Tin tặc dùng AI tấn công Microsoft 365, có nơi bị chiếm quyền chỉ sau 3 giờ

Một chiến dịch tấn công mạng quy mô lớn đang khiến giới an ninh mạng đặc biệt chú ý khi tin tặc sử dụng tác nhân trí tuệ nhân tạo (AI) để tự động hóa nhiều công đoạn vốn phải thực hiện thủ công.

Hình minh họa

Đáng lo ngại, nhóm tấn công còn lợi dụng quyền truy cập của một dịch vụ sao lưu dữ liệu bên thứ ba để tiếp cận hệ thống Microsoft 365 của khách hàng, làm gia tăng nguy cơ đối với cơ quan chính phủ, doanh nghiệp và các tổ chức truyền thông.

Trong báo cáo công bố ngày 21.10.2026, Microsoft cho biết nhóm tin tặc được hãng định danh Storm-0940 đã triển khai chiến dịch nhắm vào hàng trăm tổ chức thuộc nhiều lĩnh vực trên toàn cầu. Microsoft đánh giá nhóm này có liên hệ với hoạt động được nhà nước Trung Quốc hậu thuẫn.

Đáng chú ý, nhóm sử dụng nền tảng kiểm thử xâm nhập tích hợp AI mang tên ARTEX để đẩy nhanh quá trình tìm kiếm mục tiêu, thử nghiệm khả năng truy cập và khai thác những quyền ứng dụng đã được cấp phép.

Tin tặc sử dụng AI, có nơi bị chiếm quyền truy cập chỉ sau chưa đầy 3 giờ

Theo Microsoft, Storm-0940 là nhóm tấn công mạng hoạt động từ năm 2021, từng sử dụng các phương thức như dò mật khẩu và khai thác ứng dụng có thể truy cập qua Internet để xâm nhập hệ thống của những tổ chức được nhắm mục tiêu.

Từ tháng 9.2026, nhóm này bắt đầu sử dụng ARTEX để tự động hóa hoạt động tấn công trên quy mô lớn, nhắm tới các tổ chức thuộc lĩnh vực hàng không vũ trụ, quốc phòng, ô tô, năng lượng, tài chính, chính phủ, pháp lý, sản xuất, truyền thông, quân sự, bán dẫn và công nghệ.

Khác với những công cụ quét bảo mật thông thường, ARTEX được thiết kế để kết hợp nhiều tác nhân AI, cho phép thực hiện liên tiếp các nhiệm vụ như thu thập thông tin, nhận diện hệ thống có thể khai thác, kiểm tra khả năng truy cập và triển khai những bước tiếp theo theo mục tiêu được thiết lập.

ARTEX vốn là một nền tảng mã nguồn mở phục vụ kiểm thử xâm nhập, hoạt động có thể được sử dụng hợp pháp để đánh giá an toàn hệ thống. Tuy nhiên, khi rơi vào tay các nhóm tấn công, những khả năng tự động hóa này có thể bị lợi dụng để triển khai hoạt động xâm nhập với tốc độ cao.

Điểm đáng lo ngại không chỉ nằm ở khả năng tìm kiếm lỗ hổng, mà còn ở việc AI có thể liên tục thực hiện nhiều bước kỹ thuật, đánh giá kết quả và thử các hướng tiếp cận khác mà không cần con người trực tiếp điều khiển từng thao tác.

Microsoft ghi nhận một số trường hợp Storm-0940 giành được quyền truy cập đặc quyền vào hạ tầng đám mây của tổ chức bị tấn công trong chưa đầy ba giờ kể từ khi bắt đầu nhắm mục tiêu.

Đây là khoảng thời gian rất ngắn đối với các đơn vị vận hành hệ thống công nghệ thông tin, bởi việc phát hiện, phân tích cảnh báo và phối hợp xử lý sự cố thường cần sự tham gia của nhiều bộ phận.

Ở một phần chiến dịch, các công cụ tự động tạo ra hơn 151.000 lần đăng nhập thất bại khi nhắm tới 327 tài khoản thuộc tám tổ chức. Có thời điểm hệ thống ghi nhận khoảng 2.900 lần xác thực thất bại mỗi phút.

Tuy nhiên, những lần thử đăng nhập trong đợt này không dẫn đến xác thực thành công theo dữ liệu Microsoft quan sát được.

Sự khác biệt giữa khối lượng tấn công và kết quả xâm nhập là chi tiết quan trọng. Mặc dù AI giúp tin tặc tăng tốc độ và mở rộng quy mô, phần lớn các mục tiêu được nhắm tới trong chiến dịch vẫn không bị xâm nhập thành công.

Dù vậy, tại một số tổ chức khác, nhóm tấn công đã giành được quyền truy cập đặc quyền, thậm chí thiết lập khả năng duy trì truy cập sau khi những biện pháp khắc phục ban đầu được triển khai.

Điều này cho thấy AI không nhất thiết tạo ra phương thức tấn công hoàn toàn mới, nhưng có thể khiến những kỹ thuật đã tồn tại trở nên nguy hiểm hơn nhờ tốc độ thực hiện và khả năng phối hợp nhiều công đoạn liên tiếp.

Lợi dụng dịch vụ sao lưu ConnectWise để tiếp cận Microsoft 365

Một trong những nội dung đáng chú ý nhất của báo cáo là việc Storm-0940 bị Microsoft xác định có liên quan đến sự cố an ninh mạng tại ConnectWise, nhà cung cấp dịch vụ quản lý công nghệ thông tin và sao lưu dữ liệu đám mây.

Sự cố liên quan đến ConnectWise Cloud Backup, nền tảng trước đây được biết đến với tên SkyKick, được nhiều đơn vị sử dụng để sao lưu và quản lý dữ liệu trong môi trường Microsoft 365.

Trong hoạt động thông thường, một doanh nghiệp có thể cấp quyền cho ứng dụng sao lưu bên thứ ba truy cập những dữ liệu cần thiết như thư điện tử, tài liệu và thông tin hệ thống. Việc này giúp dịch vụ thực hiện sao lưu định kỳ mà không cần người dùng liên tục đăng nhập hoặc xác nhận thủ công.

Tuy nhiên, nếu thông tin xác thực của ứng dụng bị chiếm đoạt, tin tặc có thể lợi dụng chính mối quan hệ tin cậy đã được thiết lập giữa nhà cung cấp dịch vụ và hệ thống khách hàng.

Theo kết quả điều tra, Storm-0940 đã sử dụng những danh tính ứng dụng bị xâm phạm để thực hiện hoạt động xác thực vào các môi trường Microsoft 365. Những truy cập này được thực hiện thông qua quyền ứng dụng đã được cấp trước đó, không nhất thiết phải đánh cắp mật khẩu của từng nhân viên.

Đây là đặc điểm khiến tấn công chuỗi cung ứng trở nên nguy hiểm. Thay vì phải tìm cách xâm nhập riêng từng doanh nghiệp, tin tặc có thể nhắm tới một nhà cung cấp phần mềm hoặc dịch vụ có quyền kết nối với nhiều khách hàng.

Microsoft cho biết công cụ ARTEX đã được sử dụng để tăng tốc hoạt động liên quan ConnectWise, với khả năng tiếp cận hơn 2.250 môi trường khách hàng và thực hiện số lượng lớn yêu cầu đăng nhập trong thời gian ngắn.

Trong một số môi trường bị ảnh hưởng, hệ thống ghi nhận các hoạt động tiếp theo thông qua Microsoft Graph, giao diện cho phép ứng dụng tương tác với dữ liệu và dịch vụ Microsoft 365.

Những hoạt động này bao gồm thu thập thông tin về tài khoản, kiểm tra quyền truy cập, thay đổi thông tin xác thực của ứng dụng và tìm cách điều chỉnh quyền quản trị.

Đặc biệt, việc bổ sung thông tin xác thực mới vào một ứng dụng khác có thể giúp kẻ tấn công tiếp tục duy trì quyền truy cập ngay cả khi kết nối ban đầu đã bị vô hiệu hóa.

Vì vậy, chỉ ngắt kết nối dịch vụ bị ảnh hưởng hoặc đổi mật khẩu tài khoản người dùng có thể chưa đủ để loại bỏ hoàn toàn nguy cơ nếu hệ thống đã xuất hiện những thay đổi trái phép về quyền ứng dụng.

Ngày 16.10, ConnectWise thông báo đang điều tra những hoạt động truy cập trái phép liên quan đến môi trường Cloud Backup. Công ty sau đó triển khai các biện pháp hạn chế truy cập, vô hiệu hóa thông tin xác thực liên quan và tạm ngừng một số dịch vụ để phục vụ khắc phục sự cố.

Đến ngày 21.10, ConnectWise cho biết đã bắt đầu khôi phục dịch vụ theo từng giai đoạn, sau khi tiến hành thay đổi thông tin xác thực và kiểm tra an toàn. Công ty khẳng định các kho lưu trữ bản sao lưu vẫn được mã hóa, cô lập và chưa có bằng chứng cho thấy những kho dữ liệu này bị truy cập trái phép.

Tuy nhiên, tình trạng an toàn của kho sao lưu không đồng nghĩa toàn bộ môi trường Microsoft 365 của khách hàng đều không bị ảnh hưởng.

Microsoft lưu ý việc một ứng dụng xuất hiện trong danh sách bị ảnh hưởng hoặc một yêu cầu xác thực thành công không đủ để khẳng định dữ liệu đã bị truy cập hay sao chép trái phép. Mức độ ảnh hưởng thực tế phải được xác định qua nhật ký hoạt động, những thay đổi quyền và dấu vết truy cập tài nguyên.

Microsoft cũng khẳng định hoạt động khai thác trong chiến dịch này không bắt nguồn từ việc hệ thống, sản phẩm hoặc dịch vụ của hãng bị xâm phạm.

Đến thời điểm công bố báo cáo, chưa có kết luận cuối cùng về toàn bộ phạm vi ảnh hưởng hoặc bằng chứng cho thấy dữ liệu của tất cả những tổ chức bị nhắm mục tiêu đã bị đánh cắp.

Cảnh báo với doanh nghiệp và cơ quan báo chí Việt Nam

Dù chưa có thông tin được xác nhận về tổ chức tại Việt Nam bị ảnh hưởng trực tiếp trong chiến dịch, phương thức tấn công lần này đặt ra vấn đề đáng quan tâm đối với các doanh nghiệp đang sử dụng Microsoft 365 và những dịch vụ tích hợp từ bên thứ ba.

Nhiều tổ chức hiện vận hành email công việc, lưu trữ tài liệu, trao đổi nội bộ và quản lý quy trình trên các nền tảng đám mây. Để hỗ trợ hoạt động, doanh nghiệp thường cho phép những ứng dụng ngoài hệ thống truy cập dữ liệu hoặc thực hiện các tác vụ thay mặt người dùng.

Những kết nối này có thể phục vụ sao lưu, quản lý tài khoản, đồng bộ dữ liệu hoặc bảo mật. Tuy nhiên, việc cấp quyền rộng hơn nhu cầu thực tế sẽ làm gia tăng rủi ro nếu một trong những nhà cung cấp gặp sự cố.

Đối với cơ quan báo chí, nguy cơ không chỉ giới hạn ở việc gián đoạn hoạt động email hoặc lưu trữ.

Các hệ thống Microsoft 365 có thể chứa kế hoạch sản xuất tin bài, tài liệu làm việc chưa công bố, danh sách đối tác, thông tin liên hệ của nguồn tin và những dữ liệu phục vụ quản trị tòa soạn.

Nếu ứng dụng bên thứ ba được cấp quyền truy cập sâu vào các kho dữ liệu này, sự cố tại nhà cung cấp có thể trở thành đường tiếp cận tới những thông tin vốn được bảo vệ bên trong tổ chức.

Đặc biệt, một số quyền ứng dụng có thể cho phép truy cập dữ liệu mà không cần nhân viên đang trực tiếp sử dụng tài khoản. Điều đó khiến việc chỉ theo dõi các lần đăng nhập thông thường của người dùng chưa đủ để nhận diện nguy cơ.

Với các tổ chức từng sử dụng ConnectWise Cloud Backup hoặc dịch vụ SkyKick trước đây, Microsoft khuyến nghị bộ phận công nghệ thông tin kiểm tra toàn bộ ứng dụng tích hợp, kể cả những kết nối đã ngừng sử dụng nhưng có thể vẫn còn thông tin xác thực hoặc quyền truy cập.

Việc rà soát cần bắt đầu từ lịch sử đăng nhập của tài khoản dịch vụ và danh tính ứng dụng trong hệ thống Microsoft Entra, thay vì chỉ kiểm tra tài khoản của nhân viên.

Bộ phận quản trị cũng cần xác định những ứng dụng mới được cấp quyền, thông tin xác thực mới được bổ sung, quyền quản trị bị thay đổi và những hoạt động bất thường liên quan đến Microsoft Graph.

Các dấu hiệu như truy cập hộp thư với tần suất bất thường, tải xuống nhiều tài liệu, thay đổi quyền truy cập hoặc thiết lập quy tắc tự động chuyển tiếp email cần được kiểm tra kỹ để xác định có hay không hoạt động trái phép.

Microsoft đặc biệt khuyến nghị lưu giữ nhật ký đăng nhập, lịch sử kiểm toán và các bằng chứng liên quan trước khi thực hiện những thay đổi không thể khôi phục.

Điều này có ý nghĩa quan trọng bởi việc vội vàng xóa toàn bộ ứng dụng hoặc thay đổi cấu hình mà không lưu chứng cứ có thể khiến quá trình điều tra sau đó gặp khó khăn.

Sau khi đã xác định được những thay đổi bất thường, đơn vị quản trị cần thu hồi quyền không cần thiết, thay thế thông tin xác thực có nguy cơ bị lộ và kiểm tra những tài khoản, ứng dụng khác có thể đã bị lợi dụng để duy trì truy cập.

Đối với các kết nối ConnectWise bị ảnh hưởng, doanh nghiệp cần tiếp tục giữ trạng thái vô hiệu hóa cho đến khi có hướng dẫn chính thức về việc khôi phục an toàn.

Về lâu dài, bài học lớn nhất từ sự cố không chỉ nằm ở việc sử dụng công cụ AI để tấn công, mà còn ở cách doanh nghiệp quản lý quyền truy cập của các nhà cung cấp bên thứ ba.

Một dịch vụ sao lưu, dù có vai trò bảo vệ dữ liệu, vẫn có thể trở thành điểm rủi ro nếu được cấp những quyền vượt quá nhu cầu hoặc không được theo dõi thường xuyên.

Việc kiểm kê toàn bộ ứng dụng kết nối, áp dụng nguyên tắc cấp quyền tối thiểu, giám sát tài khoản dịch vụ và xây dựng phương án ứng phó sự cố chuỗi cung ứng cần trở thành một phần trong quy trình an ninh mạng của tổ chức.

Chiến dịch Storm-0940 cũng cho thấy tốc độ là một yếu tố ngày càng quan trọng trong phòng thủ mạng. Khi AI giúp tin tặc rút ngắn thời gian từ lúc lựa chọn mục tiêu đến khi tìm cách chiếm quyền truy cập, các tổ chức không thể chỉ phụ thuộc vào kiểm tra định kỳ hoặc chờ người dùng phản ánh dấu hiệu bất thường.

Thay vào đó, hệ thống cần có khả năng phát hiện, cảnh báo và phối hợp xử lý nhanh những hành vi đáng ngờ, đặc biệt với các ứng dụng sở hữu quyền truy cập cao.

Trong bối cảnh AI đang được ứng dụng ngày càng rộng rãi, cuộc đua an ninh mạng không còn đơn thuần là phát hiện các kỹ thuật xâm nhập mới. Vấn đề lớn hơn là khả năng ứng phó với những cuộc tấn công quen thuộc nhưng được tự động hóa ở tốc độ vượt xa khả năng xử lý thủ công.

Với doanh nghiệp và cơ quan báo chí Việt Nam, sự cố lần này là lời nhắc cần đánh giá lại mức độ tin cậy và quyền truy cập của toàn bộ hệ sinh thái dịch vụ đám mây, thay vì chỉ tập trung bảo vệ tài khoản đăng nhập của từng nhân viên.