Trong bối cảnh an ninh mạng ngày càng phức tạp, các chiến dịch gián điệp nội bộ (Insider Espionage Campaigns) luôn là một trong những mối đe dọa nghiêm trọng nhất đối với an ninh quốc gia và các tổ chức lớn. Trường hợp của cựu trung sĩ Lục quân Hoa Kỳ, Joseph Daniel Schmidt, là một ví dụ điển hình về mức độ nguy hiểm và tinh vi của một mối đe dọa nội bộ được hỗ trợ bởi các đối tượng tình báo nước ngoài.
Joseph Daniel Schmidt, cựu trung sĩ của Lữ đoàn Tình báo Quân sự số 109 tại Joint Base Lewis-McChord (JBLM), đã nhận tội vào tháng 6 năm 2025 với hai tội danh liên bang liên quan đến gián điệp: cố ý cung cấp thông tin quốc phòng và lưu giữ trái phép thông tin quốc phòng. Trong suốt thời gian tại ngũ từ tháng 1 năm 2015 đến tháng 1 năm 2020, Schmidt có quyền tiếp cận các dữ liệu quân sự được phân loại ở cấp độ SECRET và TOP SECRET – những thông tin tối mật có thể ảnh hưởng nghiêm trọng đến an ninh quốc gia nếu bị tiết lộ.
Sau khi rời quân đội vào tháng 1 năm 2020, Schmidt đã chủ động liên lạc với các cơ quan tình báo Trung Quốc. Ban đầu, anh ta tiếp cận Lãnh sự quán Trung Quốc tại Thổ Nhĩ Kỳ, sau đó trực tiếp trao đổi qua email với các dịch vụ an ninh Trung Quốc, rao bán các bí mật quân sự đã được phân loại của Hoa Kỳ. Hành vi này không chỉ thể hiện ý định phản bội mà còn cho thấy sự chủ động trong việc tìm kiếm các kênh để thực hiện hành vi gián điệp.
Phân tích chiến thuật, kỹ thuật và quy trình (TTPs)
Vụ án này minh họa rõ nét các TTPs thường thấy trong các chiến dịch gián điệp nội bộ:
- Mối đe dọa nội bộ / Gián điệp (Insider Threat / Espionage): Đây là điểm cốt lõi của vụ việc. Schmidt đã lợi dụng quyền truy cập được cấp phép của mình khi còn là một quân nhân đang tại ngũ trong một đơn vị tình báo quân sự. Quyền truy cập này, vốn được tin tưởng để phục vụ lợi ích quốc gia, lại bị lạm dụng để tiếp cận và thu thập thông tin nhạy cảm. Việc lạm dụng lòng tin và đặc quyền này là một trong những thách thức lớn nhất đối với bất kỳ hệ thống an ninh nào, vì các biện pháp phòng thủ truyền thống thường tập trung vào các mối đe dọa từ bên ngoài.
- Tiết lộ dữ liệu (Data Exfiltration): Schmidt đã tạo ra nhiều tài liệu dài chi tiết “các bí mật cấp cao” với mục đích chuyển giao. Điều này cho thấy một quá trình chuẩn bị kỹ lưỡng và có hệ thống để thu thập và tổng hợp thông tin mật, thay vì chỉ là việc tiết lộ thông tin ngẫu nhiên. Quy mô và tính chất chi tiết của các tài liệu này càng làm tăng mức độ nghiêm trọng của hành vi vi phạm.
- Kênh liên lạc (Communication Channels): Các liên lạc qua email với các dịch vụ tình báo nước ngoài là phương tiện chính để Schmidt trao đổi thông tin. Mặc dù email có thể dễ bị giám sát hoặc truy vết, nhưng nó vẫn là một kênh phổ biến để bắt đầu hoặc duy trì liên lạc với các đối tượng tình báo, đặc biệt khi các đối tượng này cố gắng duy trì một mức độ ẩn danh hoặc gián tiếp nhất định.
- Di chuyển vật lý cho hoạt động gián điệp (Physical Travel for Espionage Activities): Vào tháng 3 năm 2020, Schmidt đã thực hiện chuyến đi quốc tế đến Hồng Kông để tiếp tục nỗ lực gián điệp. Việc di chuyển qua biên giới cho thấy một mức độ cam kết và kế hoạch đáng kể trong hoạt động của anh ta, vượt xa các hoạt động trực tuyến đơn thuần. Điều này cũng làm phức tạp quá trình điều tra và thu thập bằng chứng.
- Lưu giữ thiết bị nhạy cảm (Retention of Sensitive Devices): Một điểm đặc biệt nghiêm trọng là Schmidt đã giữ lại một thiết bị có khả năng truy cập vào các mạng lưới bảo mật của Quân đội Hoa Kỳ. Anh ta thậm chí còn đề nghị cung cấp thiết bị này cho các quan chức Trung Quốc, với ý định nó sẽ là một công cụ hỗ trợ cho việc xâm nhập mạng. Hành động này không chỉ là một vi phạm quy định về bảo mật thiết bị mà còn là một nỗ lực trực tiếp nhằm cung cấp một phương tiện khai thác tiềm tàng cho kẻ thù, tạo ra một lỗ hổng an ninh quốc gia vô cùng lớn.
Hạ tầng bị khai thác và liên quan
Vụ án này liên quan đến các nền tảng và hạ tầng nhạy cảm, bao gồm:
- Các mạng máy tính bảo mật của Quân đội Hoa Kỳ, được truy cập thông qua các thiết bị chuyên dụng mà Schmidt đã giữ lại một cách bất hợp pháp.
- Hạ tầng truyền thông liên quan đến email trao đổi giữa Schmidt và các dịch vụ an ninh/lãnh sự quán Trung Quốc tại Thổ Nhĩ Kỳ và Hồng Kông. Mặc dù không phải là lỗ hổng kỹ thuật trên hạ tầng này, việc sử dụng chúng cho mục đích bất hợp pháp làm nổi bật tầm quan trọng của việc giám sát và phân tích lưu lượng email trong các tổ chức nhạy cảm.
Các cáo buộc pháp lý và hình phạt
Joseph Daniel Schmidt phải đối mặt với các cáo buộc nghiêm trọng:
- Cố ý cung cấp thông tin quốc phòng (tội đại hình).
- Lưu giữ trái phép thông tin quốc phòng (tội đại hình).
Mỗi tội danh có thể bị phạt tới 10 năm tù giam và phạt tiền lên đến 250.000 USD, phản ánh mức độ nghiêm trọng của các hành vi vi phạm an ninh quốc gia. Việc nhận tội của Schmidt đã mở đường cho bản án sắp tới, nhấn mạnh sự cam kết của chính quyền Hoa Kỳ trong việc truy tố các mối đe dọa nội bộ và hành vi gián điệp.
Chi tiết điều tra và truy tố
Cuộc điều tra vụ án được dẫn dắt bởi Cục Điều tra Liên bang (FBI), với sự hỗ trợ đắc lực từ Bộ Tư lệnh Phản gián Lục quân Hoa Kỳ (U.S. Army Counterintelligence Command). Sự phối hợp chặt chẽ giữa các cơ quan thực thi pháp luật và tình báo là yếu tố then chốt để phanh phui và xử lý các vụ án gián điệp phức tạp như thế này. Việc truy tố do Trợ lý Luật sư Hoa Kỳ Todd Greenberg cùng với Bộ phận Chống Gián điệp và Kiểm soát Xuất khẩu của Phòng An ninh Quốc gia thực hiện, cho thấy mức độ quan trọng và nhạy cảm của vụ án.
Tóm tắt dòng thời gian
Dưới đây là tóm tắt các sự kiện chính trong vụ án:
- Tháng 1 năm 2015 – Tháng 1 năm 2020: Joseph Daniel Schmidt phục vụ tại JBLM, có quyền truy cập thông tin SECRET và TOP SECRET.
- Sau tháng 1 năm 2020: Bắt đầu liên hệ với Lãnh sự quán Trung Quốc tại Thổ Nhĩ Kỳ và gửi email chứa thông tin đã phân loại.
- Tháng 3 năm 2020: Thực hiện chuyến đi đến Hồng Kông, soạn thảo các tài liệu bí mật chi tiết và giữ lại thiết bị nhạy cảm.
- Tháng 10 năm 2023: Trở về Hoa Kỳ qua sân bay San Francisco và bị bắt giữ ngay khi đến nơi.
- Ngày 19 hoặc 20 tháng 6 năm 2025: Ngày nhận tội.
- Ngày 9 tháng 9 năm 2025: Ngày dự kiến tuyên án, do Thẩm phán John C. Coughenour chủ trì.
Các chỉ số thỏa hiệp (IOCs)
Các IOCs trong vụ án này, mặc dù không phải là kỹ thuật số, nhưng cung cấp các thông tin quan trọng để xác định và theo dõi các mối đe dọa tương tự:
- Cá nhân:
- Tên: Joseph Daniel Schmidt
- Tuổi: 31 tuổi
- Đơn vị cũ: Lữ đoàn Tình báo Quân sự số 109 tại JBLM
- Địa điểm liên quan:
- Joint Base Lewis-McChord (Bang Washington)
- Lãnh sự quán Trung Quốc – Thổ Nhĩ Kỳ
- Đặc khu hành chính Hồng Kông
- Sân bay Quốc tế San Francisco (Địa điểm bắt giữ)
- Ngày tố tụng pháp lý:
- Ngày nhận tội: 19 hoặc 20 tháng 6 năm 2025
- Ngày dự kiến tuyên án: 9 tháng 9 năm 2025
- Thẩm phán chủ trì: John C. Coughenour
Không có CVEs hoặc Malware Families được đề cập
Các tài liệu liên quan đến vụ án này không đề cập cụ thể đến bất kỳ định danh CVE (Common Vulnerabilities and Exposures) nào hay các họ mã độc (malware families) nào liên quan trực tiếp đến việc khai thác kỹ thuật số. Điều này không có nghĩa là không có lỗ hổng kỹ thuật, mà là trọng tâm của vụ án nằm ở hành vi gián điệp của con người và việc lạm dụng quyền truy cập, thay vì các cuộc tấn công mạng dựa trên mã độc hoặc khai thác lỗ hổng phần mềm cụ thể.
Không có ID kỹ thuật MITRE ATT&CK được nêu rõ
Mặc dù không có ID kỹ thuật MITRE ATT&CK nào được cung cấp rõ ràng, nhưng dựa trên các TTPs được mô tả, chúng ta có thể suy ra một số kỹ thuật có liên quan:
- T1078 Valid Accounts (Tài khoản hợp lệ): Việc Joseph Daniel Schmidt sử dụng các thông tin xác thực và quyền truy cập hợp pháp của mình với tư cách là một mối đe dọa nội bộ phù hợp với kỹ thuật này. Các tác nhân đe dọa nội bộ thường tận dụng quyền truy cập hợp lệ để di chuyển ngang, truy cập dữ liệu hoặc thực hiện các hoạt động độc hại mà không cần phải vượt qua các rào cản xác thực ban đầu.
- T1537 Transfer Data To Cloud Account / External Entity (Chuyển dữ liệu đến tài khoản đám mây / Thực thể bên ngoài): Hành vi chuyển dữ liệu nhạy cảm ra bên ngoài qua email là một biểu hiện của kỹ thuật này. Mặc dù email có thể không phải là “tài khoản đám mây” theo nghĩa đen, nhưng nó là một “thực thể bên ngoài” mà dữ liệu được chuyển đến để thoát khỏi mạng nội bộ. Điều này bao gồm việc gửi tài liệu mật qua các dịch vụ email công cộng hoặc liên lạc trực tiếp với các thực thể tình báo nước ngoài.
Lưu ý rằng những kỹ thuật này chỉ được suy luận dựa trên mô tả các TTPs trong vụ án và không được nêu rõ trong các nguồn tin gốc. Vụ án Joseph Daniel Schmidt là một lời nhắc nhở sâu sắc về sự cần thiết phải có các biện pháp phòng thủ đa lớp, không chỉ tập trung vào các mối đe dọa từ bên ngoài mà còn phải đặc biệt chú trọng đến việc quản lý rủi ro từ nội bộ, bao gồm cả các chương trình sàng lọc nhân sự, giám sát hành vi, và kiểm soát truy cập nghiêm ngặt.
