Mất dữ liệu dù đã cài phần mềm diệt virus là tình huống hoàn toàn có thể xảy ra trong quá trình doanh nghiệp vận hành máy tính, máy chủ, hệ thống NAS hoặc các nền tảng lưu trữ nội bộ.
Nguyên nhân là phần mềm diệt virus chủ yếu được thiết kế để phát hiện và xử lý mã độc trên thiết bị. Công cụ này không thể tự động ngăn chặn mọi hành vi lừa đảo, tài khoản bị đánh cắp, thao tác xóa nhầm, hỏng thiết bị lưu trữ hoặc các kết nối âm thầm truyền dữ liệu ra ngoài.
Phân biệt mất dữ liệu và rò rỉ dữ liệu
Mất dữ liệu và Rò rỉ dữ liệu là hai khái niệm thường được sử dụng lẫn nhau nhưng bản chất không giống nhau.
Mất dữ liệu là tình trạng doanh nghiệp không còn khả năng truy cập hoặc sử dụng dữ liệu. Nguyên nhân có thể là xóa nhầm, ghi đè, hỏng thiết bị, lỗi hệ thống hoặc dữ liệu bị ransomware mã hóa.
Rò rỉ dữ liệu là tình trạng dữ liệu bị truy cập, sao chép hoặc truyền ra ngoài mà không được phép. Doanh nghiệp vẫn có thể còn bản dữ liệu gốc nhưng thông tin đã rơi vào tay người không có thẩm quyền.
Một sự cố có thể đồng thời bao gồm cả mất dữ liệu và rò rỉ dữ liệu. Chẳng hạn, hacker có thể đánh cắp dữ liệu trước, sau đó kích hoạt ransomware để mã hóa dữ liệu trên hệ thống.
Việc phân biệt đúng giúp doanh nghiệp lựa chọn giải pháp phù hợp:
| Tình huống | Biện pháp trọng tâm |
| Mất dữ liệu do xóa nhầm hoặc ghi đè dữ liệu | Khôi phục dữ liệu và kiểm tra bản sao lưu |
| Ổ cứng, NAS hoặc RAID bị lỗi | Cô lập thiết bị và sử dụng dịch vụ khôi phục chuyên nghiệp |
| Dữ liệu bị ransomware mã hóa | Ứng cứu sự cố, khoanh vùng và phục hồi từ bản sao lưu an toàn |
| Dữ liệu bị truyền tới máy chủ độc hại | Giám sát, chặn kết nối đầu ra và điều tra nguồn thiết bị nhiễm mã độc |
| Nhân viên gửi dữ liệu qua email, USB hoặc dịch vụ đám mây | Kiểm soát quyền truy cập và triển khai giải pháp phòng chống thất thoát dữ liệu phù hợp |
Phần mềm diệt virus làm được gì?
Phần mềm diệt virus được thiết kế để phát hiện, ngăn chặn và xử lý các chương trình độc hại trên thiết bị đầu cuối.
Các sản phẩm hiện đại thường kết hợp nhiều phương pháp như đối chiếu mẫu nhận diện, quét thời gian thực, phân tích hành vi, kiểm tra danh tiếng tệp và khai thác dữ liệu đám mây.
Tuy nhiên, NIST lưu ý rằng sự đa dạng và khả năng tùy biến liên tục của mã độc làm gia tăng đáng kể khó khăn cho các công cụ nhận diện. Vì vậy, bảo vệ thiết bị đầu cuối chỉ nên được xem là một thành phần trong mô hình phòng thủ nhiều lớp và không thể ngăn chặn hoàn toàn việc mất dữ liệu.
| Phần mềm diệt virus có thể hỗ trợ | Phần mềm diệt virus không thể bảo đảm |
| Quét tệp, ứng dụng và tiến trình | Phát hiện 100% mã độc hoặc kỹ thuật tấn công mới |
| Cách ly hoặc loại bỏ mã độc đã nhận diện | Ngăn truy cập bằng tài khoản hợp lệ bị đánh cắp |
| Cảnh báo một số hành vi bất thường | Ngăn mọi hình thức gửi dữ liệu qua email, USB hoặc đám mây |
| Hạn chế mã độc lây lan trên thiết bị | Ngăn mất dữ liệu do hỏng ổ cứng hoặc lỗi hệ thống |
| Phát hiện một số biến thể ransomware | Khôi phục dữ liệu đã bị xóa, ghi đè hoặc mã hóa |
| Bảo vệ thiết bị đầu cuối | Kiểm soát toàn bộ kết nối dữ liệu từ mạng nội bộ ra Internet |
Nguồn: Tổng hợp từ NIST Publications
Do đó, “đã cài phần mềm diệt virus” không đồng nghĩa với “dữ liệu đã được bảo vệ toàn diện”.
Thực trạng doanh nghiệp vẫn chịu thiệt hại do tấn công mạng
Báo cáo của Hiệp hội An ninh mạng Quốc gia cho biết trong năm 2025, các hệ thống thông tin tại Việt Nam phải đối mặt với khoảng 552.000 cuộc tấn công mạng. Khảo sát hơn 5.300 cơ quan, tổ chức cho thấy 52,3% đơn vị từng chịu tổn hại do tấn công mạng, tăng từ mức 46,15% trong năm 2024.
Cũng theo khảo sát này, 51,87% đơn vị chưa có phần mềm phòng chống mã độc được quản lý tập trung và 8,71% hoàn toàn không sử dụng phần mềm diệt virus. Các số liệu cho thấy khoảng trống bảo mật không chỉ nằm ở việc có hay không có công cụ, mà còn nằm ở khả năng quản lý, giám sát và phối hợp giữa các lớp bảo vệ.
Ở phạm vi quốc tế, Verizon DBIR 2026 ghi nhận 48% các vụ vi phạm dữ liệu được phân tích có liên quan đến ransomware. Báo cáo cũng cho biết 31% vụ vi phạm bắt đầu từ việc khai thác lỗ hổng phần mềm, lần đầu vượt qua thông tin đăng nhập bị đánh cắp để trở thành phương thức xâm nhập phổ biến nhất.
Những số liệu này không có nghĩa phần mềm diệt virus không hiệu quả. Chúng cho thấy một công cụ đơn lẻ không thể bao phủ toàn bộ quá trình tấn công, từ xâm nhập, chiếm quyền, di chuyển trong hệ thống đến đánh cắp và phá hủy dữ liệu.
6 Nguyên nhân phổ biến gây mất dữ liệu dù đã cài phần mềm diệt virus
1. Người dùng bị lừa qua email hoặc đường dẫn giả mạo
Phishing là hình thức kẻ tấn công giả danh đối tác, khách hàng, lãnh đạo hoặc một nền tảng quen thuộc để lừa người dùng:
- Nhập mật khẩu vào một website giả.
- Tải xuống tệp đính kèm độc hại.
- Quét mã QR dẫn tới trang đăng nhập giả mạo.
- Cung cấp mã xác thực hoặc quyền truy cập từ xa.
- Thực hiện yêu cầu chuyển tiền hoặc gửi dữ liệu.
Microsoft Digital Defense Report 2025 cho biết 28% các vụ vi phạm mà đội ngũ ứng cứu của Microsoft điều tra bắt đầu từ phishing hoặc các kỹ thuật thao túng tâm lý người dùng.
Khi người dùng tự nhập thông tin đăng nhập hoặc cho phép một ứng dụng hoạt động, phần mềm diệt virus có thể không nhận diện được ngay đó là hành vi nguy hiểm, từ đó dẫn đến việc mất dữ liệu.
2. Mã độc hoặc kỹ thuật tấn công chưa được nhận diện
Phần mềm diệt virus thường hoạt động hiệu quả nhất khi đã có đủ dữ liệu để nhận diện tệp, hành vi hoặc hạ tầng độc hại.
Tuy nhiên, hacker có thể:
- Thay đổi mã nguồn để tạo biến thể mới.
- Sử dụng công cụ quản trị hợp pháp cho mục đích tấn công.
- Khai thác lỗ hổng chưa được vá.
- Vận hành ransomware từ một thiết bị không được quản lý.
- Thực thi mã độc từ xa mà không cài trực tiếp trên máy bị mã hóa.
Sophos ghi nhận một số cuộc tấn công ransomware từ xa có thể mã hóa tệp thông qua kết nối chia sẻ mạng, trong khi mã ransomware không trực tiếp chạy trên thiết bị chứa dữ liệu. Điều này có thể làm giảm khả năng quan sát của các công cụ chỉ bảo vệ thiết bị đầu cuối, dẫn đến lỗ hổng bảo mật và nguy cơ mất dữ liệu.
3. Ransomware đánh cắp dữ liệu trước khi mã hóa
Ransomware hiện đại không nhất thiết mã hóa dữ liệu ngay sau khi xâm nhập.
Kẻ tấn công có thể dành thời gian để:
- Khảo sát cấu trúc hệ thống.
- Tìm kiếm dữ liệu có giá trị.
- Chiếm thêm tài khoản quản trị.
- Làm suy yếu các công cụ bảo mật.
- Đánh cắp dữ liệu.
- Xóa hoặc làm hỏng bản sao lưu.
- Kích hoạt mã hóa và yêu cầu tiền chuộc.
Vì vậy, khi màn hình hiển thị thông báo đòi tiền chuộc, dữ liệu có thể đã bị truyền ra ngoài từ trước.
Sophos cũng cảnh báo xu hướng tội phạm sử dụng dữ liệu đã đánh cắp để gây sức ép ngay cả khi việc mã hóa không thành công hoặc không được thực hiện.
4. Tài khoản hợp lệ bị đánh cắp
Khi hacker đăng nhập bằng đúng tên người dùng, mật khẩu hoặc phiên đăng nhập hợp lệ, hoạt động truy cập ban đầu có thể trông giống hành vi bình thường.
Những tài khoản thường bị nhắm tới gồm:
- Email doanh nghiệp.
- VPN.
- Phần mềm quản trị khách hàng.
- Nền tảng lưu trữ đám mây.
- Tài khoản quản trị máy chủ.
- Tài khoản kế toán hoặc hệ thống nghiệp vụ.
Trong trường hợp này, doanh nghiệp cần kết hợp xác thực đa yếu tố, chính sách mật khẩu, phân quyền tối thiểu và theo dõi hành vi đăng nhập bất thường. Phần mềm diệt virus không thể thay thế các biện pháp quản lý danh tính và quyền truy cập.
5. Xoá nhầm, ghi đè hoặc hỏng thiết bị lưu trữ
Không phải mọi trường hợp máy tính mất dữ liệu đều liên quan đến hacker.
Dữ liệu có thể mất vì:
- Nhân viên xóa nhầm thư mục.
- File bị ghi đè bởi phiên bản cũ.
- Công cụ đồng bộ nhân bản lỗi trên nhiều thiết bị.
- Ổ cứng hỏng đầu đọc hoặc bề mặt đĩa.
- NAS gặp lỗi RAID.
- Máy chủ gặp sự cố nguồn điện hoặc nhiệt độ.
- Hệ thống tệp bị lỗi sau khi mất điện đột ngột.
Phần mềm diệt virus không có chức năng ngăn hỏng phần cứng hoặc khôi phục dữ liệu đã bị ghi đè. Doanh nghiệp cần xây dựng chính sách sao lưu, kiểm tra định kỳ khả năng phục hồi và có quy trình xử lý thiết bị lưu trữ gặp sự cố để tránh việc mất dữ liệu không đáng có.
6. Thiết bị âm thầm kết nối tới máy chủ điều khiển của hacker
Sau khi xâm nhập, mã độc có thể thiết lập kết nối từ mạng nội bộ tới máy chủ điều khiển và ra lệnh, thường được gọi là máy chủ C2.
Thông qua kết nối này, hacker có thể:
- Gửi lệnh tới thiết bị nhiễm mã độc.
- Tải thêm công cụ tấn công.
- Thu thập thông tin về hệ thống.
- Truyền dữ liệu bị đánh cắp ra ngoài.
- Duy trì quyền truy cập trong thời gian dài.
Nếu doanh nghiệp chỉ tập trung kiểm soát lưu lượng đi vào mà thiếu khả năng giám sát kết nối đi ra, hoạt động bất thường có thể tồn tại trong hệ thống mà chưa được nhận diện.
⏩ Đánh giá rủi ro rò rỉ dữ liệu miễn phí cùng FSI DDS để biết hệ thống dữ liệu của doanh nghiệp đang thiếu lớp bảo vệ nào.
Cần làm gì khi phát hiện máy tính mất dữ liệu?
Khi phát hiện bị mất dữ liệu hoặc có dấu hiệu bị truy cập trái phép, doanh nghiệp không nên vội vàng cài đặt lại hệ điều hành hoặc tiếp tục sử dụng thiết bị như bình thường.
Bước 1: Cô lập thiết bị có dấu hiệu bất thường
Ngắt thiết bị khỏi mạng nội bộ và Internet để hạn chế mã độc tiếp tục lây lan hoặc truyền dữ liệu ra ngoài.
Không nên tắt nguồn đột ngột trong mọi trường hợp. Với sự cố nghiêm trọng, đội ngũ công nghệ thông tin cần đánh giá việc bảo toàn dữ liệu tạm thời và chứng cứ số trước khi thao tác.
Bước 2: Xác định loại sự cố gây mất dữ liệu
Doanh nghiệp cần xác định dữ liệu đang:
- Bị xóa hoặc ghi đè.
- Không thể truy cập do lỗi thiết bị.
- Bị ransomware mã hóa.
- Bị sao chép hoặc truyền ra ngoài.
- Bị truy cập bằng tài khoản trái phép.
Mỗi tình huống mất dữ liệu đòi hỏi một phương án xử lý khác nhau.
Bước 3: Bảo toàn nhật ký và chứng cứ
Cần lưu lại cảnh báo, nhật ký firewall, lịch sử đăng nhập, địa chỉ IP, tên miền, thời điểm xảy ra sự cố mất dữ liệu và các thiết bị liên quan.
Không tự ý xóa file nghi ngờ, định dạng ổ cứng hoặc cài lại máy trước khi hoàn tất việc đánh giá, vì các thao tác này có thể làm mất dấu vết cần thiết cho hoạt động điều tra.
Bước 4: Kiểm tra bản sao lưu
Chỉ phục hồi dữ liệu từ bản sao lưu sau khi xác định bản sao không chứa mã độc và hệ thống đã được làm sạch.
Một bản sao lưu tồn tại nhưng chưa từng được thử phục hồi chưa thể được coi là phương án dự phòng đáng tin cậy.
Bước 5: Thay đổi thông tin đăng nhập có nguy cơ bị lộ
Ưu tiên các tài khoản email, VPN, quản trị hệ thống, lưu trữ đám mây và các tài khoản có quyền truy cập dữ liệu quan trọng.
Việc thay đổi mật khẩu nên được thực hiện trên thiết bị an toàn, đồng thời thu hồi các phiên đăng nhập đang hoạt động.
Bước 6: Kiểm tra kết nối dữ liệu đầu ra
Đội ngũ công nghệ thông tin cần rà soát các kết nối từ mạng nội bộ ra Internet để xác định:
- Thiết bị nào đang liên lạc với địa chỉ bất thường.
- Kết nối bắt đầu từ thời điểm nào.
- Lượng dữ liệu đã được truyền đi.
- Có dấu hiệu liên lạc với hạ tầng độc hại hay không.
Bảo vệ dữ liệu cần mô hình nhiều lớp
Không có một giải pháp đơn lẻ nào có thể ngăn chặn mọi sự cố mất dữ liệu.
Doanh nghiệp nên xây dựng hệ thống bảo vệ theo nhiều lớp:
| Rủi ro | Biện pháp phù hợp |
| Mã độc trên máy tính | Phần mềm diệt virus hoặc giải pháp bảo vệ thiết bị đầu cuối |
| Khai thác lỗ hổng | Cập nhật bản vá và quản lý tài sản công nghệ thông tin |
| Đánh cắp tài khoản | Xác thực đa yếu tố và quản lý quyền truy cập |
| Phishing | Đào tạo người dùng và bảo vệ email |
| Xóa nhầm, hỏng thiết bị | Sao lưu theo nguyên tắc 3-2-1 và kiểm tra phục hồi |
| Sao chép dữ liệu qua USB, email hoặc đám mây | Giải pháp phòng chống thất thoát dữ liệu và chính sách phân quyền |
| Kết nối tới máy chủ độc hại | Giám sát và kiểm soát kết nối dữ liệu đầu ra |
| Sự cố đã xảy ra | Quy trình ứng cứu, điều tra số và khôi phục dữ liệu |
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 được ban hành ngày 26/6/2025 và có hiệu lực từ ngày 1/1/2026. Điều này làm gia tăng yêu cầu đối với doanh nghiệp trong việc quản lý, xử lý và bảo vệ dữ liệu cá nhân.
IBM ước tính chi phí trung bình toàn cầu của một vụ vi phạm dữ liệu trong báo cáo năm 2025 là 4,44 triệu USD. Con số này không phải mức chi phí đại diện trực tiếp cho một doanh nghiệp SME tại Việt Nam, nhưng cho thấy thiệt hại của việc mất dữ liệu có thể bao gồm nhiều thành phần như gián đoạn vận hành, điều tra, phục hồi hệ thống, xử lý pháp lý và mất khách hàng.
F-DDH BOX bổ sung khả năng kiểm soát kết nối dữ liệu đầu ra
F-DDH BOX là gì?
F-DDH BOX là thiết bị an ninh mạng được thiết kế để giám sát các kết nối từ mạng nội bộ ra Internet.
Thiết bị được triển khai tại khu vực cổng kết nối Internet và có thể tích hợp với router, switch hoặc firewall hiện có. F-DDH BOX đối chiếu các địa chỉ IP và tên miền đích với cơ sở dữ liệu hạ tầng độc hại được cập nhật thường xuyên, từ đó phát hiện, chặn và cảnh báo những kết nối có nguy cơ liên quan đến máy chủ điều khiển mã độc.
Cơ chế Detect – Block – Notify của F-DDH BOX
1. Detect – Phát hiện
F-DDH BOX theo dõi các kết nối từ hệ thống mạng nội bộ ra Internet và đối chiếu điểm đến với cơ sở dữ liệu máy chủ độc hại.
Khi một máy tính hoặc thiết bị có dấu hiệu liên lạc với hạ tầng nguy hiểm, hệ thống ghi nhận và xác định kết nối cần xử lý.
2. Block – Chặn
Kết nối tới địa chỉ độc hại đã được nhận diện có thể được tự động chặn, góp phần hạn chế mã độc tiếp tục nhận lệnh hoặc truyền dữ liệu tới hạ tầng của kẻ tấn công.
3. Notify – Cảnh báo
F-DDH BOX gửi cảnh báo để đội ngũ phụ trách có cơ sở kiểm tra thiết bị nguồn, đánh giá mức độ ảnh hưởng và triển khai các bước khoanh vùng, điều tra hoặc xử lý tiếp theo.
Một trường hợp triển khai DDH BOX tại doanh nghiệp sản xuất ở Nhật Bản cho thấy thiết bị đã phát hiện các kết nối bất thường mà hệ thống trước đó chưa nhận biết, giúp đội ngũ công nghệ thông tin có thêm dữ liệu để điều tra và xử lý. Đây là trường hợp tham khảo tại thị trường Nhật Bản, không nên được hiểu là cam kết kết quả giống nhau đối với mọi hệ thống.
Khi nào doanh nghiệp cần F-DDH BOX để giảm nguy cơ mất dữ liệu?
Doanh nghiệp có thể cân nhắc triển khai F-DDH BOX khi:
- Đã có phần mềm diệt virus và firewall nhưng chưa giám sát đầy đủ kết nối dữ liệu đầu ra.
- Không có đội ngũ an ninh mạng chuyên sâu để theo dõi hệ thống liên tục.
- Đang lưu trữ dữ liệu khách hàng, hợp đồng, tài chính, bản vẽ kỹ thuật hoặc bí mật kinh doanh.
- Lo ngại thiết bị đã nhiễm mã độc và âm thầm kết nối tới máy chủ điều khiển.
- Muốn bổ sung một lớp kiểm soát mà không phải thay đổi toàn bộ kiến trúc mạng hiện có.
- Cần tăng khả năng phát hiện sớm và thu thập dữ liệu phục vụ điều tra sự cố.
Thời gian và phương án triển khai cụ thể cần được khảo sát dựa trên số lượng người dùng, băng thông, cấu trúc mạng, các thiết bị bảo mật đang có và phạm vi cần giám sát.
Kết luận
Phần mềm diệt virus là lớp bảo vệ cần thiết nhưng chưa đủ để giải quyết toàn bộ nguy cơ mất dữ liệu của doanh nghiệp.
Mất dữ liệu có thể xuất phát từ mã độc, ransomware, phishing, tài khoản bị đánh cắp, lỗi người dùng hoặc sự cố thiết bị. Trong khi đó, rò rỉ dữ liệu có thể diễn ra âm thầm thông qua những kết nối từ mạng nội bộ tới hạ tầng do hacker kiểm soát.
Doanh nghiệp cần kết hợp bảo vệ thiết bị đầu cuối, cập nhật bản vá, xác thực đa yếu tố, phân quyền, sao lưu, giám sát hệ thống và kiểm soát kết nối dữ liệu đầu ra.
F-DDH BOX bổ sung khả năng phát hiện, chặn và cảnh báo các kết nối tới hạ tầng độc hại, giúp doanh nghiệp chủ động hơn trong việc nhận diện và xử lý nguy cơ rò rỉ dữ liệu mà không phải thay đổi toàn bộ hệ thống bảo mật hiện có.
