Bí mật đơn vị tác chiến mạng mật danh 180 của Triều Tiên

Đơn vị 180 được coi là một đơn vị tấn công mạng tinh nhuệ của Triều Tiên

Cơ quan tình báo của Triều Tiên có một đơn vị đặc biệt mang tên 180, được cho là đảm nhiệm nhiệm vụ thực hiện nhiều cuộc tấn công mạng thành công và liều lĩnh nhất, hãng tin Reuters dẫn lời các chuyên gia an ninh mạng, một số quan chức Mỹ cho biết.

Hoạt động của Đơn vị 180

Nhiều năm gần đây, Triều Tiên liên tiếp bị phương Tây cáo buộc là thủ phạm gây ra nhiều vụ tấn công mạng, hầu hết nhằm vào các hệ thống tài chính tại Mỹ, Hàn Quốc và nhiều nước khác. James Lewis, một chuyên gia Triều Tiên tại Trung tâm Nghiên cứu Chiến lược và Quốc tế có trụ sở tại Washington cho hay, Bình Nhưỡng đã sử dụng các hacker làm công cụ để do thám, tấn công chính trị nhắm vào các mục tiêu của Hàn Quốc và Mỹ. 

Mới đây nhất, các chuyên gia an ninh cáo buộc rằng, họ phát hiện nhiều bằng chứng kỹ thuật cho thấy, Triều Tiên có liên quan tới vụ tấn công mạng WannaCry toàn cầu ảnh hưởng tới 300.000 máy tính trên 150 nước vào đầu tháng này. Tuy nhiên, Bình Nhưỡng đã lên tiếng bác bỏ mọi cáo buộc.

Điểm then chốt trong các cáo buộc này đó là nghi vấn mối liên quan giữa Triều Tiên và nhóm tin tặc có biệt danh Lazarus. Nhóm này từng dính líu tới vụ tấn công mạng, ăn trộm 81 triệu USD từ ngân hàng Trung ương Bangladesh và vụ tấn công năm 2014 tại studio Hollywood của Sony. Chính phủ Mỹ đã lên tiếng chỉ trích Triều Tiên vì vụ tấn công Bangladesh. Một số quan chức Mỹ nói rằng, công tố viên Mỹ vẫn đang âm thầm thành lập vụ kiện chống lại Bình Nhưỡng trong vụ trộm tại Ngân hàng Trung ương Bangladesh. 

Dù vậy, đến nay, chưa có bằng chứng mang tính quyết định và cáo buộc hình sự được đưa ra. Triều Tiên cũng bác bỏ cáo buộc đứng sau các vụ tấn công ngân hàng và Sony. Nhưng, một số chuyên gia nghiên cứu về Triều Tiên và những người đào tẩu khỏi Triều Tiên đã đưa ra được một số chi tiết quan trọng. 

Ông Kim Heung-kwang, cựu Giáo sư khoa học máy tính tại Triều Tiên đào tẩu sang Hàn Quốc vào năm 2004 và có nhiều nguồn tin bên trong Triều Tiên cho biết, các cuộc tấn công mạng của Bình Nhưỡng nhằm vào kêu gọi tiền mặt gần như đều do Unit 180 tổ chức - đơn vị thuộc Tổng cục Trinh sát Triều Tiên (RGB) của quân đội Triều Tiên.

“Đơn vị 180 có liên quan tới nhiều vụ tấn công mạng các tổ chức tài chính nhằm vào điểm yếu là các lỗ hổng bảo mật để thực hiện lệnh rút tiền mặt từ các tài khoản ngân hàng”, ông Kim nói.

“Các hacker trình độ cao thuộc đơn vị này được phái ra nước ngoài tìm nơi nào đó có dịch vụ mạng ổn định hơn Triều Tiên để không bị theo dấu”, ông Kim nói thêm và tiết lộ, những người này thường ra nước ngoài trong vỏ bọc nhân viên giao dịch thương mại, nhân viên của các chi nhánh công ty Triều Tiên ở nước ngoài hoặc các công ty liên doanh tại Trung Quốc hoặc Đông Nam Á.

Ông Michael Madden, chuyên gia về Triều Tiên nhận định: Đơn vị 180 là một trong nhiều nhóm tấn công mạng tinh nhuệ trong cộng đồng tình báo Triều Tiên. “Nhân sự thường được tuyển từ các trường cấp 2 sau đó gửi đi đào tạo cấp cao”, ông Madden nói.

Tại sao Triều Tiên chuộng tấn công mạng?

Theo báo cáo của Bộ Quốc phòng Mỹ trước Quốc hội vào năm ngoái, Triều Tiên coi “tấn công mạng là công cụ vừa túi tiền, dễ phủ nhận, có thể triển khai với rất ít rủi ro bị tấn công trả đũa, một phần vì hệ thống của Triều Tiên khá tách biệt so với mạng lưới mạng trên thế giới. Ngoài ra, họ có thể sử dụng hạ tầng mạng từ nước thứ 3”, báo cáo cho biết.

Nhiều quan chức Hàn Quốc còn cho hay, họ có bằng chứng đáng cân nhắc về hoạt động tấn công mạng của Triều Tiên. “Triều Tiên đang thực hiện nhiều cuộc tấn công mạng qua nước thứ 3 để che đậy bản chất các vụ tấn công mạng”, ông Ahn Chong-ghee, Thứ trưởng Bộ Ngoại giao Hàn Quốc nói và cho biết, ngoài vụ tấn công ngân hàng Trung ương Bangladesh, Bình Nhưỡng cũng bị nghi ngờ thực hiện nhiều vụ tấn công nhằm vào Philippines, Ba Lan…

Tháng 6 năm ngoái, phía Cảnh sát Hàn Quốc tố Triều Tiên đã tấn công hơn 140.000 máy tính tại 160 công ty và các cơ quan Chính phủ Hàn Quốc. Theo họ, gieo mã độc là một phần trong kế hoạch dài hạn làm nền tảng để thực hiện các vụ tấn công mạng nhằm vào đối thủ. Triều Tiên cũng bị nghi ngờ thực hiện nhiều vụ tấn công mạng nhằm vào nhà khai thác lò phản ứng hạt nhân Hàn Quốc vào năm 2014. Về phần mình, Bình Nhưỡng luôn bác bỏ mọi liên quan.

Ông Simon Choi, nhà nghiên cứu an ninh cấp cao tại công ty Hauri chống virus có trụ sở tại Seoul cho rằng: “Các tin tặc Triều Tiên thường hoạt động chủ yếu tại Trung Quốc. Do đó, bất chấp họ thực hiện hành động tấn công nào, khi điều tra đều dẫn về các địa chỉ IP Trung Quốc”.  Ngoài ra, Malaysia cũng là một căn cứ để thực hiện các hoạt động tấn công mạng của Triều Tiên - hãng tin Reuters dẫn lời ông Yoo Dong-Ryul, nhà nghiên cứu từng làm việc cho cảnh sát Hàn Quốc, nghiên cứu kỹ thuật tấn công mạng của Triều Tiên trong 25 năm cho biết.

Theo ông Yoo: “Tin tặc Triều Tiên có vỏ bọc là các nhân viên làm việc trong các công ty thương mại và lập trình IT. Phần lớn họ đều điều hành các trang web và bán các chương trình game, chơi bài qua mạng”. Reuters từng thực hiện một cuộc điều tra vào năm ngoái cho thấy, hai công ty IT tại Malaysia có liên quan tới cơ quan tình báo RGB của Triều Tiên.

Quân đội Hàn Quốc bắn rơi vật thể lạ gần biên giới Triều Tiên