Số 456Quản lý Mua sắm

MOVEit Transfer (05–06/2023): lỗ hổng phần mềm truyền tệp và dữ liệu lương của nhân viên BBC, British Airways, Boots bị lộ qua nhà cung cấp

Cuối tháng 5/2023, nhóm CL0P khai thác một lỗ hổng chưa được biết trong MOVEit Transfer — phần mềm truyền tệp của Progress Software — để lấy dữ liệu từ nhiều tổ chức. Ở Anh, nhà cung cấp dịch vụ tính lương Zellis bị ảnh hưởng, kéo theo dữ liệu nhân viên của khách hàng như BBC, British Airways và Boots. Các tổ chức này không dùng MOVEit trực tiếp. Bài học về quản lý nhà cung cấp xử lý dữ liệu và chuỗi phần mềm phía sau họ.

Nguyễn Thu Hà, PMP

01/09/2026

3 phút đọc 0

Bình luận0

Bối cảnh thực tế

MOVEit Transfer là phần mềm truyền tệp có quản lý của Progress Software, thường được dùng để trao đổi tệp nhạy cảm giữa doanh nghiệp với đối tác — ví dụ dữ liệu lương giữa nhà cung cấp dịch vụ và khách hàng.

Theo khuyến cáo chung của CISA và FBI cùng báo chí Anh:

Theo các nguồn công khai, việc khai thác bắt đầu khoảng ngày 27/5/2023. Kẻ tấn công cài một web shell trên các máy chủ MOVEit hướng ra Internet để lấy dữ liệu và tạo tài khoản quản trị.
Progress công bố lỗ hổng và bản vá; CISA đưa lỗ hổng vào danh mục đang bị khai thác ngày 2/6/2023.
CISA lưu ý CL0P từng tấn công hàng loạt các sản phẩm truyền tệp khác (Accellion FTA 2020–2021, GoAnywhere đầu 2023) — một mẫu hình lặp lại.
Ở Anh, nhà cung cấp dịch vụ tính lương Zellis cho biết một số khách hàng bị lộ dữ liệu; BBC, British Airways và Boots xác nhận dữ liệu nhân viên bị ảnh hưởng, có trường hợp gồm cả thông tin ngân hàng.
Khuyến nghị của CISA gồm: kiểm kê tài sản và phần mềm, vá ưu tiên hệ thống hướng ra Internet, rà soát tài khoản quản trị lạ, phân đoạn mạng và giữ bản sao lưu ngoại tuyến.

Phân tích nguyên nhân theo chuẩn PMP

Dữ liệu ra khỏi tổ chức nhưng trách nhiệm thì không
Theo GDPR, doanh nghiệp vẫn là bên kiểm soát dữ liệu khi giao cho nhà cung cấp xử lý. Quản lý mua sắm phải bao gồm cả cách nhà cung cấp lưu, truyền và bảo vệ dữ liệu — kể cả phần mềm họ dùng.
Phần mềm truyền tệp là mục tiêu có giá trị cao
Một hệ thống chứa tệp nhạy cảm của nhiều khách hàng, hướng ra Internet, là mục tiêu tập trung. Kẻ tấn công đã nhắm vào loại sản phẩm này nhiều lần — tức rủi ro có thể dự báo được.
Dữ liệu được giữ lâu hơn cần thiết
Tệp lương được để lại trên máy chủ truyền tệp sau khi đã chuyển xong sẽ làm tăng lượng dữ liệu bị lộ. Tối thiểu hoá dữ liệu là biện pháp giảm tác động.

Số 472Quản lý Mua sắm

Đường sắt bờ biển phía Đông ECRL (Malaysia, 2016–2019): dừng dự án, đàm phán lại hợp đồng EPCC và giảm giá từ 65,5 xuống 44 tỷ ringgit

Hợp đồng EPCC tuyến đường sắt ECRL ký với China Communications Construction Company (CCCC) tháng 11/2016 có giá 65,5 tỷ ringgit cho giai đoạn 1 và 2. Chính phủ mới năm 2018 tạm dừng dự án vì chi phí quá cao, nhưng chấm dứt hợp đồng sẽ tốn khoảng 21,78 tỷ ringgit. Sau nhiều tháng đàm phán, thoả thuận bổ sung ngày 12/4/2019 hạ giá xuống 44 tỷ ringgit nhờ đổi hướng tuyến, cắt hầm dài và tăng tỷ lệ nhà thầu trong nước. Bài học về điều khoản chấm dứt và đòn bẩy đàm phán.

0 0 025/10/2026

Số 507Quản lý Mua sắm

Sự sụp đổ của Synapse (Mỹ, 2023–2025): nhà cung cấp hạ tầng "ngân hàng như một dịch vụ", sổ cái lệch 60–90 triệu USD và hàng nghìn người không rút được tiền

Synapse cung cấp phần mềm nối các ứng dụng fintech với ngân hàng đối tác và giữ sổ cái ghi nhận tiền của người dùng. Từ năm 2023, số liệu của Synapse đã không khớp với ngân hàng. Khi Synapse phá sản (4/2024) và ngừng hoạt động, các ngân hàng phát hiện khoản thiếu hụt 60–90 triệu USD; hàng nghìn người không rút được tiền trong nhiều tuần, nhiều tháng. Bài học về quản lý mua sắm và nhà cung cấp: thuê ngoài một chức năng không có nghĩa là thuê ngoài trách nhiệm.

0 0 024/10/2026

Số 497Quản lý Mua sắm

Bệnh viện Nhi Quốc gia Ireland (2013–2026): từ dự toán 790 triệu euro lên khoảng 2,2 tỷ, khi hợp đồng được ký trên một ngân sách mà chính kiểm toán gọi là “có lỗi từ đầu”

Bệnh viện Nhi Quốc gia ở Dublin được dự toán 790 triệu euro năm 2013, 983 triệu năm 2017, rồi 1,43 tỷ cuối năm 2018. Rà soát độc lập của PwC (2019) cho thấy 65% phần tăng lẽ ra phải được nhận diện trước khi phê duyệt phương án đầu tư, và quy trình chốt “giá tối đa đảm bảo” với nhà thầu được điều phối kém. Đến tháng 3/2026, dự án khoảng 2,2 tỷ euro vẫn ở mốc hoàn thành thứ 18 do nhà thầu đưa ra. Bài học về mua sắm và quản lý hợp đồng cho công trình phức tạp.

0 0 015/10/2026

MOVEit Transfer (05–06/2023): lỗ hổng phần mềm truyền tệp và dữ liệu lương của nhân viên BBC, British Airways, Boots bị lộ qua nhà cung cấp

Bối cảnh thực tế

Phân tích nguyên nhân theo chuẩn PMP

Dữ liệu ra khỏi tổ chức nhưng trách nhiệm thì không

Phần mềm truyền tệp là mục tiêu có giá trị cao

Dữ liệu được giữ lâu hơn cần thiết

Bên mua khó biết mình bị ảnh hưởng

Lẽ ra PM nên làm gì

Bước 1: Yêu cầu nhà cung cấp công khai chuỗi phần mềm xử lý dữ liệu của bạn

Bước 2: Quy định thời gian lưu và xoá dữ liệu trên kênh truyền tệp

Bước 3: Điều khoản thông báo và phối hợp ứng phó sự cố

PM Takeaway (Bài học rút ra)

Nguồn tham khảo

Trắc nghiệm tình huống PMP

Là PM phía khách hàng của Zellis khi nhận tin dữ liệu lương có thể bị lộ, bạn làm gì trước?

Tình huống này hữu ích với bạn?

Bình luận (0)