Tấn công chuỗi cung ứng phần mềm: cửa sau vào doanh nghiệp Việt

Tin tặc ngày càng ít khi tấn công trực diện vào hệ thống doanh nghiệp. Thay vào đó, chúng xâm nhập qua phần mềm kế toán, thư viện mã nguồn mở hay công cụ tự động hóa mà chính đội ngũ công nghệ đặt trọn niềm tin. Khoảng 34% doanh nghiệp Việt Nam đã bị ảnh hưởng bởi tấn công chuỗi cung ứng phần mềm trong vòng 12 tháng — tỷ lệ đưa Việt Nam lên vị trí thứ hai khu vực châu Á – Thái Bình Dương, chỉ sau Trung Quốc (40%) và cao hơn Ấn Độ, Singapore hay Indonesia. Đáng lo ngại là phần lớn doanh nghiệp vẫn chưa xem đây là ưu tiên phòng thủ hàng đầu.

Kẻ tấn công đi vào từ nơi được phép vào

Tấn công chuỗi cung ứng phần mềm là kiểu xâm nhập gián tiếp: thay vì đối đầu trực diện với tường lửa hay hệ thống phát hiện xâm nhập, tin tặc nhắm đến nhà cung cấp phần mềm, thư viện mã nguồn mở hoặc dịch vụ trung gian mà doanh nghiệp sử dụng. Khi đã cài được mã độc vào phần mềm 'đáng tin cậy', kẻ tấn công được đưa thẳng vào hệ thống mục tiêu theo con đường chính thức — không cần vượt qua bất kỳ lớp phòng thủ nào.

Mô hình này ngày càng phổ biến vì một logic đơn giản: khi cửa chính được gia cố, kẻ tấn công tìm cửa bên. Bên cạnh chuỗi cung ứng, khoảng 27% doanh nghiệp Việt còn ghi nhận các cuộc tấn công thông qua mối quan hệ tin cậy với đối tác. Trung bình mỗi doanh nghiệp kết nối với hàng chục nhà cung cấp phần mềm — từ kế toán, hóa đơn điện tử, ERP đến các thư viện mã nguồn mở — tạo ra bề mặt tấn công rộng lớn mà hầu hết không được kiểm soát chặt chẽ; riêng doanh nghiệp lớn có thể quản lý tới khoảng 100 nhà cung cấp.

Cơ chế lây nhiễm và vì sao rất khó phát hiện

Điều khiến tấn công chuỗi cung ứng đặc biệt nguy hiểm là tính 'hợp lệ' của mã độc. Phần mềm hoặc thư viện bị nhiễm vẫn chạy đúng chức năng thông thường — kế toán vẫn ghi sổ, công cụ bảo mật vẫn quét lỗ hổng, pipeline vẫn biên dịch và triển khai ứng dụng. Trong khi đó, một tiến trình ngầm âm thầm thu thập thông tin xác thực, khóa truy cập đám mây, cấu hình hệ thống và toàn bộ biến môi trường để gửi về máy chủ điều khiển của kẻ tấn công.

Thời gian để phát hiện và khắc phục một vụ xâm nhập kiểu này thường kéo dài nhiều tháng, bởi điểm xâm nhập nằm ngoài ranh giới hệ thống mà đội ngũ công nghệ trực tiếp kiểm soát. Mọi cảnh báo từ hệ thống giám sát và tường lửa đều hướng vào nội bộ, trong khi mối nguy đã đi vào từ cổng dịch vụ được cấp phép.

Mã nguồn mở và pipeline: những mắt xích dễ bị khai thác

Hệ sinh thái mã nguồn mở — nơi tập trung hàng triệu gói thư viện dùng chung — là mục tiêu ưa thích. Các thủ đoạn phổ biến gồm: đặt tên gói gần giống gói thật để đánh lừa lập trình viên, gây nhầm lẫn phụ thuộc, hoặc chiếm tài khoản xuất bản của một gói uy tín để tung ra phiên bản chứa mã độc. Nguy hiểm nhất là hiệu ứng lây nhiễm dây chuyền: một thành phần bị nhiễm được hệ thống tích hợp và triển khai tự động 'kéo' về môi trường biên dịch nội bộ mà không hay biết, rồi âm thầm đánh cắp khóa truy cập kho mã nguồn của lập trình viên — mở tiếp cánh cửa vào chính doanh nghiệp nơi họ làm việc.

Với doanh nghiệp Việt, rủi ro không chỉ đến từ thư viện quốc tế. Tấn công chuỗi cung ứng ngày càng nhắm trực tiếp vào phần mềm kế toán, dịch vụ hóa đơn điện tử và nền tảng ERP trong nước. Đây thường là 'mắt xích yếu nhất', bởi một số nhà cung cấp nội địa có tiêu chuẩn bảo mật thấp hơn, trong khi doanh nghiệp lại ít khi kiểm tra năng lực bảo mật của nhà cung cấp trước khi tích hợp.

Phần mềm kế toán, hóa đơn điện tử và hệ thống quản trị doanh nghiệp đang trở thành mắt xích bị nhắm tới trong các cuộc tấn công chuỗi cung ứng.

Doanh nghiệp Việt Nam đang ở đâu

Các hệ thống thông tin tại Việt Nam tiếp tục hứng chịu số lượng lớn cuộc tấn công mạng mỗi năm, với hơn một nửa tổ chức được khảo sát xác nhận đã chịu thiệt hại thực tế. Đáng lo ngại hơn, xu hướng tấn công đang dịch chuyển từ mã độc tống tiền trực tiếp sang đánh cắp và khai thác dữ liệu dài hạn — điều này phù hợp với đặc điểm của tấn công chuỗi cung ứng, nơi kẻ xâm nhập ẩn nấp trong hệ thống nhiều tuần, thậm chí nhiều tháng, trước khi hành động.

Hành lang pháp lý siết lại

Luật An ninh mạng số 116/2025/QH15 chính thức có hiệu lực từ ngày 1/7/2026, đặt yêu cầu rõ ràng hơn về đánh giá, kiểm thử và giám sát liên tục hệ thống thông tin, phòng chống mã độc, ứng cứu sự cố và báo cáo. Các tổ chức đang vận hành hệ thống thông tin, xử lý dữ liệu hoặc cung cấp dịch vụ trên không gian mạng cần rà soát mức độ tuân thủ và trách nhiệm tương ứng.

Tuy nhiên, quản lý rủi ro chuỗi cung ứng vẫn được xem là khoảng trống đáng kể nhất trong hệ thống bảo mật của doanh nghiệp Việt. Chưa có quy trình chuẩn bắt buộc để đánh giá, phân loại và giám sát liên tục rủi ro từ nhà cung cấp phần mềm, phần cứng và dịch vụ đám mây — trong khi đây là vector tấn công ngày càng phổ biến trên toàn cầu.

Các chương trình diễn tập thực chiến giúp đội ngũ kỹ thuật của doanh nghiệp Việt nâng cao năng lực phát hiện và ứng cứu sự cố an ninh mạng.

Doanh nghiệp cần làm gì ngay bây giờ

Không có giải pháp đơn lẻ nào đủ để ngăn chặn tấn công chuỗi cung ứng, nhưng doanh nghiệp hoàn toàn có thể thu hẹp đáng kể rủi ro bằng những biện pháp thiết thực:

• Kiểm kê toàn bộ phần mềm và thư viện bên thứ ba đang sử dụng, gồm phiên bản, nguồn gốc và quyền truy cập được cấp cho từng nhà cung cấp
• Không để hệ thống tích hợp và triển khai tự động cập nhật lên phiên bản mới nhất mà chưa qua kiểm thử bảo mật nội bộ
• Yêu cầu nhà cung cấp phần mềm kế toán, ERP, hóa đơn điện tử chứng minh việc kiểm thử bảo mật định kỳ, tốt nhất theo tiêu chuẩn ISO/IEC 27001 hoặc SOC 2
• Áp dụng nguyên tắc quyền truy cập tối thiểu cho mọi tích hợp phần mềm bên ngoài
• Bắt buộc xác thực đa yếu tố cho tất cả điểm truy cập vào kho mã nguồn, hệ thống quản lý cấu hình và pipeline triển khai
• Xây dựng hoặc thuê dịch vụ giám sát an ninh 24/7 (SOC/MDR) để phát hiện sớm hành vi bất thường từ phần mềm hợp lệ
• Duy trì bản sao lưu tách biệt khỏi hệ thống sản xuất và kiểm chứng định kỳ khả năng phục hồi

Với doanh nghiệp vừa và nhỏ — nhóm chiếm đa số và cũng dễ tổn thương nhất do hạn chế nguồn lực công nghệ — thuê ngoài dịch vụ giám sát an ninh là hướng đi phù hợp. Thay vì đầu tư đội ngũ chuyên gia nội bộ tốn kém và khó tuyển, doanh nghiệp có thể tiếp cận năng lực giám sát chuyên nghiệp với chi phí kiểm soát được.

Chuỗi cung ứng phần mềm ngày nay là xương sống vô hình của mọi doanh nghiệp số — từ tờ khai thuế gửi qua phần mềm kế toán đến dữ liệu khách hàng đồng bộ qua ERP. Bảo vệ hệ thống không còn là bài toán khép kín bên trong tường lửa, mà đòi hỏi doanh nghiệp mở rộng tầm nhìn ra toàn bộ hệ sinh thái đối tác — bởi một mắt xích yếu, dù nhỏ đến đâu, cũng có thể là điểm khởi đầu của một cuộc tấn công diện rộng.