Các cuộc tấn công ransomware hiếm khi bắt đầu bằng việc mã hóa. Rất lâu trước khi hệ thống bị khóa và một lá thư đòi tiền chuộc xuất hiện, kẻ tấn công có thể đã nắm trong tay thông tin đăng nhập cần thiết để bước vào mạng của tổ chức. Đó là thông điệp cốt lõi của một bài viết gần đây trên Security Boulevard dựa trên Báo cáo Điều tra Vi phạm Dữ liệu (DBIR) năm 2026 của Verizon, và nó định hình lại cách chúng ta nên nghĩ về các cuộc tấn công ransomware bằng thông tin đăng nhập bị đánh cắp: việc khóa hệ thống là màn cuối cùng, không phải nước đi mở đầu.
Đoạn trích có sẵn từ bài đưa tin về báo cáo đó khá ngắn gọn, vì vậy bài viết này chỉ bám sát những gì nó nêu ra và những gì vpn.social đã đưa tin. Điểm mấu chốt vẫn rõ ràng và thiết thực đối với cả cá nhân và tổ chức.
Thông tin đăng nhập bị đánh cắp trở thành điểm xâm nhập ransomware như thế nào
Sẽ hữu ích khi hình dung ransomware như một chuỗi cung ứng thay vì một sự kiện đơn lẻ. Các tác nhân khác nhau đảm nhận các giai đoạn khác nhau. Một nhóm thu thập thông tin đăng nhập, một nhóm khác mua hoặc sử dụng chúng để vào bên trong mạng, và bản thân ransomware đến sau, khi quyền truy cập đã được đảm bảo.
Điều này quan trọng vì một tên người dùng và mật khẩu hợp lệ trông giống như hoạt động bình thường. Kẻ tấn công đăng nhập bằng thông tin đăng nhập thật không cần phải phá qua tường lửa hay khai thác một lỗ hổng phần mềm. Chúng chỉ cần đăng nhập, và các công cụ bảo mật có thể không phát hiện điều gì bất thường ngay từ đầu.
Vào thời điểm việc mã hóa bắt đầu, kẻ tấn công có thể đã ở bên trong một thời gian. Yêu cầu đòi tiền chuộc là thời điểm nạn nhân phát hiện ra, không phải thời điểm cuộc tấn công bắt đầu.
Chuỗi cung ứng thông tin đăng nhập bắt đầu từ đâu: Infostealer và thông tin đăng nhập bị rò rỉ
Vậy thông tin đăng nhập đến từ đâu? Một nguồn chính là phần mềm độc hại infostealer, thứ âm thầm thu hoạch thông tin đăng nhập đã lưu, dữ liệu phiên và các bí mật khác từ các thiết bị bị nhiễm. Dữ liệu bị đánh cắp thường được đóng gói thành các "log" mà tội phạm có thể trao đổi hoặc bán.
vpn.social đã đưa tin chi tiết về sự thay đổi này. Như chúng tôi đã đưa tin, các log infostealer đã vượt qua phishing để trở thành nguyên nhân vi phạm hàng đầu, với các nhà nghiên cứu chỉ ra phần mềm độc hại infostealer là một cách ngày càng phổ biến để kẻ tấn công xâm nhập vào mạng doanh nghiệp. Điều đó khớp với bức tranh chuỗi cung ứng: thu hoạch thông tin đăng nhập là một bước riêng biệt nuôi dưỡng bất kỳ cuộc tấn công nào tiếp theo, bao gồm cả ransomware.
Một chiếc laptop cá nhân bị nhiễm duy nhất có thể là đủ. Nếu một nhân viên lưu thông tin đăng nhập công việc trong trình duyệt trên một thiết bị bị xâm phạm, thông tin đăng nhập đó có thể kết thúc trên một chợ tội phạm mà người sử dụng lao động không hề hay biết.
DBIR 2026 nói gì về quyền truy cập ransomware
DBIR của Verizon là một trong những nghiên cứu thường niên được trích dẫn rộng rãi nhất về cách các vụ vi phạm xảy ra. Theo bài đưa tin về ấn bản năm 2026, kẻ tấn công có thể đã có thông tin đăng nhập cần thiết trước khi một cuộc tấn công ransomware trở nên hữu hình. Cách diễn đạt này đặt thông tin đăng nhập ở vị trí đầu chuỗi tấn công thay vì coi việc mã hóa là điểm khởi đầu.
Chúng tôi sẽ không đưa ra con số cho phát hiện đó ở đây, vì đoạn trích nguồn không cung cấp chúng. Độc giả muốn có số liệu chính xác nên tham khảo chính báo cáo. Tuy nhiên, hướng đi thì nhất quán với xu hướng rộng hơn là việc đánh cắp thông tin đăng nhập thúc đẩy quyền truy cập ban đầu.
Hàm ý thực tiễn là một sự thay đổi về trọng tâm. Phòng thủ chống lại ransomware không chỉ là về sao lưu và bảo vệ điểm cuối ở cuối chuỗi. Nó còn có nghĩa là giảm số lượng thông tin đăng nhập hợp lệ, bị lộ mà tội phạm có thể thu thập ở đầu chuỗi.
Điều này có ý nghĩa gì với bạn: Các bước thực tiễn để giảm thông tin đăng nhập bị lộ
Bạn không thể ngăn chặn mọi infostealer, nhưng bạn có thể làm cho thông tin đăng nhập bị đánh cắp ít hữu dụng hơn nhiều. Hãy cân nhắc các bước sau:
- Sử dụng mật khẩu duy nhất cho mỗi tài khoản. Nếu một thông tin đăng nhập bị rò rỉ, nó không nên mở khóa bất cứ thứ gì khác.
- Áp dụng trình quản lý mật khẩu. Nó giúp mật khẩu dài và duy nhất trở nên thực tế, và tránh việc lưu trữ thông tin đăng nhập một cách lỏng lẻo trong trình duyệt trên một thiết bị mà bạn không hoàn toàn tin tưởng.
- Bật xác thực đa yếu tố (MFA). Khi đó, chỉ một mật khẩu bị đánh cắp là không đủ để đăng nhập. Ưu tiên các phương thức dựa trên ứng dụng hoặc phần cứng khi có sẵn.
- Giữ thiết bị sạch sẽ. Cài đặt bản cập nhật, tránh tải xuống phần mềm không chính thức và gỡ bỏ các chương trình bạn không nhận ra, vì infostealer thường đến theo cách đó.
- Tách biệt mục đích công việc và cá nhân. Tránh đăng nhập vào tài khoản công việc trên thiết bị cá nhân hoặc dùng chung.
- Thay đổi mật khẩu sau khi nghi ngờ bị nhiễm hoặc nhận thông báo vi phạm. Hãy làm điều đó từ một thiết bị sạch đã biết, và đăng xuất khỏi các phiên đang hoạt động.
Nếu bạn quản lý một nhóm, logic tương tự cũng mở rộng: thực thi MFA, giới hạn những người có quyền truy cập đặc quyền, và xem xét những tài khoản nào vẫn còn quyền truy cập mà họ không còn cần nữa.
Cắt đứt đường cung ứng
Bài học trọng tâm từ bài đưa tin về DBIR Verizon 2026 là các cuộc tấn công ransomware bằng thông tin đăng nhập bị đánh cắp bắt đầu rất lâu trước khi bất kỳ ai nhìn thấy một lá thư đòi tiền chuộc. Cách phòng thủ hiệu quả nhất là làm cho thông tin đăng nhập của bạn khó bị đánh cắp và ít giá trị hơn nếu chúng bị đánh cắp.
Hãy bắt đầu ngay hôm nay với một cuộc kiểm tra đơn giản: liệt kê các tài khoản quan trọng của bạn, kiểm tra mật khẩu bị dùng lại, và bật MFA ở bất cứ nơi nào được cung cấp. Sau đó chuyển thông tin đăng nhập của bạn vào một trình quản lý mật khẩu với thông tin đăng nhập duy nhất cho mỗi dịch vụ. Để có cái nhìn sâu hơn về cách thông tin đăng nhập bị thu hoạch ngay từ đầu, hãy đọc báo cáo của chúng tôi về các log infostealer vượt qua phishing để trở thành nguyên nhân vi phạm hàng đầu. Một chút vệ sinh bảo mật ngay bây giờ có thể phá vỡ mắt xích đầu tiên trong chuỗi.
