Báo cáo năm 2026: Số nạn nhân ransomware tăng vọt 24,9% lên 7.551

Số nạn nhân ransomware tiếp tục tăng và tốc độ đang nhanh hơn

Ransomware không hề chậm lại. Theo số liệu mới do The National CIO Review báo cáo, 7.551 nạn nhân ransomware bị công khai danh tính đã được ghi nhận từ tháng 4/2025 đến tháng 3/2026, tăng 24,9% so với năm trước. Chỉ riêng điều đó đã đáng chú ý, nhưng chi tiết đáng nói hơn nằm ở chỗ mức tăng trưởng xảy ra ở đâu: mức tăng không trải đều trong năm. Nó tập trung vào nửa cuối năm, khi số nạn nhân trung bình hằng tháng gần như tăng gấp đôi, từ 484 lên 775.

Kiểu tăng tốc đó quan trọng hơn tổng số hằng năm. Mức tăng đều đặn cho thấy một vấn đề dai dẳng mà các tổ chức đang dần thích nghi. Còn mức tăng đột biến giữa năm cho thấy có điều gì đó đã thay đổi, có thể là nhiều nhóm ransomware hơn gia nhập lĩnh vực này, các nhóm hiện tại mở rộng quy mô hoạt động, hoặc đơn giản là nạn nhân bị lộ danh công khai nhanh hơn khi chiến thuật tống tiền thay đổi.

Vì sao mức tăng đột biến nửa cuối năm mới là câu chuyện thực sự

Các chiến dịch ransomware hiện đại ngày càng dựa vào "tống tiền kép", theo đó kẻ tấn công không chỉ mã hóa hệ thống của nạn nhân mà còn đánh cắp dữ liệu và đe dọa công khai rò rỉ dữ liệu nếu không được trả tiền chuộc. Mối đe dọa lộ dữ liệu đó thường chính là lý do khiến một tổ chức bị đưa vào danh sách nạn nhân công khai ngay từ đầu, vì các băng nhóm ransomware thường duy trì các trang rò rỉ dữ liệu nhằm gây sức ép để mục tiêu trả tiền.

Động thái này đã lặp đi lặp lại ở nhiều lĩnh vực. Các công ty xây dựng và kỹ thuật, cơ quan chính phủ, hãng hàng không và nhà bán lẻ đều từng bị nêu tên trên các trang rò rỉ dữ liệu ransomware sau khi kẻ tấn công tuyên bố đã đánh cắp dữ liệu nhạy cảm. Ví dụ, vụ tấn công được nhóm ransomware Play tuyên bố nhắm vào Kreysler & Associates đã đi đúng kịch bản này: đe dọa rò rỉ được dùng làm đòn bẩy, với việc nạn nhân bị nêu tên công khai trước khi yêu cầu tiền chuộc được giải quyết. Tương tự, một chiến dịch ransomware duy nhất bị liên hệ với các vụ vi phạm tại ANC, SAA và Pick n Pay của Nam Phi, cho thấy một nhóm có thể gây ra hàng loạt nạn nhân nổi bật ở nhiều ngành không liên quan trong thời gian ngắn.

Số lượng nhóm ransomware hoạt động ngày càng tăng trong báo cáo của The National CIO Review khớp với xu hướng này. Càng nhiều nhóm hoạt động cùng lúc đồng nghĩa với việc có nhiều trang rò rỉ hơn, nhiều nạn nhân bị tuyên bố hơn và nhiều chiến dịch gây sức ép diễn ra song song hơn, điều này giúp lý giải vì sao số nạn nhân hằng tháng gần như tăng gấp đôi thay vì tăng dần dần.

Tác động đến quyền riêng tư của người dùng thông thường

Trong khi các tiêu đề về ransomware thường tập trung vào tổ chức bị tấn công, hậu quả về quyền riêng tư lại lan xuống những người có dữ liệu mà tổ chức đó nắm giữ. Khi một nhóm ransomware đánh cắp dữ liệu trước khi mã hóa mạng, dữ liệu bị đánh cắp thường bao gồm hồ sơ khách hàng, thông tin nhân viên, dữ liệu tài chính hoặc dữ liệu sức khỏe, tùy theo ngành của nạn nhân. Ngay cả khi công ty từ chối trả tiền và khôi phục từ bản sao lưu, dữ liệu bị đánh cắp vẫn có thể bị công bố hoặc bán nếu kẻ tấn công thực hiện lời đe dọa rò rỉ.

Đây là lý do số nạn nhân tăng không chỉ là vấn đề CNTT của doanh nghiệp. Mỗi cái tên mới được thêm vào trang rò rỉ có thể đại diện cho hàng nghìn cá nhân có thông tin cá nhân hiện đứng trước nguy cơ bị lộ, bị đánh cắp danh tính hoặc bị tấn công lừa đảo có chủ đích. Quy mô được ghi nhận trong báo cáo này, với số nạn nhân tăng từ trung bình 484 lên 775 mỗi tháng, đồng nghĩa với lượng người có thể phải lo lắng về việc dữ liệu của họ bị phát tán ngoài tầm kiểm soát tăng lên đáng kể.

Điều này có ý nghĩa gì với bạn

Bạn không cần phải vận hành mạng doanh nghiệp mới bị ảnh hưởng bởi xu hướng này. Nếu bạn là khách hàng, nhân viên hoặc bệnh nhân của bất kỳ tổ chức nào, dữ liệu của bạn có thể bị cuốn vào vụ vi phạm mà bạn không hề góp phần gây ra. Một vài bước thiết thực có thể giúp giảm mức độ rủi ro của bạn:

• Hãy giả định mọi tài khoản gắn với tổ chức bạn tương tác đều có thể trở thành một phần của vụ vi phạm, và sử dụng mật khẩu riêng cho từng dịch vụ để một vụ rò rỉ không lan sang các tài khoản khác.
• Bật xác thực đa yếu tố ở bất kỳ nơi nào được cung cấp, vì thông tin đăng nhập bị đánh cắp sẽ kém hữu dụng hơn nhiều đối với kẻ tấn công nếu cần thêm bước xác minh thứ hai.
• Theo dõi email thông báo từ các công ty bạn có giao dịch, và coi trọng các thông báo vi phạm thay vì xem nhẹ chúng như chuyện thường lệ.
• Cân nhắc phong tỏa tín dụng hoặc cảnh báo gian lận nếu bạn nhận được thông báo rằng dữ liệu của mình liên quan đến sự cố ransomware, đặc biệt nếu có thông tin tài chính hoặc danh tính.

Điểm mấu chốt

Sự gia tăng số nạn nhân ransomware bị công khai, và đặc biệt là mức tăng tốc mạnh trong nửa sau của kỳ báo cáo, cho thấy tội phạm mạng dựa vào tống tiền đang trở nên có tổ chức và thường xuyên hơn thay vì chững lại. Với các tổ chức, điều đó đồng nghĩa với áp lực mới phải củng cố hệ thống phòng thủ và kế hoạch ứng phó sự cố. Với cá nhân, đây là lời nhắc nhở rằng bảo vệ dữ liệu không còn chỉ là trách nhiệm của doanh nghiệp; đó là trách nhiệm chung. Luôn cập nhật lĩnh vực nào đang bị nhắm tới và duy trì vệ sinh tài khoản cơ bản vẫn là một trong những cách hiệu quả nhất để hạn chế hậu quả cá nhân khi nhóm nạn nhân ransomware tiếp theo xuất hiện trên các tiêu đề.