Phân tích chiến dịch tấn công Q2 2026: Khi M365 Token và RMM trở thành vũ khí Ransomware nguy hiểm

Bài viết được dịch và tổng hợp từ tin tức gốc. Bạn có thể đọc bài viết gốc bằng tiếng Anh tại đây.

Điểm tin nhanh:

• Kẻ tấn công đang chuyển dịch từ tấn công mật khẩu truyền thống sang đánh cắp Session Token của Microsoft 365 để vượt qua MFA.
• Các công cụ quản trị từ xa (RMM) bị lạm dụng để duy trì quyền truy cập và triển khai ransomware mà không kích hoạt cảnh báo hệ thống.
• Chiến lược phòng thủ hiện đại yêu cầu kiểm soát chặt chẽ thiết bị đầu cuối và giám sát hành vi bất thường thay vì chỉ dựa vào xác thực đa yếu tố.

Trong kỷ nguyên mà các hệ thống đám mây trở thành trung tâm vận hành, việc bảo mật tài khoản người dùng không còn là bài toán của riêng mật khẩu hay MFA. Báo cáo mới nhất từ Cisco Talos về các chuỗi tấn công trong quý 2 năm 2026 đã gióng lên hồi chuông cảnh báo về sự tinh vi của các nhóm tội phạm mạng khi chúng trực tiếp nhắm vào Session Token của Microsoft 365. Khi các rào cản bảo mật truyền thống bị vô hiệu hóa, việc hiểu rõ cách thức kẻ tấn công lạm dụng các công cụ quản trị hợp pháp như RMM để triển khai mã độc là kỹ năng sống còn đối với mọi kỹ sư hệ thống và chuyên gia bảo mật.

Sự trỗi dậy của kỹ thuật đánh cắp Session Token

Thay vì tốn công sức thực hiện các cuộc tấn công Brute-force hay Phishing mật khẩu thông thường, kẻ tấn công hiện nay ưu tiên việc chiếm đoạt Session Token. Bằng cách đánh cắp token này, chúng có thể mạo danh người dùng đã xác thực, từ đó bỏ qua hoàn toàn các bước kiểm tra MFA (Multi-Factor Authentication). Đây là một lỗ hổng nghiêm trọng trong kiến trúc xác thực hiện đại, nơi mà sự tiện lợi của việc duy trì phiên đăng nhập vô tình trở thành điểm yếu chí mạng.

Quy trình tấn công điển hình

Sơ đồ dưới đây mô tả cách thức kẻ tấn công chiếm quyền điều khiển phiên làm việc:

[Phishing/Malware] ---> [Đánh cắp Session Token] ---> [Import Token vào trình duyệt kẻ tấn công] ---> [Truy cập M365 mà không cần MFA]

Việc bảo mật các endpoint trong môi trường này đòi hỏi sự hiểu biết sâu sắc về cách thức các ứng dụng quản lý phiên làm việc. Nếu bạn đang phát triển các hệ thống tích hợp, việc tìm hiểu về Bảo mật Model Context Protocol (MCP) trong môi trường Production là một bước đi cần thiết để tránh những sai lầm tương tự trong việc quản lý xác thực.

Lạm dụng RMM: Khi công cụ quản trị trở thành vũ khí

Điểm đáng chú ý trong báo cáo của Cisco Talos là việc sử dụng các phần mềm Remote Monitoring and Management (RMM) để ngụy trang cho các hoạt động ransomware. Kẻ tấn công cài đặt các agent RMM hợp pháp lên máy nạn nhân, biến chúng thành bàn đạp để leo thang đặc quyền và triển khai mã độc tống tiền.

Lưu ý: Các công cụ RMM thường được whitelist trong các phần mềm EDR/Antivirus, khiến chúng trở thành công cụ hoàn hảo để kẻ tấn công ẩn mình dưới vỏ bọc quản trị viên hệ thống.

Việc kiểm soát các tiến trình chạy trên server là cực kỳ quan trọng. Đừng để hệ thống của bạn rơi vào tình trạng Khi AI vượt rào: Sự thật về bảo mật Sandbox và lỗi cấu hình hệ thống do sự thiếu hụt trong giám sát tiến trình.

Bảng so sánh các phương thức tấn công

Đánh giá & Lời khuyên Thực tiễn

Từ góc nhìn của một Senior Tech Lead, giải pháp cho vấn đề này không nằm ở việc thay đổi công cụ, mà ở việc thay đổi tư duy phòng thủ.

• Ưu điểm: Việc sử dụng Token giúp trải nghiệm người dùng mượt mà, giảm thiểu số lần đăng nhập lại.
• Nhược điểm: Token là đối tượng có giá trị cao nhất đối với kẻ tấn công. Nếu không có cơ chế kiểm soát thiết bị (Device Compliance), token này có thể bị sử dụng ở bất kỳ đâu.
• Lời khuyên: Hãy triển khai Conditional Access Policies nghiêm ngặt. Chỉ cho phép truy cập từ các thiết bị đã được quản lý (Managed Devices) và áp dụng các chính sách kiểm tra hành vi bất thường. Đừng quên rằng Khi Code Review thất bại: Bài học xương máu từ một cuộc kiểm thử thực tế về bảo mật luôn là minh chứng cho việc bảo mật cần được tích hợp từ khâu phát triển.

Câu hỏi thường gặp (FAQ)

Tại sao MFA không ngăn chặn được việc đánh cắp Token?

Vì Token được tạo ra sau khi MFA đã hoàn tất. Kẻ tấn công không cần vượt qua MFA, chúng chỉ cần lấy được Token đã được xác thực từ máy nạn nhân.

Làm thế nào để phát hiện RMM bị lạm dụng?

Cần giám sát các kết nối mạng bất thường từ các tiến trình RMM và kiểm tra danh sách các agent được cài đặt trên hệ thống định kỳ.

Có nên cấm hoàn toàn RMM trong doanh nghiệp?

Không, RMM là công cụ quản trị cần thiết. Thay vào đó, hãy giới hạn quyền truy cập vào bảng điều khiển RMM bằng IP Whitelist và yêu cầu xác thực mạnh cho quản trị viên.

Kết luận

Chiến dịch tấn công được Cisco Talos ghi nhận trong Q2 2026 là một lời nhắc nhở đắt giá về việc bảo mật không bao giờ là một trạng thái tĩnh. Việc bảo vệ Session Token và kiểm soát chặt chẽ các công cụ quản trị là ưu tiên hàng đầu. Hãy luôn chủ động cập nhật kiến thức bảo mật và tối ưu hóa quy trình vận hành hệ thống. Nếu bạn quan tâm đến việc xây dựng các hệ thống an toàn, hãy tham khảo thêm các bài viết về Kiến trúc xanh không phải là tấm khiên vạn năng: Tại sao kiểm thử tự động vẫn bỏ lọt lỗi nghiêm trọng để có cái nhìn toàn diện hơn. Đừng quên theo dõi hi_dev để cập nhật những xu hướng công nghệ bảo mật mới nhất.