Duy Linh✔
Writer
Các nhóm tội phạm mạng đứng sau những chiến dịch mã độc tống tiền (ransomware) đang tận dụng trí tuệ nhân tạo tạo sinh (Generative AI) để nâng cao hiệu quả tấn công lừa đảo, đẩy nhanh quá trình thu thập thông tin và xác định những dữ liệu nhạy cảm có giá trị nhất đối với doanh nghiệp.
Theo Zscaler ThreatLabz, hoạt động tống tiền đang chuyển dịch theo hướng nhanh chóng và có mục tiêu rõ ràng hơn. Thay vì chỉ dựa vào việc mã hóa tập tin để gây sức ép, kẻ tấn công ngày càng tập trung vào việc đánh cắp thông tin có khả năng gây thiệt hại lớn nếu bị công khai, qua đó tạo áp lực về kinh doanh, danh tiếng và pháp lý đối với nạn nhân.
Báo cáo Ransomware năm 2026 của Zscaler ThreatLabz ghi nhận 896,2 terabyte dữ liệu bị đánh cắp bởi 10 nhóm mã độc tống tiền hàng đầu trong giai đoạn từ tháng 4/2025 đến tháng 3/2026. Con số này cho thấy quy mô đáng kể của hoạt động đánh cắp dữ liệu, dù chưa thể phản ánh chính xác mức độ tham gia của trí tuệ nhân tạo trong các chiến dịch.
Sau khi xâm nhập thành công, kẻ tấn công có thể sử dụng AI tạo sinh để phân loại những tài liệu mà chúng có quyền truy cập, đồng thời tìm kiếm thông tin có giá trị thương mại hoặc chứa dữ liệu nhạy cảm. Thay vì phải kiểm tra thủ công hàng loạt tập tin và kho lưu trữ khổng lồ, chúng có thể nhanh chóng xác định những tài liệu mà việc tiết lộ sẽ gây ra hậu quả nghiêm trọng đối với hoạt động kinh doanh, uy tín hoặc trách nhiệm pháp lý của tổ chức.
Đây vẫn là hoạt động trinh sát sau khi xâm nhập, nhưng AI có thể giúp quá trình này diễn ra nhanh hơn bằng cách xác định những thông tin cần ưu tiên. Hiệu quả và phạm vi tác động của hoạt động đánh cắp dữ liệu phụ thuộc vào quyền hạn của tài khoản hoặc thiết bị đầu cuối đã bị xâm phạm. Vì vậy, việc cấp quyền truy cập quá rộng có thể khiến hậu quả trở nên nghiêm trọng hơn.
Sự thay đổi này cho thấy mã hóa dữ liệu không còn là điều kiện bắt buộc để một vụ tống tiền thành công. Trong một phân tích liên quan, Zscaler mô tả trường hợp một tổ chức chăm sóc sức khỏe đã trả 2 triệu USD (khoảng 52 tỷ VNĐ) chỉ để ngăn chặn việc công bố dữ liệu bị đánh cắp. Đáng chú ý, vụ việc không diễn ra quá trình mã hóa dữ liệu. Điều này cho thấy việc khôi phục thông tin từ bản sao lưu không thể giải quyết toàn bộ rủi ro do ransomware gây ra, đặc biệt khi dữ liệu đã bị đánh cắp và có nguy cơ bị phát tán.
AI tạo sinh còn giúp tội phạm mạng khắc phục một điểm yếu thường gặp trong các chiến dịch lừa đảo: cách diễn đạt thiếu tự nhiên hoặc sai sót về ngôn ngữ. Công nghệ này có thể hỗ trợ tạo ra email chỉn chu, trang web thuyết phục và tài liệu giả mạo được bản địa hóa theo ngôn ngữ của mục tiêu. Nhờ đó, các chiêu trò lừa đảo khó bị phát hiện hơn nếu người dùng chỉ dựa vào lỗi chính tả, ngữ pháp vụng về hoặc cách diễn đạt bất thường để nhận diện dấu hiệu đáng ngờ.
Để thực hiện hành vi này, chúng lợi dụng những công cụ hỗ trợ từ xa hợp pháp như Microsoft Quick Assist, AnyDesk và TeamViewer. Do đây đều là các công cụ có mục đích sử dụng chính đáng, việc chúng xuất hiện trên thiết bị không đồng nghĩa với hoạt động độc hại. Tuy nhiên, nếu bị kẻ tấn công lợi dụng, các công cụ này có thể trở thành phương tiện hỗ trợ truy cập trái phép.
Trong một phân tích về 351 nạn nhân liên quan đến một chiến dịch mã độc tống tiền nổi tiếng, Zscaler ghi nhận 62% nạn nhân giữ chức vụ quản lý trở lên. Hơn ba phần tư số người được khảo sát làm việc trong các lĩnh vực tài chính, bán hàng, vận hành, nhân sự hoặc tiếp thị.
Những số liệu này cho thấy tội phạm mạng không chỉ quan tâm đến những người có đặc quyền kỹ thuật cao. Các vị trí quản lý và nhân sự thuộc những bộ phận nắm giữ thông tin kinh doanh, dữ liệu nội bộ hoặc có ảnh hưởng đến hoạt động của tổ chức cũng có thể trở thành mục tiêu có giá trị.
AI còn có khả năng hỗ trợ quá trình phát triển công cụ phục vụ tấn công. ThreatLabz đã quan sát thấy hoạt động có dấu hiệu được hỗ trợ bởi AI liên quan đến nhóm Payouts King. Trong đó, nhiều phiên bản của một tập lệnh hàng loạt độc hại dường như được tạo ra tự động.
Tuy nhiên, cần thận trọng khi đánh giá nguồn gốc của những công cụ này. Quan sát của ThreatLabz không chứng minh rằng tất cả các biến thể tập lệnh đều được tạo ra bằng AI. Dù vậy, việc chỉnh sửa và tạo ra nhiều phiên bản mã độc trong thời gian ngắn có thể khiến phương pháp phát hiện dựa trên chữ ký trở nên kém hiệu quả hơn. Các tiện ích chuyên dụng được sử dụng trong quá trình tấn công cũng có thể làm giảm độ tin cậy của những chỉ báo công cụ vốn quen thuộc với đội ngũ bảo mật.
Dù mã độc liên tục thay đổi, những hành vi đáng ngờ vẫn có thể được phát hiện thông qua quá trình giám sát. Các dấu hiệu như truy cập từ xa bất thường, thu thập tài liệu với số lượng lớn hoặc chuyển dữ liệu đến những địa chỉ không mong muốn vẫn có thể cung cấp manh mối quan trọng để nhận diện hoạt động xâm nhập.
Trong các sự cố liên quan đến Payouts King, ThreatLabz ghi nhận dữ liệu được sao chép và đánh cắp thông qua giao thức truyền tải tệp an toàn (STP) chỉ trong vòng vài giờ sau khi kẻ tấn công giành được quyền truy cập ban đầu.
Sau đó, kẻ tấn công triển khai thêm các công cụ quản lý từ xa, di chuyển ngang trong hệ thống thông qua những tính năng của Windows và lợi dụng thông tin xác thực ảo trong Active Directory để duy trì quyền truy cập trước khi tiến hành mã hóa dữ liệu.
Diễn biến này cho thấy một chiến dịch ransomware có thể bao gồm nhiều giai đoạn, từ xâm nhập ban đầu, duy trì quyền truy cập, thu thập thông tin đến đánh cắp dữ liệu và cuối cùng là mã hóa. Nếu chỉ tập trung phát hiện tập tin bị mã hóa, tổ chức có nguy cơ bỏ qua những hoạt động nguy hiểm đã diễn ra trước đó.
Do vậy, các biện pháp phòng thủ cần vượt ra ngoài việc ngăn chặn phần mềm độc hại. Doanh nghiệp nên hạn chế hoạt động quản trị từ xa trái phép, áp dụng nguyên tắc cấp quyền tối thiểu và giám sát những hành vi tải xuống hàng loạt, tập hợp dữ liệu bất thường hoặc chuyển dữ liệu đến các điểm đích không được phép.
Các giải pháp ngăn ngừa mất dữ liệu và kiểm soát quyền truy cập đám mây có thể giúp ngăn chặn việc xuất dữ liệu trái phép. Đồng thời, việc liên kết dữ liệu giám sát về danh tính, thiết bị đầu cuối và lưu lượng mạng có thể giúp đội ngũ bảo mật rút ngắn thời gian điều tra, nhận diện mối liên hệ giữa những hoạt động đáng ngờ và phản ứng kịp thời hơn.
AI cũng có thể hỗ trợ các nhà phân tích phân loại và xử lý thông tin trong quá trình điều tra. Tuy nhiên, hiệu quả ngăn chặn vẫn phụ thuộc vào chất lượng của các tín hiệu phát hiện và khả năng thực thi những biện pháp kiểm soát bảo mật.
Trong bối cảnh các nhóm ransomware ngày càng chú trọng đánh cắp dữ liệu để gây sức ép, thời gian phát hiện và ngăn chặn hành vi lấy cắp thông tin cần trở thành một tiêu chí quan trọng khi đánh giá hiệu quả phòng thủ. Nếu chỉ phát hiện cuộc tấn công khi dữ liệu bắt đầu bị mã hóa, doanh nghiệp có thể đã mất quyền kiểm soát những thông tin nhạy cảm nhất từ trước đó.
Theo Zscaler ThreatLabz, hoạt động tống tiền đang chuyển dịch theo hướng nhanh chóng và có mục tiêu rõ ràng hơn. Thay vì chỉ dựa vào việc mã hóa tập tin để gây sức ép, kẻ tấn công ngày càng tập trung vào việc đánh cắp thông tin có khả năng gây thiệt hại lớn nếu bị công khai, qua đó tạo áp lực về kinh doanh, danh tiếng và pháp lý đối với nạn nhân.
Báo cáo Ransomware năm 2026 của Zscaler ThreatLabz ghi nhận 896,2 terabyte dữ liệu bị đánh cắp bởi 10 nhóm mã độc tống tiền hàng đầu trong giai đoạn từ tháng 4/2025 đến tháng 3/2026. Con số này cho thấy quy mô đáng kể của hoạt động đánh cắp dữ liệu, dù chưa thể phản ánh chính xác mức độ tham gia của trí tuệ nhân tạo trong các chiến dịch.
Sau khi xâm nhập thành công, kẻ tấn công có thể sử dụng AI tạo sinh để phân loại những tài liệu mà chúng có quyền truy cập, đồng thời tìm kiếm thông tin có giá trị thương mại hoặc chứa dữ liệu nhạy cảm. Thay vì phải kiểm tra thủ công hàng loạt tập tin và kho lưu trữ khổng lồ, chúng có thể nhanh chóng xác định những tài liệu mà việc tiết lộ sẽ gây ra hậu quả nghiêm trọng đối với hoạt động kinh doanh, uy tín hoặc trách nhiệm pháp lý của tổ chức.
Đây vẫn là hoạt động trinh sát sau khi xâm nhập, nhưng AI có thể giúp quá trình này diễn ra nhanh hơn bằng cách xác định những thông tin cần ưu tiên. Hiệu quả và phạm vi tác động của hoạt động đánh cắp dữ liệu phụ thuộc vào quyền hạn của tài khoản hoặc thiết bị đầu cuối đã bị xâm phạm. Vì vậy, việc cấp quyền truy cập quá rộng có thể khiến hậu quả trở nên nghiêm trọng hơn.
Sự thay đổi này cho thấy mã hóa dữ liệu không còn là điều kiện bắt buộc để một vụ tống tiền thành công. Trong một phân tích liên quan, Zscaler mô tả trường hợp một tổ chức chăm sóc sức khỏe đã trả 2 triệu USD (khoảng 52 tỷ VNĐ) chỉ để ngăn chặn việc công bố dữ liệu bị đánh cắp. Đáng chú ý, vụ việc không diễn ra quá trình mã hóa dữ liệu. Điều này cho thấy việc khôi phục thông tin từ bản sao lưu không thể giải quyết toàn bộ rủi ro do ransomware gây ra, đặc biệt khi dữ liệu đã bị đánh cắp và có nguy cơ bị phát tán.
AI tạo sinh còn giúp tội phạm mạng khắc phục một điểm yếu thường gặp trong các chiến dịch lừa đảo: cách diễn đạt thiếu tự nhiên hoặc sai sót về ngôn ngữ. Công nghệ này có thể hỗ trợ tạo ra email chỉn chu, trang web thuyết phục và tài liệu giả mạo được bản địa hóa theo ngôn ngữ của mục tiêu. Nhờ đó, các chiêu trò lừa đảo khó bị phát hiện hơn nếu người dùng chỉ dựa vào lỗi chính tả, ngữ pháp vụng về hoặc cách diễn đạt bất thường để nhận diện dấu hiệu đáng ngờ.
Phần mềm tống tiền được hỗ trợ bởi AI
Zscaler ghi nhận một mô hình xâm nhập ban đầu kết hợp giữa các đợt gửi email hàng loạt và những cuộc gọi qua Microsoft Teams. Trong các cuộc gọi này, kẻ tấn công giả danh nhân viên hỗ trợ công nghệ thông tin (CNTT) để thuyết phục nạn nhân cấp quyền truy cập vào hệ thống.Để thực hiện hành vi này, chúng lợi dụng những công cụ hỗ trợ từ xa hợp pháp như Microsoft Quick Assist, AnyDesk và TeamViewer. Do đây đều là các công cụ có mục đích sử dụng chính đáng, việc chúng xuất hiện trên thiết bị không đồng nghĩa với hoạt động độc hại. Tuy nhiên, nếu bị kẻ tấn công lợi dụng, các công cụ này có thể trở thành phương tiện hỗ trợ truy cập trái phép.
Trong một phân tích về 351 nạn nhân liên quan đến một chiến dịch mã độc tống tiền nổi tiếng, Zscaler ghi nhận 62% nạn nhân giữ chức vụ quản lý trở lên. Hơn ba phần tư số người được khảo sát làm việc trong các lĩnh vực tài chính, bán hàng, vận hành, nhân sự hoặc tiếp thị.
Những số liệu này cho thấy tội phạm mạng không chỉ quan tâm đến những người có đặc quyền kỹ thuật cao. Các vị trí quản lý và nhân sự thuộc những bộ phận nắm giữ thông tin kinh doanh, dữ liệu nội bộ hoặc có ảnh hưởng đến hoạt động của tổ chức cũng có thể trở thành mục tiêu có giá trị.
AI còn có khả năng hỗ trợ quá trình phát triển công cụ phục vụ tấn công. ThreatLabz đã quan sát thấy hoạt động có dấu hiệu được hỗ trợ bởi AI liên quan đến nhóm Payouts King. Trong đó, nhiều phiên bản của một tập lệnh hàng loạt độc hại dường như được tạo ra tự động.
Tuy nhiên, cần thận trọng khi đánh giá nguồn gốc của những công cụ này. Quan sát của ThreatLabz không chứng minh rằng tất cả các biến thể tập lệnh đều được tạo ra bằng AI. Dù vậy, việc chỉnh sửa và tạo ra nhiều phiên bản mã độc trong thời gian ngắn có thể khiến phương pháp phát hiện dựa trên chữ ký trở nên kém hiệu quả hơn. Các tiện ích chuyên dụng được sử dụng trong quá trình tấn công cũng có thể làm giảm độ tin cậy của những chỉ báo công cụ vốn quen thuộc với đội ngũ bảo mật.
Dù mã độc liên tục thay đổi, những hành vi đáng ngờ vẫn có thể được phát hiện thông qua quá trình giám sát. Các dấu hiệu như truy cập từ xa bất thường, thu thập tài liệu với số lượng lớn hoặc chuyển dữ liệu đến những địa chỉ không mong muốn vẫn có thể cung cấp manh mối quan trọng để nhận diện hoạt động xâm nhập.
Trong các sự cố liên quan đến Payouts King, ThreatLabz ghi nhận dữ liệu được sao chép và đánh cắp thông qua giao thức truyền tải tệp an toàn (STP) chỉ trong vòng vài giờ sau khi kẻ tấn công giành được quyền truy cập ban đầu.
Sau đó, kẻ tấn công triển khai thêm các công cụ quản lý từ xa, di chuyển ngang trong hệ thống thông qua những tính năng của Windows và lợi dụng thông tin xác thực ảo trong Active Directory để duy trì quyền truy cập trước khi tiến hành mã hóa dữ liệu.
Diễn biến này cho thấy một chiến dịch ransomware có thể bao gồm nhiều giai đoạn, từ xâm nhập ban đầu, duy trì quyền truy cập, thu thập thông tin đến đánh cắp dữ liệu và cuối cùng là mã hóa. Nếu chỉ tập trung phát hiện tập tin bị mã hóa, tổ chức có nguy cơ bỏ qua những hoạt động nguy hiểm đã diễn ra trước đó.
Do vậy, các biện pháp phòng thủ cần vượt ra ngoài việc ngăn chặn phần mềm độc hại. Doanh nghiệp nên hạn chế hoạt động quản trị từ xa trái phép, áp dụng nguyên tắc cấp quyền tối thiểu và giám sát những hành vi tải xuống hàng loạt, tập hợp dữ liệu bất thường hoặc chuyển dữ liệu đến các điểm đích không được phép.
Các giải pháp ngăn ngừa mất dữ liệu và kiểm soát quyền truy cập đám mây có thể giúp ngăn chặn việc xuất dữ liệu trái phép. Đồng thời, việc liên kết dữ liệu giám sát về danh tính, thiết bị đầu cuối và lưu lượng mạng có thể giúp đội ngũ bảo mật rút ngắn thời gian điều tra, nhận diện mối liên hệ giữa những hoạt động đáng ngờ và phản ứng kịp thời hơn.
AI cũng có thể hỗ trợ các nhà phân tích phân loại và xử lý thông tin trong quá trình điều tra. Tuy nhiên, hiệu quả ngăn chặn vẫn phụ thuộc vào chất lượng của các tín hiệu phát hiện và khả năng thực thi những biện pháp kiểm soát bảo mật.
Trong bối cảnh các nhóm ransomware ngày càng chú trọng đánh cắp dữ liệu để gây sức ép, thời gian phát hiện và ngăn chặn hành vi lấy cắp thông tin cần trở thành một tiêu chí quan trọng khi đánh giá hiệu quả phòng thủ. Nếu chỉ phát hiện cuộc tấn công khi dữ liệu bắt đầu bị mã hóa, doanh nghiệp có thể đã mất quyền kiểm soát những thông tin nhạy cảm nhất từ trước đó.
