Hãy tưởng tượng bạn đang quản lý một mạng lưới doanh nghiệp với hàng trăm thiết bị TP-Link Omada, và một ngày đẹp trời, bạn phát hiện ra rằng tất cả đều có thể bị chiếm quyền điều khiển từ xa chỉ bằng số serial – thứ có thể dễ dàng đoán được. Đây không phải kịch bản giả định. Đó là hiện thực được phơi bày tại Black Hat USA 2026, khi một nhóm nghiên cứu công bố 15 lỗ hổng trong hệ thống Omada, trong đó có hai lỗi không thể vá được vì chúng nằm sâu trong phần cứng và quy trình sản xuất.
Bẫy "dễ dùng, rẻ tiền" – đó là câu chuyện mà TP-Link đã bán cho hàng triệu doanh nghiệp vừa và nhỏ (SMB) tại Mỹ. Với 30-50% thị phần gia đình và SMB, hơn 70 triệu lượt tải ứng dụng Omada, và hơn 1.800 bộ điều khiển lộ ra Internet, TP-Link là một gã khổng lồ thầm lặng. Nhưng giống như nhiều dự án DeFi từng hứa hẹn lợi nhuận cao mà quên mất bảo mật, TP-Link đã đánh đổi an toàn để lấy sự tiện lợi. Zero-Touch Provisioning (ZTP) – tính năng cho phép kỹ thuật viên triển khai thiết bị chỉ bằng cách quét mã vạch – hóa ra lại là cửa ngõ cho kẻ tấn công.
Và nghệ thuật đọc on-chain (trong thế giới vật lý) – tôi gọi đó là "đọc mã nguồn của phần cứng". Khi phân tích kiến trúc bảo mật của Omada, tôi thấy một bức tranh giống hệt những gì tôi từng gặp trong các dự án blockchain non trẻ: thông tin xác thực mặc định admin/admin, mật khẩu được lưu trữ dưới dạng MD5 không muối, khóa AES cứng với chuỗi "_who are you?", và tệ nhất là chứng chỉ TLS dùng chung cho toàn bộ dòng sản phẩm – từ camera VIGI, VPN Festa, đến thiết bị thông minh Tapo/Kasa. Đây không phải lỗi riêng lẻ, mà là sự sụp đổ của toàn bộ hệ thống bảo mật.
Core của vấn đề nằm ở thiết kế trust anchor. Thiết bị được nhận dạng và quản lý chỉ dựa trên số serial – một chuỗi số có thể đoán trước. Quá trình ZTP tồn tại race condition cho phép kẻ tấn công chặn giữa. Và tệ hơn, hai lỗ hổng không thể vá được vì chúng yêu cầu thay đổi quy trình sản xuất (in serial mới, đóng gói mới) – một việc mà TP-Link chỉ hoàn thành vào Q3 2026, tức hơn một năm sau khi phát hiện. Hàng chục triệu thiết bị đã bán ra sẽ mãi mãi là "cửa sau vĩnh viễn". Điều này giống như một smart contract có lỗi không thể nâng cấp – nhưng ở đây, nó là hàng triệu bộ định tuyến đang hoạt động trong các văn phòng, bệnh viện, trường học.
Contrarian angle: Bạn nghĩ rằng mua thiết bị rẻ hơn là tiết kiệm? Thực tế, chi phí ẩn của việc thay thế toàn bộ hạ tầng mạng khi phát hiện lỗ hổng vĩnh viễn có thể lớn hơn nhiều lần so với việc đầu tư vào giải pháp an toàn ngay từ đầu. TP-Link đã tạo ra một “khoản nợ kỹ thuật” mà người dùng cuối phải gánh chịu.
Takeaway: Câu chuyện của TP-Link không chỉ là một bài học về bảo mật phần cứng. Đó là lời cảnh báo cho toàn bộ ngành công nghiệp IoT và cloud-managed networking: khi bạn chọn tốc độ và giá rẻ, bạn đang đặt cược vào niềm tin. Và niềm tin, như tôi đã thấy trong nhiều vụ sập DeFi, là thứ mong manh nhất. Liệu TP-Link có thể giữ được thị trường Mỹ khi Bộ Thương mại Mỹ đã kết luận rủi ro an ninh quốc gia? Hay đây sẽ là cuộc tái phân bổ thị trường lớn nhất kể từ khi Cisco thống trị?