5 mối đe dọa an ninh mạng đang nhắm vào doanh nghiệp trong tháng 10/2026

Tháng 10/2026 chứng kiến sự gia tăng của các chiến dịch tấn công mạng nhắm vào doanh nghiệp, nơi kẻ xấu lợi dụng chính các nền tảng uy tín và quy trình xác thực thông thường để xâm nhập. Những cuộc tấn công này không chỉ gây thiệt hại tài chính mà còn dẫn đến rò rỉ dữ liệu và gián đoạn vận hành nghiêm trọng.

1. SkyW4lker: Phishing Microsoft 365 qua mã thiết bị

SkyW4lker là bộ công cụ phishing khai thác cơ chế xác thực bằng mã thiết bị (device-code authentication) của Microsoft. Kẻ tấn công gửi email giả mạo hợp đồng hoặc hóa đơn, dẫn dụ nạn nhân qua các trang CAPTCHA hợp lệ để đến trang xác thực của Microsoft. Khi người dùng nhập mã, kẻ tấn công sẽ chiếm quyền truy cập tài khoản mà không cần mật khẩu hay bypass MFA. Các chuyên gia khuyến nghị doanh nghiệp nên hạn chế xác thực bằng mã thiết bị thông qua Microsoft Entra Conditional Access.

2. Chiến dịch giả mạo AI

Tội phạm mạng đang lợi dụng xu hướng AI để phát tán malware thông qua các ứng dụng giả mạo ChatGPT hoặc Claude. Một số trường hợp tinh vi chạy trình cài đặt hợp lệ nhưng chạy ngầm các tiến trình đánh cắp session cookie của trình duyệt, cho phép kẻ tấn công truy cập tài khoản doanh nghiệp mà không cần kích hoạt lại MFA.

3. GeorgeGinx: Phishing nhắm vào Chính phủ và Tài chính

GeorgeGinx là một dịch vụ Phishing-as-a-Service (PhaaS) khai thác các liên kết chia sẻ từ Adobe để chuyển hướng nạn nhân đến các trang phishing mã thiết bị của Microsoft. Việc sử dụng các domain uy tín từ Adobe khiến người dùng dễ mất cảnh giác. Các đội ngũ bảo mật cần kiểm tra kỹ các HTTP request và HTML DOM để phát hiện các chuyển hướng ẩn.

4. WKLP: Malware vô hiệu hóa Microsoft Defender

WKLP là một loại infostealer và RAT dựa trên Python nhắm vào các tổ chức chính phủ. Malware này sử dụng PowerShell để thêm các loại trừ (exclusion) vào Microsoft Defender, vô hiệu hóa các tiến trình bảo mật và tạo quy tắc tường lửa giả mạo nhằm duy trì quyền truy cập từ xa vào hệ thống.

5. Mir0Auth: Đánh cắp token Microsoft 365

Mir0Auth sử dụng các tệp PDF đính kèm độc hại để dẫn dụ nạn nhân đến trang DocuSign giả mạo. Mục tiêu chính là đánh cắp token xác thực Microsoft 365. Việc giám sát chặt chẽ các yêu cầu xác thực bằng mã thiết bị và thu hồi các phiên làm việc nghi vấn là biện pháp phòng thủ then chốt.

Để đối phó với các mối đe dọa này, các doanh nghiệp cần tập trung vào việc tối ưu hóa quy trình điều tra của đội ngũ SOC, giảm thời gian phản ứng (MTTR) và chủ động thu thập các chỉ số IOC từ các cuộc tấn công thực tế để làm giàu hệ thống cảnh báo sớm.

Nguồn tham khảo: The Hacker News