Thống kê của Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) trong tháng 1/2025 đã ghi nhận 125.593 địa chỉ website giả mạo cơ quan, tổ chức. Cùng thời gian, hệ thống giám sát, rà quét từ xa của Trung tâm NCSC cũng đã phát hiện hơn 1.600 lỗ hổng trên 5.000 hệ thống đang mở công khai trên Internet.

Từ các chiến dịch lừa đảo sử dụng công nghệ AI và deepfake đến các trang web giả mạo tinh vi, tội phạm mạng đang khai thác cả những lỗ hổng kỹ thuật lẫn sự thiếu nhận thức về an ninh mạng của người dân. Trong bối cảnh này, vai trò của cả nhà nước, doanh nghiệp và người dùng càng trở nên cấp thiết trong việc bảo mật dữ liệu cá nhân và đảm bảo an toàn trên không gian số.

VietnamFinance đã có cuộc trao đổi với ông Phạm Huân, Giám đốc kỹ thuật khu vực của ManageEngine về vấn đề này.

Ông đánh giá thế nào về mức độ phổ biến và mức độ tinh vi của các hình thức tấn công mạng nhắm vào người dùng dịch vụ công tại Việt Nam hiện nay?

Ông Phạm Huân: Việt Nam đang là một trong những quốc gia đi đầu trong các sáng kiến chuyển đổi số trong khu vực, đặc biệt là trong lĩnh vực dịch vụ công. Tuy nhiên, điều này đồng nghĩa với việc các hệ thống của chính phủ đã trở thành mục tiêu hấp dẫn cho tin tặc, với các cuộc tấn công gia tăng cả về quy mô và độ phức tạp.

Theo thống kê từ Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC), chỉ riêng trong tháng 1/2025, đã có 125.593 trang web giả mạo các cơ quan, tổ chức nhà nước được ghi nhận, gây thiệt hại cho người dân trên không gian mạng.

Về mức độ tinh vi, những cuộc tấn công này được tổ chức bài bản và thực hiện chuyên nghiệp, thường lợi dụng các công nghệ AI và deepfake để tăng độ tin cậy. Chẳng hạn, các cuộc tấn công lừa đảo (phishing) không còn giới hạn ở những email hoặc tin nhắn sơ sài nữa, mà nay được thiết kế rất giống với giao diện chính thức của các cổng dịch vụ công chính thống.

Ngoài ra, tin tặc còn có thể thu thập thông tin từ mạng xã hội để tạo ra các kịch bản lừa đảo được cá nhân hóa, hoặc theo dõi hành vi người dùng để xác định thời điểm tấn công hiệu quả nhất – như giả mạo nhân viên công ty điện lực qua các cuộc gọi lừa đảo vào cuối hoặc đầu tháng, khi người dùng thường thanh toán hóa đơn tiện ích.

Những hình thức lừa đảo nào đang được ghi nhận là phổ biến nhất trong thời gian gần đây, thưa ông?

Ông Phạm Huân: Hình thức tấn công mạng phổ biến nhất hiện nay là tấn công giả mạo (phishing). Với sự tiến bộ nhanh chóng của công nghệ và việc ứng dụng AI ngày càng rộng rãi, các cuộc tấn công lừa đảo đã trở nên thường xuyên và tinh vi hơn, khi kẻ tấn công ngày càng tận dụng AI trong các chiêu thức của chúng. Tội phạm mạng sử dụng AI để thao túng giọng nói, hình ảnh hoặc video nhằm đánh cắp thông tin và dữ liệu của người dùng. Theo Bộ Công an, chỉ từ ngày 15/2 đến ngày 18/3 năm nay, cả nước đã ghi nhận hơn 235 vụ lừa đảo chiếm đoạt tài sản trên không gian mạng, với tổng thiệt hại lên tới 217 tỷ đồng.

Công nghệ AI và deepfake có tác động như thế nào đến tính nguy hiểm của các cuộc tấn công mạng hiện nay, thưa ông?

Ông Phạm Huân: Trong thời đại mà AI đang phát triển với tốc độ chóng mặt, công nghệ deepfake nổi lên như một trong những mối đe dọa an ninh mạng đáng báo động nhất hiện nay. Kẻ tấn công không còn cần nhiều nguồn lực hay chuyên môn kỹ thuật sâu rộng – các công cụ hỗ trợ AI giờ đây có thể tạo ra những video deepfake đầy thuyết phục chỉ trong vài phút. AI cũng giúp các cuộc tấn công lừa đảo trở nên dễ dàng hơn, chẳng hạn như tạo ra những email lừa đảo có sức thuyết phục cao, đánh lừa người dùng hiệu quả hơn.

Kẻ tấn công sử dụng AI để phân tích hành vi người dùng, xác định các lỗ hổng, và tạo ra các chiến dịch lừa đảo được cá nhân hóa. Điều này cho phép những email, tin nhắn hoặc cuộc gọi giả mạo được viết bằng ngôn ngữ tự nhiên hoặc thậm chí bắt chước phong cách nói chuyện của những người quen hoặc cơ quan chính phủ. Trong khi đó, deepfake làm tăng tính chân thực của các video hoặc âm thanh giả mạo, lợi dụng niềm tin của người dùng – một điều mà các công nghệ bảo mật truyền thống đang gặp khó khăn trong việc phát hiện và kiểm soát.

Theo ông, đâu là nguyên nhân chính khiến người dùng Việt Nam dễ trở thành nạn nhân của các cuộc tấn công này?

Ông Phạm Huân: Nguyên nhân chính khiến người dùng Việt Nam dễ bị tổn thương trước các cuộc tấn công này phần lớn là do thiếu kiến thức và kỹ năng về bảo mật dữ liệu, an toàn thông tin. Nhiều người dùng chưa được trang bị đầy đủ nhận thức về an ninh mạng, chẳng hạn như cách nhận diện email giả mạo hay các chiêu thức lừa đảo. Hệ quả là khi nhận được email hoặc tin nhắn lừa đảo (phishing), người dùng – do thiếu nhận thức về an ninh mạng – thường nhấp vào những đường dẫn này và cuối cùng bị lừa đảo. Do đó, việc thiếu hiểu biết về các phương thức tấn công lừa đảo là một lỗ hổng rất lớn khiến họ dễ bị tấn công.

Trong quá trình quan sát, ông thấy đâu là những lỗ hổng lớn nhất trong hệ thống bảo mật hiện tại của các nền tảng dịch vụ công?

Ông Phạm Huân: Lỗ hổng lớn nhất trong các hệ thống an ninh của nền tảng dịch vụ công, theo tôi, đến từ sự thiếu nhận thức. Những cán bộ, nhân viên là người trực tiếp sử dụng công nghệ – họ thực hiện các thao tác hàng ngày trên hệ thống của chính phủ và sử dụng Internet. Điều này khiến họ trở thành mục tiêu chính cho những kẻ tấn công muốn xâm nhập hệ thống và trích xuất dữ liệu.

Việc thiếu xác thực đa lớp, thiếu mã hóa dữ liệu hay quy trình phản ứng sự cố chưa hiệu quả – yếu tố nào đang là vấn đề nổi cộm nhất?

Ông Phạm Huân: Theo tôi, vấn đề nổi cộm nhất chính là thiếu xác thực đa yếu tố (MFA). Xác thực là yếu tố quan trọng hàng đầu cho phép người dùng truy cập dữ liệu. Thông thường, người dùng vẫn dựa vào mật khẩu truyền thống để đăng nhập vào dữ liệu hoặc ứng dụng. Tuy nhiên, ngày nay, nếu không có MFA, kẻ tấn công có thể dễ dàng chiếm quyền truy cập vào các ứng dụng hoặc thiết bị của người dùng. MFA có thể được xem là tuyến phòng thủ đầu tiên, giúp ngăn chặn kẻ tấn công thực hiện bất kỳ cuộc tấn công nào vào thiết bị và ứng dụng của người dùng, hay các hệ thống của tổ chức.

Theo ông, các cơ quan nhà nước đã có động thái gì để cải thiện tình hình, và còn thiếu điều gì trong nỗ lực bảo vệ người dùng?

Ông Phạm Huân: Chính phủ Việt Nam đã ban hành nhiều nghị định, thông tư liên quan đến bảo vệ dữ liệu cá nhân, đáng chú ý nhất là Dự thảo Luật Bảo vệ Dữ liệu cá nhân, dự kiến có hiệu lực vào ngày 1/1/2026. Luật này bao gồm các yêu cầu bắt buộc đối với các tổ chức và nền tảng số trong việc bảo vệ quyền riêng tư của người dùng.

Ngoài ra, các cơ quan như Bộ Thông tin và Truyền thông, Cục An toàn thông tin, Trung tâm Ứng cứu khẩn cấp máy tính Việt Nam (VNCERT), và Hiệp hội An ninh mạng Quốc gia (NCA) thường xuyên đưa ra các cảnh báo an ninh, công bố thông báo về lỗ hổng, tổ chức diễn tập an ninh mạng, và tổ chức các hội nghị về an ninh mạng.

Tuy nhiên, các cơ quan chính phủ Việt Nam cần tăng cường giáo dục và cung cấp thông tin thường xuyên cho người dùng để giúp họ tránh lừa đảo trực tuyến – nhận diện các hình thức lừa đảo trông như thế nào, và hậu quả là gì nếu một cuộc tấn công lừa đảo thành công. Hơn nữa, công nghệ có thể hỗ trợ người dùng thông qua các giải pháp như xác thực đa yếu tố (MFA), xác thực không mật khẩu, và kiến trúc ‘Zero Trust’.

Người dùng nên áp dụng những nguyên tắc cơ bản nào để tránh bị lừa đảo khi sử dụng dịch vụ công trực tuyến, thưa ông?

Ông Phạm Huân: Người dùng cần đọc kỹ ngữ cảnh và luôn kiểm tra lại mọi thứ. Khi nhận được bất kỳ email nào yêu cầu thực hiện hành động, họ cần xác minh danh tính người gửi, kiểm tra xem email đó có thực sự đến từ các công ty uy tín hay không và tên miền có chính xác không. Mọi thứ đều cần được kiểm tra kỹ lưỡng. Người dùng phải nhớ rằng không có gì là miễn phí – họ cần quan sát cẩn thận và kiểm tra kỹ trước khi thực hiện bất kỳ hành động nào. Đây là một nguyên tắc cơ bản.

Ngoài ra, các biện pháp bảo mật dữ liệu như xác thực đa yếu tố (MFA) và sinh trắc học – bao gồm vân tay và nhận diện khuôn mặt – giúp ngăn chặn thiết bị của người dùng rơi vào tay kẻ xấu hoặc bị sử dụng cho mục đích sai trái, bất hợp pháp. Mọi hành động chỉ được cho phép sau khi người dùng được xác thực, qua đó đảm bảo sự tin cậy.

Có công cụ hoặc phần mềm nào người dân có thể cài đặt để tăng cường bảo mật cá nhân?

Ông Phạm Huân: Người dùng hoàn toàn có thể cài đặt các công cụ hoặc phần mềm để tăng cường bảo mật. Chẳng hạn, The Vault là một phần mềm giúp người dùng lưu trữ mật khẩu hoặc thông tin xác thực. Phần mềm này cho phép người dùng quản lý mật khẩu và thông tin đăng nhập khi truy cập thiết bị hoặc ứng dụng. Ngay cả khi kẻ tấn công có quyền truy cập vào thiết bị, phần mềm này vẫn giúp bảo vệ mật khẩu và thông tin xác thực không bị lộ.

Trên các thiết bị Windows như máy tính xách tay, có những phần mềm như BitLocker giúp mã hóa dữ liệu quan trọng trên thiết bị và bảo vệ chúng khỏi các cuộc tấn công, từ đó nâng cao bảo mật cá nhân.

Ông có thể chia sẻ một vài dấu hiệu nhận biết sớm một cuộc tấn công lừa đảo đang diễn ra không?

Ông Phạm Huân: Một số dấu hiệu cảnh báo sớm có thể bao gồm việc kẻ tấn công thông báo người dùng về các giải thưởng, quà tặng miễn phí, hoặc phần thưởng có giá trị cao. Chúng thường yêu cầu người dùng nhấp vào các liên kết giả mạo và nhập thông tin cá nhân. Đây là một trong những dấu hiệu mà người dùng cần xác minh xem người gửi có hợp pháp hay không.

Nếu các yêu cầu mang tính khẩn cấp hoặc đòi hỏi người dùng phải hành động ngay lập tức – như nhấp vào một liên kết hay cung cấp thông tin – đây là những dấu hiệu điển hình của lừa đảo. Khi gặp phải, người dùng cần hết sức thận trọng và kiểm tra kỹ thông tin trước khi thực hiện bất kỳ thao tác nào.

Ông đánh giá vai trò của khối doanh nghiệp công nghệ – như ManageEngine – trong việc bảo vệ người dùng cuối trong bối cảnh hiện nay ra sao?

Ông Phạm Huân: Với vai trò là một công ty công nghệ, ManageEngine đã và đang giúp các tổ chức bảo vệ dữ liệu và tài nguyên mạng của mình khỏi những cuộc tấn công tinh vi thông qua các giải pháp bảo mật mạnh mẽ. Các giải pháp của chúng tôi giúp tăng cường an ninh tổng thể của công ty và bảo vệ người dùng khi kẻ tấn công tìm cách truy cập dữ liệu hoặc thiết bị của họ.

Các công ty và tổ chức tại Việt Nam đóng vai trò quan trọng trong việc cung cấp các giải pháp an ninh mạng, phát triển các công nghệ bảo mật liên tục, và cam kết tuân thủ các tiêu chuẩn an ninh quốc gia và quốc tế.

ManageEngine cung cấp nhiều giải pháp đa dạng như Log360 (SIEM) – một hệ thống quản lý sự kiện và thông tin bảo mật giúp giám sát nhật ký truy cập và hành vi người dùng theo thời gian thực, đồng thời phát hiện sớm các hoạt động đáng ngờ. Ngoài ra, chúng tôi có các giải pháp Quản lý Định danh và Truy cập (IAM) như AD360 và Password Manager Pro, giúp quản lý và cấp quyền truy cập dựa trên nguyên tắc đặc quyền tối thiểu cũng như triển khai xác thực đa yếu tố (MFA).

Bên cạnh đó, ManageEngine thường xuyên tổ chức các buổi hội thảo trực tuyến (webinar), cung cấp tài liệu hướng dẫn và thực hiện các chiến dịch nâng cao nhận thức về an ninh mạng cho các tổ chức, từ đó đến người dùng cuối. Mục tiêu của chúng tôi là giảm thiểu rủi ro liên quan đến yếu tố con người, vốn là nguyên nhân hàng đầu gây ra các sự cố an ninh mạng.

Theo ông, doanh nghiệp nên phối hợp thế nào với các cơ quan nhà nước để nâng cao nhận thức cộng đồng về an ninh mạng?

Ông Phạm Huân: Các doanh nghiệp hoạt động với đa dạng khách hàng trên nhiều lĩnh vực, từ đó tích lũy được những hiểu biết giá trị, các trường hợp thực tế và kinh nghiệm xử lý trực tiếp các thách thức an ninh mạng. Khi hợp tác với các cơ quan chính phủ, họ có thể chia sẻ kiến thức cập nhật về các mối đe dọa mới nổi, các phương pháp tấn công phổ biến và chiến lược phòng ngừa hiệu quả.

Những mối quan hệ đối tác như vậy cần được thúc đẩy diễn ra thường xuyên hơn. Các doanh nghiệp có thể tận dụng các giải pháp và phương pháp mà họ đã triển khai thành công cho khách hàng để giúp các cơ quan chính phủ hiểu rõ hơn và ứng phó hiệu quả hơn với rủi ro an ninh mạng. Sự hợp tác này không chỉ nâng cao khả năng sẵn sàng an ninh mạng quốc gia mà còn góp phần giáo dục cộng đồng cách giữ an toàn trong không gian số.

Theo ông, Việt Nam cần thêm những chính sách hay hành lang pháp lý nào để thúc đẩy hợp tác giữa nhà nước – doanh nghiệp – người dân trong bảo vệ dữ liệu?

Ông Phạm Huân: Một trong những khuôn khổ quan trọng nhất cần được áp dụng là mô hình Zero Trust. Zero Trust đang ngày càng trở thành tiêu chuẩn trong các doanh nghiệp, đặc biệt là trong lĩnh vực công. Nguyên tắc cốt lõi của Zero Trust là “không bao giờ tin tưởng, luôn xác minh”, nghĩa là không có thiết bị, người dùng hay hệ thống nào được tự động tin cậy – mọi thứ phải được xác thực và liên tục kiểm tra.

Xin cảm ơn ông về cuộc trò chuyện này!

ManageEngine là bộ phận quản lý công nghệ thông tin (CNTT) của Zoho Corporation, cung cấp các giải pháp giám sát và vận hành CNTT theo thời gian thực, hỗ trợ doanh nghiệp tối ưu hiệu suất hạ tầng CNTT, từ mạng, máy chủ, ứng dụng đến máy tính để bàn và các tài nguyên số khác.