Phát hiện hơn 16,5 triệu bản ghi tài khoản tại Việt Nam bị đánh cắp, Viettel tiết lộ “vũ khí” đi trước hacker, giúp một ngân hàng tránh thiệt hại khoảng 50 tỷ đồng/năm

Theo Viettel Cyber Security, số vụ lộ, lọt dữ liệu được hệ thống Viettel Threat Intelligence ghi nhận trong sáu tháng đầu năm tăng 58,1% so với cùng kỳ năm 2025. Các vụ việc liên quan đến hơn 978,7 triệu bản ghi và gần 6,8 TB dữ liệu được đưa lên thị trường ngầm.

Cùng thời gian này, hệ thống phát hiện hơn 16,5 triệu bản ghi tài khoản tại Việt Nam bị đánh cắp, chủ yếu thông qua các dòng mã độc có khả năng thu thập thông tin.

Dữ liệu được tổng hợp từ mạng lưới các trung tâm điều hành an ninh mạng tại 15 quốc gia, kết hợp nguồn tin chia sẻ từ những tổ chức quốc tế hoạt động trong lĩnh vực an toàn thông tin và phòng, chống tội phạm mạng.

AI có thể giúp hacker khai thác lỗ hổng chỉ sau vài giờ

Theo ông Trần Minh Quảng, Giám đốc Trung tâm Phân tích và Chia sẻ nguy cơ an ninh mạng, Viettel Cyber Security (VSC), nhiều cuộc tấn công không bắt đầu từ lỗ hổng kỹ thuật bên trong hệ thống.

Một tài khoản bị rao bán trên diễn đàn ngầm, website giả mạo hoặc thông tin xác thực vô tình xuất hiện trên kho mã nguồn công khai đều có thể trở thành điểm khởi đầu để kẻ tấn công xâm nhập doanh nghiệp.

Trong khi tường lửa và phần mềm diệt virus chủ yếu bảo vệ bên trong, Viettel Threat Intelligence thu thập, phân tích dữ liệu từ nhiều nguồn để phát hiện tài khoản bị lộ, dữ liệu bị rao bán, tên miền giả mạo và dấu hiệu chuẩn bị tấn công.

Kết quả phân tích được sử dụng để cảnh báo cho tổ chức, doanh nghiệp kiểm tra và xử lý trước khi nguy cơ phát triển thành sự cố.

Ông Trần Minh Quảng cho biết trước đây, khoảng thời gian từ lúc một lỗ hổng được công bố kèm bản vá đến khi tin tặc tạo được công cụ khai thác có thể kéo dài vài tuần hoặc vài tháng.

Hiện nay, với sự hỗ trợ của AI, thời gian này có thể được rút ngắn xuống còn vài giờ hoặc vài ngày.

"Điều này khiến mô hình cập nhật bản vá theo tháng hoặc theo quý không còn phù hợp với nhiều lỗ hổng nghiêm trọng. Trong lúc doanh nghiệp chưa kịp cập nhật, hệ thống có thể đã trở thành mục tiêu của những cuộc tấn công tự động", ông Quảng cho hay.

Báo cáo M-Trends 2026 của Mandiant cũng ghi nhận nhiều lỗ hổng bị khai thác trước khi được công bố rộng rãi. Theo báo cáo Cost of a Data Breach 2026 của IBM, trung bình một tổ chức cần 247 ngày để phát hiện và xử lý hoàn tất một sự cố rò rỉ dữ liệu. Như vậy, kẻ tấn công có thể hiện diện trong hệ thống hơn tám tháng mà không bị phát hiện.

Cứ bốn cuộc tấn công có chủ đích thì có một vụ liên quan đến AI, tăng 56% so với năm trước. Những sự cố thuộc nhóm này khiến chi phí bình quân tăng thêm khoảng 1 triệu USD mỗi vụ.

Hơn 978 triệu bản ghi bị đưa lên thị trường ngầm

Thay vì chờ hệ thống phát cảnh báo sau khi đã bị xâm nhập, các giải pháp cảnh báo sớm chủ động thu thập thông tin từ hàng nghìn nguồn trên thế giới để phát hiện, xác minh và cảnh báo mối đe dọa ngay từ khi chúng mới xuất hiện. Cách tiếp cận này được gọi là Threat Intelligence, hay tình báo về các mối đe dọa an ninh mạng.

Trong nửa đầu năm 2026, Viettel Threat Intelligence ghi nhận 302 vụ lộ, lọt dữ liệu trên các diễn đàn ngầm, tăng 58,1% so với cùng kỳ năm 2025.

Những vụ việc này liên quan đến hơn 978,7 triệu bản ghi và gần 6,8 TB dữ liệu được đưa lên thị trường ngầm. Hệ thống đồng thời phát hiện hơn 16,5 triệu bản ghi tài khoản tại Việt Nam bị đánh cắp, chủ yếu thông qua các loại mã độc chuyên thu thập thông tin.

Năng lực phát hiện của Viettel Threat Intelligence được xây dựng trên mạng lưới thu thập dữ liệu từ các trung tâm điều hành an ninh mạng tại 15 quốc gia. Hệ thống còn chia sẻ thông tin với những tổ chức quốc tế hoạt động trong lĩnh vực an toàn thông tin và phòng, chống tội phạm mạng như FIRST và APWG.

Hai rủi ro phổ biến đối với doanh nghiệp Việt Nam

Theo ông Trần Minh Quảng, hai nhóm rủi ro thường gặp tại doanh nghiệp Việt Nam là website giả mạo và tình trạng lộ, lọt tài khoản nội bộ.

Với website giả mạo, khó khăn lớn không nằm ở việc phát hiện mà ở quá trình xử lý.

Phần lớn các website này được đăng ký ở nước ngoài, sử dụng dịch vụ ẩn danh và liên tục thay đổi hạ tầng. Nếu không có cơ chế phối hợp phù hợp, việc gỡ bỏ có thể kéo dài nhiều ngày, thậm chí nhiều tuần.

Viettel Threat Intelligence duy trì kênh làm việc trực tiếp với các đơn vị đăng ký tên miền, nhà cung cấp dịch vụ lưu trữ và tổ chức quốc tế chống lừa đảo. Qua đó, các website vi phạm có thể được xác minh và phối hợp xử lý theo cơ chế của từng quốc gia.

Đối với các ngành ngân hàng, tài chính và thương mại điện tử, việc rút ngắn thời gian xử lý từ vài ngày xuống vài giờ có thể giúp giảm thiểu thiệt hại tài chính và ảnh hưởng đến uy tín thương hiệu.

Theo BlackBerry Global Threat Intelligence Report 2025, một website lừa đảo trên thế giới tồn tại trung bình khoảng nửa ngày trước khi bị gỡ bỏ và dựng lại tại địa chỉ khác. APWG ghi nhận 3,8 triệu vụ tấn công giả mạo trên toàn cầu trong năm 2025.

Với rủi ro lộ lọt tài khoản nội bộ, hậu quả có thể nghiêm trọng hơn nhiều. Ông Quảng dẫn chứng, tại Việt Nam, trường hợp một ngân hàng thương mại lớn với hàng triệu khách hàng từng gặp những rủi ro vốn phổ biến trong toàn ngành: thông tin đăng nhập bị rao bán trên các diễn đàn ngầm, một số hệ thống cũ chậm được cập nhật bản vá và nguy cơ nhân sự kỹ thuật hoặc đối tác thuê ngoài vô tình để lộ thông tin xác thực lên các kho mã nguồn công khai.

Sau 12 tháng giám sát liên tục, hệ thống Viettel Threat Intelligence đã phát hiện sớm hàng trăm tài khoản có dấu hiệu bị xâm phạm trước khi bị lợi dụng, ngăn được 15 vụ rao bán dữ liệu khách hàng chỉ trong quý IV/2025 và giúp ngân hàng giảm 40% thời gian xử lý sự cố so với trước đó.

Trên cơ sở số vụ việc được ngăn chặn và chi phí xử lý sự cố trung bình, VCS ước tính giá trị thiệt hại tránh được cho ngân hàng này vào khoảng 50 tỷ đồng mỗi năm. Con số này trở nên đáng chú ý hơn khi đặt cạnh chi phí trung bình toàn cầu cho mỗi vụ lộ lọt dữ liệu mà IBM ghi nhận trong báo cáo tháng 7/2026 là 4,99 triệu USD, mức cao nhất kể từ khi báo cáo này ra đời và tăng 12% chỉ sau một năm, đồng nghĩa với việc chỉ cần ngăn được một vài sự cố nghiêm trọng cũng đã đủ bù lại khoản đầu tư cho năng lực giám sát.

Cảnh báo sớm không thể thay thế các lớp bảo vệ nội bộ

Theo Viettel Cyber Security, cảnh báo sớm không thể thay thế các lớp bảo vệ bên trong doanh nghiệp.

Một cảnh báo về tài khoản bị lộ chỉ phát huy tác dụng khi đơn vị có thể nhanh chóng khóa tài khoản, thay đổi mật khẩu, kiểm tra lịch sử truy cập và thu hồi quyền đã cấp. Tương tự, việc phát hiện một lỗ hổng sẽ chưa đủ nếu quy trình cập nhật bản vá kéo dài hoặc trách nhiệm xử lý chưa được phân định rõ.

Bên cạnh giám sát nguy cơ bên ngoài, doanh nghiệp vẫn cần duy trì xác thực đa yếu tố, quản lý chặt quyền truy cập, thường xuyên cập nhật bản vá và xây dựng quy trình phản ứng sự cố.

Trong bối cảnh AI rút ngắn thời gian khai thác lỗ hổng, yêu cầu đặt ra không chỉ là phát hiện nguy cơ sớm mà còn phải chuyển cảnh báo thành hành động ngăn chặn trước khi kẻ tấn công xâm nhập sâu vào hệ thống.