ShinyHunters chiếm trang dark web của cl0p: 2 nhóm tội phạm mạng đối đầu như giang hồ
Nhóm tội phạm mạng khét tiếng ShinyHunters hôm 20/9 tuyên bố đã chiếm quyền kiểm soát trang trên dark web của một trong những đối thủ chính là cl0p.
“2 băng nhóm tội phạm mạng có cuộc đối đầu như giang hồ trên dark web”
ShinyHunters, một nhóm tống tiền kĩ thuật số nổi tiếng với các chiến dịch đánh cắp dữ liệu quy mô lớn và quyết liệt, cho biết đã xâm nhập trang trên dark web (mạng tối) của băng nhóm tội phạm mạng cl0p hôm 18/9.
ShinyHunters thông báo đã phát hiện lỗ hổng trong phần mềm của cl0p và khai thác để giành quyền kiểm soát trên diện rộng với hạ tầng của nhóm này.
"Về cơ bản, giờ chúng tôi nắm quyền kiểm soát họ", ShinyHunters tuyên bố trong cuộc trò chuyện trực tuyến với hãng tin Reuters. Cl0p không phản hồi khi được đề nghị bình luận.
Reuters không thể truy cập trang dark web của nhóm này khi thử mở hôm 21/9. Trước đó một ngày, trang hiển thị dòng chữ Domain Seized By ShinyHunters (Tên miền bị ShinyHunters chiếm giữ), theo ảnh chụp màn hình được nền tảng nghiên cứu tội phạm mạng eCrime.ch lưu lại.
Dark web là một phần nhỏ của Internet không được các công cụ tìm kiếm thông thường như Google lập chỉ mục và thường phải sử dụng phần mềm hoặc mạng chuyên biệt mới truy cập được, phổ biến nhất là Tor.
Dark web không đồng nghĩa với tội phạm mà được thiết kế để tăng tính ẩn danh, nên có thể sử dụng cho những mục đích hợp pháp như bảo vệ quyền riêng tư, việc liên lạc của nhà báo, nhà hoạt động hoặc người tố giác. Tuy nhiên, tính ẩn danh cũng khiến dark web trở thành nơi hoạt động của nhiều thị trường và diễn đàn tội phạm, nơi mua bán dữ liệu đánh cắp, mã độc và các hàng hóa, dịch vụ bất hợp pháp.
Hai chuyên gia an ninh mạng nói với Reuters rằng vụ đối đầu này dường như là có thật.
“Hai băng nhóm tội phạm mạng thực sự có những cuộc đối đầu như giang hồ trên dark web”, ông Brandon Parsons, quản lý tình báo mối đe dọa tại công ty Ascent Solutions có trụ sở ở bang Minnesota (Mỹ), nhận định.
Joe Roosen, Giám đốc nghiên cứu bảo mật cấp cao tại công ty SpyCloud ở bang Texas (Mỹ), cho biết ông chưa từng chứng kiến hai nhóm tội phạm mạng công khai đối đầu trực diện với nhau như vậy.
“Đây chắc chắn là diễn biến rất khác thường. Hiếm khi tôi có cơ hội chứng kiến cảnh tội phạm đấu đá lẫn nhau”, ông nhấn mạnh.
Vụ đối đầu bắt nguồn từ vụ khai thác lỗ hổng Oracle
ShinyHunters cho biết vụ xung đột liên quan đến cáo buộc cl0p đánh cắp mã khai thác lỗ hổng phần mềm vào năm ngoái.
Mã này lợi dụng một lỗ hổng chưa được biết đến vào thời điểm đó trong E-Business Suite (EBS), bộ phần mềm doanh nghiệp do Oracle phát triển.
Những lỗ hổng như vậy được gọi là zero-day, bởi đội ngũ an ninh mạng gần như không có thời gian chuẩn bị biện pháp khắc phục. Đây là loại lỗ hổng đặc biệt có giá trị với các hacker vì có thể giúp chúng giành quyền truy cập trên diện rộng vào các mạng máy tính dễ bị tấn công.
Cl0p, băng nhóm tội phạm mạng sử dụng tiếng Nga, đã khai thác lỗ hổng trong EBS để đánh cắp dữ liệu từ hơn 100 công ty, theo nhà phân tích thuộc Google. Tuy nhiên, ShinyHunters nói với Reuters rằng nhóm này mới là bên phát hiện lỗ hổng zero-day trước.
ShinyHunters và cl0p hăm dọa lẫn nhau
Khi tranh chấp kéo dài, theo lời ShinyHunters, cl0p đã đe dọa công khai danh tính của một số thành viên thuộc nhóm đối thủ.
ShinyHunters sau đó đáp trả bằng cách đe dọa tiết lộ thông tin về cách thức vận hành nội bộ của cl0p.
Chưa thể lập tức xác minh độc lập tính chính xác của lời kể từ ShinyHunters về cuộc đối đầu này.
Cl0p được coi là một trong những nhóm tội phạm mạng hoạt động mạnh mẽ và có nhiều thủ đoạn tinh vi nhất, chủ yếu nhờ khả năng tìm kiếm và khai thác các lỗ hổng trong phần mềm dành cho doanh nghiệp.
Năm 2023, cl0p đã lợi dụng một lỗi trong phần mềm quản lý file MOVEit để đánh cắp dữ liệu của hàng chục triệu người từ hơn 600 công ty.
Hồi tháng 8, nhóm này tuyên bố đã đánh cắp lượng lớn dữ liệu từ gần 50 công ty trên toàn thế giới, trong đó có Philips, Shell, Fiserv và GE.
ShinyHunters hoạt động với tần suất tương tự cl0p. Vào tháng 4, ShinyHunters tuyên bố đánh cắp hàng triệu bản ghi dữ liệu doanh nghiệp từ Rockstar Games, nhà phát triển game Grand Theft Auto.
Đến tháng 5, vụ tấn công hệ thống quản lý học tập Canvas được cho do ShinyHunters thực hiện đã gây gián đoạn trên diện rộng tại các trường học ở Mỹ.
Trong tháng 9, Anthropic thông báo đã phát hiện các hacker có liên hệ với ShinyHunters đang cố sử dụng mô hình Claude của họ cho mục đích xấu.
ShinyHunters gây chú ý ngay năm đầu hoạt động
ShinyHunters nổi tiếng với các vụ tấn công mạng quy mô lớn nhằm đánh cắp dữ liệu rồi tống tiền doanh nghiệp. Xuất hiện hồi 2020, ShinyHunters gây chú ý ngay năm đầu hoạt động khi chiếm đoạt hơn 200 triệu bản ghi của 13 công ty lớn trên thế giới.
Nhóm này thường tập trung tấn công đánh cắp dữ liệu trên nền tảng đám mây hoặc ứng dụng web của nạn nhân để tống tiền.
Thay vì cố gắng che giấu dấu vết, ShinyHunters công khai lượng dữ liệu đã đánh cắp và công bố trên các diễn đàn ngầm, sau đó rao bán. Những vụ hack liên tục mà ShinyHunters thực hiện và nhận trách nhiệm tạo nên nỗi hoang mang trong cộng đồng an ninh mạng thế giới.
Cách thức quen thuộc của ShinyHunters là xâm nhập hệ thống nạn nhân qua lỗ hổng đã biết hoặc social engineering (dùng các thủ đoạn đánh vào tâm lí và hành vi con người).
Hồi tháng 9/2025, trang web DataBreaches cho biết ShinyHunters khai thác thành công một lỗ hổng N-day trong phần mềm đã hết hỗ trợ tại Trung tâm Thông tin Tín dụng Quốc gia Việt Nam (CIC) và chiếm đoạt khoảng 3 tỉ bản ghi toàn hệ thống, trong đó có 160 triệu bản ghi chứa thông tin cá nhân người Việt. N-day tức là lỗ hổng bảo mật đã được công khai hoặc có bản vá nhưng chưa được khắc phục triệt để.
Để kiếm tiền, ShinyHunters tích cực sử dụng các diễn đàn dark web như RaidForums và BreachForums, rao bán dữ liệu đánh cắp được nhằm tăng uy tín.
Ngoài ra, ShinyHunters còn thiết lập liên kết gián tiếp với nhóm Scattered Spider để hình thành mạng lưới tội phạm mạng quốc tế. Sự hợp tác này giúp ShinyHunters mở rộng phạm vi, phối hợp trong các chiến dịch lớn và khai thác dữ liệu chiến lược hiệu quả hơn, đồng thời cho thấy các nhóm tội phạm mạng hiện nay hoạt động theo một hệ sinh thái phức tạp, khó kiểm soát.
Scattered Spider là tên được đặt không chính thức cho nhóm tội phạm mạng gồm phần lớn là nam giới trẻ tuổi, chủ yếu từ Mỹ, Anh và Tây Âu, hoạt động phân tán và phi tập trung, nổi lên từ khoảng năm 2022. Hôm 20/8/2025, Noah Urban (thành viên 20 tuổi của Scattered Spider) bị kết án 10 năm tù ở Mỹ, liên quan đến hàng loạt vụ tấn công mạng lớn và trộm tiền mã hóa.
Các chuyên gia khác nói ShinyHunters và Scattered Spider dường như đang hoạt động đồng bộ, nhắm vào một ngành công nghiệp cùng lúc, khiến việc xác định cuộc tấn công trở nên khó khăn hơn.
Danh tính phần lớn thành viên ShinyHunters vẫn được giữ bí mật vì nhóm này hoạt động ẩn danh trên web tối và diễn đàn hacker quốc tế. Tuy nhiên, một số cuộc điều tra hé lộ ShinyHunters có liên hệ với cộng đồng hacker ở châu Á, đặc biệt là Pakistan và Indonesia. Một số chuyên gia an ninh mạng cho rằng một số thành viên ShinyHunters có thể từng tham gia các diễn đàn rao bán dữ liệu ngầm từ khu vực này.
Năm 2021, Séraphin Ranson bị bắt ở Ma Rốc, sau đó dẫn độ về Pháp. Anh bị cáo buộc có liên hệ với ShinyHunters trong các vụ bán dữ liệu đánh cắp, theo báo Le Monde và Cybersecurity News.
Đến năm 2022, cảnh sát Pháp điều tra một số nghi phạm khác có liên quan đến việc ShinyHunters phát tán dữ liệu trên RaidForums.