Bạn có bao giờ nhận được một lời mời dự hội thảo, một sự kiện học thuật danh giá, với nội dung chỉn chu, đúng chủ đề bạn quan tâm, và cảm thấy vinh dự vì được “chọn mặt gửi vàng”? Cảm giác được công nhận ấy rất dễ khiến người ta hạ thấp cảnh giác. Và đó chính xác là thứ mà những kẻ tấn công đang khai thác.
Trong nửa cuối năm 2026, một chiến dịch tấn công có chủ đích mang tên UAT-11985 đã nhắm vào các cá nhân có liên kết với những tổ chức nghiên cứu tại Đài Loan. Không phải bằng những email “hoàng tử Nigeria” sáo rỗng, mà bằng những lời mời sự kiện được cá nhân hóa tỉ mỉ, được cho là có sự hỗ trợ của trí tuệ nhân tạo để tạo ra nội dung nhanh chóng và thuyết phục. Mục tiêu cuối cùng không gì khác ngoài thông tin đăng nhập Google và mã xác thực đa yếu tố (MFA) của nạn nhân.
Hãy cùng tôi, SilverZ, mổ xẻ chiến dịch này từ gốc rễ. Bởi vì trong thế giới mà một cú nhấp chuột sai lầm có thể mở toang cánh cửa dữ liệu cá nhân, hiểu rõ thủ đoạn của kẻ tấn công không còn là kiến thức của riêng ai.
UAT-11985 là gì và tại sao nó đáng sợ?
UAT-11985 là tên định danh mà Cisco Talos dùng để theo dõi một chiến dịch tấn công có chủ đích (APT – Advanced Persistent Threat) nhắm vào các cá nhân thuộc các tổ chức nghiên cứu tại Đài Loan. Chiến dịch này được quan sát lần đầu vào giữa năm 2026, và điểm đáng sợ nằm ở chỗ nó không dựa vào lỗ hổng phần mềm để xâm nhập. Nó dựa vào lỗ hổng trong tâm lý con người.
Thay vì tấn công trực diện vào hệ thống, UAT-11985 xây dựng một lớp vỏ bọc hoàn hảo: những lời mời tham dự sự kiện học thuật, chính sách, địa chính trị với nội dung chỉn chu, được cho là đến từ các tổ chức danh tiếng như Taiwan European Union Centre, NCCU Institute of International Relations, hay Taiwan Research Institute. Kẻ tấn công thậm chí còn mạo danh người gửi để tăng độ tin cậy.
Điều khiến chiến dịch này trở nên nguy hiểm hơn các cuộc tấn công lừa đảo thông thường là sự kết hợp của nhiều kỹ thuật tinh vi: lời mời được cá nhân hóa, mã QR độc hại (quishing), và một khung đánh cắp thông tin trung gian (AitM) có khả năng vượt qua cả MFA. Đây không phải là một cuộc tấn công đơn lẻ. Đây là một chiến dịch có tổ chức, có tính toán và có khả năng mở rộng.
Giải phẫu lời mời sự kiện giả: Khi AI viết thư mời thay kẻ tấn công
Điều đầu tiên khiến UAT-11985 trở nên đáng chú ý là cách những email lừa đảo được soạn thảo. Theo phân tích của Cisco Talos, các email này có cấu trúc cú pháp gần như giống hệt nhau, bất chấp sự đa dạng của các chủ đề địa chính trị được đề cập. Điều này cho thấy nội dung được sản xuất hàng loạt từ một mẫu câu lệnh (prompt template) có thể tái sử dụng, thay vì được viết thủ công cho từng mục tiêu.
Cấu trúc ba phần của mỗi email lừa đảo gần như là một công thức:
- Phần mở đầu: Một đoạn mô tả “bóng bẩy nhưng quá mức cầu kỳ” về bối cảnh địa chính trị hoặc chính sách liên quan đến sự kiện. Đây là phần tạo dựng bối cảnh và uy tín giả tạo.
- Phần thứ hai: Nội dung được cá nhân hóa cho người nhận, tâng bốc họ bằng những lời lẽ có cánh nhằm kích thích sự tham gia. Đây là phần khai thác tâm lý háo danh và nhu cầu được công nhận.
- Phần thứ ba: Thông tin hậu cần của sự kiện, bao gồm chủ đề, ngày, địa điểm và hướng dẫn đăng ký. Đây là phần dẫn dụ nạn nhân thực hiện hành động.
Sự tái sử dụng gần như y hệt cấu trúc tự sự, phong cách tu từ, sự tâng bốc cá nhân hóa, mạo danh tổ chức và cơ chế đăng ký lừa đảo cho thấy rõ ràng đây là một chiến dịch có phối hợp và nhắm mục tiêu cẩn thận, chứ không phải là ba lời mời độc lập. Và với sự hỗ trợ của AI trong việc tạo nội dung, kẻ tấn công có thể nhanh chóng tạo ra những lời mời riêng biệt cho từng mục tiêu trong cùng một khuôn khổ kỹ thuật xã hội.
Quishing: Khi mã QR trên poster sự kiện trở thành cửa ngõ dẫn đến bẫy
Không dừng lại ở email, UAT-11985 còn mở rộng bề mặt tấn công sang một kỹ thuật tinh vi hơn: quishing – lừa đảo bằng mã QR.
Trong một số trường hợp, kẻ tấn công lấy chính những tấm poster sự kiện hợp pháp từ các website chính thống, nhưng thay thế mã QR gốc bằng một mã QR độc hại. Khi nạn nhân quét mã để “đăng ký” tham dự, họ bị dẫn đến trang web lừa đảo thay vì trang đăng ký thật.
Điều này mở rộng phạm vi tấn công vượt ra ngoài những người trực tiếp nhận email. Bất kỳ ai nhìn thấy tấm poster – có thể là bản in được dán ở hành lang hội nghị, hoặc được chia sẻ lại trên mạng xã hội – đều có nguy cơ trở thành nạn nhân thứ cấp. Một hình ảnh sự kiện trông hoàn toàn hợp pháp không hề đảm bảo rằng liên kết bên trong nó là an toàn. Đây là một lời nhắc nhở đau lòng rằng sự tin tưởng vào hình thức bên ngoài có thể là con dao hai lưỡi.
Khung AitM: Khi kẻ tấn công đứng giữa bạn và Google
Đây là phần kỹ thuật quan trọng nhất và cũng đáng sợ nhất của UAT-11985: khung tấn công trung gian (Adversary-in-the-Middle – AitM) được thiết kế để đánh cắp thông tin đăng nhập và mã MFA trong thời gian thực.
Khi nạn nhân nhấp vào liên kết trong email hoặc quét mã QR độc hại, họ được dẫn đến một trang web trông giống hệt Google Forms. Trang này hiển thị một cửa sổ bật lên yêu cầu đăng nhập bằng tài khoản Google để hoàn tất biểu mẫu. Khi nạn nhân làm theo, họ được chuyển đến một trang đăng nhập Google giả mạo – nhưng là một bản sao hoàn hảo đến từng pixel.
Điều xảy ra tiếp theo mới là phần tinh vi:
- Thu thập thông tin thiết bị: Trước khi thiết lập kết nối, đoạn mã JavaScript bị làm rối (obfuscated) thu thập thông tin về thiết bị và trình duyệt của nạn nhân – ngôn ngữ, user agent, kích thước màn hình, trạng thái thiết bị di động – và gửi về máy chủ điều khiển (C2) qua yêu cầu “google_login_start”.
- Chuyển tiếp thời gian thực: Khi nạn nhân nhập mật khẩu, trang lừa đảo gửi mật khẩu, cùng với định danh tài khoản và thông tin trình duyệt, đến máy chủ HTTP C2 của kẻ tấn công qua yêu cầu “google_login_check”. Máy chủ này, với vai trò trung gian, ngay lập tức chuyển tiếp thông tin đến máy chủ xác thực thật của Google.
- Kết nối WebSocket: Quá trình trao đổi được duy trì qua một kết nối WebSocket, cho phép kẻ tấn công nhận và chuyển tiếp các thách thức xác thực (bao gồm mã MFA) trong thời gian thực.
Kết quả là kẻ tấn công không chỉ lấy được mật khẩu. Chúng lấy được toàn bộ phiên đăng nhập đã được xác thực, bao gồm cả mã MFA. Nạn nhân có thể đã làm đúng mọi thứ – nhập mật khẩu mạnh, sử dụng MFA – nhưng vẫn bị chiếm tài khoản, bởi vì kẻ tấn công đứng giữa và chuyển tiếp mọi thứ một cách hoàn hảo.
Talos đánh giá với mức độ tin cậy trung bình rằng giao diện của bộ công cụ lừa đảo này ban đầu được phát triển bằng tiếng Trung giản thể, dựa trên kiến trúc bản địa hóa và thuật ngữ. Tuy nhiên, điều này không xác lập nguồn gốc của người vận hành.
Ai đứng sau và mục tiêu thực sự là gì?
Cisco Talos không đưa ra kết luận chắc chắn về danh tính của nhóm tấn công. Tuy nhiên, một số dấu hiệu đáng chú ý: chiến dịch nhắm vào các cá nhân có liên kết với tổ chức nghiên cứu tại Đài Loan, sử dụng các chủ đề địa chính trị và chính sách làm mồi nhử, và mạo danh các tổ chức học thuật có uy tín. Đây là những đặc điểm thường thấy ở các chiến dịch gián điệp mạng có động cơ chính trị hoặc tình báo.
Điều đáng lo ngại là sự kết hợp giữa AI tạo nội dung và kỹ thuật AitM cho phép kẻ tấn công mở rộng quy mô chiến dịch mà vẫn duy trì được tính cá nhân hóa. Những gì trước đây đòi hỏi hàng giờ đồng hồ soạn thảo thủ công cho từng mục tiêu giờ đây có thể được tạo ra hàng loạt, với chất lượng ngôn ngữ đủ tốt để đánh lừa cả những người nhận thức được về an ninh mạng.
Phòng chống UAT-11985 và các cuộc tấn công tương tự: Bạn cần làm gì?
Trước một chiến dịch tinh vi như vậy, cảm giác lo lắng là điều dễ hiểu. Nhưng thay vì hoảng sợ, hãy biến nó thành hành động. Dưới đây là những biện pháp cụ thể mà bất kỳ cá nhân và tổ chức nào cũng nên áp dụng:
1. Xác minh lời mời qua kênh độc lập
Nếu bạn nhận được một lời mời sự kiện qua email, đừng vội nhấp vào liên kết hay quét mã QR. Hãy liên hệ trực tiếp với tổ chức được cho là đã gửi lời mời qua một kênh khác – trang web chính thức, số điện thoại đã được xác minh, hoặc gặp trực tiếp. Đừng trả lời email đó. Đừng sử dụng thông tin liên hệ trong email đó. Hãy tự tìm kênh liên lạc chính thức.
2. Kiểm tra kỹ URL trước khi nhấp
Trong email lừa đảo, khi di chuột qua liên kết, URL hiển thị có thể trông giống Google Forms hợp pháp, nhưng địa chỉ thực sự mà liên kết trỏ đến lại là hạ tầng do kẻ tấn công kiểm soát. Hãy di chuột qua liên kết và đọc kỹ URL thực sự hiển thị ở góc dưới trình duyệt. Nếu có bất kỳ điểm nào đáng ngờ – tên miền lạ, lỗi chính tả, hoặc cấu trúc không giống Google – đừng nhấp.
3. Đừng tin vào mã QR chỉ vì nó nằm trên poster đẹp
Mã QR có thể bị thay thế dễ dàng. Một tấm poster sự kiện trông hoàn toàn hợp pháp không đảm bảo mã QR trên đó là an toàn. Khi quét mã QR, hãy kiểm tra URL mà điện thoại hiển thị trước khi mở. Và nếu có thể, hãy tự tìm kiếm sự kiện đó trên Google thay vì quét mã từ một nguồn không được xác minh.
4. Sử dụng MFA chống lừa đảo (phishing-resistant MFA)
UAT-11985 cho thấy MFA truyền thống – như mã OTP qua SMS hoặc ứng dụng xác thực – có thể bị vượt qua bởi AitM. Giải pháp bền vững hơn là MFA chống lừa đảo, chẳng hạn như khóa bảo mật vật lý (FIDO2/WebAuthn) hoặc passkey. Những phương thức này không thể bị đánh cắp qua một trang đăng nhập giả mạo, vì chúng dựa trên mật mã học gắn với tên miền thật.
5. Thu hồi phiên đăng nhập, không chỉ đổi mật khẩu
Nếu bạn nghi ngờ tài khoản của mình đã bị xâm phạm, đổi mật khẩu là chưa đủ. Kẻ tấn công có thể đã đánh cắp phiên đăng nhập đã được xác thực. Hãy thu hồi tất cả các phiên đăng nhập hiện có (đăng xuất khỏi mọi thiết bị) và kiểm tra các hoạt động đáng ngờ trong tài khoản của bạn.
6. Nâng cao nhận thức cho đội ngũ và cộng đồng
Những cuộc tấn công như UAT-11985 nhắm vào con người, không phải hệ thống. Đào tạo định kỳ về nhận diện lừa đảo, đặc biệt là các kỹ thuật mới như quishing và AitM, là khoản đầu tư cần thiết cho bất kỳ tổ chức nào. Và ở cấp độ cá nhân, hãy chia sẻ thông tin về những thủ đoạn này với bạn bè, đồng nghiệp và gia đình – bởi vì kiến thức được chia sẻ là tuyến phòng thủ mạnh mẽ nhất.
Khi sự tinh vi của kẻ tấn công buộc chúng ta phải thông minh hơn
Tôi đã chứng kiến ngành an ninh mạng thay đổi rất nhiều trong hai thập kỷ qua. Từ những email lừa đảo với lỗi chính tả rõ ràng, đến những chiến dịch được cá nhân hóa bằng AI và những khung AitM có khả năng đánh lừa cả những người am hiểu công nghệ nhất. Mỗi bước tiến của kẻ tấn công lại đòi hỏi một bước tiến tương ứng trong nhận thức và phòng thủ của chúng ta.
UAT-11985 là một lời nhắc nhở rằng sự tin tưởng mù quáng vào hình thức bên ngoài là một trong những lỗ hổng nguy hiểm nhất. Một email chỉn chu, một poster đẹp, một lời mời danh giá – tất cả đều có thể là vỏ bọc cho một cuộc tấn công. Và trong thế giới mà AI có thể tạo ra những lời mời hoàn hảo trong vài giây, khả năng dừng lại, đặt câu hỏi và xác minh trở thành kỹ năng sống còn.
Kẻ tấn công đang ngày càng tinh vi hơn. Nhưng chúng ta cũng vậy. Và trong cuộc chiến không có hồi kết này, người chiến thắng không phải là người có công cụ mạnh nhất, mà là người luôn cảnh giác và không ngừng học hỏi.
Bạn đã bao giờ nhận được một lời mời sự kiện qua email mà sau đó bạn mới nhận ra đó là lừa đảo chưa? Điều gì đã khiến bạn nghi ngờ – và nếu chưa từng gặp, bạn sẽ phản ứng thế nào nếu hôm nay nhận được một lời mời “quá đẹp để là thật” từ một tổ chức danh giá mà bạn chưa từng liên hệ trước đó? Hãy chia sẻ câu chuyện của bạn bên dưới, bởi vì trong cuộc chiến chống lại những kẻ tấn công ngày càng tinh vi này, kinh nghiệm của mỗi người là một mảnh ghép giúp cộng đồng an toàn hơn!
0 Comment
Add your comment to this article