Router văn phòng bị dò quét hơn 1 triệu lần trong 6,5 ngày: 5 việc cần làm ngay

Đăng vào bởi manhcuongvn

Trả lời nhanh: Router của một văn phòng ở Hà Nội chặn hơn 1 triệu gói tin lạ từ Internet chỉ trong 6,5 ngày. Router nào có địa chỉ IP công khai cũng bị máy quét tự động gõ cửa ngày đêm, kể cả văn phòng nhỏ. Việc cần làm ngay: cập nhật firmware, đóng cửa quản trị ra Internet, tắt UPnP và port-forward thừa, tách mạng dữ liệu, làm việc từ xa qua VPN thay vì mở cổng.

Hay có anh chị hỏi bên mình: “Văn phòng em nhỏ, ai mà nhắm vào em?”. Không ai cần nhắm riêng cả. Máy quét chạy tự động, thấy IP nào là gõ cửa IP đó.

Con số thật từ router của một văn phòng ở Hà Nội

Bộ đếm tường lửa đo liên tục khoảng 6,5 ngày. Router này cấu hình theo nguyên tắc “mặc định chặn hết, chỉ mở thứ cần”.

Hạng mụcCon số trong 6,5 ngày
Gói tin lạ từ Internet bị chặnHơn 1 triệu (1.084.714 gói)
Lượt thử kết nối vào cổng SSH từ bên ngoàiHơn 7.400 lượt
Địa chỉ IP bị tự động đưa vào danh sách đen vì dò liên tục428 địa chỉ
Lần đăng nhập thất bại vào router0

Con số 0 mới đáng chú ý. Hơn 7.400 lượt dò SSH mà không có lần đăng nhập sai nào, vì cổng quản trị chỉ mở cho mạng nội bộ: kẻ dò không bao giờ tới được màn hình nhập mật khẩu. 428 IP kia bị khoá vì gõ cửa dồn dập, chưa phải vì đoán sai mật khẩu.

Máy quét tự động không chọn văn phòng to hay nhỏ. Chúng thử đủ kiểu: dò file cấu hình hay chứa mật khẩu, thử trang đăng nhập quản trị, gõ vào các cổng hay bị bỏ ngỏ. Quét đại trà, ai hở thì dính.

Không chỉ ở Hà Nội: cảnh báo quốc tế 2025–2026

  • Tháng 5/2025, FBI cảnh báo router hết hạn hỗ trợ, đang bật quản trị từ xa, bị cài mã độc (biến thể TheMoon) để biến thành proxy bán lại cho tội phạm.
  • Tháng 3/2026, BleepingComputer đưa tin botnet KadNap (Black Lotus Labs của Lumen phát hiện) đã chiếm khoảng 14.000 thiết bị, chủ yếu router ASUS, dùng làm proxy cho DDoS và dò mật khẩu hàng loạt.
  • Ngày 23/4/2026, CISA cùng NCSC Anh và cơ quan nhiều nước ra khuyến cáo AA26-113A: mạng lưới thiết bị bị chiếm mà nhóm tấn công dùng để ẩn mình chủ yếu là router văn phòng nhỏ, gia đình (SOHO) và thiết bị IoT. Riêng mạng Raptor Train năm 2024 nhiễm hơn 200.000 thiết bị, có cả tường lửa và NAS.

Kẻ tấn công gõ những cửa nào?

  • Cổng quản trị router: vào được đây là nắm cả mạng.
  • SSH (cổng 22): điều khiển thiết bị bằng dòng lệnh.
  • Chia sẻ file SMB (cổng 445): thư mục chung, ổ mạng. Không bao giờ nên mở ra Internet.
  • Điều khiển từ xa RDP (cổng 3389): vào thẳng máy Windows, máy chủ.
  • Cổng quản trị NAS (5000/5001): hay được mở để “xem file từ nhà cho tiện”.

Con số hơn 1 triệu là tổng, không tách theo cổng, nên bài không đưa tỷ lệ từng cổng. Chỉ biết chắc: cổng nào mở ra ngoài thì sẽ bị thử.

Vì sao router là cửa ngõ để mã độc tống tiền vào NAS và máy chủ?

Router đứng giữa Internet và toàn bộ dữ liệu công ty. Cổng NAS hay SMB port-forward ra ngoài là đường thẳng vào ổ dữ liệu. Router bị chiếm thì kẻ tấn công đứng ngay trong mạng, thấy NAS, máy chủ, máy kế toán.

Đường thứ hai: một máy nhân viên dính mã độc từ file crack, email lạ, USB. Mã độc tự kết nối từ trong ra ngoài, tường lửa tưởng máy nhà mình nên cho đi. Từ máy đó, nó mã hoá luôn thư mục chung trên NAS qua ổ mạng đã map. RAID không cứu được: RAID chỉ chống hỏng ổ, file bị mã hoá thì mọi ổ trong RAID bị mã hoá cùng lúc.

5 việc tự rà soát ngay tuần này

1. Cập nhật firmware router và NAS

Tải từ trang chính thức của hãng. Router hết hạn hỗ trợ, không còn bản vá, thì lên kế hoạch thay, đúng như FBI khuyên.

2. Đóng cửa quản trị ra Internet

Trang quản trị router, SSH, trang quản trị NAS chỉ cho mạng nội bộ. Tắt “quản trị từ xa” (remote management) nếu đang bật. Nhờ vậy router trong ví dụ có 0 lần đăng nhập thất bại.

3. Tắt UPnP, xoá port-forward không cần

UPnP cho thiết bị trong mạng tự mở cổng ra ngoài mà không ai hay, nên tắt đi. Xem từng dòng port-forward: dòng nào không rõ để làm gì thì xoá. Đặc biệt không để 445, 3389, 5000/5001 mở thẳng vào trong.

4. Mật khẩu mạnh, khoá IP dò nhiều lần

Đổi mật khẩu và tài khoản admin mặc định, bật xác thực 2 bước nếu có. Bật tự khoá IP khi đăng nhập sai hoặc kết nối dồn dập, như router trong ví dụ đã khoá 428 địa chỉ.

5. Tách mạng khách, WiFi khỏi mạng dữ liệu

WiFi khách không được nhìn thấy NAS, máy chủ. Mạng chứa dữ liệu là vùng riêng, chỉ máy được duyệt mới vào. Làm việc từ xa thì dùng VPN hoặc tunnel có lớp đăng nhập phía trước, thay vì mở cổng, đúng hướng CISA khuyên: phân vùng mạng, xác thực nhiều lớp.

Không lớp chặn nào là tuyệt đối, nên luôn giữ thêm một bản sao lưu offline: chép ra ổ ngoài rồi rút ra cất riêng.

Dấu hiệu đã bị xâm nhập

  • File bị đổi đuôi lạ, không mở được, có file .txt đòi tiền.
  • NAS chậm bất thường, ổ chạy liên tục dù không ai dùng.
  • Tài khoản quản trị lạ trên router hoặc NAS, cấu hình tự đổi (thêm port-forward, đổi DNS).
  • Router nóng bất thường, mạng chập chờn, lưu lượng lạ (FBI cũng nêu các dấu hiệu này).

Nếu dữ liệu đã bị mã hoá thì làm gì?

  • Ngắt mạng ngay: rút dây mạng NAS và máy nghi nhiễm để mã độc không mã hoá tiếp.
  • Không tắt nguồn, khởi động lại hay cài lại NAS vội vàng: chụp lại thông báo, trạng thái ổ và RAID trước.
  • Không xoá file bị mã hoá và thư đòi tiền: đây là mẫu cần cho phân tích.
  • Không chạy công cụ “giải mã” lạ trên mạng, không cài phần mềm khôi phục ghi thẳng lên ổ NAS.
  • Gọi chuyên gia để kiểm tra trực tiếp. Xem thêm bài NAS Synology bị ransomware C3RB3R (.L0CK3D): 3 việc cần làm ngay.

Hỏi đáp

Văn phòng nhỏ có bị tấn công không?

Có. Máy quét không chọn quy mô. Văn phòng nhỏ lại hay để cấu hình mặc định nên càng dễ hở.

Đặt mật khẩu router thật mạnh là đủ chưa?

Chưa. Mật khẩu mạnh chống đoán, không chống được lỗ hổng phần mềm. Phải kèm cập nhật firmware và không để cửa quản trị lộ ra Internet.

Cần xem camera, file NAS từ xa mà không mở cổng thì làm sao?

Dùng VPN về văn phòng, hoặc tunnel có lớp đăng nhập phía trước. Không mở cổng nào vào trong thì máy quét không có gì để gõ.

NAS bị mã hoá rồi có lấy lại được dữ liệu không?

Tuỳ trường hợp. Có ca còn snapshot hoặc bản sao lưu, có ca file lớn chỉ bị mã hoá một phần. Phải kiểm tra trực tiếp mới biết dữ liệu còn gì, nên đừng tự thao tác thêm lên ổ.

Cần kiểm tra NAS, máy chủ của doanh nghiệp?

NAS, máy chủ có dấu hiệu bị mã hoá, hãy ngắt mạng và liên hệ Cứu Dữ Liệu Bách Khoa (BK Recover), hơn 19 năm khôi phục dữ liệu. Gọi 1900 636 196 hoặc nhắn Zalo 0817 579 555. Xem dịch vụ cứu dữ liệu máy chủ, RAID, NAS.

Minh bạch, bảo mật · Không đặt cọc · Chỉ thanh toán khi đã kiểm tra và nhận lại dữ liệu · Có gói khẩn cấp, lấy ngay – áp dụng tùy loại thiết bị và tình trạng lỗi.

Nguồn tham khảo: CISA – AA26-113A (23/4/2026) · BleepingComputer – cảnh báo FBI về router hết hạn hỗ trợ (8/5/2025) · BleepingComputer – botnet KadNap (10/3/2026). Thông tin cập nhật đến 02/11/2026.