Verizon vừa công bố ấn bản thứ 19 của báo cáo điều tra rò rỉ dữ liệu (Data Breach Investigations Report — DBIR), dựa trên hơn 31.000 sự cố an ninh mạng ghi nhận trong giai đoạn tháng 10/2024 đến tháng 11/2025 tại 145 quốc gia. Vài con số trong đó đáng để doanh nghiệp vừa và nhỏ ở Việt Nam đọc kỹ, vì chúng chỉ ra rằng điểm yếu phổ biến nhất không nằm ở công nghệ đắt tiền.
Bốn con số đáng chú ý
- Mã độc tống tiền có mặt trong 48% số vụ rò rỉ được phân tích, tăng từ 44% của năm trước. Đây không còn là rủi ro của riêng doanh nghiệp lớn.
- 69% nạn nhân không trả tiền chuộc. Tỷ lệ này tăng dần qua các năm — dấu hiệu cho thấy doanh nghiệp có bản sao lưu dùng được thì không cần thương lượng.
- Khai thác lỗ hổng chiếm 31% số vụ, trong khi lạm dụng thông tin đăng nhập giảm còn 13%. Đáng lo hơn: chỉ 26% lỗ hổng nghiêm trọng trong danh mục KEV của CISA được vá dứt điểm trong năm 2025, và thời gian vá trung vị tăng lên 43 ngày.
- Bên thứ ba xuất hiện trong 48% số vụ, còn số vụ liên quan tới chuỗi cung ứng tăng 60%. Nhà cung cấp phần mềm, đối tác kế toán, dịch vụ vận chuyển đều là đường vào.
Một con số khác đáng suy nghĩ: yếu tố con người liên quan tới 62% số vụ. Và trong phần về AI, báo cáo ghi nhận 67% người dùng truy cập dịch vụ AI trên thiết bị công ty bằng tài khoản cá nhân — nghĩa là dữ liệu công ty đang đi qua những tài khoản mà công ty không kiểm soát.
Điều này có nghĩa gì với một doanh nghiệp 50–300 người
Đọc bốn con số trên theo hướng hành động, có ba kết luận:
Thứ nhất, sao lưu là biện pháp chống tống tiền hiệu quả nhất. Không phải tường lửa đắt tiền. Điều kiện là bản sao lưu phải nằm ngoài tầm với của tài khoản quản trị hệ thống chính, và phải được thử khôi phục ít nhất một lần. Bản sao lưu chưa từng khôi phục thử chỉ là niềm tin, không phải phương án.
Thứ hai, vá lỗi là công việc định kỳ, không phải dự án. Con số 43 ngày trong báo cáo là trung vị của các tổ chức lớn có đội an ninh riêng. Doanh nghiệp không có đội chuyên trách cần một quy trình đơn giản hơn: mỗi tháng một buổi cập nhật máy chủ, thư viện và thiết bị biên; ưu tiên những gì lộ ra Internet.
Thứ ba, nhà cung cấp là một phần bề mặt tấn công của bạn. Nếu một đối tác có tài khoản VPN hoặc quyền truy cập hệ thống, hãy đối xử với tài khoản đó như tài khoản nhân viên: giới hạn phạm vi, có thời hạn, và thu hồi khi kết thúc hợp đồng.
Năm việc làm được trong tháng này
- Liệt kê những gì đang lộ ra Internet: máy chủ web, VPN, camera, thiết bị NAS. Tắt những thứ không cần.
- Bật xác thực hai yếu tố cho email, VPN và tài khoản quản trị hệ thống.
- Kiểm tra bản sao lưu: chu kỳ, nơi lưu, và một lần khôi phục thử có bấm giờ.
- Rà danh sách tài khoản: người đã nghỉ, tài khoản dùng chung, tài khoản dịch vụ không ai nhớ mật khẩu.
- Đặt quy định về AI: nhân viên được dùng công cụ nào, dữ liệu nào không được dán vào đó.
Phần lớn sự cố không bắt đầu bằng kỹ thuật tinh vi, mà bằng một thứ rất đời thường: một bản vá bị hoãn, một tài khoản chưa thu hồi, một bản sao lưu chưa ai thử khôi phục.
Nguồn tham khảo
- Verizon — 2026 Data Breach Investigations Report
- Help Net Security — Lessons for organizations from the Verizon 2026 DBIR
Các số liệu trong bài được trích từ báo cáo DBIR 2026 và phần tổng hợp của Help Net Security; phần bình luận và khuyến nghị là của NinePlus.
