Sophos: 71% doanh nghiệp bị tấn công danh tính trong năm 2025
Một báo cáo mới quan trọng từ Sophos đã đưa ra một con số gây sửng sốt về vấn đề mà các chuyên gia bảo mật đã cảnh báo trong nhiều năm: 71% tổ chức trên toàn thế giới đã chịu ít nhất một vụ vi phạm bảo mật liên quan đến danh tính trong năm qua. Những phát hiện này xuất hiện vào thời điểm các cuộc tấn công dựa trên danh tính không còn là mối đe dọa ngách nữa, mà là phương thức chủ yếu để kẻ tấn công có được chỗ đứng bên trong môi trường doanh nghiệp. Đối với cả doanh nghiệp và cá nhân, dữ liệu này là một tín hiệu rõ ràng rằng vệ sinh danh tính không thể tiếp tục bị coi là mối quan tâm thứ yếu.
Dữ liệu Sophos tiết lộ gì về tần suất và phạm vi vi phạm danh tính
Quy mô của những phát hiện từ Sophos thật khó bỏ qua. Gần ba trong bốn tổ chức, thuộc mọi ngành nghề và khu vực địa lý, đã trải qua một vụ xâm phạm liên quan đến danh tính trong một năm. Đây không phải là câu chuyện về một vài mục tiêu nổi bật; nó phản ánh một lỗ hổng mang tính hệ thống, rộng khắp trong cách các tổ chức quản lý ai, và cái gì, có quyền truy cập vào hệ thống của họ.
Các vụ vi phạm liên quan đến danh tính khác với các cuộc xâm nhập mạng truyền thống ở một điểm quan trọng. Thay vì phá vỡ tường lửa, kẻ tấn công xâm phạm thông tin đăng nhập hoặc token để có được quyền truy cập trông có vẻ hợp pháp. Một khi đã vào bên trong, chúng có thể di chuyển ngang, leo thang đặc quyền và đánh cắp dữ liệu trong khi vẫn tỏ ra, ít nhất là ban đầu, như một người dùng được ủy quyền. Điều này khiến việc phát hiện chậm hơn và khắc phục phức tạp hơn.
Hậu quả thực tế từ những thất bại về danh tính đã tràn ngập các tiêu đề trong năm 2025. Vụ vi phạm Alert 360 làm lộ 2,5 triệu bản ghi và vụ vi phạm Zara ảnh hưởng đến gần 200.000 khách hàng thông qua một nhà cung cấp bên thứ ba đều minh họa cách thông tin đăng nhập bị xâm phạm, dù qua tấn công trực tiếp hay phơi nhiễm chuỗi cung ứng, có thể dẫn đến mất mát dữ liệu khổng lồ.
Danh tính phi con người và khóa API đang trở thành mục tiêu hàng đầu như thế nào
Một trong những phát hiện có tầm nhìn xa hơn trong báo cáo Sophos là sự chú ý mà nó dành cho các danh tính phi con người. Danh mục này bao gồm khóa API, tài khoản dịch vụ, script tự động hóa và ngày càng nhiều là các tác nhân AI được cấp quyền truy cập vào hệ thống để thực hiện các tác vụ một cách tự chủ.
Khi các tổ chức áp dụng các công cụ hỗ trợ AI và tự động hóa nhiều hơn các quy trình làm việc của mình, họ đang tạo ra một kho tài sản ngày càng tăng gồm các tác nhân phi con người nắm giữ thông tin đăng nhập và quyền hạn. Vấn đề là những danh tính này thường xuyên bị quản lý sai: quyền hạn quá rộng, thông tin đăng nhập hiếm khi được xoay vòng, và việc giám sát các hành vi bất thường không nhất quán, nếu có.
Một khóa API được nhúng trong kho mã nguồn, hoặc một tác nhân AI được cấp quyền ghi vào cơ sở dữ liệu sản xuất, đại diện cho một mục tiêu có giá trị cao đối với kẻ tấn công. Không giống như tài khoản người dùng, các danh tính phi con người thường thiếu cùng một quy trình quản lý vòng đời, nghĩa là chúng có thể tồn tại rất lâu sau khi không còn cần thiết và không bị phát hiện khi bị xâm phạm. Báo cáo Sophos xác định việc quản lý sai này là một trong những vector tấn công chính dẫn đến con số 71%.
Tại sao lỗi con người vẫn là mắt xích yếu nhất trong bảo mật danh tính
Cùng với sự gia tăng của các rủi ro danh tính phi con người, những phát hiện của Sophos xác nhận rằng lỗi con người tiếp tục làm suy yếu ngay cả những chương trình bảo mật được đầu tư tốt. Lừa đảo qua email vẫn rất hiệu quả. Việc tái sử dụng thông tin đăng nhập giữa các tài khoản cá nhân và công việc tạo ra con đường cho kẻ tấn công chuyển từ một vụ vi phạm của người tiêu dùng vào môi trường doanh nghiệp. Và các tài khoản có đặc quyền quá mức, được tạo ra để thuận tiện và không bao giờ được giới hạn phạm vi đúng cách, trao cho kẻ tấn công nhiều quyền truy cập hơn mức chúng nên có thể chạm tới.
Yếu tố con người cũng thể hiện rõ trong việc các vụ vi phạm lan rộng nhanh chóng như thế nào một khi có được quyền truy cập ban đầu. Một tài khoản bị xâm phạm duy nhất được sử dụng bởi người có quyền quản trị rộng có thể làm lộ hàng nghìn bản ghi trong vòng vài giờ. Lĩnh vực chăm sóc sức khỏe đã chứng minh là đặc biệt dễ bị tổn thương, như đã thấy trong các sự cố như vụ vi phạm NYC Health ảnh hưởng đến 1,8 triệu cá nhân, nơi việc quản lý sai danh tính ở bất kỳ cấp độ nào của một hệ thống phức tạp đều có thể gây ra hậu quả vượt xa mức bình thường.
Các chương trình đào tạo và nâng cao nhận thức có ích, nhưng chúng không đủ nếu đứng một mình. Dữ liệu Sophos cho thấy các tổ chức cần các kiểm soát cấu trúc để giảm bán kính ảnh hưởng của những sai sót con người, chứ không chỉ là các chính sách dựa vào việc nhân viên làm điều đúng đắn mỗi lần.
Phòng thủ theo chiều sâu: VPN và công cụ bảo mật riêng tư phù hợp ở đâu trong bảo vệ danh tính
Không có công cụ đơn lẻ nào giải quyết được vấn đề bảo mật danh tính, và đó chính xác là điểm mấu chốt. Khái niệm phòng thủ theo chiều sâu, xếp lớp nhiều kiểm soát bảo mật để một thất bại ở một lớp không tự động có nghĩa là xâm phạm toàn bộ, là khuôn khổ mà những phát hiện của Sophos ủng hộ, ngay cả khi chỉ một cách ngầm hiểu.
VPN đóng một vai trò cụ thể và quan trọng trong chồng bảo mật này. Bằng cách mã hóa lưu lượng mạng và ẩn siêu dữ liệu kết nối, VPN giảm rủi ro thông tin đăng nhập hoặc token phiên bị chặn trên đường truyền, đặc biệt trên các mạng không đáng tin cậy. Đối với nhân viên làm việc từ xa truy cập tài nguyên doanh nghiệp từ khách sạn, sân bay hoặc không gian làm việc chung, VPN là một kiểm soát cơ bản nhưng có ý nghĩa, đóng lại một cửa sổ mà nếu không sẽ rộng mở.
Ngoài VPN, một chiến lược bảo vệ danh tính theo lớp bao gồm xác thực đa yếu tố trên tất cả các tài khoản, nguyên tắc đặc quyền tối thiểu cho cả danh tính con người và phi con người, kiểm tra thường xuyên các thông tin đăng nhập và khóa API đang hoạt động, và giám sát các mẫu đăng nhập bất thường. Dữ liệu Sophos củng cố rằng đây không phải là những thứ tùy chọn bổ sung cho các doanh nghiệp lớn; các tổ chức thuộc mọi quy mô đều đang bị nhắm mục tiêu.
Điều này có ý nghĩa gì với bạn
Dù bạn quản lý CNTT cho một công ty hay chỉ đơn giản là một cá nhân đang cố gắng bảo vệ tài khoản của mình, báo cáo Sophos mang một thông điệp trực tiếp: danh tính bây giờ là vành đai, và nó cần được bảo vệ tương xứng.
Dưới đây là các bước cụ thể để thực hiện:
- Kiểm tra thông tin đăng nhập của bạn. Xác định bất kỳ tài khoản nào sử dụng mật khẩu bị tái sử dụng hoặc yếu và cập nhật chúng bằng các lựa chọn thay thế độc đáo, phức tạp được lưu trong trình quản lý mật khẩu.
- Bật xác thực đa yếu tố ở mọi nơi. Ưu tiên email, tài khoản tài chính và tài khoản công việc trước.
- Xem lại quyền ứng dụng và quyền truy cập API. Nếu bạn quản lý bất kỳ dự án phần mềm hoặc công cụ kinh doanh nào, hãy kiểm tra những dịch vụ nào đang nắm giữ thông tin đăng nhập hoạt động và thu hồi bất kỳ thứ gì không còn được sử dụng.
- Sử dụng VPN trên các mạng không đáng tin cậy. Mã hóa kết nối của bạn ngăn chặn việc chặn thông tin đăng nhập khi bạn ở xa môi trường được bảo mật.
- Cập nhật thông tin về các vụ vi phạm. Các dịch vụ thông báo cho bạn khi email của bạn xuất hiện trong một tập dữ liệu vi phạm đã biết sẽ cho bạn cảnh báo sớm để xoay vòng thông tin đăng nhập bị ảnh hưởng trước khi kẻ tấn công có thể khai thác chúng.
Con số 71% từ Sophos không phải là lý do để hoảng loạn, nhưng nó là lý do để hành động. Các vụ vi phạm bảo mật liên quan đến danh tính trong năm 2025 không phải là rủi ro giả định; chúng đang xảy ra với phần lớn các tổ chức ngay lúc này. Xây dựng phòng thủ theo lớp, kết hợp các thực hành danh tính mạnh mẽ với các biện pháp bảo vệ ở cấp độ mạng, là phản ứng thực tế mà dữ liệu đòi hỏi.
