Nguy Cơ ATTT Việt Nam Quý 1/2026: Công Ty Nhỏ Cần Làm Gì

Trả lời nhanh: báo cáo Tình hình nguy cơ ATTT tại Việt Nam quý 1 năm 2026 của Viettel Threat Intelligence ghi nhận hơn 6,9 triệu bản ghi tài khoản bị lộ lọt (tăng 53% so với quý 1 năm 2025) và 165 vụ rao bán dữ liệu với hơn 473,7 triệu bản ghi (gấp 2,4 lần cùng kỳ). Với doanh nghiệp nhỏ, điểm đáng chú ý nhất không phải là con số lớn, mà là cách kẻ tấn công vào: báo cáo viết rằng tin tặc ngày càng ưu tiên thu thập và dùng thông tin đăng nhập thay vì tấn công thẳng vào hạ tầng.

Bài này tóm tắt những phần của báo cáo liên quan đến công ty 10 đến 50 người và đổi chúng thành việc làm cụ thể. Báo cáo là tệp PDF 49 trang, lưu trên dulieu.antoanthongtin.gov.vn (thư mục của Tạp chí An toàn thông tin) và được chủ website chỉ cho chúng tôi; metadata của tệp ghi ngày tạo 11/05/2026. Chúng tôi đọc toàn bộ văn bản trích từ tệp này ngày 16/10/2026.

Hãy đọc các con số với hai lưu ý.

1. Đây là số liệu của một nhà cung cấp, không phải thống kê toàn quốc. Phần tuyên bố miễn trừ trách nhiệm của chính báo cáo ghi rằng nó có sử dụng "một số thông tin thu thập được trong quá trình cung cấp dịch vụ cho khách hàng của Viettel Cyber Security", và ở phần DDoS báo cáo giới thiệu giải pháp Viettel Anti-DDoS. Vì vậy hãy đọc nó như tài liệu của một nhà cung cấp dịch vụ an ninh mạng: số liệu phản ánh những gì họ ghi nhận. Chúng tôi trích như lời của Viettel Threat Intelligence, không coi là tổng số vụ của cả nước.
2. Chúng tôi trích lại qua văn bản trích xuất từ PDF. Văn bản có lỗi mất dấu cách, nên các câu trích bên dưới đã được chúng tôi chỉnh lại khoảng trắng, không đổi chữ. Hãy mở tệp gốc nếu cần dẫn lại.

Những con số chính, đọc đúng ngữ cảnh

Chỉ số (theo báo cáo)	Giá trị	So sánh
Bản ghi tài khoản cá nhân bị lộ lọt tại Việt Nam, quý 1 năm 2026	6.909.482	Tăng 53% so với quý 1 năm 2025; giảm 34% so với quý 4 năm 2025
Số vụ lộ lọt dữ liệu bị rao bán	165 vụ, hơn 473,7 triệu bản ghi, ít nhất 13 lĩnh vực	Quý 1 năm 2025 là 48 vụ; quý 1 năm 2024 là 10 vụ
Tên miền lừa đảo ghi nhận	3.890	Tăng hơn 4,3 lần so với quý 1 năm 2025
Trang giả mạo thương hiệu tổ chức, doanh nghiệp Việt Nam	760	Báo cáo ghi nhận và cảnh báo
Vụ lộ lọt do vô tình tải tài liệu hoặc mã nguồn lên nền tảng công khai	42 vụ; GitHub chiếm 38 vụ (khoảng 90%)	Scribd 2 vụ, nguồn khác 2 vụ
Vụ tấn công ransomware được ghi nhận	Ít nhất 5	Có vụ mã hóa 2 TB dữ liệu ở ngành giao thông vận tải và logistics
Số cuộc tấn công DDoS	Tăng gấp 4 lần cùng kỳ quý 1 năm 2025	Đỉnh điểm băng thông 3,7 Tbps

Một điểm báo cáo nhấn mạnh: số bản ghi tài khoản giảm 34% so với quý 4 năm 2025 (10.540.124 bản ghi), nhưng vẫn cao hơn khoảng 8% so với mức trung bình bốn quý của năm 2025. Báo cáo kết luận rằng xu hướng dài hạn vẫn ở mức cao. Hãy tránh cách đọc "quý này giảm nên an toàn hơn".

Về thời điểm, báo cáo ghi tháng 1 có 113 vụ lộ lọt dữ liệu, chiếm 68,5% tổng số vụ của quý, trong khi tháng 2 là 24 vụ và tháng 3 là 28 vụ. Nghĩa là một tháng đột biến kéo cả quý lên; chúng tôi không có nguồn giải thích nguyên nhân.

Điều làm doanh nghiệp nhỏ nên chú ý: đăng nhập hợp lệ khó bị phát hiện

Đoạn đáng đọc nhất với người làm IT kiêm nhiệm nằm ở phần lộ lọt thông tin tài khoản. Báo cáo viết rằng xu hướng tin tặc ưu tiên thu thập và khai thác thông tin xác thực "phản ánh sự dịch chuyển rõ rệt trong chiến thuật tấn công". Danh sách hệ thống mà thông tin đăng nhập bị nhắm tới gồm email doanh nghiệp, VPN, SSO, nền tảng quản lý mã nguồn (GitHub, GitLab), công cụ cộng tác nội bộ (Confluence, Jira, Slack) và hệ thống đám mây (AWS, Azure, GCP).

Lý do báo cáo đưa ra: khi có thông tin đăng nhập hợp lệ, kẻ tấn công "không cần triển khai các kỹ thuật xâm nhập mang tính phá vỡ truyền thống" mà dùng quyền truy cập hợp lệ để vào hệ thống một cách trực tiếp và khó phát hiện hơn. Báo cáo còn nói hoạt động truy cập kiểu này "không tạo ra các dấu hiệu bất thường rõ rệt, không kích hoạt cảnh báo hệ thống, mà biểu hiện dưới dạng các phiên đăng nhập hợp lệ", nên thời gian phản ứng bị kéo dài và chỉ được ghi nhận khi hậu quả đã phát sinh.

Hệ quả cho văn phòng nhỏ (diễn giải của chúng tôi, không phải kết luận của báo cáo): một mật khẩu email bị lộ có thể đủ để kẻ xấu xem thư, đặt quy tắc chuyển tiếp hoặc đổi thông tin thanh toán mà không cần phần mềm độc hại nào. Vì vậy các biện pháp về mật khẩu và xác thực đáng được ưu tiên ngang với phần mềm diệt virus. Xem 7 quy tắc mật khẩu cho doanh nghiệp, passkeys và xác thực không cần mật khẩu và email công ty bị hack: 7 bước khôi phục.

Lộ lọt do chính nhân viên: GitHub và tài liệu công khai

Không phải mọi vụ lộ lọt đến từ tấn công kỹ thuật cao. Báo cáo có một mục riêng về việc người dùng vô tình đưa thông tin nhạy cảm lên nền tảng công khai. Hai kiểu được nêu:

• Nhà phát triển chia sẻ mã nguồn lên GitHub, GitLab hay Postman và vô tình để lộ thông tin được mã hóa cứng trong mã, như địa chỉ IP nội bộ, thông tin xác thực hoặc khóa bảo mật.
• Nhân viên tải tài liệu nội bộ lên các nền tảng chia sẻ công khai như Scribd, PDFCoffee hay PasteBin. Báo cáo viết các tài liệu này có thể chứa mật khẩu, dữ liệu cá nhân nhân viên hoặc chi tiết hạ tầng, và khi đã công khai thì "gần như không thể thu hồi hoàn toàn".

Số liệu của quý: 42 vụ, trong đó GitHub 38 vụ (khoảng 90%). Theo lĩnh vực, Công nghệ và Viễn thông dẫn đầu với 20 vụ, Tài chính và Ngân hàng 14 vụ, Giao thông vận tải và Logistics 3 vụ.

Nếu công ty bạn có người viết mã hoặc tự động hóa, hãy kiểm tra xem có khóa hoặc mật khẩu nào nằm trong kho mã hay không. Nếu không có lập trình viên, điểm đáng học là thói quen: đừng đưa tài liệu nội bộ lên dịch vụ chia sẻ công khai để "tiện gửi". Xem thêm Google Drive: Viewer có tải file được không về cách giới hạn chia sẻ.

Phần mềm crack nằm trong danh sách đường vào

Điều liên quan trực tiếp tới các bài về bản quyền trên site này: ở phần tổng quan về các nhóm tấn công có chủ đích (APT), báo cáo viết rằng phương thức tấn công chủ yếu là "phishing qua email hoặc tài liệu giả mạo, khai thác tài khoản email lộ lọt, phần mềm crack và các lỗ hổng n-day". Phần chi tiết nhắc lại: tin tặc "phát tán mã độc qua phần mềm crack", sau đó thường dùng công cụ như Cobalt Strike để thiết lập kết nối tới máy chủ điều khiển và tải thêm mã độc.

Cần đọc câu này đúng phạm vi:

• Nó nói về các nhóm APT mà Viettel theo dõi, không phải mọi bản crack.
• Báo cáo không cho tỷ lệ bao nhiêu vụ xuất phát từ phần mềm crack, và không nêu sản phẩm cụ thể nào (không nhắc Adobe hay Office).
• Câu này không chứng minh một bản crack bạn đang dùng có mã độc. Nó cho thấy phần mềm crack là một đường vào mà một đơn vị an ninh mạng có tên tuổi liệt kê.

Vì vậy chúng tôi không nêu tỷ lệ "bao nhiêu phần trăm crack chứa mã độc". Nếu muốn rà soát máy trong công ty, hãy dùng công cụ kiểm tra phần mềm crack.

Ransomware, lỗ hổng cũ và tấn công làm tê liệt dịch vụ

Ransomware. Báo cáo ghi ít nhất 5 vụ trong quý, tập trung ở giao thông vận tải và logistics, sản xuất và công nghệ. Hình thức tống tiền kép (vừa mã hóa dữ liệu vừa đe dọa công khai) được ghi là đã trở nên phổ biến. Với vụ nổi bật nhất, báo cáo nêu 2 TB dữ liệu bị mã hóa và nhận xét rằng các nhóm tấn công ưu tiên hạ tầng thiết yếu có áp lực phục hồi dữ liệu cao. Về cách chuẩn bị, xem hướng dẫn bảo vệ doanh nghiệp trước ransomware 2026 và backup bất biến.

Lỗ hổng cũ vẫn bị khai thác. Viettel cảnh báo 26 lỗ hổng mới có nguy cơ ảnh hưởng lớn tới doanh nghiệp Việt Nam. Nhưng phần các lỗ hổng bị khai thác trong thực tế cho thấy nhiều vụ dùng lỗ hổng đã có từ nhiều năm. Danh sách các lỗ hổng được dùng nhiều trong chiến dịch thực tế mà báo cáo nêu gồm Log4Shell (CVE-2021-44228, Apache Log4j), CVE-2023-22515 (Confluence Data Center and Server), CVE-2022-39952 (Fortinet FortiNAC), CVE-2020-10148 (SolarWinds Orion) và CVE-2025-55182 (React Server Components). Báo cáo gọi đây là các lỗ hổng trên sản phẩm phổ biến trong môi trường doanh nghiệp, cho phép thực thi mã từ xa mà không cần xác thực. Báo cáo có biểu đồ tỷ lệ cho từng lỗ hổng, nhưng chúng tôi chỉ đọc được văn bản đi kèm chứ không đọc được biểu đồ, nên không nêu phần trăm. Khuyến nghị của báo cáo: rà soát và nâng cấp phần mềm thường xuyên để vá lỗ hổng kịp thời.

DDoS. Số cuộc tấn công tăng gấp 4 lần cùng kỳ, nhắm tới doanh nghiệp cung cấp dịch vụ hosting, với đỉnh 3,7 Tbps. Với công ty nhỏ không tự vận hành máy chủ công khai, phần này gián tiếp: nếu website hoặc email của bạn nằm trên hosting, hãy hỏi nhà cung cấp về cách họ chống DDoS. Chúng tôi không kiểm chứng giải pháp chống DDoS nào, kể cả giải pháp mà báo cáo giới thiệu.

Lừa đảo. 3.890 tên miền lừa đảo và 760 trang giả mạo; ngành Tài chính và Ngân hàng chiếm 32% các cuộc tấn công lừa đảo, giả mạo. Báo cáo ghi AI (deepfake) được dùng để tạo kịch bản mạo danh người quen, đối tác hoặc cơ quan chức năng. Xem email yêu cầu chuyển khoản lừa đảo: checklist và bảo mật email với SPF, DKIM, DMARC.

Khuyến nghị của báo cáo, dịch sang việc cho văn phòng nhỏ

Báo cáo có mục khuyến nghị nhóm theo ba hướng. Bảng dưới ghi lại khuyến nghị gốc và cách chúng tôi hiểu cho công ty nhỏ (cột phải là diễn giải của chúng tôi).

Khuyến nghị trong báo cáo	Việc cụ thể cho công ty 10 đến 50 người
Theo dõi và giám sát liên tục các nguy cơ; chủ động rà soát dấu hiệu xâm nhập	Bật cảnh báo đăng nhập bất thường cho email và đám mây; có người nhận cảnh báo và biết xử lý
Quản lý rủi ro từ chuỗi cung ứng và bên thứ ba; đưa yêu cầu bảo mật vào hợp đồng	Hỏi nhà cung cấp phần mềm, hosting và đơn vị IT thuê ngoài về cách họ bảo vệ dữ liệu của bạn, ghi vào hợp đồng
Rà soát, nâng cấp phiên bản phần mềm thường xuyên	Lập danh sách phần mềm và máy chủ đang dùng; ưu tiên vá những gì mở ra Internet
Sao lưu định kỳ dữ liệu quan trọng	Có bản sao ngoài hệ thống chính và đã thử khôi phục; xem quy tắc backup 3-2-1-1
Đào tạo nhận thức; kiểm soát truy cập theo quyền tối thiểu	Đào tạo nhân viên nhận biết lừa đảo; mỗi người chỉ có quyền cần cho việc của mình

Ngoài ra báo cáo khuyến nghị các giải pháp mà phần lớn công ty nhỏ khó tự triển khai, như giám sát 24/7, quản lý bề mặt tấn công bên ngoài, zero trust và quản trị tài khoản đặc quyền. Chúng tôi không đánh giá các giải pháp này; chỉ ghi để bạn biết đó là hướng báo cáo nêu.

Khi nghi ngờ có sự cố: một đầu mối có thể liên hệ

Trang chủ của Trung tâm Ứng cứu khẩn cấp không gian mạng Việt Nam (VNCERT), vncert.vn, tự mô tả trung tâm là đơn vị "điều phối, triển khai hoạt động ứng cứu, xử lý sự cố an ninh mạng trên phạm vi toàn quốc", với bộ phận giám sát và ứng phó sự cố làm việc 24/7/365. Trang ghi địa chỉ tại tòa nhà Cục An ninh mạng, Lô E2 Dương Đình Nghệ, Cầu Giấy, Hà Nội, số liên hệ 0692 205 188 và email [email protected].

Thông tin trên lấy từ trang chủ vncert.vn, đọc ngày 16/10/2026. Chủ sở hữu Vietify đã xác nhận đây là đầu mối liên hệ khi có sự cố an ninh mạng. Vietify chưa tự gọi hay gửi email thử, và chúng tôi chưa tìm thấy quy trình tiếp nhận bằng văn bản, nên hãy xem lại số và email trên vncert.vn trước khi liên hệ. Chúng tôi cũng không tìm thấy trang "báo cáo sự cố" riêng trên antoanthongtin.vn: trang này là tạp chí, hiển thị số hotline tòa soạn 024 38357975 chứ không phải đường dây tiếp nhận sự cố. Với sự việc có thiệt hại tài chính, vẫn nên báo ngân hàng và cơ quan công an địa phương.

Phần cần làm ngay khi nghi ngờ lộ tài khoản email: xem email công ty bị hack: 7 bước khôi phục.

Câu hỏi thường gặp

Báo cáo này có phải số liệu chính thức của cả nước không?

Không. Đây là báo cáo của Viettel Threat Intelligence, dựa trên dữ liệu của chính đơn vị này, trong đó có thông tin thu thập khi cung cấp dịch vụ cho khách hàng của Viettel. Nó phản ánh những gì Viettel ghi nhận, không phải tổng số vụ trên toàn quốc.

Công ty nhỏ có thật sự là mục tiêu không?

Báo cáo không tách số liệu theo quy mô doanh nghiệp, nên chúng tôi không có số cho riêng công ty nhỏ. Báo cáo nói dữ liệu của các tổ chức và doanh nghiệp tại Việt Nam đang đứng trước nguy cơ bị thương mại hóa; còn việc một công ty nhỏ cụ thể có bị nhắm hay không thì báo cáo không trả lời.

Phần mềm crack có phải nguyên nhân chính của các vụ tấn công không?

Báo cáo liệt kê phần mềm crack là một trong các đường vào mà các nhóm APT dùng, nhưng không cho tỷ lệ và không nêu sản phẩm cụ thể. Chúng tôi không khẳng định đó là nguyên nhân chính.

Nên làm gì đầu tiên?

Theo cách báo cáo mô tả mối nguy từ thông tin đăng nhập, việc đáng làm sớm là bật xác thực nhiều lớp cho email và đám mây, đổi mật khẩu bị trùng, và rà soát ai đang có quyền quản trị. Đây là diễn giải của chúng tôi.

Báo cáo có dùng số liệu về deepfake và AI không?

Có, ở mức mô tả: báo cáo ghi AI và deepfake được dùng để tăng độ chân thực của các kịch bản mạo danh. Nó không đưa số liệu riêng về deepfake.

Nguồn và ngày kiểm tra

Đọc ngày 16/10/2026:

• Viettel Threat Intelligence, Báo cáo Tình hình nguy cơ ATTT tại Việt Nam quý 1 năm 2026 (PDF 49 trang, đăng trên dulieu.antoanthongtin.gov.vn qua Tạp chí An toàn thông tin).
• Trung tâm Ứng cứu khẩn cấp không gian mạng Việt Nam (VNCERT), trang chủ vncert.vn.
• Tạp chí An toàn thông tin, trang chủ antoanthongtin.vn (chỉ để xác nhận số hotline tòa soạn và việc không có trang báo cáo sự cố).

Chưa kiểm chứng trong bài này:

• Các số liệu của Viettel không được đối chiếu với nguồn độc lập nào khác; báo cáo là của một nhà cung cấp dịch vụ an ninh mạng.
• Văn bản trích từ PDF mất dấu cách; các câu trích đã được chỉnh khoảng trắng, không đổi chữ.
• Quy trình tiếp nhận sự cố của VNCERT: chủ sở hữu Vietify xác nhận đầu mối liên hệ, nhưng Vietify chưa tự gọi hay gửi email thử và chưa tìm thấy quy trình bằng văn bản.
• Các hình biểu đồ trong PDF chỉ được đọc qua văn bản đi kèm, không đọc trực tiếp từ hình.

Là nhận định của chúng tôi, không trích từ báo cáo: cột việc cụ thể cho văn phòng nhỏ, nhận xét về mật khẩu email bị lộ, ví dụ về quy tắc chuyển tiếp thư, và thứ tự ưu tiên "việc làm đầu tiên".

Bước tiếp theo

Nếu bạn muốn Vietify rà soát quyền truy cập email, mật khẩu, backup và phần mềm trong công ty, liên hệ Vietify hoặc nhận đánh giá IT miễn phí. Xem thêm dịch vụ bảo mật IT.

Vietify IT Services — Đối tác IT và phần mềm bản quyền cho doanh nghiệp tại Đà Nẵng. Cập nhật: 16/10/2026.