Hơn 16,5 triệu tài khoản bị đánh cắp: Doanh nghiệp nên kiểm tra từ đâu?

Con số lớn nói lên điều gì, và không nói lên điều gì

Cổng thông tin của Bộ Khoa học và Công nghệ dẫn số liệu Viettel Threat Intelligence cho biết, trong nửa đầu năm 2026 hệ thống phát hiện hơn 16,5 triệu bản ghi tài khoản tại Việt Nam bị đánh cắp. Cùng kỳ, đơn vị này ghi nhận 302 vụ lộ lọt dữ liệu trên các diễn đàn ngầm, tăng 58,1% so với cùng kỳ năm trước.

Đây là dữ liệu quan sát của một hệ thống tình báo mối đe dọa, không phải thống kê toàn bộ dân số hay kết luận rằng từng bản ghi đều còn dùng được. Một người có thể xuất hiện nhiều lần, dữ liệu có thể cũ hoặc trùng. Tuy vậy, quy mô này vẫn cho thấy doanh nghiệp không thể coi việc lộ thông tin đăng nhập là sự cố hiếm gặp.

Một cảnh báo chỉ có giá trị khi doanh nghiệp đủ nhanh để biến nó thành hành động khóa, kiểm tra và thu hồi quyền.

Mật khẩu thường bị lấy từ máy người dùng, không phải từ máy chủ

Nguồn công bố cho biết phần lớn bản ghi được lấy qua các dòng mã độc chuyên thu thập thông tin. Loại mã độc này có thể nằm trên máy cá nhân hoặc máy làm việc, lấy mật khẩu đã lưu trong trình duyệt, cookie phiên đăng nhập, token và dữ liệu ví điện tử. Vì vậy, hệ thống của doanh nghiệp có thể không có lỗ hổng rõ ràng mà tài khoản vẫn rơi vào tay kẻ xấu.

Rủi ro tăng khi nhân viên dùng chung mật khẩu cho email, CRM, kho mã nguồn và công cụ quản trị. Kẻ tấn công chỉ cần một cặp thông tin đăng nhập còn hiệu lực để thử trên nhiều dịch vụ. Nếu lấy được cookie hoặc token, chúng thậm chí có thể đi qua phiên đăng nhập đã xác thực mà không cần nhập lại mật khẩu.

Sáu việc cần làm trong 24 giờ đầu

Khi có cảnh báo, hãy xác định tài khoản, thiết bị và dịch vụ liên quan trước khi thay đổi hàng loạt. Sau đó khóa hoặc buộc đăng xuất tất cả phiên, đổi mật khẩu bằng một thiết bị sạch, thu hồi token ứng dụng, kiểm tra quy tắc chuyển tiếp email và xem lại hoạt động bất thường.

Nếu tài khoản có quyền quản trị, cần mở rộng kiểm tra sang các tài khoản được tạo mới, khóa API, thay đổi cấu hình và dữ liệu đã tải xuống. Đừng xóa log để làm sạch hệ thống. Log là bằng chứng giúp biết kẻ tấn công đã đi đến đâu và có cần thông báo cho khách hàng hay cơ quan có thẩm quyền hay không.

• ✓Cô lập thiết bị nghi nhiễm và dùng thiết bị sạch để xử lý tài khoản.
• ✓Buộc đăng xuất mọi phiên và thu hồi token, khóa API liên quan.
• ✓Đổi mật khẩu duy nhất, bật xác thực đa yếu tố chống lừa đảo khi có thể.
• ✓Kiểm tra log đăng nhập, quy tắc email, tài khoản mới và thay đổi quyền.
• ✓Xác định dữ liệu nào có thể đã bị xem hoặc tải xuống.
• ✓Lưu lại mốc thời gian, quyết định và bằng chứng phục vụ điều tra.

Đổi mật khẩu chưa phải là kết thúc

Nếu máy vẫn còn mã độc, mật khẩu mới có thể bị lấy lại ngay. Nếu phiên truy cập cũ không bị thu hồi, kẻ tấn công vẫn có thể tiếp tục sử dụng cookie hoặc token. Vì vậy, bước khôi phục phải bao gồm quét và cài lại thiết bị khi cần, kiểm tra trình duyệt, gỡ tiện ích lạ và xác nhận mọi phiên đã bị vô hiệu hóa.

Xác thực đa yếu tố làm giảm đáng kể rủi ro từ mật khẩu bị lộ, nhưng mã xác nhận qua tin nhắn hoặc thông báo đẩy vẫn có thể bị lừa. Với tài khoản quan trọng, khóa bảo mật vật lý hoặc passkey là lựa chọn mạnh hơn vì gắn việc đăng nhập với đúng website.

Kiểm tra cả kho mã nguồn và tên miền giả mạo

Thông tin xác thực không chỉ rò rỉ từ máy người dùng. Khóa API, mật khẩu cơ sở dữ liệu và tệp cấu hình có thể bị đẩy nhầm lên kho mã nguồn công khai. Doanh nghiệp nên quét lịch sử commit, xoay vòng khóa đã lộ và không chỉ xóa dòng bí mật khỏi phiên bản mới nhất.

Website giả mạo cũng là một đường lấy tài khoản phổ biến. Hãy theo dõi các tên miền gần giống thương hiệu, trang đăng nhập bất thường và quảng cáo dẫn đến trang giả. Khi phát hiện, cần lưu bằng chứng và phối hợp với nhà đăng ký tên miền, đơn vị lưu trữ và nền tảng phân phối quảng cáo để xử lý.

Một kế hoạch 30 ngày thực tế

Trong tuần đầu, ưu tiên tài khoản quản trị, email, tài chính, kho mã nguồn và hạ tầng đám mây. Tuần hai triển khai xác thực đa yếu tố, chuẩn hóa cách thu hồi phiên và kiểm tra thiết bị. Tuần ba rà soát quyền, tài khoản không còn sử dụng và bí mật trong mã nguồn. Tuần cuối diễn tập một tình huống tài khoản bị chiếm để đo thời gian phản ứng.

Mục tiêu không phải bảo đảm không bao giờ có mật khẩu bị lộ. Mục tiêu là khiến một thông tin đăng nhập bị đánh cắp khó biến thành quyền truy cập lâu dài, đồng thời phát hiện và cô lập sự cố trước khi dữ liệu bị lấy đi.