475 triệu lượt dò quét website ở Nhật: doanh nghiệp Việt rút ra gì

Trong tháng 10/2026, các website doanh nghiệp tại Nhật Bản hứng khoảng 475 triệu lượt tấn công, mức cao nhất từng ghi nhận và gấp khoảng 2,5 lần cùng kỳ năm trước. Phần lớn là hoạt động dò quét tự động tìm lỗ hổng, kèm theo các nỗ lực chèn mã SQL tăng vọt. Các chuyên gia nghi ngờ kẻ tấn công đang dùng AI để tự động hóa. Website của doanh nghiệp Việt Nam nằm trong cùng một internet, nên làn sóng này không phải chuyện của riêng Nhật.

Số liệu từ Nhật Bản và khu vực

Theo bản tin của Báo Chính phủ, được CafeF đăng lại ngày 11/11/2026, khảo sát công bố ngày 5/11 cho thấy số lượt tấn công vào website doanh nghiệp Nhật trong tháng 10 nhiều hơn tháng trước khoảng 21 triệu. Dữ liệu của Cyber Security Cloud cho thấy từ tháng 1/2025 đến tháng 5/2026, số kết nối bất hợp pháp mỗi tháng dao động 100–200 triệu, rồi nhảy lên khoảng 400 triệu trong tháng 6/2026.

Nguồn: Cyber Security Cloud, qua Báo Chính phủ/CafeF.

Cùng bản tin, khu vực châu Á ghi nhận thêm nhiều sự cố trong đầu tháng 11. Viện An ninh Tài chính Hàn Quốc (FSI) xác nhận hệ thống đánh giá an ninh bị xâm nhập ngày 9/11, lộ khoảng 200 biểu mẫu hành chính, 300 hồ sơ cá nhân và 350 bản ghi người dùng hệ thống; kẻ tấn công liên tục đổi địa chỉ IP để né kiểm soát. Tại Singapore, ứng dụng đặt suất ăn học đường Tappee của SATS bị truy cập trái phép, làm lộ thông tin cá nhân học sinh, phụ huynh.

Dò quét tự động là gì và vì sao tăng

Dò quét là bước trinh sát: công cụ tự động gửi hàng loạt yêu cầu đến website để tìm phiên bản phần mềm cũ, trang quản trị bị lộ, tệp cấu hình bỏ quên, tham số dễ bị chèn mã. Khi tìm thấy điểm yếu, kẻ tấn công mới chuyển sang khai thác thật. Với AI, việc viết và điều chỉnh các kịch bản dò quét trở nên rẻ hơn rất nhiều, đồng thời có thể sinh biến thể để vượt qua bộ lọc đơn giản.

SQL injection không phải kỹ thuật mới, nhưng vẫn hiệu quả với những website tự viết, ít được kiểm thử. Một tham số tìm kiếm hay một biểu mẫu đăng nhập không lọc đầu vào có thể cho phép kẻ tấn công đọc toàn bộ cơ sở dữ liệu khách hàng.

Liên hệ với tình hình tại Việt Nam

Không có số liệu dò quét tương đương cho Việt Nam trong tháng 10, nhưng bức tranh chung không sáng sủa hơn. Báo cáo quý III/2026 của Viettel Threat Intelligence ghi nhận 34.223 lỗ hổng mới, và các chiến dịch thực tế vẫn chủ yếu khai thác lỗ hổng đã biết. Các công cụ dò quét tự động không phân biệt quốc gia: chúng quét toàn bộ dải địa chỉ IP và mọi tên miền tìm được. Một website thương mại điện tử nhỏ ở Đà Nẵng cũng nhận các yêu cầu dò quét như một tập đoàn ở Tokyo.

Doanh nghiệp Việt có thêm vài điểm yếu đặc thù: nhiều website được thuê làm trọn gói rồi không ai bảo trì, plugin mã nguồn mở không được cập nhật, trang quản trị để đường dẫn mặc định, và máy chủ thử nghiệm quên tắt sau khi ra mắt.

Danh sách việc cần làm cho website doanh nghiệp

Biết mình có gì

• Liệt kê toàn bộ tên miền, tên miền phụ, máy chủ đang công khai, kể cả trang khuyến mãi tạm thời và môi trường thử nghiệm.
• Ghi lại phiên bản hệ quản trị nội dung, plugin, thư viện đang dùng; theo dõi thông báo bảo mật của từng thành phần.

Giảm bề mặt bị dò

• Đổi đường dẫn trang quản trị khỏi mặc định, giới hạn truy cập theo IP hoặc đặt sau VPN.
• Xóa tệp sao lưu, tệp cấu hình, thư mục .git còn sót trên máy chủ web.
• Tắt các máy chủ thử nghiệm không còn dùng.

Chặn và phát hiện

• Đặt tường lửa ứng dụng web (WAF) trước website, bật bộ luật chống SQL injection và giới hạn tần suất yêu cầu.
• Theo dõi nhật ký truy cập để nhận ra đợt dò quét: nhiều lỗi 404 liên tiếp từ cùng nguồn, yêu cầu đến đường dẫn quản trị phổ biến, tham số chứa ký tự lạ.
• Cảnh báo khi có đăng nhập quản trị từ địa điểm hoặc giờ bất thường.

Sửa từ gốc

WAF chỉ là lớp chắn. Lỗ hổng cần được sửa trong mã nguồn: dùng truy vấn tham số hóa thay vì ghép chuỗi SQL, kiểm tra đầu vào ở phía máy chủ, và kiểm thử định kỳ theo danh mục rủi ro phổ biến như OWASP Top 10 (bản 2025). Những lỗ hổng chưa có bản vá cần cách tiếp cận khác, như phân tích trong bài hacker khai thác lỗ hổng zero-day.

Mùa cao điểm cuối năm

Từ tháng 11 đến Tết, lưu lượng mua sắm trực tuyến tăng mạnh và cũng là lúc đội kỹ thuật bận nhất. Kẻ tấn công biết điều đó. Một đợt dò quét lớn trùng với đợt khuyến mãi có thể làm website chậm, còn một lỗ hổng bị khai thác đúng lúc cao điểm sẽ gây thiệt hại kép: mất doanh thu và lộ dữ liệu khách hàng.

Doanh nghiệp nên hoàn tất rà soát, vá lỗi và kiểm thử trước cao điểm, chốt giai đoạn hạn chế thay đổi mã nguồn, và phân công người trực theo dõi cảnh báo. Nếu chưa có năng lực tự rà soát, dịch vụ kiểm tra độ rủi ro hệ thống từ bên ngoài sẽ cho biết website đang lộ ra những gì trước mắt các công cụ dò quét.

Đọc số liệu cho đúng

475 triệu lượt không có nghĩa là 475 triệu vụ xâm nhập thành công. Phần lớn là yêu cầu dò quét bị chặn hoặc không tìm thấy gì. Giá trị của con số nằm ở xu hướng: lượng dò quét tăng gấp đôi rồi gấp hai lần rưỡi trong vòng một năm cho thấy chi phí trinh sát của kẻ tấn công đã giảm mạnh. Website nào còn lỗ hổng sẽ bị tìm ra nhanh hơn trước, và thời gian để vá trước khi bị khai thác ngày càng ngắn.