Bản tin An toàn thông tin tuần số 76

Diễn tập thực chiến bảo đảm an toàn thông tin, an ninh mạng Ban Cơ yếu Chính phủ năm 2026

Sáng ngày 21/10, Trung tâm Công nghệ thông tin và Giám sát an ninh mạng, Ban Cơ yếu Chính phủ tổ chức khai mạc diễn tập thực chiến bảo đảm an toàn thông tin, an ninh mạng cho hệ thống công nghệ thông tin tại Ban Cơ yếu Chính phủ năm 2026. Phát biểu tại buổi khai mạc, Thiếu tướng Nguyễn Hữu Hùng, Phó Trưởng ban Ban Cơ yếu Chính phủ cho biết, diễn tập thực chiến bảo đảm an toàn thông tin, an ninh mạng là hoạt động thường niên có ý nghĩa quan trọng, thể hiện tinh thần chủ động, sẵn sàng chiến đấu và năng lực ứng phó kịp thời của ngành Cơ yếu trước các nguy cơ, thách thức ngày càng phức tạp trên không gian mạng. Diễn tập năm nay càng có ý nghĩa khi được tổ chức ngay sau thời điểm Luật An ninh mạng năm 2025 chính thức có hiệu lực, đi vào cuộc sống.

Các đại biểu chụp ảnh lưu niệm tại buổi khai mạc

Hội thảo và Triển lãm Smart Banking 2026 lần thứ 7

Ngày 22/10, Hội thảo và Triển lãm Smart Banking 2026 lần thứ 7 diễn ra dưới sự bảo trợ của Ngân hàng Nhà nước Việt Nam, do Hiệp hội Ngân hàng Việt Nam phối hợp với Tập đoàn IEC tổ chức. Với chủ đề “Định hình kỷ nguyên mới của ngành ngân hàng dựa trên AI, niềm tin khách hàng và khả năng chống chịu số,” sự kiện quy tụ đại diện cơ quan quản lý, lãnh đạo ngân hàng, tổ chức tài chính và doanh nghiệp công nghệ trong nước, quốc tế, cùng trao đổi về định hướng và giải pháp thúc đẩy chuyển đổi số ngành ngân hàng.

Khai mạc khóa đào tạo về công nghệ bán dẫn

Ngày 19/10, Đại sứ quán Pháp tại Việt Nam phối hợp với Trường Đại học Khoa học và Công nghệ Hà Nội (USTH) khai mạc khóa đào tạo về công nghệ bán dẫn dành cho cán bộ Văn phòng Chính phủ và các bộ, cơ quan liên quan. Học viên được tìm hiểu chuỗi giá trị bán dẫn, từ thiết kế, chế tạo, đóng gói đến kiểm thử chip; các xu hướng phát triển của ngành và yêu cầu về nhân lực, hạ tầng, vật liệu, công nghiệp hỗ trợ và dịch vụ kỹ thuật. Bên cạnh các phiên trao đổi chuyên môn với chuyên gia Việt Nam và quốc tế, chương trình có hoạt động trải nghiệm mô phỏng phòng sạch tại USTH, giúp học viên tiếp cận trực quan một số công đoạn trong quy trình chế tạo bán dẫn.

Việt Nam đứng thứ 7 tại khu vực châu Á – Thái Bình Dương bị ảnh hưởng bởi các hoạt động đe dọa mạng

Ngày 23/10, Microsoft Việt Nam họp báo công bố những phát hiện nổi bật từ “Báo cáo thường niên phòng thủ kỹ thuật số 2026”. Đây là báo cáo nghiên cứu các hoạt động đe dọa mạng được ghi nhận trong giai đoạn từ tháng 7/2025 đến tháng 6/2026 trên phạm vi toàn cầu. Báo cáo chỉ ra rằng, trong nửa đầu năm 2026, Việt Nam đứng thứ 7 tại khu vực châu Á – Thái Bình Dương và thứ 20 trên toàn cầu, trong số các quốc gia có khách hàng bị ảnh hưởng thường xuyên nhất bởi các hoạt động đe dọa mạng.

Hội thảo “An ninh năng lượng cho chuyển đổi xanh trong kỷ nguyên số”

Ngày 23/10, Tạp chí điện tử An ninh mạng Việt Nam và PV GAS phối hợp tổ chức Hội thảo “An ninh năng lượng cho chuyển đổi xanh trong kỷ nguyên số”. Tại Hội thảo, ông Vũ Duy Hiền, Phó Tổng Thư ký, Chánh Văn phòng Hiệp hội An ninh mạng quốc gia (NCA), nhấn mạnh mối quan hệ chặt chẽ giữa năng lượng, công nghệ số và an ninh mạng. Khi các hệ thống năng lượng ngày càng phụ thuộc dữ liệu và công nghệ điều khiển, việc bảo vệ an ninh mạng phải trở thành một phần không thể tách rời trong bảo đảm an ninh năng lượng quốc gia.

ĐIỂM TIN QUỐC TẾ

Nikkei tiết lộ vụ rò rỉ dữ liệu thứ ba trong vòng một tháng

Nikkei Inc. vừa tiết lộ một vụ rò rỉ dữ liệu mới – đánh dấu vụ thứ ba trong khoảng một tháng nay, làm rò rỉ 1,83 triệu hồ sơ thông tin cá nhân. Tập đoàn này cho biết, tin tặc đã sử dụng thông tin đăng nhập bị đánh cắp để truy cập vào hệ thống phát triển (development) nội bộ vào rạng sáng ngày 07/10. Việc truy cập trái phép đã làm lộ thông tin cá nhân mà công ty lưu trữ trên đám mây.

Plugin Rank Math PRO trên WordPress bị xâm nhập

Một số bản tải xuống plugin Rank Math PRO trên WordPress từ trang web chính thức của nhà cung cấp có chứa mã độc, cài đặt các backdoor ẩn trong một cuộc tấn công chuỗi cung ứng vừa qua. Theo đó, một số lượng hạn chế người dùng đã tải xuống phiên bản 3.0.123 của plugin trong khoảng thời gian từ 20:02 UTC ngày 15/10 đến 07:12 UTC ngày 16/10 đã nhận được các phiên bản lỗi, có thể gây nguy hiểm cho trang web của họ sau khi kích hoạt.

Tin tặc chiếm quyền kiểm soát máy chủ cập nhật của AOMEI để phát tán mã độc

Theo các báo cáo, tin tặc đã xâm nhập vào máy chủ của AOMEI để phát tán mã độc thông qua một tính năng quảng cáo tích hợp trong phần mềm sao lưu của hãng. Những kẻ tấn công đã can thiệp vào các tệp cấu hình trong thời gian ngắn trước khi khôi phục chúng về trạng thái ban đầu để che giấu các cuộc tấn công. Các cuộc tấn công chuỗi cung ứng diễn ra từ tháng 4 đến tháng 7/2026, nhắm vào các hệ thống cập nhật và thông báo được sử dụng bởi AOMEI Backupper, một ứng dụng Windows dùng để sao lưu dữ liệu, nhân bản ổ đĩa và khôi phục hệ thống.

Google Chrome bổ sung tính năng phát hiện lừa đảo dựa trên Gemini, cảnh báo người dùng về các cuộc tấn công ClickFix

Chrome đang được bổ sung các giải pháp bảo mật mới sử dụng Gemini để phát hiện các trang web lừa đảo, cũng như cảnh báo người dùng khi họ sao chép các lệnh đáng ngờ từ các cuộc tấn công ClickFix. Những thay đổi này là một phần của tính năng Enhanced Protection in Safe Browsing, mà Google tuyên bố giúp người dùng an toàn hơn 10 lần trước các hình thức lừa đảo như đánh cắp thông tin cá nhân, tấn công kỹ nghệ xã hội, lạm dụng thông báo và các chiêu trò gian lận khác so với Standard Protection.

Dịch vụ điện toán đám mây Onamae Desktop Cloud của Nhật Bản bị tấn công, ảnh hưởng đến khoảng 27.000 máy chủ

Các tin tặc đã xâm nhập vào cơ sở hạ tầng của Onamae Desktop Cloud – một nhà cung cấp dịch vụ VPS phổ biến tại Nhật Bản và cài đặt mã độc trên máy chủ của tối đa 26.739 khách hàng. Ngày 20/10, công ty xác nhận rằng một bên thứ ba không được ủy quyền đã cài đặt “các chương trình độc hại” vào một số môi trường của khách hàng. Sự cố có thể làm lộ dữ liệu được lưu trữ trên các máy chủ bị ảnh hưởng. Tuy nhiên, công ty chưa xác nhận bất kỳ trường hợp nào thông tin bị lạm dụng hoặc rò rỉ.

Google Cloud và ngân hàng số tại Anh gặp sự cố dịch vụ

Nhiều dịch vụ Google Cloud đã gặp gián đoạn tại khu vực London, Anh vào chiều này 20/10, trong khi ngân hàng số Revolut của Anh cũng báo cáo gặp vấn đề về dịch vụ. Sự cố của Revolut được nhận định có liên quan đến gián đoạn Google Cloud. Trang trạng thái của Revolut cho thấy hầu hết các dịch vụ đều không khả dụng hoặc chỉ khả dụng một phần, trong đó có dịch vụ thanh toán bằng thẻ và rút tiền ATM.

CISA: Tin tặc kết hợp các lỗ hổng của Plex trong các cuộc tấn công Plex2Shell để xâm nhập máy chủ

Cơ quan An ninh mạng và Cơ sở hạ tầng Mỹ (CISA) cảnh báo rằng tin tặc đang tích cực khai thác bốn lỗ hổng trong Plex Media Server. Chuỗi tấn công này được gọi chung là Plex2Shell và khi được kết hợp để khai thác, kẻ tấn công có thể đánh cắp token quản trị của chủ sở hữu và thực thi mã với quyền hạn cao hơn. Các lỗ hổng bảo mật được phát hiện bởi nhà nghiên cứu bảo mật Zach Main, người đã báo cáo cho Plex vào ngày 27/7.

PHP tung ra các bản vá khẩn cấp cho các lỗi nghiêm trọng PHP2Shell

Nhóm bảo mật PHP đã phát hành các bản vá bảo mật khẩn cấp để khắc phục 2 lỗ hổng thực thi mã từ xa nghiêm trọng (CVE-2026-109618 và CVE-2026-109619), được theo dõi chung là PHP2Shell. Hai lỗ hổng không cần xác thực này ảnh hưởng đến PHP-FPM, Apache với mod_php, php-cgi, FrankenPHP và LiteSpeed, đặt phần lớn hạ tầng máy chủ web toàn cầu vào tình trạng báo động khẩn cấp. Kẻ tấn công có thể khai thác CVE-2026-109618 có thể để giành quyền thực thi mã từ xa với tư cách tài khoản web worker, bằng cách khai thác một chuỗi các điểm yếu gây ra lỗi tràn bộ nhớ. Trong khi đó, CVE-2026-109619 cho phép tin tặc sử dụng bộ nhớ heap sau khi giải phóng mà không cần xác thực, dẫn đến thực thi mã từ xa với các đặc quyền của web worker.

Mã độc tống tiền SafePay tấn công hơn 600 tổ chức cơ sở hạ tầng trọng yếu

CISA cho biết nhóm tin tặc mã độc tống tiền SafePay đã xâm nhập hơn 600 tổ chức cơ sở hạ tầng trọng yếu trên toàn thế giới kể từ năm 2024. Trong một báo cáo chung với một số cơ quan thực thi pháp luật, CISA cho biết việc trả tiền chuộc không đảm bảo khôi phục được các tệp tin bị mã hóa trong các cuộc tấn công bằng mã độc tống tiền, đồng thời kêu gọi các nạn nhân báo cáo vụ việc cho cơ quan chức năng. CISA cho biết: “SafePay là một trong những nhóm mã độc tống tiền hoạt động tích cực nhất và gây ảnh hưởng đến các doanh nghiệp cũng như cơ sở hạ tầng trọng yếu ở Bắc Mỹ, Nam Mỹ, châu Âu và Úc – bao gồm ít nhất 600 tổ chức từ nhiều lĩnh vực cơ sở hạ tầng trọng yếu kể từ tháng 8/2024”.

Khóa UpdraftCentral bị đánh cắp được sử dụng để xâm nhập trái phép vào các trang web WordPress

Một kẻ tấn công mạng đã xâm nhập trang web của TeamUpdraft – nhà phát triển các plugin sao lưu và bảo mật WordPress phổ biến, có khả năng làm lộ các khóa kết nối UpdraftCentral dùng để gửi lệnh đến các trang web được kết nối. TeamUpdraft đã phát hiện truy cập trái phép vào cơ sở hạ tầng của mình và đánh giá rằng tin tặc đã truy cập vào cơ sở dữ liệu khách hàng.

Zeabur ngừng hoạt động sau vụ vi phạm an ninh thứ hai trong vòng hai tháng

Nền tảng phát triển Zeabur đã tiết lộ chi tiết về một sự cố an ninh mạng, trong đó kẻ tấn công sử dụng thông tin đăng nhập nội bộ bị rò rỉ được lưu trữ dưới dạng văn bản thuần tùy để xâm nhập vào cơ sở hạ tầng của họ, đồng thời đánh cắp hơn 3,2 triệu bản ghi biến môi trường và thông tin cho 321.810 tài khoản. Theo đó, các tin tặc đã sử dụng thông tin đăng nhập quản trị viên và khóa truy cập đám mây bị đánh cắp để xâm nhập vào cơ sở hạ tầng lưu trữ dùng chung và máy chủ chuyên dụng của Zeabur, cuối cùng giành được quyền truy cập vào cơ sở dữ liệu sản xuất của công ty.

AI tự ý xâm nhập hệ thống doanh nghiệp tại Ấn Độ

Các mô hình AI đã tự ý xâm nhập hệ thống doanh nghiệp, truy cập dữ liệu mật mà không hề bị phát hiện, vụ việc vừa được phát hiện tại Ấn Độ. Sự cố xâm nhập hệ thống này xảy ra ngay trong quá trình thử nghiệm các mô hình AI, không phải cuộc tấn công có chủ đích từ bên ngoài. Theo giới chức Ấn Độ, một số tác nhân AI đã vượt quá quyền hạn được giao, truy cập trái phép vào hệ thống đang vận hành và đọc hồ sơ kinh doanh mật.

Các bản phát hành OVHcloud CLI bị cài đặt mã độc trên GitHub nhằm đánh cắp secret của nhà phát triển

Nhà cung cấp dịch vụ điện toán đám mây và lưu trữ OVHcloud của Pháp vừa qua đã cảnh báo người dùng rằng, tin tặc đã xâm nhập vào công cụ giao diện dòng lệnh (CLI) mã nguồn mở của họ để phát tán mã độc đánh cắp thông tin. Kẻ tấn công đã chiếm đoạt tài khoản GitHub của một nhà phát triển để truy cập vào kho lưu trữ OVHcloud CLI và sửa đổi các phiên bản từ 0.11.0 đến 0.15.0 của công cụ này.

Triệt phá gần 11.000 mạng lưới tội phạm mạng ở châu Phi

Các cơ quan thực thi pháp luật đã triệt phá gần 11.000 mạng lưới tội phạm mạng và bắt giữ hơn 1.400 người trong Chiến dịch Operation Serengeti III, nhắm vào các vụ tấn công chiếm đoạt email doanh nghiệp, mã độc tống tiền và các trò lừa đảo trực tuyến. Được điều phối bởi Interpol, chiến dịch này có sự tham gia của các nhà chức trách từ 21 quốc gia và các đối tác tư nhân như Team Cymru, Kaspersky, Group-IB và Fortinet, trong một chiến dịch trấn áp tội phạm mạng quy mô lớn trên khắp châu Phi.

Oracle vá hơn 1.200 lỗ hổng với bản cập nhật CPU tháng 10/2026

Oracle vừa phát hành bản cập nhật vá lỗi quan trọng (CPU) tháng 10/2026, khắc phục tổng cộng 1.295 lỗ hổng trên nhiều sản phẩm của hãng. Trong đó, Oracle Fusion Middleware nhận được nhiều bản vá nhất, với 206 lỗ hổng đã được giải quyết, trong đó có 134 lỗ hổng có thể bị khai thác từ xa mà không cần xác thực.

GitLab cảnh báo về lỗ hổng thực thi mã mức độ nghiêm trọng tối đa

Vừa qua, GitLab đã phát hành các bản vá bảo mật nhằm khắc phục lỗ hổng CVE-2026-110264 nghiêm trọng nhất, cho phép kẻ tấn công từ xa chạy mã tùy ý trên các máy chủ bị ảnh hưởng. Lỗ hổng này xuất phát từ điểm yếu tràn số nguyên trong Regular Expression Compiler của GitLab, một công cụ chạy ngầm thực hiện việc phân tích và xác thực các biểu thức chính quy trong các tệp cấu hình.

Capcom xác nhận vụ rò rỉ dữ liệu ảnh hưởng đến 11,7 triệu tài khoản

Hãng game khổng lồ Capcom của Nhật Bản xác nhận rằng tin tặc đã xâm nhập vào dịch vụ thành viên CAPCOM ID của họ, từ đó làm lộ hơn 11,7 triệu địa chỉ email khách hàng và các thông tin liên quan. Ngoài ra, dữ liệu rò rỉ còn bao gồm ngày tạo tài khoản, thời gian đăng nhập lần cuối, số lần đăng nhập và địa chỉ IP được sử dụng trong lần đăng nhập cuối cùng.

Arista vá lỗ hổng zero-day mới của VeloCloud Orchestrator bị khai thác trong các cuộc tấn công

Arista Networks tuần qua đã phát hành các bản cập nhật bảo mật để vá lỗ hổng zero-day đang bị khai thác tích cực, ảnh hưởng đến các triển khai VeloCloud Orchestrator (VCO) On-Prem. Được theo dõi với mã CVE-2026-114625, lỗ hổng nghiêm trọng này cho phép kẻ tấn công có quyền hạn cơ bản có thể hợp lệ leo thang đặc quyền thông qua các cuộc tấn công SQL injection có độ phức tạp thấp mà không cần sự tương tác của người dùng.

Tin tặc xâm nhập gần 113.000 tài khoản Google tại Hàn Quốc

Gần 113.000 tài khoản Google phục vụ học tập tại các cơ sở giáo dục ở Hàn Quốc đãbị xâm nhập, buộc Bộ Giáo dục nước này yêu cầu đổi mật khẩu để bảo đảm an toàn thông tin. Các tài khoản bị xâm nhập là tài khoản Google Workspace do các sở giáo dục địa phương và các trường học ở nhiều cấp học thiết lập từ năm 2020 nhằm phục vụ hoạt động dạy và học từ xa trong bối cảnh dịch COVID-19 bùng phát.

Atlassian vá 75 lỗi trong các sản phẩm DC và máy chủ

Ngày 20/10, Atlassian đã công bố bản tin bảo mật tháng 10/2026. Trong đó, phần lớn những lỗ hổng nghiêm trọng đều liên quan đến các thành phần phụ thuộc của bên thứ ba. Theo thống kê của trang tin SecurityWeek, bản tin này bao gồm 75 lỗ hổng CVE riêng biệt, trong đó 6 lỗ hổng được xếp hạng nghiêm trọng. Các sản phẩm bị ảnh hưởng bao gồm Bamboo, Bitbucket, Confluence, Crowd, Fisheye/Crucible, Jira Software và Jira Service Management.

Lỗ hổng Signal cho phép tin tặc thu thập thông tin cuộc gọi đã ngắt kết nối

Signal đã khắc phục một lỗ hổng bảo mật nghiêm trọng có thể cho phép kẻ tấn công duy trì các bản ghi âm và video, ngay cả sau khi người dùng đã cúp máy. Lỗ hổng này được theo dõi với mã CVE-2026-113380 (điểm CVSS: 9.3) và ảnh hưởng đến RingRTC, thư viện mã nguồn mở mà Signal sử dụng cho các cuộc gọi thoại và video, dựa trên WebRTC.

LiteLLM bị xâm nhập trong một cuộc tấn công chuỗi cung ứng mới

LiteLLM đã bị xâm phạm trong một cuộc tấn công chuỗi cung ứng mới đây, các gói phần mềm độc hại đã được phát tán đến người dùng của nó trên cả PyPI và Docker. Sự cố xảy ra vào ngày 21/10 và liên quan đến phiên bản 1.107.0 của phần mềm proxy mã nguồn mở phổ biến dùng để định tuyến các yêu cầu giữa các nhà cung cấp LLM. Các gói phần mềm độc hại đã hoạt động trực tuyến trong khoảng 3 giờ và ước tính được tải xuống hơn 49.000 lần. Các gói phần mềm này đã bị xóa khỏi PyPI, đồng thời các Docker Hub tag cũng bị xóa hoặc được chuyển hướng đến các tệp tin sạch.

Storm-0940 sử dụng công cụ kiểm thử xâm nhập AI Artex trong các cuộc tấn công nhắm vào ConnectWise

Theo Microsoft, tin tặc Storm-0940 đã sử dụng framework kiểm thử xâm nhập AI mã nguồn mở Artex để tự động hóa chiến dịch tấn công mạng ConnectWise gần đây, nhắm mục tiêu vào hàng trăm tổ chức. Để đối phó trước sự cố này, ConnectWise đã tạm ngừng một số dịch vụ, bao gồm Cloud Backup, SaaS Security và Cloud Management.

Bullhorn buộc người dùng phải đặt lại thông tin đăng nhập sau khi khôi phục nền tảng ATS/CRM vừa bị tấn công

Bullhorn đang khôi phục nền tảng ATS/CRM sau một sự cố an ninh mạng, buộc công ty phải vô hiệu hóa quyền truy cập vào hệ thống, nhưng cho biết vẫn chưa xác định được liệu dữ liệu khách hàng có bị đánh cắp hay không. Khi hệ thống hoạt động trở lại, người dùng không sử dụng SSO phải đặt lại mật khẩu và người dùng API cũng phải thay đổi mật khẩu API của họ. Bullhorn xác nhận không có dấu hiệu nào cho thấy Bullhorn Automation, Sourcebreaker hoặc VMS Sync bị ảnh hưởng.

Windows Server 2016 sẽ ngừng hỗ trợ vào tháng 01/2027

Microsoft cho biết, Windows Server 2016 sẽ ngừng nhận các bản cập nhật bảo mật sau khi kết thúc thời gian hỗ trợ vào tháng 01/2027. Gã khổng lồ công nghệ khuyến nghị các quản trị viên hệ thống nên nâng cấp lên Windows Server 2025, phiên bản bắt đầu được triển khai cho người dùng Windows Insider vào tháng 01/2024 và chính thức phát hành rộng rãi vào tháng 11 cùng năm.

Tính năng phát hiện lừa đảo qua email mới dựa trên AI của Microsoft Teams

Microsoft Teams sẽ bắt đầu sử dụng công nghệ phát hiện lừa đảo dựa trên AI vào đầu tháng 11/2026 nhằm phát hiện các hành vi độc hại trong tin nhắn. Tính năng bảo mật mới có khả năng được cung cấp rộng rãi trên toàn thế giới vào đầu đến giữa tháng 12 cùng năm. Trước đó, Microsoft lần đầu tiên tiết lộ trong Microsoft 365 Roadmap entry rằng, tính năng phát hiện lừa đảo sử dụng AI sẽ sử dụng ngữ cảnh hội thoại để xác định hành vi lừa đảo và đáng ngờ trong các tình huống có rủi ro cao, chẳng hạn như các cuộc trò chuyện liên lạc ban đầu với bên ngoài.