Trong một bước leo thang đáng lo ngại của chiến dịch gián điệp mạng, nhóm tin tặc Kimsuky có liên hệ với Triều Tiên đã bị phát hiện sử dụng hình ảnh deepfake được tạo bằng trí tuệ nhân tạo (AI) để tấn công các cơ quan quân sự Hàn Quốc. Thông tin này được nêu chi tiết trong báo cáo toàn diện của Trung tâm An ninh mạng Genians (GSC) công bố vào tháng 9 năm 2025. Chiến dịch này đánh dấu một trong những lần đầu tiên được công khai ghi nhận việc một nhóm tin tặc do nhà nước bảo trợ đã khai thác công cụ AI sinh như ChatGPT để tạo thẻ căn cước giả phục vụ mục đích gián điệp cấp quốc gia.
Chiến dịch bắt đầu được phát hiện vào ngày 17 tháng 7 năm 2025, khi các cơ quan liên quan đến quân đội Hàn Quốc nhận được loạt email giả mạo có vẻ bắt nguồn từ một tổ chức quốc phòng trong nước. Những email này đề cập đến quy trình cấp thẻ nhận dạng cho nhân viên dân sự làm việc trong lĩnh vực quân sự, nhằm tạo cảm giác đây là một yêu cầu hành chính thông thường. Đính kèm trong email là các tập tin PNG chứa mẫu thẻ căn cước, nhìn qua có vẻ rất chân thực.
Tuy nhiên, phân tích kỹ thuật từ GSC cho thấy hình ảnh này không phải là thật mà đã được tạo ra bằng công nghệ AI sinh. Các nhà nghiên cứu xác định khả năng là deepfake lên tới 98%, và nhóm tin tặc đã sử dụng ChatGPT để đánh lừa hệ thống kiểm duyệt bằng cách trình bày yêu cầu theo kiểu “thiết kế mẫu” thay vì làm bản sao thẻ thật. Điều này giúp họ vượt qua rào cản an ninh của nền tảng AI mà không bị phát hiện.
Một khi người nhận mở file đính kèm, một file dạng batch có tên ‘LhUdPC3G.bat’ sẽ được thực thi, kích hoạt mã độc nhằm đánh cắp dữ liệu nội bộ và mở ra quyền kiểm soát từ xa đối với hệ thống bị xâm nhập. Chiến dịch còn sử dụng các kỹ thuật làm rối mã nhằm tránh bị phần mềm diệt virus phát hiện, cho thấy mức độ tinh vi ngày càng cao và sự cần thiết phải ứng dụng các giải pháp bảo mật tiên tiến như EDR (Endpoint Detection and Response).
Bản báo cáo khẳng định với độ tin cậy cao rằng thủ phạm là nhóm Kimsuky – một nhóm tin tặc có quan hệ mật thiết với chính quyền Triều Tiên, chuyên thu thập thông tin tình báo và thực hiện các vụ tấn công mạng có chủ đích. Trước đây, nhóm này đã từng nhắm vào các nhà nghiên cứu, nhà báo và tổ chức tại Hàn Quốc, Mỹ và Nhật Bản, và giờ đây mục tiêu đã mở rộng sang các tổ chức quân sự.
So với các chiến dịch trước, việc ứng dụng AI sinh vào các hoạt động tấn công cho thấy bước tiến mới trong chiến thuật gián điệp mạng của các nhóm tin tặc do nhà nước tài trợ. Việc sử dụng hình ảnh deepfake giúp tăng mức độ thuyết phục của email lừa đảo, khiến ngay cả các chuyên gia cũng có thể bị đánh lừa.
Sự kiện lần này cho thấy một số xu hướng an ninh mạng đang nổi lên:
– Trí tuệ nhân tạo là con dao hai lưỡi. Dù mang lại nhiều lợi ích cho đổi mới sáng tạo, AI cũng đang bị lợi dụng để tạo ra nội dung giả mạo tinh vi mà các biện pháp kiểm duyệt hiện tại chưa đủ khả năng đối phó.
– Các nhóm APT nhà nước đang nhanh chóng ứng dụng công nghệ mới để tăng cường hiệu quả hoạt động. Sự hoà trộn giữa AI sinh với kỹ thuật tấn công truyền thống đang làm mờ ranh giới giữa thật và giả trong không gian mạng.
– Cần chú trọng hơn vào phòng vệ chủ động. Các tổ chức, đặc biệt trong lĩnh vực nhạy cảm như quốc phòng, nên triển khai liên tục các giải pháp giám sát an ninh, nâng cao nhận thức nhân viên và sử dụng các công cụ bảo mật tiên tiến.
– Rủi ro không còn giới hạn trong khu vực. Các hành vi tương tự đã xuất hiện tại nhiều nước khác, khi tin tặc từ Triều Tiên và Trung Quốc sử dụng AI để giả mạo sơ yếu lý lịch và đánh lừa các công ty nước ngoài. Điều này cho thấy nguy cơ gián điệp mạng sử dụng AI đang lan rộng toàn cầu.
Để đối phó với mối đe dọa này, GSC và các chuyên gia an ninh mạng khuyến nghị:
– Áp dụng quy trình xác minh chặt chẽ hơn khi xử lý các tài liệu liên quan đến dữ liệu nhạy cảm hoặc danh tính cá nhân.
– Tăng cường đào tạo nhân viên định kỳ, giúp họ nhận biết các chiêu trò phishing ngày càng tinh vi, trong đó có nội dung giả mạo từ AI.
– Sử dụng các giải pháp an ninh hiện đại như EDR, NAC (Kiểm soát truy cập mạng), và tường lửa thế hệ mới để chống lại mã độc và truy cập trái phép.
– Thiết lập hệ thống giám sát liên tục toàn bộ hạ tầng công nghệ, nhằm phát hiện bất thường trong thời gian thực.
– Tăng cường hợp tác, chia sẻ thông tin giữa các cơ quan trong và ngoài nước để đối phó với các hoạt động gián điệp mạng mang tính toàn cầu.
Việc nhóm Kimsuky sử dụng hình ảnh quân sự giả mạo được tạo bằng AI trong một chiến dịch phishing nhắm vào cơ quan quốc phòng Hàn Quốc đã nâng mối đe dọa trên không gian mạng lên một cấp độ mới. Công cụ AI sinh, nếu rơi vào tay kẻ xấu, có thể trở thành vũ khí đánh phá tinh vi và khó phát hiện. Sự việc nhấn mạnh nhu cầu cấp thiết phải thay đổi cách tiếp cận với an ninh mạng, lấy phòng ngừa làm trọng tâm, đầu tư vào công nghệ hiện đại và tăng cường hợp tác quốc tế để ứng phó kịp thời với làn sóng gián điệp mạng được thúc đẩy bởi AI.