Dấu hiệu sớm trước vụ ransomware: bài học từ báo cáo Black Kite 2026

Phần lớn doanh nghiệp bị ransomware đều đã phát ra tín hiệu cảnh báo từ trước, chỉ là không ai theo dõi. Báo cáo Ransomware 2026 của Black Kite cho thấy 93,5% nạn nhân có chỉ số nhạy cảm với ransomware tăng ít nhất 5% trong tháng trước khi bị công bố, và gần một nửa vẫn còn lỗ hổng nghiêm trọng ngay cả sau sự cố. Hiểu những tín hiệu này giúp đội an ninh và bộ phận quản lý nhà cung cấp hành động trước khi quá muộn.

Báo cáo Black Kite 2026 đo những gì

Black Kite là hãng chuyên đánh giá rủi ro an ninh mạng của bên thứ ba từ góc nhìn bên ngoài, tức là chỉ dựa vào những gì có thể quan sát từ internet. Báo cáo năm 2026 (dữ liệu từ tháng 4/2025 đến tháng 3/2026, được GBHackers tóm lược) ghi nhận 7.551 nạn nhân được công bố, tăng 24,9% so với kỳ trước, trung bình khoảng 629 nạn nhân mỗi tháng. Riêng tháng 3/2026 có 861 nạn nhân. Đến tháng 6/2026, số nhóm hoạt động lên 146.

Điểm làm báo cáo này khác biệt là chỉ số Ransomware Susceptibility Index (RSI), thang từ 0 đến 1, ước lượng khả năng một tổ chức bị ransomware dựa trên các yếu tố quan sát được bên ngoài.

Những tín hiệu xuất hiện trước khi bị tấn công

Chỉ số rủi ro tăng đột ngột

Theo báo cáo, 93,5% nạn nhân có RSI tăng từ 5% trở lên theo tháng trước khi bị công bố, và 85,9% tăng từ 10% trở lên. Tổ chức có RSI trên 0,8 có khả năng bị tấn công cao gấp 291 lần so với tổ chức dưới 0,2. RSI trung bình của toàn bộ nhóm được theo dõi cũng tăng từ 0,557 lên 0,616.

Một chỉ số tăng vọt thường phản ánh thay đổi cụ thể: một dịch vụ mới mở ra internet, một thiết bị VPN chưa vá, chứng chỉ hết hạn, hay thông tin đăng nhập của nhân viên mới xuất hiện trong nhật ký mã độc đánh cắp.

Nhật ký infostealer tăng 175%

Mức độ lộ nhật ký từ mã độc đánh cắp thông tin (stealer log) tăng 175%. Mỗi bản ghi như vậy có thể chứa tên đăng nhập, mật khẩu, cookie phiên của nhân viên, đủ để kẻ tấn công đăng nhập mà không cần phá mật khẩu. Đây chính là nguyên liệu mà các nhóm môi giới truy cập ban đầu đóng gói để bán.

Email chưa được bảo vệ

Có 58,9% nạn nhân cấu hình DMARC sai. Tên miền không có DMARC ở chế độ chặn dễ bị giả mạo để gửi email lừa đảo cho chính nhân viên và đối tác, mở đường cho bước xâm nhập đầu tiên.

Sau sự cố, lỗ hổng vẫn còn đó

Black Kite quét lại các nạn nhân sau khi sự cố được công bố và thấy kết quả đáng lo:

Nguồn: Black Kite 2026 Ransomware Report qua GBHackers.

Nói cách khác, nhiều tổ chức khôi phục hoạt động nhưng không đóng cửa mà kẻ tấn công đã đi vào. Rủi ro bị tấn công lần hai, bởi chính nhóm cũ hoặc một nhóm khác mua lại thông tin, là rất thực tế. Báo cáo cũng nhắc nhóm Everest khai thác "nợ vá lỗi" tích tụ, tức là những lỗ hổng bị bỏ qua qua nhiều tháng.

Nhà cung cấp là đường vào phổ biến

Báo cáo nhấn mạnh các nền tảng của nhà cung cấp đáng tin cậy đang trở thành đường tấn công chính. Các sự cố liên quan đến lạm dụng token OAuth và chuỗi ủy quyền SaaS cho thấy kẻ tấn công không cần vào thẳng doanh nghiệp, chỉ cần vào một ứng dụng được doanh nghiệp cấp quyền. Việc khai thác Oracle E-Business Suite (CVE-2025-61882) cũng minh họa cách một nền tảng doanh nghiệp phổ biến có thể kéo theo nhiều nạn nhân phía sau.

Sản xuất tiếp tục là ngành bị nhắm nhiều nhất năm thứ tư liên tiếp với 1.660 nạn nhân (22%), tiếp theo là dịch vụ chuyên môn, khoa học, kỹ thuật với 1.389 nạn nhân. Qilin là nhóm tăng mạnh nhất, từ 250 lên 1.358 nạn nhân, tăng 443%, hoạt động ở hơn 50 quốc gia.

Tự rà soát theo góc nhìn của kẻ tấn công

Doanh nghiệp không nhất thiết phải mua một chỉ số thương mại để bắt đầu. Có thể tự trả lời các câu hỏi sau mỗi tháng:

1. Có dịch vụ nào mới xuất hiện trên internet trong tháng qua không (cổng quản trị, máy chủ thử nghiệm, RDP)?
2. Thiết bị biên như VPN, tường lửa, cổng email có đang chạy phiên bản dính lỗ hổng trong danh mục KEV của CISA không?
3. Tên miền chính và các tên miền phụ đã có DMARC ở chế độ quarantine hoặc reject chưa?
4. Có thông tin đăng nhập của nhân viên mới xuất hiện trong các bộ nhật ký infostealer hay danh sách rò rỉ không?
5. Những ứng dụng SaaS nào đang giữ token OAuth với quyền đọc email, tệp hoặc CRM của công ty?

Câu hỏi nào trả lời "không biết" thì đó là điểm mù cần ưu tiên. Dịch vụ kiểm tra độ rủi ro hệ thống công nghệ thông tin thường bắt đầu chính từ danh sách này.

Áp dụng cho quản lý nhà cung cấp

Cách làm tương tự áp dụng được cho đối tác. Thay vì chỉ gửi bảng câu hỏi bảo mật mỗi năm một lần, doanh nghiệp có thể theo dõi liên tục bề mặt tấn công bên ngoài của những nhà cung cấp quan trọng nhất. Khi điểm rủi ro của một đối tác tăng vọt, đó là lúc nên liên hệ hỏi han, tạm thời hạn chế quyền truy cập hoặc yêu cầu bằng chứng khắc phục.

Black Kite không đưa ra mục khuyến nghị riêng, nhưng hàm ý từ số liệu khá rõ: theo dõi chỉ số rủi ro như tín hiệu cảnh báo sớm, đóng các lỗ hổng KEV, sửa DMARC và kiểm soát các mối quan hệ tin cậy OAuth với bên thứ ba. Khi sự cố vẫn xảy ra, cần có sẵn quy trình như mô tả trong bài dịch vụ phản ứng sự cố khẩn cấp, và đừng quên quét lại toàn bộ sau khi khôi phục.