Báo cáo 2026: 79% các vụ tấn công Ransomware bắt nguồn từ thông tin đăng nhập bị đánh cắp

Cánh cửa mới của Ransomware: Thông tin đăng nhập của bạn, không phải lỗ hổng phần mềm

Trong nhiều năm, lời khuyên về an ninh mạng tập trung vào việc vá lỗi phần mềm trước khi kẻ tấn công có thể khai thác một lỗ hổng đã biết. Lời khuyên đó vẫn còn quan trọng, nhưng phân tích các vụ tấn công ransomware năm 2026 cho thấy đó không còn là nơi hầu hết các cuộc tấn công bắt đầu. Theo các phát hiện, 79% các vụ tấn công ransomware hiện nay bắt nguồn từ danh tính bị xâm phạm: tên người dùng và mật khẩu bị đánh cắp thông qua email lừa đảo, các cuộc gọi kỹ thuật xã hội, và các chiến dịch nhồi thông tin xác thực tái sử dụng dữ liệu đăng nhập bị rò rỉ trên nhiều trang web.

Về mặt thực tế, điều này có nghĩa là các băng nhóm ransomware ngày càng bỏ qua công việc kỹ thuật tìm kiếm và khai thác một máy chủ chưa được vá lỗi. Thay vào đó, chúng chỉ đơn giản là đăng nhập bằng thông tin xác thực mà nhân viên đã vô tình trao cho chúng, dù là thông qua một trang đăng nhập giả mạo thuyết phục, một cuộc gọi từ người giả danh bộ phận hỗ trợ CNTT, hoặc một mật khẩu được tái sử dụng từ một vụ rò rỉ cũ, không liên quan. Kết quả vẫn là hậu quả tàn khốc tương tự: các tệp tin bị mã hóa, hoạt động bị đình trệ, và yêu cầu tiền chuộc, nhưng điểm xâm nhập đã chuyển từ mã code sang con người.

Tại sao danh tính trở thành con đường tấn công ưa thích

Sự chuyển dịch này hợp lý từ góc độ của kẻ tấn công. Khai thác lỗ hổng phần mềm đòi hỏi nghiên cứu, thời điểm chính xác, và thường là cuộc đua với các bản vá bảo mật. Ngược lại, đánh cắp thông tin xác thực có thể được thực hiện trên quy mô lớn với các bộ công cụ lừa đảo giá rẻ hoặc các công cụ tự động kiểm tra các cặp tên người dùng–mật khẩu bị rò rỉ trên hàng loạt dịch vụ cùng lúc. Nếu chỉ một phần nhỏ nhân viên tái sử dụng mật khẩu hoặc mắc bẫy một thông điệp lừa đảo được dàn dựng khéo léo, kẻ tấn công sẽ có được chỗ đứng trông giống hệt truy cập hợp pháp. Không có hồi chuông cảnh báo nào cho một mật khẩu bị đánh cắp được sử dụng đúng cách, và đó chính xác là lý do nó trở thành phương pháp thống trị. Như được báo cáo trong Sophos: 79% Ransomware Bắt Nguồn Từ Thông Tin Xác Thực Bị Đánh Cắp, các nhà nghiên cứu bảo mật đã theo dõi chặt chẽ xu hướng này, và dữ liệu năm 2026 mới nhất xác nhận đây không phải là sự trùng hợp ngẫu nhiên mà là một mô hình bền vững trên toàn bộ bối cảnh ransomware.

Khi đã xâm nhập, những kẻ tấn công sử dụng thông tin xác thực bị đánh cắp thường di chuyển một cách lặng lẽ. Chúng có thể đăng nhập vào hệ thống email, lưu trữ đám mây, và mạng nội bộ bằng chính quyền truy cập mà một nhân viên sử dụng hàng ngày, khiến việc phát hiện sớm trở nên khó khăn. Đây là một sự khác biệt đáng kể so với các cuộc tấn công dựa trên lỗ hổng, vốn thường để lại nhiều dấu vân tay kỹ thuật dễ nhận diện hơn để các đội bảo mật có thể phát hiện.

Góc độ quyền riêng tư: Thông tin xác thực bị đánh cắp thực sự phơi bày điều gì

Các hàm ý về quyền riêng tư ở đây vượt xa thời gian gián đoạn của một công ty đơn lẻ. Khi các nhóm ransomware truy cập thông qua danh tính bị xâm phạm, chúng thường truy cập vào nhiều hệ thống hơn những gì cần thiết để triển khai mã hóa. Tài khoản email, hồ sơ khách hàng, tệp nhân sự, và thông tin liên lạc nội bộ thường nằm sau cùng một thông tin đăng nhập đó. Một thông tin xác thực bị đánh cắp không chỉ mở cánh cửa cho ransomware, mà còn có thể phơi bày dữ liệu cá nhân thuộc về nhân viên, khách hàng, và đối tác kinh doanh – những người không hề có tiếng nói trong cách mật khẩu đó được bảo vệ.

Điều này cũng nhấn mạnh lý do tại sao vệ sinh mật khẩu và bảo vệ thông tin xác thực là các vấn đề quyền riêng tư cá nhân, không chỉ là mối quan tâm CNTT của doanh nghiệp. Mỗi nhân viên tái sử dụng mật khẩu giữa tài khoản công việc và một trang mua sắm cá nhân, hoặc nhập thông tin xác thực vào một trang đăng nhập giả mạo, có khả năng đang trao cho kẻ tấn công một chiếc chìa khóa chính. Các phát hiện của Sophos: 79% Ransomware Bắt Nguồn Từ Thông Tin Xác Thực Bị Đánh Cắp củng cố rằng đây không phải là trường hợp ngoại lệ hiếm gặp; nó hiện là con đường đa số mà các nhóm ransomware dựa vào.

Điều này có ý nghĩa gì với bạn

Nếu bạn là nhân viên tại bất kỳ tổ chức nào, dữ liệu này có nghĩa là thói quen cá nhân của bạn có trọng lượng lớn hơn bạn nghĩ. Một mật khẩu tái sử dụng duy nhất hoặc một cú nhấp chuột vội vàng vào liên kết lừa đảo có thể là ranh giới giữa một sự cố được kiểm soát và một vụ vi phạm toàn công ty. Nếu bạn quản lý CNTT hoặc bảo mật cho một doanh nghiệp, thông điệp cũng rõ ràng tương tự: vá lỗi hệ thống vẫn quan trọng, nhưng bảo vệ danh tính giờ đây xứng đáng được ưu tiên ngang bằng, nếu không muốn nói là cao hơn. Xác thực đa yếu tố, các phương thức đăng nhập chống lừa đảo, và giám sát các nỗ lực nhồi thông tin xác thực không còn là các tùy chọn bổ sung, chúng là các tuyến phòng thủ trung tâm.

Đối với người dùng hàng ngày, điều này cũng củng cố một bài học về quyền riêng tư rộng hơn: các mật khẩu bạn chọn và tái sử dụng có hậu quả vượt xa các tài khoản của chính bạn. Một thông tin xác thực bị rò rỉ từ một trang web không liên quan cuối cùng có thể trở thành điểm xâm nhập cho một cuộc tấn công vào mạng lưới của nhà tuyển dụng bạn.

Các điểm hành động khả thi

• Sử dụng mật khẩu duy nhất, mạnh cho mỗi tài khoản, đặc biệt là các thông tin đăng nhập liên quan đến công việc, và cân nhắc sử dụng trình quản lý mật khẩu để việc này trở nên khả thi.
• Bật xác thực đa yếu tố ở bất cứ nơi nào có hỗ trợ, đặc biệt là trên hệ thống email và truy cập từ xa.
• Xem xét nghi ngờ các yêu cầu đăng nhập bất ngờ, email đặt lại mật khẩu khẩn cấp, hoặc các cuộc gọi CNTT không quen thuộc, và xác minh qua một kênh riêng biệt trước khi phản hồi.
• Nếu tổ chức của bạn cung cấp đào tạo nhận thức về lừa đảo, hãy xem trọng nó; nhận diện một trang đăng nhập giả mạo hoặc email đáng ngờ giờ đây là một trong những biện pháp phòng thủ ransomware hiệu quả nhất hiện có.
• Thường xuyên kiểm tra xem thông tin xác thực của bạn đã xuất hiện trong các vụ vi phạm dữ liệu đã biết hay chưa và thay đổi ngay bất kỳ mật khẩu nào bị tái sử dụng.

Sự chuyển dịch của ransomware về phía danh tính bị xâm phạm không có nghĩa là các lỗ hổng không còn quan trọng, nhưng nó có nghĩa là yếu tố con người đã trở thành chiến trường chính. Luôn cảnh giác với các nỗ lực lừa đảo và thực hành vệ sinh thông tin xác thực mạnh mẽ giờ đây là một trong những cách thiết thực nhất để cả cá nhân và tổ chức giảm thiểu rủi ro của mình.