Tin công nghệ

Ransomware quý 3/2026: xu hướng mới và cách doanh nghiệp nhỏ tự vệ

Posted on by superadmin

Ransomware chưa hề hạ nhiệt trong năm 2026

Mã độc mã hóa dữ liệu tống tiền (ransomware) tiếp tục là mối đe dọa gây thiệt hại lớn nhất cho doanh nghiệp trong năm 2026. Theo báo cáo quý 3/2026 của nhóm nghiên cứu GRIT thuộc GuidePoint Security, công bố đầu tháng 10/2026, có khoảng 2.760 tổ chức bị các nhóm ransomware công khai tên trên trang rò rỉ dữ liệu trong quý. Con số này tăng 21% so với quý 2 và tăng tới 75% so với quý 3/2025. Số nhóm tội phạm đang hoạt động cũng tăng lên 112 nhóm, cho thấy “thị trường” ransomware ngày càng phân mảnh và khó lường.

Trước đó, dữ liệu do NordStellar tổng hợp cho quý 2/2026 ghi nhận hơn 2.500 vụ tấn công, trong đó doanh nghiệp vừa và nhỏ (dưới 200 nhân sự) vẫn là nhóm bị nhắm đến thường xuyên nhất. Lý do rất đơn giản: các công ty này thường thiếu đội ngũ bảo mật chuyên trách, hệ thống ít được giám sát và bản sao lưu dễ bị xóa cùng lúc với dữ liệu gốc.

Những xu hướng đáng chú ý

1. Các nhóm mới thay thế nhóm cũ rất nhanh

Trong quý 3/2026, hai nhóm dẫn đầu về số nạn nhân là The Gentlemen và Qilin, mỗi nhóm chiếm khoảng 12-13% tổng số vụ được công bố. Khi một nhóm bị cơ quan chức năng triệt phá hoặc tự giải tán, các thành viên thường chuyển sang nhóm khác hoặc đổi tên. Điều này có nghĩa doanh nghiệp không thể chỉ dựa vào việc chặn một vài “thương hiệu” mã độc quen thuộc, mà cần phòng thủ theo hành vi tấn công.

2. Sản xuất, công nghệ và y tế bị nhắm nhiều nhất

Ngành sản xuất tiếp tục đứng đầu danh sách nạn nhân, sau đó là công nghệ và y tế. Đây là những lĩnh vực mà việc ngừng hệ thống vài ngày cũng gây thiệt hại rất lớn, khiến kẻ tấn công tin rằng nạn nhân dễ chấp nhận trả tiền. Với Việt Nam, nơi có nhiều nhà máy, xưởng gia công và công ty xây dựng, đây là tín hiệu cần đặc biệt lưu ý.

3. Ít doanh nghiệp trả tiền hơn, nhưng mức chuộc cao hơn

Tỷ lệ nạn nhân chịu trả tiền chuộc đã giảm xuống dưới 21%, nhưng số tiền trung bình mà những tổ chức chấp nhận trả lại tăng khoảng 34%, lên mức hơn 300.000 USD. Nói cách khác, kẻ tấn công đang chọn mục tiêu kỹ hơn và gây áp lực mạnh hơn, thường bằng chiến thuật “tống tiền kép”: vừa mã hóa dữ liệu, vừa đe dọa công bố dữ liệu đã đánh cắp.

4. AI bắt đầu tham gia vào giai đoạn xâm nhập

Báo cáo GRIT ghi nhận một số nhóm môi giới truy cập và nhóm liên kết đã dùng AI để tự động hóa một phần quá trình dò tìm và xâm nhập. Email lừa đảo viết bằng AI cũng trôi chảy hơn, kể cả bằng tiếng Việt, khiến nhân viên khó phân biệt thật giả.

Bức tranh tại Việt Nam

Việt Nam không đứng ngoài xu hướng này. Theo số liệu Kaspersky công bố tháng 4/2026, trong năm 2025 hệ thống của hãng đã phát hiện và chặn hơn 8,4 triệu cuộc tấn công qua web nhắm vào doanh nghiệp tại Việt Nam, cao nhất khu vực Đông Nam Á. Nhiều vụ ransomware trong nước thời gian qua bắt đầu từ những điểm yếu rất cơ bản: máy chủ mở cổng Remote Desktop ra Internet, thiết bị VPN chưa vá lỗi, mật khẩu yếu hoặc phần mềm bẻ khóa có cài sẵn mã độc.

Doanh nghiệp nhỏ nên phòng thủ như thế nào?

Không cần ngân sách khổng lồ, một công ty 20-200 người vẫn có thể giảm đáng kể rủi ro nếu làm tốt các việc nền tảng sau:

  • Bật xác thực đa yếu tố (MFA) cho email, VPN, tài khoản quản trị và phần mềm kế toán. Ưu tiên passkey hoặc ứng dụng xác thực thay vì SMS.
  • Không mở Remote Desktop trực tiếp ra Internet. Nếu cần làm việc từ xa, hãy dùng VPN có MFA hoặc giải pháp truy cập từ xa có kiểm soát.
  • Vá lỗi định kỳ cho hệ điều hành, tường lửa, router, NAS và thiết bị VPN. Các lỗ hổng trên thiết bị biên mạng là cửa ngõ phổ biến của ransomware.
  • Sao lưu theo nguyên tắc 3-2-1-1-0, trong đó ít nhất một bản không thể sửa xóa (immutable) hoặc tách rời khỏi mạng, và thường xuyên thử khôi phục.
  • Cài phần mềm bảo vệ đầu cuối có bản quyền (EDR hoặc antivirus thế hệ mới) và bật tính năng chống mã hóa hàng loạt.
  • Phân quyền tối thiểu: nhân viên không dùng tài khoản quản trị cho công việc hằng ngày, thư mục dùng chung chỉ cấp quyền cho người cần.
  • Đào tạo nhân viên nhận diện email lừa đảo, tệp đính kèm lạ và yêu cầu chuyển tiền bất thường.
  • Chuẩn bị kịch bản ứng phó: ai làm gì khi phát hiện máy bị mã hóa, cách cô lập mạng, số điện thoại liên hệ nhà cung cấp và cơ quan chức năng.

Khi đã bị tấn công

Nếu phát hiện dấu hiệu bị mã hóa, hãy ngắt ngay máy bị ảnh hưởng khỏi mạng nhưng không tắt nguồn vội, giữ lại bằng chứng, đổi mật khẩu các tài khoản quan trọng từ một thiết bị sạch và liên hệ đơn vị chuyên môn. Việc trả tiền chuộc không bảo đảm lấy lại dữ liệu, đồng thời có thể khiến doanh nghiệp trở thành mục tiêu lặp lại. Nếu sự cố liên quan đến dữ liệu cá nhân, doanh nghiệp còn có nghĩa vụ thông báo theo Luật Bảo vệ dữ liệu cá nhân.

Doanh nghiệp nên làm gì ngay?

Hãy dành một buổi để rà soát ba câu hỏi: tài khoản quan trọng đã có MFA chưa, có bản sao lưu nào nằm ngoài tầm với của kẻ tấn công không, và lần cuối thử khôi phục dữ liệu là khi nào. Nếu cần đánh giá nhanh hạ tầng hoặc trang bị tường lửa, NAS sao lưu và phần mềm bảo mật có bản quyền, đội ngũ DTIC có thể tư vấn giải pháp phù hợp quy mô doanh nghiệp.

Nguồn tham khảo