---
title: "Norsk Hydro 2019: tấn công mạng, chạy thủ công, truyền thông"
description: "Norsk Hydro bị tấn công mạng ngày 19/3/2019 và chạy bằng quy trình thủ công. Báo cáo thường niên, nghiên cứu ca, năm quá trình độ tin cậy cao và bảng kiểm."
url: "https://staging.khoi.co.uk/blog/norsk-hydro-van-hanh-thu-cong"
lang: vi
author: "Lê Quốc Khôi"
date: 2026-11-03
updated: 2026-11-03
topics: ["Chuỗi cung ứng & vận hành"]
tags: ["Norsk Hydro", "Tấn công mạng", "Truyền thông khủng hoảng", "Tổ chức độ tin cậy cao"]
---

# Norsk Hydro bị tấn công mạng: chạy thủ công và nói thật mỗi ngày

## Tóm tắt nhanh

- Ngày 19/3/2019, Norsk Hydro bị tấn công mạng lan khắp tổ chức; Extruded Solutions chịu thiệt hại nặng nhất, còn các mảng khác sản xuất gần bình thường nhờ quy trình thủ công tốn nhiều công sức. Chi phí ước tính 650 đến 750 triệu NOK (Norsk Hydro ASA, 2020).
- Nghiên cứu ca của Salviotti và cộng sự (2023) ghi nhận ba điều: nguyên tắc truyền thông chốt trong buổi sáng đầu tiên, cập nhật nội bộ hằng ngày lúc 9 giờ kể cả khi chưa có tin mới, và việc dùng WhatsApp, áp phích viết tay khi hệ thống chính hỏng (Salviotti et al., 2023, pp. 6072-6073).
- Trước cuộc tấn công, Hydro chưa chuẩn bị tốt: sao lưu chưa đủ, an ninh thiết bị đầu cuối yếu, an ninh mạng bị xem nhẹ (Salviotti et al., 2023, p. 6072).
- Hầu hết chi tiết về cách ứng phó đến từ lời kể của ba quản lý của Hydro; không có nguồn độc lập nào trong thư viện kiểm lại. Việc ghép với năm quá trình độ tin cậy cao là cách đọc của tôi.
- Bảng kiểm cho công ty nhỏ cuối bài là suy luận của tôi, không phải kết quả nghiên cứu.

Tháng 3 năm 2019, một tập đoàn nhôm Na Uy với hơn 36.000 nhân viên cuối năm đó bị mã độc làm tê liệt máy tính (Norsk Hydro ASA, 2020). Câu hỏi cho chủ doanh nghiệp: nếu hệ thống của bạn mất một tuần, cái gì chạy bằng tay được, và ai nói gì với khách vào giờ nào? Bài này đọc hai nguồn công khai về Hydro, báo cáo thường niên 2019 và một nghiên cứu ca, rồi đặt chúng cạnh [năm quá trình của tổ chức độ tin cậy cao](https://staging.khoi.co.uk/framework/high-reliability-organising).

## Điều gì đã xảy ra, theo báo cáo của chính Hydro?

Ngày 19/3/2019, Hydro hứng một cuộc tấn công mạng quy mô lớn. Cuộc tấn công ảnh hưởng toàn tổ chức; mảng Extruded Solutions chịu khó khăn vận hành và thiệt hại tài chính lớn nhất. Bốn mảng còn lại (Bauxite & Alumina, Primary Metal, Rolled Products, Energy) vẫn sản xuất gần bình thường, nhưng dựa trên quy trình thủ công và cách xử lý lách hệ thống tốn nhiều công sức, theo báo cáo (Norsk Hydro ASA, 2020). Tổng chi phí ước tính là 650 đến 750 triệu NOK; Hydro có bảo hiểm an ninh mạng và ghi nhận 216 triệu NOK bồi thường trong năm 2019 (Norsk Hydro ASA, 2020).

Việc khôi phục: mọi máy tính và máy chủ được rà soát, làm sạch và khôi phục theo hướng dẫn nghiêm ngặt; máy bị mã hoá được dựng lại từ bản sao lưu. Sau đó Hydro tổ chức lại đội an ninh và đào tạo nhân viên, nhưng báo cáo nói các biện pháp này vẫn có thể không đủ để ngăn tấn công (Norsk Hydro ASA, 2020).

## Chạy thủ công trông thế nào trong thực tế?

Nghiên cứu ca của Salviotti và cộng sự dựa vào lời kể của người phụ trách truyền thông, giám đốc an ninh thông tin và giám đốc thông tin của Hydro, trích từ một buổi trực tuyến và hai podcast; các tác giả không phỏng vấn được ban điều hành (Salviotti et al., 2023, p. 6071). Từ nguồn đó:

- Cuộc tấn công được phát hiện ở Mỹ ngay sau nửa đêm, rồi lan sang Hungary. Khoảng 3 giờ sáng, trưởng bộ phận hạ tầng tự quyết định tắt 23.000 máy tính và 3.000 máy chủ (Salviotti et al., 2023, p. 6072).
- Nhân viên đưa các hệ thống về sản xuất thủ công, và nhiều dây chuyền phải dừng (Salviotti et al., 2023, p. 6071). Hai ngày sau, theo bài, Extruded Solutions chạy gần 100% và Rolled Products khoảng 50% công suất (Salviotti et al., 2023, p. 6072); báo cáo thường niên không có số theo ngày và nói Extruded Solutions chịu nặng nhất, nên hai nguồn không khớp, và tôi không dựa vào các tỷ lệ này.
- Khi mất hết kênh liên lạc thông thường, nội bộ dùng WhatsApp và áp phích viết tay, bên ngoài dùng Facebook và Twitter. Chiến dịch CyberHeroes của Hydro có cả nhân viên cũ được gọi về giúp dựng vận hành thủ công, và một nhân viên tên Jan, vốn ghét máy tính, đã in sẵn toàn bộ đơn hàng và thông số trong những năm làm ở Hydro nên có mọi thứ trên giấy (Salviotti et al., 2023, p. 6073).

Điều cần nhớ là về an ninh mạng, Hydro đã không chuẩn bị tốt. Nghiên cứu ghi nhận trước 2019 hãng thiếu biện pháp bảo mật, an ninh thiết bị đầu cuối yếu, kiến trúc chưa tối ưu, sao lưu dữ liệu chưa đủ, và ban điều hành xem nhẹ an ninh mạng (Salviotti et al., 2023, p. 6072). Riêng truyền thông thì khác: người phụ trách an ninh thông tin nói truyền thông là một phần của đội khủng hoảng, và đó là việc họ đã chuẩn bị và tập trước (Salviotti et al., 2023, p. 6073).

## Truyền thông minh bạch: Hydro làm gì, và theo lời ai?

Theo người phụ trách truyền thông, lúc 7 giờ sáng ngày xảy ra, nhóm chốt các nguyên tắc "chủ động, minh bạch và thường xuyên", ban điều hành đăng thông báo cho sở giao dịch trước 9 giờ, và đến 3 giờ chiều đã có buổi trực tuyến đầu tiên với bên ngoài (Salviotti et al., 2023, p. 6072). Trong nội bộ, mỗi sáng 9 giờ có một buổi cập nhật, kể cả khi không có tin mới; nhân viên được đặt câu hỏi; buổi họp được ghi lại và đưa lên ứng dụng tin tức để nhân viên ở các múi giờ khác xem. Người phụ trách truyền thông nhấn mạnh ngôn ngữ giản dị và cả sự hài hước (Salviotti et al., 2023, p. 6073). Với khoảng 30.000 khách hàng, họ chọn cập nhật thường xuyên và trực tiếp; người này nói khách hài lòng vì được báo từ đầu, nên Hydro "mất rất ít khách" (Salviotti et al., 2023, p. 6073).

Aoyama và cộng sự (2019) cũng phân tích ca này. Phần tóm tắt cho biết Hydro kết hợp phương tiện truyền thống và mạng xã hội, cập nhật thường xuyên về cuộc tấn công, và nhóm tác giả gợi ý tính nhanh, minh bạch và củng cố tích cực là yếu tố thành công (Aoyama et al., 2019).

Cần nhìn vào độ mạnh của bằng chứng. Cả hai nguồn dựa chủ yếu vào lời kể và thông tin công khai của chính Hydro; câu "mất rất ít khách" là lời của người phụ trách truyền thông, và các nguồn tôi đọc không có số liệu khách hàng độc lập. Nghiên cứu ca còn nói giá cổ phiếu tăng sau sự cố, dẫn một bài báo (Salviotti et al., 2023, p. 6071), nhưng báo cáo thường niên ghi cổ phiếu đóng cửa năm 2019 ở 32,64 NOK, lợi suất chưa tính cổ tức âm 17%, trong năm còn có hạn chế sản xuất ở Alunorte và thị trường suy giảm (Norsk Hydro ASA, 2020); tôi không dùng giá cổ phiếu làm bằng chứng cho truyền thông.

## Năm quá trình của tổ chức độ tin cậy cao áp vào ca này ra sao?

Khung trên site nêu năm quá trình chánh niệm tập thể mà Weick và cộng sự (1999) tả cho tổ chức nơi sai sót nhỏ có thể gây thảm hoạ [Tổ chức độ tin cậy cao (năm quá trình)](https://staging.khoi.co.uk/framework/high-reliability-organising). Tôi chưa đọc bài gốc, nên bảng dưới là cách đọc của tôi, ghép từng quá trình với chi tiết có nguồn.

> **Hình:** [Tổ chức độ tin cậy cao (năm quá trình)](https://staging.khoi.co.uk/framework/high-reliability-organising) (vẽ lại theo framework trong thư viện của site)

| Quá trình | Chi tiết trong ca Hydro | Nhận xét của tôi |
|:--|:--|:--|
| Bận tâm với thất bại | Trước 2019: an ninh mạng bị xem nhẹ, sao lưu chưa đủ (Salviotti et al., 2023, p. 6072). Sau đó: tổ chức lại đội an ninh, đào tạo nhân viên (Norsk Hydro ASA, 2020), đào tạo bắt buộc cho 11.000 nhân viên (Salviotti et al., 2023, p. 6074) | Yếu trước sự cố, được sửa sau |
| Ngại đơn giản hoá diễn giải | "Đây không phải khủng hoảng CNTT, đây là khủng hoảng của công ty" (Salviotti et al., 2023, p. 6072) | Từ chối xem đây chỉ là việc của bộ phận CNTT |
| Nhạy với vận hành | Các mảng khác sản xuất gần bình thường bằng quy trình thủ công (Norsk Hydro ASA, 2020); nhân viên cũ được gọi về dựng quy trình (Salviotti et al., 2023, p. 6073) | Tri thức về cách chạy bằng tay nằm ở người làm việc tuyến đầu |
| Cam kết bền bỉ | Khôi phục máy từ bản sao lưu (Norsk Hydro ASA, 2020); giai đoạn khủng hoảng kéo dài đến 19/7/2019, khi bộ phận CNTT tuyên bố trở lại chế độ bình thường (Salviotti et al., 2023, p. 6073) (bài ghi "ba tháng", nhưng từ 19/3 là bốn tháng) | Có cả giới hạn: người phụ trách an ninh nói mọi người dốc sức được một hai tuần rồi kiệt, nên cần xếp ca, nghỉ ngơi, ăn uống (Salviotti et al., 2023, p. 6074) |
| Cấu trúc chưa xác định sẵn | Trưởng hạ tầng tự quyết tắt hàng nghìn máy lúc 3 giờ sáng (Salviotti et al., 2023, p. 6072); các tác giả nói phần lớn việc giải quyết nhờ quyết định táo bạo, độc lập của quản lý cấp cao và cấp giữa (Salviotti et al., 2023, p. 6075) | Quyền quyết định nằm ở người gần vấn đề nhất |

Có hai chỗ cần thận trọng. Tôi tự ghép chi tiết với quá trình, không kiểm với ai khác, và các chi tiết đến từ cùng một nhóm nguồn. Nghiên cứu ca còn dùng một khung khác, của Wooten và James (2008), chứ không phải năm quá trình này.

## Nếu hệ thống của bạn mất một tuần thì sao?

Bảng kiểm này là suy luận của tôi từ ca Hydro, chưa kiểm với doanh nghiệp nhỏ. Mỗi dòng gắn với một chi tiết trong ca.

| Câu hỏi | Chi tiết trong ca Hydro |
|:--|:--|
| Nhận đơn, giao hàng, thu tiền bằng giấy trong một tuần: có viết ra một trang chưa, và nhân viên có thật sự biết làm? | Quy trình thủ công chạy được vì có người biết; nhân viên cũ được gọi về |
| Nếu mất email và hệ thống nội bộ, bạn liên lạc với nhân viên và khách bằng kênh nào? | WhatsApp, áp phích viết tay, Facebook, Twitter |
| Ai được quyết định tắt hệ thống lúc nửa đêm, và có cần hỏi chủ không? | Trưởng hạ tầng tự quyết lúc 3 giờ sáng |
| Nguyên tắc truyền thông có được viết sẵn không (ai nói, bao lâu một lần, nói gì kể cả khi chưa có tin)? | Cập nhật hằng ngày lúc 9 giờ kể cả khi chưa có gì mới; nguyên tắc chốt lúc 7 giờ sáng |

Tôi cho rằng cách này hợp nếu bạn làm một lần, trong nửa ngày, với người phụ trách vận hành và người phụ trách hệ thống. Nó không thay được việc phòng ngừa: Hydro vẫn bị tấn công, và nghiên cứu ca coi sự thiếu hiểu biết trước đó là yếu tố làm tăng mức phơi nhiễm (Salviotti et al., 2023, p. 6074).

## Đào sâu: đã đọc gì, chưa đọc gì?

Báo cáo thường niên 2019 của Hydro là tài liệu của chính công ty; tôi đọc các đoạn về cuộc tấn công, chi phí, bồi thường và khôi phục, không đọc toàn bộ. Nghiên cứu ca của Salviotti và cộng sự (2023) tôi đọc toàn văn (truy cập mở); dữ liệu chính là ba cuộc phỏng vấn thứ cấp với quản lý của Hydro cùng tài liệu công khai. Bài nêu chi phí 400 đến 450 triệu NOK, thấp hơn 650 đến 750 triệu của báo cáo thường niên; tôi dùng số của báo cáo. Bài cũng có hai số khác nhau về máy bị ảnh hưởng, nên tôi chỉ nêu số tắt máy lúc 3 giờ sáng và nói rõ nó từ lời kể.

Tôi chỉ đọc phần tóm tắt của Aoyama và cộng sự (2019), vì bài hội nghị này bị chặn sau cổng trả phí. Tôi chưa đọc bài gốc của Weick và cộng sự (1999) về năm quá trình; bảng ở mục trên dựa vào mô tả của khung trong thư viện.

## Câu hỏi thường gặp

### Cuộc tấn công mạng vào Norsk Hydro gây thiệt hại bao nhiêu?

Báo cáo thường niên 2019 ước tính tổng chi phí khoảng 650 đến 750 triệu NOK, chủ yếu do mất doanh số vì không sản xuất được và không nhận, xử lý được đơn hàng trong tháng 3 và tháng 4, cộng chi phí khôi phục hệ thống; hãng ghi nhận 216 triệu NOK bồi thường bảo hiểm trong năm 2019 và dự kiến còn thêm (Norsk Hydro ASA, 2020). Một nghiên cứu ca nêu mức 400 đến 450 triệu NOK, thấp hơn ước tính của báo cáo (Salviotti et al., 2023, p. 6071).

### Vì sao truyền thông của Hydro được khen?

Theo lời người phụ trách truyền thông, nhóm chốt nguyên tắc 'chủ động, minh bạch, thường xuyên' lúc 7 giờ sáng ngày xảy ra, đăng thông báo cho sở giao dịch trước 9 giờ và tổ chức buổi trực tuyến đầu tiên với bên ngoài lúc 3 giờ chiều (Salviotti et al., 2023, p. 6072). Aoyama và cộng sự (2019) gợi ý rằng tính nhanh, minh bạch và củng cố tích cực là các yếu tố thành công; tôi chỉ đọc phần tóm tắt (Aoyama et al., 2019). Cả hai nguồn dựa chủ yếu vào lời kể và thông tin công khai của chính Hydro.

### Hydro có chuẩn bị tốt trước cuộc tấn công không?

Nghiên cứu ca cho thấy chưa. Trước năm 2019, hãng thiếu biện pháp bảo mật hệ thống, an ninh thiết bị đầu cuối yếu, sao lưu dữ liệu chưa đủ, và ban điều hành được đánh giá là đã xem nhẹ an ninh mạng (Salviotti et al., 2023, p. 6072). Điều làm Hydro đáng học là cách ứng phó sau đó, không phải sự chuẩn bị trước.

### Công ty nhỏ rút được gì từ ca này?

Ba việc có thể làm trước khi có sự cố: viết sẵn quy trình thủ công cho đơn hàng, giao hàng và thu tiền; chốt kênh liên lạc không phụ thuộc hệ thống chính và người có quyền quyết định lúc nửa đêm; viết sẵn nguyên tắc truyền thông. Đây là suy luận của tôi từ ca Hydro, chưa kiểm với doanh nghiệp nhỏ.

## Tài liệu tham khảo

- Aoyama, T. et al. (2019) ‘On the importance of agility, transparency, and positive reinforcement in cyber incident crisis communication’, in *Critical information infrastructures security: 14th international conference, CRITIS 2019, Linköping, Sweden, September 23–25, 2019, revised selected papers*. Cham: Springer, pp. 163–168. https://doi.org/10.1007/978-3-030-37670-3_13
- Norsk Hydro ASA (2020) *Annual report 2019*. Norsk Hydro ASA. Available at: https://www.hydro.com/globalassets/download-center/investor-downloads/ar19/annual-report-2019-web.pdf.
- Salviotti, G. et al. (2023) ‘Understanding the role of leadership competencies in cyber crisis management: a case study’, in *Proceedings of the 56th Hawaii International Conference on System Sciences*. University of Hawaiʻi at Mānoa, pp. 6068–6077. https://doi.org/10.24251/HICSS.2023.736

---

Bản HTML chuẩn: https://staging.khoi.co.uk/blog/norsk-hydro-van-hanh-thu-cong