Chiêu lừa Microsoft 365 mới vượt qua xác thực đa yếu tố (MFA) — chứng tỏ đào tạo hiệu quả hơn công nghệ

Ngày: 1 tháng 7 năm 2026

Mỗi vài tháng lại xuất hiện một chiêu lừa mới nhắm vào Microsoft 365, lặng lẽ thay đổi luật chơi. Lần này đã nhận được một cảnh báo từ FBI, và nó thực sự đáng được chú ý. Nhưng bài học quan trọng nhất mà nó mang lại gần như chẳng liên quan tới chi tiết kỹ thuật của cuộc tấn công.

Bài học là thế này. Chiêu lừa Microsoft 365 này, còn được gọi là Kali365, không thua công nghệ của bạn. Nó thua ở con người của bạn. Và đó là vấn đề mà không một giấy phép phần mềm nào có thể tự mình giải quyết.

Trong nhiều năm, các tổ chức đã chi tiền cho công cụ. Tường lửa, endpoint protection và multi-factor authentication đã trở thành tiêu chuẩn. Việc đầu tư đó có ý nghĩa. Tuy nhiên, chiêu lừa này vẫn lẻn qua một trong những biện pháp kiểm soát mạnh nhất — MFA — mà không hề phá vỡ nó. Nó nhắm tới phần phòng thủ duy nhất mà nhà cung cấp không thể vá: con người đang ngồi trước bàn phím.

Nhắc nhanh về cách hoạt động

Cơ chế hoạt động đáng để hiểu, vì nó cho thấy chính xác tại sao đây là một vấn đề thuộc về con người.

Kali365 lợi dụng một tính năng chính chủ của Microsoft gọi là device code sign-in. Đây là quy trình cho phép bạn phê duyệt một lần đăng nhập cho thiết bị khó nhập liệu, ví dụ như smart TV. Kẻ tấn công bắt đầu một lần đăng nhập trên máy của họ và nhận một mã ngắn từ Microsoft. Họ sau đó gửi email cho nhân viên của bạn, đóng vai một dịch vụ đáng tin cậy, và yêu cầu người dùng nhập mã đó trên trang xác thực thực sự của Microsoft.

Bởi vì trang là xác thực, nhìn bên ngoài không có gì bất thường. Không có website giả để phát hiện. Không có đường link mờ ám để rê chuột kiểm tra. Người dùng nhập mã với thái độ thiện chí. Ngay khi họ làm vậy, Microsoft trao cho kẻ tấn công một access token hợp lệ. Kẻ xâm nhập giờ đã vào trong tài khoản, vượt qua MFA, và có thể đọc email và tệp trong nhiều tuần.

Không còi báo động nào kêu. Từ góc nhìn của hệ thống, một người dùng thật đã phê duyệt một lần đăng nhập thật. Hàng rào phòng thủ duy nhất có thể ngăn chặn việc này chính là quyết định của con người về việc có nên nhập mã hay không.

Công nghệ chặn máy móc — Chỉ con người mới chặn được trò lừa

Đây là cốt lõi của vấn đề. Kali365 thực chất không phải là một công cụ hack theo nghĩa truyền thống. Nó là một trò lừa bịp (confidence trick) thực hiện qua một hệ thống chính chủ. Nó hoạt động bằng thuyết phục, chứ không phải bằng sức mạnh kỹ thuật.

Bạn không thể mua một chiếc vé thoát khỏi confidence trick. Bạn chỉ có thể đào tạo để thoát khỏi nó. Một nhân viên dừng lại và suy nghĩ, “Tôi không bắt đầu bất kỳ lần đăng nhập nào, vậy tại sao tôi lại được yêu cầu phê duyệt?” sẽ đánh bại hoàn toàn cuộc tấn công này. Một nhân viên chưa từng được dạy hỏi câu đó thì không có cơ hội chống đỡ.

Chính vì vậy mà security awareness không thể được coi là một nhiệm vụ để “đánh dấu hoàn thành”. Nó phải thay đổi hành vi của con người khi chịu áp lực. Nó phải xây dựng một phản xạ đứng trên lòng mong muốn giúp đỡ và hành động vội vàng khi một email trông có vẻ chính thức.

Phản xạ ấy chính là điều mà NCSC Assured Cyber Security and Privacy Essentials training của chúng tôi được thiết kế để xây dựng. Khóa học dẫn dắt nhân viên không chuyên về những mối đe dọa thực tế họ phải đối mặt và giải thích bằng ngôn ngữ dễ hiểu. Nó đề cập tới online scams, tâm lý mà kẻ tấn công sử dụng, và những thói quen đơn giản ngăn chặn hầu hết các cuộc tấn công. Quan trọng là, nó xử lý trực tiếp yếu tố con người. Nhân viên hiểu vì sao họ bị nhắm tới và biết cách nhận ra thời điểm có điều gì đó không đúng.

Một mối đe dọa như Kali365 chính là kịch bản mà khóa đào tạo này chuẩn bị. Quy tắc đánh bại nó ngắn gọn và dễ nhớ. Nếu bạn không bắt đầu một lần đăng nhập, đừng bao giờ approve một mã, dù trang trông có vẻ hợp lệ đến đâu. Một lực lượng lao động đã nội tại hóa nguyên tắc đó đã đóng cánh cửa trước cuộc tấn công này.

Những quyết định quan trọng nhất xảy ra ở cấp lãnh đạo

Nhận thức của nhân viên chỉ là một nửa câu chuyện. Kali365 cũng đặt ra những câu hỏi khó cho ban lãnh đạo, và những câu hỏi đó không thể giao hoàn toàn cho đội IT xử lý.

Hãy cân nhắc những gì một doanh nghiệp phải quyết định để đối phó với mối đe dọa này. Có nên tắt device code flow trên toàn bộ tổ chức không? Những ngoại lệ chính đáng như kios chia sẻ sẽ bị ảnh hưởng nơi nào nếu làm vậy? Nhân viên phải báo cáo nhanh thế nào khi nghi ngờ đã xảy ra trượt tay, và kế hoạch là gì khi ai đó báo? Ai sẽ đứng ra chịu trách nhiệm nếu một mailbox bị xâm nhập và dùng để tấn công khách hàng?

Đây không phải là những lựa chọn thuần túy kỹ thuật. Chúng là quyết định doanh nghiệp mang theo hệ quả pháp lý, tài chính và danh tiếng. Chúng thuộc về phòng họp ban giám đốc. Tuy nhiên nhiều lãnh đạo cấp cao chưa từng được yêu cầu đưa ra quyết định như vậy trong áp lực thực tế. Họ hiểu rủi ro cyber ở dạng trừu tượng. Họ hiếm khi cảm nhận được cảm giác phải lãnh đạo khi một sự cố trực tiếp xảy ra, với thông tin thiếu và thời gian chạy ngược.

Đây là khoảng trống mà Crisis Management Training for Executives của chúng tôi được thiết kế để lấp đầy. Buổi đào tạo dành cho hội đồng quản trị, lãnh đạo cấp cao và người ra quyết định thay vì chuyên gia kỹ thuật. Nó tập trung vào các quyết định mà lãnh đạo phải sở hữu khi khủng hoảng ập đến. Nó giúp họ hiểu khi nào một sự cố trở thành khủng hoảng thật sự và điều gì thay đổi trong khoảnh khắc đó. Nó làm rõ ai làm gì giữa lãnh đạo, pháp chế, truyền thông và các bên liên quan khác. Và nó mang lại cho lãnh đạo sự tự tin để hành động quyết đoán thay vì đóng băng.

Một cuộc tấn công như Kali365 là ví dụ hoàn hảo cho lý do điều này quan trọng. Vấn đề kìm giữ kỹ thuật có thể chỉ mất vài phút. Phản ứng lãnh đạo, bao gồm cách bạn giao tiếp với nhân viên, khách hàng và cơ quan quản lý, có thể quyết định sự cố đó chỉ là ghi chú nhỏ hay thành tiêu đề lớn.

Security Awareness và Leadership phải phối hợp

Đây là điểm kết nối tất cả lại. Security awareness và executive readiness không phải là hai mối quan tâm tách rời. Chúng là hai nửa của cùng một lớp phòng thủ.

Một lực lượng lao động được đào tạo tốt làm giảm số sự cố khởi phát. Khi có sự cố lọt qua, lãnh đạo được chuẩn bị sẽ quyết định mức độ tồi tệ của nó. Một bên thiếu sẽ để lại khoảng trống nguy hiểm. Nhân viên nhận biết nhưng lãnh đạo không sẵn sàng sẽ báo lỗi vào một khoảng không. Lãnh đạo sẵn sàng nhưng nhân viên chưa được huấn luyện sẽ phải đối mặt với nhiều sự cố hơn để xử lý.

Kali365 cho thấy tại sao cả hai lớp đều cần tồn tại đồng thời. Cuộc tấn công bắt đầu với một người và một mã. Nó kết thúc bằng một quyết định về cách toàn tổ chức ứng xử. Mọi thứ ở giữa đều phụ thuộc vào phán đoán của con người.

Biến cảnh báo thành hành động

Cảnh báo của FBI về Kali365 sẽ sớm lắng xuống khỏi trang chính. Bài học nền tảng thì không. Kẻ tấn công đã nhận ra con đường nhanh nhất vượt qua công nghệ mạnh chính là bằng con người sử dụng nó. Cách tiếp cận này sẽ không biến mất. Nếu có, nó sẽ còn gia tăng khi nhiều toolkit tội phạm kiểu này xuất hiện hơn.

Phản ứng khôn ngoan là tăng cường lớp phòng thủ con người với cùng mức nghiêm túc như bạn áp dụng cho công nghệ. Điều đó có nghĩa là trang bị cho mọi nhân viên khả năng nhận diện một nỗ lực thao túng. Nó cũng có nghĩa là luyện cho lãnh đạo phản ứng tốt khi awareness thôi chưa đủ.

Tại Cyber Management Alliance, đây là công việc chúng tôi làm mỗi ngày. Cyber Security and Privacy Essentials training của chúng tôi xây dựng sự tỉnh táo hàng ngày để chặn các cuộc tấn công như Kali365 ngay từ cú click đầu tiên. Crisis Management Training for Executives chuẩn bị cho lãnh đạo đưa ra quyết định đúng đắn dưới áp lực thực tế. Kết hợp lại, họ biến con người từ điểm yếu lớn nhất thành lớp phòng thủ mạnh nhất của bạn.

Kali365 nhắc nhở rằng cyber security không bao giờ chỉ là về máy móc. Nó luôn là về con người. Những tổ chức coi trọng sự thật này sẽ là những tổ chức vượt qua các sự cố như thế này an toàn.

Đừng chờ một chiêu lừa như thế này kiểm tra đội ngũ của bạn. Microsoft 365 device code scam thành công khi con người chưa sẵn sàng và lãnh đạo chưa luyện tập phản ứng. Chúng tôi giúp bạn khắc phục cả hai.

Cyber Security and Privacy Essentials training của chúng tôi xây dựng sự cảnh giác hằng ngày trong toàn lực lượng lao động, trong khi Crisis Management Training for Executives chuẩn bị lãnh đạo của bạn đưa ra quyết định sáng suốt dưới áp lực thực tế. Đặt một cuộc gọi khám phá với chúng tôi ngay hôm nay và biến con người thành lớp phòng thủ mạnh nhất của bạn.

Liên hệ Softribution ngay hôm nay để được tư vấn hoặc để mua các giải pháp bảo mật phù hợp cho tổ chức của bạn.