Những tin tặc đã dành cả tháng 10 làm nóng thức ăn trong siêu thị trên khắp nước Pháp giờ chuyển sang một mục tiêu nghiêm trọng hơn nhiều: các tủ đông huyết tương của Pháp.
Trong đêm từ ngày 1 đến ngày 2 tháng 11, những kẻ tấn công đột nhập vào thiết bị do Coolworld vận hành. Đây là công ty điện lạnh cung cấp dịch vụ cho cơ quan cung cấp máu quốc gia Pháp, EFS. Chúng cài đặt để các tủ đông vốn thường duy trì ở khoảng -30°C nóng lên đến 110°C.
Tuần báo điều tra Le Canard enchaîné tiết lộ vụ tấn công xảy ra vào ngày 3 tháng 11.
Những điểm chính
Tin tặc đã đặt lại nhiệt độ các tủ đông huyết tương ở miền đông nước Pháp từ khoảng -30°C lên mức mục tiêu 110°C. Một kỹ thuật viên trực đã phát hiện sự việc trước khi huyết tương tan đông.
Đây là đợt thứ ba trong một tháng, sau khi khoảng 700 siêu thị ở Pháp bị tấn công vào ngày 11-12 tháng 10 và các cửa hàng tại ít nhất chín quốc gia châu Âu bị nhắm đến vào ngày 2 tháng 11.
Chưa có nhóm nào nhận trách nhiệm, đòi tiền hay đánh cắp dữ liệu, những điều này cho thấy đây không phải tội phạm mạng thông thường.
Thiệt hại của các siêu thị đã lên đến hàng triệu euro. Một vụ tấn công thành công vào kho dự trữ máu sẽ gây thiệt hại lớn hơn nhiều, vì Pháp hiện đã phải nhập khẩu phần lớn lượng huyết tương cần thiết.
Điều gì đã xảy ra với các tủ đông huyết tương
Một kỹ thuật viên trực ca phát hiện nhiệt độ tăng trong đêm từ Chủ nhật sang thứ Hai. Kẻ tấn công đã thay đổi nhiệt độ cài đặt — mức nhiệt mà bộ điều khiển cố gắng duy trì — từ khoảng -30°C lên 110°C. Tủ đông chưa kịp đạt đến mức đó vì sự thay đổi được phát hiện và đảo ngược kịp thời.
Thời điểm ở đây rất quan trọng. Huyết tương tươi đông lạnh phải được giữ ở -25°C hoặc thấp hơn, vì vậy chỉ vài giờ tăng nhiệt cũng có thể khiến một lô huyết tương không còn sử dụng được cho bệnh nhân.
Ban đầu, EFS cho biết các thiết bị bị ảnh hưởng chứa mẫu của người hiến tặng, được lưu trữ để kiểm tra an toàn. Sau đó, cơ quan này nói với tờ Canard rằng huyết tương đông lạnh dành cho truyền máu cũng bị ảnh hưởng. Những địa điểm được nêu cho đến nay nằm trong vùng Bourgogne-Franche-Comté. Bộ Y tế Pháp cho biết sự cố không gây ảnh hưởng đến hoạt động, và chưa có thông tin nào về việc huyết tương bị hủy.
Số địa điểm bị tấn công, thời gian kẻ tấn công duy trì quyền truy cập và cách chúng xâm nhập vẫn chưa được công bố.
Chiến dịch kéo dài một tháng nhắm vào mọi thứ cần giữ lạnh
Vụ tấn công huyết tương không phải chuyện bất ngờ. Đây là vụ mới nhất trong một loạt vụ tấn công cùng áp dụng một cách thức: xâm nhập vào bộ điều khiển làm lạnh có thể truy cập từ internet, rồi chuyển thiết bị từ chế độ làm lạnh sang làm nóng.
NgàyĐối tượng tấn côngĐịa điểmQuy môThiệt hại11-12 tháng 10Tủ lạnh và tủ đông siêu thịPhápKhoảng 700 cửa hàngThực phẩm hư hỏng, một số tủ lạnh bốc cháy1-2 tháng 11Tủ đông huyết tương thông qua CoolworldPhápChưa công bốPhát hiện kịp thời, chưa có thiệt hại được báo cáo2 tháng 11Siêu thị, cửa hàng thịt, một cửa hàng IKEABỉ, Hà Lan, Thụy Điển, Ireland, Luxembourg, Estonia, Phần Lan, Bồ Đào Nha, ÝHàng chục cửa hàngThực phẩm bị thu hồi hoặc vứt bỏ
Ba đợt tấn công vào hệ thống làm lạnh trong một tháng. Nguồn: Chính phủ Pháp, CERT-FR, Le Canard enchaîné, thông cáo của các nhà bán lẻ.
Trong đợt đầu tiên, Bộ trưởng Tài chính Pháp nói với quốc hội rằng khoảng 700 trong tổng số 10.000 siêu thị của nước này bị tấn công. Các cửa hàng thuộc Intermarché, Netto, Coopérative U, Carrefour, Monoprix và E.Leclerc phát hiện tủ lạnh đã nóng lên khoảng 50°C vào buổi sáng.
Đợt thứ hai vào ngày 2 tháng 11 ảnh hưởng đến các chuỗi như Delhaize và Carrefour ở Bỉ, SuperValu ở Ireland, ICA và Coop ở Thụy Điển cùng một cửa hàng IKEA tại Mons. Các tủ đông huyết tương cũng bị tấn công trong cùng đêm.
Cách tin tặc xâm nhập
Đội ứng cứu khẩn cấp mạng của Pháp đã phát cảnh báo, nêu tên các bộ điều khiển từ xa do Danfoss sản xuất, cùng các công cụ giám sát do Copeland và thương hiệu Dixell của hãng bán ra. Cảnh báo cho biết chiến dịch này có thể vẫn đang tiếp diễn.
Các điểm yếu rất cơ bản. Nhiều bộ điều khiển kết nối trực tiếp với internet, có trang đăng nhập mà bất kỳ ai cũng tìm thấy được, và một số vẫn dùng mật khẩu mặc định hoặc yếu. Hai mẫu Danfoss liên quan đã ngừng nhận cập nhật từ nhiều năm trước, một mẫu vào năm 2016 và mẫu còn lại vào năm 2021. Danfoss cho biết phần lớn hệ thống bị ảnh hưởng là sản phẩm đời cũ mà khách hàng chưa cập nhật.
Vincent Strubel, người đứng đầu cơ quan an ninh mạng ANSSI của Pháp, nói tại phiên điều trần ở Thượng viện ngày 21 tháng 10 rằng các vụ tấn công siêu thị đã khai thác những lỗ hổng bảo mật cơ bản, thiết bị bị phơi lộ trên mạng và mật khẩu yếu; ông cũng cho biết không phải lúc nào các khuyến nghị của cơ quan này cũng được tuân thủ. Ông cảnh báo rằng loại thiết bị tương tự được sử dụng rộng rãi trong ngành y tế, từ phòng thí nghiệm nghiên cứu đến các hiệu thuốc bảo quản vắc-xin. Mười một ngày sau, các tủ đông huyết tương bị tấn công.
Chưa xác nhận thiết bị của Coolworld có sử dụng các mẫu được nêu trong cảnh báo hay không.
Ai đứng sau vụ việc và họ muốn gì?
Không ai biết chắc. Chưa có nhóm nào nhận trách nhiệm về các vụ tấn công, và công tố viên ở Paris cùng Brussels chưa nêu tên nghi phạm. Trung tâm an ninh mạng của Bỉ cho biết có thể sẽ không bao giờ xác định được thủ phạm. Tuy nhiên, bản thân các vụ tấn công có những manh mối giúp loại trừ một số cách lý giải.
Không giống mã độc tống tiền
Các băng nhóm mã độc tống tiền muốn tiền. Chúng khóa hệ thống hoặc đánh cắp dữ liệu rồi gửi yêu cầu đòi tiền. Trong các vụ này, không có thư đòi tiền chuộc, bài đăng trên trang rò rỉ dữ liệu hay thông tin nào về việc đánh cắp dữ liệu trong cả ba đợt. Các vụ tấn công phá hủy hàng hóa rồi dừng lại, nên không thấy cách nào rõ ràng để kiếm lợi.
Giả thuyết 1: Tin tặc ít kỹ năng muốn gây chú ý
Phương thức này không đòi hỏi nhiều kỹ năng. Có thể tìm thấy các thiết bị bằng những công cụ quét internet công khai, còn các lỗ hổng trong những bộ điều khiển Danfoss đời cũ đã được công bố vào năm 2025. Ken Munro của công ty bảo mật Pen Test Partners cho rằng thủ phạm có thể chỉ là những đứa trẻ nghịch phá. Strubel nói với các thượng nghị sĩ rằng cơ quan của ông đang thấy ngày càng nhiều kẻ tấn công trẻ tuổi người Pháp bị thúc đẩy bởi danh tiếng hơn là tiền bạc, dù ông không liên hệ xu hướng đó với các vụ tấn công này.
Đọc thêm: Đơn vị 1Finity của Fujitsu cho biết tháp viễn thông cũng có thể vận hành AI Giả thuyết 2: Cố ý phá hoại nguồn cung
Mô hình này khó có thể chỉ là trò đùa. Cả ba đợt đều diễn ra qua đêm từ Chủ nhật sang thứ Hai, khi các cửa hàng và phòng thí nghiệm vắng người, không ai theo dõi nhiệt độ. Mỗi đợt nhắm vào nhiều địa điểm chỉ trong một đêm, và đợt thứ hai lan rộng ra ít nhất chín quốc gia. Mục tiêu chuyển từ thực phẩm sang chuỗi cung ứng y tế.
Điều đó phù hợp với ý đồ của một kẻ muốn gây thiệt hại nhiều nhất có thể và chứng tỏ chúng có thể tiếp cận những nguồn cung mà mọi người phụ thuộc vào. Ủy viên nông nghiệp EU Christophe Hansen gọi các vụ tấn công là nỗ lực có chủ đích nhằm làm gián đoạn nguồn cung thực phẩm của châu Âu và lung lay niềm tin của người tiêu dùng. Pháp đã cảnh giác trước các cuộc tấn công “lai” của Nga nhằm vào cơ sở hạ tầng trọng yếu, nhưng chưa chính phủ nào quy trách nhiệm cho Nga, Iran hay bất kỳ bên nào khác trong các vụ việc này.
Giả thuyết 3: Chạy thử
Một cách lý giải thứ ba là đây chỉ là hoạt động thăm dò. Tấn công hàng nghìn bộ điều khiển, theo dõi tốc độ phản ứng của các công ty rồi chuyển sang những mục tiêu nhạy cảm hơn là cách kẻ tấn công có thể lập bản đồ các điểm yếu trước một chiến dịch lớn hơn. Đây là suy luận của Fathom, không phải kết luận điều tra; cũng chưa có bằng chứng công khai nào chứng minh điều đó. Tuy nhiên, việc chuyển từ siêu thị sang huyết tương trong vòng ba tuần chính là kiểu leo thang khiến các quan chức an ninh lo ngại.
Nhận định của Fathom: Dù ai đứng sau, các vụ tấn công nhắm đến việc gây gián đoạn chứ không phải kiếm lời. Và danh sách mục tiêu ngày càng nguy hiểm hơn.
Nếu tình trạng này tiếp diễn, thiệt hại dự kiến là bao nhiêu?
Siêu thị: Thiệt hại đã lên đến hàng triệu euro
Hiện chưa có tổng số liệu chính thức trên toàn quốc, nhưng cộng các con số ở từng cửa hàng lại thì thiệt hại tăng nhanh. Một cửa hàng Intermarché ở Haguenau báo thiệt hại khoảng 50.000 euro, còn một cửa hàng Super U ở Wasselonne báo khoảng 220.000 euro. Tập đoàn Les Mousquetaires, công ty mẹ của Intermarché, dự kiến thiệt hại lên đến vài triệu euro tại khoảng 300 cửa hàng bị ảnh hưởng. Ở Bỉ, một chủ cửa hàng thịt ước tính đợt tấn công tháng 11 làm hỏng số thịt trị giá 15.000 euro.
Ngoài hàng hóa bị hỏng, còn có chi phí vệ sinh, nhập hàng lại, thiệt hại do hỏa hoạn và hệ thống phun nước chữa cháy, cùng chi phí thay thế những bộ điều khiển không thể cập nhật bản vá.
Nguồn cung máu: Khó bù đắp hơn nhiều
Huyết tương là một loại tổn thất khác. Huyết tương đến từ những người tình nguyện hiến tặng, nên không thể mua bù từ kệ hàng. Theo một câu hỏi được đệ trình lên quốc hội, năm 2024 Pháp chỉ thu gom được khoảng 35% lượng huyết tương cần thiết để sản xuất thuốc có nguồn gốc từ huyết tương và phải nhập khẩu phần còn lại, chủ yếu từ Mỹ. Nhu cầu về các loại thuốc này tăng khoảng 8% mỗi năm.
Ngay cả khi chỉ xét trên giấy tờ, các con số cũng rất lớn. EFS bán huyết tương dùng để sản xuất thuốc với giá quy định là 140 euro mỗi lít, và chính phủ muốn thu gom 1,4 triệu lít mỗi năm vào năm 2028. Một vụ tấn công thành công vào kho dự trữ khu vực sẽ xóa sổ lượng huyết tương quyên góp trong nhiều tuần và buộc phải tăng nhập khẩu, vào lúc Pháp đang tìm cách giảm nhập khẩu.
Huyết tương dùng để truyền máu được sử dụng để điều trị chảy máu trong phẫu thuật, chấn thương và sinh nở. Nếu nguồn dự trữ cạn, cái giá phải trả được tính bằng các ca phẫu thuật bị trì hoãn và nguy cơ đối với bệnh nhân, chứ không chỉ bằng euro.
Vắc-xin và phòng thí nghiệm có thể là mục tiêu tiếp theo
Cảnh báo của Strubel bao gồm cả các phòng thí nghiệm nghiên cứu và hiệu thuốc bảo quản vắc-xin. Nhiều nơi sử dụng hệ thống làm lạnh kết nối mạng giống như siêu thị. Cho đến nay, mỗi đợt tấn công đều được phát hiện hoặc khống chế trong vòng vài giờ, nhưng chỉ vì nhân viên kịp thời nhận ra sự cố. Rõ ràng những kẻ tấn công chọn thời điểm ban đêm, khi không ai theo dõi.
Điều gì sẽ xảy ra tiếp theo
Các cuộc điều tra đang được tiến hành ở Paris và Brussels. CERT-FR đã yêu cầu các đơn vị vận hành ngắt kết nối bộ điều khiển khỏi internet công cộng, đổi mật khẩu mặc định, sử dụng phương thức truy cập từ xa an toàn và kiểm tra lịch xả đá. Cơ quan này cũng cảnh báo rằng chỉ khôi phục cài đặt gốc sẽ không khắc phục được các thiết bị đã hết vòng đời hỗ trợ.
Đối với bệnh viện và ngân hàng máu, bài học từ vụ Coolworld rất đơn giản. Tủ đông giờ đây cũng nằm trong bề mặt tấn công, và kỹ thuật viên theo dõi các chỉ số lúc 3 giờ sáng có thể là tuyến phòng thủ cuối cùng.
Câu hỏi thường gặp
Điều gì đã xảy ra với các tủ đông huyết tương ở Pháp?
Trong đêm 1-2 tháng 11, tin tặc đã thay đổi cài đặt của các tủ đông EFS thông qua nhà cung cấp dịch vụ làm lạnh Coolworld, từ khoảng -30°C lên 110°C. Một kỹ thuật viên phát hiện nhiệt độ đang tăng và chưa có tổn thất nào được báo cáo.
Ai đứng sau các vụ tấn công mạng vào tủ lạnh?
Chưa ai nhận trách nhiệm và cũng chưa có nghi phạm nào được nêu tên. Các chuyên gia chưa thống nhất, với hai khả năng là tin tặc ít kỹ năng muốn gây chú ý hoặc hành vi cố ý phá hoại nguồn cung.
Các vụ tấn công siêu thị và huyết tương có liên quan với nhau không?
Chúng sử dụng cùng phương thức và xảy ra trong cùng một đợt tấn công, nhưng các nhà điều tra chưa xác nhận cùng một nhóm người đứng sau cả hai vụ.
Đọc tiếp: Một buổi phỏng vấn xin việc giả đã giúp tin tặc xâm nhập Binance trong vụ tấn công gây thiệt hại 6,34 tỷ USD