Điểm tin an ninh mạng (5/10 – 11/10/2026): Ransomware tống tiền kép, lừa đảo bằng ảnh ghép và AI Agent trong các cuộc tấn công ngân hàng
Điểm tin an ninh mạng tuần 5/10 – 11/10/2026 ghi nhận nhiều diễn biến an ninh mạng đáng chú ý, từ ransomware tống tiền kép, lừa đảo bằng ảnh/video cắt ghép đến việc AI Agent bị nghi được sử dụng trong các cuộc tấn công ngân hàng. Các sự kiện cho thấy doanh nghiệp đang đối mặt đồng thời với rủi ro từ Social Engineering, credential theft, cloud/third-party exposure và tự động hóa tấn công bằng AI.
Tại Việt Nam, nổi bật là cảnh báo về ransomware The Gentlemen và Trigona tại Hưng Yên, gần 20 trường hợp bị tống tiền bằng hình ảnh/video cắt ghép tại Thanh Hóa và vụ lừa bán vé concert qua Threads gây thiệt hại hơn 2 tỷ đồng.
Ở phạm vi quốc tế, ASOS xác nhận dữ liệu khách hàng bị truy cập sau một cuộc Social Engineering, một AI Agent có tên ARTEX bị nghi được sử dụng trong các cuộc tấn công nhằm vào ngân hàng Hàn Quốc, IDCF Cloud tại Nhật bị ransomware làm gián đoạn dịch vụ và một contractor của Accenture bị loại khỏi FBI sau sự cố liên quan Oracle PeopleSoft.
Doanh nghiệp có thể tiếp tục theo dõi các diễn biến mới tại chuyên mục tin tức an ninh mạng IPSIP Việt Nam.
I. Điểm tin an ninh mạng trong nước
1. Ransomware “The Gentlemen” và Trigona đặt ra rủi ro tống tiền kép
Một trong những cảnh báo đáng chú ý trong tuần liên quan đến hai dòng ransomware The Gentlemen và Trigona, được nhắc tới trong bối cảnh một số hệ thống thông tin tại Hưng Yên có dấu hiệu bị xâm nhập.
The Gentlemen hoạt động theo mô hình Ransomware-as-a-Service và sử dụng chiến thuật double extortion: attacker đánh cắp dữ liệu trước khi mã hóa hệ thống, sau đó sử dụng cả hai yếu tố để gây sức ép buộc nạn nhân trả tiền chuộc.
Điểm đáng lưu ý với doanh nghiệp là ransomware hiện nay không còn đơn giản là “máy bị mã hóa”.
Ngay cả khi tổ chức có backup và có thể khôi phục hệ thống, dữ liệu đã bị exfiltrate vẫn có thể được dùng để:
tống tiền lần hai;
công khai trên leak site;
bán cho bên thứ ba;
khai thác cho phishing hoặc fraud;
gây áp lực pháp lý và uy tín.
Biện pháp doanh nghiệp nên ưu tiên: giới hạn dịch vụ Internet-facing không cần thiết, triển khai MFA cho tài khoản quản trị, phân đoạn mạng, giám sát hành vi bất thường trên endpoint và đảm bảo backup được cô lập khỏi production credential.
Xem chi tiết bài viết IPISP Việt Nam phân tích: Mã độc "The Gentlemen" và mối đe dọa từ thủ đoạn tống tiền kép
2. Gần 20 trường hợp bị tống tiền bằng ảnh và video cắt ghép tại Thanh Hóa
Ngày 5/10/2026, Bộ Công an cảnh báo thủ đoạn ghép hình ảnh, video nhạy cảm để đe dọa và tống tiền người dùng trên không gian mạng.
Theo thông tin được công bố, từ đầu tháng 10, Phòng An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao Công an tỉnh Thanh Hóa đã tiếp nhận trình báo của gần 20 trường hợp, trong đó có nạn nhân bị yêu cầu chuyển số tiền lên tới 1,5 tỷ đồng.
Các đối tượng thường thu thập ảnh, video hoặc thông tin công khai của nạn nhân trên mạng xã hội, sau đó cắt ghép nội dung nhạy cảm và gửi cho nạn nhân để gây áp lực tâm lý.
Đây là một dạng Social Engineering đáng chú ý trong bối cảnh công cụ tạo ảnh, chỉnh sửa video và AI ngày càng dễ tiếp cận.
Biện pháp doanh nghiệp nên ưu tiên: đưa các tình huống deepfake, sextortion và impersonation vào chương trình awareness; hướng dẫn nhân viên không tự ý chuyển tiền hoặc thương lượng với attacker; xây dựng đầu mối xử lý khi nhân sự bị mạo danh hoặc tống tiền.
3. Lừa bán vé concert trên Threads: hơn 200 nạn nhân, thiệt hại trên 2 tỷ đồng
Ngày 6/10/2026, Công an Tây Ninh công bố việc khởi tố một đối tượng bị cáo buộc sử dụng nhiều tài khoản mạng xã hội giả để lừa bán vé concert.
Theo cơ quan điều tra, đối tượng đăng bài trên Threads, tiếp cận người có nhu cầu mua vé, sau đó chuyển cuộc trao đổi sang Zalo để hoàn tất giao dịch.
Hơn 200 người được xác định là nạn nhân, với tổng số tiền bị chiếm đoạt ước tính trên 2 tỷ đồng.
Kịch bản này kết hợp nhiều yếu tố quen thuộc:
Fake account → Social Engineering → mule/bank account → payment fraud
Biện pháp doanh nghiệp nên ưu tiên: giám sát tài khoản giả mạo thương hiệu, công bố rõ kênh bán hàng chính thức, tạo quy trình tiếp nhận báo cáo fraud và chủ động cảnh báo khách hàng khi phát hiện chiến dịch lừa đảo.
4. Lừa đảo “trúng thưởng iPhone 18” tiếp tục khai thác tâm lý người dùng
Ngày 6/10, lực lượng chức năng tại Quảng Ninh tiếp tục cảnh báo các thông báo giả mạo về việc người dùng “trúng thưởng iPhone 18”.
Kịch bản quen thuộc là tạo cảm giác người dùng đang nhận được phần thưởng có giá trị cao, sau đó yêu cầu cung cấp thông tin cá nhân, thanh toán một khoản phí hoặc thực hiện các bước xác minh qua đường link không đáng tin cậy.
Biện pháp doanh nghiệp nên ưu tiên: đào tạo theo kịch bản thực tế và đa kênh, thay vì chỉ tập trung vào email phishing. Có thể tham khảo thêm chương trình đào tạo nhận thức an ninh mạng cho nhân viên.
II. Điểm tin an ninh mạng quốc tế
5. ASOS xác nhận dữ liệu khách hàng bị truy cập sau Social Engineering
Ngày 8/10/2026, ASOS xác nhận một sự cố an ninh mạng làm lộ một phần thông tin khách hàng.
Thông tin ban đầu cho thấy website và ứng dụng chính của ASOS không bị compromise; password và thông tin payment card của khách hàng cũng không nằm trong dữ liệu bị ảnh hưởng theo công bố ban đầu.
Case này thể hiện rõ một mô hình đang ngày càng phổ biến:
Social Engineering → Credential Theft → Third-party Platform Access → Data Exposure
Attacker không cần tấn công thẳng vào core infrastructure nếu có thể thuyết phục một nhân viên cung cấp hoặc làm lộ credential hợp lệ.
Biện pháp doanh nghiệp nên ưu tiên: triển khai phishing-resistant MFA, Conditional Access, giám sát sign-in bất thường và áp dụng chính sách truy cập chặt hơn cho các nền tảng SaaS hoặc third-party có dữ liệu khách hàng.
6. AI Agent ARTEX bị nghi được sử dụng để tấn công ít nhất 9 ngân hàng Hàn Quốc
Một trong những diễn biến đáng chú ý nhất tuần liên quan đến ARTEX, một AI Agent được cho là đã được sử dụng trong các cuộc tấn công nhằm vào ít nhất chín ngân hàng tại Hàn Quốc.
Điểm quan trọng ở đây là cybersecurity đang tiến thêm một bước so với những cảnh báo mang tính giả định trước đây.
Việc tự động hóa không nhất thiết tạo ra kỹ thuật hoàn toàn mới, nhưng có thể làm giảm thời gian và nhân lực cần thiết để thực hiện một chiến dịch.
Biện pháp doanh nghiệp nên ưu tiên: tăng giám sát hành vi thay vì chỉ dựa vào signature, kiểm soát API/service account, triển khai segmentation và bảo vệ đặc biệt các hệ thống tài chính, identity và cloud console.
7. Ransomware tấn công IDCF Cloud tại Nhật, ảnh hưởng khoảng 495 tổ chức
Ngày 7/10, một cuộc tấn công ransomware khiến nhà cung cấp IDCF Cloud tại Nhật phải cô lập và shutdown một vùng hạ tầng.
Sự cố ảnh hưởng tới khoảng 495 doanh nghiệp và cơ quan chính quyền địa phương đang sử dụng dịch vụ. Đây là case đặc biệt đáng chú ý vì mục tiêu không phải một doanh nghiệp đơn lẻ, mà là một cloud service provider.
Một số threat actor tuyên bố đã mã hóa database, virtual disk và snapshot với quy mô lớn, nhưng những con số này cần được xem là tuyên bố từ phía attacker cho tới khi có xác nhận độc lập.
Biện pháp doanh nghiệp nên ưu tiên: đánh giá Business Continuity khi cloud provider gặp sự cố, duy trì backup độc lập ngoài cùng trust boundary, kiểm tra quyền quản trị cloud và tránh để production, snapshot và backup phụ thuộc vào cùng một credential.
8. Contractor bị loại khỏi FBI sau breach liên quan Oracle PeopleSoft
Ngày 5/10, một contractor của Accenture bị loại khỏi công việc với FBI sau sự cố liên quan Oracle PeopleSoft.
Vụ việc liên quan việc một bản vá quan trọng cho Oracle PeopleSoft không được triển khai kịp thời, tạo điều kiện cho attacker khai thác hệ thống và truy cập thông tin nhạy cảm của nhân viên.
Case này cho thấy một trong những vấn đề phổ biến nhất của third-party risk: Không phải lúc nào doanh nghiệp cũng không biết có lỗ hổng. Đôi khi vấn đề là: ai chịu trách nhiệm vá?
Nếu vendor cho rằng khách hàng chịu trách nhiệm, khách hàng lại cho rằng contractor sẽ xử lý, một critical patch có thể bị bỏ quên dù tất cả các bên đều có quy trình security.
Biện pháp doanh nghiệp nên ưu tiên: SLA với vendor cần quy định rõ patch ownership, thời hạn xử lý critical vulnerability, escalation và bằng chứng xác nhận hoàn thành. Các hệ thống chứa dữ liệu nhạy cảm cũng cần được kiểm kê để bảo đảm không có asset “không ai sở hữu” trong quy trình patch.
III. Doanh nghiệp cần ưu tiên điều gì sau tuần 5/10 – 11/10?
Các sự kiện tuần này cho thấy bốn xu hướng đáng chú ý:
Ransomware tiếp tục phát triển theo hướng tống tiền kép. Backup vẫn quan trọng nhưng không còn đủ. Nếu dữ liệu đã bị exfiltrate, doanh nghiệp vẫn phải đối mặt với rò rỉ và tống tiền ngay cả khi hệ thống được khôi phục.
Social Engineering ngày càng tận dụng nhiều loại dữ liệu và nội dung giả hơn. Một bức ảnh trên Facebook, credential của nhân viên hay một tài khoản social giả đều có thể trở thành điểm bắt đầu của sự cố.
AI Agent đang bắt đầu xuất hiện trong những case tấn công thực tế, làm tăng khả năng tự động hóa reconnaissance, processing và exploitation.
Third-party risk và patch governance tiếp tục là điểm yếu lớn. Một vendor, contractor hoặc cloud provider bị compromise có thể mở rộng blast radius sang nhiều hệ thống mà doanh nghiệp không trực tiếp kiểm soát.
Với doanh nghiệp, câu hỏi quan trọng không còn là liệu có một công cụ bảo mật riêng lẻ đủ mạnh hay không. Điều cần thiết hơn là khả năng kiểm soát identity, privilege, third-party access và phản ứng đủ nhanh khi các lớp rủi ro này kết nối với nhau.
Nguồn tham khảo
Bộ Công an – Lột mặt nạ “đại lý bán vé Concert” ảo trên Threads, lừa đảo hàng tỷ đồng của hơn 200 nạn nhân
Reuters – South Korean banks were likely hacked by a China-based actor with an AI agent, CrowdStrike says
BleepingComputer – Ransomware attack disrupts Japan's IDCF Cloud used by govt clients
