Một nhân viên nhận được hàng loạt thông báo xác thực đăng nhập gửi liên tục về điện thoại, ngay cả lúc nửa đêm. Mệt mỏi vì bị làm phiền, người này nhận được tin nhắn từ một người tự xưng là bộ phận IT, nói rằng chỉ cần chấp nhận một thông báo là mọi thứ sẽ dừng lại. Họ đã làm theo và chỉ bằng cách đó, kẻ tấn công có ngay quyền truy cập vào mạng nội bộ của công ty mà chưa cần khai thác bất kỳ lỗ hổng kỹ thuật nào. Đây gần như chính xác là cách Uber bị tấn công vào tháng 9/2022 khiến hệ thống nội bộ của hãng bị xâm nhập chỉ trong một đêm.
Sự cố cho thấy một thực tế ngày càng phổ biến: nhiều mối đe dọa nghiêm trọng không bắt đầu từ một lỗ hổng kỹ thuật bên trong hệ thống, mà hình thành từ những gì diễn ra bên ngoài chu vi phòng thủ - một tài khoản bị rao bán, một website giả được dựng lên, một đoạn mã nội bộ vô tình bị đăng công khai. Đây là lớp rủi ro mà tường lửa hay phần mềm diệt virus, vốn tập trung bảo vệ bên trong, khó bao quát được.
Dịch chuyển tư duy từ bị động sang chủ động
Vấn đề này đang trở nên cấp bách hơn vì tốc độ tấn công đã thay đổi hẳn dưới tác động của AI. Ông Trần Minh Quảng, Giám đốc Trung tâm Phân tích và Chia sẻ nguy cơ an ninh mạng, Viettel Cyber Security, cho biết trước đây, từ khi một lỗ hổng được công bố kèm bản vá để các tổ chức kịp thời cập nhật, đến khi kẻ xấu tạo ra được công cụ khai thác lỗ hổng đó, có thể mất vài tuần hoặc vài tháng. Nhưng “hiện nay, với sự hỗ trợ của AI, thời gian này có thể rút ngắn xuống chỉ còn vài giờ hoặc vài ngày”, khiến mô hình vá lỗi theo tháng hoặc theo quý không còn phù hợp với nhiều lỗ hổng nghiêm trọng - trong lúc doanh nghiệp chưa kịp cập nhật, hệ thống có thể đã trở thành mục tiêu của các cuộc tấn công tự động.
Báo cáo M-Trends 2026 của Mandiant ghi nhận không ít lỗ hổng bị khai thác trước cả khi được công bố công khai. Theo Cost of a Data Breach Report 2026 của IBM, trung bình một tổ chức mất 247 ngày để phát hiện và xử lý xong một sự cố rò rỉ dữ liệu, tương đương hơn tám tháng kẻ tấn công có thể hiện diện trong hệ thống mà không bị phát hiện. Cùng lúc đó, cứ bốn vụ tấn công có chủ đích thì một vụ có sự tham gia của AI, tăng 56% so với năm liền trước; riêng nhóm này khiến chi phí mỗi vụ đội thêm khoảng một triệu USD.
Thay vì thụ động chờ hệ thống báo động khi đã bị xâm nhập, các giải pháp cảnh báo sớm truy vết chủ động, thu thập dữ liệu thông tin lộ lọt từ hàng nghìn nguồn trên toàn cầu để phát hiện, xác minh, cảnh báo sớm các mối đe dọa từ khi mới chỉ là nguy cơ, trước khi tin tặc kịp biến chúng thành một cuộc tấn công thực sự. Trong lĩnh vực an ninh mạng, hướng tiếp cận này được gọi là threat intelligence. Khi lượng dữ liệu bị rao bán trên các diễn đàn ngầm ngày càng lớn, nhu cầu biết sớm các nguy cơ an ninh trở thành vấn đề sống còn với nhiều tổ chức.
Tại Việt Nam, riêng nửa đầu năm 2026, Viettel Threat Intelligence ghi nhận 302 vụ lộ lọt dữ liệu trên các diễn đàn ngầm, tăng 58,1% so với cùng kỳ năm 2025, kéo theo hơn 978,7 triệu bản ghi và gần 6,8 TB dữ liệu bị đưa ra thị trường ngầm. Song song với đó là hơn 16,5 triệu bản ghi thông tin tài khoản cá nhân tại Việt Nam bị đánh cắp, chủ yếu qua các dòng mã độc đánh cắp thông tin[1]. Khả năng phát hiện này đến từ mạng lưới thu thập dữ liệu từ các trung tâm Điều hành an ninh mạng có mặt tại 15 quốc gia, kết hợp chia sẻ thông tin với các tổ chức quốc tế trong lĩnh vực an toàn thông tin và phòng chống tội phạm mạng như FIRST, APWG.
Giải quyết hai bài toán thực tế phổ biến trong các doanh nghiệp
Trên thực tế, hai loại rủi ro phổ biến mà doanh nghiệp Việt Nam gặp phải là website giả mạo và lộ lọt tài khoản nội bộ. Với website giả mạo, theo ông Quảng, cái khó không nằm ở khâu phát hiện mà ở khâu xử lý, bởi phần lớn các trang này được đăng ký ở nước ngoài, dùng dịch vụ ẩn danh và liên tục đổi hạ tầng - nếu thiếu cơ chế phối hợp phù hợp, quá trình gỡ bỏ có thể kéo dài nhiều ngày, thậm chí nhiều tuần.
Để rút ngắn thời gian này, Viettel Threat Intelligence duy trì kênh tương tác trực tiếp với các nhà đăng ký tên miền, nhà cung cấp dịch vụ lưu trữ và các tổ chức quốc tế về chống lừa đảo, nhờ đó có thể nhanh chóng xác minh và phối hợp xử lý theo đúng cơ chế của từng quốc gia. Với ngân hàng, tài chính và thương mại điện tử, việc rút ngắn thời gian xử lý từ vài ngày xuống còn vài giờ giảm thiểu tối đa mức thiệt hại tài chính và uy tín thương hiệu. Theo BlackBerry Global Threat Intelligence Report 2025, một website lừa đảo trên thế giới trung bình chỉ tồn tại khoảng nửa ngày trước khi bị gỡ và dựng lại ở nơi khác[2], trong khi APWG ghi nhận tới 3,8 triệu vụ tấn công giả mạo trên toàn cầu trong năm 2025[3].
Với rủi ro lộ lọt tài khoản nội bộ - hậu quả có thể nghiêm trọng hơn nhiều. Tại Việt Nam, trường hợp một ngân hàng thương mại lớn với hàng triệu khách hàng từng gặp những rủi ro vốn phổ biến trong toàn ngành: thông tin đăng nhập bị rao bán trên các diễn đàn ngầm, một số hệ thống cũ chậm được cập nhật bản vá và nguy cơ nhân sự kỹ thuật hoặc đối tác thuê ngoài vô tình để lộ thông tin xác thực lên các kho mã nguồn công khai.
Sau 12 tháng giám sát liên tục, hệ thống Viettel Threat Intelligence đã phát hiện sớm hàng trăm tài khoản có dấu hiệu bị xâm phạm trước khi bị lợi dụng, ngăn được 15 vụ rao bán dữ liệu khách hàng chỉ trong quý IV/2025 và giúp ngân hàng giảm 40% thời gian xử lý sự cố so với trước đó[4]. Trên cơ sở số vụ việc được ngăn chặn và chi phí xử lý sự cố trung bình, Viettel Cyber Security ước tính giá trị thiệt hại tránh được cho ngân hàng này vào khoảng 50 tỷ đồng mỗi năm. Con số này trở nên đáng chú ý hơn khi đặt cạnh chi phí trung bình toàn cầu cho mỗi vụ lộ lọt dữ liệu mà IBM ghi nhận trong báo cáo tháng 7/2026 là 4,99 triệu USD[5], mức cao nhất kể từ khi báo cáo này ra đời và tăng 12% chỉ sau một năm, đồng nghĩa với việc chỉ cần ngăn được một vài sự cố nghiêm trọng cũng đã đủ bù lại khoản đầu tư cho năng lực giám sát.
Cảnh báo sớm chỉ có giá trị khi doanh nghiệp kịp hành động
Theo IBM, những tổ chức ứng dụng sâu AI và tự động hóa vào hoạt động giám sát an ninh mạng có thể phát hiện, xử lý sự cố nhanh hơn trung bình 65 ngày và tiết kiệm khoảng 1,93 triệu USD chi phí khắc phục cho mỗi vụ.
Tuy nhiên, cảnh báo sớm không thể thay thế các lớp bảo vệ bên trong doanh nghiệp.
Một cảnh báo về tài khoản bị lộ sẽ khó phát huy tác dụng nếu doanh nghiệp không thể nhanh chóng khóa tài khoản, thay đổi mật khẩu, kiểm tra lịch sử truy cập hoặc thu hồi quyền đã cấp. Tương tự, việc phát hiện một lỗ hổng nghiêm trọng cũng chưa đủ nếu quy trình cập nhật bản vá kéo dài hoặc trách nhiệm xử lý không được phân định rõ ràng.
Doanh nghiệp vì thế vẫn phải duy trì các biện pháp bảo vệ cơ bản như xác thực đa yếu tố, phân quyền truy cập chặt chẽ và xây dựng quy trình phản ứng sự cố rõ ràng. Nếu thiếu những nền tảng này, việc nhìn thấy rủi ro từ sớm cũng khó chuyển thành hành động kịp thời.
Khi tốc độ tấn công đã vượt xa chu kỳ vá lỗi định kỳ, câu hỏi đặt ra với doanh nghiệp không còn chỉ là có cần đầu tư vào cảnh báo sớm hay không. Yêu cầu cấp thiết đặt ra là quy trình và năng lực ứng phó nội bộ của các doanh nghiệp phải đáp ứng được đủ nhanh để biến cảnh báo thành hành động ngăn chặn, trước khi nguy cơ bên ngoài trở thành sự cố bên trong.
