Khi một hacker mũ trắng trả lời phỏng vấn Euronews vào tháng 11 năm 2026, các ví dụ đưa ra không hề trừu tượng: tủ lạnh siêu thị, các dịch vụ máu và mạng lưới nhà nước của Berlin. Theo cuộc phỏng vấn, các cuộc tấn công mạng ngày càng nhắm vào cơ sở hạ tầng trọng yếu, và chúng thường thành công nhờ khai thác lỗi con người. Điều đó khiến chủ đề này trở nên thiết thân với mọi người, không chỉ với các đội CNTT. Hướng dẫn này tổng hợp các mẹo bảo vệ thực tế trước các cuộc tấn công mạng dựa trên lỗi con người, dựa trên những điểm nổi bật của cuộc phỏng vấn.

Cuộc phỏng vấn của Euronews nói gì về các cuộc tấn công vào cơ sở hạ tầng trọng yếu

Bản tóm tắt của Euronews chỉ ra một loạt mục tiêu: thiết bị bán lẻ hằng ngày như tủ lạnh siêu thị, các dịch vụ liên quan đến sức khỏe như dịch vụ máu, và các hệ thống chính phủ như mạng lưới nhà nước của Berlin. Theo hacker mũ trắng, điểm chung là kẻ tấn công thường khai thác lỗi con người thay vì chỉ phá vỡ các lớp phòng thủ kỹ thuật.

Tiêu đề cũng mang một tuyên bố đáng chú ý: cứ hai người thì có một người có nguy cơ trở thành nạn nhân của một cuộc tấn công mạng. Tài liệu mà chúng tôi có là một bản tóm tắt ngắn, nên không thể trình bày chi tiết từng trường hợp mà hacker đã thảo luận. Điều mà bản tóm tắt làm rõ là thông điệp trọng tâm: điểm yếu nhất thường là con người, không phải máy móc.

Lỗi con người mở ra cánh cửa như thế nào: lừa đảo phishing, thông tin đăng nhập yếu và kỹ thuật xã hội

"Lỗi con người" không phải là sự đánh giá về trí thông minh của bất kỳ ai. Nó mô tả những khoảnh khắc thường ngày khi một mánh khóe thuyết phục gặp một người đang bận rộn. Ba mô thức xuất hiện lặp đi lặp lại trong công tác bảo mật.

Lừa đảo phishing. Một tin nhắn trông như đến từ ngân hàng, đơn vị chuyển phát hoặc đồng nghiệp thúc giục bạn nhấp vào liên kết hoặc mở tệp đính kèm. Liên kết dẫn đến một trang đăng nhập giả, và mọi thứ bạn gõ vào đều đến tay kẻ tấn công.

Thông tin đăng nhập yếu hoặc dùng lại. Nếu bạn dùng cùng một mật khẩu cho nhiều dịch vụ, một mật khẩu bị lộ có thể mở khóa nhiều tài khoản. Mật khẩu ngắn hoặc dễ đoán thì dễ bị đoán ra hơn.

Kỹ thuật xã hội. Đây là thao túng thay vì hack theo nghĩa kỹ thuật: một cuộc gọi từ nhân viên hỗ trợ giả, một yêu cầu khẩn cấp từ người được cho là quản lý, hoặc áp lực phải hành động trước khi kịp suy nghĩ.

Một sai lầm đơn giản không phải lúc nào cũng liên quan đến việc nạn nhân nhấp vào thứ gì đó. Những sơ suất trong cấu hình của nhân viên cũng có thể làm lộ dữ liệu ở quy mô lớn. Báo cáo của chúng tôi về cách một bucket AWS của CBSE bị cấu hình sai làm lộ dữ liệu của 2 triệu học sinh cho thấy một sơ suất duy nhất có thể để lộ các hồ sơ nhạy cảm cho bất kỳ ai tìm thấy chúng.

Tất nhiên, không phải cuộc tấn công nào cũng dựa vào con người. Một số khai thác các lỗ hổng phần mềm mà nhà cung cấp chưa biết đến, được gọi là lỗ hổng zero-day. Nhưng luận điểm của cuộc phỏng vấn vẫn đứng vững: nhiều cuộc tấn công thành công bắt đầu từ một khoảnh khắc của con người, chứ không phải từ một khai thác kỳ lạ.

Vì sao nên đọc kỹ tuyên bố 'cứ hai người thì có một'

Con số "cứ hai người thì có một" tạo nên một tiêu đề dễ nhớ, nhưng hãy xem xét nó một cách thận trọng. Bản tóm tắt mà chúng tôi có không giải thích con số đó được tính như thế nào, trong khoảng thời gian nào, hay điều gì được coi là "trở thành nạn nhân." Nạn nhân có thể có nghĩa là bất cứ điều gì, từ việc nhấp vào một liên kết phishing đến việc bị chiếm đoạt tài khoản.

Điều đó không khiến lời cảnh báo trở nên vô nghĩa. Nên hiểu nó như một lời nhắc rằng việc bị nhắm tới là chuyện phổ biến và bất kỳ ai cũng có thể sơ suất. Thay vì ám ảnh về một con số thống kê, hãy tập trung vào điều bạn có thể kiểm soát: giảm khả năng một sai lầm duy nhất dẫn đến tổn hại nghiêm trọng.

Các bước thực tế để bảo vệ tài khoản và thiết bị của bạn

Những thói quen này giải quyết các mô thức nêu trên và không cần chuyên môn đặc biệt.

  • Dùng mật khẩu riêng cho mỗi tài khoản. Một trình quản lý mật khẩu có thể tạo và lưu chúng để bạn không phải nhớ từng cái.
  • Bật xác thực đa yếu tố (MFA). Ngay cả khi mật khẩu bị đánh cắp, bước thứ hai khiến kẻ tấn công khó sử dụng nó hơn nhiều. Nên ưu tiên ứng dụng xác thực hoặc khóa phần cứng hơn là tin nhắn văn bản khi có thể.
  • Chậm lại với những tin nhắn bất ngờ. Sự khẩn cấp là một chiêu gây áp lực kinh điển. Nếu một tin nhắn yêu cầu tiền, mã hoặc thông tin đăng nhập, hãy xác minh qua một kênh khác, chẳng hạn gọi cho tổ chức bằng số bạn đã tin tưởng.
  • Kiểm tra liên kết trước khi nhấp. Hãy truy cập trực tiếp vào trang web thay vì theo liên kết trong email hoặc tin nhắn văn bản.
  • Cập nhật phần mềm. Các bản cập nhật vá những lỗ hổng bảo mật đã biết trên điện thoại, máy tính và ứng dụng của bạn.
  • Cẩn thận với những gì bạn chia sẻ. Những chi tiết đăng công khai có thể giúp kẻ tấn công khiến một tin nhắn nghe có vẻ thuyết phục.
  • Báo cáo sai lầm nhanh chóng. Nếu bạn đã nhấp vào thứ gì đó đáng ngờ, hãy đổi mật khẩu và báo ngay cho đội CNTT hoặc nhà cung cấp dịch vụ của bạn. Tốc độ sẽ hạn chế thiệt hại.

Điều này có ý nghĩa gì với bạn

Cuộc phỏng vấn của Euronews là lời nhắc rằng các cuộc tấn công vào hệ thống lớn và các cuộc tấn công vào cá nhân thường có chung điểm xâm nhập. Bạn không thể kiểm soát cách một siêu thị hay một mạng lưới chính phủ được phòng thủ, nhưng bạn có thể kiểm soát thói quen của chính mình. Đối xử với mọi yêu cầu bất ngờ bằng sự hoài nghi lành mạnh, cùng với việc có sẵn MFA và mật khẩu riêng, nghĩa là một sai sót sẽ ít có khả năng trở thành thảm họa hơn nhiều.

Nếu bạn cũng dùng VPN, hãy nhớ nó làm gì và không làm gì: nó mã hóa kết nối của bạn, nhưng nó sẽ không ngăn bạn nhập mật khẩu vào một trang đăng nhập giả. Thói quen tốt và công cụ tốt phối hợp cùng nhau.

Những điểm chính

Các mẹo bảo vệ hiệu quả nhất trước các cuộc tấn công mạng dựa trên lỗi con người cũng là những mẹo đơn giản nhất. Tuần này, hãy rà soát mật khẩu của bạn và thay thế bất kỳ mật khẩu nào bị dùng lại. Bật xác thực đa yếu tố cho email, ngân hàng và tài khoản mạng xã hội của bạn. Đối xử với những tin nhắn bất ngờ bằng sự nghi ngờ và xác minh trước khi hành động. Và để có một ví dụ rõ ràng về cách một sai lầm đơn giản có thể làm lộ dữ liệu của hàng triệu người, hãy đọc bài viết của chúng tôi về cấu hình sai của CBSE.