Khi tội phạm mạng biết dùng AI: doanh nghiệp Việt trước làn sóng tấn công tự động hóa

Trí tuệ nhân tạo (AI) không chỉ là công cụ tăng năng suất cho doanh nghiệp mà đang trở thành "vũ khí" trong tay tội phạm mạng. Những email lừa đảo được soạn bằng tiếng Việt trơn tru, các cuộc gọi video giả mạo lãnh đạo, mã độc tự thay đổi để né tránh phần mềm phòng vệ và những chiến dịch tống tiền được tự động hóa ở quy mô lớn — tất cả đang khiến bức tranh an ninh mạng năm 2026 phức tạp hơn bao giờ hết. Với doanh nghiệp Việt Nam, câu hỏi không còn là "có bị tấn công hay không" mà là "khi nào" và "đã sẵn sàng ứng phó đến đâu".

AI hạ thấp rào cản cho kẻ tấn công

Trước đây, một cuộc tấn công mạng bài bản đòi hỏi kẻ xấu phải có kỹ năng lập trình, thời gian dò quét và hiểu biết sâu về hệ thống mục tiêu. AI đang xóa dần những rào cản đó. Mô hình ngôn ngữ lớn có thể viết kịch bản lừa đảo bằng nhiều ngôn ngữ, chỉnh giọng văn cho khớp với văn hóa doanh nghiệp mục tiêu và loại bỏ những lỗi chính tả vốn là dấu hiệu nhận biết email giả mạo. Kết quả là các chiến dịch tấn công phi kỹ thuật (social engineering) trở nên thuyết phục hơn và khó phát hiện hơn nhiều.

Nguy hiểm hơn, AI giúp tự động hóa những công đoạn từng tốn nhiều công sức: dò quét lỗ hổng, phân loại dữ liệu đánh cắp, tạo biến thể mã độc để qua mặt phần mềm diệt virus. Giới nghiên cứu an toàn thông tin trong năm 2025 và 2026 đã ghi nhận những mẫu mã độc có khả năng tận dụng mô hình ngôn ngữ để tự sinh mã khai thác, cũng như các chiến dịch mã độc tống tiền dùng "tác nhân AI" để rút ngắn thời gian từ lúc xâm nhập đến lúc mã hóa dữ liệu. Khi thời gian tấn công được nén lại còn vài giờ thay vì vài ngày, khoảng trống để đội ngũ phòng thủ kịp phản ứng cũng thu hẹp tương ứng.

Một mặt trận khác là giả mạo danh tính bằng công nghệ deepfake. Những cuộc gọi video mạo danh người thân, lãnh đạo doanh nghiệp hoặc cán bộ cơ quan chức năng để yêu cầu chuyển tiền đã xuất hiện ngày càng nhiều tại Việt Nam. Chỉ cần vài phút hình ảnh và giọng nói thu thập trên mạng xã hội, kẻ gian có thể dựng lại khuôn mặt và giọng nói đủ giống để đánh lừa nạn nhân trong tình huống gấp gáp.

Đội ngũ an ninh mạng theo dõi và phân tích lưu lượng bất thường theo thời gian thực. Giám sát chủ động 24/7 là tuyến phòng thủ then chốt trước các cuộc tấn công được AI tăng tốc.

Doanh nghiệp Việt đã nằm trong tầm ngắm

Làn sóng tấn công không còn là câu chuyện của nơi khác. Năm 2024 chứng kiến hàng loạt sự cố mã độc tống tiền nghiêm trọng nhằm vào các tổ chức lớn của Việt Nam. Cuối tháng 3/2024, hệ thống của một công ty chứng khoán lớn bị mã hóa bởi dòng ransomware LockBit 3.0, khiến hoạt động giao dịch gián đoạn nhiều ngày. Rạng sáng 2/4/2024, một tổng công ty kinh doanh xăng dầu bị tấn công mã độc, làm gián đoạn website, hóa đơn điện tử và ứng dụng thanh toán. Đến rạng sáng 4/6/2024, hệ thống của một tổng công ty bưu chính lớn cũng bị mã hóa dữ liệu, buộc đơn vị phải ngắt kết nối để cô lập sự cố.

Sang năm 2025, xu hướng này không hạ nhiệt. Một tập đoàn công nghệ trong nước xác nhận đã ghi nhận sự cố mã độc tống tiền ảnh hưởng đến một dịch vụ của công ty thành viên. Cơ quan chức năng cũng cho biết từng có doanh nghiệp trong lĩnh vực năng lượng bị đòi khoản tiền chuộc lên tới 2,5 triệu USD. Thống kê an ninh mạng ghi nhận trong năm 2024 có doanh nghiệp thiệt hại tới khoảng 800 tỉ đồng vì mã độc tống tiền, và trung bình mỗi ngày các hệ thống tại Việt Nam phải hứng chịu tới khoảng 80 vụ tấn công dạng này.

Điểm chung của các sự cố là hậu quả không dừng ở dữ liệu bị mã hóa. Doanh nghiệp còn đối mặt với gián đoạn kinh doanh, chi phí khôi phục, rủi ro lộ lọt thông tin khách hàng và tổn hại uy tín kéo dài. Với những ngành phụ thuộc hệ thống trực tuyến như tài chính, bán lẻ, logistics hay dịch vụ công, mỗi giờ ngừng hoạt động đều quy đổi trực tiếp thành thiệt hại tài chính.

Vì sao cách phòng thủ cũ không còn đủ

Nhiều doanh nghiệp vẫn dựa vào tư duy phòng thủ theo kiểu "xây tường": một tường lửa ở vành ngoài, một phần mềm diệt virus trên máy trạm và niềm tin rằng mạng nội bộ là vùng an toàn. Mô hình này ngày càng lỗi thời khi nhân sự làm việc từ xa, dữ liệu nằm rải rác trên đám mây và kẻ tấn công dùng chính tài khoản hợp lệ bị đánh cắp để xâm nhập. Một khi đã lọt qua vành ngoài, kẻ xấu có thể di chuyển ngang trong hệ thống mà gần như không gặp trở ngại.

Khi tốc độ và mức độ tinh vi của tấn công được AI khuếch đại, doanh nghiệp cần chuyển sang tư duy "giả định đã bị xâm nhập": giám sát liên tục, xác thực chặt chẽ mọi truy cập, phân vùng mạng để hạn chế lây lan và chuẩn bị sẵn kịch bản khôi phục. Phòng thủ không còn là một sản phẩm mua một lần, mà là một quy trình vận hành thường xuyên.

Bảy việc doanh nghiệp cần làm ngay

1. Bật xác thực đa yếu tố (MFA) cho toàn bộ tài khoản quan trọng, đặc biệt là email, VPN và tài khoản quản trị — biện pháp đơn giản nhưng chặn được phần lớn tấn công chiếm tài khoản.
2. Sao lưu dữ liệu theo nguyên tắc 3-2-1 và giữ ít nhất một bản sao ngoại tuyến hoặc bất biến, không thể bị mã hóa ngược khi hệ thống chính bị tấn công.
3. Cập nhật bản vá cho hệ điều hành, ứng dụng và thiết bị mạng kịp thời, bởi phần lớn cuộc tấn công khai thác lỗ hổng đã có bản vá.
4. Phân vùng mạng và áp dụng nguyên tắc đặc quyền tối thiểu, để một máy bị nhiễm không kéo theo toàn bộ hệ thống.
5. Giám sát an ninh 24/7 bằng giải pháp SIEM/SOC hoặc dịch vụ thuê ngoài, phát hiện sớm hành vi bất thường trước khi dữ liệu bị mã hóa.
6. Đào tạo nhân viên nhận diện email lừa đảo, tin nhắn giả mạo và cuộc gọi deepfake; thiết lập quy trình xác minh hai kênh trước khi chuyển tiền hoặc cấp quyền.
7. Xây dựng và diễn tập kịch bản ứng phó sự cố, xác định rõ ai làm gì, liên hệ ai và khôi phục theo trình tự nào khi sự cố xảy ra.

Tuân thủ pháp luật và phối hợp cơ quan chức năng

Bảo đảm an ninh mạng không chỉ là lựa chọn kỹ thuật mà còn là nghĩa vụ pháp lý. Luật An toàn thông tin mạng năm 2015 và Luật An ninh mạng năm 2018 đặt ra yêu cầu bảo vệ hệ thống thông tin và trách nhiệm ứng phó, khắc phục sự cố. Doanh nghiệp cần nắm rõ nghĩa vụ bảo vệ dữ liệu cá nhân của khách hàng và người lao động, cũng như trách nhiệm thông báo cho cơ quan chức năng khi xảy ra sự cố nghiêm trọng.

Khi bị tấn công, việc phối hợp sớm với các đầu mối chuyên trách giúp khoanh vùng thiệt hại và truy vết thủ phạm hiệu quả hơn. Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) thuộc Cục An toàn thông tin và lực lượng an ninh mạng của Bộ Công an là những địa chỉ tiếp nhận, hỗ trợ điều phối ứng cứu sự cố. Chia sẻ thông tin về mối đe dọa giữa các doanh nghiệp cũng góp phần dựng lên lá chắn chung, bởi cùng một chiến dịch tấn công thường nhắm vào nhiều mục tiêu trong cùng ngành.

AI đang tiếp sức cho kẻ tấn công, nhưng cũng chính AI đang tăng cường năng lực cho bên phòng thủ: phát hiện bất thường theo thời gian thực, tự động phân loại cảnh báo và rút ngắn thời gian phản ứng. Cuộc đua công nghệ giữa tấn công và phòng thủ sẽ còn tiếp diễn. Phần thắng thuộc về những doanh nghiệp coi an ninh mạng là một phần cốt lõi của hoạt động kinh doanh, đầu tư bài bản và duy trì cảnh giác thường trực — thay vì chờ đến khi màn hình hiện lên dòng thông báo đòi tiền chuộc mới bắt đầu hành động.