Modem/router tại nhà bạn đang là mục tiêu số 1 của hacker năm 2026 — không phải máy tính, không phải điện thoại. FBI vừa phát cảnh báo khẩn về hàng trăm nghìn thiết bị mạng gia đình tại Việt Nam và toàn cầu đã bị nhiễm mã độc AVrecon, KadNap, Chalubo mà chủ nhà hoàn toàn không hay biết.

Khi modem bị chiếm quyền kiểm soát, hacker có thể đọc toàn bộ dữ liệu bạn gửi/nhận (kể cả mật khẩu ngân hàng), chuyển hướng trang web sang trang lừa đảo, biến thiết bị thành zombie tấn công DDoS hoặc đào tiền ảo — trong khi bạn hoàn toàn không biết. Bài viết này cung cấp hướng dẫn 15 bước phòng chống toàn diện, không cần kỹ thuật chuyên sâu, áp dụng được cho mọi modem VNPT, TP-Link, Zyxel, D-Link đang dùng tại Việt Nam.

Từ khóa: modem VNPT bị hack, router iGate bị nhiễm virus 2026, cách bảo mật modem tại nhà, phòng chống mã độc router, kiểm tra modem bị tấn công, bảo vệ wifi gia đình khỏi hacker.

⚠ Cảnh báo bảo mật 2026

Cách Phòng Chống Mã Độc Tấn Công Vào Modem/Router

Hướng dẫn toàn diện bảo vệ thiết bị mạng tại nhà khỏi botnet, malware và hacker — không cần kỹ thuật chuyên sâu

369KThiết bị nhiễm AVrecon

14K+Router nhiễm KadNap 2026

600KRouter bị phá hủy bởi Chalubo

📋 Mục lục bài viết

1. Tại sao modem/router lại bị nhắm mục tiêu?
2. Các loại mã độc đang tấn công router năm 2026
3. Dấu hiệu nhận biết modem bị nhiễm mã độc
4. Các phương thức tấn công phổ biến
5. Hướng dẫn phòng chống chi tiết từng bước (18 bước)
6. Cấu hình DNS bảo mật cho modem
7. Kiểm tra port 22/23 có đang mở ra Internet không
8. Checklist kiểm tra bảo mật định kỳ
9. Phải làm gì khi modem đã bị nhiễm?
10. Câu hỏi thường gặp (FAQ)
11. Kết luận — Tóm tắt hành động ưu tiên

🚨

Cảnh báo khẩn — Tháng 3/2026: FBI phát cảnh báo toàn cầu FBI vừa phát cảnh báo về mạng lưới mã độc AVrecon đang tích cực lây nhiễm hàng trăm nghìn router tại Việt Nam và toàn cầu. Modem VNPT, TP-Link, Zyxel, D-Link đều nằm trong danh sách nguy hiểm. Hãy kiểm tra và bảo vệ thiết bị của bạn ngay hôm nay!

🎯Tại sao modem/router là mục tiêu hàng đầu của hacker?

Không giống như máy tính hay điện thoại, modem/router là thiết bị "im lặng" — nó hoạt động 24/7, ít khi được chú ý và hầu như không có phần mềm diệt virus bảo vệ. Đây chính là lý do hacker ưu tiên tấn công thiết bị này:

📡

Trung tâm lưu thông dữ liệu

Toàn bộ lưu lượng mạng đi qua router. Khi chiếm được, hacker có thể đọc, chặn hoặc sửa đổi mọi dữ liệu của bạn.

RỦI RO CAO

🛡

Không có antivirus

Không thể quét router bằng phần mềm diệt virus thông thường. Mã độc trú ẩn trong firmware và hoạt động hoàn toàn ẩn.

KHÓ PHÁT HIỆN

⏰

Hoạt động 24/7

Router luôn bật, kết nối Internet liên tục, là bàn đạp lý tưởng để tấn công DDoS, đào coin hoặc phát tán spam.

BOTNET READY

🔑

Mật khẩu mặc định yếu

Hầu hết người dùng không đổi mật khẩu admin/admin mặc định. Hacker khai thác điều này trong vài giây với brute-force.

LỖ HỔNG SỐ 1

🦠Các loại mã độc đang hoành hành năm 2026

Tên mã độc	Hình thức tấn công	Thiết bị mục tiêu	Mức độ nguy hiểm
AVrecon	Biến router thành proxy bán cho tội phạm mạng	TP-Link, D-Link, Zyxel, Netgear	RẤT CAO
KadNap	Botnet P2P tấn công DDoS & đánh cắp dữ liệu	Asus router, thiết bị IoT	RẤT CAO
Mirai/Mirai v2	Lây nhiễm qua mật khẩu mặc định, tấn công DDoS	Mọi router, camera IP, IoT	CAO
Switcher	Đổi DNS để chuyển hướng sang trang lừa đảo	TP-Link (qua app Android giả mạo)	TRUNG BÌNH
Chalubo	Phá hủy firmware vĩnh viễn, bricked router	Router ISP gia đình	RẤT CAO
VPNFilter	Gián điệp mạng, đánh cắp thông tin đăng nhập	Mikrotik, Netgear, TP-Link, Linksys	CAO

🔍Dấu hiệu nhận biết modem đã bị nhiễm mã độc

Mã độc trên router thường hoạt động âm thầm, không hiển thị cảnh báo rõ ràng. Tuy nhiên, bạn có thể nhận biết qua các dấu hiệu sau:

Internet chậm bất thườngRouter đang dùng băng thông để tấn công DDoS hoặc gửi spam cho hacker.

Bị chuyển hướng trang webGõ địa chỉ ngân hàng nhưng vào trang lạ — DNS đã bị thay đổi bởi Switcher/malware.

Không vào được trang adminHacker đã đổi mật khẩu admin, khóa bạn ra ngoài thiết bị của chính mình.

Thiết bị lạ trong mạngDanh sách thiết bị kết nối có các MAC address không quen thuộc xuất hiện thường xuyên.

DNS thay đổi tự độngDNS trong trang quản trị modem bị đổi sang IP lạ (không phải 8.8.8.8, 1.1.1.1).

Router nóng bất thườngCPU router đang bị khai thác để đào coin hoặc chạy botnet khiến nhiệt độ tăng cao.

Đèn WAN nháy liên tụcLưu lượng dữ liệu bất thường cao dù không ai đang dùng mạng — dấu hiệu botnet hoạt động.

Nhận email/SMS cảnh báo đáng ngờTài khoản ngân hàng hoặc mạng xã hội bị đăng nhập từ IP lạ — dữ liệu bị đánh cắp qua router.

⚔Các phương thức tấn công phổ biến nhất

🔓

Brute-force mật khẩu

Thử hàng nghìn tổ hợp user/pass mặc định (admin/admin, user/user, 1234...) cho đến khi đăng nhập được vào trang quản trị.

📎

Khai thác lỗ hổng firmware

CVE-2023-33538 (TP-Link, điểm 8.8/10) cho phép thực thi lệnh tùy ý qua HTTP mà không cần mật khẩu. Hàng triệu router chưa vá.

📱

App Android giả mạo

Mã độc Switcher ẩn trong app chia sẻ WiFi giả. Khi cài, nó tấn công router đang kết nối và thay DNS dẫn đến trang phishing.

🌐

Tấn công WAN từ xa

Tính năng Remote Management bật mặc định trên nhiều router cho phép hacker tấn công thẳng từ Internet mà không cần vào mạng nội bộ.

🛡Hướng dẫn phòng chống chi tiết từng bước

Thực hiện theo đúng thứ tự sau để bảo vệ modem/router một cách toàn diện. Tất cả thao tác thực hiện qua giao diện web tại 192.168.1.1 hoặc 192.168.100.1.

Đổi ngay mật khẩu admin & mật khẩu WiFi

Đăng nhập vào trang quản trị modem (192.168.1.1 hoặc 192.168.100.1). Vào mục Management > Account hoặc System > Password. Đặt mật khẩu mới theo công thức: ít nhất 12 ký tự, bao gồm chữ hoa, chữ thường, số và ký tự đặc biệt. Ví dụ mật khẩu mạnh: Vnpt@2026#Secure! Tránh dùng: admin, 12345678, tên nhà, ngày sinh ✅ Đối với modem VNPT iGate: User mặc định là admin/admin. Sau lần đổi đầu tiên, modem sẽ yêu cầu đặt mật khẩu mới bắt buộc.

Thay đổi SSID và Mật khẩu Wi-Fi định kỳ (3 tháng/lần)

Đổi tên WiFi (SSID) và mật khẩu WiFi ít nhất mỗi 3 tháng, đặc biệt sau khi nghi ngờ có người lạ đã từng kết nối. Đặt SSID không để lộ nhà mạng, địa chỉ hay tên cá nhân. Vào Wireless > Basic > SSID để đổi tên, Wireless > Security > WPA Passphrase để đổi mật khẩu. SSID nên đặt: HomeNetwork2026 hoặc WiFi_Private SSID không nên: VNPT-GW040_HieuNguyen, FiberVNN-12ABC Mật khẩu WiFi: ít nhất 16 ký tự — ví dụ: BlueSky@Vnpt#2026 ✅ Với modem VNPT iGate GW040, hỗ trợ cả 2.4GHz và 5GHz — đổi mật khẩu cả 2 băng tần. Đặt mật khẩu khác nhau cho 2 băng tần càng tốt.

Cập nhật Firmware lên phiên bản mới nhất

Firmware cũ chứa các lỗ hổng đã được hacker khai thác rộng rãi (ví dụ CVE-2023-33538 điểm 8.8/10 trên TP-Link). Vào Management > Firmware Upgrade và kiểm tra phiên bản mới. Với modem VNPT, tải firmware mới nhất từ blogvnpt.blogspot.com hoặc liên hệ hotline 1800 1166. ⚠ Luôn sao lưu cấu hình (Export Config) trước khi nâng cấp firmware để tránh mất dữ liệu cài đặt.

Tắt Remote Management — HTTP/HTTPS & TR-069 từ WAN

Đây là nhóm lỗ hổng nguy hiểm nhất, gồm 2 loại cần tắt riêng biệt:

a) Tắt Remote Management (HTTP/HTTPS): Vào Management > Remote Management hoặc Advanced > Remote Access — chọn Disable. Nếu bật, hacker có thể mở giao diện quản trị qua IP WAN của bạn từ bất kỳ đâu trên thế giới.

b) Tắt/Kiểm soát TR-069 (CWMP): TR-069 là giao thức quản lý modem từ xa mà nhà mạng VNPT dùng để hỗ trợ kỹ thuật. Vào Management > TR-069 — kiểm tra URL ACS Server phải đúng là địa chỉ của VNPT (thường kết thúc bằng .vnpt.vn). Nếu thấy URL lạ, đổi lại ngay hoặc liên hệ VNPT. Modem VNPT iGate GW040: Management > Remote Management > Disabled Management > TR-069 > ACS URL: kiểm tra domain .vnpt.vn Cổng Remote Management: không để 80, 443 hoặc 8080 mở ra WAN ⚠ TR-069 cần để VNPT từ xa hỗ trợ kỹ thuật — KHÔNG tắt hoàn toàn, chỉ xác nhận URL ACS là đúng của VNPT. Nếu URL ACS bị đổi sang server lạ, đó là dấu hiệu bị tấn công.

Tắt Telnet (cổng 23) và SSH (cổng 22)

Telnet và SSH là 2 giao thức dòng lệnh cho phép điều khiển modem hoàn toàn — cực kỳ nguy hiểm nếu bị lộ ra Internet. Telnet không mã hóa, SSH tuy an toàn hơn nhưng cũng không nên mở ra WAN.

Vào Management > Access Control hoặc Advanced > System Services:
— Tìm dòng Telnet → chọn Disable
— Tìm dòng SSH → chọn Disable (hoặc chỉ cho phép từ LAN, không từ WAN) Kiểm tra nhanh từ máy tính (cmd/terminal): telnet [IP-WAN-cua-ban] 23 → Nếu kết nối được = NGUY HIỂM ssh admin@[IP-WAN-cua-ban] → Nếu kết nối được = NGUY HIỂM Xem IP WAN tại: Network > WAN Status > IP Address ✅ Nếu bạn không phải kỹ thuật viên mạng chuyên nghiệp, không có lý do gì phải để Telnet/SSH mở. Tắt cả 2 là an toàn nhất.

Tắt UPnP (Universal Plug and Play)

UPnP cho phép các thiết bị trong mạng tự động mở cổng trên router mà không cần xác nhận của bạn. Mã độc khai thác UPnP để tự mở cổng và tạo kênh liên lạc với máy chủ C2 (Command & Control) của hacker.

Vào Advanced > UPnP hoặc NAT > UPnP Settings → chuyển sang Disabled. Modem VNPT iGate GW040: Advanced > NAT > UPnP > Disable --- Hoặc --- Advanced > UPnP Settings > Enable UPnP: OFF ⚠ Một số game online (PS5, Xbox) và ứng dụng như torrent cần UPnP để kết nối tốt hơn. Nếu tắt UPnP mà game lag, hãy thiết lập Port Forwarding thủ công thay vì bật lại UPnP.

Kiểm tra và dọn dẹp Port Forwarding

Port Forwarding (chuyển tiếp cổng) mở các cổng cụ thể từ Internet vào thiết bị trong nhà. Nếu bị tấn công, hacker có thể tạo rule Port Forwarding ẩn để duy trì quyền truy cập ngay cả sau khi bạn đổi mật khẩu.

Vào Advanced > Port Forwarding hoặc NAT > Virtual Server:
— Xem danh sách tất cả rule đang có
— Xóa ngay bất kỳ rule nào bạn không tự tạo
— Đặc biệt cẩn thận với rule mở cổng 23, 22, 80, 443, 8080, 4444, 6666 hướng vào LAN Các cổng đáng ngờ trong Port Forwarding cần xóa: Port 23 → Telnet (hacker điều khiển từ xa) Port 22 → SSH (backdoor) Port 4444 → Metasploit default shell Port 6666 → Botnet C2 thường dùng Port 1080 → SOCKS Proxy (bán quyền truy cập) ✅ Rule Port Forwarding hợp lệ thường chỉ có khi bạn tự tạo cho: camera an ninh, NAS, game server. Nếu không nhớ tạo rule nào, xóa hết và tạo lại từ đầu là an toàn nhất.

Tắt WPS (Wi-Fi Protected Setup)

WPS tiện lợi nhưng có lỗ hổng Pixie Dust Attack cho phép crack mật khẩu WiFi trong chưa đến 30 giây mà không cần biết mật khẩu trước. Lỗ hổng này tồn tại trên hầu hết router WPS thế hệ cũ và chưa có bản vá hoàn toàn.

Vào Wireless > WPS → chọn Disable WPS hoặc WPS: OFF. Modem VNPT iGate GW040: Wireless > WPS Settings > WPS Enable: OFF Xác nhận: nút WPS trên vỏ máy không còn phản hồi khi bấm ✅ Sau khi tắt WPS, kết nối thiết bị bằng cách nhập mật khẩu WiFi thủ công. Mất 10 giây nhập mật khẩu sẽ giúp bạn tránh nguy cơ bị crack trong 30 giây.

Thiết lập Firewall tích hợp — Bật SPI và chặn port nguy hiểm

Firewall tích hợp của modem là lớp phòng thủ quan trọng giúp lọc các gói tin độc hại trước khi vào mạng nội bộ. Cấu hình đúng firewall có thể chặn phần lớn các cuộc tấn công tự động từ Internet.

Vào Security > Firewall:
— Bật SPI Firewall (Stateful Packet Inspection): lọc thông minh dựa trên trạng thái kết nối
— Bật DoS Protection: chặn tấn công từ chối dịch vụ
— Bật Block Anonymous Internet Requests (Ping từ WAN): ẩn sự tồn tại của modem với hacker đang quét mạng
— Thêm rule chặn thủ công: cổng 23 (Telnet), 22 (SSH), 8291 (Winbox), 7547 (TR-069 từ ngoài) Cấu hình Firewall khuyến nghị: [ON] SPI Firewall [ON] DoS/DDoS Protection [ON] Block WAN Ping (ICMP Block) [ON] Block Port Scan Detection [OFF] DMZ Host (trừ khi cần thiết) Rule chặn thủ công (nếu modem hỗ trợ Custom Rules): Block WAN → ANY : Port 23 (Telnet) Block WAN → ANY : Port 22 (SSH) Block WAN → ANY : Port 7547 (TR-069 ngoài VNPT) ✅ Tính năng "Block WAN Ping" đặc biệt quan trọng: khi bật, modem sẽ không phản hồi các lệnh ping từ Internet, khiến các công cụ quét tự động (như Shodan, Masscan) không thể phát hiện thiết bị của bạn.

Cấu hình DNS Filtering — Lọc tên miền độc hại

DNS Filtering (lọc DNS) là biện pháp chủ động ngăn chặn truy cập vào tên miền độc hại ngay tại tầng DNS — trước khi bất kỳ kết nối nào được thiết lập. Hiệu quả với phishing, malware C2, quảng cáo độc hại.

Vào Network > WAN > DNS và thay bằng DNS lọc bảo mật. Xem chi tiết tại Mục 6 bên dưới. Nếu modem hỗ trợ DNS over HTTPS (DoH), hãy bật để mã hóa toàn bộ query DNS. DNS Filtering khuyến nghị: Cloudflare Malware Block: 1.1.1.2 / 1.0.0.2 Quad9 Threat Intel: 9.9.9.9 / 149.112.112.112 Gia đình có trẻ nhỏ: 1.1.1.3 / 1.0.0.3

Kích hoạt mã hóa WiFi WPA3 hoặc WPA2-AES

Vào Wireless > Security và chọn WPA3-Personal (nếu modem hỗ trợ) hoặc WPA2-PSK/AES. Tuyệt đối không dùng WEP hoặc WPA-TKIP vì đã bị crack từ lâu bằng công cụ miễn phí. Ưu tiên theo thứ tự: 1. WPA3-Personal (tốt nhất, 2026) 2. WPA2/WPA3 Mixed Mode (tương thích tốt) 3. WPA2-PSK + AES/CCMP (vẫn an toàn nếu mật khẩu mạnh) X. WPA-TKIP, WEP (KHÔNG DÙNG — đã bị crack) ✅ Modem VNPT iGate GW040-NS (WiFi 6) hỗ trợ WPA3. Kiểm tra tại Wireless > Security Mode > chọn WPA3-SAE.

Kiểm tra danh sách thiết bị kết nối — Bật MAC Filtering

Vào Network Map hoặc Wireless > Client List để xem tất cả thiết bị đang kết nối. Ghi chú MAC address của mọi thiết bị trong nhà. Kích hoạt MAC Filtering / Whitelist để chỉ cho phép MAC đã đăng ký kết nối vào WiFi. ✅ App My VNPT cũng cho phép xem và chặn thiết bị kết nối WiFi từ điện thoại — vào tab FiberVNN > Quản lý thiết bị kết nối.

Khởi động lại modem định kỳ mỗi tuần

Nhiều mã độc như Chalubo không có cơ chế tồn tại dai dẳng — khởi động lại router sẽ xóa sạch chúng khỏi RAM. FBI khuyến nghị khởi động router ít nhất 1 lần/tuần. Bạn có thể lên lịch tự động tại Management > Schedule Reboot hoặc qua app My VNPT. My VNPT App: Dịch vụ > FiberVNN > Đặt lịch khởi động Gợi ý: 3:00 AM thứ Hai hàng tuần

Sao lưu cấu hình và ghi chép thông số bảo mật

Sau khi hoàn tất toàn bộ cấu hình bảo mật, vào Management > Backup Config và tải file cấu hình về máy tính. Lưu vào Google Drive hoặc USB. Ghi chép lại: mật khẩu admin, mật khẩu WiFi, DNS đang dùng, danh sách MAC thiết bị. Khi modem bị reset hoặc hỏng, bạn có thể phục hồi trong vài phút.

Tạo Guest Network riêng cho khách và thiết bị IoT

Đây là lớp phòng thủ chiều sâu quan trọng nhất năm 2026. Thiết bị IoT như TV thông minh, camera IP, loa Alexa/Google Home thường có bảo mật kém và dễ bị nhiễm mã độc. Nếu chúng kết nối cùng mạng với máy tính/điện thoại, một thiết bị bị nhiễm có thể tấn công toàn bộ mạng nội bộ.

Vào Wireless > Guest Network và tạo SSID riêng biệt cho:
— Thiết bị IoT (TV, camera, loa thông minh, bóng đèn WiFi)
— Khách đến nhà
— Thiết bị của trẻ em Cấu hình Guest Network tối ưu: SSID Guest: HomeGuest_2026 (đặt tên khác hẳn mạng chính) Password: đặt riêng, không trùng mạng chính Isolate Client: BẬT (các thiết bị guest không thấy nhau) Access LAN: TẮT (guest không truy cập được mạng nội bộ) Bandwidth Limit: Giới hạn 20-30 Mbps cho mạng guest Modem VNPT iGate GW040: Wireless > Guest Network > Enable Guest Network: ON Wireless > Guest Network > AP Isolation: ON ✅ Với AP Isolation bật: camera IP, TV, thiết bị IoT trên mạng guest không thể "nhìn thấy" laptop, điện thoại của bạn trên mạng chính — dù cùng modem. Đây là cách đơn giản nhất để ngăn lây lan mã độc giữa các thiết bị.

Tắt FTP Server và HTTP File Server tích hợp

Một số modem VNPT và router tầm trung có tính năng USB Sharing — cắm USB vào modem để chia sẻ file qua mạng. Tính năng này kích hoạt FTP Server (cổng 21) và HTTP Server (cổng 80/8080). Nếu mở ra WAN, hacker có thể duyệt và tải toàn bộ nội dung USB của bạn.

Vào Advanced > USB Application hoặc Storage > FTP Server:
— Tắt FTP Server
— Tắt Media Server / DLNA (nếu không dùng)
— Tắt Samba / File Sharing hoặc giới hạn chỉ trong LAN Dịch vụ USB Sharing cần kiểm tra và TẮT nếu không dùng: Port 21 → FTP Server (chia sẻ file qua FTP) Port 139 → NetBIOS / Samba (chia sẻ file Windows) Port 445 → SMB (dễ bị EternalBlue/WannaCry khai thác) Port 8200 → DLNA Media Server Kiểm tra: nmap -p 21,139,445,8200 [IP-WAN-cua-ban] ⚠ Cổng 445 (SMB) đặc biệt nguy hiểm — đây là cổng bị mã độc WannaCry khai thác năm 2017 và vẫn còn bị scan tự động đến tận 2026. Tuyệt đối không để mở ra Internet.

Bật Login Attempt Limit — Khóa tài khoản sau nhiều lần đăng nhập sai

Tính năng Login Attempt Limit (hoặc Account Lockout / Brute Force Protection) tự động khóa IP hoặc tài khoản sau N lần đăng nhập sai liên tiếp. Đây là biện pháp chặn brute-force trực tiếp và hiệu quả nhất.

Vào Management > Access Control hoặc Security > Login Settings:
— Bật Login Attempt Limit
— Đặt ngưỡng: 3–5 lần thất bại → khóa 15–30 phút
— Bật Login Log để ghi lại mọi lần đăng nhập

Nếu modem không có tính năng này, có thể bù đắp bằng:
— Đặt mật khẩu admin rất mạnh (20+ ký tự)
— Tắt hoàn toàn Remote Management từ WAN
— Thay đổi cổng HTTP admin sang cổng không phổ biến (VD: 8765 thay vì 80) Cấu hình Login Protection khuyến nghị: Max Login Attempts: 3 lần Lockout Duration: 30 phút Lockout Scope: IP nguồn (không khóa toàn bộ) Alert: Ghi vào System Log Kiểm tra log đăng nhập: Management > System Log > Filter: "login failed" Nếu thấy hàng trăm dòng "login failed" → đang bị brute-force! ✅ Modem VNPT iGate GW040-NS hỗ trợ tính năng này tại: Management > Account > Login Security. Nếu không tìm thấy trong firmware cũ, hãy cập nhật firmware để có tính năng mới nhất.

🌍Cấu hình DNS bảo mật cho modem

Thay DNS mặc định của nhà mạng bằng DNS bảo mật giúp chặn các tên miền độc hại, phishing và theo dõi. Vào Network > WAN > DNS và nhập các địa chỉ sau:

🔐 DNS Bảo Mật Khuyến Nghị 2026

Cloudflare (Nhanh nhất)

1.1.1.1 / 1.0.0.1

Chặn malware & phishing, tốc độ cao nhất toàn cầu

Google Public DNS

8.8.8.8 / 8.8.4.4

Ổn định, phổ biến, phù hợp mọi thiết bị

Cloudflare For Families

1.1.1.3 / 1.0.0.3

Chặn thêm nội dung người lớn, phù hợp gia đình có trẻ nhỏ

Quad9 (Bảo mật cao)

9.9.9.9 / 149.112.112.112

Chặn hơn 100.000 tên miền độc hại tự động mỗi ngày

🔌Kiểm tra Port 22/23 có đang mở ra Internet không

Đây là bước kiểm tra bảo mật chủ động — xác minh từ phía Internet xem modem của bạn có đang "phơi" các cổng nguy hiểm ra ngoài hay không. Thực hiện ngay cả khi bạn nghĩ đã tắt đủ rồi, vì nhiều firmware có bug làm tính năng vẫn hoạt động dù đã Disable trong giao diện.

⚠

Tại sao port 22 và 23 lại nguy hiểm? Cổng 23 (Telnet) truyền dữ liệu hoàn toàn không mã hóa — mật khẩu admin hiện rõ dưới dạng plain text. Cổng 22 (SSH) tuy mã hóa hơn nhưng vẫn bị brute-force liên tục bởi bot tự động. Mã độc Mirai, AVrecon và hàng chục botnet khác quét Internet 24/7 tìm 2 cổng này để xâm nhập.

Danh sách cổng nguy hiểm cần kiểm tra

Telnet

Port 23

Giao thức quản trị dòng lệnh cũ, không mã hóa. Mã độc Mirai quét toàn thế giới tìm cổng này 24/7.

CỰC KỲ NGUY HIỂM

SSH

Port 22

Quản trị từ xa có mã hóa. An toàn hơn Telnet nhưng vẫn bị brute-force hàng triệu lần/ngày từ botnet toàn cầu.

NGUY HIỂM CAO

TR-069 / CWMP

Port 7547

Giao thức quản lý modem của ISP. Lỗ hổng Misfortune Cookie (2014) vẫn còn tồn tại trên firmware cũ.

NGUY HIỂM

HTTP/Admin WAN

Port 80 / 8080

Giao diện quản trị web mở ra Internet. Nếu mở, bất kỳ ai cũng có thể thấy trang đăng nhập modem của bạn.

RẤT NGUY HIỂM

Cách 1: Dùng công cụ online kiểm tra từ phía Internet (Đơn giản nhất)

Các website sau kiểm tra cổng từ phía Internet — tức là kiểm tra đúng như hacker nhìn thấy modem của bạn. Không cần cài phần mềm:

💻 Công cụ kiểm tra port online uy tín

🔗 Shodan InternetDB Mở công cụ Nhập IP WAN của bạn — xem ngay port nào đang mở

🔗 CanYouSeeMe.org Mở công cụ Kiểm tra từng port — nhập 23, 22, 80, 7547 lần lượt

🔗 YouGetSignal Port Checker Mở công cụ Kiểm tra IP WAN + số cổng bất kỳ

ℹ Cách lấy IP WAN: Đăng nhập 192.168.1.1 > Network > WAN Status > IP Address. Hoặc truy cập whatismyip.com từ thiết bị trong mạng nhà bạn.

Cách 2: Kiểm tra bằng lệnh từ máy tính (Nâng cao)

Dùng terminal (macOS/Linux) hoặc PowerShell/CMD (Windows) để kiểm tra nhanh từ bên trong mạng LAN:

Windows — Dùng PowerShell hoặc CMD

# Lấy IP WAN (xem dòng ExternalAddress) Invoke-RestMethod -Uri "https://api.ipify.org" # Kiểm tra port 23 Telnet (từ bên ngoài dùng IP WAN) Test-NetConnection -ComputerName [IP-WAN] -Port 23 Test-NetConnection -ComputerName [IP-WAN] -Port 22 Test-NetConnection -ComputerName [IP-WAN] -Port 7547 # Kết quả: TcpTestSucceeded = False --> AN TOÀN (port đóng) # TcpTestSucceeded = True --> NGUY HIỂM (port đang mở!)

macOS / Linux — Dùng Terminal

# Lấy IP WAN curl ifconfig.me # Kiểm tra port bằng nc (netcat) — timeout 3 giây nc -zv -w3 [IP-WAN-cua-ban] 23 # Telnet nc -zv -w3 [IP-WAN-cua-ban] 22 # SSH nc -zv -w3 [IP-WAN-cua-ban] 7547 # TR-069 # Kết quả: "Connection refused" hoặc timeout --> AN TOÀN # "Connection to ... succeeded" --> NGUY HIỂM! # Hoặc dùng nmap (cần cài đặt): nmap -p 22,23,80,443,7547,8080 [IP-WAN-cua-ban]

🚨

Phát hiện port 23 hoặc 22 đang OPEN — phải làm gì ngay? 1. Đăng nhập 192.168.1.1 ngay lập tức > Tắt Telnet/SSH trong Management > Access Control. 2. Tắt Remote Management trong Advanced > Remote Management. 3. Đổi mật khẩu admin ngay. 4. Kiểm tra System Log xem có đăng nhập lạ nào không. 5. Nếu vẫn còn mở sau khi tắt — firmware có thể đã bị nhiễm, cần Hard Reset và cập nhật firmware.

✅Checklist bảo mật modem định kỳ

📋 Checklist bảo mật toàn diện — Kiểm tra hàng tháng

✓

Đổi mật khẩu admin và WiFi (3 tháng/lần)Mật khẩu tối thiểu 12 ký tự. Đổi SSID không để lộ tên nhà mạng hay địa chỉ.

✓

Kiểm tra và cập nhật FirmwareSo sánh phiên bản hiện tại với firmware mới nhất tại blogvnpt.blogspot.com. Cập nhật ngay nếu có bản mới.

✓

Xác nhận DNS không bị thay đổiVào Network > WAN và kiểm tra DNS Primary/Secondary. Phải đúng với DNS bảo mật bạn đã cài đặt.

!

Remote Management (HTTP/HTTPS) đang TẮT?Xác nhận tính năng quản trị từ xa đang Disabled. Nếu bật là cổng vào cho hacker từ bất kỳ đâu.

!

Telnet (port 23) và SSH (port 22) đang TẮT?Vào Management > Access Control, xác nhận cả 2 dịch vụ đang Disabled hoặc chỉ cho phép từ LAN.

!

UPnP đang TẮT?Vào Advanced > UPnP, đảm bảo đang Disabled để ngăn mã độc tự mở cổng trên router.

!

WPS đang TẮT?Vào Wireless > WPS, đảm bảo đang Disabled. Bấm nút WPS vật lý không phản hồi là đã tắt thành công.

✓

Kiểm tra Port Forwarding không có rule lạVào NAT > Port Forwarding, xem danh sách rule. Xóa ngay bất kỳ rule nào bạn không tự tạo.

✓

TR-069 ACS URL đúng domain .vnpt.vn?Vào Management > TR-069 và xác nhận URL ACS Server kết thúc bằng .vnpt.vn. Nếu là URL lạ — bị tấn công!

✓

Kiểm tra port 22/23 từ InternetDùng canyouseeme.org hoặc Test-NetConnection để xác minh cổng 23 và 22 đang CLOSED từ phía WAN.

✓

Xem danh sách thiết bị kết nốiKiểm tra Wireless > Client List. Phát hiện và chặn ngay MAC address lạ không nhận ra.

✓

SPI Firewall và Block WAN Ping đang BẬT?Vào Security > Firewall, đảm bảo SPI và Block Anonymous Ping đang Enabled.

✓

Sao lưu cấu hình modemExport file cấu hình (Management > Backup Config) và lưu vào máy tính/cloud để phục hồi khi cần.

✓

Kiểm tra System Log bất thườngXem System Log tìm cảnh báo đăng nhập thất bại liên tục — dấu hiệu đang bị brute-force tấn công.

✓

Guest Network bật cho IoT và khách?Thiết bị IoT (TV, camera, loa thông minh) nên dùng mạng guest riêng biệt với AP Isolation bật — không cho truy cập mạng chính.

!

FTP Server và USB Sharing đang TẮT?Vào Advanced > USB Application, tắt FTP Server, Samba, DLNA nếu không dùng. Cổng 21, 139, 445 không nên mở ra WAN.

✓

Login Attempt Limit đang BẬT?Vào Management > Account > Login Security. Đặt khóa tài khoản sau 3-5 lần đăng nhập sai. Kiểm tra System Log có dòng "login failed" bất thường.

🔧Phải làm gì khi modem đã bị nhiễm mã độc?

Bước 1: Ngắt kết nối Internet ngay lập tức

Rút dây WAN (cáp quang/cáp đồng) khỏi modem để ngăn hacker tiếp tục điều khiển thiết bị và ngăn router gửi dữ liệu tấn công ra ngoài. Thông báo cho các thiết bị trong nhà không sử dụng Internet tạm thời.

Bước 2: Hard Reset — Khôi phục về cài đặt gốc

Dùng tăm hoặc kẹp giấy, giữ nút Reset ở mặt sau modem trong 10-15 giây cho đến khi tất cả đèn nháy đồng thời. Thao tác này xóa sạch toàn bộ cấu hình và mã độc trong bộ nhớ flash. Với các mã độc như Chalubo đã ghi đè firmware, cần liên hệ kỹ thuật VNPT để thay modem mới. ⚠ Hard reset sẽ mất toàn bộ cài đặt WiFi, PPPoE. Chuẩn bị thông tin tài khoản PPPoE từ hợp đồng VNPT hoặc gọi 1800 1166.

Bước 3: Cập nhật firmware trước khi cấu hình lại

Trước khi kết nối Internet và cấu hình lại, tải firmware mới nhất từ thiết bị khác (điện thoại dùng 4G) và nâng cấp qua USB hoặc giao diện local. Đây là bước quan trọng để vá các lỗ hổng đã bị khai thác.

Bước 4: Cấu hình lại bảo mật theo checklist ở trên

Sau khi reset và cập nhật firmware, thực hiện toàn bộ các bước bảo mật trong Phần 5. Đặt mật khẩu mới hoàn toàn khác mật khẩu cũ, đổi DNS, tắt Remote Management, tắt WPS trước khi cắm dây WAN lại.

Bước 5: Quét virus toàn bộ thiết bị trong mạng

Mã độc trên router có thể đã lây sang máy tính, điện thoại. Quét toàn bộ thiết bị bằng phần mềm diệt virus uy tín (Kaspersky, Malwarebytes, BKAV). Đổi mật khẩu tất cả tài khoản quan trọng (ngân hàng, email, mạng xã hội) từ thiết bị đã được làm sạch.

❓Câu hỏi thường gặp (FAQ)

QTôi có cần đổi modem VNPT mới không, hay chỉ cần cấu hình lại?

Trong hầu hết trường hợp, cấu hình lại bảo mật theo hướng dẫn này là đủ — không cần đổi modem. Chỉ cần đổi modem khi: (1) firmware đã bị mã độc Chalubo ghi đè và không thể flash lại, (2) modem quá cũ không còn nhận bản vá bảo mật từ nhà sản xuất (trên 5–7 năm tuổi), (3) phần cứng hỏng sau khi bị tấn công. Hãy liên hệ VNPT qua hotline 1800 1166 để được tư vấn miễn phí trước khi quyết định đổi.

QHard reset modem có mất tài khoản PPPoE và cấu hình VNPT không?

Có — Hard Reset (giữ nút Reset 10-15 giây) sẽ xóa toàn bộ cấu hình bao gồm tên PPPoE, mật khẩu PPPoE, cài đặt WiFi, và các tùy chỉnh khác. Để chuẩn bị trước: (1) Vào Management > Backup Config và lưu file cấu hình, (2) Chụp ảnh màn hình các trang cài đặt quan trọng, (3) Liên hệ VNPT để lấy lại thông tin PPPoE nếu không có. Sau reset, bạn cần nhập lại toàn bộ từ đầu hoặc restore từ file backup.

QModem VNPT iGate GW040 có dễ bị hack qua WiFi không?

Modem iGate GW040 thế hệ mới hỗ trợ WPA3 và có nhiều cải tiến bảo mật so với thế hệ cũ. Tuy nhiên, nguy cơ vẫn tồn tại nếu: mật khẩu WiFi yếu, WPS đang bật, hoặc firmware chưa cập nhật. Nguy cơ lớn nhất không phải từ WiFi mà từ WAN (Internet) — qua Remote Management, Telnet, TR-069. Tắt các dịch vụ này và cập nhật firmware là biện pháp quan trọng nhất.

QNếu đổi DNS sang Cloudflare/Google thì tốc độ Internet có bị ảnh hưởng không?

Ngược lại — đổi sang Cloudflare (1.1.1.1) hoặc Google (8.8.8.8) thường tăng tốc độ truy cập web do các DNS server này có hạ tầng toàn cầu và thời gian phản hồi thấp hơn DNS mặc định của VNPT. Cloudflare 1.1.1.1 hiện là DNS nhanh nhất thế giới theo benchtest độc lập năm 2026. Tốc độ tải trang có thể tăng 5–20% tùy khu vực.

QLàm sao biết modem đang chạy firmware mới nhất hay cũ?

Vào Management > About hoặc Status > Device Info để xem phiên bản firmware hiện tại. Sau đó truy cập blogvnpt.blogspot.com và tìm bài tổng hợp firmware tương ứng với model modem của bạn để so sánh. Nếu version thấp hơn, hãy tải và cập nhật. Với modem VNPT, bạn cũng có thể gọi 1800 1166 yêu cầu kỹ thuật viên VNPT cập nhật firmware từ xa qua TR-069.

QCó cần dùng VPN trên router để bảo mật thêm không?

VPN trên router (VPN client mode) giúp mã hóa toàn bộ lưu lượng mạng — hữu ích cho quyền riêng tư nhưng không thay thế được các biện pháp bảo mật router đã đề cập. VPN chỉ bảo vệ dữ liệu truyền ra Internet, không bảo vệ giao diện quản trị modem khỏi brute-force. Nên áp dụng đầy đủ 18 bước trong bài trước, sau đó mới xem xét thêm VPN nếu cần quyền riêng tư cao hơn.

🎯Kết luận — Hành động ưu tiên ngay hôm nay

✔ 5 việc cần làm NGAY trong 15 phút tới

1

Đổi mật khẩu admin ngay: Mở 192.168.1.1, đăng nhập và đổi mật khẩu admin khỏi admin/admin. Đây là hành động quan trọng nhất, mất chưa đến 2 phút.

2

Kiểm tra DNS có bị thay đổi không: Vào Network > WAN và xem Primary DNS. Nếu không phải 8.8.8.8, 1.1.1.1 hoặc DNS của VNPT — đổi ngay về Cloudflare 1.1.1.1.

3

Tắt Remote Management và WPS: 2 tính năng này thường bật mặc định và là cửa vào phổ biến nhất của hacker. Tắt ngay trong Advanced > Remote Management và Wireless > WPS.

4

Kiểm tra port 23 có mở không: Truy cập canyouseeme.org, nhập port 23 và IP WAN. Nếu "Success" — đang có vấn đề nghiêm trọng, cần xử lý ngay theo Phần 8.

5

Cập nhật firmware: Vào Management > Firmware Upgrade hoặc tải firmware mới nhất tại blogvnpt.blogspot.com. Firmware mới vá hàng chục lỗ hổng bảo mật mà firmware cũ đang để ngỏ.

Bảo mật modem không phải làm một lần rồi thôi — đó là thói quen định kỳ. Hãy lưu lại Checklist 17 mục trong bài và kiểm tra mỗi tháng một lần. Chỉ mất 10–15 phút mỗi tháng nhưng có thể bảo vệ toàn bộ dữ liệu cá nhân, tài khoản ngân hàng và sự riêng tư của cả gia đình bạn. 

1

[Update] Tổng hợp tất cả Firmware modem iGate - Mesh - ZTE - DrayTek - Dasan - SmartBox VNPT

Tải firmware mới nhất để vá lỗ hổng bảo mật

2

Sửa lỗi modem VNPT không vào được 192.168.1.1 — nguyên nhân và cách xử lý

Hướng dẫn truy cập trang quản trị để cấu hình bảo mật

3

Hướng dẫn chi tiết sử dụng App My VNPT

Quản lý, chặn thiết bị lạ và đặt lịch khởi động modem từ điện thoại

4

Tính năng Quản lý trẻ nhỏ (Parental Control) trên modem iGATE 040 VNPT

Chặn nội dung độc hại và kiểm soát truy cập Internet cho gia đình

🔔 Modem của bạn có đang bị tấn công không?

Kiểm tra ngay DNS tại 192.168.1.1 và đối chiếu với hướng dẫn trên. Nếu cần hỗ trợ firmware VNPT mới nhất hoặc tư vấn bảo mật, ghé thăm blogvnpt.blogspot.com — nơi cập nhật firmware và thủ thuật mạng VNPT nhanh nhất Việt Nam!

Xem thêm bài viết hữu ích