Điểm tin an ninh mạng (26/10 – 01/11): Lừa đảo xuyên quốc gia, ransomware làm gián đoạn bệnh viện và Node2Shell bị khai thác
Tuần 26/10 – 01/11/2026 ghi nhận nhiều diễn biến an ninh mạng đáng chú ý, từ đường dây lừa đảo xuyên quốc gia quy mô lớn tại Thanh Hóa, đề xuất quản lý dữ liệu theo 5 cấp độ rủi ro tại Việt Nam đến ransomware gây gián đoạn hoạt động chăm sóc bệnh nhân tại Mỹ và lỗ hổng Node2Shell bắt đầu bị khai thác thực tế. Các sự kiện cho thấy rủi ro mạng đang ngày càng tác động trực tiếp đến dữ liệu, vận hành và khả năng duy trì dịch vụ của tổ chức.
Điểm nổi bật của tuần này là khoảng cách giữa “sự cố kỹ thuật” và “tác động kinh doanh” ngày càng thu hẹp. Một lỗ hổng có thể nhanh chóng chuyển sang active exploitation; một ransomware incident có thể ảnh hưởng trực tiếp đến chăm sóc bệnh nhân; còn các chiến dịch lừa đảo đang được vận hành theo mô hình ngày càng có tổ chức.
Doanh nghiệp có thể theo dõi thêm các diễn biến mới tại chuyên mục Tin tức an ninh mạng IPSIP Việt Nam.
I. Điểm tin an ninh mạng trong nước
1. Thanh Hóa: đường dây lừa đảo xuyên quốc gia hơn 100 người, khoảng 50 tỷ đồng bị chiếm đoạt
Ngày 26/10, nhiều cơ quan báo chí tiếp tục công bố chi tiết về đường dây lừa đảo xuyên quốc gia hoạt động tại một khách sạn ở Nghi Sơn, Thanh Hóa.
Cơ quan chức năng phát hiện 113 người nước ngoài tham gia hoạt động lừa đảo trực tuyến, thu giữ số lượng lớn điện thoại, máy tính và thiết bị điện tử phục vụ phạm tội. Bước đầu, số tiền bị chiếm đoạt được xác định vào khoảng 50 tỷ đồng.
Đáng chú ý, đây không còn là mô hình scam nhỏ lẻ. Nhóm vận hành có địa điểm tập trung, hạ tầng thiết bị, nhân sự và các kịch bản tiếp cận nạn nhân theo mô hình có tổ chức.
Về bản chất, đây là ví dụ điển hình của xu hướng industrialized cyber fraud — khi lừa đảo trực tuyến được tổ chức như một hệ thống vận hành thực thụ.
Với doanh nghiệp, rủi ro không chỉ nằm ở khách hàng cá nhân bị lừa. Các chiến dịch tương tự có thể được điều chỉnh để nhắm vào nhân viên, đối tác hoặc bộ phận tài chính thông qua impersonation, Business Email Compromise và Social Engineering có chủ đích.
Do đó, doanh nghiệp cần tăng cường kiểm soát danh tính số, xác minh giao dịch ngoài kênh, đào tạo nhân viên và giám sát các hành vi truy cập hoặc yêu cầu thanh toán bất thường.
2. Việt Nam đề xuất quản lý dữ liệu theo 5 cấp độ rủi ro
Ngày 26/10, Quốc hội nghe trình dự án Luật An ninh dữ liệu, trong đó dự thảo quy định 5 cấp độ rủi ro an ninh dữ liệu, từ thấp đến cao. Chủ quản dữ liệu có trách nhiệm tự xác định cấp độ, áp dụng biện pháp bảo vệ tương ứng và chịu trách nhiệm về kết quả phân loại.
Cách tiếp cận này cho thấy một nguyên tắc quan trọng: không phải mọi loại dữ liệu đều cần được bảo vệ theo cùng một cách.
Dữ liệu càng nhạy cảm và càng có khả năng gây thiệt hại lớn khi bị xâm phạm thì yêu cầu về access control, logging, encryption, audit và monitoring càng phải cao hơn.
Xem thêm về Dự thảo Luật an ninh dữ liệu: Quốc hội thảo luận dự thảo Luật An ninh dữ liệu
Với doanh nghiệp, đây là lời nhắc rằng data security cần bắt đầu từ data visibility và data classification. Quản trị dữ liệu theo mức độ rủi ro cũng giúp doanh nghiệp tránh hai thái cực: bảo vệ quá ít với dữ liệu nhạy cảm hoặc áp dụng biện pháp quá nặng cho mọi loại dữ liệu.
3. Diễn tập an ninh mạng quốc gia 2026 mô phỏng tấn công hệ thống tài chính
Ngày 27/10, Cục An ninh mạng, Bộ Công an phối hợp với Hiệp hội An ninh mạng quốc gia tổ chức Diễn tập an ninh mạng quốc gia năm 2026, với kịch bản mô phỏng cuộc tấn công vào hệ thống thông tin của một tổ chức tài chính.
Phiên thực hành kéo dài 7,5 giờ, với 90 cán bộ, chiến sĩ và chuyên viên đến từ 46 đơn vị, gồm 14 bộ, ngành và lực lượng an ninh mạng tại nhiều địa phương. Các đội vừa phải phòng thủ trực tiếp, vừa truy vết hành vi của attacker, xử lý sự cố và thu thập chứng cứ điện tử.
Điểm đáng chú ý ở đây là khả năng ứng phó sự cố không thể chỉ tồn tại trên tài liệu.
Doanh nghiệp có thể có firewall, SIEM, EDR hoặc SOC, nhưng nếu đội ngũ chưa từng kiểm nghiệm quy trình escalation, phân vai, containment và phục hồi dưới áp lực thời gian thì khi sự cố thực sự xảy ra, khả năng phối hợp vẫn có thể trở thành điểm yếu.
Với các hệ thống tài chính hoặc hạ tầng trọng yếu, forensic readiness - khả năng giữ log, truy vết và bảo toàn chứng cứ cũng cần được xem là một phần của khả năng phòng thủ.
4. CyberZ được triển khai nhằm nâng cao năng lực phòng chống lừa đảo trực tuyến cho người trẻ
Ngày 29/10, dự án truyền thông cộng đồng CyberZ – Tiên phong phòng trừ lừa đảo được phát động tại Hà Nội, hướng tới nâng cao nhận thức, kỹ năng an toàn số và khả năng nhận diện lừa đảo trực tuyến cho người trẻ.
Trong bối cảnh Social Engineering ngày càng tận dụng AI, impersonation và các nền tảng mạng xã hội, awareness không thể chỉ dừng ở việc cảnh báo một danh sách “chiêu trò mới”.
Người dùng cần xây dựng khả năng nhận diện dấu hiệu bất thường, đánh giá ngữ cảnh và biết cách xác minh thông tin khi đối mặt với yêu cầu chuyển tiền, chia sẻ credential hoặc cung cấp OTP.
Đối với doanh nghiệp, bài học tương tự cũng rất rõ. Security Awareness hiệu quả cần được thiết kế theo vai trò và tình huống thực tế của người dùng. Bộ phận tài chính, HR, sales, IT admin và lãnh đạo cấp cao không đối mặt với cùng một nhóm rủi ro. Do đó, chương trình đào tạo nên mô phỏng các tình huống cụ thể thay vì chỉ cung cấp kiến thức chung.
II. Điểm tin an ninh mạng quốc tế
1. Nhật Bản: cyberattack bắt đầu tạo ra chi phí kinh tế trực tiếp cho doanh nghiệp
Ngày 26/10, Reuters ghi nhận nhiều doanh nghiệp Nhật Bản bắt đầu phải bồi thường cho người dùng sau các cuộc cyberattack gây gián đoạn dịch vụ và rò rỉ dữ liệu.
GMO Internet Group cho biết sẽ bồi thường thiệt hại liên quan đến truy cập trái phép vào dịch vụ giao dịch ngoại hối và chi trả 5.000 yen cho mỗi khách hàng như một động thái thiện chí. Trong khi đó, Park24 cũng công bố bồi thường sau sự cố lộ dữ liệu, với chi phí ứng phó và bồi thường dự kiến lên tới hàng tỷ yen.
Theo Reuters, Nhật Bản ghi nhận 723 sự cố an ninh mạng tính đến ngày 20/10, đã vượt tổng số của cả năm 2024 và 2025. Điểm đáng lưu ý là cyberattack đang chuyển từ một rủi ro IT thành một khoản chi phí kinh tế hữu hình.
2. Ransomware tại UNM Health làm gián đoạn chăm sóc bệnh nhân và phẫu thuật
Ngày 27/10, University of New Mexico Health Sciences Center công bố một cyberattack khiến nhiều hệ thống bị gián đoạn.
UNM Health phải tạm hạn chế tiếp nhận bệnh nhân mới, chuyển hướng xe cứu thương, hoãn một số ca phẫu thuật ngoại trú và hủy nhiều lịch khám. Một nhóm ransomware có tên Byod sau đó tuyên bố nhận trách nhiệm, tuy nhiên một số tuyên bố về phạm vi dữ liệu bị lấy cắp vẫn chưa được UNM xác nhận độc lập.
Điểm đáng chú ý nhất của case này không nằm ở ransomware family nào được sử dụng. Rủi ro lớn nhất là patient care bị ảnh hưởng trực tiếp.
Trong healthcare, downtime không chỉ gây mất doanh thu hoặc chậm quy trình nội bộ. Nó có thể ảnh hưởng đến lịch phẫu thuật, việc tiếp nhận bệnh nhân và khả năng truy cập thông tin y tế cần thiết.
Do đó, ransomware preparedness trong lĩnh vực y tế cần bao gồm:
backup độc lập;
network segmentation;
offline operating procedures;
incident communication;
kế hoạch duy trì hoạt động khi hệ thống số không khả dụng.
3. CISA xác nhận Node2Shell đang bị khai thác trong thực tế
Ngày 28/10, CISA xác nhận attacker đã bắt đầu khai thác một lỗ hổng nghiêm trọng trong Brotli, thường được gọi là Node2Shell, Broccoli2Shell hoặc HTTP2Shell.
Lỗ hổng được theo dõi với mã CVE-2026-111497, liên quan đến lỗi out-of-bounds write trong Brotli decoder. Khai thác thành công có thể gây crash, memory leak và trong một số trường hợp cho phép remote code execution trên hệ thống sử dụng phiên bản bị ảnh hưởng.
Node2Shell tiếp tục một xu hướng đáng chú ý từ các tuần trước: time-to-exploit đang rút ngắn đáng kể.
Ngay khi một vulnerability có đủ thông tin kỹ thuật hoặc PoC xuất hiện, attacker có thể nhanh chóng sử dụng automation để quét Internet và tìm hệ thống chưa vá.
Với doanh nghiệp, vulnerability management không thể chỉ là:“quét một lần mỗi tháng rồi chờ lịch patch tiếp theo”. Các Internet-facing assets cần được theo dõi liên tục, đồng thời doanh nghiệp phải có cơ chế emergency patching khi một lỗ hổng bước vào giai đoạn active exploitation.
4. Bỉ đóng cổng khai thuế trực tuyến sau cyberattack
Ngày 28/10, Cơ quan Tài chính Liên bang Bỉ xác nhận một cyberattack làm gián đoạn các dịch vụ số, khiến cơ quan này phải tạm đóng cổng khai thuế trực tuyến và một số dịch vụ khác.
Tại thời điểm công bố, cơ quan chức năng cho biết chưa có dấu hiệu dữ liệu bị đánh cắp. Việc đóng hệ thống được thực hiện như một biện pháp phòng ngừa nhằm giảm rủi ro trong lúc đội kỹ thuật xử lý sự cố.
Doanh nghiệp thường có xu hướng ưu tiên uptime bằng mọi giá, nhưng trong một số tình huống, việc tiếp tục duy trì một hệ thống đang có dấu hiệu compromise có thể làm blast radius tăng lên.
Quy trình incident response vì vậy cần xác định rõ:
ai có quyền ra quyết định shutdown;
điều kiện nào kích hoạt containment;
dịch vụ nào cần ưu tiên phục hồi;
cách thông báo với khách hàng và stakeholder.
5. Các hãng luật trở thành mục tiêu ngày càng lớn, AI tiếp tục làm giảm rào cản tấn công
Ngày 28/10, Reuters dẫn báo cáo của CrowdStrike cho biết cyberattack nhằm vào các hãng luật và tổ chức pháp lý đã tăng mạnh so với năm 2023.
Trong giai đoạn 12 tháng tính đến tháng 8/2026, 455 tổ chức pháp lý bị đưa tên lên các website công bố dữ liệu bị đánh cắp, tăng 39% so với năm trước. Các hãng luật trở thành mục tiêu hấp dẫn vì nắm giữ thông tin M&A, tài sản trí tuệ, hồ sơ pháp lý, dữ liệu tài chính và trao đổi bí mật của khách hàng.
Báo cáo cũng cảnh báo Agentic AI đang giúp các kỹ thuật tấn công phức tạp trở nên dễ tiếp cận và hiệu quả hơn. Điều này tiếp nối xu hướng từ tuần trước, khi AI Agent được ghi nhận hỗ trợ tự động hóa reconnaissance và exploitation trên quy mô lớn.
Với các tổ chức nắm giữ dữ liệu có giá trị cao, điều này khiến identity security, remote access và data governance càng trở nên quan trọng.
III. Doanh nghiệp cần ưu tiên điều gì sau điểm tin an ninh mạng tuần 26/10 – 01/11?
Các diễn biến trong tuần 26/10 – 01/11 cho thấy bốn xu hướng nổi bật.
Cybercrime đang được công nghiệp hóa
Case Thanh Hóa cho thấy online scam có thể được vận hành ở quy mô lớn với hạ tầng, nhân sự và quy trình rõ ràng.
Doanh nghiệp vì vậy không nên xem Social Engineering như các vụ việc ngẫu nhiên. Đây ngày càng là hoạt động có tổ chức, có khả năng thu thập dữ liệu, nghiên cứu mục tiêu và cá nhân hóa kịch bản.
Data security cần chuyển sang mô hình risk-based
Dự thảo Luật An ninh dữ liệu với cơ chế 5 cấp độ rủi ro phản ánh một hướng tiếp cận thực tế: tập trung biện pháp bảo vệ mạnh nhất vào những loại dữ liệu có nguy cơ và tác động lớn nhất.
Với doanh nghiệp, data classification cần trở thành nền tảng của access control, encryption và monitoring.
Time-to-exploit đang tiếp tục rút ngắn
Node2Shell nối tiếp các vulnerability bị khai thác nhanh trong những tuần trước.
Khi attacker sử dụng automation và AI để quét Internet, tổ chức không thể dựa vào chu kỳ patch dài.
Khả năng biết chính xác asset nào đang phơi ra Internet và asset nào đang chạy phiên bản dễ bị tấn công trở thành yêu cầu cốt lõi.
Cyberattack ngày càng tạo business impact trực tiếp
UNM Health, cơ quan thuế Bỉ và các doanh nghiệp Nhật Bản cho thấy cyberattack có thể dẫn đến:
gián đoạn dịch vụ;
chi phí bồi thường;
hoãn hoạt động quan trọng;
suy giảm niềm tin;
áp lực pháp lý và tài chính.
Góc nhìn chuyên gia từ IPSIP Việt Nam
Doanh nghiệp nên ưu tiên:
duy trì asset inventory cập nhật;
áp dụng risk-based vulnerability management;
triển khai MFA và kiểm soát privileged access;
phân loại dữ liệu theo mức độ nhạy cảm;
phân đoạn network;
tập trung log để giám sát liên tục;
xây dựng incident response playbook;
tổ chức tabletop exercise và technical exercise định kỳ;
chuẩn bị kịch bản business continuity khi hệ thống trọng yếu phải shutdown.
Đối với các hệ thống quan trọng, doanh nghiệp có thể kết hợp dịch vụ SOC 24/7 của IPSIP Việt Nam để tăng khả năng giám sát liên tục, kiểm tra và đánh giá lỗ hổng để phát hiện các điểm phơi nhiễm, cùng dịch vụ Pentest để kiểm chứng mức độ khai thác thực tế của những điểm yếu quan trọng.
Điểm tin an ninh mạng 26/10 – 01/11cho thấy an ninh mạng ngày càng gắn trực tiếp với khả năng vận hành của tổ chức. Một vulnerability chưa vá có thể nhanh chóng bị khai thác, ransomware có thể làm gián đoạn dịch vụ thiết yếu, còn cyber fraud đang được tổ chức ở quy mô ngày càng lớn.
Với doanh nghiệp, ưu tiên không còn chỉ là “ngăn chặn tấn công”, mà phải xây dựng khả năng nhìn thấy attack surface, phân loại dữ liệu, vá lỗ hổng theo mức độ rủi ro, giám sát liên tục và phản ứng đủ nhanh để hạn chế blast radius khi sự cố xảy ra.
Nguồn tham khảo
BleepingComputer - UNM Health Ransomware Attack Disrupts Patient Care, Surgeries
BleepingComputer - CISA Warns of Hackers Now Exploiting Critical Node2Shell Flaw
