FortiBleed 2.0 là giai đoạn điều tra mở rộng của chiến dịch FortiBleed, được công bố vào cuối tháng 10/2026. Chiến dịch này tập trung vào việc thu thập thông tin đăng nhập và dữ liệu cấu hình từ các thiết bị tường lửa Fortinet FortiGate và cổng VPN SSL có kết nối trực tiếp với Internet.
Theo dữ liệu được phân tích, ngày 20/2/2026 là ngày báo cáo được ghi nhận trong phần lớn các tệp, chứ không phải thời điểm xác định hệ thống bị xâm nhập hoặc cấu hình bị trích xuất. Vì vậy, việc so sánh FortiBleed 2.0 với FortiBleed 1.0 chỉ phản ánh những thông tin bị lộ được ghi nhận trong mỗi tập dữ liệu, không đủ để kết luận các tổ chức đã xử lý sự cố như thế nào sau khi báo cáo trước đó được công bố.
Để kiểm tra nguy cơ bị ảnh hưởng, các tổ chức có thể sử dụng cổng thông tin miễn phí của Hudson Rock để tra cứu tên miền của mình. Sau đó, đối chiếu kết quả với danh mục tài sản, dữ liệu quản lý tài khoản và hồ sơ ứng phó sự cố nội bộ nhằm xác định phạm vi ảnh hưởng và lựa chọn biện pháp xử lý phù hợp.
1. Các tệp cấu hình tiết lộ điều gì?
Các tệp sao lưu cấu hình tường lửa có thể chứa nhiều thông tin nhạy cảm, chẳng hạn như tài khoản truy cập từ xa, mật khẩu hoặc thông tin mã bí mật (secrets) dùng để kết nối với Active Directory, cùng địa chỉ của các hệ thống nội bộ. Phân tích 1.703 tệp cấu hình cho thấy, nếu những dữ liệu này bị lộ, kẻ tấn công có thể thu thập được nhiều thông tin quan trọng về hạ tầng công nghệ thông tin của tổ chức.
Theo dữ liệu tổng hợp, 1.703 tệp nguồn chứa 101.419 bản ghi thông tin xác thực và tài khoản, liên quan đến 1.689 mã định danh máy chủ. Trong số đó, 40.573 bản ghi có secret được lưu dưới dạng văn bản thuần, tức có thể đọc trực tiếp mà không cần giải mã. Phần lớn các bản ghi này liên quan đến người dùng cục bộ; số còn lại bao gồm tài khoản quản trị, tài khoản LDAP, thông tin đăng nhập SMTP và thông tin bí mật phục vụ cấu hình cụm HA (High Availability – tính sẵn sàng cao). Mỗi nhóm dữ liệu có thể tiết lộ một phần cách tường lửa kết nối với các thành phần khác trong hệ thống của tổ chức, từ tài khoản người dùng đến dịch vụ thư mục và hạ tầng máy chủ.
Các số liệu chính gồm:
· 101.419 bản ghi: Thông tin xác thực và hồ sơ tài khoản, được tổng hợp từ 1.703 tệp nguồn gắn với 1.689 mã định danh máy chủ.
· 40.573 bản ghi: Có thông tin bí mật dạng văn bản thuần, gồm người dùng cục bộ, tài khoản quản trị, LDAP, SMTP và cấu hình HA.
· 1.576 bản ghi: Thông tin bí mật LDAP dạng văn bản thuần; tổng thể có 2.163 bản ghi LDAP trong tập dữ liệu.
· 924 máy chủ (54,7%): Không xuất hiện trong tập máy chủ của FortiBleed 1.0.
Trong tập dữ liệu văn bản của FortiBleed 1.0, Hudson Rock ghi nhận 73.932 dòng đăng nhập trên 69.055 mã định danh máy chủ. Tập cấu hình FortiBleed 2.0 nhỏ hơn về số lượng máy chủ nhưng cung cấp thông tin sâu hơn về bảng tài khoản, kết nối thư mục và các máy chủ chưa có trong danh sách trước đó.
2. Từ trích xuất cấu hình đến nguy cơ truy cập hệ thống nội bộ
Theo tài liệu, chuỗi công cụ được nghiên cứu mô tả ba giai đoạn chính: trích xuất cấu hình tường lửa, khôi phục thông tin bí mật và kiểm tra khả năng truy cập các hệ thống nội bộ. Dữ liệu cấu hình có thể cung cấp thông tin liên quan đến từng giai đoạn, nhưng việc phát hiện thông tin đăng nhập không đồng nghĩa với việc những thông tin đó vẫn còn sử dụng được hoặc có thể truy cập thành công vào hệ thống.
Trích xuất cấu hình và khôi phục thông tin bí mật
Công cụ forti_parse.py được mô tả là dùng để phân tích cấu hình và thu thập thông tin về tài khoản quản trị, người dùng cục bộ, kết nối LDAP, cấu hình HA và thông tin đăng nhập máy chủ email.
Theo dữ liệu CSV, có 37.076 bản ghi người dùng cục bộ và 1.576 bản ghi liên kết LDAP chứa thông tin bí mật ở dạng văn bản thuần, tức có thể đọc trực tiếp. Ngoài ra, dữ liệu còn bao gồm các hàm băm và những giá trị chưa được giải mã. Việc phân biệt các loại dữ liệu này giúp xác định thông tin nào đã được khôi phục ở dạng có thể đọc và thông tin nào vẫn chưa xuất hiện dưới dạng văn bản thuần trong tập dữ liệu.
Kiểm tra khả năng kết nối VPN
Tài liệu mô tả quy trình sử dụng vpn_checker.py kết hợp với openconnect để thử kết nối VPN bằng thông tin đăng nhập tương ứng. Tuy nhiên, có thông tin đăng nhập chưa chắc đã kết nối được. Khả năng truy cập còn phụ thuộc vào việc tài khoản có đang hoạt động hay không, chính sách VPN, yêu cầu xác thực đa yếu tố (MFA) và các điều kiện bảo mật khác. Đặc biệt, quyền quản trị tường lửa không đồng nghĩa với quyền truy cập VPN. Đây là hai loại quyền khác nhau, cần được đánh giá riêng.
Xác định hệ thống thư mục và đánh giá quyền truy cập
Các trường thông tin như địa chỉ máy chủ LDAP và tên phân biệt (distinguished name – DN) có thể giúp xác định hệ thống thư mục đang được sử dụng cũng như tài khoản dịch vụ liên quan.
Nghiên cứu về chuỗi công cụ này cũng đề cập đến việc sử dụng nxc/NetExec để kiểm tra các hệ thống nội bộ. Dù vậy, mức độ rủi ro phụ thuộc đáng kể vào quyền thực tế của tài khoản bị lộ. Một tài khoản dịch vụ được cấp quyền quá rộng có thể khiến phạm vi ảnh hưởng lớn hơn, nhưng quyền truy vấn LDAP thông thường không tự động đồng nghĩa với quyền quản trị miền, quyền sao chép dữ liệu thư mục hoặc quyền truy cập tệp NTDS.dit.
Vì vậy, cần xem xét quyền hạn cụ thể của từng tài khoản thay vì mặc định rằng mọi thông tin xác thực bị lộ đều có thể dẫn đến quyền kiểm soát hệ thống.
Vì sao bản sao lưu cấu hình có thể làm lộ thông tin bí mật?
Không phải mọi thông tin nhạy cảm trong cấu hình đều được lưu trữ theo cùng một cách. Báo cáo phân biệt các hàm băm quản trị như SHA-256 (SH2) và PBKDF2 (PB2) với các giá trị ENC được mã hóa theo cơ chế có thể đảo ngược.
Theo tài liệu, trong một số điều kiện nhất định, cấu hình sử dụng khóa mặc định của FortiOS có thể cho phép khôi phục ngoại tuyến những thông tin bí mật đã lưu. Tuy nhiên, Fortinet cũng hỗ trợ sử dụng khóa mã hóa dữ liệu riêng cho từng thiết bị. Do đó, khả năng khôi phục phụ thuộc vào phiên bản phần mềm, thiết lập mã hóa và dữ liệu thu thập được.
Bên cạnh đó, việc một bí mật đã được khôi phục không có nghĩa là thông tin đăng nhập đó vẫn có thể sử dụng để truy cập hệ thống. Chẳng hạn, trong số 37.076 bản ghi người dùng cục bộ chứa thông tin dạng văn bản thuần, 7.437 bản ghi được đánh dấu là tài khoản đã vô hiệu hóa. Những bản ghi này vẫn thuộc phạm vi dữ liệu bị phơi lộ, nhưng trạng thái tài khoản cần được xem xét khi đánh giá nguy cơ truy cập thực tế.
Ví dụ từ cấu hình FortiGate được trích dẫn trong báo cáo
Tài liệu đưa ra một ví dụ đã được biên tập lại về thiết bị Hilton-FW/FortiGate-60F, có tên miền đăng ký @theelysiumhotels.com và tên miền nội bộ HILTON.LOCAL.
Theo báo cáo nguồn, cấu hình này có 12 mục quản trị hệ thống và 10 bản ghi người dùng cục bộ chứa thông tin dạng văn bản thuần. Danh sách tài khoản quản trị được ghi nhận gồm districtadmin, fgtsec, fortiadmin, forticloud-sync, forticloud-tech, fortinet-gbrcc, fortinet-support và fortinet-tech. Ngoài ra, tài khoản Technical_support được đánh dấu là đã xác minh trong báo cáo nguồn.
Các thông tin trên cho thấy tệp cấu hình có thể tiết lộ tên tài khoản, cấu trúc tên miền và một phần thông tin về cách hệ thống được quản lý. Tuy nhiên, việc một tài khoản xuất hiện trong báo cáo không tự động chứng minh tài khoản đó là trái phép hoặc đã bị kẻ tấn công sử dụng. Cần đối chiếu với hồ sơ quản trị và trạng thái tài khoản thực tế để xác định mức độ ảnh hưởng.
3. So sánh FortiBleed 1.0 và FortiBleed 2.0
Tập dữ liệu cấu hình bổ sung đáng kể phạm vi so với danh sách trước đó: 924/1.689 mã định danh máy chủ (54,7%) không có trong FortiBleed 1.0. Trong ba trường được dùng để phân tích nguồn gốc, CSV có 1.453 nhãn tên miền khác nhau; 975 nhãn (67,1%) chưa xuất hiện trong tập dữ liệu so sánh 1.0.
Về quy mô tài khoản: FortiBleed 2.0 nâng tổng số lượng hồ sơ tài khoản lên 101.419 (so với 73.932 dòng đăng nhập ở bản 1.0), giúp bổ sung nhiều chi tiết sâu hơn về thông tin bí mật lưu trên thiết bị.
Về mã định danh máy chủ: Bản 2.0 thu hẹp số báo cáo nhưng mở rộng mạnh mẽ với 924 máy chủ mới (chiếm 54,7%) hoàn toàn không có trong bản 1.0, còn lại 765 máy chủ xuất hiện ở cả hai phiên bản.
Về nhãn tên miền đối chiếu & miền chính: Bản 2.0 ghi nhận hàng trăm nhãn và tên miền hoàn toàn mới (chiếm từ 67% đến hơn 75% không trùng lặp với bản 1.0), giúp phát hiện thêm nhiều tổ chức nạn nhân mới.
Về đăng nhập quản trị: Nếu bản 1.0 chỉ ghi nhận dữ liệu thô chung chung, thì bản 2.0 tách bạch rõ 1.672 dòng gắn nhãn FortiGate_Super_Admin_Verified_Login (gồm cả máy chủ mới và máy chủ trùng lặp).
Về người dùng cục bộ & SSL-VPN: Bản 2.0 bổ sung mới hoàn toàn danh mục với 83.414 bản ghi, trong đó có 37.076 mật khẩu dạng văn bản thuần để làm rõ thông tin truy cập từ xa.
Về liên kết LDAP (Active Directory): Bản 2.0 ghi nhận mới 2.163 bản ghi (gồm 1.576 mật khẩu dạng văn bản thuần), giúp chỉ rõ danh tính dịch vụ thư mục bị phơi lộ.
Về quản trị hệ thống: Bản 2.0 cung cấp thêm 13.786 mục cấu hình quản trị (gồm hàm băm và trường trống) nhằm hỗ trợ rà soát mối quan hệ giữa các tài khoản.
Về cấu hình HA và SMTP: Bản 2.0 bổ sung các danh mục hoàn toàn mới về cụm thiết bị HA (208 bản ghi) và máy chủ email SMTP (176 bản ghi) để làm rõ các bí mật dùng chung trong hạ tầng.
4. Phân tích 765 máy chủ xuất hiện trong cả hai tập dữ liệu
Đối chiếu 765 mã định danh máy chủ trùng nhau cho phép so sánh các thông tin đăng nhập quản trị được ghi lại ở hai tập dữ liệu. Có 766 dòng đăng nhập quản trị trong FortiBleed 2.0 gắn với nhóm máy chủ này; kết quả cho thấy cả thông tin đăng nhập trùng khớp lẫn các danh tính quản trị khác nhau.
Thông tin xác thực trùng khớp
524/766 bản ghi (68,4%) có tên người dùng và mật khẩu dạng văn bản thuần trùng với bản ghi FortiBleed 1.0 của cùng máy chủ. Điều này cho thấy hai tập dữ liệu có chứa những thông tin đăng nhập giống nhau. Tuy nhiên, sự trùng khớp này không chứng minh rằng tài khoản đã được sử dụng liên tục trong suốt khoảng thời gian giữa hai lần ghi nhận, cũng không xác nhận mật khẩu được sử dụng tại cả hai thời điểm.
Danh tính quản trị khác nhau
242/766 bản ghi (31,6%) sử dụng tên người dùng quản trị khác. Trong đó, 222 trường hợp có cả mật khẩu khác; 20 trường hợp dùng tên người dùng khác nhưng cùng mật khẩu. Các bản ghi này cho thấy có những tài khoản quản trị khác được ghi nhận trên cùng máy chủ.
Các tên tài khoản xuất hiện lặp lại
Trong nhóm thông tin đăng nhập khác nhau, FortiBleed 1.0 thường ghi nhận các tên admin (66 lần), Technical_support (22), laboratorio (16), forti-auth-tech (11) và martinwong (7).
Các tên tương ứng hoặc thường gặp trong FortiBleed 2.0 gồm:
· fgtsecure: 106 lần xuất hiện, với một mẫu mật khẩu lặp lại.
· admin: 25 lần.
· Technical_support: 22 lần.
· callcenter/Callcenter: 17 lần.
· fgtsec: 11 lần; forticloud-sync: 5 lần.
Các tên tài khoản xuất hiện nhiều lần có thể là đầu mối để kiểm tra việc sử dụng tài khoản và cách quản lý thông tin đăng nhập trên nhiều máy chủ. Tuy nhiên, tên tài khoản phổ biến hoặc sự xuất hiện lặp lại của một mẫu mật khẩu không tự động chứng minh có hành vi truy cập trái phép.
5. Đọc đúng thông tin email đăng ký và tên miền
Email được sử dụng để đăng ký tường lửa không nhất thiết thuộc về tổ chức sở hữu mạng mà thiết bị đang bảo vệ. Trong một số trường hợp, địa chỉ này có thể thuộc về nhà cung cấp dịch vụ bảo mật được quản lý, nhà mạng hoặc nhà thầu công nghệ thông tin chịu trách nhiệm quản lý thiết bị thay cho khách hàng. Vì vậy, không thể chỉ dựa vào email đăng ký để xác định tổ chức nào sở hữu thiết bị hoặc là đối tượng bị ảnh hưởng. Tương tự, email cá nhân hoặc trường đăng ký có giá trị NONE cũng cung cấp ít thông tin để xác định mối liên hệ với tổ chức.
Để làm rõ các mối liên hệ này, nghiên cứu đối chiếu ba trường dữ liệu: tên miền chính trong tệp CSV, tên miền của email dùng để đăng ký FortiGuard và tên miền xuất hiện trong tên người dùng có định dạng email. Kết quả cho thấy, trong 765 mã định danh máy chủ có thể đối chiếu giữa FortiBleed 1.0 và FortiBleed 2.0, có 462 máy chủ (60,4%) xuất hiện ít nhất một nhãn tên miền bổ sung so với thông tin email đăng ký trong tập dữ liệu FortiBleed 1.0.
Đối với máy chủ 203.159.253.220:
- Ở phiên bản 1.0, tên miền đăng ký là nti.co.th (đại diện cho nhà thầu CNTT).
- Sang phiên bản 2.0, cấu hình gắn với ovec.go.th (Văn phòng Ủy ban Giáo dục Nghề nghiệp Thái Lan), đồng thời tệp CSV ghi nhận có 22 bản ghi người dùng cục bộ.
Đối với máy chủ 211.75.64.189:
- Ở phiên bản 1.0, tên miền đăng ký là jp.ricoh.com (Ricoh Nhật Bản).
- Sang phiên bản 2.0, hệ thống chuyển sang elumax.com (Tập đoàn Elumax) và tệp CSV ghi nhận xuất hiện hai giá trị khác nhau ở hai trường riêng biệt.
Đối với máy chủ 49.229.69.162:
- Ở phiên bản 1.0, tên miền đăng ký là dataworkconnect.com (nhà cung cấp dịch vụ CNTT).
- Sang phiên bản 2.0, cấu hình gắn với ads.payap.ac.th (Đại học Payap), cho thấy sự khác biệt rõ rệt giữa email đăng ký ban đầu và tên miền chính.
Ví dụ trong tài liệu cũng cho thấy tên miền email đăng ký jp.ricoh.com có thể cùng xuất hiện với primary_victim_domain là elumax.com. Các trường này phản ánh những mối quan hệ khác nhau với thiết bị; cần xác minh bằng hồ sơ sở hữu và vận hành thực tế trước khi kết luận về tổ chức bị ảnh hưởng.
6. Chi tiết mạng nội bộ trong bản sao lưu
Các bản ghi LDAP có thể cho biết cả tài khoản lẫn máy chủ mà tài khoản kết nối tới. Những trường như ldap_server, ldap_dn, tên máy chủ thiết bị và trusted-host bổ sung bối cảnh mà danh sách đăng nhập từ bên ngoài không thể hiện. Nhờ đó, đội ngũ an ninh có thể liên kết thông tin xác thực bị lộ với dịch vụ nội bộ phụ thuộc vào chúng.
Bản sao lưu FortiGate đầy đủ còn có thể chứa đối tượng địa chỉ, chính sách truy cập và tuyến đường tĩnh, qua đó làm lộ hệ thống sao lưu, giao diện quản lý hypervisor, máy chủ thư mục hoặc tài sản nội bộ khác. Để đánh giá các rủi ro này, cần xem xét đầy đủ chính sách, đối tượng địa chỉ và bảng định tuyến. Bản xuất được phân tích trong báo cáo này có siêu dữ liệu LDAP và máy chủ, vì vậy cần kiểm tra cả cấu hình nền.
· Hạ tầng định danh: Đối chiếu địa chỉ máy chủ LDAP bị lộ, xác định dịch vụ thư mục liên quan và xem xét lịch sử truy cập.
· Quyền quản trị: Rà soát danh sách quản trị viên, máy chủ đáng tin cậy và các dịch vụ có thể truy cập từ thiết bị.
· Hệ thống sao lưu và ảo hóa: Kiểm tra cấu hình đầy đủ để tìm đối tượng địa chỉ, chính sách truy cập và tuyến đường liên quan; sau đó đánh giá khả năng các danh tính bị lộ truy cập những hệ thống này.
Các bản ghi người dùng cục bộ có 5.042 giá trị phương thức xác thực đa yếu tố (MFA) được nhận diện, gồm 4.114 fortitoken, 909 email, 18 fortitoken-cloud và 1 sms. Có 78.369 mục khác để trống trường two_fa và 3 mục chứa giá trị bất thường. Trường để trống chỉ có nghĩa là thiếu dữ liệu, không chứng minh MFA đã bị tắt. Hiệu quả bảo vệ cần được đánh giá trên thiết bị, đồng thời xem xét nhà cung cấp danh tính bên ngoài và chính sách RADIUS nếu có.
7. Khuyến nghị dành cho các tổ chức bị ảnh hưởng
Các tổ chức cần đối chiếu dữ liệu bị lộ với cấu hình hiện tại và lịch sử thay đổi để xác định rủi ro còn tồn tại. Các biện pháp ưu tiên gồm cập nhật firmware, giới hạn quyền quản trị, thay đổi thông tin xác thực, chấm dứt các phiên truy cập cần thiết, rà soát cấu hình và điều tra dấu hiệu di chuyển ngang trong mạng.
– Rà soát tài khoản quản trị: Đối chiếu tài khoản với danh sách được phê duyệt, lịch sử cấu hình và nhật ký hệ thống. Ưu tiên kiểm tra các tài khoản xuất hiện thường xuyên như fgtsecure, fgtsec, Technical_support, forticloud-sync và forti-auth-tech. Chỉ vô hiệu hóa hoặc xóa tài khoản sau khi xác minh tài khoản không được ủy quyền hoặc không còn cần thiết.
– Thay thông tin xác thực của tài khoản LDAP: Rà soát các tài khoản dịch vụ trong cấu hình LDAP, thay thông tin xác thực còn rủi ro và cập nhật các dịch vụ liên quan. Đồng thời, loại bỏ quyền vượt quá nhu cầu và kiểm tra nhật ký xác thực.
– Kiểm tra VPN và MFA: Rà soát tài khoản người dùng cục bộ, chính sách VPN và các cơ chế xác thực liên quan. Thay thông tin xác thực bị lộ còn hiệu lực, vô hiệu hóa tài khoản không sử dụng và xác minh MFA hoạt động hiệu quả. Với 35.659 bản ghi người dùng cục bộ có trường mật khẩu trống, cần kiểm tra tại hệ thống xác thực nguồn, không suy luận trạng thái tài khoản hoặc MFA chỉ từ trường dữ liệu này.
– Rà soát bí mật HA, RADIUS và SMTP: Kiểm tra và thay thế khi cần các thông tin xác thực dùng cho cụm HA, RADIUS và máy chủ email SMTP; đồng thời phối hợp cập nhật trên các dịch vụ phụ thuộc. Dữ liệu ghi nhận 144 bí mật HA dạng văn bản thuần trong 208 bản ghi HA, cùng 105 bí mật SMTP dạng văn bản thuần trong 176 bản ghi SMTP. Các kết nối này cần được rà soát đồng bộ với quyền truy cập tường lửa và hệ thống thư mục.
8. Tra cứu dữ liệu và phạm vi công khai
Theo tài liệu, Hudson Rock đã lập chỉ mục 101.419 bản ghi tài khoản và thông tin xác thực FortiBleed 2.0 cùng dữ liệu FortiBleed 1.0 trong nền tảng Cavalier. Tổ chức có thể dùng công cụ tra cứu tên miền miễn phí để tìm bản ghi có liên quan, sau đó đối chiếu với kho tài sản, quyền sở hữu tài khoản và lịch sử ứng phó sự cố.
Đối với khách hàng sử dụng dịch vụ làm giàu dữ liệu của Hudson Rock, tài liệu cho biết các bộ dữ liệu thô FortiBleed 2.0, FortiBleed 1.0 và LiteLLM có sẵn qua trung tâm dữ liệu vi phạm của Cavalier.
Theo nội dung công bố, các tổ chức bị ảnh hưởng có thể nhận được những thông tin sau:
· Địa chỉ IP và tên máy chủ chính xác của thiết bị để đối chiếu với kho tài sản nội bộ.
· Tên người dùng và hàm băm bị lộ, các tài khoản quản trị được ghi nhận, những tên tài khoản lặp lại (ví dụ fgtsecure) và thông tin người dùng cục bộ đã khôi phục.
· Thông tin về tài khoản liên kết LDAP của Active Directory, gồm tên tài khoản dịch vụ và mật khẩu dạng văn bản thuần đã khôi phục nếu có.
· Siêu dữ liệu mạng nội bộ sẵn có, gồm địa chỉ máy chủ LDAP và tham chiếu tên miền thư mục.
Kết luận
Tóm lại, FortiBleed 2.0 cung cấp thêm thông tin về mức độ lộ lọt dữ liệu từ cấu hình FortiGate. Ngoài thông tin đăng nhập, dữ liệu còn có thể tiết lộ tài khoản quản trị, bí mật của người dùng cục bộ, thông tin xác thực LDAP, cấu hình SMTP/HA và một phần thông tin về mạng nội bộ.
Tuy nhiên, việc một bản ghi xuất hiện trong dữ liệu không đồng nghĩa với việc tài khoản vẫn hoạt động, có thể đăng nhập hoặc đã bị sử dụng trái phép. Các tổ chức cần xác minh từng thiết bị và tài khoản, thay thế thông tin bí mật còn rủi ro, kiểm tra quyền truy cập và nhật ký hệ thống. Đồng thời, cần phân biệt rõ giữa bằng chứng về dữ liệu bị lộ và bằng chứng về hành vi xâm nhập hoặc truy cập trái phép thực tế.
