Nghi vấn hệ thống tủ đông tại các siêu thị quân đội Mỹ bị tấn công mạng

Hàng loạt trục trặc đồng loạt tại các hệ thống làm lạnh của siêu thị Commissary (siêu thị miễn thuế phục vụ quân nhân) trên khắp nước Mỹ đang khiến giới phân tích an ninh mạng đặt câu hỏi: liệu “kẻ xâm nhập” có đang tấn công vào hệ thống điều khiển từ xa của các thiết bị này hay không? Với ít nhất 6 căn cứ quân sự xác nhận gặp sự cố cùng thời điểm, mọi ánh mắt đang đổ dồn về cơ quan vận hành DeCA và những lỗ hổng bảo mật nghiêm trọng vừa bị phát hiện trên các bộ điều khiển tủ lạnh công nghiệp.

Sự cố kỳ lạ bắt đầu từ một trạng thái “xả đá” bất thường

Mọi chuyện bắt đầu từ một bài đăng trên Facebook chính thức của căn cứ Fort Huachuca, Arizona. Theo thông báo ngày 27/8, toàn bộ tủ đông tại siêu thị của căn cứ này đã “tự động” chuyển sang chế độ xả đá (defrost mode) qua đêm, dẫn đến việc toàn bộ thực phẩm đông lạnh bị hư hỏng. Điều khiến câu chuyện trở nên bất thường là khi có người bình luận cho rằng nguyên nhân có thể do mất điện, trang Facebook chính thức của căn cứ đã trả lời: “Điện không hề bị cắt.”

Không chỉ có Fort Huachuca, một loạt báo cáo khác từ các căn cứ như F.E. Warren AFB, Fort Irwin, Columbus AFB, Naval Station Newport, Travis AFB… đều xác nhận các sự cố tương tự trong khoảng ngày 26-27/8. Có một bình luận nặc danh trên mạng xã hội quân đội cho biết tại F.E. Warren, một tủ đông tại khu vực bán đồ ăn nhanh đã lên tới 180 độ F (khoảng 82 độ C), một tủ khác là 160 độ F – nhiệt độ tăng cao bất thường thay vì chỉ dừng hoạt động.

DeCA và hệ thống “điều khiển từ xa” gây tranh cãi

Điểm mấu chốt nằm ở cơ quan vận hành: các siêu thị Commissary không do từng căn cứ tự quản lý mà do Cơ quan Commissary Quốc phòng (DeCA) – một cơ quan thuộc Bộ Quốc phòng Mỹ. Theo các tài liệu đấu thầu năm 2026, DeCA vận hành một hệ thống Remote Monitoring Control System (RMCS) để giám sát và điều khiển thiết bị làm lạnh tại khoảng 182 địa điểm.

Đáng chú ý, trong các tài liệu kỹ thuật của chính DeCA có ghi rõ: “Chu trình xả đá phải được điều khiển thông qua RMCS.”

Điều này có nghĩa là việc một chiếc tủ đông chuyển sang chế độ xả đá thông thường có thể không chỉ do lỗi phần cứng ngẫu nhiên, mà nó có thể được kích hoạt từ một hệ thống điều khiển trung tâm.

Sơ đồ minh họa hệ thống điều khiển nhiệt độ thương mại

“Điều này không có nghĩa là ai đó tại trụ sở DeCA có thể bấm nút ‘xả đá toàn bộ’, nhưng nó cho thấy cơ sở hạ tầng giám sát tập trung là có thật,” tác giả bài điều tra M. Elizabeth nhấn mạnh. Một nhà thầu xây dựng siêu thị Robins AFB – cũng là một trong các địa điểm gặp sự cố – từng mô tả dự án của họ có sử dụng RMCS để quản lý toàn bộ hệ thống lạnh.

Lỗ hổng nghiêm trọng trong bộ điều khiển tủ lạnh công nghiệp

Điều khiến giới bảo mật đặc biệt chú ý là mốc thời gian. Vào ngày 9/8, chỉ vài tuần trước khi sự cố xảy ra, công ty nghiên cứu bảo mật công nghiệp Claroty Team82 đã công bố một nghiên cứu mang tên “Freeze the Controller, Defrost the Food” (Đóng băng bộ điều khiển, xả đá thực phẩm). Họ đã tìm ra các lỗ hổng trên bộ điều khiển Danfoss AK-SM 800A – một loại thiết bị giám sát và quản lý hệ thống làm lạnh thương mại. Thậm chí, họ còn tìm thấy hàng nghìn giao diện quản lý của các thiết bị tương tự bị phơi bày trên internet công cộng.

Không dừng lại, cùng ngày họ cũng công bố một nghiên cứu về bộ điều khiển Copeland XWEB Pro, trong đó phát hiện 23 lỗ hổng, 21 ở mức nghiêm trọng. Quan trọng hơn, họ đã chứng minh được rằng sau khi chiếm quyền điều khiển, họ có thể thao túng vật lý hệ thống làm lạnh – bao gồm cả việc kích hoạt chu trình xả đá hoặc tăng giảm nhiệt độ. Chính hãng Copeland cũng đã phát hành cảnh báo bảo mật, khuyến cáo khách hàng tuyệt đối không kết nối hệ thống này ra internet.

“Máy tính không cần phải ‘hack’ tủ đông theo nghĩa khoa học viễn tưởng. Máy tính vốn được lập trình để ra lệnh cho tủ đông làm những gì nó cần làm.”

Điều tra của tác giả cũng cho thấy một danh sách thiết bị của DeCA có ghi nhận sự hiện diện của bộ điều khiển Danfoss AK-SM880 tại căn cứ NAF El Centro. Điều này cho thấy công nghệ của Danfoss đang tồn tại trong môi trường của DeCA.

Bối cảnh an ninh mạng căng thẳng

Điều đáng nói là những sự cố này xảy ra trong bối cảnh các cơ quan an ninh Mỹ đang liên tục đưa ra cảnh báo về nguy cơ tấn công vào hệ thống điều khiển công nghiệp (ICS/OT). Ngày 19/8, NSA cùng các đối tác cảnh báo về các hoạt động “trinh sát có chủ đích” nhắm vào các bộ điều khiển công nghiệp tại Mỹ, đặc biệt trong lĩnh vực năng lượng, nước, sản xuất thực phẩm.

Đặc biệt, ngày 26/8 – đúng ngày các sự cố tủ đông bắt đầu được ghi nhận rộng rãi – Bộ Tư pháp Mỹ và FBI đã thông báo tịch thu hạ tầng của nhóm hacker QTFY do Trung Quốc tài trợ. Nhóm này bị cáo buộc sử dụng các thiết bị IoT bị xâm nhập và các công cụ quét lỗ hổng để nhắm vào cơ sở hạ tầng quân sự và năng lượng.

Minh họa về mối đe dọa an ninh mạng với hạ tầng IoT

Giả thuyết nào được đưa ra?

Dù câu chuyện trở nên hấp dẫn với giả thuyết “hacker tấn công tủ đông”, tác giả bài viết vẫn phải thừa nhận rằng chưa có bằng chứng kết luận. Có nhiều khả năng thay thế:

• Lỗi phần mềm hoặc cấu hình được cập nhật đồng loạt gây ra sự cố
• Sự cố truyền thông giữa trung tâm điều khiển và thiết bị
• Hệ thống lão hóa: Bản thân DeCA cũng từng xác định hạ tầng cũ kỹ là vấn đề trong tài liệu đấu thầu
• Ngoài ra, các vụ mất điện lẻ tẻ hay hỏng máy nén vẫn là lời giải thích nhàm chán nhưng hợp lý nhất

Điểm khó giải thích nhất vẫn là trường hợp Fort Huachuca: toàn bộ tủ đông cùng chuyển sang xả đá thay vì đơn giản là dừng hoạt động. Hành vi này khớp với mô tả trong tài liệu của DeCA về quyền điều khiển của RMCS.

Tại sao vấn đề này lại quan trọng?

Ngay cả khi đây chỉ là sự cố kỹ thuật, nó vẫn đặt ra một câu hỏi lớn hơn nhiều về an ninh của các hệ thống điều khiển vật lý trong thời đại IoT. Nếu một hệ thống tủ đông trong siêu thị quân đội có thể gặp trục trặc hàng loạt như vậy, thì các hệ thống khác như HVAC (sưởi/thông gió/điều hòa), kiểm soát cửa ra vào hay cấp nước trong các căn cứ quân sự thì sao?

Vào năm 2024, một bản tin chung từ CISA, NSA, FBI và các đối tác quốc tế kết luận với mức độ tin cậy cao rằng nhóm hacker Volt Typhoon do Trung Quốc bảo trợ đã xâm nhập và duy trì quyền truy cập vào cơ sở hạ tầng quan trọng của Mỹ trong ít nhất 5 năm, chủ yếu để chuẩn bị cho các hoạt động phá hoại trong tương lai.

Yêu cầu công khai thông tin

Tác giả cho biết đã gửi 3 yêu cầu FOIA (Đạo luật Tự do Thông tin) tới DeCA, bao gồm:

• Nhật ký sự kiện/cảnh báo RMCS của Fort Huachuca và các hồ sơ bảo trì liên quan
• Các tài liệu về nguyên nhân gốc rễ hoặc bất kỳ sự cố chung nào được xác định
• Danh sách đầy đủ các thiết bị RMCS và bộ điều khiển được sử dụng tại tất cả các siêu thị Commissary

Hình ảnh minh họa về một tủ đông siêu thị gặp sự cố

“Nếu hồ sơ bảo trì cho thấy các lỗi như rơ-le hỏng, máy nén chết hay mất gas tại các cửa hàng khác nhau, thì giả thuyết của tôi sẽ chết một cách nhàm chán và tôi sẽ phải xin lỗi. Nhưng cho đến khi có câu trả lời, tôi vẫn giữ quan điểm rằng đây là một loạt sự trùng hợp khá kỳ lạ,” tác giả kết luận.

Bài học cho người dùng Việt Nam

Dù câu chuyện diễn ra tại Mỹ, bài học vẫn có giá trị với các doanh nghiệp và hộ gia đình Việt Nam đang ngày càng ứng dụng IoT và nhà thông minh. Việc kết nối các thiết bị điều khiển nhiệt độ, điện, nước vào mạng internet để tiện theo dõi cũng đồng nghĩa với việc mở ra các bề mặt tấn công mới. Nguyên tắc quan trọng nhất: không bao giờ đưa trực tiếp thiết bị điều khiển lên internet công cộng và luôn cập nhật firmware với các bản vá bảo mật mới nhất.

Bộ trưởng Bộ Quốc phòng Mỹ hiện chưa đưa ra bình luận chính thức về căn nguyên của sự cố, trong khi nhiều siêu thị đã khôi phục hoạt động nhưng một số khác vẫn chưa có thời gian hoàn tất. Câu hỏi lớn nhất vẫn đang bỏ ngỏ: liệu đây là một vụ hack có chủ đích, hay chỉ là một chuỗi sự cố phần cứng trùng hợp đến khó tin?