"Các máy chủ trì hoãn biện pháp bảo mật đang bị nhắm mục tiêu trên diện rộng": CTO Luck cảnh báo giữa làn sóng truy cập trái phép liên tiếp

Chuyện gì đã xảy ra

Tại sự kiện KDDI SUMMIT 2026 ngày 28 tháng 10, CTO của Rack là Hiroaki Kuramochi nói về các cuộc tấn công mạng ở Nhật Bản. Ông cho biết các hệ thống được bảo vệ tốt phần lớn là an toàn. Nhưng những máy chủ mà người quản lý chưa kiểm tra lỗ hổng bảo mật thì bị tấn công hết lần này đến lần khác. Rack nói kẻ tấn công thường nhắm vào những hệ thống mà việc bảo mật đã bị trì hoãn. Ví dụ gồm máy chủ bỏ qua bước kiểm tra lỗ hổng, hệ thống không có WAF (tường lửa cho website), và hệ thống vẫn dùng phiên bản PHP cũ. Rack cũng thấy nhiều hoạt động của phần mềm độc hại đánh cắp thông tin (infostealer), loại phần mềm lấy tên đăng nhập và mật khẩu từ máy tính của nhân viên.

Những con số và sự kiện chính

• Sự kiện: KDDI SUMMIT 2026, ngày 28 tháng 10.
• Tại trung tâm giám sát bảo mật JSOC của Rack, hầu hết sự cố nghiêm trọng được phát hiện đầu tiên nhờ lưu lượng đáng ngờ đi ra khỏi mạng công ty.
• Ví dụ điểm yếu: máy chủ chưa kiểm tra lỗ hổng, hệ thống thiếu WAF, và hệ thống còn dùng PHP phiên bản cũ.
• Kẻ tấn công có thể lấy thông tin đăng nhập rồi đăng nhập mà không cần lợi dụng lỗi nào của máy chủ.

Vì sao chuyện này xảy ra

Kẻ tấn công luôn quét các máy chủ công khai để tìm điểm yếu. Nay AI và các công cụ tấn công làm việc này rẻ hơn, nhanh hơn và phạm vi rộng hơn. Việc tìm một điểm yếu và biến nó thành cuộc tấn công cũng tốn ít thời gian hơn. Vì vậy, việc cập nhật bảo mật theo lịch hằng tháng có thể không còn đủ nhanh. Ông Kuramochi cũng nói AI không tạo ra vấn đề hoàn toàn mới. Nó chỉ giúp dễ tìm và tấn công những điểm yếu cũ đã bị bỏ qua.

Vì sao điều này quan trọng

Chỉ bảo vệ từ bên ngoài có thể bỏ sót các cuộc tấn công dùng trộm thông tin đăng nhập. Vì vậy các công ty cũng cần theo dõi hoạt động lạ bên trong mạng của mình. Thông điệp chính rất rõ: đừng để những lỗ hổng cũ nằm im không ai kiểm tra, vì giờ kẻ tấn công có thể tìm ra chúng nhanh hơn rất nhiều.

Điều cần theo dõi

• Các công ty có chuyển từ cập nhật theo lịch sang vá lỗi nhanh hơn và liên tục hay không.
• Có thêm công ty nào gắn EDR (công cụ theo dõi thiết bị để phát hiện hành vi lạ) lên máy chủ hay không.
• Các công ty có chạy kiểm thử xâm nhập (thử tấn công có sự cho phép) để xem kẻ tấn công có thể đi xa đến đâu hay không.
• Các nền tảng máy chủ ảo dùng chung có được kiểm tra xem một hệ thống bị hack có lan sang hệ thống khác không.