Tin công nghệ

Kẻ gian giả danh bộ phận IT gọi điện, nhắn Teams để chiếm máy nhân viên: cảnh báo từ Cisco Talos

Posted on by superadmin

Một cuộc gọi tự xưng là “bộ phận hỗ trợ IT”, một tin nhắn Microsoft Teams nhờ “kiểm tra máy giúp”, và chỉ vài phút sau kẻ tấn công đã điều khiển được máy tính của nhân viên. Đó là kịch bản lặp lại trong nhiều vụ việc mà nhóm ứng cứu sự cố Cisco Talos Incident Response xử lý trong quý III/2026. Điều đáng lo là kẻ gian không cần nghiên cứu sâu về doanh nghiệp: nhiều khi chúng chỉ biết họ tên và địa chỉ email của nhân viên.

Kịch bản tấn công: giả làm IT nội bộ

Theo báo cáo được Help Net Security đăng ngày 30/10/2026, kẻ tấn công liên hệ nhân viên qua điện thoại, email và Microsoft Teams, dùng danh tính na ná nhân sự hỗ trợ kỹ thuật thật. Mục tiêu là thuyết phục người dùng tự mở phiên điều khiển từ xa, ví dụ bằng công cụ Quick Assist có sẵn trên Windows. Talos nhận định kẻ gian nắm được quy trình hỗ trợ IT nói chung, nhưng không có dấu hiệu lập hồ sơ chi tiết từng công ty. Chúng không nhắm riêng người có quyền cao, mà tìm bất kỳ ai dễ tin để có chỗ đứng ban đầu.

Một số vụ còn mang tính “cơ hội”: nạn nhân thấy cửa sổ cảnh báo giả trên trình duyệt rồi tự gọi vào số “hỗ trợ” in trên đó. Như vậy, chỉ cần một thao tác thiếu cảnh giác là đủ để mở cửa cho kẻ xâm nhập.

Từ một cuộc gọi đến mã độc tống tiền

Trong một vụ, cuộc gọi lừa đảo dẫn tới việc nhân viên mở phiên Quick Assist. Sau đó, phần mềm quản trị từ xa (RMM) vốn có sẵn trong mạng bị lợi dụng để chạy lệnh PowerShell, tải và cài một gói cài đặt từ địa chỉ bên ngoài. Kết quả là mã độc tống tiền mới tên VYPR được triển khai. Nhóm này dùng lại mã nguồn cũ bị rò rỉ, đồng thời nạp các driver hợp lệ nhưng có lỗ hổng (kỹ thuật BYOVD) để vô hiệu hóa phần mềm bảo vệ đầu cuối. Dữ liệu bị lấy ra ngoài trong nhiều ngày trước khi bị phát hiện.

Vài con số đáng chú ý

  • Mã độc tống tiền chiếm khoảng 27% số vụ Talos xử lý trong quý.
  • Với các vụ xác định được điểm xâm nhập, lừa đảo (phishing) vẫn đứng đầu với 37%, khai thác ứng dụng công khai trên Internet chiếm 33%.
  • Khoảng 33% vụ có vấn đề về quản lý mật khẩu, khóa bí mật; tỷ lệ tương tự với xác thực yếu hoặc MFA chưa chặt.
  • Thiếu nhật ký (log) là điểm yếu phổ biến nhất, gặp ở hơn 40% vụ việc.

Công cụ AI cũng trở thành mục tiêu

Talos ghi nhận trên một máy Mac bị nhiễm qua ứng dụng giả mạo, kẻ tấn công viết script dò tìm thông tin đăng nhập của công cụ lập trình AI lưu trong keychain. Ở vụ khác, một người được tuyển dụng bằng hồ sơ giả đã tự cài các công cụ AI dòng lệnh trên máy có quyền truy cập kho mã và cơ sở dữ liệu. Dù chưa thấy hành vi phá hoại, đây là lời nhắc rằng tài khoản và công cụ của lập trình viên cần được quản lý chặt như tài khoản quản trị.

Doanh nghiệp Việt Nam nên làm gì?

Hình thức gọi điện giả danh IT, ngân hàng hay cơ quan nhà nước không xa lạ ở Việt Nam. Với doanh nghiệp vừa và nhỏ, nơi bộ phận IT thường chỉ 1-2 người và nhân viên quen nhờ hỗ trợ qua Zalo, Teams, rủi ro càng cao. Một số việc nên làm ngay:

  • Quy định kênh hỗ trợ chính thức: thông báo rõ IT nội bộ không bao giờ chủ động yêu cầu mở Quick Assist, UltraViewer, TeamViewer hay đọc mã xác thực. Mọi yêu cầu hỗ trợ đều phải qua số nội bộ hoặc hệ thống ticket.
  • Xác minh danh tính hai chiều: trước khi cấp lại mật khẩu hay đăng ký thiết bị MFA mới, bộ phận hỗ trợ phải xác minh người yêu cầu bằng cách gọi lại số đã đăng ký.
  • Dùng MFA chống lừa đảo: ưu tiên khóa bảo mật FIDO2 hoặc passkey thay cho mã SMS, thông báo đẩy dễ bị “bấm nhầm”.
  • Hạn chế công cụ điều khiển từ xa: gỡ hoặc chặn Quick Assist ở máy không cần dùng; kiểm kê và giới hạn các phần mềm RMM được phép chạy.
  • Giới hạn tin nhắn Teams từ bên ngoài: trong trung tâm quản trị Microsoft 365, chỉ cho phép liên lạc với tổ chức đối tác tin cậy.
  • Lưu log tập trung tối thiểu 90 ngày: gửi nhật ký ra ngoài máy trạm để kẻ tấn công không xóa được, giúp điều tra khi có sự cố.
  • Đào tạo định kỳ: diễn tập tình huống “IT gọi điện” cho nhân viên, nhất là kế toán, nhân sự và lễ tân.

Kết luận

Kẻ tấn công không cần lỗ hổng phức tạp khi có thể “mượn tay” chính nhân viên. Kết hợp quy trình xác minh rõ ràng, MFA mạnh và cấu hình đúng nền tảng cộng tác là cách hiệu quả để chặn kiểu tấn công này. Nếu doanh nghiệp đang dùng hoặc dự định triển khai bản quyền Microsoft 365 – Office, DTIC có thể hỗ trợ tư vấn cấu hình bảo mật Teams, MFA và chính sách truy cập phù hợp. Liên hệ Hotline/Zalo 0913.745.698.

Nguồn tham khảo