TIỂU SỬ

🔹 Hơn 15 năm kinh nghiệm trong lĩnh vực An toàn thông tin
🔹 Trực tiếp xử lý và ứng cứu hơn 100 sự cố an ninh mạng trên nhiều lĩnh vực khác nhau
🔹 Diễn giả tại hơn 50 hội nghị trong nước và quốc tế như Security Day, Security Summit, CIO/CSO Summit, Security Bootcamp, Botconf, Tetcon, Tradahacking…
🔹 Sở hữu nhiều chứng chỉ quốc tế uy tín: GCTI, GIAC, GCFA, C|TIA, CHFI, ECIH, CEH,…

CHỦ ĐỀ TRÌNH BÀY

Bảo vệ dữ liệu khách hàng trước các cuộc tấn công chuỗi cung ứng phần mềm

TÓM TẮT TRÌNH BÀY

Trong 6 tháng đầu năm 2026, Viettel Threat Intelligence ghi nhận 302 vụ lộ lọt, rao bán dữ liệu trên các diễn đàn deep/dark web tại Việt Nam. Riêng lĩnh vực Tài chính – Ngân hàng tuy chỉ có 16 vụ nhưng để lộ tới 230,3 triệu bản ghi, đứng thứ hai toàn ngành về quy mô. Cùng lúc đó, các nhóm tấn công chuyển trọng tâm từ người dùng cuối sang nhà phát triển, kho mã nguồn, nền tảng CI/CD và các gói phần mềm mã nguồn mở – tấn công vào chính kênh phân phối phần mềm mà doanh nghiệp tin tưởng.

Bài trình bày phân tích cơ chế của một cuộc tấn công chuỗi cung ứng phần mềm và ba vụ việc điển hình trong năm 2026: vụ axios trên npm, chiến dịch TeamPCP khai thác quy trình CI/CD, và tại Việt Nam là APT32 phát tán mã độc qua PyPI cùng chiến dịch SmartLoader trên GitHub. Từ đó chỉ ra khoảng trống cốt lõi của phòng thủ truyền thống: tổ chức không thể vá thứ mình không biết đang chạy. Log4Shell được công bố từ tháng 12/2021, đã có bản vá từ lâu, nhưng đến nay vẫn là lỗ hổng bị khai thác nhiều thứ hai trong lĩnh vực Tài chính – Ngân hàng tại Việt Nam.

Hai lời giải được đặt cạnh nhau: SBOM trả lời câu hỏi “tổ chức đang chạy những gì”, Threat Intelligence trả lời “thành phần nào đang bị khai thác”. Ghép lại, thời gian phản ứng được rút từ vài tuần xuống vài phút. Bài trình bày kết thúc bằng lộ trình cụ thể cho tổ chức tài chính, đặt trong bối cảnh Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ ngày 01/01/2026, quy định trách nhiệm pháp lý trong toàn bộ vòng đời dữ liệu, bao gồm cả bên xử lý dữ liệu thứ ba.