Phishing 3.0: Cuộc đối đầu giữa các Agent với Agent
Hầu hết các hệ thống bảo mật email hiện nay vẫn hoạt động theo cách thức cũ từ một thập kỷ trước: quét nội dung, phát hiện thành phần mã độc và chặn lại. Phương pháp này từng hiệu quả khi mối đe dọa nằm ở chính nội dung truyền tải - ví dụ như một đường link hay tệp đính kèm nhiễm mã độc. Tuy nhiên, nó đã mất đi hiệu quả khi mối đe dọa chuyển sang nằm ở "ý đồ" của thông điệp, và hiện đang thất bại khi người gửi không còn là con người nữa.
Từ nội dung xấu, ý đồ xấu đến cuộc đối đầu giữa các hệ thống AI
Phishing 1.0 có đặc trưng là gửi đi các nội dung độc hại: các link xấu, tệp đính kèm chứa mã độc và spam. Các cổng bảo mật email (Secure Email Gateways) được xây dựng để đối phó với loại hình này: quét tin, đối chiếu chữ ký số và loại bỏ các thành phần độc hại. Vấn đề của kỷ nguyên đó về cơ bản đã được giải quyết.
Phishing 2.0 chuyển trọng tâm sang ý đồ xấu (intent). Các hình thức tấn công bao gồm xâm nhập email doanh nghiệp (BEC), mạo danh lãnh đạo, giả mạo hóa đơn và lừa đảo chuyển tiền. Không có mã độc hay file nguy hiểm nào để quét; thay vào đó là các kỹ thuật social engineering được ngụy trang khéo léo thành yêu cầu thông thường từ một người mà bạn tin tưởng. Các cổng bảo mật truyền thống hoàn toàn "mù mờ" trước kiểu tấn công này vì nội dung thư không chứa dấu hiệu bất thường và như vậy không có gì để phát hiện. Chỉ có phân tích hành vi mới có thể nhận diện được chúng; đó là lý do tại sao nhiều chuyên gia đã dành phần lớn thập kỷ qua để phát triển các hệ thống AI có khả năng học hỏi và hiểu rõ cách thức giao tiếp thực tế của nhân viên trong tổ chức.
Phishing 3.0 là giai đoạn tấn công đa kênh được vận hành bởi AI. Công nghệ AI tạo sinh (GenAI) được sử dụng để soạn thảo nội dung dẫn dụ, trong khi công nghệ Deepfake đưa hình thức lừa đảo này sang cả kênh sử dụng voice và video. Chiến dịch tấn công diễn ra đồng thời trên nhiều nền tảng: email, các tool làm việc cộng tác và cả các cuộc gọi trực tiếp. Attacker không còn là một cá nhân ngồi gõ phím thủ công nữa; thay vào đó, các agent ngày càng trở nên phổ biến với khả năng tự nghiên cứu, soạn thảo, gửi thư và tự điều chỉnh chiến thuật tấn công.
Giai đoạn thứ ba đã làm thay đổi hoàn toàn “chi phí” và quy mô của một cuộc tấn công.
Kẻ tấn công giờ đây vận hành các AI agent
Trước đây, công đoạn thăm dò thường tiêu tốn nhiều thời gian của attacker. Một người thật sẽ phải đọc nội dung website, thu thập thông tin tuyển dụng, lập sơ đồ các nhà cung cấp và nghiên cứu thông tin về các lãnh đạo có uy tín trên mạng xã hội trước khi soạn thảo được một nội dung đủ thuyết phục. Agentic AI giờ đây đã loại bỏ chi phí thời gian đó. Một AI agent có thể tóm tắt các dấu vết trực tuyến của bạn, trích xuất dữ liệu từ GitHub và tài liệu kỹ thuật trên cloud, xác định sơ đồ nhân sự, rồi tạo ra một kịch bản phishing được cá nhân hóa cho mục tiêu cụ thể chỉ trong vài giây và sau đó lặp lại quy trình này cho 10.000 mục tiêu tiếp theo.
Chất lượng của các hành vi lừa đảo cũng được nâng cao. Những email phishing vụng về, đầy lỗi chính tả đang dần biến mất, nhường chỗ cho các hình thức lừa đảo có khả năng tương tác và duy trì cuộc hội thoại dài hơn. Microsoft đã theo dõi các nền tảng phishing tạo ra hàng chục triệu nội dung mỗi tháng; đồng thời, trong một cuộc khảo sát độc giả của Dark Reading vào năm 2026, 48% chuyên gia bảo mật đã xếp agentic AI là phương thức tấn công hàng đầu trong năm, vượt qua cả deepfake và các hình thức tấn công khác.
Phạm vi ảnh hưởng của các cuộc tấn công cũng được mở rộng. Bạn không còn cần phải là một mục tiêu có giá trị cao mới trở thành đích nhắm của các cuộc tấn công được cá nhân hóa. Khi công đoạn thăm dò và nghiên cứu không còn tốn thời gian và công sức, mọi tổ chức đều có thể trở thành đối tượng cho việc áp dụng các chiến dịch cá nhân hóa nội dung tấn công; ngay cả những team từng nghĩ rằng mình quá "nhỏ bé" để bị nhắm tới cũng sẽ bị cuốn vào các chiến dịch automation này, những chiến dịch mang vẻ ngoài chỉn chu như thể được soạn thảo thủ công bởi con người.
Tình huống tồi tệ nhất xảy ra khi phishing vượt ra khỏi phạm vi email. Trong một vụ việc xảy ra tại công ty Arup, cuộc tấn công bắt đầu bằng một email giả mạo Giám đốc Tài chính (CFO) của công ty tại Anh. Khi nhân viên còn do dự, một cuộc gọi video sử dụng công nghệ deepfake - với sự xuất hiện của những người trông giống hệt các đồng nghiệp quen thuộc của người đó - đã củng cố niềm tin và dẫn đến việc thực hiện giao dịch. Nhân viên này đã phê duyệt 15 lệnh chuyển tiền với tổng trị giá khoảng 25 triệu USD. Không biện pháp bảo mật email nào có thể ngăn chặn được vụ việc này. Cuộc tấn công nhắm vào niềm tin của nhân viên đối với những gì họ nhìn thấy và nghe thấy, và chính niềm tin trực quan đó đã được nghiên cứu để lợi dụng.
Ý nghĩa đối với các chuyên gia bảo mật
Giờ đây sẽ là không đủ nếu chỉ đánh giá bảo mật email dựa trên những gì hệ thống chặn được ở lớp ngoài. Chỉ số thực sự quan trọng là những gì vẫn lọt vào hộp thư đến sau khi đã lọt qua gateway, bởi đó chính là nơi các cuộc tấn công hiện đại diễn ra. Hãy yêu cầu nhà cung cấp công bố tỷ lệ bỏ sót sau khi email được gửi (post-delivery miss rate); nếu họ trả lời một cách mơ hồ, thì đó là một yếu tố cần cân nhắc.
Mở rộng mô hình phòng thủ từ email sang cả voice và video. Vụ Arup cho thấy tấn công có thể diễn ra qua video call, vì vậy xác thực danh tính không nên chỉ giới hạn ở email.
Đánh giá tự động hóa dựa trên mức độ tự chủ, không phải số lượng cảnh báo trên dashboard. Công cụ chỉ tạo thêm alert cho người xử lý và sẽ làm tăng alert fatigue (mức độ công việc gia tăng gây áp lực đến người xử lý); công cụ có thể tự điều tra và xử lý sẽ thực sự giảm tải.
Triển khai đào tạo nhân viên với nhận thức rõ ràng về các hoạt động thăm dò từ attacker. Các bài mô phỏng chung chung chỉ đào tạo cho nhân viên cách nhận biết những chiêu trò phishing thông thường. Trong khi đó, các cuộc tấn công nhắm vào họ thường được cá nhân hóa, vì vậy nội dung đào tạo cũng cần phải được thiết kế tương ứng.
Phishing 3.0 không còn là chuyện của tương lai. Kẻ tấn công đã và đang triển khai các AI agent tự động, thiệt hại do deepfake đã bắt đầu xuất hiện, và dữ liệu cho thấy lòng tin đang bị lợi dụng với tốc độ nhanh hơn khả năng phản ứng của hầu hết các hệ thống phòng vệ. Vì vậy, doanh nghiệp có thể cần AI agent của chính mình để chủ động phát hiện, điều tra và ứng phó với các cuộc tấn công.
