Giá bán quyền truy cập mạng doanh nghiệp giảm 69%: rủi ro từ IAB

Quyền truy cập ban đầu (initial access) vào mạng doanh nghiệp, thứ mà các nhóm môi giới bán cho băng nhóm ransomware, đang rẻ đi rất nhanh. Báo cáo tình báo mối đe dọa giữa năm 2026 của Flashpoint cho biết giá trung bình giảm 69%, từ 1.427 USD xuống 439 USD, vì kẻ tấn công đã dùng các hệ thống AI agent để tự động hóa khâu xâm nhập. Giá rẻ đồng nghĩa với nhiều người mua hơn, và doanh nghiệp vừa, nhỏ trở thành mục tiêu đáng tiền hơn trước.

Môi giới truy cập ban đầu là ai

Trong chuỗi tội phạm mạng hiện đại, ít nhóm nào tự làm từ đầu đến cuối. Nhóm môi giới truy cập ban đầu (Initial Access Broker, IAB) chuyên tìm đường vào: tài khoản VPN bị lộ, máy chủ RDP mở ra internet, phiên đăng nhập đánh cắp bởi mã độc infostealer, lỗ hổng trên thiết bị biên. Họ kiểm tra quyền truy cập còn dùng được, mô tả sơ bộ nạn nhân (ngành, quốc gia, doanh thu ước tính, mức quyền) rồi rao bán trên diễn đàn ngầm.

Người mua thường là cộng tác viên của các nhóm ransomware. Họ không cần kỹ năng xâm nhập, chỉ cần trả tiền và bắt đầu từ bên trong mạng của nạn nhân. Mô hình phân công này khiến một tài khoản VPN bị lộ hôm nay có thể trở thành vụ mã hóa toàn bộ máy chủ vài tuần sau.

Vì sao giá giảm mạnh trong nửa đầu 2026

Theo phần ransomware trong Flashpoint Global Threat Intelligence Report 2026 Midyear, các tác nhân đe dọa đã xây dựng và phát hành những hệ thống agentic có khả năng tự động hóa việc chiếm quyền truy cập. Nguồn cung tăng vọt làm thị trường bão hòa, kéo giá xuống. Các nhóm ransomware cũng dùng AI agent để thu thập dữ liệu về mục tiêu, cá nhân hóa thông điệp lừa đảo và chạy tấn công nhồi thông tin đăng nhập (credential stuffing) vào VPN, nền tảng SaaS và điểm truy cập đám mây.

Ghi chú: trang báo cáo cùng lúc nêu 6.256 và 5.410 nạn nhân đã xác minh cho cùng mức tăng 45%, chưa thống nhất giữa hai chỗ.

Nghịch lý: ít người trả tiền nhưng nhiều nạn nhân hơn

Số nạn nhân tăng 45% trong khi tổng tiền chuộc giảm và tỷ lệ trả tiền chỉ 28%. Khi mỗi vụ mang về ít tiền hơn, các nhóm bù lại bằng số lượng. Chi phí đầu vào rẻ chính là điều kiện để mô hình "đánh nhiều, thu ít mỗi vụ" có lãi. Năm nhóm dẫn đầu được Flashpoint nêu tên gồm Qilin (901 nạn nhân), Akira (565), 0APT (550), The Gentlemen (476) và Dragon Force (252), cộng lại chiếm 44% hoạt động.

Ngành nào chịu rủi ro lớn nhất

Sản xuất là ngành bị tấn công nhiều nhất với 18%, tiếp theo là kinh doanh – tư vấn và y tế. Flashpoint giải thích các nhóm ưu tiên những ngành không chịu được thời gian ngừng hoạt động và có mạng lưới kết nối chằng chịt. Một nhà máy dừng dây chuyền một ngày có thể thiệt hại lớn hơn số tiền chuộc, và đó là đòn bẩy đàm phán. Về địa lý, Mỹ chiếm 2.669 vụ, tương đương 43% toàn cầu.

Doanh nghiệp sản xuất tại Việt Nam, đặc biệt các nhà cung cấp trong chuỗi xuất khẩu, nên đọc con số này như lời cảnh báo trực tiếp. Hệ thống công nghệ vận hành (OT) kết nối với mạng văn phòng, tài khoản truy cập từ xa cấp cho nhà cung cấp máy móc, và VPN cấu hình từ nhiều năm trước là những cửa vào mà IAB tìm kiếm đầu tiên.

Hạ tầng dùng chung: thay đổi cách theo dõi

Một nhận định quan trọng trong báo cáo là các nhóm RaaS hoạt động như "người thuê" trên hạ tầng ngầm dùng chung: proxy tập trung, dịch vụ lưu trữ an toàn, công cụ né tránh phát hiện bán đại trà. Tên nhóm có thể thay đổi, nhóm có thể giải tán rồi tái xuất, nhưng hạ tầng phía sau tồn tại lâu hơn. Flashpoint khuyến nghị theo dõi hạ tầng hỗ trợ dùng chung thay vì chỉ bám theo thương hiệu từng nhóm.

Với đội tình báo mối đe dọa, điều này có nghĩa là chỉ số nhận diện (IOC) như địa chỉ IP proxy, mẫu chứng chỉ, dịch vụ lưu trữ quen thuộc có giá trị lâu dài hơn danh sách tên nhóm. Cách liên kết các dấu vết này được bàn trong bài kỹ thuật truy tìm dấu vết kỹ thuật số.

Phòng thủ khi đường vào ngày càng rẻ

Đóng các cửa mà IAB thích nhất

• Bắt buộc MFA chống lừa đảo, ưu tiên khóa phần cứng, cho VPN, máy tính từ xa và các nền tảng SaaS.
• Không để RDP mở trực tiếp ra internet; đặt sau cổng truy cập có xác thực mạnh.
• Rà soát và vô hiệu hóa tài khoản của nhân viên đã nghỉ, tài khoản nhà cung cấp hết hợp đồng.
• Ưu tiên vá thiết bị biên như VPN, tường lửa, cổng email ngay khi có bản vá cho lỗ hổng đang bị khai thác; danh mục KEV của CISA, hiện đã có hơn 1.700 mục, là nguồn tham chiếu tốt để biết lỗ hổng nào cần xử lý trước.

Phát hiện đăng nhập tự động

Flashpoint khuyến nghị giám sát các mẫu đăng nhập tự động, và khi phát hiện thì cách ly thiết bị, thu hồi phiên ngay. Dấu hiệu thường gặp là nhiều lần đăng nhập thất bại từ dải IP lạ, đăng nhập thành công vào giờ bất thường, hoặc một tài khoản xuất hiện từ hai quốc gia cách xa nhau trong thời gian ngắn.

Giảm thiệt hại khi đã bị vào

Sao lưu bất biến, đặt ở nhiều nơi, dùng hệ thống xác thực tách khỏi Active Directory chính; phân đoạn mạng vận hành quan trọng để hạn chế di chuyển ngang. Nếu kẻ tấn công vào được một máy văn phòng, chúng không nên có đường đến máy chủ sản xuất hay hệ thống sao lưu.

Theo dõi chính mình trên thị trường ngầm

Tin rao bán quyền truy cập thường không ghi tên nạn nhân, chỉ mô tả ngành, quốc gia, doanh thu và loại quyền. Đội phân tích có kinh nghiệm vẫn có thể ghép các mô tả này với hồ sơ doanh nghiệp để cảnh báo sớm. Khi phát hiện một tin rao khớp với mình, doanh nghiệp có khoảng thời gian quý giá để đổi mật khẩu, thu hồi phiên và săn tìm dấu vết trước khi người mua kịp hành động. Đây là lý do việc giám sát dữ liệu rò rỉ trên dark web nên bao gồm cả các chuyên mục mua bán truy cập, không chỉ cơ sở dữ liệu bị lộ.