Số 453Quản lý Rủi ro

3CX (2023): cuộc tấn công chuỗi cung ứng "nối tiếp" — từ một phần mềm giao dịch đã ngừng phát hành đến ứng dụng tổng đài của hàng trăm nghìn doanh nghiệp

Tháng 3/2023, bản cài đặt ứng dụng 3CX DesktopApp được ký số hợp lệ nhưng chứa mã độc. Mandiant kết luận điểm xâm nhập ban đầu là một phần mềm giao dịch X_TRADER đã bị cài mã độc, tải từ trang web của nhà cung cấp khác, rồi kẻ tấn công lan tới môi trường build của 3CX. Đây là lần đầu Mandiant thấy một cuộc tấn công chuỗi cung ứng dẫn tới một cuộc tấn công chuỗi cung ứng khác. Bài học về rủi ro trong môi trường build và tín hiệu cảnh báo sớm.

Nguyễn Thu Hà, PMP

02/09/2026

3 phút đọc 0

Bình luận0

Bối cảnh thực tế

3CX bán hệ thống tổng đài điện thoại doanh nghiệp; công ty cho biết sản phẩm được hơn 600.000 doanh nghiệp sử dụng. Ứng dụng máy tính 3CX DesktopApp được phát hành cho Windows và macOS, ký số bởi chính 3CX.

Theo báo cáo của Mandiant và các hãng bảo mật:

Từ khoảng ngày 22/3/2023, người dùng đăng trên diễn đàn của 3CX hỏi vì sao phần mềm chống mã độc cảnh báo ứng dụng; nhiều người cho rằng đó là cảnh báo nhầm.
Ngày 29/3/2023, các hãng bảo mật công bố bản DesktopApp hợp lệ, có chữ ký, đang hoạt động độc hại; ngày 30/3, CEO của 3CX xác nhận trên diễn đàn rằng ứng dụng có mã độc.
Mandiant xác định điểm xâm nhập ban đầu vào mạng 3CX là bản cài đặt X_TRADER đã bị cài cửa hậu, tải từ trang web của Trading Technologies. Phần mềm này được cho là đã ngừng từ năm 2020 nhưng năm 2022 vẫn có thể tải về.
Từ đó, kẻ tấn công thu thập thông tin đăng nhập, di chuyển trong mạng và xâm nhập cả môi trường build Windows lẫn macOS của 3CX.
Mandiant gọi đây là cuộc tấn công chuỗi cung ứng phần mềm đầu tiên mà họ thấy dẫn tới một cuộc tấn công chuỗi cung ứng khác, và nghi ngờ thủ phạm là một nhóm có liên hệ với Triều Tiên.

Phân tích nguyên nhân theo chuẩn PMP

Môi trường build là tài sản có rủi ro cao nhưng không được bảo vệ tương xứng
Chữ ký số chỉ chứng minh phần mềm đến từ nhà cung cấp, không chứng minh nó an toàn. Khi môi trường build bị chiếm, mọi khách hàng đều nhận mã độc "chính chủ". Rủi ro này phải được xếp hạng như rủi ro sản phẩm, không chỉ rủi ro IT nội bộ.
Phần mềm của bên thứ ba trên máy nhân viên là một mắt xích chuỗi cung ứng
Một phần mềm không liên quan tới sản phẩm, đã ngừng phát hành, vẫn trở thành cửa vào. Danh mục phần mềm được phép cài đặt và việc tách biệt máy có quyền vào hệ thống build là kiểm soát rủi ro, không phải thủ tục.
Tín hiệu cảnh báo sớm bị diễn giải là nhiễu

3CX (2023): cuộc tấn công chuỗi cung ứng "nối tiếp" — từ một phần mềm giao dịch đã ngừng phát hành đến ứng dụng tổng đài của hàng trăm nghìn doanh nghiệp

Bối cảnh thực tế

Phân tích nguyên nhân theo chuẩn PMP

Môi trường build là tài sản có rủi ro cao nhưng không được bảo vệ tương xứng

Phần mềm của bên thứ ba trên máy nhân viên là một mắt xích chuỗi cung ứng

Tín hiệu cảnh báo sớm bị diễn giải là nhiễu

Rủi ro dây chuyền vượt ra ngoài ranh giới tổ chức

Lẽ ra PM nên làm gì

Bước 1: Đưa an ninh môi trường build vào kế hoạch dự án sản phẩm

Bước 2: Quy trình xử lý cảnh báo từ khách hàng có thời hạn và người chịu trách nhiệm

Bước 3: Kiểm soát phần mềm được cài trên máy có quyền vào hệ thống lõi

PM Takeaway (Bài học rút ra)

Nguồn tham khảo

Trắc nghiệm tình huống PMP

Nếu là PM sản phẩm của 3CX ngày 22/3/2023, khi diễn đàn bắt đầu có cảnh báo, bạn chọn hướng nào?

Tình huống này hữu ích với bạn?

Bình luận (0)