Báo cáo CrowdStrike 2026: Tin tặc khai thác lỗ hổng trong vòng 24 giờ — AI đang đẩy nhanh các cuộc tấn công

Khoảng thời gian giữa lúc một lỗ hổng bị công khai và cuộc tấn công thực tế đầu tiên gần như đã biến mất. Báo cáo Săn lùng mối đe dọa năm 2026 của CrowdStrike, bao gồm nửa đầu năm, cho thấy 88% CVE có bằng chứng khai thác (proof-of-concept) được công bố đã bị sử dụng trong các cuộc tấn công thực tế trong vòng 48 giờ. Các nhóm đe dọa liên quan đến Trung Quốc, bao gồm VAULT PANDA và GENESIS PANDA, đã đạt tốc độ khai thác lỗ hổng ứng dụng web quan trọng chỉ trong 24 giờ – nhanh hơn hầu hết đội ngũ IT doanh nghiệp có thể đánh giá, chứ đừng nói đến vá lỗi.

Lỗ hổng React2Shell, được phát hiện đầu năm nay, đã tạo ra 800 đầu mối điều tra và xác nhận các vụ xâm nhập tại hơn 80 tổ chức nạn nhân chỉ trong bốn ngày kể từ khi công bố. Một nhóm riêng biệt khác có liên quan đến Trung Quốc, UMBRAL BISON, bắt đầu khai thác CVE-2026-31431 trong vòng 20 giờ; 94% các sự kiện tấn công liên quan được ghi nhận trong ngày đầu tiên. Đây không phải những trường hợp cá biệt – chúng đại diện cho nhịp độ tác chiến tiêu chuẩn mà giới tin tặc tài trợ bởi nhà nước đang vận hành.

Trí tuệ nhân tạo đang đẩy nhanh quá trình này hơn nữa, dù chưa đến mức giống như trong khoa học viễn tưởng. Sự thay đổi đe dọa AI lớn nhất có thể đo lường được nằm ở cả hai phía của chuỗi tấn công: các phát hiện bảo mật do AI-agent kích hoạt hiện tạo ra nhiều đầu mối mối đe dọa gấp 2,5 lần so với hoạt động thủ công, nhưng cùng một sự tự động hóa đó đang bị quay lại chống lại các tổ chức. Trong một chiến dịch LLMJacking được ghi nhận – nơi tin tặc đánh cắp thông tin xác thực API AI và vận hành chúng để kiếm lời – một hoạt động duy nhất đã tạo ra 200.000 yêu cầu API chỉ trong hai phút, mở rộng quy mô đánh cắp sức mạnh tính toán với tốc độ không thể thực hiện nếu thiếu tự động hóa.

Nhóm STARDUST CHOLLIMA của Triều Tiên đã chuyển từ gián điệp sang chuỗi cung ứng phần mềm vào tháng 6: 131 gói trong khung phát triển Mastra AI, được sử dụng rộng rãi bởi các nhà phát triển xây dựng ứng dụng AI, đã bị tiêm một phụ thuộc npm độc hại. Chiến dịch này phản ánh một canh bạc có tính toán rằng các công cụ AI – với tốc độ áp dụng nhanh và quy trình đánh giá bảo mật thường mỏng – mang lại bề mặt đầu độc năng suất cao. Một nhóm riêng biệt, ALTERED SPIDER, đã xâm phạm hơn 300 phụ thuộc phần mềm chỉ trong một ngày.

Kỹ thuật xã hội cũng theo kịp tốc độ. Lừa đảo qua giọng nói – nơi tin tặc giả mạo nhân viên IT hoặc giám đốc điều hành qua các cuộc gọi điện thoại – đã tăng gấp đôi trong nửa đầu năm 2026 so với sáu tháng trước đó. Nhóm được CrowdStrike theo dõi là SNARKY SPIDER đã chuyển từ chiếm đoạt tài khoản sang đánh cắp dữ liệu xác nhận trong vòng chưa đầy năm phút trong các sự cố được ghi nhận. Số lần tấn công giả mạo mã thiết bị (device code phishing) hàng tháng đã tăng gấp 15 lần trong sáu tháng qua, một kỹ thuật khai thác các luồng OAuth được sử dụng để xác thực ứng dụng trên TV thông minh và các thiết bị nhập liệu hạn chế.

Hàm ý thực tế cho bất kỳ ai sử dụng phần mềm – không chỉ các chuyên gia bảo mật – là cửa sổ vá lỗi hiệu quả giờ đây được tính bằng giờ. Các đội bảo mật doanh nghiệp từng dựa vào chu kỳ quản lý lỗ hổng truyền thống 30 ngày đang chạy một cuộc đua mà họ đã thua từ trước. Tội phạm mạng đám mây (eCrime) tăng 171% so với cùng kỳ năm trước, một con số mà CrowdStrike cho rằng một phần nhờ vào sự sẵn có của các công cụ AI phổ thông giúp hạ thấp rào cản cho các tác nhân tội phạm thiếu chuyên môn kỹ thuật sâu.

CrowdStrike hiện theo dõi 290 nhóm đối thủ có tên, tăng đáng kể so với các năm trước. Báo cáo lưu ý rằng việc xác định tác nhân đe dọa tự nó đã trở thành một nút thắt cổ chai: tốc độ của các chiến dịch hiện đại thường vượt quá công việc quy kết cần thiết để hiểu bạn đang phòng thủ chống lại cái gì. Các con số trong báo cáo năm 2026 không mô tả một mối đe dọa trong tương lai – chúng mô tả những gì đã và đang được đo lường mỗi ngày, trên hàng nghìn tổ chức.

Thẻ: an ninh mạng, chuỗi cung ứng, an toàn AI, CrowdStrike, LLMJacking, Triều Tiên