CVE-2025-66376 là gì và cách nó bị khai thác

Một nhóm gián điệp có liên hệ với nhà nước Nga đã khai thác một lỗ hổng chưa từng được biết đến trong Zimbra Collaboration Suite, được theo dõi với mã CVE-2025-66376, để âm thầm rút trộm dữ liệu email từ các tổ chức phương Tây. Theo báo cáo về chiến dịch, kẻ tấn công đã sử dụng lỗ hổng này để lấy tới 90 ngày lịch sử thư tín, cùng với mật khẩu được lưu trữ, mã xác thực hai yếu tố (2FA) và thông tin danh bạ tổ chức.

Zimbra là một nền tảng email và cộng tác được sử dụng rộng rãi, phổ biến với các cơ quan chính phủ, trường đại học và doanh nghiệp muốn có giải pháp thay thế cho các bộ ứng dụng lưu trữ của Microsoft hoặc Google. Sự phổ biến đó cũng khiến nó trở thành mục tiêu hấp dẫn: một lỗ hổng chưa được vá duy nhất trên máy chủ email tự quản có thể làm lộ nhiều năm thư từ của tổ chức chỉ trong một chuỗi khai thác. Vì lỗ hổng này là zero-day, nghĩa là chưa được Zimbra biết đến và chưa có bản vá tại thời điểm bị khai thác, nên những người phòng thủ đã không có chữ ký hay bản vá nào để dựa vào trước khi các cuộc tấn công bắt đầu.

Tại sao mã 2FA và kho lưu trữ thư bị đánh cắp lại quan trọng đối với các chuyên gia bị nhắm mục tiêu

Đây là một vụ xâm phạm gián điệp zero-day Zimbra vượt xa một vụ rò rỉ thông tin xác thực thông thường. Hầu hết các vụ xâm phạm chỉ làm lộ một bức ảnh chụp nhanh: một tập tin chứa mật khẩu, danh sách tên người dùng, có thể là một số mã thông báo phiên. Chiến dịch này được cho là đã thu thập một khoảng thời gian 90 ngày cuốn chiếu của nội dung email thực tế, một loại rủi ro hoàn toàn khác. 90 ngày thư có thể bao gồm các cuộc đàm phán hợp đồng, thảo luận chính sách nội bộ, kế hoạch du lịch, thư từ pháp lý và các chi tiết cá nhân mà lẽ ra không bao giờ dành cho bên ngoài xem xét.

Việc đánh cắp mã 2FA là phần khiến các đội an ninh phải lo ngại nhất. Xác thực hai yếu tố thường được coi là một biện pháp an toàn dự phòng, thứ ngăn chặn kẻ tấn công ngay cả khi chúng đã có mật khẩu. Nếu một tác nhân đe dọa có thể chặn hoặc thu thập mã 2FA trực tiếp từ máy chủ thư bị xâm nhập, thì tấm lưới an toàn đó coi như biến mất. Kết hợp với mật khẩu bị đánh cắp và dữ liệu danh bạ (tiết lộ cấu trúc tổ chức, chức danh và tuyến báo cáo), kẻ tấn công có được mọi thứ cần thiết để di chuyển ngang, mạo danh nhân viên hoặc thiết lập các chiến dịch lừa đảo tiếp theo sử dụng bối cảnh nội bộ thực tế.

Mô hình rộng hơn: Các nhóm được nhà nước bảo trợ nhắm vào hạ tầng email phương Tây

Sự cố này không tồn tại đơn lẻ. Máy chủ email đã trở thành mục tiêu thường xuyên của các nhóm được nhà nước bảo trợ vì chúng nằm ở trung tâm lòng tin của tổ chức: các nền tảng thư xác thực người dùng, lưu trữ thư từ nhạy cảm và thường tích hợp với các hệ thống nội bộ khác. Một chỗ đứng duy nhất trên máy chủ thư có thể dẫn đến một cuộc xâm phạm rộng lớn hơn nhiều.

Mô hình này phù hợp với một bức tranh lớn hơn mà các cơ quan tình báo phương Tây ngày càng lên tiếng. Giám đốc GCHQ gần đây đã cảnh báo công khai về các chiến dịch mạng không ngừng nghỉ của Nga nhắm vào cơ sở hạ tầng quan trọng và các thể chế dân chủ, mô tả một nhịp độ gần như liên tục của các cuộc tấn công hỗn hợp thay vì các sự cố riêng lẻ. Vụ xâm phạm gián điệp zero-day Zimbra củng cố thông điệp đó: đây không phải là một vụ cướp cơ hội, mà là một nỗ lực có chủ đích và bền bỉ nhằm khai thác giá trị tình báo từ các hệ thống truyền thông phương Tây trong một thời gian dài.

Các bước thực tế để giảm thiểu nguy cơ

  • Vá lỗi kịp thời và theo dõi các khuyến cáo của nhà cung cấp. Các lỗ hổng zero-day theo định nghĩa là chưa có bản vá ban đầu, nhưng một khi bản sửa lỗi được phát hành, việc vá chậm trễ là một trong những lý do phổ biến nhất khiến các lỗ hổng cũ vẫn hoạt động rất lâu sau khi được tiết lộ.
  • Chuyển các thư từ nhạy cảm sang email mã hóa bất cứ khi nào có thể. Máy chủ email tiêu chuẩn lưu trữ nội dung dưới dạng có thể đọc được nếu chính máy chủ bị xâm nhập. Các tùy chọn mã hóa đầu cuối giới hạn những gì kẻ tấn công thực sự có thể đọc ngay cả sau khi vi phạm.
  • Coi các mã 2FA được gửi qua email hoặc SMS là yếu hơn so với xác thực dựa trên ứng dụng hoặc phần cứng. Khi có thể, hãy sử dụng ứng dụng xác thực hoặc khóa bảo mật vật lý, những thứ không được lưu trữ trên chính máy chủ email.
  • Giám sát việc lộ thông tin xác thực. Thường xuyên kiểm tra xem thông tin xác thực của tổ chức có xuất hiện trong dữ liệu vi phạm hay không có thể phát hiện sự xâm phạm trước khi nó bị khai thác thêm.
  • Phân đoạn và giám sát hạ tầng thư ở cấp độ mạng. Tường lửa, phát hiện xâm nhập và kiểm soát truy cập nghiêm ngặt xung quanh các máy chủ email giúp giảm bán kính thiệt hại nếu một lỗ hổng zero-day bị khai thác.

Điều này có ý nghĩa gì đối với bạn

Nếu tổ chức của bạn chạy Zimbra hoặc bất kỳ nền tảng thư tự quản nào, vụ xâm phạm này là lời nhắc nhở rằng máy chủ email xứng đáng được giám sát an ninh như bất kỳ hệ thống quan trọng nào khác, chứ không phải là thứ được nghĩ đến sau cùng trong hoạt động CNTT. Ngay cả những cá nhân bên ngoài các doanh nghiệp lớn cũng nên lưu ý: giả định rằng chỉ riêng 2FA làm cho tài khoản an toàn không còn đúng khi chính nền tảng thư trở thành điểm xâm phạm. Xem xét nơi mã 2FA của bạn được gửi đến và liệu nhà cung cấp email của bạn có lịch sử vá lỗi tốt hay không là một bước hợp lý, ít tốn công sức mà bất kỳ người dùng nào cũng có thể thực hiện ngay hôm nay.

Điểm chính cần ghi nhớ

Vụ xâm phạm gián điệp zero-day Zimbra cho thấy các kho lưu trữ thư bị đánh cắp và mã 2FA bị chặn có thể làm suy yếu ngay cả những thiết lập an ninh được cấu hình tốt. Quản lý bản vá, phương thức xác thực mạnh hơn và giám sát cấp độ mạng vẫn là những biện pháp phòng thủ đáng tin cậy nhất. Khi các quan chức phương Tây tiếp tục cảnh báo về hoạt động mạng bền bỉ của Nga nhắm vào cơ sở hạ tầng quan trọng, việc cập nhật thông tin về các chiến dịch này và hành động theo các bước thực tế ở trên là một trong những cách hiệu quả nhất để luôn sẵn sàng trước đợt tiết lộ tiếp theo.