Ngày 25/08/2026, Bộ Tài chính Mỹ công bố một vòng trừng phạt mới nhằm vào gần 60 thực thể, cá nhân và tàu thuyền liên hệ Iran trong khuôn khổ chiến dịch Operation Economic Outcast. Điểm đáng chú ý với cộng đồng an ninh mạng là danh sách này bao gồm các tác nhân mạng bị cáo buộc liên hệ Bộ Tình báo và An ninh Iran, trong đó có những cá nhân được cho là thuộc Mabna Institute.
Vụ việc không chỉ là một động thái ngoại giao hoặc tài chính. Nó cho thấy cách các chiến dịch mạng hiện đại đang bị nhìn nhận như một phần của hạ tầng gây sức ép rộng hơn, nơi gián điệp mạng, đánh cắp dữ liệu, tống tiền, tiền mã hóa và tuyên truyền trực tuyến có thể cùng tồn tại trong một hệ sinh thái nhiều tầng.
Bối cảnh: Operation Economic Outcast và mục tiêu cô lập dòng tiền
Theo The Hacker News, Bộ Tài chính Mỹ mô tả Operation Economic Outcast là một chiến dịch kinh tế toàn chính phủ nhằm cắt các nguồn tài chính hỗ trợ chính quyền Iran và Lực lượng Vệ binh Cách mạng Hồi giáo Iran. Trong nhóm mục tiêu bị chỉ định có các mạng lưới liên quan hạt nhân, tên lửa, dầu mỏ, tài sản số và hoạt động mạng độc hại.
Riêng nhánh an ninh mạng, thông báo nhấn mạnh một nhóm tác nhân liên hệ Bộ Tình báo và An ninh Iran bị cáo buộc đứng sau các vụ xâm nhập vào hạ tầng trọng yếu tại Mỹ, đồng thời có yếu tố trộm cắp tài chính. Đây là điểm khiến hồ sơ Mabna Institute trở nên đáng chú ý: hoạt động bị cáo buộc không chỉ phục vụ mục tiêu nhà nước, mà còn có dấu hiệu giao thoa với động cơ lợi nhuận cá nhân.
Những cá nhân bị nêu tên và vai trò bị cáo buộc
The Hacker News cho biết trong số các cá nhân bị trừng phạt có năm người từng bị Bộ Tư pháp Mỹ truy tố trước đó liên quan các chiến dịch xâm nhập diện rộng vào tổ chức Mỹ. Nhóm này bị cáo buộc là thành viên của Mabna Institute, một thực thể đặt tại Tehran từng nhiều lần xuất hiện trong các hồ sơ thực thi pháp luật và trừng phạt của Mỹ.
Các tên được nêu gồm Behzad Mesri, Keyvan Fayyaz Ghareh Blagh, Saber Shahbazi Balujeh, Mohammad Reza Kadkhoda’i, Mojtaba Ghal’eh-Kuhi và Arman Kahzadian. Trong đó, Keyvan Fayyaz Ghareh Blagh, Saber Shahbazi Balujeh và Mohammad Reza Kadkhoda’i bị cáo buộc thực hiện phần lớn hoạt động xâm nhập mạng, bao gồm việc xâm phạm và lấy cắp dữ liệu từ nhiều công ty thuộc các lĩnh vực năng lượng, quốc phòng, y tế, công nghệ thông tin và tài chính tại Mỹ từ cuối năm 2023.
Behzad Mesri từng bị OFAC chỉ định trong các năm 2018 và 2019 liên quan các cáo buộc nhắm vào HBO và hành động thay mặt hoặc đại diện cho một công ty đã bị trừng phạt. Arman Kahzadian được mô tả là tập trung nhiều hơn vào các vụ đánh cắp tiền mã hóa, trong đó có việc chiếm quyền kiểm soát một ví chứa hơn 30.000 USD Bitcoin vào mùa hè năm 2023.
Dòng thời gian chính của hồ sơ
Năm 2018 và 2019, một số cá nhân trong mạng lưới đã xuất hiện trong các động thái trừng phạt riêng lẻ của OFAC. Từ cuối năm 2023, các hoạt động xâm nhập vào tổ chức thuộc hạ tầng trọng yếu Mỹ được cho là gia tăng, bao gồm doanh nghiệp năng lượng, nhà thầu quốc phòng, tổ chức y tế, công ty công nghệ thông tin và định chế tài chính.
Mùa hè năm 2024, các tác nhân bị cáo buộc đã xâm nhập nhiều văn phòng chính quyền địa phương, tiểu bang và liên bang tại Mỹ. Đến năm 2025, một số thành viên tiếp tục bị cáo buộc nhắm vào một công ty viễn thông Iran, cho thấy ranh giới giữa nhiệm vụ chính trị, lợi ích cá nhân và tấn công cơ hội có thể không luôn tách bạch.
Đến tháng 08/2026, Operation Economic Outcast đưa hồ sơ này vào một khuôn khổ lớn hơn: không chỉ xử lý các cá nhân bị cáo buộc tấn công mạng, mà còn nhấn mạnh vai trò của dòng tiền, tài sản số và các mạng lưới trung gian trong việc duy trì năng lực hoạt động.
Vai trò của tài sản số trong hồ sơ Mabna
TRM Labs phân tích 30 ví tiền mã hóa liên quan năm thành viên Mabna Institute và cho biết tổng số tiền nhận về đạt khoảng 16,8 triệu USD. Riêng Keyvan Fayyaz Ghareh Blagh được cho là kiểm soát 10 địa chỉ nhận tổng cộng khoảng 15,5 triệu USD trong giai đoạn từ 06/01/2018 đến 20/08/2026, chiếm phần lớn khối lượng on-chain của mạng lưới được phân tích.
Chi tiết này có ý nghĩa quan trọng vì tiền mã hóa không chỉ là phương tiện rửa tiền sau tấn công. Trong nhiều hồ sơ hiện đại, tài sản số còn có thể hỗ trợ thanh toán hạ tầng, luân chuyển lợi nhuận, che giấu người thụ hưởng và tạo vùng xám giữa tác nhân nhà nước, nhóm tội phạm mạng và mạng lưới trung gian.
Hệ lụy đối với hạ tầng trọng yếu
Điểm đáng lo nhất trong hồ sơ này là khái niệm quyền truy cập tùy chọn. Một tài khoản bị chiếm, một nhà cung cấp dịch vụ bị xâm nhập hoặc một điểm bám trên hệ thống quản trị từ xa có thể phục vụ nhiều mục tiêu khác nhau theo từng thời điểm: thu thập tình báo, mở đường cho tấn công chuỗi cung ứng, gây gián đoạn có chọn lọc hoặc tạo sức ép chính trị.
SentinelOne được The Hacker News dẫn lại cho rằng hoạt động liên hệ Iran có tính đa hướng, với nhiều cụm nhiệm vụ và kỹ thuật khác nhau, từ thu thập dữ liệu, phá hoại, kỹ nghệ xã hội, xâm nhập cloud cho đến giám sát người bất đồng chính kiến và nhắm vào tài sản công nghệ vận hành đang lộ diện trên Internet.
Yếu tố xã hội và môi trường thúc đẩy
Các chiến dịch kiểu này thường không hình thành trong khoảng trống kỹ thuật. Căng thẳng địa chính trị, lệnh trừng phạt, nhu cầu tài chính, thị trường dữ liệu bị đánh cắp và hệ sinh thái tuyên truyền trực tuyến đều tạo ra môi trường thuận lợi cho những nhóm bán chính thức hoặc liên hệ nhà nước hoạt động.
The Hacker News cũng dẫn đánh giá của DomainTools về một hệ sinh thái hacktivist và faketivist thân Iran, nơi các nhóm phân tán dùng kênh Telegram, website, danh sách mục tiêu, công cụ DDoS thuê ngoài và dữ liệu rò rỉ tái chế để tạo hiệu ứng truyền thông nhanh sau các sự kiện quân sự hoặc chính trị. Trong nhiều trường hợp, hiệu quả chiến lược không đến từ kỹ thuật tinh vi, mà từ tốc độ, độ phủ và cách đóng khung thông điệp.
Bài học cho tổ chức và cá nhân
Với tổ chức vận hành hạ tầng trọng yếu, hồ sơ này nhấn mạnh nhu cầu quản trị tài khoản đặc quyền, kiểm soát nhà cung cấp, giám sát hệ thống truy cập từ xa và phân tách mạng công nghệ vận hành. Những điểm bám nhỏ có thể trở thành nền tảng cho nhiều loại nhiệm vụ khác nhau nếu không được phát hiện sớm.
Với doanh nghiệp nói chung, các dấu hiệu tài chính và blockchain cũng cần được xem là một phần của tình báo mối đe dọa. Khi nhóm tấn công có động cơ lai giữa chính trị và lợi nhuận, chỉ theo dõi kỹ thuật xâm nhập là chưa đủ; cần kết nối thêm dữ liệu về ví, hạ tầng thanh toán, tên miền, máy chủ trung gian và chiến dịch tuyên truyền.
Với cá nhân, bài học cốt lõi vẫn là bảo vệ tài khoản và dữ liệu cơ bản: dùng xác thực đa yếu tố chống phishing, hạn chế tái sử dụng mật khẩu, cảnh giác trước thông báo đăng nhập bất thường và cập nhật thiết bị. Các chiến dịch cấp nhà nước có thể nghe xa vời, nhưng nhiều chuỗi tấn công vẫn bắt đầu từ những điểm yếu rất quen thuộc trong đời sống số hàng ngày.
VNCyberS tổng hợp từ The Hacker News, U.S. Department of the Treasury, TRM Labs, SentinelOne và DomainTools
Tiếng Việt
English