Microsoft cảnh báo tin tặc dùng tác tử AI tấn công tự động qua phần mềm quản trị từ xa (21/10/2026): cửa hàng, văn phòng cần làm gì

Ngày 21/10/2026, Microsoft công bố một báo cáo an ninh mạng mà giới quản trị hệ thống phải đọc lại hai lần: một nhóm tin tặc đã dùng tác tử AI để tự động hoá gần như toàn bộ quá trình tấn công, từ dò quét ban đầu cho tới chiếm quyền quản trị. Trong vài trường hợp, khoảng cách từ lúc bắt đầu nhắm mục tiêu tới lúc có quyền cao nhất chưa đầy ba giờ.

Nghe thì xa vời với một cửa hàng hay văn phòng nhỏ ở Cà Mau. Nhưng phần đáng chú ý không nằm ở chỗ tin tặc giỏi hơn, mà ở chỗ chúng làm việc nhanh hơn rất nhiều lần với cùng những kỹ thuật cũ. Và cách phòng thủ thì vẫn là những việc chúng tôi nhắc khách hàng mỗi ngày.

Chuyện gì đã xảy ra?

Theo báo cáo của Microsoft Security, nhóm tấn công được đặt tên Storm-0940 — hoạt động từ năm 2021, được Microsoft đánh giá là có liên hệ với nhà nước Trung Quốc — đã bắt đầu dùng một bộ công cụ AI tên ARTEX từ đầu tháng 9/2026 để tấn công hàng trăm tổ chức trên khắp thế giới.

Điểm then chốt của vụ việc là ConnectWise Cloud Backup, một dịch vụ đám mây được nhiều công ty dịch vụ công nghệ thông tin dùng để sao lưu và quản trị máy tính cho khách hàng của họ. Khi dịch vụ này bị xâm nhập, kẻ tấn công không cần đánh từng doanh nghiệp một nữa: chúng mượn luôn danh tính của các ứng dụng đám mây mà ConnectWise đã được khách hàng tin tưởng cấp quyền, rồi dùng chính quyền đó để đi vào hệ thống của từng khách hàng mà không cần ai đăng nhập cả. Microsoft ghi nhận hơn 2.250 tổ chức bị thử đăng nhập theo cách này.

Microsoft nói rõ sự việc không xuất phát từ việc hệ thống hay sản phẩm của Microsoft bị xâm nhập.

ARTEX là gì và vì sao nó đáng lo

ARTEX là một bộ khung kiểm thử xâm nhập (penetration testing) dùng nhiều tác tử AI phối hợp với nhau. Ban đầu nó là dự án mã nguồn mở, viết bằng ngôn ngữ Go, và có thể chạy trên nhiều mô hình ngôn ngữ lớn khác nhau. Các tác tử tự chia việc: một nhóm dò quét, một nhóm thử lỗ hổng, một nhóm đọc lại kết quả của nhóm kia, và toàn bộ tài sản cùng lỗ hổng phát hiện được ghi vào một sơ đồ quan hệ để khai thác tiếp.

Theo The Hacker News dẫn phân tích của Zscaler, các bản ARTEX bị lạm dụng được cấu hình để chạy trên những mô hình như DeepSeek, GLM hay Grok thông qua cổng kết nối tương thích chuẩn OpenAI. Dự án sau đó đã được chuyển sang mã đóng khi bị phát hiện dùng để tấn công các tổ chức tài chính Hàn Quốc.

Điều đáng lo không phải là AI nghĩ ra kỹ thuật tấn công mới. Những việc ARTEX làm — quét cổng, dò mật khẩu, lợi dụng ứng dụng OAuth đã được cấp quyền — đều là kỹ thuật cũ. Cái mới là tốc độ và quy mô: việc mà một nhóm người làm trong nhiều ngày thì nay chạy liên tục suốt đêm, trên hàng nghìn mục tiêu cùng lúc.

Mốc thời gian theo công bố của Microsoft

Microsoft cũng lưu ý: một ứng dụng bị ảnh hưởng, hay một lượt đăng nhập thành công, tự nó chưa chứng minh dữ liệu đã bị đọc hoặc mang đi.

Vì sao kiểu tấn công này khó chặn hơn trước

Có ba điểm khiến cách đánh này khó chịu hơn hẳn.

Thứ nhất, nó đi vòng qua cửa chính. Kẻ tấn công không dò mật khẩu của bạn, mà mượn quyền của một phần mềm bạn đã tin tưởng. Mật khẩu mạnh tới đâu cũng không chặn được đường đi này.

Thứ hai, nó nhanh hơn người trực. Nếu phải ba giờ mới có người đọc cảnh báo, mà kẻ tấn công chỉ cần chưa tới ba giờ để lên quyền quản trị, thì cảnh báo tới nơi đã muộn.

Thứ ba, nó rẻ. Khi phần việc tốn công nhất được giao cho máy, tin tặc không còn phải chọn mục tiêu lớn nữa. Doanh nghiệp nhỏ trước đây được yên nhờ ít ai thèm để ý, nay mất dần lợi thế đó.

Tin này ảnh hưởng gì tới khách hàng ở Cà Mau và nên làm gì

Nói thẳng: nếu bạn là hộ kinh doanh, cửa hàng hay văn phòng nhỏ không thuê dịch vụ quản trị máy tính từ xa theo hợp đồng, thì bạn gần như chắc chắn không nằm trong danh sách nạn nhân của vụ này. Bạn không cần mua thêm phần mềm, không cần thay máy, không cần làm gì gấp trong đêm.

Nhưng có vài việc rất nên làm trong tuần này, vì chúng rẻ và chặn được đúng kiểu tấn công nói trên:

• Quản lý phần mềm điều khiển từ xa. UltraViewer, TeamViewer, AnyDesk chỉ nên bật khi thật sự cần hỗ trợ, tắt ngay sau khi xong, và đừng để chế độ tự khởi động cùng máy với mật khẩu cố định nhiều năm không đổi.
• Cảnh giác với cuộc gọi nhờ cài phần mềm điều khiển. Không có ngân hàng, cơ quan thuế hay nhà mạng nào gọi điện yêu cầu bạn cài phần mềm để họ điều khiển máy. Đây là chiêu lừa phổ biến nhất hiện nay ở các tỉnh.
• Bật xác thực hai lớp cho Gmail, tài khoản Microsoft, Zalo và ứng dụng ngân hàng. Đây là thứ duy nhất chặn được dò mật khẩu hàng loạt.
• Rà lại ứng dụng bên thứ ba đã được cấp quyền vào tài khoản Google hoặc Microsoft của bạn, gỡ những thứ không còn dùng. Đúng cửa mà vụ này đã đi vào.
• Để ý dấu hiệu bất thường: tài khoản email liên tục bị khoá tạm, có thông báo đăng nhập từ nơi lạ, máy tự chạy lúc không ai dùng.
• Đổi mật khẩu mặc định của đầu ghi camera và router. Phần lớn thiết bị bị chiếm quyền ở Việt Nam đều vì còn để mật khẩu theo máy.
• Sao lưu theo quy tắc 3-2-1: ba bản, hai loại thiết bị, một bản để nơi khác. Sao lưu tốt là thứ cứu bạn kể cả khi mọi thứ khác đã hỏng.

Nếu cửa hàng của bạn đang chạy hệ thống camera, máy tính tiền và mạng nội bộ dùng chung, chúng tôi có thể kiểm tra giúp phần cấu hình mạng và quyền truy cập khi tới bảo trì. Thiết bị mạng và nguồn điện ổn định cũng góp phần không nhỏ vào độ an toàn — bạn có thể xem qua nhóm thiết bị mạng, bộ lưu điện UPS và camera giám sát mà chúng tôi đang bán.

Những việc không cần làm

Chúng tôi muốn nói rõ phần này, vì sau mỗi tin an ninh mạng lớn là một đợt bán hàng theo nỗi sợ. Bạn không cần mua gói diệt virus đắt tiền vì vụ này — Windows Defender đi kèm Windows 11 đủ cho máy gia đình và cửa hàng nhỏ. Bạn không cần thay máy tính mới. Bạn không cần ngắt internet hay gỡ bỏ toàn bộ phần mềm điều khiển từ xa. Vụ tấn công này nhắm vào hạ tầng dịch vụ đám mây của doanh nghiệp, không nhắm vào máy tính cá nhân.

Câu hỏi thường gặp

Máy tính nhà tôi có bị ảnh hưởng không?

Gần như chắc chắn là không, trừ khi bạn hoặc công ty bạn có hợp đồng với một đơn vị dịch vụ công nghệ thông tin dùng ConnectWise Cloud Backup. Nếu không rõ, hãy hỏi thẳng đơn vị đang quản trị máy tính cho bạn.

Đổi mật khẩu có đủ không?

Đổi mật khẩu là tốt nhưng chưa đủ, vì kiểu tấn công này mượn quyền của ứng dụng chứ không dùng mật khẩu của bạn. Bật xác thực hai lớp và rà lại danh sách ứng dụng đã được cấp quyền mới là hai việc có tác dụng thật.

AI có làm tin tặc nguy hiểm hơn nhiều không?

Theo những gì báo cáo cho thấy, AI chưa tạo ra kỹ thuật tấn công mới, nhưng làm cho các kỹ thuật cũ chạy nhanh và rộng hơn rất nhiều. Hệ quả thực tế là thời gian phản ứng của bên phòng thủ bị rút ngắn.

Tawin có kiểm tra an toàn hệ thống cho cửa hàng không?

Có. Khi lắp đặt hoặc bảo trì, chúng tôi kiểm tra mật khẩu đầu ghi, cấu hình router, quyền chia sẻ thư mục trong mạng nội bộ và tình trạng sao lưu. Đây là phần nằm trong dịch vụ, không tính thêm phí.

Nếu bạn muốn chúng tôi rà soát lại máy tính, camera và mạng của cửa hàng, hoặc cần tư vấn cách sao lưu dữ liệu cho đúng, hãy gọi 0839 211 242 (hỗ trợ kỹ thuật) hoặc ghé Tawin Thế Giới Số, 100 Ngô Quyền, phường An Xuyên, TP. Cà Mau, mở cửa 7h30 – 17h hàng ngày.

Nguồn tham khảo

• Microsoft Security Blog – AI-driven, large-scale nation-state campaign using ARTEX (21/10/2026)
• The Hacker News – China-Linked Hackers Use ARTEX AI Agents in ConnectWise Supply Chain Attack
• SecurityWeek – China APT Uses AI Pentest Tool Artex in ConnectWise Attacks
• CyberScoop – Microsoft pins ConnectWise supply-chain attack to China-state aligned threat group