượng tìm kiếm lợi thế chiến lược, thông tin tình báo kinh tế hoặc đòn bẩy trong đàm phán ngoại giao.

Tác động rộng hơn: Làn sóng chiến tranh mạng gia tăng

Cuộc tấn công nhằm vào hạ tầng trọng yếu của Singapore không phải sự cố đơn lẻ mà là một phần trong xu hướng xung đột mạng leo thang trên toàn cầu. Từ năm 2021 đến năm 2024, số vụ tấn công APT bị nghi nhắm vào Singapore tăng hơn bốn lần, tương tự xu hướng gia tăng các hành vi gây hấn trên mạng toàn cầu. Các nước và vùng lãnh thổ khác trong khu vực, gồm Đài Loan, Nhật Bản, Hàn Quốc và Hong Kong, cũng ghi nhận những chiến dịch tương tự nhằm vào các ngành chiến lược và dịch vụ công.

An ninh mạng hiện là trụ cột trọng yếu của an ninh quốc gia, ổn định kinh tế và lòng tin công chúng. Khi công nghệ số ngày càng gắn sâu vào đời sống thường nhật, tác động tiềm tàng của các cuộc tấn công mạng cũng tăng theo cấp số nhân. Tấn công vào lưới điện, hệ thống cấp nước, mạng lưới y tế và tổ chức tài chính có thể ảnh hưởng trực tiếp, rõ rệt đến cuộc sống người dân, trong khi các chiến dịch gián điệp dài hạn có thể làm suy giảm lợi thế cạnh tranh và chủ quyền quốc gia.

Các chuyên gia cảnh báo ranh giới giữa hòa bình và xung đột trên không gian mạng ngày càng mờ nhạt. Khác với chiến tranh truyền thống, các cuộc tấn công mạng có thể được phát động ẩn danh, vượt biên giới tức thời và gây thiệt hại mà không cần nổ một phát súng. Kỷ nguyên “chiến tranh vô hình” mới này đòi hỏi những chiến lược mới, hợp tác quốc tế và sự tập trung không ngừng vào khả năng chống chịu cũng như mức độ sẵn sàng.

Bài học kinh nghiệm và hướng đi phía trước

Trải nghiệm của Singapore với UNC3886 mang lại một số bài học quan trọng cho chính phủ, doanh nghiệp và người dân trên toàn thế giới:

• Cảnh giác là điều thiết yếu: Ngay cả những quốc gia tiên tiến nhất về công nghệ cũng có thể trở thành mục tiêu của các đối thủ mạng tinh vi. Giám sát liên tục, chia sẻ thông tin tình báo về mối đe dọa và ứng phó nhanh là những yếu tố then chốt.
• An ninh chuỗi cung ứng rất quan trọng: Cần liên tục đánh giá mức độ tin cậy của các nhà cung cấp công nghệ và dịch vụ, bởi lỗ hổng trong những sản phẩm được sử dụng rộng rãi có thể bị khai thác trên quy mô lớn.
• Hợp tác công - tư: An ninh mạng hiệu quả đòi hỏi sự phối hợp giữa các cơ quan chính phủ, đối tác khu vực tư nhân và đồng minh quốc tế.
• Vệ sinh an ninh mạng và nhận thức: Các biện pháp bảo mật cơ bản — như thường xuyên cập nhật phần mềm, dùng mật khẩu mạnh và đào tạo nhân viên — vẫn là nền tảng để phòng vệ trước nhiều cuộc tấn công.
• Chuẩn bị ứng phó gián đoạn: Các tổ chức cần có kế hoạch ứng phó sự cố vững chắc và khả năng duy trì dịch vụ thiết yếu ngay cả khi bị tấn công.

Khi Singapore tiếp tục điều tra và ứng phó với mối đe dọa hiện nay, sự việc là lời cảnh tỉnh cho mọi quốc gia đang đối mặt với những thách thức phức tạp của chuyển đổi số và rủi ro mạng.

Tóm tắt

• Singapore đang đối mặt với một cuộc tấn công mạng nghiêm trọng, kéo dài nhằm vào hạ tầng trọng yếu, do UNC3886 thực hiện; các chuyên gia cho rằng nhóm này có liên hệ với Trung Quốc.
• UNC3886 là một tác nhân đe dọa dai dẳng nâng cao (APT), nổi tiếng với việc khai thác lỗ hổng zero-day và nhắm vào các lĩnh vực có giá trị cao.
• Cuộc tấn công cho thấy những lỗ hổng trong các dịch vụ thiết yếu như năng lượng, nước, y tế và tài chính, với nguy cơ gây gián đoạn trên diện rộng.
• Chính phủ Singapore đang tích cực ứng phó, phối hợp với ngành công nghiệp và các đối tác quốc tế để ngăn chặn mối đe dọa và củng cố hệ thống phòng vệ.
• Trung Quốc phủ nhận liên quan, nhưng sự việc phản ánh xu hướng chiến tranh mạng và hoạt động gián điệp gia tăng tại khu vực châu Á - Thái Bình Dương.
• Các chuyên gia nhấn mạnh cần cảnh giác, bảo đảm an ninh chuỗi cung ứng, tăng cường hợp tác công - tư và chuẩn bị vững chắc trước những mối đe dọa mạng không ngừng biến đổi.