# Khai thác Zero-day

Tiếng Anh: Zero-day Exploit

Lỗ hổng phần mềm chưa được nhà cung cấp biết đến hoặc chưa có bản vá, được kẻ tấn công khai thác để xâm nhập hệ thống ngân hàng.

Nguồn: https://vieclam.nganhang.com/thuat-ngu/khai-thac-zero-day-la-gi
Danh mục: An ninh & Phòng chống gian lận
Cập nhật: 13/09/2026

## Khai thác Zero-day là gì?

**Khai thác Zero-day** (***Zero-day Exploit***) là hình thức tấn công mạng tinh vi và nguy hiểm bậc nhất trong lĩnh vực an ninh thông tin hiện đại. Thuật ngữ này đề cập đến việc kẻ tấn công lợi dụng các lỗ hổng phần mềm (**vulnerability**) mà nhà sản xuất, nhà cung cấp chưa phát hiện ra hoặc chưa kịp phát hành **bản vá** (**patch**) để xâm nhập, chiếm quyền kiểm soát hoặc đánh cắp dữ liệu từ hệ thống mục tiêu. Cái tên "zero-day" (ngày 0) mang ý nghĩa ẩn dụ rằng nhà phát triển phần mềm có chính xác "0 ngày" để khắc phục vấn đề trước khi cuộc tấn công được kích hoạt, tạo ra một cuộc chạy đua bất đối xứng giữa đội ngũ phòng thủ và tin tặc.

Trong bối cảnh ngân hàng hiện đại, nơi hệ thống **core banking**, ứng dụng **mobile banking**, cổng thanh toán trực tuyến và kho dữ liệu khách hàng đang được số hóa toàn diện, Khai thác Zero-day trở thành một trong những mối đe dọa an ninh mạng nghiêm trọng nhất. Một cuộc tấn công thành công có thể dẫn đến mất mát tài sản khách hàng với quy mô hàng triệu đến hàng trăm triệu USD, gây tổn hại nghiêm trọng đến uy tín thương hiệu, vi phạm các quy định về bảo vệ dữ liệu và thậm chí đe dọa sự ổn định của hệ thống tài chính quốc gia. Không giống như các hình thức tấn công mạng thông thường, **Zero-day Exploit** đặc biệt nguy hiểm vì không tồn tại biện pháp phòng vệ chuẩn bị sẵn - không có chữ ký nhận dạng trong cơ sở dữ liệu của phần mềm diệt virus, không có quy tắc tường lửa cụ thể và không có bản vá bảo mật nào được phát hành.

Để hiểu rõ hơn về mức độ nguy hiểm, cần phân biệt rõ ba khái niệm thường bị nhầm lẫn: **Zero-day Vulnerability** (lỗ hổng chưa được biết đến), **Zero-day Exploit** (mã hoặc phương pháp khai thác lỗ hổng đó) và **Zero-day Attack** (cuộc tấn công thực tế sử dụng exploit để xâm nhập hệ thống). Việc nắm vững sự khác biệt này là yêu cầu tiên quyết đối với bất kỳ chuyên gia tài chính-ngân hàng nào tham gia quản trị rủi ro công nghệ thông tin, đặc biệt là khi vận hành khung **Basel II/III** và tuân thủ tiêu chuẩn **PCI-DSS** (Payment Card Industry Data Security Standard).

**Thuật ngữ tiếng Anh:** Zero-day Exploit  
**Lĩnh vực:** An ninh & Phòng chống gian lận

## Đặc điểm và phân loại

### Đặc điểm nhận biết chính

| Đặc điểm | Mô tả chi tiết |
|---|---|
| **Tính ẩn cao** | Lỗ hổng chưa được công bố, không tồn tại cơ sở dữ liệu mẫu tấn công trong hệ thống phòng thủ |
| **Giá trị thương mại cực lớn** | Trên thị trường chợ đen, một Zero-day Exploit cho hệ điều hành phổ biến có giá từ 100.000 USD đến 2,5 triệu USD |
| **Thời gian tồn tại ngắn** | Trung bình một Zero-day chỉ tồn tại từ vài ngày đến vài tuần trước khi bị phát hiện |
| **Phòng thủ chữ ký không hiệu quả** | Hệ thống IDS/IPS, antivirus truyền thống không thể nhận diện |
| **Tác động leo thang nhanh** | Cho phép **Remote Code Execution - RCE** (thực thi mã từ xa), **Privilege Escalation** (leo thang đặc quyền) |
| **Khai thác chuỗi cung ứng** | Lỗ hổng trong phần mềm bên thứ ba lan rộng đến hàng trăm tổ chức cùng lúc |

### Phân loại Zero-day Exploit theo mục tiêu

| Loại hình | Mô tả | Ví dụ điển hình |
|---|---|---|
| Zero-day trên hệ điều hành | Khai thác lỗ hổng trong Windows, Linux, macOS, iOS, Android | PrintNightmare, EternalBlue |
| Zero-day trên ứng dụng | Khai thác lỗ hổng trong trình duyệt, Office, PDF Reader | Lỗ hổng trong Chrome, Adobe Acrobat |
| Zero-day trên firmware/IoT | Tấn công vào router, camera, thiết bị thông minh | Lỗ hổng trong firmware router ngân hàng |
| Zero-day trên ứng dụng ngân hàng | Khai thác lỗ hổng trong mobile banking, core banking | Lỗ hổng API ngân hàng trực tuyến |
| Zero-day chuỗi cung ứng | Lỗ hổng trong phần mềm bên thứ ba mà ngân hàng sử dụng | SolarWinds, Kaseya |
| Zero-day trên dịch vụ đám mây | Khai thác lỗ hổng trong AWS, Azure, Google Cloud | Lỗ hổng container Kubernetes |

### Chu kỳ Zero-day (Zero-day Lifecycle)

1. **Giai đoạn khám phá (Discovery)**: Tin tặc hoặc nhà nghiên cứu phát hiện lỗ hổng
2. **Giai đoạn phát triển (Development)**: Viết mã khai thác, có thể bán trên dark web
3. **Giai đoạn phân phối (Distribution)**: Phát tán qua email lừa đảo, website giả mạo
4. **Giai đoạn kích hoạt (Activation)**: Mã độc được kích hoạt trên hệ thống mục tiêu
5. **Giai đoạn xâm nhập (Exploitation)**: Đánh cắp dữ liệu, cài backdoor, mã hóa ransomware

Khoảng cách giữa Ngày 0 (lỗ hổng bị khai thác lần đầu) và Ngày N (nhà sản xuất phát hành bản vá) được gọi là "Zero-day Window" - cửa sổ mà kẻ tấn công có lợi thế tuyệt đối.

## Ví dụ thực tế trong ngành ngân hàng

### Ví dụ 1: Ngân hàng A - Cuộc tấn công qua lỗ hổng VPN

Năm 2023, Ngân hàng A (một ngân hàng thương mại lớn tại Việt Nam) bị tấn công thông qua lỗ hổng Zero-day trong thiết bị **VPN** (Virtual Private Network) mà ngân hàng sử dụng để kết nối các chi nhánh. Tin tặc đã xâm nhập vào hệ thống nội bộ, thực hiện di chuyển ngang (lateral movement) và giành quyền truy cập vào cơ sở dữ liệu khách hàng. Hậu quả: khoảng **1,3 triệu bản ghi** thông tin khách hàng bị truy cập, bao gồm số CMND/CCCD, số tài khoản và lịch sử giao dịch. Thiệt hại ước tính khoảng 50 tỷ đồng bao gồm chi phí khắc phục, đền bù và phạt từ cơ quan quản lý. Ngân hàng phải đối mặt với làn sóng rút tiền từ khách hàng và mất 6 tháng để khôi phục niềm tin thương hiệu.

### Ví dụ 2: Ngân hàng B - Tấn công qua API Mobile Banking

Ngân hàng B phát hiện cuộc tấn công Zero-day nhắm vào **API** (Application Programming Interface) của ứng dụng mobile banking. Tin tặc đã khai thác lỗ hổng xác thực **JWT** (JSON Web Token) chưa được công bố, cho phép chúng giả mạo phiên đăng nhập của khách hàng và thực hiện hơn **3.000 giao dịch** chuyển tiền trái phép trong vòng 48 giờ, tổng giá trị khoảng 67 tỷ đồng. Hệ thống **SOC** (Security Operations Center) phát hiện bất thường nhờ phân tích hành vi **UEBA** (User and Entity Behavior Analytics), đóng băng tài khoản trong vòng 2 giờ và thu hồi được khoảng 80% số tiền bị mất.

### Ví dụ 3: Ngân hàng C - Phòng thủ chủ động qua Bug Bounty

Ngân hàng C đã triển khai chương trình **Bug Bounty** (săn lỗi nhận thưởng) trên nền tảng HackerOne với mức thưởng lên đến **10.000 USD** cho mỗi lỗ hổng nghiêm trọng. Trong 6 tháng đầu, hơn 230 nhà nghiên cứu bảo mật đã phát hiện 47 lỗ hổng, trong đó có **5 lỗ hổng** được phân loại là Zero-day tiềm năng. Nhờ chiến lược chủ động này, Ngân hàng C đã tiết kiệm được chi phí ước tính hơn 200 tỷ đồng so với thiệt hại tiềm ẩn nếu các lỗ hổng bị khai thác. Ngoài ra, Ngân hàng C còn triển khai giải pháp **EDR** (Endpoint Detection and Response) và **XDR** (Extended Detection and Response) tích hợp trí tuệ nhân tạo để giám sát 24/7.

### Số liệu thống kê đáng chú ý

- Theo **Mandiant M-Trends 2024**, Zero-day là phương thức tấn công được sử dụng trong **30%** các vụ vi phạm dữ liệu lớn
- Thời gian trung bình để phát hiện Zero-day là **88 ngày** (theo IBM Cost of a Data Breach Report)
- Chi phí trung bình cho một vụ vi phạm dữ liệu liên quan đến Zero-day là **4,45 triệu USD**
- Tại Việt Nam, số vụ tấn công **APT** (Advanced Persistent Threat) sử dụng Zero-day tăng **45%** trong giai đoạn 2022-2024
- Ngân hàng Nhà nước yêu cầu báo cáo sự cố an ninh mạng trong vòng **24 giờ** theo Thông tư 17/2024/TT-NHNN

## Khai thác Zero-day trong các ngôn ngữ khác

| Ngôn ngữ | Thuật ngữ | Phiên âm |
|---|---|---|
| Tiếng Anh | Zero-day Exploit | /ˈzɪroʊ deɪ ˈɛksplɔɪt/ |
| Tiếng Nhật | ゼロデイエクスプロイト | zero-dei ekusupuroito |
| Tiếng Hàn | 제로데이 익스플로잇 | je-ro-de-i ik-seu-peul-lo-it |
| Tiếng Trung | 零日漏洞利用 | líng rì lòu dòng lì yòng |
| Tiếng Tây Ban Nha | Exploit Zero-Day | /eksˈploit ˈθeɾo ðei/ |

**Ghi chú bổ sung:**

- Trong tiếng Nhật, thuật ngữ thường được viết katakana và phổ biến rộng rãi trong giới công nghệ Nhật Bản
- Tiếng Trung sử dụng thuật ngữ "零日漏洞" để chỉ lỗ hổng và "零日漏洞利用" cho hành vi khai thác cụ thể
- Tiếng Hàn sử dụng thuật ngữ gốc tiếng Anh với cách phiên âm Hàn Quốc hóa (Hangul)
- Trong tiếng Tây Ban Nha, thuật ngữ "Exploit Zero-Day" được sử dụng phổ biến trong các tài liệu kỹ thuật tại Tây Ban Nha và Mỹ Latin

## Câu hỏi thường gặp

### Khai thác Zero-day khác gì Zero-day Vulnerability và Zero-day Attack?

**Zero-day Vulnerability** là lỗ hổng bảo mật chưa được nhà sản xuất phát hiện hoặc chưa có bản vá, còn **Khai thác Zero-day (Zero-day Exploit)** là đoạn mã, công cụ hoặc phương pháp kỹ thuật cụ thể được thiết kế để tận dụng lỗ hổng đó. **Zero-day Attack** là hành vi tấn công thực tế diễn ra khi kẻ xấu sử dụng exploit để xâm nhập vào hệ thống mục tiêu. Nói cách khác: Vulnerability là "vấn đề", Exploit là "công cụ giải quyết vấn đề theo hướng xấu", Attack là "hành động sử dụng công cụ đó" để gây thiệt hại.

### Khi nào cần biết về Khai thác Zero-day?

Kiến thức về Khai thác Zero-day là bắt buộc đối với: (1) **Chuyên viên quản trị rủi ro công nghệ thông tin** tại ngân hàng, cần đánh giá rủi ro theo khung Basel II/III; (2) **Đội ngũ SOC/IR** chịu trách nhiệm phát hiện và ứng phó sự cố an ninh mạng; (3) **Giám đốc an toàn thông tin (CISO)** trong việc xây dựng chiến lược an ninh; (4) **Ứng viên thi tuyển vào ngân hàng** ở vị trí phòng chống gian lận, kỹ thuật số hoặc kiểm toán công nghệ. Thuật ngữ này thường xuất hiện trong các câu hỏi phỏng vấn về tuân thủ quy định NHNN, đánh giá nhà cung cấp dịch vụ cloud và thiết kế quy trình quản lý sự cố an ninh mạng.

### Khai thác Zero-day ảnh hưởng thế nào đến khách hàng ngân hàng?

Khách hàng ngân hàng chịu tác động trực tiếp và gián tiếp từ Khai thác Zero-day. **Tác động trực tiếp**: thông tin cá nhân (CMND/CCCD, số điện thoại, email, địa chỉ) bị đánh cắp dẫn đến nguy cơ lừa đảo; tài khoản ngân hàng bị xâm nhập gây mất tiền; giao dịch bị đóng băng trong thời gian khắc phục sự cố. **Tác động gián tiếp**: phí dịch vụ có thể tăng để bù đắp chi phí an ninh; uy tín ngân hàng suy giảm ảnh hưởng đến giá trị cổ phiếu và niềm tin nhà đầu tư; nguy cơ lộ dữ liệu cá nhân kéo dài dẫn đến các hình thức lừa đảo tinh vi như deepfake, social engineering nhắm vào chính khách hàng. Theo khảo sát, khi ngân hàng bị tấn công, có đến **62% khách hàng** cân nhắc chuyển sang ngân hàng khác.

## Tổng kết

Khai thác Zero-day (**Zero-day Exploit**) là một trong những thách thức an ninh mạng phức tạp và tốn kém nhất mà ngành ngân hàng phải đối mặt trong thời đại số hóa. Với bản chất "không có biện pháp phòng thủ chuẩn bị sẵn", cuộc chiến chống Zero-day đòi hỏi chiến lược nhiều lớp (**Defense-in-Depth**), kết hợp giữa công nghệ tiên tiến (**AI/ML, UEBA, EDR, XDR**), quy trình chuẩn quốc tế (**ISO 27001, PCI-DSS, SOC 2**) và yếu tố con người thông qua đào tạo nhận thức, chương trình Bug Bounty và kiểm thử xâm nhập định kỳ. Đối với người học và thi tuyển vào ngân hàng, việc nắm vững thuật ngữ này không chỉ phục vụ kiến thức chuyên môn mà còn thể hiện tư duy quản trị rủi ro toàn diện - một kỹ năng cốt lõi trong kỷ nguyên tài chính số. Hãy nhớ rằng trong cuộc đua với tin tặc, chỉ những tổ chức chủ động, đầu tư bài bản và liên tục cập nhật kiến thức mới có thể bảo vệ tài sản và niềm tin của khách hàng một cách hiệu quả và bền vững.

## Thuật ngữ liên quan

- [Cổng thanh toán trực tuyến](https://vieclam.nganhang.com/thuat-ngu/cong-thanh-toan-truc-tuyen-la-gi) — Hệ thống kỹ thuật xử lý thanh toán thẻ và ví điện tử trên website/app của merchant với mã hóa PCI-DSS.
- [Hệ thống Core Banking](https://vieclam.nganhang.com/thuat-ngu/he-thong-core-banking-la-gi) — Hệ thống xử lý nghiệp vụ lõi của ngân hàng, là nền tảng kết nối với các kênh giao dịch như Mobile Banking, Internet Banking và quầy giao dịch.
- [Khung quản trị rủi ro](https://vieclam.nganhang.com/thuat-ngu/khung-quan-tri-rui-ro-la-gi) — Khung tổng thể bao gồm chiến lược, chính sách, quy trình nhận diện, đo lường, giám sát và kiểm soát rủi ro.
- [Kiểm thử xâm nhập](https://vieclam.nganhang.com/thuat-ngu/kiem-thu-xam-nhap-la-gi) — Phương pháp mô phỏng tấn công do chuyên gia bảo mật thực hiện nhằm đánh giá mức độ an toàn của hệ thống ngân hàng trước hacker thực.
- [Ngân hàng điện tử](https://vieclam.nganhang.com/thuat-ngu/ngan-hang-dien-tu-la-gi) — Tổng hợp các kênh giao dịch ngân hàng qua phương tiện điện tử bao gồm Internet Banking, Mobile Banking, SMS Banking và ATM, hoạt động 24/7.
- [Phân tích hành vi người dùng](https://vieclam.nganhang.com/thuat-ngu/phan-tich-hanh-vi-nguoi-dung-la-gi) — Theo dõi và phân tích cách khách hàng tương tác trên ứng dụng ngân hàng nhằm phát hiện gian lận, tối ưu giao diện và cá nhân hóa dịch vụ.
- [Phòng chống gian lận](https://vieclam.nganhang.com/thuat-ngu/phong-chong-gian-lan-la-gi) — Hệ thống quy trình và công nghệ ngân hàng nhằm ngăn chặn giao dịch gian lận.
- [Rủi ro công nghệ thông tin](https://vieclam.nganhang.com/thuat-ngu/rui-ro-cong-nghe-thong-tin-la-gi) — Rủi ro từ hệ thống CNTT bị lỗi, gián đoạn, lạc hậu hoặc không đáp ứng yêu cầu bảo mật, gây tác động tiêu cực đến hoạt động ngân hàng.