Một sản phẩm của ORVANE
Góc nhìn của kẻ tấn công, dành cho người bảo vệ doanh nghiệp nhỏ.
ThinkLikeAHacker mổ xẻ từng kỹ thuật tấn công thật — dịch sang bối cảnh doanh nghiệp Việt Nam — để chủ shop, kế toán, admin IT kiêm nhiệm tự vá lỗ hổng trước khi bị khai thác. Không lý thuyết suông.
Vì sao khác với các kênh an ninh mạng khác
Kỹ thuật thật, không nói chung chung
Mỗi bài dựng lại đúng chuỗi tấn công — không dừng ở "hãy cẩn thận với mật khẩu".
Không lộ dữ liệu thật
Mọi case dùng dữ liệu giả định, ẩn danh hoàn toàn — không tên, không thương hiệu thật.
Không host bãi tập công khai
Thực hành được giao qua lab offline chạy tại máy bạn — an toàn cho cả người học lẫn người khác.
Bài mổ xẻ hằng tuần
8 kịch bản tấn công SME Việt Nam hay gặp nhất
Mỗi tuần một chuỗi tấn công thật, một checklist phòng thủ, và một phát hiện thật (đã ẩn danh) từ công cụ rà soát an ninh mạng secreview.
›
9 giờ sáng thứ Hai, kế toán nhận một email: "Hoá đơn tháng 10 — vui lòng xác nhận thanh toán trước 11h". Logo quen thuộc, chữ ký quen thuộc, file đính kèm tên "HoaDon_T10.pdf.exe". Chỉ 40 giây sau khi mở file, máy tính kế toán đã bị cài mã độc đánh cắp mật khẩu.
Đây không phải kịch bản tưởng tượng — đây là cách phần lớn các vụ chiếm tài khoản ở doanh nghiệp nhỏ bắt đầu. Kẻ tấn công không cần hack vào hệ thống. Chúng chỉ cần MỘT người bấm nhầm MỘT lần.
Chuỗi tấn công
- Thu thập email công khai của doanh nghiệp (website, fanpage, hồ sơ đấu thầu)
- Giả mạo email đối tác/nhà cung cấp quen thuộc, đính kèm file độc hại hoặc link giả
- Nạn nhân mở file/click link → mã độc chạy ngầm, thu thập mật khẩu lưu trong trình duyệt
- Kẻ tấn công đăng nhập email thật, gửi tiếp yêu cầu chuyển khoản giả cho kế toán/đối tác khác
Case minh hoạ xây dựng từ các kỹ thuật tấn công phổ biến thực tế, không phải sự kiện của một doanh nghiệp cụ thể.
Checklist nhận diện email giả
- Kiểm tra địa chỉ email người gửi đầy đủ — domain lạ hoặc sai 1 ký tự là dấu hiệu giả
- Không mở file đính kèm có đuôi kép (.pdf.exe, .docx.js)
- Di chuột vào link trước khi bấm, kiểm tra URL thật ở góc trình duyệt
- Yêu cầu thanh toán gấp → luôn xác minh lại qua kênh khác, không reply email
- Bật xác thực 2 lớp (MFA) cho toàn bộ email công ty
- Nhắc nhân viên: "gấp" + "tiền" + "link/file lạ" trong cùng email là dấu hiệu cảnh báo
Phát hiện lặp lại nhiều nhất trong các lượt rà soát gần đây: tài khoản quản trị email công ty không bật xác thực 2 lớp — chỉ cần lộ 1 mật khẩu, kẻ tấn công có toàn quyền trên toàn bộ hộp thư.
›
Một tin nhắn gửi đến trang Fanpage: "Trang của bạn vi phạm bản quyền, bấm vào đây để xác minh trong 24h nếu không sẽ bị khoá vĩnh viễn". Link dẫn đến một trang đăng nhập giống hệt Facebook/Zalo thật — chỉ khác đúng một ký tự trong tên miền.
Người quản trị trang, vì lo mất fanpage đã gây dựng nhiều năm, đăng nhập ngay. 2 phút sau, toàn bộ quyền quản trị rơi vào tay kẻ tấn công.
Chuỗi tấn công
- Giả danh "đội hỗ trợ" nền tảng, tạo cảm giác khẩn cấp
- Dẫn tới trang đăng nhập giả, giao diện giống thật 99%
- Nạn nhân nhập tài khoản/mật khẩu/OTP → mất quyền ngay lập tức
- Không bật 2 lớp → không có cách nào lấy lại nhanh
Case minh hoạ xây dựng từ kỹ thuật tấn công phổ biến thực tế, không phải sự kiện của một doanh nghiệp cụ thể.
Checklist bảo vệ fanpage/Zalo OA
- Bật xác thực 2 lớp cho tài khoản quản trị trang và tài khoản cá nhân quản lý
- Không đăng nhập qua link nhận từ tin nhắn/email — luôn tự gõ địa chỉ chính thức
- Thêm ít nhất 2 quản trị viên, không phụ thuộc 1 người/1 thiết bị
- Kiểm tra định kỳ danh sách quản trị viên, xoá tài khoản lạ hoặc nhân viên đã nghỉ
- Lưu sẵn giấy phép kinh doanh để xác minh nhanh nếu bị chiếm
- Tin nhắn "vi phạm chính sách" → kiểm tra trong mục Thông báo chính thức, không bấm link riêng
Tài khoản của nhân viên đã nghỉ việc vẫn còn quyền truy cập hệ thống — email, Drive, đôi khi cả trang quản trị fanpage. Rủi ro âm thầm vì không ai chủ động thu hồi quyền khi offboarding.
›
Nhân viên kho mở file "BangKe_DonHang.xlsm" từ email tưởng là của đối tác vận chuyển. Excel hỏi "Bật macro để xem đầy đủ nội dung?" — nhân viên bấm Bật. 3 giờ sau, toàn bộ ổ dữ liệu dùng chung bị mã hoá, kèm yêu cầu tiền chuộc.
Chuỗi tấn công
- File Excel/Word chứa macro độc hại, giả dạng chứng từ quen thuộc
- Nạn nhân bật macro → ransomware tải về từ máy chủ kẻ tấn công
- Lan sang toàn bộ ổ mạng dùng chung trong vài giờ
- Không có backup → mất trắng hoặc phải trả tiền chuộc
Case minh hoạ xây dựng từ kỹ thuật tấn công phổ biến thực tế, không phải sự kiện của một doanh nghiệp cụ thể.
Checklist backup 3-2-1 cho SME
- Giữ ít nhất 3 bản sao dữ liệu quan trọng (1 gốc + 2 bản sao)
- Lưu trên 2 loại phương tiện khác nhau (ổ cứng nội bộ + cloud)
- Ít nhất 1 bản sao lưu offline — ransomware không chạm được tới
- Tắt macro mặc định trong Word/Excel, chỉ bật khi chắc chắn nguồn an toàn
- Kiểm tra định kỳ bản backup có thực sự khôi phục được
- Phân quyền ổ dữ liệu chung — không phải ai cũng cần quyền ghi/xoá toàn bộ
Nhiều doanh nghiệp nhỏ không có quy trình backup rõ ràng — dữ liệu chỉ nằm trên một ổ cứng duy nhất, không ai kiểm tra có đang chạy sao lưu tự động hay không.
›
"Chào anh/chị, em bên ngân hàng X, tài khoản công ty mình vừa phát sinh giao dịch bất thường, anh/chị đọc giúp em mã OTP vừa gửi về ạ." Kế toán tin là đang được "bảo vệ", đọc mã OTP. 30 giây sau, một giao dịch chuyển khoản lớn được thực hiện — chính bằng mã OTP vừa đọc.
Chuỗi tấn công
- Thu thập thông tin cơ bản (tên công ty, một phần số tài khoản) từ rò rỉ dữ liệu
- Gọi điện giả danh ngân hàng/đối tác, tạo tình huống khẩn cấp
- Dẫn dắt nạn nhân tự đọc OTP hoặc tự thực hiện giao dịch "để xác minh"
- Giao dịch hoàn tất trong vài giây, không thể hoàn tác
Case minh hoạ xây dựng từ kỹ thuật tấn công phổ biến thực tế, không phải sự kiện của một doanh nghiệp cụ thể.
Checklist xác minh trước khi chuyển khoản/đọc OTP
- Ngân hàng KHÔNG BAO GIỜ gọi hỏi mã OTP — dấu hiệu lừa đảo 100%
- Yêu cầu liên quan tài khoản → cúp máy, tự gọi lại qua hotline chính thức
- Chuyển khoản trên một ngưỡng tiền nhất định cần xác nhận chéo ≥2 người
- Không chia sẻ số tài khoản, mã số thuế qua điện thoại cho người tự xưng "hỗ trợ"
- Lưu sẵn hotline chính thức của ngân hàng/đối tác lớn trong danh bạ
- Đào tạo nhân viên nhận diện combo "khẩn cấp + xác minh + OTP"
Nhiều doanh nghiệp không có quy trình phê duyệt 2 bước cho giao dịch lớn — một người có thể tự quyết và thực hiện chuyển khoản mà không cần xác nhận chéo.
›
Chủ shop kết nối Wi-Fi "Cafe_Free_Wifi" tại quán. Thực tế có 2 mạng trùng tên — một của quán, một do kẻ tấn công dựng lên bằng thiết bị nhỏ gọn, phát tín hiệu mạnh hơn. Toàn bộ dữ liệu không mã hoá đi qua thiết bị của chúng trước khi ra internet thật.
Chuỗi tấn công
- Dựng điểm phát Wi-Fi giả trùng hoặc gần giống tên mạng công cộng thật
- Nạn nhân kết nối vì tin là mạng của quán/toà nhà
- Toàn bộ lưu lượng mạng đi qua thiết bị kẻ tấn công
- Thu thập phiên đăng nhập, mật khẩu trên các trang không HTTPS chuẩn
Case minh hoạ xây dựng từ kỹ thuật tấn công phổ biến thực tế, không phải sự kiện của một doanh nghiệp cụ thể.
Checklist Wi-Fi an toàn
- Hỏi trực tiếp nhân viên quán tên Wi-Fi chính xác trước khi kết nối
- Dùng VPN khi làm việc trên Wi-Fi công cộng, đặc biệt khi đăng nhập hệ thống công ty
- Tắt tự động kết nối Wi-Fi đã lưu trên laptop/điện thoại công ty
- Đặt mật khẩu Wi-Fi văn phòng riêng biệt với Wi-Fi khách, đổi định kỳ
- Ưu tiên trang có HTTPS khi phải dùng mạng công cộng
- Với dữ liệu nhạy cảm, dùng 4G/5G thay vì Wi-Fi công cộng
Nhân viên đăng nhập hệ thống công ty từ nhiều địa điểm/thiết bị lạ mà không ai theo dõi hay cảnh báo — không có cách nào nhận ra đăng nhập bất thường.
›
Một khách hàng nhắn: "Em vừa chuyển khoản trên website của shop nhưng không thấy phản hồi". Kiểm tra thì phát hiện một website khác, giao diện giống hệt, tên miền khác một chữ cái, đang nhận đơn và nhận tiền thay.
Chuỗi tấn công
- Sao chép giao diện website thật (dễ vì mã nguồn công khai)
- Đăng ký tên miền gần giống (thêm/bớt 1 ký tự, đổi đuôi)
- Chạy quảng cáo hoặc gửi link để dẫn khách vào trang giả
- Thu tiền, không giao hàng, biến mất
Case minh hoạ xây dựng từ kỹ thuật tấn công phổ biến thực tế, không phải sự kiện của một doanh nghiệp cụ thể.
Checklist kiểm tra tên miền/SSL
- Đăng ký sẵn các biến thể gần giống tên miền chính nếu ngân sách cho phép
- Công khai RÕ RÀNG tên miền chính thức duy nhất trên fanpage, danh thiếp
- Bật chứng chỉ SSL cho website thật — dạy khách hàng cách kiểm tra
- Theo dõi định kỳ tên thương hiệu + "lừa đảo" trên công cụ tìm kiếm
- Phát hiện website giả → báo ngay nhà đăng ký tên miền và nền tảng quảng cáo
- Công bố cố định một số tài khoản nhận chuyển khoản duy nhất, không đổi theo đơn
Nhiều doanh nghiệp không theo dõi ai đang truy cập/chỉnh sửa được website hay trang bán hàng — quyền quản trị chia sẻ qua nhiều người, không ai nhớ hết danh sách.
›
Một nhân viên tạo Google Sheet quản lý khách hàng, chia sẻ link ở chế độ "Bất kỳ ai có link đều xem được" để tiện. File được forward qua nhiều nhóm chat, rồi lọt vào tay người ngoài — không cần "hack" gì cả.
Chuỗi tấn công
- File chứa dữ liệu nhạy cảm được chia sẻ "công khai với link" để tiện làm việc
- Link forward qua nhiều người, nhiều nhóm, vượt tầm kiểm soát
- Người ngoài có được link
- Dữ liệu bị xem, tải về, sao chép mà hệ thống không ghi nhận "xâm nhập"
Case minh hoạ xây dựng từ kỹ thuật tấn công phổ biến thực tế, không phải sự kiện của một doanh nghiệp cụ thể.
Checklist rà soát quyền chia sẻ Drive/Workspace
- Rà soát file/Sheet chứa dữ liệu khách hàng, đổi về "chỉ người được mời"
- Không dùng chế độ "Bất kỳ ai có link" cho dữ liệu cá nhân/tài chính
- Dữ liệu khách hàng chỉ lưu trong hệ thống có kiểm soát quyền rõ ràng
- Định kỳ hàng quý rà soát ai có quyền truy cập file quan trọng
- Bật cảnh báo khi file được chia sẻ ra ngoài domain công ty
- "Tiện chia sẻ" không đáng đánh đổi với rủi ro lộ dữ liệu khách hàng
Hàng chục file chia sẻ ở chế độ công khai nằm rải rác trong tài khoản Google Workspace của một doanh nghiệp mà không ai biết — không ai cố ý, chỉ là không có công cụ nào rà soát toàn bộ.
›
7 tuần qua, ThinkLikeAHacker đã mổ xẻ 7 kịch bản tấn công thật. Tổng hợp lại, 5 lỗ hổng lặp đi lặp lại nhiều nhất — không phải lỗi công nghệ cao siêu, mà là thói quen rất đời thường:
- Không bật xác thực 2 lớp (MFA) cho email, fanpage, hệ thống quản trị
- Tài khoản cũ không bị khoá khi nhân viên nghỉ việc
- Không có backup offline
- Không có quy trình xác minh 2 bước cho giao dịch tiền
- Chia sẻ file/dữ liệu ở chế độ công khai vì tiện
Không cái nào trong 5 lỗ hổng này cần đầu tư công nghệ đắt tiền để vá — chỉ cần biết nó tồn tại và sửa đúng chỗ. Vấn đề lớn nhất của doanh nghiệp nhỏ không phải là thiếu tiền, mà là không ai rà soát để biết mình đang hở ở đâu.
Checklist tổng hợp 7 tuần
- Bật MFA cho toàn bộ tài khoản quan trọng
- Có quy trình khoá tài khoản ngay khi nhân viên nghỉ việc
- Backup 3-2-1, ít nhất 1 bản offline, kiểm tra khôi phục được thật
- Giao dịch lớn cần xác nhận chéo ≥2 người
- Rà soát định kỳ quyền chia sẻ file, tắt "công khai với link"
- Xác minh qua kênh khác trước khi tin yêu cầu khẩn cấp
- Đào tạo nhân viên nhận diện: gấp + tiền + link/file lạ
5 lỗ hổng trên — bạn có chắc doanh nghiệp mình không mắc phải cái nào không? secreview rà soát toàn bộ Google Workspace/Microsoft 365 của bạn trong vài phút, chỉ ra chính xác đang hở ở đâu.
Kho checklist
Toàn bộ checklist ở một chỗ
Mỗi checklist nằm trong bài tương ứng ở trên — bấm "Sao chép checklist" để dán vào Zalo, Notes, hoặc gửi cho nhân viên.
Email giả
Fanpage/Zalo OA
Backup 3-2-1
Xác minh OTP
Wi-Fi an toàn
Tên miền/SSL
Quyền chia sẻ Drive
Tổng hợp 7 tuần
Giới thiệu
Dành cho ai
Chủ doanh nghiệp 5–50 nhân sự, admin IT kiêm nhiệm, kế toán/nhân sự hay bị nhắm social engineering, sinh viên CNTT muốn học thực chiến có bối cảnh thật. Không dạy hack để đi hack — dạy đủ để tự vá lỗ hổng trước khi bị khai thác.
Rà soát an ninh mạng secreview
Công cụ tự động kiểm tra Google Workspace/Microsoft 365 của bạn — không cần đội IT, không cần hiểu sâu kỹ thuật.
- Phát hiện tài khoản chưa bật xác thực 2 lớp
- Phát hiện tài khoản cũ chưa bị khoá
- Rà soát quyền quản trị dư thừa
- Rà soát file chia sẻ công khai