Tin tặc liên quan Trung Quốc dùng tác nhân AI tự động hóa tấn công, liên quan đến vụ tấn công chuỗi cung ứng ConnectWise, Microsoft cảnh báo

Chuyện gì đã xảy ra?

Ngày 21/10/2026 (giờ Mỹ), Microsoft cho biết nhóm Storm-0940 dùng một công cụ tên ARTEX để tự động tấn công. ARTEX vốn là công cụ kiểm thử xâm nhập mã nguồn mở, tức là phần mềm để kiểm tra lỗ hổng bảo mật. Khi ghép với AI, nó có thể tự làm gần như mọi bước, từ do thám đến lấy dữ liệu ra ngoài, mà gần như không cần người điều khiển. Microsoft cũng cho rằng Storm-0940 là thủ phạm vụ tấn công qua dịch vụ sao lưu đám mây của ConnectWise vào giữa tháng 10.

Những con số chính

• Storm-0940 hoạt động từ năm 2021 và bắt đầu dùng ARTEX khoảng tháng 9/2026.
• Nhóm này nhắm vào nhiều ngành: hàng không vũ trụ, quốc phòng, ô tô, tài chính, chính phủ, bán dẫn, phần mềm, truyền thông và các viện nghiên cứu.
• Có trường hợp từ lúc chọn mục tiêu đến khi giành quyền quản trị cao nhất mất chưa đến 3 giờ.
• Kẻ tấn công thử đăng nhập vào hơn 2.250 môi trường của tổ chức, với tốc độ khoảng 2.900 lần mỗi phút.
• Tại Nhật Bản, GMO Cybersecurity by Ierae cho biết khoảng 20 công ty Nhật bị nhắm tới, trong đó 8 công ty đã công bố rò rỉ thông tin trong tháng 9 và 10.

Vì sao AI làm tấn công nhanh hơn?

AI agent giống như một robot làm việc không biết mệt. Nó chạy suốt ngày đêm, thử nhiều đường vào cùng lúc. Vì vậy, thời gian từ lúc chọn mục tiêu đến lúc xâm nhập được rút ngắn rất nhiều. Trong vụ ConnectWise, kẻ tấn công lấy được thông tin đăng nhập của các ứng dụng hợp pháp rồi dùng quyền mà khách hàng đã cấp trước đó. Vì ứng dụng trông giống hàng thật, người dùng không cần đăng nhập vẫn có thể vào được môi trường của khách hàng. Microsoft nói sản phẩm của chính hãng không bị khai thác lỗ hổng.

Vì sao điều này quan trọng?

Tấn công bằng AI có thể đánh nhanh và đánh nhiều nơi cùng lúc, nên các tổ chức khó phản ứng kịp. Ngay cả khi một ứng dụng đã được xử lý, kẻ tấn công vẫn có thể để lại cửa hậu (đường vào bí mật) để quay lại sau. Microsoft cũng lưu ý rằng có dấu vết xâm nhập chưa chắc có nghĩa là dữ liệu đã bị xem hoặc lấy đi.

Cần làm gì và theo dõi điều gì?

• Nếu công ty dùng ứng dụng sao lưu đám mây của ConnectWise trong Microsoft 365, hãy giữ kết nối ứng dụng ở trạng thái tắt cho đến khi ConnectWise đưa ra hướng dẫn khôi phục chính thức.
• Không xóa ứng dụng ngay, vì làm vậy có thể mất bằng chứng điều tra.
• Kiểm tra nhật ký đăng nhập và nhật ký kiểm toán từ ngày 15/10 (nếu có thể thì từ ngày 1/10).
• Tìm thông tin đăng nhập hoặc thay đổi quyền mà không rõ nguồn gốc, rồi thu hồi quyền và đổi thông tin đăng nhập nếu phát hiện gian lận.
• Chỉ cấp cho ứng dụng bên ngoài quyền tối thiểu cần thiết và theo dõi liên tục các thay đổi với ứng dụng có quyền mạnh.