Lỗ hổng bảo mật nghiêm trọng trong phần mềm SharePoint của Microsoft đang gây ra sự quan ngại lớn cho các chuyên gia an ninh mạng. Lỗ hổng zero-day, được biết đến với tên gọi ‘ToolShell’, có thể cho phép các tin tặc tấn công vào hệ thống của nhiều cơ quan chính phủ và doanh nghiệp đang sử dụng phần mềm này để chia sẻ tài liệu nội bộ.

Ông Adam Meyers, Phó Chủ tịch cấp cao của công ty an ninh mạng CrowdStrike, nhận định rằng bất kỳ tổ chức nào sở hữu máy chủ SharePoint được lưu trữ bên ngoài đều gặp phải vấn đề và đây là một lỗ hổng nghiêm trọng. Lỗ hổng này gây rủi ro cho các tổ chức có máy chủ SharePoint cài đặt tại chỗ, cho phép tin tặc truy cập đầy đủ vào các hệ thống tệp SharePoint, bao gồm cả các dịch vụ được kết nối như Teams và OneDrive.

Bộ phận Phân tích mối đe dọa an ninh mạng của Google cũng cảnh báo rằng lỗ hổng này có thể cho phép tin tặc vượt qua các bản vá trong tương lai. Trong khi đó, Microsoft xác nhận rằng dịch vụ SharePoint Online dựa trên đám mây của họ không bị ảnh hưởng bởi lỗ hổng này.

Tuy nhiên, ông Michael Sikorski, Giám đốc Công nghệ và Trưởng bộ phận Phân tích mối đe dọa an ninh mạng của Đơn vị Nghiên cứu bảo mật Unit42 tại Palo Alto Networks, cảnh báo rằng lỗ hổng vẫn đang đặt nhiều tổ chức, cá nhân vào tầm ngắm của tin tặc. Các tổ chức an ninh mạng quốc tế đã phát hiện ra cuộc tấn công quy mô lớn này đã xâm nhập hệ thống của khoảng 100 tổ chức khác nhau, bao gồm nhiều doanh nghiệp và cơ quan chính phủ.

Hầu hết các tổ chức bị ảnh hưởng đều ở Mỹ và Đức, trong đó có cả các tổ chức chính phủ. Trung tâm An ninh mạng quốc gia Anh cũng tuyên bố đã nắm được thông tin về một số lượng hạn chế các mục tiêu ở nước này.

CISA khuyến nghị bất kỳ máy chủ nào bị ảnh hưởng bởi lỗ hổng này cần ngắt kết nối với internet cho đến khi chúng được vá bảo mật. Điều này nhằm ngăn chặn các cuộc tấn công và bảo vệ thông tin của các tổ chức.

Hiện tại, các chuyên gia an ninh mạng đang nỗ lực để giúp các tổ chức bị ảnh hưởng khắc phục lỗ hổng bảo mật này. Đồng thời, các tổ chức cũng được khuyến cáo nên nâng cấp và cập nhật phần mềm SharePoint của Microsoft để giảm thiểu rủi ro.

Để biết thêm thông tin về lỗ hổng bảo mật này và cách khắc phục, vui lòng truy cập vào trang web của CrowdStrike và Palo Alto Networks để có thông tin cập nhật mới nhất.

Microsoft vừa phát hành một cảnh báo bảo mật khẩn cấp liên quan đến một chiến dịch tấn công mạng có chủ đích nhằm vào các hệ thống SharePoint Server on-premises. Chiến dịch này bắt đầu từ ngày 7/7/2025 và được thực hiện bởi ba nhóm tin tặc đến từ Trung Quốc, bao gồm Linen Typhoon, Violet Typhoon và Storm-2603.

Các cuộc tấn công này đã lợi dụng một chuỗi các lỗ hổng bảo mật nghiêm trọng trong hệ thống SharePoint Server. Những lỗ hổng này cho phép kẻ tấn công vượt qua cơ chế xác thực, thực thi mã từ xa và chiếm quyền kiểm soát hệ thống nội bộ của tổ chức. đặc biệt, vào ngày 18/7/2025, một trong những nạn nhân bị xâm nhập đã được xác định là Cơ quan Quản lý An ninh Hạt nhân Quốc gia Mỹ (NNSA), thuộc Bộ Năng lượng Hoa Kỳ.

Sau khi tiến hành điều tra, Microsoft đã xác định được bốn lỗ hổng bảo mật được khai thác trong đợt tấn công này, bao gồm CVE-2025-49706, CVE-2025-49704, CVE-2025-53770 và CVE-2025-53771. Những lỗ hổng này ảnh hưởng đến các phiên bản SharePoint Server 2016, 2019 và Subscription Edition cài đặt tại chỗ. Mặc dù chỉ một số hệ thống bị ảnh hưởng và chưa phát hiện ra rò rỉ dữ liệu mật, vụ việc này đã cho thấy quy mô và mức độ tinh vi của làn sóng tấn công.

Trước những rủi ro bảo mật này, Microsoft đã nhanh chóng phát hành các bản vá bảo mật tương ứng để bảo vệ hệ thống trước làn sóng tấn công. Ngoài ra, Microsoft cũng khuyến nghị các tổ chức triển khai ngay các biện pháp phòng thủ để ngăn chặn và giảm thiểu các cuộc tấn công. Các biện pháp này bao gồm kích hoạt AMSI ở chế độ Full Mode, trang bị Microsoft Defender Antivirus, xoay vòng khóa xác thực ASP.NET và khởi động lại dịch vụ IIS.

Cục An ninh mạng và An toàn Thông tin (CISA) đã thêm CVE-2025-53771 vào danh sách cần khắc phục khẩn cấp vào ngày 22/7/2025, với hạn chót thực hiện chỉ sau đó một ngày. Các chuyên gia an ninh mạng cũng cảnh báo rằng việc kết hợp giữa bypass xác thực và thực thi mã từ xa là công thức lý tưởng cho các chiến dịch tấn công mã hóa dữ liệu.

Do đó, việc cập nhật bản vá không còn là lựa chọn, đó là hành động sống còn trong bối cảnh kẻ tấn công đã có sẵn đường đi, chỉ chờ thời cơ để bước vào. Các tổ chức cần đặc biệt chú ý và thực hiện ngay các biện pháp bảo vệ cần thiết để salvaguage hệ thống và dữ liệu của mình.

Trước sự hồi phục nhanh chóng của tội phạm mạng sau các hoạt động triệt phá của cơ quan chức năng, Lumma Stealer – một trong những phần mềm đánh cắp thông tin nổi tiếng và phổ biến trên thế giới, đã chứng minh sự tồn tại dai dẳng của mình. Chỉ một tháng sau khi FBI thực hiện cuộc tấn công vào hệ thống của nó vào tháng 5, nhóm điều hành đã nhanh chóng triển khai lại hệ thống phân phối của phần mềm độc hại này. Không dừng lại ở đó, họ còn áp dụng những kỹ thuật ẩn mình tinh vi hơn để tránh sự phát hiện của các công cụ an ninh mạng.

Các nhà nghiên cứu an ninh mạng thuộc công ty Trend Micro đã phát hiện ra sự gia tăng trở lại đáng kể trong số lượng tài khoản bị tấn công bởi Lumma Stealer trong hai tháng gần đây, từ tháng 6 đến tháng 7. Điều này cho thấy mối đe dọa từ phần mềm độc hại này không hề suy giảm, ngược lại còn ngày càng tinh vi và lan rộng.

Lumma Stealer hoạt động dựa trên mô hình malware-as-a-service (mã độc như một dịch vụ), nơi phần mềm này được cung cấp cho các nhóm tội phạm mạng khác với hình thức thuê hoặc mua mà không cần yêu cầu họ có kiến thức kỹ thuật chuyên sâu. Khả năng của Lumma Stealer rất đáng sợ, nó có thể thu thập một lượng lớn dữ liệu nhạy cảm từ các hệ thống bị nhiễm, bao gồm thông tin đăng nhập, dữ liệu tài chính, dữ liệu duyệt web và các thông tin cá nhân quan trọng khác.

Phần mềm độc hại này được phát tán thông qua nhiều kênh và chiến thuật lén lút, trong đó có thể kể đến việc sử dụng phần mềm bẻ khóa, tạo ra các trang web lừa đảo, sử dụng quảng cáo độc hại và tận dụng các chiến dịch trên mạng xã hội để lây lan. Sự đa dạng trong phương thức phát tán làm cho việc phát hiện và ngăn chặn Lumma Stealer trở nên thách thức hơn bao giờ hết.

Trước những mối đe dọa ngày càng trở nên tinh vi của Lumma Stealer, các tổ chức cần có những biện pháp chủ động trong công tác tình báo mối đe dọa. Việc tăng cường hợp tác giữa các ngành an ninh mạng và cơ quan thực thi pháp luật là chìa khóa để theo dõi và ngăn chặn các biến thể của phần mềm độc hại này.

Ngoài ra, việc đào tạo nhân viên cách nhận diện và đề phòng các mối đe dọa từ những chiến dịch hoạt động của Lumma Stealer đã biết đến cũng là một bước đi quan trọng. Chỉ khi có sự chuẩn bị và phối hợp chặt chẽ, các tổ chức mới có thể giảm thiểu được rủi ro và tác động từ những cuộc tấn công mạng loại này.

Để có thêm thông tin về cách phòng tránh và đối phó với Lumma Stealer, bạn có thể tham khảo tại các trang web của Trend Micro và cơ quan chức năng liên quan.

Một cuộc tấn công mạng đã gây ra sự sụp đổ của công ty hậu cần Knights of Old Group của Anh (KNP Logistics) vào năm 2023. Câu chuyện về vụ việc này đã được làm thành bộ phim tài liệu Panorama và được tiết lộ chi tiết. Theo tờ The Times, cuộc tấn công bắt đầu từ ngày 26/6/2023 khi tin tặc đột nhập vào hệ thống mạng của công ty thông qua một tài khoản nhân viên với mật khẩu yếu.

Chúng nhanh chóng tiếp cận các hệ thống nhạy cảm và triển khai mã độc tống tiền. Không chỉ mã hóa dữ liệu, chúng còn đe dọa công bố thông tin nội bộ và dữ liệu khách hàng lên mạng, một chiến thuật tống tiền kép nhằm gia tăng áp lực buộc công ty phải trả tiền chuộc. Mặc dù Knights of Old tuân thủ các tiêu chuẩn bảo mật dữ liệu quốc tế và có bảo hiểm an ninh mạng, công ty vẫn không thể phục hồi sau những thiệt hại nặng nề về vận hành và uy tín.

Đến tháng 9/2023, công ty buộc phải ngừng hoạt động hoàn toàn, kết thúc hành trình 158 năm và để lại một khoảng trống trong ngành hậu cần Anh quốc. Khoảng 500 xe tải của công ty đã ngừng hoạt động, khiến 700 lao động mất việc sau khi nhóm tin tặc thực hiện cuộc tấn công. Công ty bảo hiểm an ninh mạng Solace Global đã nhận thông tin và xử lý ngay sáng hôm sau. Đại diện Solace cho biết nhóm kỹ thuật đã phát hiện toàn bộ dữ liệu của KNP đã bị mã hóa và các hệ thống quan trọng bị xóa sạch.

Theo công ty an ninh mạng Sophos, số vụ tấn công ransomware trên toàn cầu đã tăng 105% chỉ trong một năm, từ 2022 đến 2023. Các nhóm tin tặc ngày càng hoạt động có tổ chức và tận dụng dữ liệu đánh cắp để thực hiện các đòn tấn công có mục tiêu. Sự phụ thuộc ngày càng lớn của nền kinh tế toàn cầu vào hạ tầng số khiến các doanh nghiệp trở nên dễ bị tổn thương hơn trước các cuộc tấn công mạng.

Sự sụp đổ của Knights of Old là hồi chuông cảnh báo cho các doanh nghiệp. Để tránh rơi vào bi kịch tương tự, các doanh nghiệp cần ghi nhớ một số bài học sống còn. Đầu tiên, đầu tư vào các biện pháp bảo mật, bao gồm bảo mật điểm cuối nâng cao, giám sát hệ thống liên tục và có sẵn kịch bản ứng phó sự cố rõ ràng. Thứ hai, áp dụng xác thực đa yếu tố (MFA). Thứ ba, sao lưu dữ liệu định kỳ và duy trì bản sao lưu an toàn.

Thứ tư, đào tạo nhân viên thường xuyên để nâng cao nhận thức và kỹ năng ứng phó với các cuộc tấn công. Cuối cùng, cập nhật thông tin an ninh mạng để phát hiện sớm nguy cơ và các mối đe dọa. Chỉ khi các doanh nghiệp thực hiện nghiêm túc và đồng bộ các biện pháp này, họ mới có thể giảm thiểu rủi ro và bảo vệ mình trước những cuộc tấn công mạng ngày càng tinh vi và nguy hiểm.

Một loạt vụ tấn công mạng gần đây đã nhắm vào phần mềm quản lý tài liệu SharePoint của Microsoft, với Cơ quan An ninh hạt nhân quốc gia Mỹ (NSA) là một trong những mục tiêu chính. Mặc dù hệ thống của NSA đã bị xâm nhập, nhưng may mắn là không có dữ liệu mật hoặc thông tin nhạy cảm nào bị đánh cắp.

Các cuộc tấn công này nằm trong chiến dịch có tên ‘ToolShell’, cho phép tin tặc chiếm quyền kiểm soát hoàn toàn hệ thống và cài đặt cửa hậu (backdoor) để truy cập lâu dài. Mục tiêu của chiến dịch này không chỉ dừng lại ở Mỹ, mà còn nhắm vào các tổ chức tại Đức và một số nước châu Âu khác. Các tổ chức trong các lĩnh vực như chính phủ, công nghiệp quốc phòng, ngân hàng và y tế, sử dụng SharePoint, đã trở thành mục tiêu của tin tặc.

Sự phát triển của trí tuệ nhân tạo (AI) đã giúp tin tặc tạo ra các cuộc tấn công mạng tinh vi hơn. Một trong những phương thức tấn công phổ biến hiện nay là sử dụng email lừa đảo với nội dung tự nhiên giống như thật. Điều này đòi hỏi người dùng phải nâng cao cảnh giác và áp dụng các biện pháp bảo mật cần thiết để phòng tránh các cuộc tấn công mạng.

Các chuyên gia bảo mật khuyến cáo rằng, trong bối cảnh hiện nay, việc tăng cường các biện pháp bảo mật và cập nhật thường xuyên phần mềm là điều cần thiết. Hơn nữa, người dùng cũng cần được đào tạo để nhận biết và xử lý các tình huống lừa đảo trực tuyến. Qua đó, có thể giảm thiểu rủi ro và bảo vệ thông tin cá nhân cũng như tài nguyên của tổ chức.

Đối với các tổ chức và doanh nghiệp, việc đầu tư vào các giải pháp bảo mật và thường xuyên kiểm tra hệ thống là rất quan trọng. Chỉ khi có sự phối hợp chặt chẽ giữa các bên, mới có thể đối phó hiệu quả với những mối đe dọa ngày càng gia tăng trên không gian mạng.

Các chuyên gia an ninh mạng của Ukraine đã thực hiện một cuộc tấn công mạng mạnh mẽ vào cơ sở hạ tầng của Tập đoàn Gazprom, một trong những tập đoàn năng lượng hàng đầu của Nga. Cuộc tấn công diễn ra vào ngày 17/7, tập trung vào các hệ thống được Gazprom và các công ty con sử dụng. Theo thông tin từ tình báo quân sự Ukraine, Gazprom được cho là có liên quan trực tiếp đến việc hỗ trợ các hoạt động quân sự của Nga tại Ukraine.

Gazprom, với vị thế là tập đoàn năng lượng quốc doanh của Nga, nổi tiếng là một trong những nhà sản xuất và xuất khẩu khí đốt lớn nhất trên thế giới. Cuộc tấn công mạng do Ukraine thực hiện đã gây ra sự cố nghiêm trọng, dẫn đến việc phá hủy một lượng lớn dữ liệu và cài đặt phần mềm tùy chỉnh để gây thiệt hại thêm cho hệ thống thông tin của Gazprom.

Cuộc tấn công đã khiến quyền truy cập của gần 20.000 quản trị viên hệ thống trong hệ thống nội bộ của Gazprom bị vô hiệu hóa và xóa sạch các bản sao lưu của các cơ sở dữ liệu quan trọng. Sự cố này đã ảnh hưởng đến khoảng 390 công ty con và chi nhánh của tập đoàn, bao gồm cả Gazprom Teplo Energo, Gazprom Obl Energo và Gazprom Energozbyt.

Nhóm tấn công đã phá hủy cụm máy chủ cực mạnh, phần mềm chuyên dùng quản lý tài liệu và hợp đồng, dữ liệu phân tích cho các đường ống, van, máy bơm và hệ thống SCADA – những yếu tố then chốt để vận hành cơ sở hạ tầng kỹ thuật của Gazprom. Nhiều máy chủ của Gazprom dường như đã bị vô hiệu hóa hệ điều hành và BIOS của nhiều thiết bị đã bị hỏng, khiến chúng không thể hoạt động nếu không được sửa chữa vật lý.

Tờ Kyiv Independent không thể xác minh độc lập những tuyên bố này. Gazprom và chính quyền Nga chưa đưa ra bình luận công khai về vụ việc. Cuộc tấn công này, nếu được xác minh, sẽ đánh dấu một bước tiến mới trong chiến tranh mạng giữa Ukraine và Nga, đồng thời làm nổi bật sự phụ thuộc ngày càng tăng của các tập đoàn lớn vào an ninh mạng trong hoạt động của họ.

Gazprom, với vai trò quan trọng trong nền kinh tế Nga và là nguồn cung cấp năng lượng chính cho châu Âu, thường xuyên tìm cách tăng cường bảo vệ cơ sở hạ tầng quan trọng của mình trước các mối đe dọa mạng. Các chuyên gia an ninh mạng đang theo dõi chặt chẽ tình hình để đánh giá mức độ ảnh hưởng và xác định các biện pháp đối phó phù hợp.

Trong bối cảnh căng thẳng giữa Ukraine và Nga đang leo thang, các hoạt động mạng nhắm vào các mục tiêu trọng yếu như Gazprom có thể làm trầm trọng thêm tình hình. Kiev và Moscow hiện chưa đưa ra bình luận gì thêm về vụ tấn công mạng này.

Ngày 18/7, Trung tâm An ninh Mạng Quốc gia Anh (NCSC) đã công bố thông tin về việc phát hiện một công cụ gián điệp kỹ thuật số tinh vi, được cho là do tình báo quân đội Nga phát triển. Công cụ này được đặt tên là Authentic Antics và được phát triển bởi nhóm tin tặc APT28, thuộc đơn vị 26165 của Cơ quan Tình báo Quân đội Nga (GRU). Phần mềm độc hại này có khả năng tạo ra cửa sổ giả mạo để lừa người dùng đăng nhập vào tài khoản đám mây của Microsoft, từ đó lấy cắp thông tin.

Anh đã lên án tình báo quân đội Nga vì sử dụng công cụ gián điệp này và thông báo áp lệnh trừng phạt đối với 3 đơn vị 29155, 26165, 74455 của GRU cùng 18 sĩ quan của cơ quan trên. Những người này bị cáo buộc tham gia hỗ trợ các cuộc tấn công nhằm vào thành phố Mariupol trong xung đột tại Ukraine, do thám cựu điệp viên hai mang người Nga Sergei Skripal và con gái Yulia trước khi họ bị đầu độc bằng Novichok tại Anh hồi năm 2018.

London cũng cáo buộc các đơn vị 29155, 26165, 74455 đã nhắm vào các cơ quan truyền thông, nhà cung cấp dịch vụ viễn thông, hạ tầng năng lượng tại Anh và trên khắp châu Âu. Ngoài ra, Bộ Ngoại giao Anh cũng thông báo áp lệnh trừng phạt với 3 lãnh đạo của tổ chức ‘Sáng kiến châu Phi’, một tổ chức chuyên sản xuất nội dung trên mạng xã hội, được Nga tài trợ để tiến hành chiến dịch thông tin ở Tây Phi.

Ngoại trưởng Anh David Lammy cho biết: ‘Các điệp viên Nga đang thực hiện chiến dịch nhằm gây bất ổn cho châu Âu, làm suy yếu chủ quyền của Ukraine và đe dọa an toàn của công dân Anh.’

Đại sứ quán Nga tại London chưa bình luận về thông tin này. Anh nhiều lần cáo buộc Nga thực hiện hành động thù địch, từ gián điệp truyền thống đến phá hoại ngầm. Hồi đầu tháng, 3 người đàn ông bị kết tội phóng hỏa một doanh nghiệp có liên hệ với Ukraine ở London. Cảnh sát Anh cáo buộc những người này làm theo chỉ thị từ tập đoàn quân sự tư nhân Wagner của Nga.

Moskva từng bác bỏ các cáo buộc tương tự, cho rằng chúng có động cơ chính trị và khẳng định Nga không phải mối đe dọa với Anh.