Chuyên gia bảo mật Hy Lạp xâm nhập hệ thống hacker Triều Tiên, phát hiện 1.640 công ty bị tấn công trên 57 quốc gia

Trong gần hai năm, một nhà nghiên cứu bảo mật người Hy Lạp đã sống ẩn mình bên trong cơ sở hạ tầng của một trong những chiến dịch hack do nhà nước bảo trợ nguy hiểm nhất thế giới. Điều đặc biệt là anh ta không xâm nhập bằng một lỗ hổng zero-day phức tạp nào — chính các hacker Triều Tiên đã vô tình tự lây nhiễm mã độc vào máy tính của mình, tạo điều kiện cho Vangelis Stykas có một 'vé VIP' theo dõi chiến dịch tấn công toàn cầu với quy mô đáng kinh ngạc.

Tại hội nghị bảo mật Black Hat ở Las Vegas vào tháng 8 năm 2026, Stykas — Giám đốc Công nghệ (CTO) của công ty an ninh mạng Kumio — đã trình bày báo cáo chi tiết nhất từ trước đến nay về chiến dịch hack toàn cầu của Triều Tiên. Dưới đây là những gì ông tìm thấy.

Quy mô: 1.640 công ty tại 57 quốc gia

Trong suốt 22 tháng, Stykas đã phân tích khoảng 5 terabyte dữ liệu trích xuất từ máy chủ chỉ huy và kiểm soát (C2) của hacker Triều Tiên . Bằng chứng cho thấy 1.640 tổ chức đã bị xâm phạm trên khắp 57 quốc gia .

Mức độ xâm nhập không đồng đều. Stykas ước tính có khoảng 700 đến 800 nạn nhân bị ảnh hưởng nghiêm trọng, mà ông gọi là những vụ xâm nhập "gây thiệt hại thực sự" . Trong những trường hợp nặng nhất, tin tặc đã giành được:

• Quyền truy cập cấp root vào máy chủ doanh nghiệp
• Toàn quyền kiểm soát môi trường Amazon Web Services (AWS)
• Đánh cắp các khóa mật mã chủ chốt, bao gồm khóa riêng tư của ví tiền điện tử

Nạn nhân được nêu tên: Tiền điện tử, y tế và điện tử tiêu dùng

Stykas đã công khai tên khoảng một chục tổ chức đã xử lý quy trình tiết lộ thông tin tốt hoặc đã tự phát hiện ra vụ tấn công . Trong số đó có:

• Coinbase và Uniswap Labs (tiền điện tử / tài chính)
• Oppo (nhà sản xuất điện thoại thông minh Trung Quốc)
• Bệnh viện Nhi Boston (Boston Children's Hospital, y tế)
• Hội đồng Tư pháp Tối cao Italy (Italy's Supreme Council of the Judiciary)
• AEON Smart Technology (Nhật Bản)

Chiến dịch có phạm vi rộng, nhắm vào các công ty công nghệ, tổ chức tài chính, nhà cung cấp dịch vụ y tế và cơ quan chính phủ trên hàng chục quốc gia .

Phương thức tấn công: Phỏng vấn xin việc giả

Phương thức xâm nhập chính là một chiến dịch kỹ thuật xã hội mà Stykas xác định là "Contagious Interview" (Phỏng vấn Lây nhiễm) . Các hacker Triều Tiên đóng giả nhà tuyển dụng trên các mạng chuyên nghiệp như LinkedIn. Chúng nhắm vào các lập trình viên bằng những lời mời làm việc hấp dẫn và trong các cuộc phỏng vấn giả, lừa nạn nhân tải xuống các bài kiểm tra lập trình, tệp PDF hoặc các tệp khác có chứa mã độc .

Một khi thiết bị của một nhân viên hoặc nhà thầu bị xâm nhập, tin tặc sẽ xoay sở để thâm nhập vào mạng nội bộ của công ty. Trong một số trường hợp, các nhân viên CNTT người Triều Tiên cũng trực tiếp thâm nhập vào công ty thông qua hình thức làm việc từ xa gian lận .

Làm thế nào Stykas xâm nhập — và ở lại

Stykas không xâm nhập bằng một cuộc tấn công tinh vi, mà là vì chính các hacker Triều Tiên đã vô tình lây nhiễm mã độc vào máy trạm của chính họ . Sai lầm về bảo mật hoạt động này đã cho Stykas một chỗ đứng trong máy chủ chỉ huy và kiểm soát của chúng. Từ đó, anh ta truy cập vào các kênh Slack và Discord nội bộ của chúng, lục soát dữ liệu bị đánh cắp, trích xuất mã nguồn và thông tin liên lạc nội bộ .

Anh ta đã dành 22 tháng lặng lẽ theo dõi các hoạt động của chúng mà không bị phát hiện .

Những gì Stykas trình bày tại Black Hat 2026

Tại Black Hat, Stykas đã tiết lộ :

• Quy mô đầy đủ của 1.640 tổ chức nạn nhân trên 57 quốc gia.
• Rằng các hacker đang ngày càng sử dụng công cụ AI để mở rộng quy mô hoạt động của chúng .
• Một danh sách nạn nhân một phần bao gồm Coinbase, Oppo và Bệnh viện Nhi Boston .
• Bằng chứng cho thấy hàng trăm nạn nhân đã bị xâm nhập nghiêm trọng — truy cập máy chủ cấp root, kiểm soát AWS và đánh cắp khóa mật mã .
• Chi tiết về chiến dịch Contagious Interview như là phương thức xâm nhập chính .

Hàm ý

Những phát hiện của Stykas nhấn mạnh một lỗ hổng quan trọng trong bảo mật doanh nghiệp hiện đại: sự phụ thuộc vào các nhà thầu từ xa và chính quy trình tuyển dụng như một bề mặt tấn công. Chúng cũng cho thấy các nhóm hacker do nhà nước bảo trợ có thể che giấu một số lượng lớn các vụ vi phạm — nhiều hơn nhiều so với những gì đã biết trước đây — trong nhiều năm.

Thực tế là một nhà nghiên cứu cá nhân có thể xâm nhập và theo dõi bộ máy hack của một quốc gia trong gần hai năm cũng cho thấy những khoảng trống đáng kể về bảo mật hoạt động trong các đơn vị mạng của Triều Tiên .