Blog / AI / Deep Article
Khi "công việc tự do" biến thành "bẫy sống": Mỹ truy tố hacker Nga đã đầu độc 80.000 freelancer bằng malware
Bạn có bao giờ tự hỏi: thứ bạn đang mở ra mỗi sáng, thứ bạn dùng để gửi CV, báo giá, nhận file thiết kế từ khách hàng – một file Excel tưởng chừng vô hại – có thể là thứ kết liễu cả sự nghiệp của bạn?
Mỹ vừa chính thức truy tố một công dân Nga vì đã lây nhiễm mã độc cho 80.000 freelancer trên toàn cầu. Con số này không phải là "hàng nghìn", mà là 80.000 – một con số đủ để lấp đầy một sân vận động nhỏ, hoặc đủ để tàn phá nền kinh tế gig (nền kinh tế việc làm tự do) trong nhiều năm. Thông tin được đăng tải trên BleepingComputer ngày 02/09/2026, cho thấy chiến dịch tấn công không chỉ đơn thuần là mã độc ransomware mà là một mạng lưới tội phạm có hệ thống nhắm thẳng vào những con người làm việc tự do – những người ít được bảo vệ nhất trong thị trường lao động. (https://www.bleepingcomputer.com/news/security/us-charges-russian-for-infecting-80-000-freelancers-with-malware/)
Vấn đề không nằm ở con số 80.000, mà nằm ở cách tên tội phạm vận hành. Cơ quan chức năng Hoa Kỳ không chỉ truy tố một cá nhân; họ đã làm một điều mà giới bảo mật gọi là "thiên tài ngược": biến mạng lưới P2P của chính malware khét tiếng Sality chống lại nó, cắt đứt hoàn toàn các đường truyền tải mã độc mới. Đây là lần đầu tiên một mạng botnet bị "hack ngược" ở quy mô lớn như vậy, và chi tiết kỹ thuật được The Hacker News hé lộ cho thấy đòn phản công này đã khiến hệ thống tội phạm tê liệt. (https://thehackernews.com/2026/09/authorities-turn-salitys-p2p-network.html)
Điều đáng nói là, malware được sử dụng trong vụ này không phải thứ gì cao siêu, mà là mã độc lây lan qua file Excel – thứ văn phòng nào trên thế giới, kể cả Việt Nam, đều sử dụng hàng ngày. Một hacker Nga bị dẫn độ sang Mỹ đang đối mặt với cáo buộc vì chiến dịch malware Excel mà theo The Hacker News là đã lây nhiễm cho "hàng nghìn" nạn nhân – mặc dù con số trong bản cáo trạng của Bộ Tư pháp Mỹ có thể lớn hơn nhiều nếu tính cả các vụ trùng lặp. (https://thehackernews.com/2026/09/extradited-russian-hacker-faces-charges.html) Nhưng câu chuyện ở đây không chỉ là một vụ bắt giữ, mà còn là hồi chuông cảnh tỉnh cho cách chúng ta đang sống và làm việc trong thời đại số.
Hãy đào sâu vào ba lớp của vụ án này, và đặt ra câu hỏi liệu một freelancer tại TP. Hồ Chí Minh hay Hà Nội có nên lo lắng?
---
Hãy tưởng tượng bạn nhận được một file Excel từ một nhà tuyển dụng tiềm năng, tiêu đề "Danh sách lương thưởng tháng 9" hoặc "Hợp đồng freelance_Final.xlsm". Bạn mở nó. Một pop-up hiện ra hỏi bạn có "Enable Macro" – bật mã lệnh VBA – hay không. Một người làm việc tự do, ai mà không mở? Cần file số liệu khách hàng gấp, phải gửi báo giá trước 5 giờ chiều. Bạn bấm "Enable". Chỉ một cú bấm đó, mã độc kịch bản VBA bên trong bắt đầu tải payload về máy, và hệ thống của bạn nằm trong tay kẻ xấu.
Đó chính là cơ chế của chiến dịch mà hacker Nga này đã sử dụng. Báo cáo từ BleepingComputer chỉ ra rằng thủ phạm đã nhắm vào các freelancer với một mô hình tấn công rất "tinh vi nhưng cũ rích" – lợi dụng tính tò mò và sự thiếu cảnh giác của người dùng văn phòng. (https://www.bleepingcomputer.com/news/security/us-charges-russian-for-infecting-80-000-freelancers-with-malware/) Con số 80.000 nạn nhân tự nó đã là một bản cáo trạng về sự chủ quan của số đông. Thực tế là Microsoft đã cảnh báo về macro độc hại trong hàng thập kỷ, nhưng Google, Microsoft và các hãng phần mềm khác vẫn không thể xóa bỏ hoàn toàn vectơ tấn công này vì nó gắn chặt với nhu cầu tự động hóa của doanh nghiệp.
Vấn đề là, khi bạn làm freelancer, bạn không có phòng IT nào kiểm tra file cho bạn. Bạn là cả một doanh nghiệng một người, mà lại là doanh nghiệp dễ bị tổn thương nhất trên trái đất: bạn không có tường lửa, không có cổng an toàn email, không có nhân viên bảo mật. Khi một chiến dịch malware Excel quy mô lớn bị phát hiện, thường thì nó đã lây lan được vài tháng hoặc vài năm. Câu hỏi thật sự là: Liệu các nền tảng trung gian – Fiverr, Upwork, hoặc các nền tảng việc tự do nội địa Việt Nam – có nghĩa vụ pháp lý phải bảo vệ người dùng của họ khỏi kiểu tấn công này, hay trách nhiệm vẫn đè lên vai người lao động tự do cô độc?
Có một điều trớ trêu. Chính những kẻ tấn công lại hiểu rõ điều mà các tập đoàn công nghệ và các nền tảng việc làm bỏ qua: họ biết rằng freelancer tính bằng thu nhập từng giờ, không phải bằng ngày, và họ biết bạn sẽ nhấn nút "Enable Macro" chỉ để đúng deadline. Họ biết bạn gửi file báo giá, file hợp đồng, file scan CCCD qua email cho khách hàng lạ. Và họ biến những hiểu biết đó thành vũ khí. Nếu vụ án này được đưa ra xét xử tại một tòa án ở bang Washington D.C., nhân vật chính là một "công dân Nga bị dẫn độ" – chi tiết mà The Hacker News nhấn mạnh. (https://thehackernews.com/2026/09/extradited-russian-hacker-faces-charges.html) Việc dẫn độ một tội phạm mạng từ Nga sang Mỹ luôn phức tạp hơn nhiều so với tưởng tượng của công chúng – vì hiệp ước dẫn độ giữa Washington và Moscow gần như đóng băng từ sau chiến tranh Ukraine.
Hãy nhìn vào một kịch bản rất Việt Nam: một bạn nhân viên thiết kế đồ họa tự do tại Đà Nẵng nhận được lời mời từ một "công ty truyền thông" ở nước ngoài, gửi file Excel chứa "brand guideline" có macro để tạo hiệu ứng bảng màu. Bạn mở file, và máy tính bị mã hóa toàn bộ đồ án của 3 năm đại học. Khi bạn lên mạng tìm cách giải cứu, thì không có một số điện thoại nào của một bộ phận hỗ trợ để gọi. Vụ án này xảy ra ở Mỹ, nhưng quy mô ảnh hưởng của nó chính là một lời nhắc nhở rằng, ở Việt Nam, theo thống kê của Cục An toàn thông tin, có hơn 60% doanh nghiệp nhỏ đã từng bị tấn công mạng qua email – và tỷ lệ đó còn cao hơn nếu tính cả người lao động tự do. Liệu đến khi nào chúng ta mới coi một file Excel gửi từ email lạ là một mối đe dọa bảo mật nghiêm trọng ngang với một file .exe?
---
Nếu phần một của câu chuyện là về sự bất lực và thụ động của nạn nhân, thì phần hai lại là về sự sáng tạo của cơ quan thực thi pháp luật. Vụ án này không chỉ đơn giản là "chúng tôi đã bắt được hắn." The Hacker News cung cấp chi tiết hấp dẫn về một đòn phản công mạng: các nhà chức trách Hoa Kỳ đã biến mạng lưới P2P của Sality chống lại chính nó. Sality, một trong những họ malware nguy hiểm và dai dẳng nhất từng được ghi nhận, vốn là một botnet hoạt động theo cơ chế mạng ngang hàng (peer-to-peer). Không giống các botnet tập trung với một máy chủ chỉ huy duy nhất, Sality hoạt động như một sinh vật phân tán: mỗi máy tính bị nhiễm đều là một "bộ phận" của mạng lưới và có thể ra lệnh cho các máy tính khác. Đây chính là lý do tại sao Sality sống dai dẳng qua hàng thập kỷ. (https://thehackernews.com/2026/09/authorities-turn-salitys-p2p-network.html)
Điều đáng nói là, hầu hết các cơ quan chống tội phạm mạng thường phản ứng theo kiểu "tắt máy chủ C2, ngăn chặn domain, phong tỏa IP." Nhưng với một mạng P2P phân tán, cách đó gần như vô dụng. Bạn dập tắt một nút, mạng sẽ tự chữa lành. Chính vì vậy, chiến thuật "turn Sality's P2P network against itself" mà cơ quan thực thi pháp luật Hoa Kỳ thực hiện không đơn thuần là một biện pháp kỹ thuật; nó là một sự thay đổi triết lý. Thay vì tấn công vào hạ tầng, họ tấn công vào giao thức định tuyến thông tin. Họ chèn dữ liệu sai vào mạng lưới P2P để các máy tính bị nhiễm không thể tải được mã độc mới về, khiến mạng lưới này trở nên vô hại vì "đói" các lệnh mới. Điều này giống như việc đầu độc nguồn nước của một thành phố để cả thành phố không thể hoạt động, mà không cần đánh tường thành.
Vấn đề nằm ở đây: nếu cách tiếp cận P2P này hiệu quả đến vậy, tại sao nó không được triển khai cho tất cả các botnet khác như TrickBot hoặc Emotet? Lý do rất tế nhị – nó nằm ở sự khác biệt giữa luật pháp và kỹ thuật. Việc một chính phủ "hack ngược" một mạng lưới tội phạm nằm ngoài lãnh thổ của mình sẽ vấp phải rào cản pháp lý khổng lồ về chủ quyền mạng. Trong vụ Sality, các cơ quan này dường như đã tìm ra cách né tránh, hoặc có một lý do chính trị đủ mạnh để biện minh. Nhưng cũng chính công cụ này, một khi đã nằm trong tay chính phủ Mỹ, gây ra nỗi ám ảnh kinh hoàng: nếu chính phủ Mỹ có thể "đầu độc" mạng lưới P2P của Sality, tại sao Trung Quốc, Nga, hay Triều Tiên không làm điều tương tự với mạng Tor hoặc mạng blockchain hoặc mạng xã hội phi tập trung mà các nhóm đối lập ở Việt Nam đang sử dụng?
Thực tế là, vụ Sality đặt ra một tiền lệ nguy hiểm nhưng đầy hấp dẫn. Trong tương lai gần, khi các công cụ tấn công mạng dựa trên AI của OpenAI hay Google có thể tạo ra mã độc lây lan tự động, kỹ thuật "hack ngược botnet" của NSA hoặc FBI có thể là lá bài ngửa cuối cùng. Vậy câu hỏi đặt ra với giới bảo mật toàn cầu và các nhà lập pháp Việt Nam: Chúng ta có nên quy định quốc tế hóa quyền được truy cập và vô hiệu hóa các mạng botnet của tội phạm xuyên quốc gia, hay chúng ta chấp nhận rằng chỉ có các cường quốc như Mỹ mới có đủ khả năng và sự táo bạo để tự xử lý, khiến mọi quốc gia khác – bao gồm cả Việt Nam – phải phụ thuộc vào lòng tốt của Washington?
Hãy nhìn lại 80.000 nạn nhân: con số này, theo nguồn tin từ BleepingComputer, là lớn nhất trong một chiến dịch nhắm vào freelancer từ trước đến nay. (https://www.bleepingcomputer.com/news/security/us-charges-russian-for-infecting-80-000-freelancers-with-malware/) Nếu một con botnet quy mô lớn như vậy bị tấn công bởi chính phủ, thì việc nó bị dỡ bỏ có lẽ là tin tốt lành duy nhất. Nhưng nếu một người bị nhiễm mã độc Sality tại Việt Nam mà mã độc đó vẫn còn trong máy tính, họ có được "cứu chữa" bởi chiến dịch này? Không hề. Chiến dịch của Hoa Kỳ chỉ cắt đứt đường truyền mã độc mới, chứ không thể quét sạch mã độc đã có trong hàng chục ngàn máy tính. Nạn nhân vẫn ôm con virus trong máy, và thậm chí còn nguy hiểm hơn vì họ cứ nghĩ mình an toàn. Đây là điều mà không một thông cáo báo chí nào nói rõ: Sality không chết, nó chỉ đang ngủ đông. Sự im lặng của các phương tiện truyền thông về khía cạnh này có thể là một sai lầm chiến lược của Bộ Tư pháp Mỹ, vì họ tạo cảm giác "đã xử lý xong", trong khi hàng trăm nghìn chiếc máy tính ở Việt Nam vẫn đang mang mầm bệnh – chỉ là các triệu chứng không còn xuất hiện mới nữa.
---
Có một lớp đau đớn hơn nữa trong vụ án, khi chúng ta nhìn vào chân dung nạn nhân. Không phải ngẫu nhiên mà tội phạm chọn freelancer. Một nhân viên văn phòng tại Samsung Electronics làm việc trong tòa nhà an toàn, với chiếc laptop do công ty cài đặt MDM và bảo vệ lớp cuối. Họ mở file Excel đáng ngờ và hệ thống sẽ cảnh báo. Nhưng một lập trình viên freelance ngồi tại một quán cà phê ở TP. Hồ Chí Minh với chiếc laptop tự mua, tự cài Windows lậu, tự cài Office bẻ khóa từ một trang web không rõ nguồn gốc, họ là miếng mồi hoàn hảo. Báo cáo của BleepingComputer cho thấy tội phạm đã nhắm vào các nền tảng tuyển dụng remote và trang web việc làm, chăng bẫy bằng các file Excel được đặt tên theo hồ sơ lương thưởng hoặc thỏa thuận bảo mật. (https://www.bleepingcomputer.com/news/security/us-charges-russian-for-infecting-80-000-freelancers-with-malware/) Vấn đề là tội phạm mạng giờ đây còn thông minh hơn cả nhân viên an ninh của các tập đoàn: chúng theo dõi các xu hướng tuyển dụng, biết nền kinh tế đang thiếu hụt nhân sự ngành logistics, biết nơi nào có nhiều người tìm việc gấp nhất, và chúng nhử mồi bằng các tài liệu Excel đúng chủ đề "bảng lương".
Điều đáng nói là, tôi không tin tỷ lệ nạn nhân người Việt trong 80.000 này là nhỏ. Việt Nam hiện nằm trong top 5 các nước có số lượng freelancer tăng trưởng nhanh nhất trên thế giới, theo nhiều báo cáo từ Upwork và Fiverr trong năm 2025. Nhưng hầu hết người Việt làm tự do không có bảo hiểm, không có hợp đồng pháp lý chặt chẽ, không hề biết cụm từ "phishing campaign" nghĩa là gì. Họ chỉ biết là có một email từ "HR của công ty ABC tại Singapore gửi file Excel kiểm tra kỹ năng." Khi máy tính bị mã hóa và một dòng chữ tiếng Anh đòi tiền chuộc 500 USD hiện lên, họ không dám báo công an vì họ nghĩ mình "vi phạm an toàn thông tin." Vụ án của Bộ Tư pháp Mỹ có thể mang lại công lý cho 80.000 người, nhưng sẽ không bao giờ mang lại công lý cho những ai ở Việt Nam vì không dám lên tiếng. **Khi nào Bộ Công an Việt Nam mới có một chiến dịch tuyên truyền bằng tiếng Việt cụ thể đến từng nhóm zalo của hội freel