Triều Tiên đào tạo hacker như thế nào: Từ học sinh năng khiếu đến lực lượng tác chiến mạng

Thứ Ba, 03/11/2026

Triều Tiên được cho là tuyển chọn học sinh có năng khiếu toán học và công nghệ từ nhỏ, đào tạo tại các trường chuyên và đại học kỹ thuật trước khi lựa chọn nhân sự cho các đơn vị tác chiến mạng. Theo các nghiên cứu và đánh giá tình báo nước ngoài, lực lượng này có khoảng 6.800–8.400 người, phục vụ các hoạt động gián điệp, tấn công mạng và tạo nguồn thu ngoại tệ cho chính quyền Bình Nhưỡng. Tuy nhiên, do Triều Tiên kiểm soát chặt chẽ thông tin, quy mô thực tế, chương trình đào tạo và cơ cấu tổ chức vẫn chưa được kiểm chứng độc lập đầy đủ.

Duyệt binh của quân đội Triều Tiên. (Nguồn: Truyền thông Triều Tiên)

Triều Tiên đã xây dựng một hệ thống tuyển chọn và đào tạo nhân lực tác chiến mạng từ khi còn nhỏ, tập trung vào những học sinh có năng khiếu toán học, khoa học và lập trình. Thay vì chỉ tuyển dụng những người đã có khả năng xâm nhập máy tính, chính quyền Bình Nhưỡng được cho là phát hiện nhân tài từ bậc tiểu học, đào tạo tại các trường chuyên, tiếp tục bồi dưỡng ở những đại học kỹ thuật hàng đầu trước khi tuyển chọn một số người vào các cơ quan tình báo và quân đội. Mô hình này được mô tả trong báo cáo năm 2022 của RAND Corporation, nghiên cứu tháng 3 năm 2026 của Ủy ban Nhân quyền tại Triều Tiên (HRNK) và công trình công bố ngày 7 tháng 9 năm 2026 của Kudelski Security. Tuy nhiên, vì Triều Tiên kiểm soát chặt chẽ thông tin về hoạt động tình báo, phần lớn những chi tiết cụ thể vẫn được xác lập từ nghiên cứu nguồn mở, lời kể của người đào thoát và đánh giá của giới chuyên môn, thay vì tài liệu đào tạo chính thức được công khai.

Quá trình tuyển chọn được cho là bắt đầu khi giáo viên phát hiện những học sinh có thành tích nổi bật về toán học, khoa học, tư duy logic và khả năng giải quyết vấn đề. Những em được lựa chọn có thể được chuyển đến các cơ sở giáo dục dành cho học sinh năng khiếu, trong đó có Trường Kumsong số 1 và số 2 tại thủ đô Bình Nhưỡng. Tại đây, học sinh được tiếp xúc với kiến thức lập trình, thuật toán và khoa học máy tính trước khi tiếp tục học tại những cơ sở như Đại học Kim Il-sung, Đại học Công nghệ Kim Chaek và Đại học Mirim. Các trường tại Hamhung cũng được nhiều nghiên cứu đề cập như những cơ sở đào tạo chuyên môn về công nghệ máy tính. Theo Kudelski Security, quá trình tuyển chọn nhân sự công nghệ có thể bắt đầu từ nhóm tuổi 11–17, mặc dù điều này không đồng nghĩa mọi học sinh được tuyển đều trở thành hacker phục vụ nhà nước.

Về nội dung đào tạo, các chương trình được mô tả là kết hợp kiến thức khoa học máy tính nền tảng với kỹ năng phục vụ hoạt động an ninh mạng. Báo cáo HRNK năm 2026 dẫn lại những tài liệu mô tả việc giảng dạy phần cứng máy tính, các ngôn ngữ lập trình C# và C++, toán học máy tính, máy chủ Linux, hệ điều hành mã nguồn mở, thuật toán, phục hồi dữ liệu, truyền thông mạng, trí tuệ nhân tạo và xử lý ngôn ngữ tự nhiên. Ở những cơ sở chuyên sâu, học viên còn được cho là tiếp cận kỹ thuật phân tích hệ thống, giải mã và những kiến thức liên quan đến hoạt động xâm nhập mạng. Tuy nhiên, các nội dung này được tổng hợp từ nhiều tài liệu và nguồn thứ cấp; chưa có bằng chứng công khai cho thấy tất cả cơ sở đào tạo tại Triều Tiên đều áp dụng một chương trình thống nhất với thời lượng và tiêu chuẩn giống nhau.

Một yếu tố quan trọng khác là quá trình tuyển chọn không chỉ dựa vào thành tích học tập. Theo RAND, xuất thân gia đình và mức độ được chính quyền đánh giá là đáng tin cậy về chính trị, thường được gọi là songbun, cũng có ảnh hưởng đến cơ hội được đào tạo trong những lĩnh vực nhạy cảm. Một số người được tuyển vào chương trình đặc biệt có thể nhận những ưu đãi về thực phẩm, nhà ở hoặc điều kiện cư trú tại Bình Nhưỡng. Báo cáo RAND năm 2022 cho biết học viên thuộc một số chương trình có thể được hoãn nghĩa vụ quân sự trong thời gian học, sau đó phải phục vụ trong các đơn vị tác chiến mạng khoảng 10 năm. Đây là thời gian phục vụ sau tốt nghiệp được nghiên cứu đề cập, không phải bằng chứng cho thấy mọi hacker đều trải qua đúng 10 năm huấn luyện.

Những lời kể của người đào thoát cung cấp thêm góc nhìn về môi trường đào tạo. Trong bài điều tra của The Wall Street Journal được đăng lại trên Business Standard ngày 20 tháng 4 năm 2018, Kim Ji-hong, người từng học lập trình phần mềm và kỹ thuật xâm nhập máy tính trong sáu năm tại một đại học kỹ thuật hàng đầu Triều Tiên trước khi đào thoát sang Hàn Quốc, mô tả việc chuẩn bị rất căng thẳng cho những cuộc thi kỹ thuật tại Bình Nhưỡng. Theo ông, các nhóm học viên phải luyện tập giải quyết những bài toán và thử thách máy tính dưới áp lực thời gian, có thời điểm chuẩn bị liên tục cả ngày lẫn đêm trong sáu tháng. Ông cho biết những người đạt thành tích cao có thể được tuyển vào các công việc liên quan đến thu thập tình báo hoặc tìm kiếm nguồn tiền từ hệ thống tài chính nước ngoài. Đây là lời chứng của một cá nhân, có giá trị tham khảo nhưng không đủ để khẳng định mọi học viên Triều Tiên đều trải qua quá trình huấn luyện tương tự.

Các tài liệu nghiên cứu cũng cho thấy chương trình đào tạo tác chiến mạng của Triều Tiên có quá trình phát triển kéo dài nhiều thập niên. RAND dẫn lại thông tin từ báo chí Hàn Quốc năm 2011 rằng trong giai đoạn đầu phát triển chương trình tại Đại học Mirim, khoảng 25 giảng viên người Nga từ Học viện Quân sự Frunze của Liên Xô cũ từng được mời tham gia giảng dạy. Trong khi đó, báo cáo HRNK năm 2026 mô tả Trường Moranbong như một cơ sở đào tạo chuyên sâu về giải mã, thông tin liên lạc và kỹ thuật xâm nhập máy tính, với chương trình được cho là kéo dài năm năm. HRNK cũng dẫn những ước tính rằng Mirim đào tạo khoảng 100 học viên chuyên môn mỗi năm, trong đó 10–20 người được lựa chọn vào Tổng cục Trinh sát. Tuy nhiên, những số liệu này phần lớn bắt nguồn từ tài liệu và báo cáo cũ, chưa được kiểm chứng độc lập như những thống kê tuyển sinh hiện hành.

Sau khi hoàn tất đào tạo, những nhân sự được lựa chọn có thể được phân công đến nhiều cơ quan khác nhau, không chỉ một tổ chức duy nhất. RAND xác định Tổng cục Trinh sát Triều Tiên, thường được biết đến với tên viết tắt RGB, là một trong những cơ quan giữ vai trò quan trọng đối với hoạt động mạng của nước này. Ngoài RGB, các cơ quan an ninh, quân đội và những tổ chức công nghệ khác cũng được ghi nhận có liên quan đến lực lượng tác chiến mạng. Nghiên cứu năm 2026 của Kudelski Security tiếp tục mô tả mạng lưới này là một hệ thống gồm nhiều đơn vị, nhóm hoạt động và cơ sở hỗ trợ, trong đó các tên gọi như Lazarus, APT38 và BlueNorOff được giới nghiên cứu an ninh mạng sử dụng để phân loại những hoạt động hoặc nhóm có liên hệ với Triều Tiên. Vì cách phân loại của các công ty bảo mật không hoàn toàn đồng nhất với cơ cấu tổ chức chính thức, không thể mặc nhiên coi tất cả các tên gọi đó là những đơn vị hành chính độc lập đã được Bình Nhưỡng xác nhận.

Một trong những điểm đáng chú ý là năng lực mạng của Triều Tiên phát triển trong khi phần lớn người dân nước này không được tự do truy cập Internet toàn cầu. Theo RAND, mạng máy tính dành cho người dân chủ yếu hoạt động trong phạm vi nội bộ, nhưng những nhân sự được lựa chọn có thể tiếp cận hạ tầng và kết nối phục vụ nhiệm vụ chuyên môn. Báo cáo cũng ghi nhận các kết nối quốc tế thông qua Trung Quốc và việc Nga được cho là đã bổ sung những tuyến kết nối vào khoảng năm 2017. Nghiên cứu Kudelski Security năm 2026 tiếp tục chỉ ra vai trò của các cơ sở và mạng lưới ở nước ngoài, đặc biệt tại Trung Quốc và Nga, trong việc hỗ trợ tiếp cận công nghệ, hạ tầng Internet và triển khai hoạt động mạng. Tuy nhiên, việc sinh viên Triều Tiên học tập hoặc tham gia trao đổi tại những quốc gia này không tự nó chứng minh họ là thành viên các đơn vị tình báo hay tham gia tấn công mạng.

Bên cạnh lực lượng trực tiếp tiến hành các chiến dịch xâm nhập, Triều Tiên còn được cho là duy trì mạng lưới nhân viên công nghệ thông tin làm việc từ xa cho doanh nghiệp nước ngoài. Kudelski Security mô tả những trường hợp sử dụng danh tính và địa điểm làm việc không đúng sự thật để tiếp cận cơ hội tuyển dụng, tạo doanh thu hoặc giành quyền truy cập vào hệ thống doanh nghiệp. Nghiên cứu này cho rằng các mạng lưới nhân viên IT và những nhóm tiến hành hoạt động mạng có thể chia sẻ một phần hạ tầng kỹ thuật, trung gian hỗ trợ và phương thức liên lạc. Dù vậy, hai loại hoạt động không hoàn toàn đồng nhất: một nhân viên lập trình làm việc từ xa không nhất thiết là người trực tiếp thực hiện tấn công mạng, và sự hiện diện của nhân viên Triều Tiên tại một tổ chức không đủ để kết luận tổ chức đó tham gia hoạt động bất hợp pháp.

Về quy mô nhân lực, ngày 30 tháng 10 năm 2024, hãng thông tấn Yonhap đưa tin Bộ Tư lệnh Tác chiến mạng quân đội Hàn Quốc đã báo cáo trước Quốc hội rằng Triều Tiên được ước tính vận hành khoảng 8.400 nhân sự hacker dưới các cơ cấu chỉ huy nhà nước. Đây là đánh giá của phía Hàn Quốc, không phải số liệu do Bình Nhưỡng xác nhận. Trước đó, RAND dẫn Sách trắng Quốc phòng Hàn Quốc năm 2020 với ước tính khoảng 6.800 nhân sự mạng Triều Tiên. Những con số phản ánh các đánh giá ở những thời điểm khác nhau, nhưng chưa cho phép xác định chính xác có bao nhiêu người trực tiếp thực hiện các cuộc xâm nhập, bao nhiêu người đảm nhiệm vai trò hỗ trợ hoặc mức độ thay đổi thực tế của lực lượng.

Các mục tiêu hoạt động mạng được giới nghiên cứu và cơ quan an ninh nước ngoài gắn với Triều Tiên bao gồm thu thập tình báo chính trị, quân sự, đánh cắp thông tin, gây gián đoạn hệ thống và tạo nguồn thu ngoại tệ. Báo cáo RAND năm 2022, dựa trên các tài liệu của Cơ quan Tình báo Quốc phòng Hoa Kỳ và những nguồn công khai khác, xác định hoạt động mạng là một công cụ phục vụ cả mục tiêu an ninh lẫn kinh tế của chính quyền Bình Nhưỡng. Kudelski Security cũng nhận định một số chiến dịch đánh cắp tài sản tài chính và hoạt động của nhân viên IT có liên hệ với nỗ lực tạo nguồn thu cho các chương trình hạt nhân và tên lửa. Tuy nhiên, việc quy trách nhiệm cho một chiến dịch cụ thể, xác định chính xác dòng tiền và chứng minh khoản tiền đó được sử dụng vào mục đích nào đều đòi hỏi bằng chứng riêng; không nên mặc nhiên xem mọi khoản tiền bị đánh cắp trong các vụ được nghi liên quan đến Triều Tiên đều đã được chuyển trực tiếp vào chương trình vũ khí.

Nhìn tổng thể, các nghiên cứu công khai cho thấy Triều Tiên không chỉ dựa vào việc tuyển dụng những chuyên gia máy tính đã thành thạo, mà được cho là đã xây dựng một quá trình phát hiện, đào tạo, sàng lọc và sử dụng nhân lực công nghệ từ rất sớm. Sự kết hợp giữa các trường chuyên, đại học kỹ thuật, cơ chế tuyển chọn chính trị và mạng lưới hoạt động trong nước lẫn nước ngoài giúp giải thích cách một quốc gia có điều kiện tiếp cận Internet hạn chế vẫn có thể phát triển năng lực tác chiến mạng đáng kể. Tuy nhiên, những vấn đề như giáo trình hiện hành, số lượng học viên tốt nghiệp mỗi năm, quy trình tuyển dụng vào từng đơn vị và cơ cấu chỉ huy chi tiết vẫn chưa được công khai đầy đủ. Vì vậy, có cơ sở để kết luận rằng Triều Tiên sở hữu một hệ thống phát triển nhân lực tác chiến mạng có tổ chức, nhưng chưa đủ bằng chứng độc lập để khẳng định mọi chi tiết về quy mô và phương pháp đào tạo được nêu trong các báo cáo nguồn mở đều phản ánh chính xác thực tế hiện nay.