Cisco Talos đã công bố báo cáo xu hướng ứng phó sự cố (IR) quý 3/2026, và những phát hiện nổi bật đáng để tìm hiểu ngay cả khi bạn không làm việc trong một nhóm bảo mật. Lừa đảo trực tuyến (phishing) vẫn là kỹ thuật xâm nhập ban đầu hàng đầu, tỷ lệ các vụ ransomware và tiền ransomware tăng lên, còn tài chính và hành chính công cùng chia sẻ vị trí ngành bị nhắm mục tiêu nhiều nhất. Báo cáo cũng nhấn mạnh việc kẻ tấn công mạo danh bộ phận hỗ trợ IT trong các cuộc tấn công vishing (lừa đảo qua thoại). Bài viết này giải thích ý nghĩa của những điều đó bằng ngôn ngữ đơn giản và cách bảo vệ bản thân khỏi các xu hướng IR quý 3/2026 của Talos vốn bắt đầu bằng một cuộc điện thoại.

Báo cáo quý 3/2026 của Talos đã phát hiện ra điều gì

Tài liệu nguồn đưa ra một bản tóm tắt ngắn gọn về quý này:

  • Phishing vẫn đứng đầu. Đây vẫn là cách phổ biến nhất để kẻ tấn công có được chỗ đứng đầu tiên.
  • Tỷ lệ ransomware tăng. Tỷ lệ các vụ ransomware và tiền ransomware tăng so với giai đoạn trước đó được báo cáo đề cập.
  • Hai ngành cùng giữ vị trí hàng đầu. Tài chính và hành chính công là những ngành bị nhắm mục tiêu nhiều nhất.
  • Mạo danh bộ phận hỗ trợ. Các đối tượng giả danh bộ phận hỗ trợ IT trong các cuộc tấn công vishing.

"Tiền ransomware" ở đây rất quan trọng. Đây là những vụ mà đội ứng phó phát hiện kẻ tấn công bên trong mạng lưới trước khi ransomware được triển khai. Điều đó cho thấy nhiều vụ xâm nhập được phát hiện, hoặc ít nhất là nhận ra, trong giai đoạn dàn dựng, khi hành động nhanh chóng vẫn có thể hạn chế thiệt hại.

Vishing mạo danh bộ phận hỗ trợ diễn ra như thế nào

Vishing là phishing bằng giọng nói. Thay vì một liên kết đáng ngờ trong email, kẻ tấn công gọi điện (hoặc đôi khi nhắn tin) và tự nhận là từ bộ phận hỗ trợ IT. Chiêu bài thường được xây dựng dựa trên sự khẩn cấp và tính thường nhật: một vấn đề với tài khoản của bạn, một cảnh báo bảo mật, một mật khẩu cần đặt lại, hoặc một bản cập nhật phần mềm phải được cài đặt.

Điều này hiệu quả vì con người được tạo thói quen hợp tác với nhân viên hỗ trợ. Một người gọi điện thân thiện, tự tin, biết một cái tên hoặc chức danh công việc có thể nghe có vẻ đáng tin. Mục tiêu thường là khiến bạn làm một trong vài việc sau:

  • Tiết lộ mật khẩu hoặc mã đa yếu tố dùng một lần.
  • Phê duyệt một lời nhắc đăng nhập mà bạn không khởi tạo.
  • Cài đặt phần mềm truy cập từ xa để "kỹ thuật viên" có thể khắc phục sự cố.
  • Truy cập một trang đăng nhập giả nhưng trông thuyết phục.

Một khi kẻ tấn công có được một phiên làm việc hoặc thông tin đăng nhập trông hợp pháp, chúng có thể di chuyển lặng lẽ qua các hệ thống. Đó chính là kiểu chỗ đứng có thể sau này biến thành một sự cố ransomware. Bản tóm tắt của Talos không đi sâu vào từng bước của những cuộc tấn công này, nên bài học thực tiễn nằm ở khoảnh khắc đầu tiên: chính cuộc gọi đó.

Cách xác minh một người gọi từ IT

Thói quen an toàn nhất là coi bất kỳ yêu cầu bất ngờ nào về thông tin đăng nhập, mã hoặc truy cập từ xa là chưa được xác minh cho đến khi bạn chứng minh được điều ngược lại. Một vài bước đơn giản sẽ giúp ích:

  1. Gác máy và gọi lại. Sử dụng số từ danh bạ công ty, trang web chính thức hoặc hóa đơn cũ, tuyệt đối không dùng số mà người gọi cung cấp cho bạn.
  2. Không bao giờ chia sẻ mã. Nhân viên hỗ trợ hợp pháp không cần mật khẩu hoặc mã đa yếu tố của bạn.
  3. Không cài đặt phần mềm theo yêu cầu. Các công cụ truy cập từ xa chỉ nên được sử dụng khi chính bạn là người khởi tạo yêu cầu hỗ trợ.
  4. Chậm lại. Áp lực và sự khẩn cấp là những công cụ chính của kỹ thuật xã hội. Một vấn đề thực sự vẫn sẽ ở đó sau khi bạn xác minh.
  5. Báo cáo. Hãy nói với nhóm IT thực sự hoặc liên hệ bảo mật của bạn về nỗ lực đó, ngay cả khi bạn không mắc bẫy. Những người khác có thể đang nhận cùng cuộc gọi.

Nếu bạn làm việc ở nơi có hệ thống ticket nội bộ, một nguyên tắc tốt là liên hệ hỗ trợ thực sự phải truy xuất được tới một ticket mà bạn đã mở hoặc biết đến.

Điều này có ý nghĩa gì với bạn

Báo cáo dựa trên các hợp đồng ứng phó sự cố với các tổ chức, nhưng các chiến thuật này áp dụng rộng rãi vượt ra ngoài môi trường công sở. Nhiều người sử dụng thiết bị công việc tại nhà, điều hành doanh nghiệp nhỏ từ mạng gia đình, hoặc dùng lại cùng các tài khoản trong cả cuộc sống cá nhân và công việc. Một tài khoản bị xâm phạm tại nơi làm việc có thể làm lộ dữ liệu cá nhân, và một vụ lừa đảo qua điện thoại thành công tại nhà có thể trao đi đúng những loại thông tin đăng nhập đó.

Tỷ lệ ransomware gia tăng là lời nhắc nhở rằng các vụ xâm phạm ở giai đoạn đầu đáng được chú ý. Nếu có điều gì đó cảm thấy bất thường sau một cuộc gọi, chẳng hạn như một lời nhắc bạn không mong đợi hoặc phần mềm bạn không định cài đặt, hãy hành động nhanh chóng. Thay đổi mật khẩu bị ảnh hưởng từ một thiết bị sạch, đăng xuất khỏi các phiên đang hoạt động và thông báo cho liên hệ IT của bạn.

Bảo mật điện thoại và mạng cũng kết nối với các thói quen riêng tư rộng hơn. Để có bối cảnh về mức độ mong manh của kết nối và giám sát ở quy mô quốc gia, hãy xem bài viết của chúng tôi về sự cố ngắt internet kỷ lục 1.000 giờ của Iran. Đó là một loại sự kiện khác, nhưng nó cho thấy tại sao việc hiểu ai kiểm soát và có thể quan sát các kết nối của bạn lại quan trọng.

Những điểm cần hành động

  • Coi các cuộc gọi IT bất ngờ là chưa được xác minh, và gọi lại bằng một số đáng tin cậy.
  • Không bao giờ đọc mật khẩu hoặc mã đa yếu tố, và không bao giờ phê duyệt các lời nhắc mà bạn không kích hoạt.
  • Chỉ cài đặt các công cụ hỗ trợ từ xa khi chính bạn là người khởi tạo yêu cầu.
  • Bật xác thực đa yếu tố và giữ phần mềm cùng các bản sao lưu luôn được cập nhật, vì các vụ ransomware đang chiếm tỷ lệ ngày càng tăng trong các sự cố.
  • Báo cáo kịp thời các cuộc gọi đáng ngờ để những người phòng thủ có thể phát hiện sớm hoạt động tiền ransomware.

Xu hướng IR quý 3/2026 của Talos là một tín hiệu rõ ràng: kẻ tấn công vẫn dựa vào con người nhiều hơn là các lỗ hổng khai thác kỳ lạ. Một khoảng dừng ngắn và một cuộc gọi lại tới số đã được xác minh vẫn nằm trong số những biện pháp phòng vệ hiệu quả nhất chống lại vishing mạo danh bộ phận hỗ trợ.