Man in the middle (MITM, tấn công xen giữa) là kiểu tấn công mà kẻ gian bí mật đứng giữa bạn và website hay app để đọc trộm hoặc sửa dữ liệu. Đó là câu trả lời ngắn cho câu hỏi man in the middle là gì. Ở Việt Nam, hai tình huống hay gặp nhất là wifi miễn phí ở quán cà phê do người lạ phát, và tin nhắn lừa đảo chen vào hộp tin brandname của ngân hàng. HTTPS chặn được phần lớn các vụ chen giữa trên web. Kẻ gian vì thế nhắm vào lúc bạn bỏ qua cảnh báo của trình duyệt hoặc tự gõ OTP vào trang giả.
Man in the middle là gì theo định nghĩa của NIST?
Man in the middle attack là gì được NIST (Viện Tiêu chuẩn và Công nghệ Quốc gia Mỹ) định nghĩa: cuộc tấn công trong đó kẻ tấn công đứng giữa hai bên đang liên lạc để chặn bắt và/hoặc sửa dữ liệu truyền giữa họ. Hai bên có thể là bạn với ngân hàng, app với máy chủ, hoặc hai người nhắn tin.
Hỏi mitm là gì cũng ra cùng đáp án, vì MITM là viết tắt của man in the middle. Tài liệu bảo mật còn dùng các tên on-path attack (tấn công trên đường truyền), adversary-in-the-middle và manipulator-in-the-middle, tên mà OWASP dùng. Tiếng Việt hay gọi là tấn công xen giữa hoặc tấn công người đứng giữa.
Hình dung người đưa thư bóc thư của bạn, đọc, có khi sửa vài dòng, dán lại rồi mới giao. Người nhận thấy phong bì còn nguyên. Trên mạng, lá thư là dữ liệu, người đưa thư là thiết bị của kẻ gian.
Tấn công MITM diễn ra như thế nào?
Tấn công MITM diễn ra qua 2 bước. Bước đầu, kẻ gian chen vào đường đi của dữ liệu bằng wifi giả, bằng một máy nằm cùng mạng nội bộ hoặc bằng câu trả lời DNS sai. Bước sau, kẻ gian đọc, sửa dữ liệu, hoặc chuyển tiếp nguyên vẹn để cả bạn lẫn website không thấy gì lạ.
Một ví dụ ở quán cà phê: danh sách wifi hiện cả "Cafe_Free_Wifi" và "Cafe_Free_Wifi_5G". Mạng thứ hai do một người ngồi góc quán phát từ laptop. Vào nhầm mạng này, mọi dữ liệu của bạn đi qua máy người đó trước khi ra Internet. Nếu trang bạn mở dùng HTTPS chuẩn, kẻ gian chỉ thấy tên miền, không đọc được nội dung hay mật khẩu. Nếu trình duyệt báo lỗi chứng chỉ mà bạn vẫn bấm vào để tiếp tục, lớp bảo vệ đó mất.
Các dạng tấn công MITM thường gặp
Các dạng tấn công MITM khác nhau ở chỗ kẻ gian đứng ở đâu: phát wifi trùng tên, nằm cùng mạng LAN, sửa câu trả lời DNS, ép trang web về http, dựng trang đăng nhập giả chuyển tiếp sang trang thật, hoặc dựng trạm BTS giả.
| Dạng | Kẻ gian đứng ở đâu | Nhắm vào | Phòng bằng gì |
|---|---|---|---|
| Wifi giả mạo (evil twin) | Điểm phát wifi trùng tên mạng thật | Tài khoản, trang đăng nhập | Hỏi đúng tên wifi, giao dịch bằng 4G |
| Giả mạo ARP | Cùng mạng LAN hoặc cùng wifi | Kéo dữ liệu của máy khác đi qua máy mình | HTTPS, wifi khách tách riêng từng thiết bị |
| Giả mạo DNS | Câu trả lời DNS | Đưa bạn tới trang nhái | Kiểm tra tên miền và ổ khóa, dùng DNS tin cậy |
| Hạ cấp HTTPS (SSL stripping) | Giữa bạn và website | Ép kết nối về http không mã hóa | HSTS, không bỏ qua cảnh báo |
| Trang đăng nhập giả chuyển tiếp | Sau đường link lừa đảo | Mật khẩu, OTP, phiên đăng nhập | Khóa truy cập (passkey), khóa bảo mật |
| Trạm BTS giả | Sóng 2G gần nạn nhân | Tin nhắn giả mạo brandname | Xem mục riêng bên dưới |
Giả mạo ARP xảy ra được vì giao thức ARP, phần ghép địa chỉ IP với địa chỉ MAC trong mạng nội bộ, không có bước xác thực. Máy nào trong mạng cũng trả lời được "IP đó là tôi". Giả mạo DNS là câu trả lời sai cho câu hỏi "tên miền này nằm ở đâu"; cách tra tên miền bình thường có trong bài DNS là gì.
Trang đăng nhập giả chuyển tiếp là dạng người dùng dễ gặp nhất hiện nay. Trang giả gửi ngay mật khẩu và mã OTP bạn gõ sang trang thật, nên kẻ gian vào được tài khoản dù bạn đã bật OTP. Khóa truy cập và khóa bảo mật gắn với tên miền thật, không đăng nhập trên tên miền nhái. So sánh OTP, Smart OTP và khóa truy cập nằm ở bài xác thực 2 yếu tố.
Trạm BTS giả và tin nhắn brandname giả mạo ở Việt Nam
Trạm BTS giả là dạng tấn công MITM trên sóng di động. Mạng 2G không yêu cầu xác thực trạm BTS với điện thoại, nên trạm giả đặt gần nạn nhân có thể chen vào giữa máy và mạng thật, rồi gửi tin nhắn mang tên ngân hàng. Tin giả hiện chung một luồng với tin brandname thật trong máy.
Theo Tạp chí Thị trường Tài chính Tiền tệ (17/08/2024), kẻ gian còn ép máy đang dùng 4G hạ xuống 2G để bắt được máy. Bài này dẫn số liệu cơ quan chức năng công bố: từ đầu năm 2022 đến giữa năm 2023 đã bắt 24 vụ dùng trạm BTS giả phát tin lừa đảo.
- Theo VnEconomy (09/04/2023), Bộ Thông tin và Truyền thông cho biết từ đầu tháng 3/2023 đã phát hiện 10 vụ dùng trạm BTS giả tại 7 tỉnh, thành phố, có Hà Nội và TP. Hồ Chí Minh.
- Ngày 31/10/2023, Trung tâm Tần số vô tuyến điện khu vực II cùng Bộ Công an và Công an TP. Hồ Chí Minh bắt 3 đối tượng dùng trạm BTS giả (Tạp chí Luật sư Việt Nam, 02/11/2023).
- Từ 15/9/2026, các doanh nghiệp viễn thông dừng phát sóng 2G trên toàn quốc, trừ một số vùng đặc biệt như quần đảo Trường Sa, Hoàng Sa và nhà giàn DK (Cổng thông tin điện tử tỉnh Hà Tĩnh, 13/07/2026).
Tắt 2G làm rủi ro từ trạm BTS giả giảm mạnh, nhưng tin nhắn lừa đảo có link vẫn tới bằng đường khác. Cách nhận biết dễ nhất: tin "ngân hàng" có đường link là tin đáng ngờ. Thông tư 50/2024/TT-NHNN (ban hành 31/10/2024) quy định tổ chức tín dụng không gửi SMS, email có đường dẫn tới trang web cho khách hàng, trừ khi khách hàng yêu cầu (Tạp chí Ngân hàng, 10/03/2025). Gặp tin như vậy thì đừng bấm. Hãy gọi số tổng đài in trên thẻ hoặc trong app chính thức của ngân hàng.
Dấu hiệu bạn đang bị tấn công MITM
Dấu hiệu rõ nhất là trình duyệt báo lỗi chứng chỉ trên trang bạn vào hằng ngày, trang quen tự nhiên chỉ còn http, và wifi đòi cài hồ sơ hay chứng chỉ trước khi cho dùng. Nhiều vụ tấn công không để lại dấu hiệu nào. Phòng trước vẫn quan trọng hơn phát hiện.
- Trình duyệt báo kết nối không riêng tư trên trang trước giờ vẫn vào bình thường.
- Trang quen dùng HTTPS bỗng mở bằng http, không còn biểu tượng ổ khóa.
- Wifi công cộng bắt cài chứng chỉ, hồ sơ cấu hình hoặc một app lạ mới cho lướt web.
- Hai mạng wifi trùng tên ở cùng một chỗ.
- Trang đăng nhập đòi OTP trong khi bạn không vừa đăng nhập hay giao dịch.
- Facebook, Gmail hoặc ngân hàng báo có đăng nhập từ IP hay thành phố lạ.
CheckIP hay bất kỳ trang web nào cũng không thể nhìn IP của bạn mà biết kết nối có đang bị chen giữa hay không.
Cách phòng tránh tấn công man in the middle
Cách phòng tránh tấn công man in the middle gồm 2 việc: không để kẻ gian chen vào đường truyền, và không tự tay bỏ lớp bảo vệ HTTPS. Cụ thể là hỏi đúng tên wifi, giao dịch ngân hàng bằng 4G/5G, không bấm qua cảnh báo chứng chỉ và không bấm link trong tin nhắn.
Khi dùng wifi công cộng
- Hỏi nhân viên đúng tên wifi và mật khẩu trước khi kết nối.
- Mở app ngân hàng, ví điện tử bằng 4G/5G thay cho wifi quán.
- Gặp cảnh báo chứng chỉ thì đóng tab, không bấm tiếp tục.
- Tắt tự động kết nối với wifi mở để máy không tự vào mạng trùng tên.
Nếu phải làm việc lâu trên wifi quán, VPN mã hóa toàn bộ dữ liệu từ máy bạn tới máy chủ VPN, người cùng mạng chỉ thấy dữ liệu đã mã hóa. Lợi ích và rủi ro khi fake IP khi dùng wifi quán cà phê có bài riêng. Bật VPN xong, hãy xem IP và nhà mạng bạn đang dùng: phải là IP và nhà cung cấp của VPN, không còn là nhà mạng của quán.
Với điện thoại và tài khoản
- Không bấm link trong SMS, kể cả tin mang tên ngân hàng.
- Không đọc OTP cho bất kỳ ai qua điện thoại.
- Bật xác thực 2 yếu tố cho email và ngân hàng, ưu tiên khóa truy cập hoặc Smart OTP trong app.
- Tắt 2G nếu máy có tùy chọn này. Một số máy Android có công tắc cho phép dùng 2G trong phần cài đặt mạng di động.
Với wifi ở nhà
Đổi mật khẩu trang quản trị modem và mật khẩu wifi khỏi giá trị mặc định, chọn chuẩn bảo mật WPA2 hoặc WPA3. Giả mạo ARP cần kẻ gian ở sẵn trong mạng, nên thỉnh thoảng hãy xem ai đang dùng wifi nhà bạn và chặn thiết bị lạ.
HTTPS có chống được tấn công MITM không?
Có, trong phần lớn trường hợp. HTTPS mã hóa nội dung trang, còn chứng chỉ chứng minh máy chủ đúng là chủ tên miền trên thanh địa chỉ. Lớp mã hóa đó là giao thức TLS, giải thích kỹ trong bài SSL/TLS là gì. Kẻ đứng giữa chỉ thấy bạn vào tên miền nào. Muốn đọc hay sửa nội dung, kẻ gian phải đưa chứng chỉ giả và trình duyệt sẽ báo lỗi.
Lỗ hổng nằm ở người dùng: bấm qua cảnh báo, hoặc cài chứng chỉ lạ do wifi hay app yêu cầu. HSTS (định nghĩa trong RFC 6797, năm 2012) chặn thêm kiểu hạ cấp về http. Website gửi HSTS sẽ báo trình duyệt từ nay chỉ dùng HTTPS với tên miền đó. Điện thoại, laptop cá nhân không nên có chứng chỉ gốc lạ.
Câu hỏi thường gặp
Wifi công cộng có an toàn không?
Đủ an toàn để đọc báo, xem video và lướt các trang HTTPS, vì nội dung đã được mã hóa. Với chuyển khoản, đăng nhập ngân hàng hay ví điện tử, bạn nên dùng 4G/5G.
Dùng 4G có bị tấn công MITM không?
Khó hơn wifi rất nhiều. Mạng 4G và 5G bắt mạng phải chứng minh với điện thoại rằng mình là mạng thật, nên người lạ không dựng trạm giả dễ như dựng wifi giả. Trạm BTS giả ở Việt Nam từng nhắm vào 2G, nên tắt 2G nếu máy cho phép.
Xác thực 2 yếu tố có chống được MITM không?
Chống được một phần. Mã OTP qua SMS hay mã Smart OTP đều là dãy số, bạn gõ vào trang giả thì trang giả chuyển tiếp được trong vài giây. Khóa truy cập (passkey) và khóa bảo mật thì chống được, vì chúng chỉ đăng nhập trên đúng tên miền đã đăng ký.
MITM khác lừa đảo phishing thế nào?
Phishing lừa bạn tự đưa thông tin, thường qua email, tin nhắn hay trang giả. MITM đặt kẻ gian vào giữa một kết nối bạn tưởng là trực tiếp, nhiều khi không có màn hình lừa nào. Trang đăng nhập giả chuyển tiếp là chỗ hai kiểu gặp nhau: link phishing đưa bạn tới trang đứng giữa bạn và dịch vụ thật.
Tấn công MITM có phạm pháp không?
Có. Luật An ninh mạng 2025 (số 116/2025/QH15, hiệu lực từ 01/07/2026), Điều 7 khoản 5 cấm "Xâm nhập trái phép vào mạng viễn thông, mạng máy tính, hệ thống thông tin"; Điều 7 cũng cấm cố ý nghe lén trái phép các cuộc đàm thoại trên không gian mạng. Kiểm thử bảo mật chỉ làm trên hệ thống của mình hoặc khi chủ hệ thống cho phép bằng văn bản.
