Tấn công ransomware nhắm vào ngành sản xuất tăng vọt 40%

Các nhóm ransomware đang ngày càng tập trung vào ngành sản xuất và phân phối bởi chuỗi cung ứng tạo ra sức ép đàm phán khổng lồ. Chỉ trong bảy tháng đầu năm 2026 đã có 1.183 vụ tấn công mới, tăng 40% so với cùng kỳ năm ngoái. Các chuyên gia cảnh báo chuỗi liên đới từ một nhà máy dừng hoạt động có thể lan tới hàng nghìn doanh nghiệp.

Minh họa về AI và hệ thống công nghiệp

Vì sao ngành sản xuất luôn nằm trong tầm ngắm

Ngành sản xuất vẫn duy trì vị trí mục tiêu hàng đầu của tội phạm ransomware, có thể xuất phát từ hiệu ứng lan truyền kéo dài sau mỗi vụ việc. Số vụ tấn công năm nay tăng 40% so với cùng kỳ năm trước, phản ánh mức độ nghiêm trọng ngày một rõ rệt.

Trường hợp điển hình là Jaguar Land Rover. Suốt tháng 9/2025, hãng buộc phải đóng cửa các nhà máy tại Anh vì một cuộc tấn công, khiến khoảng 1.000 xe hạng sang không thể xuất xưởng mỗi ngày. Hơn 5.000 doanh nghiệp khác bị ảnh hưởng dây chuyền, và Ngân hàng Trung ương Anh từng nhắc tới sự cố này như một nguyên nhân góp phần làm chậm đà tăng trưởng quốc gia.

Hệ quả dài hạn vẫn đang tiếp diễn: Jaguar Land Rover tuyên bố cắt giảm 4.000 việc làm và quy trách nhiệm cho cuộc tấn công mạng. Trung tâm Giám sát An ninh mạng Anh ước tính thiệt hại lên tới 1,9 tỷ bảng, gọi đây là vụ tấn công mạng gây thiệt hại kinh tế lớn nhất trong lịch sử nước này, vượt qua cả sự kiện WannaCry năm 2017.

Báo cáo Ransomware ngành Sản xuất & Phân phối 2026 của Black Kite cho rằng chính chuỗi tác động nghiêm trọng kéo dài này là lý do hàng đầu khiến ngành sản xuất liên tục bị nhắm tới.

"Những nhà sản xuất tầm trung hứng chịu phần lớn các cuộc tấn công lại chính là lớp nhà cung cấp mà các doanh nghiệp lớn dựa vào để lắp ráp sản phẩm. Khi thị trường tầm trung là mục tiêu chính, danh sách nhà cung cấp của một hãng lớn chính là bề mặt tấn công của họ", báo cáo nhận định.

Từ tháng 1/2023 đến tháng 7/2026, Black Kite ghi nhận 5.237 nạn nhân ransomware được công bố thuộc hai nhóm ngành liên quan.

Sức ép đàm phán nằm ở thời gian chết

Theo Ferhat Dikbiyik, giám đốc nghiên cứu và tình báo tại Black Kite, điều khiến ngành sản xuất và phân phối trở nên hấp dẫn với tội phạm ransomware là tác động vận hành tức thì.

• Chỉ một cuộc tấn công thành công cũng có thể dừng dây chuyền sản xuất và phá vỡ cam kết giao hàng.
• Mỗi giờ dừng máy đều làm tăng vị thế đàm phán của kẻ tấn công.
• Kẻ tấn công không hành động mù quáng, mà dựa trên các tín hiệu có thể quan sát từ bên ngoài như hệ thống chưa vá, dịch vụ dễ khai thác, thông tin đăng nhập bị lộ và cấu hình phòng thủ sai sót.

Số liệu cho thấy số nhóm ransomware cũng đang gia tăng. Một nửa số vụ tấn công trong năm nay do các nhóm chưa tồn tại cách đây hai năm thực hiện. Riêng một nhóm mới mang tên The Gentlemen đã gây ra 12% số vụ trong năm.

Minh họa hội nghị an ninh mạng ICS

The Gentlemen được Black Kite phát hiện lần đầu vào tháng 9/2025 và đã gây ra 142 nạn nhân trong ngành sản xuất tính đến giữa năm 2026. Thứ bậc hiện tại của các nhóm ransomware gồm Qilin, The Gentlemen, Akira, DragonForce và INC Ransom.

Châu Âu trở thành chiến trường mới

Một điểm đáng chú ý là sự dịch chuyển địa lý của các cuộc tấn công. Trong khi số vụ tại Mỹ gần như không đổi so với năm 2025, số mục tiêu tại châu Âu lại tăng 85%. Tỷ trọng tấn công vào Mỹ giảm từ 52% xuống còn 35%, dù Mỹ vẫn là khu vực bị nhắm tới nhiều nhất với 412 vụ. Châu Âu ghi nhận 369 vụ, còn phần còn lại của thế giới gần như tăng gấp đôi lên 402 vụ.

Sự gia tăng tại châu Âu tập trung mạnh vào Đức với 77 vụ, nơi ngành sản xuất chiếm tới 20% nền kinh tế quốc gia vào năm 2024. Nhóm SafePay gây ra 22% số vụ trong năm 2025 và vẫn nằm trong số những nhóm hoạt động mạnh nhất tại Đức trong năm 2026. Các quốc gia châu Âu khác có nhiều nạn nhân ransomware gồm Italy (57 vụ), Anh (43 vụ) và Pháp (40 vụ).

Phân phối: mắt xích tập trung rủi ro

Ngành phân phối là một lĩnh vực riêng biệt với sản xuất. Các công ty vận tải, đơn vị thu xếp vận chuyển và nhà khai thác kho bãi tạo thành một ngành có bề mặt tấn công riêng, giữ vị trí đặc thù trong chuỗi cung ứng.

"Họ là lớp nơi hàng hóa của nhiều công ty cùng tập trung tại một điểm, và đó chính là điều khiến ngành này có tầm ảnh hưởng vượt xa quy mô của nó", báo cáo phân tích.

Các cuộc tấn công vào lĩnh vực phân phối có số lượng thấp hơn nhưng nạn nhân cũng nhỏ hơn so với ngành sản xuất. Số vụ đạt đỉnh vào năm 2025 sau chiến dịch của nhóm Clop trong tháng 1 và 2 năm đó, với 52 nạn nhân, chiếm hơn 25% tổng số cả năm. Con số này làm méo mó xu hướng tăng trưởng thực tế: 95 vụ trong nửa đầu 2026 so với 196 vụ cả năm 2025. Nếu loại bỏ chiến dịch Clop, mô hình tăng trưởng vẫn tiếp diễn, từ 75 lên 95 vụ trong cùng kỳ.

Điểm hấp dẫn của cả hai lĩnh vực là chúng đều mang lại tiềm năng khai thác chuỗi cung ứng cho kẻ tấn công, từ đó khuếch đại tác động và sức ép đàm phán. Về phía hạ nguồn, sự cố Jaguar Land Rover ảnh hưởng tới 5.000 tổ chức khác. Về phía thượng nguồn, cuộc tấn công của Clop nhắm vào Cleo cuối cùng tạo ra gần 400 nạn nhân được công bố.

Logo SecurityWeek

Nạn nhân chuỗi cung ứng không có lỗi

Điều đáng lưu ý là các nạn nhân trong chuỗi cung ứng thường không có lỗi. Họ không sở hữu và cũng không thể vá những lỗ hổng dẫn tới việc mình bị tấn công. Các nhà lập pháp bắt đầu nhận ra vấn đề này và đang nỗ lực phá vỡ chuỗi rủi ro.

Dự luật An ninh mạng và Khả năng phục hồi của Anh (CSRB) là một ví dụ. Dự luật này tìm cách bảo vệ hạ tầng trọng yếu khỏi các tác động từ chuỗi cung ứng bằng cách cho phép bộ trưởng chặn nguồn cung từ những nhà cung cấp bị coi là rủi ro cao. Biện pháp này buộc chuỗi cung ứng phải cải thiện an ninh hoặc mất khách hàng.

Vấn đề gốc rễ vẫn còn nguyên và được báo cáo của Black Kite minh họa rõ nét: các cuộc tấn công ransomware liên tục tăng về số lượng, và số lượng kẻ tấn công cũng không ngừng mở rộng. Đồng thời, mức độ kết nối ngày càng phức tạp của các nền kinh tế đang mở rộng khiến bề mặt tấn công lớn hơn và rủi ro cao hơn. Nếu số liệu của Black Kite là chính xác, chưa có dấu hiệu nào cho thấy tình hình sẽ thay đổi trong tương lai gần.

Với các doanh nghiệp Việt Nam, đặc biệt là nhóm sản xuất và logistics tham gia sâu vào chuỗi cung ứng toàn cầu, đây là lời cảnh báo trực tiếp. Việc đánh giá rủi ro từ nhà cung cấp, kiểm soát truy cập từ xa vào hệ thống vận hành (OT) và xây dựng kế hoạch ứng phó sự cố đã trở thành yêu cầu bắt buộc chứ không còn là tùy chọn.