Gặp nữ thủ khoa Hà Nội nhận thưởng 10.000 USD khi “săn” 9 lỗ hổng bảo mật thông tin: “Sau 11 giờ đêm là mình không làm việc nữa”

Trong 3 năm, Mỹ Quỳnh đã “săn” thành công 9 lỗ hổng bảo mật thông tin của tập đoàn công nghệ Mỹ, được nhận thưởng 10.000 USD.

Lê Mỹ Quỳnh, 23 tuổi, tốt nghiệp thủ khoa Học viện Kỹ thuật Mật mã, được xướng tên tại Lễ vinh danh thủ khoa các trường Đại học, Học viện tại Hà Nội ngày 18/11. Hiện, cô đang công tác tại trung tâm an toàn thông tin của một tập đoàn viễn thông lớn ở Việt Nam.

Quỳnh còn gây ấn tượng với biệt danh “thợ săn” lỗ hổng bảo mật khi tìm ra 9 lỗi nghiêm trọng từ các sản phẩm của tập đoàn công nghệ Oracle (Mỹ) trong 3 năm qua.

Hãy cùng trò chuyện với cô bạn “nhỏ nhưng có võ” này nhé!

Lê Mỹ Quỳnh – nữ “thợ săn” tìm ra 9 lỗ hổng bảo mật của tập đoàn công nghệ Oracle

1. Cô gái chuyên Lịch Sử theo đuổi công nghệ thông tin

Chào Quỳnh, 3 tính từ để miêu tả tính cách của bạn?

Kiên nhẫn, tích cực và hoạt ngôn!

Có vẻ như tính cách của bạn khác hoàn toàn với suy nghĩ của mọi người về dân công nghệ suốt ngày chỉ cắm mặt vào máy tính. Vậy nếu không phải là một nữ “thợ săn” lỗ hổng, Quỳnh sẽ là…?

Là chuyên gia tâm lý! Hay một công việc nào đó liên quan đến tâm lý. Bên cạnh Học viện Kỹ thuật Mật mã, mình còn thi đỗ ngành tâm lý học của Đại học Khoa học Xã hội và Nhân văn. Các bạn thường chia sẻ mọi chuyện với mình, mình lắng nghe và truyền lại cho họ nguồn năng lượng tích cực.

Vậy lý do gì Quỳnh quyết định theo đuổi công nghệ thông tin? Phải chăng đây là định hướng ban đầu của bạn?

Vì mình suy nghĩ tích cực và hoạt ngôn, mọi người nghĩ rằng mình thích hợp để theo đuổi tâm lý. Nhưng cuối cùng, mình lại chọn công nghệ thông tin một cách… cảm tính và theo nguyện vọng của gia đình. Một phần vì ngành tâm lý ở Việt Nam thời điểm đó khá mới mẻ, công việc còn hạn chế nên mình sợ… thất nghiệp.

Công nghệ thông tin không phải là định hướng ban đầu của mình, kể cả khi đã đỗ vào Học viện Kỹ thuật Mật mã. Từ lớp 5, lớp 6, được tiếp xúc với máy tính, mình rất tò mò. Mình “nghịch” từ phần mềm sang phần cứng, tháo hết các bộ phận rồi lắp lại, cũng thiếu vài chiếc ốc nhưng vẫn ổn… Dù vậy, máy tính với mình khi đó chỉ là chút gì đó nghịch ngợm.

Quỳnh cũng được biết đến là học sinh giỏi Lịch Sử cấp thành phố. Môn học này có giúp đỡ nhiều cho bạn khi bắt đầu đến với công nghệ thông tin?

Mình có năng khiếu và trí nhớ tốt nên rất thích học Lịch Sử. Môn học này cũng giúp mình bộc lộ cảm xúc dễ hơn. Nhưng sâu bên trong, mình không có đam mê bất tận với nó. Tuy nhiên, nhờ rèn trí nhớ tốt qua việc học Lịch Sử, nên lên Đại học, những môn thiên về lý thuyết mình đều đạt điểm cao.

Dù hiện tại không học và làm việc liên quan đến Lịch Sử, nhưng quá trình theo đuổi môn học này đã giúp mình định hình tích cách. Ngoài việc rèn luyện trí nhớ, mình nhận ra muốn phát triển bất cứ điều gì thì phải nắm rõ quá trình hình thành của nó. Quan niệm này giúp mình có xu hướng tìm hiểu kỹ nguồn gốc mọi vấn đề trong cuộc sống cũng như công việc.

Việt Nam có rất nhiều trường Đại học về công nghệ thông tin, tại sao Quỳnh lại chọn Học viện Kỹ thuật Mật mã?

Lý do duy nhất mình chọn Học viện Kỹ thuật Mật mã vì trường có học bổng Chính phủ du học toàn phần.

Nhưng rồi, Quỳnh vẫn quyết định ở lại Việt Nam?

Mình đã cố gắng thi đỗ Đại học và kết thúc năm học đầu tiên giành suất học bổng sang Nga, được chọn một trường bất kỳ để học công nghệ thông tin. Tuy nhiên, ngày được gọi nhập hồ sơ và thủ tục, mình lại không đến. Lúc đó, mình đã cân nhắc rất kỹ và có suy nghĩ riêng.

Mình bắt đầu so sánh giữa việc đi du học và ở lại Việt Nam. Mình đã hỏi rất nhiều anh chị du học sinh ở Nga về tình hình học tập, môi trường sống và cơ hội việc làm. Họ đều chia sẻ thật lòng là chương trình học nặng hơn rất nhiều. Mình còn phải mất một năm học tiếng Nga trong khi vốn Tiếng Anh cần thiết để đi làm đã rất ổn. Đặc biệt, cơ hội việc làm và thực tập có vẻ không nhiều như ở Việt Nam.

Mình nhẩm tính sẽ mất 7 năm mới về nước, bắt đầu xin thực tập và tìm kiếm việc làm. Với mình, khoảng thời gian này quá dài. Cuối cùng, mình chọn ở lại, hoàn thành chương trình học tại Học viện Kỹ thuật Mật mã. Sau này, nếu vẫn muốn du học, mình còn nhiều cơ hội khác.

Mỹ Quỳnh đã tạm hoãn du học để hoàn thành chương trình học tại Học viện Kỹ thuật Mật mã

2. Thợ “săn” lỗ hổng

Quỳnh bắt đầu “săn” các lỗ hổng của các sản phẩm công nghệ từ khi nào?

Năm 2018 – năm hai Đại học, mình thực tập tại trung tâm an toàn thông tin của một tập đoàn viễn thông lớn ở Việt Nam. Giữa năm 2019, mình cùng các thành viên trong trung tâm tìm lỗ hổng trên các sản phẩm công nghệ của tập đoàn Oracle.

Không phải sản phẩm công nghệ nào chúng mình cũng tìm lỗ hổng. Đó phải là những sản phẩm công nghệ lớn, có độ phủ sóng cao mà công ty mình, khách hàng hay rất nhiều người trên thế giới đang sử dụng.

Bạn “săn” được lỗ hổng đầu tiên khi nào?

Ban đầu, mình không thể tìm thấy bất kỳ lỗ hổng công nghệ nào. Mình phải học bằng cách dựng lại các sản phẩm công nghệ trên máy tính giả lập, rồi nghiên cứu những lỗ hổng đã được người khác tìm ra từ trước.

Cuối năm 2019, mình tìm thấy lỗ hổng bảo mật đầu tiên. Mình nhớ, trước giao thừa năm 2020, khi pháo hoa vang khắp bầu trời, mình lên kiểm tra thì tìm thấy lỗ hổng bảo mật. Mình vô cùng bất ngờ, vui sướng và tự hào, nghĩ đến công sức mấy tháng qua thức đêm đọc code (chuỗi ngôn ngữ lập trình) cuối cùng cũng được đền đáp xứng đáng.

Mình gửi báo cáo và đợi đánh giá, khoảng một tháng sau, chính thức được công nhận. Tính đến tháng 7/2021, mình đã “săn” được tổng cộng 9 lỗ hổng.

Tập đoàn công nghệ Oracle “trả công” cho bạn ra sao?

Với mỗi người tìm ra lỗ hổng của Oracle, sau 3 tháng sẽ được “vinh danh” trên trang bản vá lỗ hổng. Trong khi đó, một bên trung gian khác sẽ mua lại các lỗ hổng và trả tiền cho các “thợ săn”. Với 9 lỗ hổng, mình nhận thưởng 10.000 USD (khoảng 230 triệu đồng).

Khó khăn khi “săn” lỗ hổng bảo mật?

Mình săn lỗ hổng khi còn là sinh viên năm 2, chưa có kiến thức chuyên ngành và khá yếu trong việc nắm bắt các lỗ hổng. Mình phải đọc rất nhiều, có những tài liệu nước ngoài hay của các “tiền bối” đi trước, đọc đến 10-20 lần mới hiểu được. Tuy là người đọc và viết code, nhưng không phải lúc nào mình cũng hiểu ngay toàn bộ luồng hoạt động của nó.

Một trong những khó khăn nữa là bị trùng lỗ hổng. Trong 9 lỗ hổng tìm ra, thì có 2 cái trùng với người khác. Tuy nhiên, mình vẫn sẽ được ghi nhận công sức và vinh danh trên bản vá.

Cảm giác thế nào khi mất rất nhiều thời gian và công sức để “săn” lỗ hổng nhưng lại chậm chân hơn người khác?

Mình có chút hụt hẫng!

Lỗ hổng bạn mất nhiều thời gian nhất?

Đó là lỗ hổng đầu tiên, mất khoảng vài tháng. Những lần sau, mình đã có kinh nghiệm nên tìm nhanh hơn, có cái chỉ mất 1-2 tuần.

Quá trình “săn” lỗ hổng có khi nào bị gián đoạn và không thể tìm được nữa?

9 lỗ hổng mình tìm ra, không phải đi một đường thẳng là đến đích. Mình đã phải thử đi thử lại cả trăm lần, đến nửa đường rồi nhận ra không thể khai thác được tiếp. Đấy là lý do vì sao có những lỗ hổng mình mất 2, 3 tuần hay cả tháng mới tìm ra.

Áp lực của một “thợ săn” lỗ hổng là gì?

Áp lực khi thử đi thử lại nhiều lần nhưng không tìm ra lỗ hổng.

Áp lực khi thức đêm thức hôm tìm mãi không được.

Khi đó, mình nghi ngờ khả năng của bản thân, nhưng không bao giờ từ bỏ. Mình chỉ tạm dừng để nghỉ ngơi, giải trí. Hôm sau, tràn đầy sức sống, mình lại tiếp tục “cuộc đi săn”!

3. Con gái làm công nghệ thông tin, có bị kỳ thị?

Quỳnh là người học tập và làm việc có mục tiêu rõ ràng. Phải chăng, ngay từ đầu, bạn đã xác định phấn đấu giành “ngôi vị” thủ khoa?

Bước chân vào Học viện Kỹ thuật Mật mã, mình chỉ đặt mục tiêu ra trường không thất nghiệp, có công việc ổn định và không phải xin tiền bố mẹ. Từng có kế hoạch du học nên ngay từ năm nhất, mình đã phấn đấu học tập và đạt điểm số khá cao.

Điểm cao giống như bước đà, mình lại là đứa hiếu thắng, nên năm trước điểm cao, năm sau không được thấp. Mình lại cắm mặt học.

Cuối năm hai, mình bắt đầu đi làm, điểm số thấp hơn hẳn. Đến năm 3, nhà trường cho phép học thêm những môn khác không phải chuyên ngành. Mình khá đau đầu, cố gắng nếu điểm thấp thì giữ “thấp vừa thôi” vẫn phải cân bằng điểm tổng kết. Nếu không, bao nhiêu công sức từ trước đều đổ bể.

Một hôm, mình xem YouTube, lướt thấy chương trình vinh danh thủ khoa. Trong đầu nghĩ “thật vinh dự nếu được thủ khoa”, thực tế khi đó bảng điểm của mình cũng khá cao. Từ đấy, mình xây dựng chiến lược học tập rõ ràng.

Do buổi sáng đi làm, mình đăng ký học tối. Nhờ đi làm từ trước nên khi học các môn chuyên ngành, mình đều nắm vững kiến thức. Mỗi lần thuyết trình, mình chuẩn bị trước một tuần.

Giữ vững phong độ điểm cao, mình phân bổ các môn học. Môn nào “sở trường”, mình tập trung để lấy điểm cao. Môn nào không phải ưu thế, cũng không để thấp quá.

Kết quả, sau 5 năm, mình tốt nghiệp thủ khoa đầu ra của Học viện Kỹ thuật Mật mã với điểm số 3,5/4.

Cảm giác khi được vinh danh thủ khoa?

Mình quá mãn nguyện khi đạt thủ khoa đúng kế hoạch.

Trước buổi lễ vinh danh, mình chuẩn bị mọi thứ chu đáo, như quần áo, tập cách cầm hoa, cầm cúp như thế nào. Tuy nhiên, khi được xướng tên trên sân khấu, tim mình đập thình thịch. Bác Chu Ngọc Anh, Chủ tịch UBND TP. Hà Nội là người trao hoa và cúp cho mình, bác còn ghé tai nói “cháu làm an toàn thông tin đúng không?” khiến mình rất hồi hộp và hạnh phúc!

Lê Mỹ Quỳnh được xướng tên trong buổi lễ vinh danh thủ khoa các trường Đại học, Học viện tại Hà Nội ngày 18/11 (Ảnh: NVCC)

Dường như mọi kế hoạch đặt ra, Quỳnh đều hoàn thành xuất sắc. Mục tiêu tiếp theo của bạn là gì?

Mình vẫn đang tiếp tục công việc tại trung tâm an toàn thông tin, tìm được 9 lỗ hổng rồi sẽ tìm lên 10, 11, 12… của những phần mềm công nghệ khác, không riêng Oracle.

Mình mong muốn đa dạng công việc, vừa đúng chuyên ngành an toàn thông tin, vừa có sự giao tiếp với mọi người, vì bản thân mình là người khá hoạt ngôn, không giống hình ảnh dân công nghệ suốt ngày chỉ “ôm” máy tính.

Và có một điều chắc chắn, là mình sẽ đi du học. Xa hơn nữa sẽ là một công việc ở tầm quản lý chẳng hạn!

Làm thế nào để bạn cân bằng giữa cuộc sống và công việc?

Mình tan ca sớm, muộn lắm là 6h tối. Mình không ở lại công ty làm thêm mà về thẳng nhà. Mọi sinh hoạt hàng ngày đều đúng giờ quy định, cuối tuần vẫn sẽ đi chơi, hẹn hò bạn bè.

Mọi người vẫn nghĩ dân công nghệ hay thức đêm thức hôm đọc code, nhưng riêng mình, buồn ngủ là mình đi ngủ. Thông thường sau 11h đêm là mình không làm việc nữa.

Bố mẹ cũng có đôi lần hỏi thăm công việc có khó khăn gì không, rồi gợi ý “hay là chuyển một công việc khác nhẹ nhàng hơn”. Nhưng mình vẫn kiên định với lựa chọn của bản thân, ít nhất cho đến thời điểm hiện tại.

Liệu có sự kỳ thị nào khi con gái theo đuổi công nghệ thông tin?

Trong giới công nghệ thì không, còn bên ngoài chắc chắn có.

Các anh chị em trong ngành luôn luôn khuyến khích nhân sự là nữ để tạo sự đa dạng hóa. Nhưng người ngoài thường không có niềm tin, kiểu “con gái nên làm công việc gì đấy nhẹ nhàng thôi”. Hoặc cho rằng, công việc này quá khó với con gái. Đúng là nó khó thật, phải đọc code thâu đêm, ngồi máy tính nhiều. Tuy nhiên mình tin, nếu có đam mê, chắc chắn sẽ vượt qua được mọi sự kỳ thị.

Quỳnh mong muốn truyền cảm hứng tới các bạn nữ đang theo đuổi ngành công nghệ thông tin (Ảnh: NVCC)

Lời nhắn nhủ Quỳnh gửi tới những bạn nữ đã và đang mong muốn theo đuổi công nghệ thông tin?

Nếu các bạn nữ theo đuổi công nghệ thông tin, nghĩa là các bạn tìm thấy được điều gì đó hay ho và có đam mê từ lĩnh vực này.

Cá nhân mình vốn xuất phát điểm không có đam mê, nhưng các bạn lại sẵn đam mê rồi, vậy ngại ngần gì mà không đi theo, rồi phải lo sợ lời gièm pha của người bên ngoài.

Không phải tiền lương hay đãi ngộ, đam mê mới là điều kiện giúp các bạn đi xa trên con đường này. Cũng không nên ngại thử, bởi bây giờ hỏi 20 người, chẳng mấy ai nói được đam mê của mình là gì.

Nếu bạn đã có đam mê, thì không cần để ý lời nói của người khác! Hơn nữa mức đãi ngộ cho công việc này cũng rất tốt!

Thần tượng trong lĩnh vực công nghệ thông tin của Quỳnh là ai?

Mình không có thần tượng. Nhưng để nói tới người ảnh hưởng tới mình nhiều nhất, chắc hẳn là người anh khóa trên. Anh đã trực tiếp hướng dẫn khi mình vào công ty. Mình cảm nhận được sự nhiệt huyết và đam mê của anh ấy.

Mình cũng học được rằng, đã làm thì phải làm đến cùng, không dở dang.

Anh Ngô Minh Hiếu, tức Hiếu PC, chuyên gia kỹ thuật tại Trung tâm Giám sát và An toàn không gian mạng Quốc gia (NCSC) có lời mời nói chuyện với Quỳnh. Bạn phản hồi ra sao?

Tuy anh Hiếu PC hoạt động trong lĩnh vực hơi khác với mình, nhưng nếu có cơ hội nói chuyện và hợp tác, mình sẵn sàng đồng ý!

Cảm ơn Mỹ Quỳnh về buổi trò chuyện rất thú vị!