Tin công nghệ

Tài khoản Microsoft 365 bị chiếm dù đã bật MFA: chiêu “rải token” và 6 việc doanh nghiệp cần kiểm tra ngay

Posted on by superadmin

Nhiều doanh nghiệp Việt Nam tin rằng chỉ cần bật xác thực hai lớp (MFA) cho Microsoft 365 là tài khoản email đã an toàn. Một báo cáo mới công bố ngày 23/10/2026 của nhóm nghiên cứu Huntress cho thấy niềm tin đó chưa đủ: kẻ tấn công đã đăng nhập thành công vào tài khoản Microsoft 365 của 79 tổ chức mà không cần biết mật khẩu, cũng không cần vượt qua bước MFA.

Chuyện gì đã xảy ra?

Trong khoảng 10 tuần, từ 14/7 đến 22/9/2026, nhóm tấn công thực hiện gần 500 lượt đăng nhập thành công trên tổng số hơn 200.000 lượt thử. Thay vì đoán mật khẩu, chúng dùng token phiên đăng nhập (session token) đã đánh cắp trước đó và “rải” hàng loạt token này lên hệ thống, giống cách tấn công dò mật khẩu hàng loạt. Các nhà nghiên cứu gọi đây là kỹ thuật “token spraying”.

Điểm nguy hiểm nằm ở chỗ token phiên được cấp sau khi người dùng đã nhập mật khẩu và xác nhận MFA. Ai giữ được token thì hệ thống coi như người dùng hợp lệ, không hỏi lại mã xác thực.

Token bị đánh cắp bằng cách nào?

  • Trang đăng nhập giả kiểu trung gian (AiTM): nạn nhân bấm link lừa đảo, trang giả chuyển tiếp mọi thông tin tới Microsoft thật và lấy luôn token sau khi đăng nhập.
  • Lừa nhập mã thiết bị (device code phishing): kẻ gian gửi một mã và đề nghị nạn nhân “xác nhận” tại trang Microsoft chính thức, vô tình cấp quyền cho thiết bị của kẻ gian.
  • Lừa đảo qua điện thoại, tin nhắn trong lúc người dùng đăng nhập bình thường.

Sau khi vào được, kẻ tấn công làm gì?

Theo báo cáo, ở 19 tổ chức, kẻ tấn công xóa các phương thức MFA cũ và đăng ký ứng dụng xác thực mới của chúng, nhờ đó đăng nhập lại bất cứ lúc nào kể cả khi nạn nhân đổi mật khẩu. Ít nhất 48 thiết bị lạ được đăng ký vào Entra ID với tên dạng “DESKTOP-” kèm 8 ký tự. Chúng còn tạo quy tắc hộp thư (inbox rule) đặt tên rất ngắn như “.”, “sss” để ẩn hoặc xóa email có từ khóa lương, chuyển khoản, ngân hàng, thưởng, hoặc ẩn toàn bộ thư từ kế toán bên ngoài. Đây là bước chuẩn bị điển hình cho lừa đảo đổi số tài khoản nhận tiền (BEC), loại hình gây thiệt hại lớn cho doanh nghiệp Việt Nam nhiều năm qua.

6 việc quản trị viên Microsoft 365 nên làm trong tuần này

  1. Rà soát phương thức MFA của từng người dùng trong Entra admin center, xóa ứng dụng xác thực lạ (ví dụ tên thiết bị không khớp với điện thoại thật của nhân viên). Đổi mật khẩu không xóa được các phương thức này.
  2. Xóa thiết bị lạ trong danh sách Devices của Entra ID, đặc biệt các máy tên “DESKTOP-xxxxxxxx” không thuộc công ty.
  3. Kiểm tra quy tắc hộp thư của các tài khoản kế toán, nhân sự, ban giám đốc: quy tắc chuyển tiếp, xóa, đánh dấu đã đọc hoặc chuyển vào thư mục ít dùng đều cần xem kỹ.
  4. Bật Conditional Access (có trong gói Microsoft 365 Business Premium hoặc Entra ID P1): chỉ cho đăng nhập từ thiết bị được quản lý, chặn đăng nhập rủi ro, chặn luồng “device code” nếu công ty không dùng.
  5. Thu hồi phiên đăng nhập (Revoke sessions) cho tài khoản nghi bị lộ để vô hiệu token cũ, sau đó yêu cầu đăng nhập lại.
  6. Chuyển dần sang passkey hoặc khóa bảo mật FIDO2 cho nhóm tài khoản quan trọng: các phương thức này gắn với tên miền thật nên trang giả không lấy được.

Góc nhìn cho doanh nghiệp vừa và nhỏ

Nhiều công ty vẫn dùng gói Microsoft 365 Business Basic hoặc Standard, không có Conditional Access. Với quy mô dưới 50 người, chi phí nâng lên Business Premium thường thấp hơn nhiều so với một vụ chuyển nhầm tiền cho kẻ gian. Bên cạnh đó, nên huấn luyện kế toán luôn gọi điện xác minh khi đối tác báo đổi số tài khoản, và không bao giờ nhập mã do người khác gửi vào trang microsoft.com/devicelogin.

DTIC cung cấp bản quyền Microsoft 365 các gói Business Basic, Standard, Premium và hỗ trợ cấu hình bảo mật cơ bản cho doanh nghiệp. Xem các gói tại danh mục Microsoft 365 – Office hoặc liên hệ Hotline/Zalo 0913.745.698 để được tư vấn.

Nguồn tham khảo