Danh tính số đang mở cửa cho kẻ tấn công
Danh tính số là tập hợp thông tin và quyền truy cập gắn với một người dùng trên các dịch vụ, ứng dụng và hệ thống trực tuyến, qua đó quyết định họ có thể đăng nhập và làm gì. Vì vậy, khi bị đánh cắp hoặc lạm dụng, danh tính này có thể trở thành lối vào thẳng hệ thống doanh nghiệp. Báo cáo Phòng thủ Kỹ thuật số 2026 của Microsoft cho biết 73,3% nỗ lực xâm nhập ban đầu được ghi nhận có liên quan đến hành vi người dùng, tài khoản hợp lệ hoặc kỹ thuật lừa đảo. Con số này không có nghĩa mọi vụ xâm nhập đều bỏ qua lỗ hổng kỹ thuật; nó cho thấy bảo vệ công nghệ thôi chưa đủ nếu người dùng bị dụ làm theo chỉ dẫn hoặc tài khoản bị chiếm. Trong nhóm được ghi nhận, hành động theo hướng dẫn của kẻ tấn công chiếm 30%, còn việc sử dụng tài khoản hợp lệ chiếm 20%. Đây là lý do danh tính số bảo mật cần được xem là trọng tâm phòng thủ, không phải việc riêng của bộ phận quản lý mật khẩu.
AI làm lừa đảo thuyết phục hơn, tài khoản thật khó bị nhận ra
AI không tạo ra một kiểu tấn công hoàn toàn mới, nhưng giúp kẻ xấu thu thập thông tin, viết thông điệp lừa đảo và mở rộng chiến dịch nhanh hơn. Khi nội dung được cá nhân hóa, email giả danh lãnh đạo, đối tác hoặc bộ phận hỗ trợ có thể khó phân biệt bằng lỗi chính tả hay cách diễn đạt. Tỷ lệ lừa đảo trực tuyến trong hoạt động được quan sát tăng từ 7% lên 23% so với năm trước. Vì vậy, phòng chống lừa đảo AI không thể chỉ dựa vào việc nhắc nhân viên cảnh giác. Một khi chiếm được tài khoản, tin tặc có thể dùng quyền đã cấp để đọc email, tiếp cận dữ liệu khách hàng hoặc đi sâu vào ứng dụng nội bộ. Trong 52,2% vụ xâm nhập có sử dụng tài khoản hợp lệ, kẻ tấn công tiếp tục tìm cách đánh cắp thêm thông tin xác thực. Kiểu tấn công tài khoản hợp lệ nguy hiểm ở chỗ hoạt động xấu có thể trông giống công việc bình thường, khiến hệ thống chỉ săn mã độc dễ bỏ sót dấu hiệu.
Mở rộng đám mây cũng mở rộng rủi ro truy cập
Rủi ro tăng khi doanh nghiệp kết nối thêm dịch vụ đám mây, ứng dụng trực tuyến, hệ thống quản trị từ xa và đưa AI vào quy trình vận hành. Bản thân hạ tầng của nhà cung cấp được bảo vệ tốt không bảo đảm dữ liệu doanh nghiệp đã được phân quyền đúng. Nếu nhân viên có quyền rộng hơn yêu cầu công việc, tài liệu nội bộ có thể đến tay người không cần tiếp cận; tài khoản bị chiếm khi ấy cũng tạo bàn đạp để mở rộng xâm nhập. Áp lực còn đến từ tốc độ khai thác lỗ hổng: trong nửa đầu năm 2026 có gần 40.000 CVE được công bố, và thời gian trung vị từ khi phát hiện lỗ hổng ngoài thực tế đến khi bị khai thác đã xuống dưới 24 giờ, trong khi nhiều tổ chức cần 30–60 ngày để vá lỗ hổng nghiêm trọng. Dữ liệu này nhấn mạnh mức độ gấp gáp của phòng thủ, nhưng không nên khiến doanh nghiệp bỏ qua quản trị danh tính. Cần kết hợp cập nhật hệ thống với kiểm soát truy cập mạng dựa trên người dùng, thiết bị, ngữ cảnh và mức rủi ro của từng yêu cầu.
Việc cần làm ngay: giảm quyền, xác minh và giám sát
Doanh nghiệp nên áp dụng nguyên tắc Zero Trust: không mặc nhiên tin một yêu cầu chỉ vì nó đến từ mạng nội bộ hay tài khoản đã xác thực; mỗi lần truy cập cần được đánh giá theo danh tính, thiết bị, ngữ cảnh và rủi ro. Hãy giới hạn quyền theo đúng nhiệm vụ, bảo vệ riêng tài khoản quản trị, bật xác thực đa yếu tố và ưu tiên passkey hoặc khóa bảo mật có khả năng chống lừa đảo khi phù hợp. Giám sát hành vi bất thường cũng quan trọng không kém bước đăng nhập ban đầu. Với người dùng, hãy dùng mật khẩu riêng cho từng dịch vụ, không chia sẻ mã xác thực hay thông tin khôi phục, và chỉ đăng nhập qua ứng dụng hoặc địa chỉ chính thức. Nếu nhận yêu cầu xác minh tài khoản, đăng nhập hoặc chuyển tiền bất thường, hãy gọi lại qua kênh độc lập thay vì làm theo tin nhắn. Khi nghi tài khoản bị chiếm, thu hồi phiên đăng nhập, đổi thông tin từ thiết bị an toàn, rà soát phương thức khôi phục và ứng dụng được cấp quyền, rồi báo bộ phận an toàn thông tin.
Kết luận: hacker có thể đi qua cửa chính bằng danh tính bị đánh cắp hoặc quyền truy cập cấp quá rộng. Doanh nghiệp cần vá lỗi, nhưng chỉ quản lý chặt danh tính, quyền và hành vi truy cập mới hạn chế được khả năng một tài khoản bị chiếm biến thành lối vào cả hệ thống.
