Phòng chống ransomware: doanh nghiệp nhỏ cần chuẩn bị gì?

Tóm tắt nhanh: Theo công ty an ninh mạng Cyble, tháng 8/2026 có 1.034 tổ chức bị các nhóm mã độc tống tiền (ransomware) công khai dữ liệu, tức chưa tới một giờ lại thêm một nạn nhân. Với doanh nghiệp nhỏ, phần phòng chống ransomware tối thiểu nằm ở thói quen của nhân viên: mở email và tệp đính kèm thế nào, được cài phần mềm gì. Việc còn lại là định trước ai quyết chuyện tiền chuộc.

Ransomware đang tấn công dồn dập đến mức nào

Số nạn nhân tháng 8/2026 gần gấp đôi tháng 6. Theo Tuổi Trẻ ngày 30/09/2026, báo cáo The Ransomware Brief của Trung tâm Nghiên cứu và Tình báo Cyble (CRIL) ghi nhận 1.078 vụ tấn công trong tháng 8. Có 1.034 nạn nhân bị công khai dữ liệu, bình quân khoảng 33 nạn nhân mỗi ngày.

Con số này cao hơn tháng 7 (859 nạn nhân) 25% và cao hơn tháng 6 (536 nạn nhân) 101%. Từ tháng 3 đến tháng 6, các nhóm tin tặc tạm lắng để tổ chức lại và mở rộng mạng lưới cộng tác (affiliate). Bài báo dẫn nhận định rằng đợt tăng này là xu hướng mới, không còn mang tính thời điểm.

Châu Á - Thái Bình Dương có 143 nạn nhân, chiếm 13% toàn cầu. Bài báo không nêu số riêng của Việt Nam. Dù vậy, dữ liệu của Kaspersky được dẫn kèm cho thấy ransomware vẫn là mối đe doạ hàng đầu với doanh nghiệp vừa và nhỏ ở Đông Nam Á, trong đó có Việt Nam.

Kẻ tấn công nhắm vào ai và đòi tiền ra sao

Nạn nhân tập trung ở những ngành bị ảnh hưởng nặng nề nếu hoạt động bị gián đoạn: sản xuất (151), dịch vụ chuyên môn (147), công nghệ thông tin (126) và y tế (98). Theo bài báo, tin tặc chọn nơi mà hệ thống ngừng một giờ cũng đã thiệt hại, hoặc nơi giữ dữ liệu nhạy cảm, để ép nạn nhân trả tiền.

Cách đòi tiền cũng nặng tay hơn. Ngoài mã hoá dữ liệu, kẻ tấn công còn sao chép hồ sơ khách hàng, bí mật kinh doanh rồi doạ công khai nếu nạn nhân không trả. Cách này thường được gọi là tống tiền kép (double extortion): doanh nghiệp có bản sao lưu để tự khôi phục vẫn bị doạ chuyện lộ dữ liệu. Báo cáo còn ghi nhận AI được dùng để đột nhập nhanh hơn qua các cổng kết nối Internet còn sơ hở, phần đã nói trong bài AI tự tấn công mạng trong 3 giờ.

Ransomware thường lọt vào doanh nghiệp nhỏ qua đâu?

Ở doanh nghiệp nhỏ, ransomware thường lọt vào qua những thao tác bình thường của nhân viên. Bài báo không nêu đường xâm nhập của từng vụ; ba đường quen thuộc là:

• Email và tệp đính kèm giả. Thư giả làm hoá đơn, báo giá hay thông báo giao hàng, kèm tệp nén có mật khẩu, tệp Word hay Excel đòi “bật nội dung” (macro), hoặc link tải tài liệu. Kế toán và mua hàng nhận loại thư này hằng ngày nên dễ mở nhầm nhất.
• Mật khẩu bị lộ hoặc dùng lại. Một mật khẩu dùng cho nhiều trang, lộ ở một trang là kẻ xấu thử tiếp vào email công ty hay VPN.
• Phần mềm bẻ khoá. Bản Office, phần mềm thiết kế hay công cụ kích hoạt bản quyền tải từ trang lạ có thể cài kèm mã độc. Nhân viên tự cài cho tiện, chủ doanh nghiệp thường không biết.

Cả ba đường đều chặn bằng quy tắc dễ hơn bằng thiết bị. Bài báo cũng khuyên chưa cần vội mua nhiều giải pháp đắt đỏ, nên siết các khâu cốt lõi trước.

Những việc cần làm ngay để đề phòng rủi ro

Người phụ trách IT hiện có hoặc đối tác IT thuê ngoài làm được phần lớn các việc này trong một tháng.

Việc	Ai làm	Xong khi
Quy tắc tệp đính kèm: không mở tệp nén có mật khẩu, file thực thi (.exe, .js, .iso) hay tài liệu đòi bật macro từ người gửi lạ	Giám đốc ban hành	Mọi nhân viên đã ký nhận
Hiện đuôi tệp trên máy Windows để nhân viên thấy tệp “hoadon.pdf.exe” là file thực thi	IT	Đã bật trên mọi máy
Kênh báo “lỡ bấm”: mở nhầm tệp lạ thì ngắt mạng máy đó và báo ngay	Giám đốc	Cả công ty biết số cần gọi
Nhân viên không có quyền quản trị trên máy; cần phần mềm thì xin IT cài	IT	Đã rà phần mềm từng máy
Bật xác thực đa yếu tố (MFA) cho email, VPN và tài khoản quản trị	IT	Không còn email chỉ dùng mật khẩu
Tách máy chủ, máy kế toán khỏi Wi-Fi khách	IT	Có sơ đồ mạng một trang
Giữ một bản sao lưu ngoại tuyến và thử khôi phục	IT	Ghi được thời gian khôi phục

Kênh báo “lỡ bấm” chỉ có tác dụng khi người báo sớm không bị phạt. Sợ bị trách thì nhân viên im lặng, còn mã độc có thêm nhiều giờ để lan sang máy khác. Với xác thực đa yếu tố, bài báo khuyên chọn loại chống được lừa đảo. Mã OTP qua tin nhắn vẫn có thể bị gõ vào trang đăng nhập giả, còn khoá bảo mật vật lý hay khoá đăng nhập (passkey) thì không.

Quy tắc chỉ thành thói quen khi được nhắc lại: mỗi tháng, trưởng phòng dành 15 phút trong buổi giao ban để cả phòng xem một email lừa đảo công ty vừa nhận. Muốn tự chấm công ty đang ở đâu, câu 11 trong bộ câu hỏi đánh giá mức độ chuyển đổi số hỏi đúng chuyện sao lưu và thử khôi phục.

Ai quyết chuyện trả tiền chuộc?

Giám đốc hoặc người được uỷ quyền quyết, theo nguyên tắc viết sẵn từ trước khi có sự cố. Lúc màn hình hiện thông báo đòi tiền, người ngồi trước máy chịu áp lực lớn nhất và có thể tự nhắn tin cho kẻ tống tiền để xong chuyện. Nguyên tắc chỉ cần vài dòng có chữ ký giám đốc:

• Ngoài giám đốc hoặc người được uỷ quyền, không ai liên lạc với kẻ tấn công.
• Trước khi bàn chuyện tiền, phải biết bản sao lưu còn dùng được không và dữ liệu nào đã bị lấy ra ngoài.
• Hỏi luật sư và trình báo cơ quan công an trước khi trả bất kỳ khoản nào.

Trả tiền không bảo đảm lấy lại dữ liệu. Bài báo cho biết nạn nhân đã trả vẫn có thể bị lừa, không nhận được dữ liệu hoặc bị tống tiền thêm nhiều lần. Với tống tiền kép, kẻ tấn công vẫn giữ bản dữ liệu đã lấy và doanh nghiệp không có cách nào kiểm chứng bản đó đã bị xoá.

Câu hỏi thường gặp

Đã có bản sao lưu thì còn phải lo không? Vẫn phải lo. Bản sao lưu giúp khôi phục máy bị khoá, nhưng không ngăn được kẻ tấn công đem dữ liệu đã lấy cắp ra doạ công khai.

Phần mềm diệt virus có chặn được ransomware không? Chỉ chặn được một phần, chủ yếu là mẫu mã độc đã biết. Khi nhân viên tự cho tệp chạy hoặc tắt phần mềm diệt virus để cài bản bẻ khoá, lớp bảo vệ này gần như mất tác dụng.

---

HAT Solutions giúp doanh nghiệp nhỏ và vừa soạn quy tắc dùng email, phần mềm và dữ liệu cho nhân viên, rà quyền quản trị trên từng máy và đưa các việc này vào lộ trình chuyển đổi số. Liên hệ để được tư vấn. Quy tắc an toàn dữ liệu và luật về dữ liệu cá nhân có trong bài trụ cột Quản trị AI doanh nghiệp.