Viettel quý III/2026: 481 triệu bản ghi bị lộ, ngành nào chịu nặng

Theo Báo cáo tình hình nguy cơ an ninh mạng tại Việt Nam quý III/2026 của Viettel Threat Intelligence, cả nước ghi nhận 65 vụ lộ lọt dữ liệu với hơn 481,4 triệu bản ghi và hơn 107,75 GB thông tin bị phát tán. Hai nhóm chịu thiệt hại lớn nhất về quy mô là giao thông vận tải – logistics và bán lẻ – thương mại điện tử. Điểm đáng chú ý nhất không nằm ở số vụ, mà ở lượng bản ghi bị rao bán tăng gần gấp ba chỉ trong ba tháng.

Bài này đọc lại các con số trong báo cáo (được Báo Đầu tư tổng hợp ngày 5/11/2026) dưới góc nhìn của người làm giám sát mối đe dọa: con số nói gì, không nói gì, và doanh nghiệp nên chuyển nó thành hành động cụ thể ra sao.

Bức tranh lộ lọt dữ liệu quý III/2026 qua các con số

Báo cáo đưa ra một tập số liệu khá đầy đủ. Ngoài 65 vụ đã nêu, có 9 vụ chưa xác định được quy mô, tức là con số 481,4 triệu bản ghi nhiều khả năng còn thấp hơn thực tế. Lượng tài khoản cá nhân bị lộ được thống kê riêng ở mức hơn 5,4 triệu bản ghi, giảm 15,5% so với cùng kỳ năm 2025.

Nguồn: Viettel Threat Intelligence, số liệu công bố đầu tháng 11/2026.

Tháng sau cao hơn tháng trước

Nếu tách theo tháng, lượng bản ghi bị rao bán đi lên rất đều: hơn 77,3 triệu trong tháng 7, hơn 178,4 triệu trong tháng 8 và hơn 225,6 triệu trong tháng 9. Như vậy riêng tháng 9 đã chiếm gần một nửa tổng quý. Với người làm tình báo mối đe dọa, đây là tín hiệu thị trường ngầm đang được cung cấp nguồn hàng mới với khối lượng lớn hơn, thường là các bộ dữ liệu gom từ nhiều vụ cũ, đóng gói lại hoặc trích từ một hệ thống có hàng chục triệu khách hàng.

Logistics và thương mại điện tử: vì sao bị nhắm nhiều

Theo báo cáo, mảng giao thông vận tải – logistics chỉ có 3 vụ nhưng chiếm hơn 210,3 triệu bản ghi cùng khoảng 107 GB dữ liệu, gần như toàn bộ dung lượng bị lộ của cả quý. Mảng bán lẻ – thương mại điện tử có 9 vụ với hơn 165,3 triệu bản ghi.

Hai lĩnh vực này có điểm chung: lượng dữ liệu đơn hàng khổng lồ, mỗi bản ghi thường kèm họ tên, số điện thoại, địa chỉ nhận hàng và lịch sử mua sắm. Với kẻ lừa đảo, đó là nguyên liệu lý tưởng để dựng kịch bản giả shipper, giả nhân viên chăm sóc khách hàng hay giả thông báo hoàn tiền. Dữ liệu càng sát với giao dịch thật thì kịch bản càng khó bị nghi ngờ.

Một yếu tố khác là chuỗi đối tác. Đơn vị vận chuyển kết nối API với hàng trăm cửa hàng, sàn bán lẻ lại dùng nhiều nhà cung cấp phần mềm, cổng thanh toán, công cụ chăm sóc khách hàng. Chỉ cần một mắt xích yếu, dữ liệu của nhiều bên cùng bị kéo ra ngoài. Đây cũng là lý do báo cáo nhấn mạnh việc quản lý rủi ro từ đối tác, nhà cung cấp trong chuỗi cung ứng.

Số vụ giảm nhưng lượng dữ liệu tăng nói lên điều gì

Đọc kỹ, có thể thấy hai xu hướng trái chiều. Số tài khoản cá nhân bị lộ giảm 15,5%, trong khi tổng bản ghi trong các vụ rao bán lại phình to. Một cách giải thích hợp lý là tội phạm chuyển trọng tâm từ việc gom từng tài khoản đăng nhập lẻ sang săn các cơ sở dữ liệu nguyên khối của doanh nghiệp, nơi một lần xâm nhập mang về hàng chục triệu dòng.

Hệ quả với doanh nghiệp là rõ: một sự cố đơn lẻ có thể biến thành khủng hoảng truyền thông và pháp lý, nhất là khi Luật Bảo vệ dữ liệu cá nhân đã có hiệu lực từ 1/1/2026. Với người dùng, rủi ro không chỉ dừng ở việc bị đổi mật khẩu mà là bị gọi điện, nhắn tin lừa đảo bằng chính thông tin mua hàng thật của mình.

Những mối đe dọa đi kèm trong cùng báo cáo

Lộ lọt dữ liệu không đứng một mình. Cùng kỳ, Viettel Threat Intelligence ghi nhận 15 vụ ransomware, gần bằng tổng số vụ của sáu tháng đầu năm, với hơn 1 TB dữ liệu bị mã hóa. Các ngành bị nhắm nhiều là tài chính – ngân hàng, nông nghiệp – sản xuất thực phẩm và giáo dục – EdTech. Nhiều nhóm tống tiền hiện đánh cắp dữ liệu trước khi mã hóa, nên một vụ ransomware thường kéo theo một vụ rao bán sau đó. Cách các nhóm này vận hành được phân tích kỹ hơn trong bài mã độc tống tiền ransomware và cách phòng vệ.

Báo cáo cũng thống kê 34.223 lỗ hổng mới, tăng gần 2,7 lần so với cùng kỳ năm 2025, trong đó mức nghiêm trọng và cao chiếm gần 60%. Dù vậy, các chiến dịch thực tế vẫn chủ yếu khai thác lỗ hổng đã biết như Log4Shell, F5 BIG-IP, SolarWinds Orion và Confluence. Nói cách khác, nhiều vụ lộ dữ liệu bắt đầu từ một bản vá bị trì hoãn chứ không phải từ kỹ thuật tấn công tối tân.

Doanh nghiệp nên làm gì sau khi đọc báo cáo

Con số quý III chỉ có giá trị khi được chuyển thành danh sách việc cụ thể. Dưới đây là thứ tự ưu tiên hợp lý cho một doanh nghiệp vừa và lớn tại Việt Nam:

1. Kiểm kê nơi chứa dữ liệu khách hàng. Liệt kê mọi hệ thống, bản sao lưu, môi trường thử nghiệm và tài khoản đối tác có quyền đọc dữ liệu. Không biết dữ liệu nằm đâu thì không thể bảo vệ.
2. Theo dõi tên doanh nghiệp trên diễn đàn ngầm. Đặt cảnh báo cho tên miền, tên thương hiệu, tên sản phẩm và địa chỉ IP công khai. Dịch vụ giám sát rò rỉ dữ liệu trên dark web giúp rút ngắn thời gian từ lúc dữ liệu bị rao bán đến lúc doanh nghiệp biết.
3. Ưu tiên vá lỗ hổng đã bị khai thác. Thay vì cố vá hết hàng chục nghìn lỗ hổng mới, hãy đối chiếu tài sản của mình với danh mục lỗ hổng đã bị khai thác (KEV) của CISA và xử lý nhóm này trước.
4. Siết quyền truy cập của bên thứ ba. Rà soát khóa API, tài khoản dịch vụ và kết nối VPN của nhà cung cấp; thu hồi những quyền không còn dùng.
5. Sao lưu tách biệt và diễn tập khôi phục. Bản sao lưu nằm cùng mạng với hệ thống chính rất dễ bị mã hóa chung.

Với người dùng cá nhân

Khi dữ liệu mua sắm bị lộ, cách tự vệ hiệu quả nhất là nghi ngờ mọi cuộc gọi, tin nhắn chủ động liên hệ về đơn hàng, hoàn tiền hay khuyến mãi, kể cả khi người gọi đọc đúng tên và địa chỉ của bạn. Hãy tự mở ứng dụng chính thức để kiểm tra đơn hàng thay vì bấm vào đường link được gửi đến.

Giới hạn của số liệu cần lưu ý

Các con số trong báo cáo dựa trên hoạt động rao bán và phát tán mà đơn vị giám sát quan sát được. Một số bộ dữ liệu bị rao bán là dữ liệu cũ đóng gói lại, một số tuyên bố của tin tặc bị thổi phồng. Vì vậy, khi thấy tên doanh nghiệp mình xuất hiện trong một tin rao, bước đầu tiên luôn là xác minh mẫu dữ liệu, đối chiếu với hệ thống nội bộ rồi mới công bố hay thông báo cho khách hàng. Phương pháp thu thập và kiểm chứng từ nguồn mở được trình bày trong bài thu thập dữ liệu nguồn mở OSINT trong bảo mật.

Dù có sai số, xu hướng của quý III vẫn đủ rõ để hành động: dữ liệu khách hàng của các ngành có nhiều giao dịch đang là món hàng được săn lùng nhiều nhất, và các bộ dữ liệu bị rao bán ngày càng lớn. Doanh nghiệp nào chưa có quy trình phát hiện sớm sẽ chỉ biết mình bị lộ khi khách hàng bắt đầu bị lừa.