Trong quý I/2024, toàn cầu ghi nhận khoảng 398 vụ tấn công ransomware có chủ đích nhắm vào các tổ chức. Chỉ một năm sau, con số này đã vọt lên 1.246 vụ – mức tăng trưởng khổng lồ chưa từng thấy trong lịch sử theo dõi loại hình tấn công này. Điều đáng lo ngại hơn là nhiều vụ việc chưa được công bố rộng rãi vì lý do bảo mật và danh tiếng, nghĩa là con số thực tế có thể còn cao hơn. Các cuộc tấn công không chỉ tập trung vào các tập đoàn lớn, mà còn lan rộng tới cả các doanh nghiệp vừa và nhỏ, thậm chí là các cơ quan nhà nước, trường học, bệnh viện và nhà cung cấp dịch vụ hạ tầng thiết yếu.

Nguyên nhân chính dẫn đến sự gia tăng này đến từ ba yếu tố: sự chậm trễ trong việc vá lỗ hổng bảo mật, sự phát triển mạnh mẽ của mô hình Ransomware-as-a-Service (RaaS) và các cuộc tấn công vào chuỗi cung ứng công nghệ. Theo phân tích của Corvus Insurance, có tới 32% các vụ tấn công trong quý I/2025 xuất phát từ việc tổ chức chưa cập nhật bản vá các lỗ hổng đã được phát hiện từ trước. Tin tặc lợi dụng những điểm yếu trong phần mềm, hệ thống điều hành và cấu hình mạng để xâm nhập vào mạng lưới của tổ chức, rồi âm thầm mã hóa dữ liệu và yêu cầu tiền chuộc. Trong khi đó, các nhóm tin tặc lớn như LockBit, Medusa hay Black Basta không còn hoạt động đơn lẻ mà cung cấp phần mềm mã độc như một dịch vụ thương mại, cho phép bất kỳ cá nhân hoặc nhóm nào cũng có thể triển khai ransomware với chi phí thấp nhưng hiệu quả gây thiệt hại rất cao.

Tình trạng này còn trở nên phức tạp hơn khi các cuộc tấn công chuỗi cung ứng trở thành xu hướng chủ đạo. Thay vì tấn công trực tiếp vào các mục tiêu có hệ thống bảo mật mạnh, tin tặc tìm cách xâm nhập vào các nhà cung cấp dịch vụ bên thứ ba hoặc các phần mềm phổ biến, rồi lây nhiễm mã độc tới hàng trăm tổ chức sử dụng các nền tảng đó. Cách thức tấn công gián tiếp này giúp tin tặc ẩn mình hiệu quả hơn và gia tăng quy mô tấn công một cách nhanh chóng. Điển hình là các chiến dịch gần đây nhắm vào hệ thống sao lưu, phần mềm quản trị từ xa hoặc các tiện ích quản lý thiết bị đầu cuối.

Tác động của các cuộc tấn công ransomware không dừng lại ở việc mất dữ liệu. Hậu quả kéo theo là vô cùng nghiêm trọng, cả về tài chính, danh tiếng và pháp lý. Trung bình, các tổ chức cần tới 258 ngày để phát hiện, phản ứng và khôi phục hoàn toàn sau một vụ tấn công ransomware. Thời gian ngưng trệ hoạt động này dẫn đến thiệt hại doanh thu, gián đoạn dịch vụ và mất niềm tin từ khách hàng. Nhiều doanh nghiệp đã lựa chọn trả tiền chuộc với hy vọng lấy lại dữ liệu và khôi phục hoạt động, nhưng thực tế cho thấy không ít trường hợp tin tặc vẫn công bố dữ liệu nội bộ, thậm chí bán thông tin cho bên thứ ba dù đã nhận tiền.

Không chỉ các doanh nghiệp tư nhân bị ảnh hưởng, nhiều tổ chức công như trường học, bệnh viện, cơ quan hành chính nhà nước cũng trở thành nạn nhân. Những hệ thống này thường thiếu nguồn lực để đầu tư bảo mật chuyên sâu và khó phục hồi sau khi bị tấn công. Đặc biệt trong lĩnh vực y tế, một số bệnh viện tại châu Âu và Mỹ đã phải chuyển bệnh nhân sang cơ sở khác hoặc tạm dừng tiếp nhận khám chữa bệnh vì hệ thống bị khóa hoàn toàn. Các dữ liệu sức khỏe điện tử, kết quả xét nghiệm, lịch điều trị bị mã hóa không thể truy cập, ảnh hưởng nghiêm trọng đến chất lượng dịch vụ và tính mạng bệnh nhân.

Trước tình hình đó, các chuyên gia khuyến cáo rằng mọi tổ chức cần lập tức rà soát lại toàn bộ hệ thống bảo mật. Việc cập nhật bản vá lỗ hổng, triển khai sao lưu dữ liệu cách ly và huấn luyện nhân viên về nhận diện rủi ro là những biện pháp tối thiểu cần thực hiện ngay. Việc áp dụng mô hình Zero Trust đang trở thành xu hướng bảo mật cần thiết trong thời đại tấn công không giới hạn như hiện nay. Đồng thời, các tổ chức cần đầu tư vào hệ thống phát hiện và phản ứng sớm với mối đe dọa (EDR/XDR), tăng cường kiểm tra nhật ký truy cập, giám sát hành vi bất thường trong hệ thống và sẵn sàng với một kế hoạch ứng phó sự cố đầy đủ và cập nhật.

Một điểm sáng trong tình hình này là sự hợp tác quốc tế ngày càng tăng nhằm triệt phá các mạng lưới ransomware hoạt động xuyên quốc gia. Một số chiến dịch truy quét đã được thực hiện bởi các lực lượng như FBI, Europol và Interpol, kết hợp với các công ty an ninh mạng để đánh sập hạ tầng máy chủ điều khiển và bắt giữ các đối tượng liên quan. Tuy nhiên, phần lớn các nhóm tấn công hiện nay đều sử dụng kỹ thuật che giấu danh tính tinh vi và đặt máy chủ tại các khu vực ngoài tầm kiểm soát pháp lý, khiến việc xử lý vẫn còn rất khó khăn.

Trong bối cảnh đó, điều cấp thiết nhất lúc này là nhận thức đầy đủ về mức độ nghiêm trọng của mối đe dọa ransomware. Không còn là vấn đề của riêng bộ phận công nghệ thông tin hay bộ phận kỹ thuật, an ninh mạng, mà giờ đây cần được xem là ưu tiên chiến lược của toàn bộ tổ chức. Các lãnh đạo doanh nghiệp, ban giám đốc và cả đội ngũ vận hành đều phải tham gia vào việc xây dựng văn hóa bảo mật, chủ động đánh giá rủi ro, và chuẩn bị cho kịch bản xấu nhất có thể xảy ra.

Với tốc độ phát triển hiện nay, ransomware không có dấu hiệu dừng lại. Nếu không có sự đầu tư tương xứng và hành động quyết liệt từ hôm nay, các tổ chức có thể sẽ là nạn nhân tiếp theo trong danh sách dài ngày càng tăng. Đã đến lúc chuyển từ tư thế bị động sang chủ động phòng ngừa vì trong thế giới số, mọi phút lơ là đều có thể trả giá bằng toàn bộ dữ liệu và tương lai của một tổ chức.