Bạn có thể nghĩ một tên miền hết hạn đơn giản chỉ là một địa chỉ website không còn ai sử dụng. Nhưng với tội phạm mạng, một tên miền cũ đôi khi lại đáng giá hơn rất nhiều so với một tên miền hoàn toàn mới.
Trong nửa đầu năm 2026 có khoảng 50.400 tên miền dạng này được đăng ký lại mỗi ngày chỉ tính riêng các tên miền quốc tế như ".com"; nếu tính cả tên miền quốc gia, con số lên khoảng 65.000. Điều đáng nói là những tên miền này có thể mang theo “di sản” từ chủ cũ: lượng truy cập còn sót lại, liên kết từ các website khác, kết quả tìm kiếm và thậm chí cả mức độ uy tín mà các hệ thống đánh giá website từng gán cho chúng.
Và đây chính là thứ tội phạm mạng đang tìm kiếm.
Thay vì xây dựng một website lừa đảo từ con số 0 rồi chờ người dùng truy cập, kẻ tấn công có thể mua lại một tên miền từng thuộc về một doanh nghiệp, tổ chức hoặc dự án hợp pháp. Người dùng vẫn có thể vô tình bấm vào những liên kết cũ còn tồn tại trên Internet, trong khi một số hệ thống bảo mật hoặc công cụ đánh giá danh tiếng vẫn nhìn thấy lịch sử của tên miền và có thể không coi nó nguy hiểm như một địa chỉ vừa được tạo ra.
Nói cách khác, hacker không chỉ mua một cái tên miền. Họ đang mua luôn “lịch sử” của nó.
Một trong những nhóm hacker đang thực hiện cách làm này là Sable Squirrel, được cho là đã chi gần 7 triệu USD để mua các tên miền hết hạn. Nhóm này sở hữu hơn 10.000 tên miền và sử dụng chúng làm hạ tầng cho một hệ sinh thái kết hợp giữa phát trực tuyến thể thao trái phép, quảng bá cờ bạc và phát tán mã độc. Đáng chú ý là Việt Nam lại được một số kênh nước ngoài đánh giá là một trong những tâm điểm của hoạt động này, với nhiều thương hiệu phát trực tuyến thể thao trái phép như Xoilac, Cakhia, 90phut, Socolive và MiTom được liên hệ với hệ thống.
Trong nửa đầu năm 2026 có khoảng 50.400 tên miền dạng này được đăng ký lại mỗi ngày chỉ tính riêng các tên miền quốc tế như ".com"; nếu tính cả tên miền quốc gia, con số lên khoảng 65.000. Điều đáng nói là những tên miền này có thể mang theo “di sản” từ chủ cũ: lượng truy cập còn sót lại, liên kết từ các website khác, kết quả tìm kiếm và thậm chí cả mức độ uy tín mà các hệ thống đánh giá website từng gán cho chúng.
Và đây chính là thứ tội phạm mạng đang tìm kiếm.
Thay vì xây dựng một website lừa đảo từ con số 0 rồi chờ người dùng truy cập, kẻ tấn công có thể mua lại một tên miền từng thuộc về một doanh nghiệp, tổ chức hoặc dự án hợp pháp. Người dùng vẫn có thể vô tình bấm vào những liên kết cũ còn tồn tại trên Internet, trong khi một số hệ thống bảo mật hoặc công cụ đánh giá danh tiếng vẫn nhìn thấy lịch sử của tên miền và có thể không coi nó nguy hiểm như một địa chỉ vừa được tạo ra.
Nói cách khác, hacker không chỉ mua một cái tên miền. Họ đang mua luôn “lịch sử” của nó.
Một trong những nhóm hacker đang thực hiện cách làm này là Sable Squirrel, được cho là đã chi gần 7 triệu USD để mua các tên miền hết hạn. Nhóm này sở hữu hơn 10.000 tên miền và sử dụng chúng làm hạ tầng cho một hệ sinh thái kết hợp giữa phát trực tuyến thể thao trái phép, quảng bá cờ bạc và phát tán mã độc. Đáng chú ý là Việt Nam lại được một số kênh nước ngoài đánh giá là một trong những tâm điểm của hoạt động này, với nhiều thương hiệu phát trực tuyến thể thao trái phép như Xoilac, Cakhia, 90phut, Socolive và MiTom được liên hệ với hệ thống.
Một số tên miền sau khi được mua lại không chỉ phục vụ website. Chúng còn được sử dụng làm máy chủ điều khiển mã độc (C2). Infoblox ghi nhận hơn 31.000 mẫu mã độc, trong đó có Quasar RAT, AsyncRAT, DCRat, NanoCore, Remcos RAT và njRAT, từng giao tiếp với hạ tầng liên quan đến Sable Squirrel. Một tên miền có thể vừa hiển thị nội dung xem bóng đá, vừa âm thầm đóng vai trò là hạ tầng phục vụ mã độc phía sau. Nhiều tên miền cũ không chỉ có nguy cơ bị chèn mã độc mà có thể phát tán những thông tin nguy hiểm như: phản động, kích động, nội dung phản cảm, nội dung giả gây hoang mang cho dư luận và người dân...
Điều này tạo ra một tình huống khá nguy hiểm đối với người dùng phổ thông. Bạn có thể truy cập một website vì nghĩ rằng mình đang xem nội dung quen thuộc, nhưng phía sau những cú chuyển hướng có thể là cả một chuỗi website trung gian. Tùy vào vị trí, thiết bị hoặc hành vi của người truy cập, hệ thống có thể đưa người này tới trang quảng cáo, người khác tới trang cá cược, còn một nhóm khác có thể nhận nội dung độc hại.
Đây cũng là lý do việc “website nhìn có vẻ quen thuộc” không còn đủ để kết luận rằng nó an toàn. Một tên miền từng thuộc về một tổ chức hợp pháp hôm nay có thể đã nằm trong tay một chủ thể hoàn toàn khác. Những liên kết cũ trên Internet, bài đăng mạng xã hội hoặc kết quả tìm kiếm tồn tại từ nhiều năm trước đôi khi trở thành chiếc cầu nối đưa người dùng tới hạ tầng mới của kẻ tấn công.
Điều đáng suy nghĩ là Internet đang tồn tại một thứ gọi là “niềm tin kế thừa”. Một website mới tinh phải mất thời gian để có người biết đến, có liên kết từ các trang khác và xây dựng danh tiếng. Nhưng một tên miền cũ có thể đã có tất cả những thứ đó. Tội phạm mạng vì thế không nhất thiết phải xây dựng niềm tin, chúng chỉ cần tìm cách mua lại nó.
Với người dùng, đây là một lý do nữa để không quá tin vào những dấu hiệu bề ngoài như tên miền lâu năm, website có giao diện quen thuộc hay một kết quả tìm kiếm xuất hiện ở vị trí cao. Với doanh nghiệp, câu chuyện còn đáng quan tâm hơn, một tên miền mình bỏ không nhưng không thu hồi hoặc quản lý đúng cách có thể tiếp tục tạo ra rủi ro trong nhiều năm sau khi không còn sử dụng.
Có lẽ đây mới là điều thú vị nhất của vụ việc: trong cuộc chiến an ninh mạng, đôi khi hacker không cần tìm cách phá vỡ một hệ thống. Họ chỉ cần chờ một tài sản kỹ thuật số bị bỏ quên, mua lại nó và biến chính lịch sử của tài sản đó thành vũ khí.
Được phối hợp thực hiện bởi các chuyên gia của Bkav,
cộng đồng An ninh mạng Việt Nam WhiteHat
và cộng đồng Khoa học công nghệ VnReview
