Lỗ hổng nghiêm trọng bị khai thác chỉ trong ba ngày, ransomware thống trị quý 3

Rapid7 vừa công bố báo cáo phân tích mối đe dọa quý 3/2026, hé lộ một bức tranh an ninh mạng ngày càng khắc nghiệt: lỗ hổng bị khai thác nhanh hơn bao giờ hết, ransomware vẫn là "cơn ác mộng" dai dẳng, và AI — dù được kỳ vọng sẽ tạo ra bước ngoặt — lại xuất hiện khá khiêm tốn trong dữ liệu thực tế.

Mối đe dọa an ninh mạng

Lỗ hổng nghiêm trọng: "Cửa mở" chỉ trong ba ngày

Điểm đáng lo ngại nhất trong báo cáo là tốc độ khai thác lỗ hổng. Trong quý 3, các lỗ hổng mức độ nghiêm trọng cao bị khai thác trung bình chỉ sau ba ngày kể từ khi được công bố, với 71% bị tấn công ngay trong tuần đầu tiên.

Đáng chú ý hơn, 79% trong số này thuộc nhóm mà Rapid7 gọi là lỗ hổng "holy grail" — tức là có thể khai thác từ xa, không cần thông tin đăng nhập và không cần người dùng cục bộ tham gia. Điều này đồng nghĩa với việc kẻ tấn công chỉ cần một điểm chạm mạng là có thể chiếm quyền kiểm soát hệ thống, khiến áp lực vá lỗi lên các đội ngũ an ninh ngày càng lớn.

Với các doanh nghiệp Việt Nam, khoảng thời gian "ba ngày" này là lời cảnh báo trực tiếp: quy trình vá lỗi theo chu kỳ hàng tháng truyền thống gần như không còn đủ nhanh để chống đỡ.

Ransomware vẫn là mối đe dọa chính

Ransomware tiếp tục thống trị toàn cầu. Ba lĩnh vực bị nhắm tới nhiều nhất trong quý 3 là dịch vụ doanh nghiệp, sản xuất và y tế.

Về mặt địa lý, Mỹ chiếm tới 60% số vụ tấn công, tiếp theo là Đức (7%), Italy (5%) và Canada (5%).

Các nhóm ransomware hoạt động mạnh nhất gồm:

• The Gentlemen — 342 vụ tuyên bố
• Qilin — 339 vụ
• INC Ransom — 99 vụ
• DeadLock — 98 vụ
• Krybit — 95 vụ

Đáng chú ý, nạn nhân thuộc khối cơ quan chính phủ đang gia tăng (tăng 15% so với ba tháng trước), và cũng tập trung chủ yếu ở Mỹ — nơi tỷ trọng tăng từ 33% trong quý 2 lên 45% trong quý 3.

AI trong tấn công: Kỳ vọng lớn, thực tế còn khiêm tốn

Trái với lo ngại rằng AI sẽ sớm "chiếm sóng" trong các cuộc tấn công mạng, dữ liệu của Rapid7 cho thấy điều ngược lại.

Ông Douglas McKee, Giám đốc tình báo lỗ hổng của Rapid7, chia sẻ với SecurityWeek:

"Phát hiện tôi muốn đặt lên bàn cho tất cả mọi người là AI chỉ xuất hiện như một thành phần vận hành trong 8% số sự cố chúng tôi theo dõi. Điều đó thú vị vì phiên bản trình bày trước hội đồng quản trị năm nay toàn là về những kẻ tấn công dùng AI, nhưng dữ liệu không ủng hộ câu chuyện đó."

Theo báo cáo, chỉ 8% sự cố ghi nhận AI là thành phần vận hành, và chưa có trường hợp nào hoàn toàn tự động. "Con người vẫn là bên chọn mục tiêu tấn công và lý do trong mọi trường hợp được ghi nhận," báo cáo khẳng định.

Tuy vậy, điều đang gia tăng là tự động hóa ở phần "giữa chiến thuật" của chuỗi tấn công: lựa chọn kỹ thuật, phân loại mục tiêu và phục hồi sau một bước thất bại giờ có thể vận hành mà không cần con người can thiệp.

"Điều mọi người cứ gộp lại là AI tìm ra lỗ hổng so với AI khai thác lỗ hổng. Việc tìm kiếm là có thật và đang tăng tốc. Còn làn sóng khai thác bằng AI mà mọi người đang chuẩn bị đối phó thì chưa xuất hiện trong dữ liệu của chúng tôi quý này."

Biểu tượng an ninh mạng

Khuyến nghị cho người phòng thủ

Rapid7 đưa ra một số khuyến nghị đáng chú ý cho các đội ngũ an ninh:

• Giám sát mẫu sử dụng API của AI từ các máy chủ và tiến trình bất thường, xem đây như một nguồn dữ liệu giám sát (telemetry) để phát hiện hành vi đáng ngờ.
• Cảnh giác với kỹ thuật prompt phân mảnh, nhiều phiên mà kẻ tấn công dùng để lách bộ lọc an toàn của nhà cung cấp AI. Trong khi yêu cầu độc hại trong một phiên đơn thường bị chặn, việc chia nhỏ mục tiêu qua nhiều phiên có thể qua mặt hệ thống phát hiện.

Nhóm APT và chợ đen dữ liệu

Trong quý 3, các nhà nghiên cứu theo dõi 15 nhóm APT khác nhau. Đáng chú ý có ENERGETIC BEAR, Void Blizzard và Sandworm (liên quan Nga), APT31 (Trung Quốc), Lazarus (Triều Tiên) và Operation C-Major (Pakistan). Cơ quan chính phủ vẫn là mục tiêu cốt lõi, bên cạnh quốc phòng, giao thông, truyền thông, y tế, hàng không vũ trụ, tài chính, năng lượng và công nghệ.

Báo cáo cũng tiết lộ một bộ công cụ Linux chưa từng được ghi nhận trước đây có tên "ted" — nằm trong bản dựng HAProxy bị cài mã độc, kèm keylogger SSH và RAT dựa trên curl — được Triều Tiên sử dụng nhắm vào các tổ chức Hàn Quốc từ đầu năm 2025.

Trên chợ đen, hoạt động mua bán quyền truy cập chiếm ưu thế: 41 trong số 63 bài đăng rao bán quyền truy cập RDP hoặc mạng, 14 bài liên quan đến mua bán, chia sẻ hoặc thảo luận về exploit và zero-day. Đây không chỉ là mối nguy mà còn là tín hiệu cảnh báo sớm hữu ích cho người phòng thủ.

Lời kết

Báo cáo của Rapid7 là một bức ảnh chụp nhanh về hoạt động của kẻ tấn công: hầu hết các chỉ số đều đang tăng, đặc biệt là tốc độ. AI hiện vẫn nằm dưới sự kiểm soát của con người, nhưng tiềm năng về các cuộc tấn công hoàn toàn tự động bằng AI là có thật và nhiều khả năng sẽ xuất hiện trong vài năm tới.