Tình hình an ninh mạng trong tuần tiếp tục diễn biến phức tạp với nhiều hình thức tấn công, từ khai thác lỗ hổng bảo mật, phát tán mã độc, tấn công chuỗi cung ứng đến lừa đảo và chiếm đoạt tài khoản. Đáng chú ý, nhiều cuộc tấn công không đòi hỏi kỹ thuật quá phức tạp mà chủ yếu lợi dụng sự thiếu cảnh giác của người dùng, quy trình xác thực chưa chặt chẽ hoặc các thiết bị có cấu hình bảo mật yếu. Trong khi đó, các nhóm tin tặc ngày càng tận dụng công cụ AI, dịch vụ bên thứ ba và hạ tầng thiết bị bị xâm nhập để mở rộng quy mô hoạt động.

Cùng VNCS Global điểm lại những sự kiện và cảnh báo an ninh mạng đáng chú ý trong tuần qua. 

Các mối đe dọa an ninh mạng nổi bật

Nhóm tin tặc Triều Tiên bị cáo buộc đánh cắp 6,43 tỷ USD tiền điện tử

FBI đưa ra nhận định nhóm tin tặc TraderTraitor của Triều Tiên đứng sau vụ đánh cắp tài sản số trị giá 6,43 tỷ USD. Đây được đánh giá là vụ trộm tiền điện tử lớn nhất được đề cập trong báo cáo với khoảng 2,85 tỷ USD tài sản của các tổ chức liên quan đã bị đóng băng trên blockchain.

Phần mềm gián điệp Android uCreator nhắm vào ứng dụng ngân hàng và nhắn tin

Phần mềm gián điệp uCreator có khả năng xâm nhập các ứng dụng ngân hàng, ví điện tử và nhắn tin phổ biến tại Trung Quốc và Đông Nam Á, bao gồm WeChat, WhatsApp, Telegram, Zalo, GCash và MoMo. Mã độc được phát tán thông qua các ứng dụng giả mạo, có khả năng theo dõi hoạt động và chiếm quyền sử dụng tài khoản, trong đó có khả năng sao chép tài khoản WeChat.

Volt Typhoon triển khai hạ tầng tấn công bí mật Silent Train

Nhóm tin tặc Volt Typhoon, được cho là có liên hệ với Trung Quốc, đã lợi dụng các thiết bị SOHO, IoT và thiết bị doanh nghiệp bị xâm nhập để xây dựng mạng lưới bí mật mang tên Silent Train. Mạng lưới này giúp tin tặc che giấu nguồn gốc tấn công, duy trì quyền truy cập trái phép và thực hiện các cuộc tấn công khai thác lỗ hổng zero-day nhằm vào các mục tiêu quan trọng, đặc biệt là hệ thống hạ tầng trọng yếu.

Polymarket tạm dừng giao dịch sau sự cố tấn công qua bên thứ ba

Polymarket – nền tảng thị trường dự đoans lớn nhất thế giới đã tạm thời ngừng giao dịch sau khi tin tặc xâm nhập dịch vụ bên thứ ba DebugBear và phát tán mã JavaScript độc hại. Vụ việc khiến khoảng 2,7 triệu USD tài sản bị đánh cắp từ 33 ví tiền điện tử trong chưa đầy một giờ, cho thấy rủi ro đáng kể từ các nhà cung cấp dịch vụ trong chuỗi cung ứng số.

Lỗ hổng ChatGPT cho phép thực thi mã JavaScript độc hại qua liên kết chia sẻ

Các nhà nghiên cứu phát hiện một lỗ hổng trong ChatGPT, cho phép kẻ tấn công tạo liên kết chia sẻ chứa mã JavaScript độc hại. Khi người dùng mở liên kết, mã có thể thực thi trong phiên đăng nhập của nạn nhân, tiềm ẩn nguy cơ truy cập nội dung hội thoại riêng tư và làm rò rỉ dữ liệu. Lỗ hổng này đã được nhanh chóng khắc phục.

Tiện ích Claude Code trên Cursor Marketplace bị cài backdoor

Mới đây hi phiên bản tiện ích Claude Code được phân phối qua Cursor Marketplace bị can thiệp, dẫn đến việc cài đặt backdoor SSH trên hệ thống người dùng. Sự cố ảnh hưởng khoảng 5.000 người dùng. Cursor đã thu hồi khóa liên quan, xây dựng lại marketplace và vô hiệu hóa hạ tầng phục vụ hoạt động tấn công.

FBI tịch thu tên miền của dịch vụ lưu trữ Virtualine

Bộ Tư pháp Mỹ thông báo tịch thu tên miền liên quan đến Virtualine, một nhà cung cấp dịch vụ lưu trữ bị cáo buộc hỗ trợ các hoạt động phạm tội trên mạng, bao gồm phát tán nội dung bất hợp pháp và rửa tiền quốc tế.

Sự cố bảo mật tại Keystone và cảnh báo nguy cơ ví phần cứng bị cài mã độc

Keystone xác nhận website chính thức bị xâm nhập thông qua lỗ hổng trong công cụ giám sát dữ liệu của bên thứ ba, khiến thông tin khách hàng và khóa xác thực thiết bị bị lộ. Công ty dự kiến tiêu hủy 18.835 ví phần cứng sử dụng khóa cũ.

Trong một diễn biến liên quan, Trezor cảnh báo nguy cơ một số ví phần cứng bán qua nhà phân phối tại Đông Nam Á bị cấy phần mềm đánh cắp tiền điện tử. Người dùng thuộc diện ảnh hưởng được khuyến nghị chuyển tài sản sang ví mới.

Chiến dịch Gheist khai thác mã thông báo GitHub bị đánh cắp

Chiến dịch tự động Gheist sử dụng mã thông báo GitHub bị chiếm đoạt để cài quy trình trích xuất thông tin bí mật trong các kho mã nguồn mà tài khoản nạn nhân có quyền truy cập. Theo Wiz, chiến dịch đã ảnh hưởng hơn 850 tài khoản và hơn 13.500 nhánh mã nguồn.

Các lỗ hổng bảo mật CVE đáng chú ý

Tuần qua cũng chứng kiến nhiều lỗ hổng bảo mật mới được công bố trên các hệ điều hành, trình duyệt, phần mềm máy chủ và thiết bị mạng.

Các lỗ hổng đáng quan ngại như: 

• Wasmtime: CVE-2026-115889, CVE-2026-115893.
• Fireblocks mpc-lib: CVE-2026-90975.
• ASUS: CVE-2026-91141, CVE-2026-88781, CVE-2026-75775, CVE-2026-75779, CVE-2026-93489, CVE-2026-17518, CVE-2026-75753, CVE-2026-102438, CVE-2026-14911, CVE-2026-16528, CVE-2026-19386, CVE-2026-19396, CVE-2026-93495, CVE-2026-14157, CVE-2026-13313.
• Drupal: CVE-2026-114573, CVE-2026-9082, CVE-2026-118539.
• EPICS Base: CVE-2026-114595, CVE-2026-114596, CVE-2026-114597, CVE-2026-114598.
• TianoCore EDK II: CVE-2026-97631.
• GoAhead: CVE-2026-115881, CVE-2026-115884.
• HashiCorp Consul-K8s: CVE-2026-110720.
• Apache Camel: CVE-2026-90885, CVE-2026-85250, CVE-2026-88901, CVE-2026-88900, CVE-2026-78165, CVE-2026-85251.
• Okta: CVE-2026-115547.
• Apache Kafka: CVE-2026-114349, CVE-2026-111551.
• Google Chrome: CVE-2026-118306, CVE-2026-118331, CVE-2026-118348, CVE-2026-118344, CVE-2026-106378.
• Mozilla Firefox: Từ CVE-2026-117860 đến CVE-2026-117954 và từ CVE-2026-118005 đến CVE-2026-118017.
• Nhân Linux: CVE-2026-98432.
• Telerik UI cho ASP.NET AJAX: CVE-2026-18672, CVE-2026-19219.
• Kodi: TRA-2020-14.
• Veeam: CVE-2026-107239, CVE-2026-107238, CVE-2023-22793.
• Bộ định tuyến Juniper Networks Session Smart: CVE-2026-103401, CVE-2026-103402, CVE-2026-103403, CVE-2026-103404, CVE-2026-103405, CVE-2026-103406, CVE-2026-103407, CVE-2026-103408, CVE-2026-103409.
• TeamViewer: CVE-2026-111585.
• Camera IP Intelbras: CAN-2026-2035970.
• Hệ điều hành WatchGuard Fireware: CVE-2026-103594, CVE-2026-112709, CVE-2026-112710, CVE-2026-93857, CVE-2026-103593, CVE-2026-93865, CVE-2026-93866.
• Apache Tomcat: CVE-2026-101296, CVE-2026-101356, CVE-2026-103119.
• Canonical LXD: CVE-2026-112816.
• Langflow OSS: CVE-2026-93680, CVE-2026-110186.

VNCS Global khuyến nghị các cơ quan, tổ chức và doanh nghiệp cần chủ động rà soát hệ thống, đối chiếu các mã CVE với phiên bản phần mềm đang sử dụng, cập nhật bản vá bảo mật và ưu tiên xử lý những lỗ hổng có mức độ nghiêm trọng cao hoặc đã được ghi nhận khai thác thực tế.

Các diễn biến an ninh mạng đáng chú ý khác

Tiện ích trình duyệt bị lợi dụng để thu thập dữ liệu người dùng

Chiến dịch Searchjacked liên quan đến 319 tiện ích mở rộng Chrome với tổng cộng 13,4 triệu lượt cài đặt, được sử dụng để chuyển hướng kết quả tìm kiếm và thu thập truy vấn của người dùng. Ngoài ra, các tiện ích Firefox giả mạo ví điện tử cũng được phát hiện nhằm đánh cắp khóa riêng tư và cụm từ khôi phục.

Giả mạo bộ phận hỗ trợ CNTT để chiếm quyền truy cập hệ thống

Microsoft cảnh báo các nhóm tin tặc sử dụng Microsoft Teams để giả danh nhân viên hỗ trợ kỹ thuật, lừa người dùng cấp quyền truy cập từ xa thông qua Quick Assist. Sau khi xâm nhập, chúng tìm cách thu thập thông tin hệ thống, mở rộng quyền truy cập và chiếm quyền kiểm soát các tài khoản đặc quyền.

Gia tăng các cuộc tấn công đánh cắp dữ liệu và tống tiền

Theo báo cáo của LevelBlue, các nhóm tin tặc ngày càng khai thác lỗ hổng bảo mật để xâm nhập hệ thống doanh nghiệp, đánh cắp dữ liệu và thực hiện hành vi tống tiền. Đây là một trong những xu hướng tấn công gia tăng trong quý III/2026.

Trình duyệt chống phát hiện bị khai thác phục vụ gian lận trực tuyến

Các công cụ Kameleo, AdsPower và MultiLogin bị lợi dụng để quản lý hàng nghìn tài khoản trên nhiều nền tảng, qua đó hỗ trợ chiếm đoạt tài khoản, gian lận tài chính, lừa đảo và thao túng thông tin trên mạng xã hội.

Hệ thống cảnh báo khẩn cấp tại Nga và Ukraine bị tấn công

Cả Nga và Ukraine đều ghi nhận sự cố tấn công mạng nhằm vào các ứng dụng cảnh báo khẩn cấp, khiến hệ thống phát đi thông báo giả mạo về tình trạng khẩn cấp và cảnh báo không kích. Sự việc cho thấy nguy cơ tấn công mạng đối với các hệ thống phục vụ an toàn công cộng.

Chiến dịch mã độc Android nhắm vào lĩnh vực ngân hàng Ấn Độ

Nhóm tội phạm mạng CyberDakait sử dụng bảy dòng Trojan Android để đánh cắp thông tin đăng nhập ngân hàng, dữ liệu thẻ thanh toán và tài sản tiền điện tử. Chiến dịch đã khiến ít nhất 17.960 thiết bị bị xâm nhập và khoảng 7,6 triệu tin nhắn SMS bị chặn.

Lừa đảo giả mạo sự kiện AI để đánh cắp tài khoản

Tin tặc triển khai chiến dịch giả mạo lời mời tham dự sự kiện AI của Anthropic, sử dụng các trang đăng ký và đăng nhập giả để đánh cắp thông tin xác thực Google và Microsoft. Tài khoản bị chiếm đoạt có thể tiếp tục được sử dụng làm bàn đạp tấn công các hệ thống nội bộ.

Phát tán mã độc XWorm qua email giả mạo văn bản tư pháp

Một chiến dịch lừa đảo nhắm vào các tổ chức tại Colombia sử dụng email giả mạo văn bản hành chính, tư pháp để phát tán mã độc XWorm thông qua nhiều giai đoạn lây nhiễm.

Gia tăng mô hình lừa đảo trên các nền tảng dự đoán

Các nhóm tiếp thị liên kết tội phạm xây dựng nền tảng giả mạo các thị trường dự đoán như Polymarket và Kalshi, cung cấp công cụ quản lý nạn nhân, thanh toán bằng tiền điện tử và cơ chế chia hoa hồng nhằm mở rộng hoạt động lừa đảo chiếm đoạt tài sản.

Phát hiện botnet DDoS mới nhắm vào hệ thống Linux

Mã độc Kairos, được viết bằng ngôn ngữ Go, có khả năng biến các máy Linux bị xâm nhập thành thành phần của mạng botnet DDoS. Mã độc khai thác thiết bị sử dụng thông tin đăng nhập mặc định, sau đó tạo hàng trăm đến hàng nghìn kết nối TCP đến mục tiêu nhằm gây quá tải dịch vụ.

Bộ công cụ MadApe khai thác quy trình xác thực mã thiết bị Microsoft

Bộ công cụ lừa đảo MadApe sử dụng tài liệu PDF giả mạo, trang chuyển hướng và giao diện chia sẻ tài liệu để dụ người dùng hoàn tất xác thực mã thiết bị Microsoft. Qua đó, tin tặc có thể chiếm quyền truy cập tài khoản mà không cần trực tiếp đánh cắp mật khẩu theo phương thức truyền thống.

Tin tặc sử dụng AI hỗ trợ triển khai mã độc tống tiền

Nhóm đứng sau mã độc Aur0ra (Gold Ogre) sử dụng các công cụ AI để phát triển mã độc, tự động hóa hoạt động hậu xâm nhập, leo thang đặc quyền và triển khai mã độc tống tiền. Các biện pháp kiểm soát của AI bị lợi dụng thông qua việc giả danh hoạt động kiểm thử bảo mật hợp pháp.

Kho mô hình AI trên Hugging Face bị lợi dụng phát tán mã độc

Các kho mô hình độc hại trên Hugging Face được sử dụng để phát tán mã khai thác tiền điện tử và cài đặt cửa hậu trên máy chủ GPU. Chiến dịch lợi dụng tùy chọn trust_remote_code để thực thi mã Python đi kèm mô hình khi người dùng tải và sử dụng.

Thiết bị IoT tiếp tục tiềm ẩn nhiều nguy cơ bảo mật

Theo báo cáo an ninh IoT năm 2026 của Bitdefender và NETGEAR, TV thông minh chiếm 22,7% và ổ cắm thông minh chiếm 22,4% số lỗ hổng được ghi nhận. Báo cáo khuyến nghị người dùng quan tâm đến thời gian hỗ trợ cập nhật bảo mật khi lựa chọn và sử dụng thiết bị kết nối Internet.

Lừa đảo hỗ trợ kỹ thuật thông qua phần mềm truy cập từ xa

Tin tặc giả danh nhân viên hỗ trợ, dụ người dùng cài đặt UltraViewer và UltraMailer chứa mã độc, từ đó triển khai DarkComet và njRAT để kiểm soát thiết bị và thu thập thông tin.

Làm rõ mối liên hệ giữa các nhóm tin tặc trong hệ sinh thái The Com

Các nghiên cứu chỉ ra mối liên hệ giữa Scattered Spider, LAPSUS$ và ShinyHunters, đồng thời xác định một số hoạt động phối hợp dưới tên SP1D3R HUNTERS. Tuy nhiên, các nhóm vẫn có sự khác biệt về phương thức và mục tiêu tấn công; không nên mặc định quy kết mọi hoạt động gần đây cho LAPSUS$.

Các sự kiện trong tuần cho thấy ba xu hướng đáng chú ý:

• Khai thác điểm yếu trong quy trình xác thực và yếu tố con người: Tin tặc gia tăng sử dụng kỹ thuật giả mạo nhân viên hỗ trợ, lừa đảo mã thiết bị và liên kết độc hại để chiếm quyền truy cập.
• Mở rộng tấn công thông qua chuỗi cung ứng và nền tảng bên thứ ba: Các dịch vụ đám mây, kho mã nguồn, tiện ích trình duyệt và nền tảng phân phối phần mềm đang trở thành mục tiêu để phát tán mã độc và đánh cắp dữ liệu.
• Gia tăng ứng dụng AI trong hoạt động tấn công: AI được tận dụng để phát triển công cụ độc hại, tự động hóa quy trình xâm nhập và mở rộng quy mô các chiến dịch tấn công.

Để chủ động phòng ngừa, các cơ quan, tổ chức và doanh nghiệp cần tập trung triển khai các biện pháp sau:

• Quản lý lỗ hổng: Thường xuyên kiểm kê tài sản CNTT, rà soát lỗ hổng và cập nhật bản vá bảo mật, ưu tiên các lỗ hổng nghiêm trọng và đang bị khai thác.Tăng cường xác thực: Triển khai xác thực đa yếu tố (MFA), sử dụng mật khẩu mạnh, thay đổi thông tin đăng nhập mặc định và kiểm soát chặt chẽ quyền truy cập.
• Kiểm soát phần mềm và thiết bị: Chỉ cài đặt ứng dụng từ nguồn chính thức; rà soát tiện ích mở rộng trình duyệt, thiết bị IoT và phần mềm truy cập từ xa.
• Nâng cao nhận thức người dùng: Tổ chức đào tạo, cảnh báo về các hình thức giả mạo bộ phận hỗ trợ, lừa đảo qua email, tin nhắn và quy trình xác thực mã thiết bị. 
• Tăng cường giám sát và ứng phó sự cố: Theo dõi hoạt động bất thường, giám sát truy cập từ xa, bảo vệ dữ liệu quan trọng và duy trì phương án sao lưu, khôi phục hệ thống.

Kết luận: Các cuộc tấn công mạng ngày càng tận dụng những điểm yếu trong con người, quy trình và công nghệ để gây ra hậu quả trên diện rộng. Vì vậy, bảo đảm an toàn thông tin cần được thực hiện đồng bộ, liên tục, kết hợp giữa quản lý kỹ thuật, kiểm soát truy cập và nâng cao nhận thức người dùng.