KỲ 1 - AI và sự sụp đổ của ranh giới an ninh truyền thống

Trong khi doanh nghiệp dành phần lớn năm 2025 để tìm cách khai thác ChatGPT mà không làm lộ dữ liệu nhạy cảm, giới tội phạm mạng cũng nhanh chóng tận dụng AI cho mục đích riêng. Tháng 3/2025, Giám đốc điều hành (CEO) của một tập đoàn đa quốc gia đã chuyển 25 triệu USD sau một cuộc gọi video được cho là từ Giám đốc tài chính (CFO) tại Hong Kong (Trung Quốc). Hình ảnh, giọng nói và cử chỉ đều thuyết phục, nhưng toàn bộ cuộc gọi thực chất là một sản phẩm deepfake do AI tạo ra.

Đây không phải là chiến dịch cấp quốc gia tốn kém. Các công cụ tấn công hiện chỉ cần ảnh và mẫu giọng nói công khai thu thập từ mạng xã hội hay hội nghị. Tại Ấn Độ, làn sóng lừa đảo deepfake bùng phát trong năm 2025, từ video giả mạo lãnh đạo cấp cao đến các nhân vật công nghệ nổi tiếng, buộc chính phủ phải phát cảnh báo chính thức. Nhiều nạn nhân, trong đó có cả người am hiểu công nghệ, đã thiệt hại hàng triệu rupee.

Tấn công lừa đảo cũng đã được tự động hóa ở quy mô công nghiệp. Năm 2026, các chiến dịch do AI điều khiển có thể phát tán hàng trăm nghìn thông điệp cá nhân hóa trong thời gian ngắn, vượt xa khả năng của các phương thức thủ công trước đây. Quan trọng hơn, AI đã hạ thấp đáng kể rào cản tấn công mạng. Một công cụ AI giờ có thể nhận diện thiết bị, dò tìm lỗ hổng và triển khai khai thác nhanh hơn tốc độ phản ứng của con người. Các mối đe dọa không còn đòi hỏi kỹ năng tinh vi, mà chủ yếu cần ý đồ xấu

Điểm yếu chuỗi cung ứng

Tháng 2/2025, Marks & Spencer trở thành nạn nhân của một cuộc tấn công chuỗi cung ứng khi tội phạm mạng thao túng nhân viên hỗ trợ của Tata Consultancy Services tại Ấn Độ, chiếm quyền truy cập và xâm nhập hệ thống lõi của M&S. Chỉ trong 72 giờ, các tác nhân đe dọa đã di chuyển từ mạng của nhà cung cấp sang hệ thống khách hàng, gây thiệt hại khoảng 300 triệu bảng Anh và làm lộ dữ liệu của hàng triệu người dùng.

Rủi ro an ninh mạng đã tác động tiêu cực tới chuỗi cung ứng toàn cầu

Jaguar Land Rover và Clorox cũng ghi nhận các gián đoạn tương tự xuất phát từ đối tác. Thông điệp rất rõ ràng: an ninh của một doanh nghiệp chỉ mạnh bằng mắt xích yếu nhất trong chuỗi cung ứng - từ chính sách mật khẩu sơ hở cho tới bộ định tuyến gia đình vẫn dùng thông tin đăng nhập mặc định của nhân viên làm việc từ xa.

Với vai trò là trung tâm dịch vụ CNTT toàn cầu, ngành công nghệ Ấn Độ trở thành mục tiêu đặc biệt hấp dẫn. Một vụ xâm nhập tại Mumbai hay Hyderabad có thể nhanh chóng lan tới các tập đoàn Fortune 500 ở New York (Mỹ) hay London (Anh). Chỉ một nhà cung cấp CNTT bị thỏa hiệp cũng có thể trao cho kẻ tấn công quyền tiếp cận đồng thời hàng chục doanh nghiệp phương Tây.

Bài toán chuỗi cung ứng ngày càng khắc nghiệt. Một doanh nghiệp điển hình năm 2026 quản lý hàng trăm dịch vụ đám mây, nền tảng SaaS, API và lực lượng lao động từ xa - mỗi yếu tố đều là một điểm xâm nhập tiềm tàng. Mỗi mối quan hệ đều đòi hỏi niềm tin, và thực tế năm 2025 cho thấy: niềm tin rất tốn kém để trao, nhưng hậu quả sẽ đặc biệt nghiêm trọng nếu đặt nhầm chỗ.

Bởi vậy, từ năm 2026, kiểm toán an ninh chuỗi cung ứng sẽ dần trở nên thường lệ như kiểm toán tài chính. Doanh nghiệp yêu cầu bằng chứng kiểm soát an ninh từ đối tác; các công ty bảo hiểm bắt buộc đánh giá rủi ro chuỗi cung ứng. Và không ít quản lý thu mua sẽ phải đối mặt với “khủng hoảng hiện sinh” khi cố xác minh mức độ an toàn của… nhà thầu phụ của nhà cung cấp phần mềm…, đồng thời tự hỏi liệu nhân viên của họ có đang làm việc qua những mạng gia đình đủ an toàn hay không.

Vụ tấn công mạng vào Jaguar Land Rover (JLR) được ước tính gây nhiều thiệt hại cho Vương quốc Anh và được coi là “sự kiện mạng gây thiệt hại kinh tế nghiêm trọng nhất” trong lịch sử nước này

Đám mây và cái giá của sự phức tạp

An ninh đám mây chứa đựng một nghịch lý rõ rệt. Các tổ chức chuyển lên đám mây để tăng cường bảo mật, giảm độ phức tạp và nâng cao tính linh hoạt. Họ đạt được cả ba mục tiêu ấy, nhưng đồng thời cũng tạo ra những nhóm rủi ro mới.

Vụ rò rỉ dữ liệu cổng thông tin SPARSH vào tháng 1/2024, làm lộ thông tin lương hưu của quân nhân Ấn Độ, là minh chứng điển hình. Nguyên nhân không đến từ mã độc tinh vi hay lỗ hổng zero-day, mà chỉ là một cấu hình lưu trữ đám mây bị bỏ sót. Hạ tầng của nhà cung cấp đám mây vẫn an toàn; sai sót nằm ở cách khách hàng thiết lập và vận hành hệ thống.

Xu hướng này sẽ trở nên nghiêm trọng hơn trong năm 2026 khi mô hình đa đám mây ngày càng phổ biến. Một tổ chức có thể đồng thời sử dụng AWS cho phát triển, Google Cloud cho phân tích dữ liệu, Microsoft Azure cho CRM và một nền tảng SaaS riêng cho nhân sự. Mỗi nền tảng có mô hình bảo mật riêng, đặc thù cấu hình và chu kỳ cập nhật khác nhau, khiến việc kiểm soát tổng thể ngày càng khó khăn.

Trong bối cảnh đó, chỉ một sai sót nhỏ cũng có thể tạo ra rủi ro lớn. Một cấu hình “tạm thời” được mở ra lúc nửa đêm để xử lý sự cố, nếu không được khóa lại, có thể tồn tại nhiều tháng và trở thành điểm xâm nhập. Nếu hệ thống phát hiện sớm, đó là may mắn. Nếu không, đó chính là điểm khởi đầu của một vụ xâm nhập.

Đám mây không phải là không an toàn, nhưng sự phức tạp là kẻ thù trực tiếp của an ninh. Năm 2026, nhiều vụ việc được dự báo sẽ có chuỗi nguyên nhân chồng chéo: từ API bị lộ, tài khoản dịch vụ có quyền quá mức, cơ sở dữ liệu cấu hình sai, cho đến việc rò rỉ thông tin xác thực và mất quyền kiểm soát các dữ liệu trọng yếu.

Rủi ro càng gia tăng trong môi trường làm việc từ xa. Một kỹ sư vận hành hệ thống qua bộ định tuyến gia đình vẫn dùng thông tin đăng nhập mặc định có thể vô tình tạo ra “đường dẫn phụ” vào hệ thống doanh nghiệp, ngay cả khi các quy trình an ninh nội bộ được tuân thủ đầy đủ sau khi kết nối.

(Còn tiếp)

Huyền Chi