Cuộc tấn công mã độc wiper chưa từng có nhắm vào lưới điện Ba Lan

• Lưới điện của Ba Lan đã bị tấn công bởi một mã độc wiper mới (DynoWiper), được cho là có liên quan đến Nga, nhưng nguồn cung điện không bị gián đoạn
• Vụ tấn công xảy ra vào cuối tháng 12 năm 2025 và được cho là nỗ lực nhằm làm gián đoạn liên lạc giữa các cơ sở năng lượng tái tạo và các đơn vị vận hành phân phối điện
• Công ty bảo mật ESET phân tích rằng mã độc này là một wiper mang tính phá hoại có khả năng xóa vĩnh viễn dữ liệu, với chiến thuật và kỹ thuật tương tự tổ chức tin tặc nhà nước Nga Sandworm
• Cuộc tấn công lần này diễn ra đúng vào kỷ niệm 10 năm vụ tấn công lưới điện Ukraine năm 2015, sự kiện khi đó được cho là đã khiến khoảng 230.000 người bị mất điện trong 6 giờ
• Dù DynoWiper không thể thực sự gây mất điện, đây vẫn là vụ việc một lần nữa làm nổi bật năng lực tấn công mạng của Nga và mức độ mong manh của hạ tầng năng lượng châu Âu

---

Tấn công mã độc wiper nhắm vào lưới điện Ba Lan

• Các nhà nghiên cứu cho biết lưới điện Ba Lan đã trở thành mục tiêu của một cuộc tấn công bằng mã độc wiper, nhiều khả năng do tin tặc nhà nước Nga phát tán
  • Cuộc tấn công được phân tích là nhằm cản trở hoạt động vận hành cung cấp điện
  • Reuters đưa tin cuộc tấn công mạng xảy ra vào tuần cuối cùng của tháng 12 và đã cố gắng gây nhiễu liên lạc giữa các cơ sở năng lượng tái tạo với các đơn vị vận hành phân phối điện, nhưng không thành công
• Mã độc được sử dụng trong vụ việc được đặt tên là DynoWiper, có mục đích xóa vĩnh viễn mã và dữ liệu trên máy chủ để làm tê liệt hoàn toàn hoạt động vận hành
• Sau khi phân tích chiến thuật và kỹ thuật (TTP) của cuộc tấn công, ESET cho biết có sự tương đồng mạnh với các hoạt động trước đây của APT Sandworm, và đánh giá với mức độ tin cậy trung bình (medium confidence) rằng đây là hành vi của Sandworm

Các vụ tấn công trước đây của Sandworm

• Sandworm là một nhóm tin tặc được cho là nhận hỗ trợ từ Điện Kremlin, có tiền sử thực hiện nhiều cuộc tấn công mạng mang tính phá hoại
  • Trong vụ tấn công lưới điện Ukraine tháng 12/2015, khoảng 230.000 người đã bị mất điện trong 6 giờ, và đây được ghi nhận là sự cố mất điện đầu tiên do mã độc gây ra
  • Mã độc BlackEnergy được dùng khi đó đã xâm nhập vào hệ thống SCADA và lợi dụng các chức năng hợp pháp để ngắt việc phân phối điện
• ESET cho biết cuộc tấn công vào Ba Lan lần này xảy ra đúng vào kỷ niệm 10 năm của sự kiện đó
• Tin tặc Nga trước đây cũng liên tục sử dụng mã độc wiper được tùy biến riêng
  • Năm 2022, chúng dùng wiper AcidRain để làm tê liệt 270.000 modem vệ tinh tại Ukraine
  • Năm 2025, cũng có báo cáo về nhiều wiper được phát tán nhằm vào các trường đại học và hạ tầng trọng yếu

NotPetya và lịch sử sử dụng wiper của Nga

• Trường hợp nổi tiếng nhất trong lịch sử sử dụng wiper của Nga là vụ NotPetya năm 2017, ban đầu nhắm vào Ukraine nhưng sau đó lan ra toàn cầu
  • Cuộc tấn công này đã gây thiệt hại khoảng 10 tỷ USD cho các chính phủ và doanh nghiệp trên toàn thế giới
  • NotPetya được đánh giá là vụ xâm nhập mạng gây thiệt hại lớn nhất trong lịch sử

Vì sao DynoWiper thất bại

• Lý do DynoWiper không thể gây mất điện hiện vẫn chưa được làm rõ
  • Bài báo nêu ra hai khả năng
    • Nga có thể đã cố ý giới hạn quy mô tấn công để tránh phản ứng trực tiếp từ các đồng minh của Ba Lan
    • Hoặc hệ thống phòng thủ an ninh mạng đã chặn được hoạt động của mã độc
• Chưa có thêm thông tin được công bố về các chi tiết kỹ thuật cụ thể hay quy mô thiệt hại của vụ việc

Ý nghĩa của vụ việc

• Vụ việc này cho thấy năng lực tấn công mạng của Nga vẫn đang hoạt động mạnh mẽ
• Đồng thời, nó tiếp tục làm nổi bật sự cần thiết phải tăng cường bảo mật cho hạ tầng năng lượng châu Âu
• DynoWiper là một dạng mã độc wiper mới, cho thấy cần phải tăng cường nghiên cứu bảo mật và hệ thống phòng thủ để chuẩn bị cho các cuộc tấn công tương tự trong tương lai

[GN⁺]

Ý kiến trên Hacker News

• Nếu đang tìm quy mô thiệt hại, thì cuộc tấn công này đã thất bại
  Ví dụ tiêu biểu trong quá khứ là cuộc tấn công lưới điện ở Ukraine vào tháng 12 năm 2015. Khoảng 230.000 người bị mất điện trong 6 giờ

• Cuộc chiến này rất có thể sẽ quét sạch các nhà cung cấp thiết bị điện tử lâu đời khỏi thị trường
  Nếu không có bảo mật cực kỳ tốt (chỉ air gap thôi là không đủ), họ sẽ mất hẳn hoạt động kinh doanh tại các khu vực có rủi ro cao

• Khi mới đọc tiêu đề, tôi đã nghĩ: “Cần gì phải kết nối Internet cho gạt mưa của ô tô?”
  Bài báo đã giải thích để tránh hiểu nhầm, nhưng thật chua chát khi giờ đây người ta có thể cảm thấy những ý tưởng vô lý như thế cũng có thể đem bán được

  • Nhưng nếu muốn tự động giao gạt mưa mới khi gạt cũ bị mòn, thì chẳng phải vẫn cần kết nối Internet sao?

• Ba Lan đã duy trì trạng thái cảnh giác rủi ro cao trong 5 năm qua. Họ đã có đủ thời gian để chuẩn bị

  • Dạo này cứ vài ngày lại nghe tin về các chiến dịch tâm lý chiến (psy-op) hoặc thiệt hại. Cũng có rất nhiều lời nói rằng “troll Nga” đang tác động tới diễn ngôn chính trị
    Tôi tự hỏi liệu châu Âu có đang đáp trả tương xứng hay không. Chẳng lẽ không nên thả troll phương Tây vào Internet Nga (Runet)?

• Với vụ hack Jaguar, Anh đã thiệt hại 2,5 tỷ USD, và sản lượng đã giảm xuống mức thời chiến
  Phải mất nhiều tháng mới khôi phục được, và thiệt hại tài chính vẫn còn kéo dài đến bây giờ
  Chúng ta vẫn chỉ xem nổ súng mới là tấn công, trong khi lại dễ dàng bỏ qua tình huống phá hủy hạ tầng có thể khiến hàng trăm người chết cóng

  • Dù sao thì nhờ offshoring để cắt giảm lương lập trình viên, chắc họ cũng tiết kiệm được vài triệu USD mỗi năm
  • Vấn đề là sự nghi ngờ mang tính quan liêu về việc ai là thủ phạm. Trong thời đại này, phải giảm thiểu kiểu bất định như vậy

• Có vẻ Ukraine hẳn cũng đang tiến hành tấn công mạng nhằm vào lưới điện Nga, nhưng hầu như không nghe thấy tin gì về chuyện đó
  Hay là hạ tầng điện của Nga quá cũ nên lại thành ra không dễ tổn thương?

  • Thực tế là Nga chuyển các thông điệp quan trọng bằng tài liệu đánh máy. Vì họ không tin vào mô hình an ninh số

• Tôi tò mò không biết những cuộc tấn công kiểu này thực sự được thực hiện như thế nào. Chẳng phải phần lớn mạng lưới đều được tách biệt bằng air gap sao?

  • Theo các nguồn khác, cuộc tấn công lần này là một nỗ lực nhằm gây gián đoạn liên lạc giữa các nhà máy điện và đơn vị vận hành lưới điện trên khắp Ba Lan
    Có lẽ chi tiết đầy đủ sẽ không được công bố, nhưng có khả năng họ liên lạc qua Internet (ít nhất là qua VPN)
    Ngoài ra, ngay cả mạng bị air gap hoàn toàn cũng có thể bị xuyên thủng nếu con người lỡ cài thiết bị vào hoặc bị dẫn dụ bằng social engineering
  • Ví dụ, Stuxnet đã phát tán sâu qua mạng của nhà cung cấp, lây nhiễm laptop của kỹ thuật viên rồi xâm nhập vào hệ thống air gap

• Câu hỏi “Ai được lợi? (Cui bono)” hiện lên trong đầu

  • Ba Lan là trung tâm hậu cần cho hàng hóa đi tới Ukraine, nên việc hạ tầng năng lượng hay đường sắt trở thành mục tiêu tấn công là điều dễ hiểu
    Mặt tích cực là khi loại mã độc cấp độ vũ khí này được sử dụng, kỹ thuật tác chiến mạng của Nga sẽ bị lộ ra để bên phòng thủ có thể học hỏi
  • Trên thực tế, Nga đang chiến tranh với châu Âu
  • Hiện tại Nga đang tập trung tấn công các tài sản năng lượng của Ukraine. Ukraine nhập điện từ EU qua Hungary và Ba Lan, nên nếu làm gián đoạn chuỗi cung ứng của Ba Lan thì sẽ gây đòn đánh lớn
  • Ba Lan thường được nhắc đến như quốc gia thù địch lớn nhất đối với Putin và những người thân cận của ông ta
  • Câu trả lời rõ ràng nhất là Nga (hoặc các đồng minh như Trung Quốc, Iran) đã tấn công Ba Lan vì sự hỗ trợ dành cho Ukraine

• Vụ việc này là một phần của chiến tranh lai nhắm vào châu Âu

• Liệu EU có thể nhân cơ hội này mà đoàn kết để đối đầu với Nga không?
  Thực tế là Đức và Pháp chỉ lo lợi ích quốc gia của mình và đang làm suy yếu liên minh.
  Pháp đã cản trở thỏa thuận Mercosur được chuẩn bị suốt 30 năm, ngoài mặt thì tuyên bố chiếm ưu thế đạo đức và chỉ trích Mỹ.
  Rốt cuộc, chúng ta chỉ là một liên minh đạo đức giả

  • Đang nói tới EU nào vậy? EU vẫn tiếp tục mua dầu khí Nga chỉ bằng cách đổi tên? Hay EU đang bán tháo xe sang để thay thế nhu cầu từ Nga?
  • Muốn giải quyết vấn đề thì phải thu hẹp chủ quyền của các nước thành viên, nhưng đặc biệt là Ba Lan sẽ phản đối mạnh
    Tuy nhiên, nếu cứ đi tiếp mà không có hợp tác, châu Âu sẽ bị Nga, rồi sau đó là Trung Quốc, gặm nhấm từng nước một
  • Xin lưu ý, việc đình chỉ thỏa thuận Mercosur không phải do Pháp mà là vì đơn kiện của Ba Lan lên Tòa Công lý EU
    Bài liên quan: Polish MEPs spearhead move to send EU-Mercosur trade pact to Court of Justice