#phishing

COLDCARD security audit phishing attack installs remote access tool

Một chiến dịch lừa đảo đang lợi dụng nỗi lo về lỗ hổng bảo mật vừa được tiết lộ trên ví COLDCARD và vụ khả nghi đánh cắp 88,6 triệu USD Bitcoin để dụ người dùng cài đặt phần mềm điều khiển từ xa ScreenConnect.

Lập trình viên nên đọc bài này để hiểu cách các cuộc tấn công phishing lợi dụng lỗ hổng thực tế trong hệ thống blockchain để trò chơi lừa đảo, giúp bảo vệ ứng dụng của mình khỏi các cuộc tấn công tương tự trong tương lai.

ShinyHunters data leaks fuel $2,000 sextortion email scam

Kẻ tấn công lợi dụng dữ liệu bị lộ từ các vụ rò rỉ của nhóm ShinyHunters để gửi email tống tiền tình dục, đòi 2.000 USD bằng Bitcoin.

Lập trình viên nên đọc bài này để hiểu cách các nhóm tấn công khai thác dữ liệu rò rỉ từ các ứng dụng như ShinyHunters để xây dựng danh sách email giả mạo, làm tăng nguy cơ bị lừa phạt hoặc tấn công cá nhân thông qua email giả mạo, đặc biệt khi ứng dụng của bạn có thể bị rò rỉ dữ liệu.

Phishing poses as big-brand job interview to steal Google accounts

Một chiến dịch phishing giả mạo hơn 30 thương hiệu lớn như Adobe, Netflix, Coca-Cola và OpenAI nhằm nhắm vào chuyên gia marketing qua email phỏng vấn việc làm giả. Kẻ tấn công lợi dụng các nền tảng hợp pháp như PeopleForce và Salesforce Marketing Cloud để tạo chuỗi redirect lồng nhau, dẫn nạn nhân đến trang landing độc hại, nơi sử dụng kỹ thuật browser-in-the-browser (BitB) để hiển thị popup đăng nhập Google giả mạo, đánh cắp thông tin tài khoản. Chiến dịch đã hoạt động ít nhất 5 tháng, sử dụng tên và ảnh thật của nhà tuyển dụng để tăng độ tin cậy.

Lập trình viên nên đọc bài này để hiểu cách các cuộc tấn công phishing hiện đại sử dụng kỹ thuật browser-in-the-browser và chaining redirect để trộm mật khẩu Google, từ đó nâng cao kiến thức bảo mật cho ứng dụng web và hệ thống của mình.

ConsentFix and ClickFix: How Microsoft 365 Accounts are Hijacked in 3 Seconds

Hai cuộc tấn công social engineering là ConsentFix và ClickFix lợi dụng các thao tác quen thuộc của người dùng để chiếm quyền tài khoản Microsoft 365 chỉ trong vài giây. ClickFix dụ nạn nhân thực thi lệnh do kẻ tấn công cung cấp thông qua phím tắt bàn phím, trong khi ConsentFix khai thác lỗ hổng OAuth bằng cách lôi kéo người dùng kéo liên kết callback localhost vào trình duyệt, chiếm lấy token phiên làm việc mà không cần mật khẩu hay vượt qua MFA. Đến đầu năm 2026, các hướng dẫn kỹ thuật chi tiết cùng mã nguồn và video hướng dẫn của ConsentFix đã được đăng công khai trên diễn đàn tội phạm mạng Nga, giúp giảm đáng kể rào cản thực hiện tấn công. Để phòng thủ, cần kết hợp nâng cao nhận thức người dùng và triển khai các biện pháp phát hiện kỹ thuật như giám sát hoạt động PowerShell bất thường hay đăng nhập phiên lạ.

Lập trình viên nên đọc bài này để hiểu cách các cuộc tấn công xã hội kỹ thuật số như ConsentFix và ClickFix exploit các quy trình làm việc thông thường của người dùng trong Microsoft 365, giúp họ phát triển các giải pháp bảo mật hiệu quả hơn, từ đó bảo vệ hệ thống và ứng dụng của mình trước các cuộc tấn công mới.

The Most Dangerous Cyber Threats in 2026 Everyone Should Know

Năm 2026, những mối đe dọa mạng nguy hiểm bao gồm lừa đảo bằng AI, giọng nói deepfake, ransomware tống tiền kép, rủi ro từ cấu hình sai trên cloud, tấn công thiết bị di động, tái sử dụng mật khẩu, kỹ thuật xã hội tinh vi và tấn công chuỗi cung ứng. Để phòng tránh, người dùng nên sử dụng quản lý mật khẩu, bật xác thực đa yếu tố (MFA), cập nhật thiết bị thường xuyên và cẩn trọng khi nhấp vào liên kết.

Lập trình viên nên đọc bài này để hiểu cách bảo vệ hệ thống và ứng dụng của mình trước những mối đe dọa mới nổi từ AI, ransomware và các tấn công phức tạp, từ đó xây dựng các giải pháp bảo mật hiệu quả và phòng ngừa trước các cuộc tấn công trong tương lai.

How to Secure Your Crypto Wallet: 2FA, Seed Phrases, and the Basics

Hầu hết mất mát tiền điện tử không phải do hack tinh vi mà từ những sai lầm có thể phòng tránh. Chỉ cần áp dụng vài thói quen cơ bản như 2FA, bảo vệ seed phrase và các biện pháp an toàn cơ bản là đủ.

Lập trình viên nên đọc bài này để hiểu cách bảo vệ tài sản kỹ thuật số của mình bằng các biện pháp cơ bản như xác thực hai yếu tố và quản lý seed phrases, tránh những lỗi đơn giản gây mất tiền trong ngành công nghệ tài chính.

Real emails, hijacked payments: Two H1 2026 attack chains

Báo cáo mối đe dọa H1 2026 của Gen phân tích hai chuỗi tấn công riêng biệt: một sử dụng hộp thư doanh nghiệp bị xâm nhập và thao túng trình duyệt trong chiến dịch malware nhắm vào ngân hàng, còn lại lợi dụng clipboard hijacking để chuyển hướng thanh toán tiền điện tử.

Lập trình viên nên đọc bài này để hiểu cách các cuộc tấn công mới nhất như clipboard hijacking và mã độc ngụy trang dưới dạng email thực sự có thể khai thác lỗ hổng trong ứng dụng web, API, hoặc hệ thống bảo mật mà họ phát triển.

Attacker phished way into US defense supplier's Microsoft 365 account

Kẻ tấn công đã chiếm quyền truy cập vào tài khoản Microsoft 365 của nhà cung cấp quốc phòng Mỹ thông qua kỹ thuật lừa đảo (phishing), đánh cắp các tập tin kỹ thuật và dữ liệu kỹ thuật có thể thuộc diện kiểm soát xuất khẩu.

Lập trình viên nên đọc bài này để hiểu cách bảo mật cơ bản trong ứng dụng Microsoft 365—như xác thực hai yếu tố và kiểm soát quyền truy cập—để ngăn chặn các cuộc tấn công phishing có thể ảnh hưởng đến dự án an ninh quốc phòng hoặc dữ liệu nhạy cảm.

Framework Data Breach Discussion

Framework thông báo về sự cố rò rỉ dữ liệu giới hạn, chỉ lộ thông tin khách hàng (không bao gồm dữ liệu thanh toán), nhưng email phản hồi được đánh giá là minh bạch và chi tiết.

Nếu bạn là lập trình viên muốn hiểu cách quản lý rủi ro an ninh dữ liệu trong ứng dụng của mình, bài viết này sẽ giúp bạn phân tích cách Framework xử lý vụ rò rỉ dữ liệu, từ đó rút ra kinh nghiệm về cách xây dựng hệ thống bảo mật hiệu quả và phản ứng kịp thời trong trường hợp xảy ra sự cố.

Payroll Pirates: Strange New Tides in Business Email Compromise

Arctic Wolf Labs phát hiện chiến dịch phishing AiTM (Adversary-in-the-Middle) nhắm vào tài khoản Microsoft 365, sử dụng email để xâm nhập và thu thập dữ liệu tài chính thông qua proxy dân cư.

Lập trình viên cần đọc bài này để hiểu cách bảo mật email trong ứng dụng Office 365 bị xâm nhập thông qua các cuộc tấn công phishing AI, giúp họ phát triển các giải pháp bảo vệ an toàn cho hệ thống và ứng dụng của doanh nghiệp.

Bridging the Gap Between Passwords and Passkeys with Risk-Based Authentication

Bài viết giới thiệu cách kết hợp mật khẩu (passwords) và khóa truy cập (passkeys) với xác thực dựa trên rủi ro (Risk-Based Authentication) để nâng cao bảo mật chống lừa đảo, trong loạt bài về bảo mật tài khoản tại Mercari.

Lập trình viên nên đọc bài này để hiểu cách tích hợp passkey vào hệ thống an toàn dựa trên cơ sở rủi ro, giúp nâng cao bảo mật cho người dùng mà không phụ thuộc vào mật khẩu truyền thống dễ bị phishing.

How AI-powered phishing killed blocklists for good

AI đang giúp tin tặc xây dựng hạ tầng lừa đảo dùng một lần và bộ công cụ tiến hóa nhanh chóng, vượt quá khả năng theo dõi của các blocklist. Push Security cho rằng việc phát hiện dựa trên kỹ thuật ở cấp trình duyệt sẽ là biện pháp phòng thủ bền vững hơn so với phụ thuộc vào tên miền, chữ ký hay các chỉ báo xấu đã biết.

Lập trình viên nên đọc bài này để hiểu cách AI biến hóa các chiến lược lừa phishing, làm suy yếu hệ thống phòng thủ dựa trên danh sách chặn và chỉ số, và tìm hiểu cách xây dựng hệ thống bảo mật mạnh mẽ hơn bằng cách tập trung vào phát hiện ở cấp độ kỹ thuật và trình duyệt.

Phishing service spoofs RingCentral to steal Microsoft 365 accounts

The Greatness phishing-as-a-service (PhaaS) platform has expanded from credential phishing to adversary-in-the-middle attacks and device-code phishing targeting Microsoft 365 accounts.

Security Is Hard, Y'all

It started innocently enough. I saw a tweet about a new product offering from one of my favorite companies, Cloudflare. Neat! I clicked through to the site and there it is: And huzzah!, my preferred handle, @ericlaw is still available. I'd better hurry to claim it before someone else gets it! Since I'm already a…

Smoke#Screen RMM Takeover Gambit Exposes Threat Actor Playbook

Các cuộc tấn công sử dụng nhiều mồi nhử kỹ thuật xã hội đa dạng và payloads xoay vòng để triển khai ScreenConnect, tạo quyền truy cập từ xa bền vững vào mạng bị xâm nhập.

Lập trình viên nên đọc bài này để hiểu cách các nhóm tấn công hiện đại sử dụng kỹ thuật xã hội hóa và payload động để xây dựng hệ thống tấn công phức tạp, từ đó tìm hiểu cách bảo vệ hệ thống và ứng dụng của mình trước những cuộc tấn công mới nổi.

Phishers are hijacking legitimate cloud infrastructure

Tin tặc đang lợi dụng các dịch vụ cloud hợp pháp (như Cloudflare Workers, Vercel, Netlify, GitHub Pages, IPFS) để triển khai tấn công AitM (Adversary-in-the-Middle) thông qua service workers và Ultraviolet. Bài viết cung cấp thống kê chi tiết về hoạt động phishing trên các nền tảng này.

Lập trình viên nên đọc bài này để hiểu cách các hacker lợi dụng các dịch vụ cloud như Workers, Vercel hay IPFS để triển khai các cuộc tấn công phishing nhắm vào các ứng dụng web và công cụ phát triển.

3rd August – Threat Intelligence Report

Báo cáo tình báo mối đe dọa ngày 3 tháng 8 từ nhóm nghiên cứu mới nhất.

Lập trình viên nên đọc báo cáo này để hiểu cách các mối đe dọa an ninh mạng mới nhất có thể tác động đến ứng dụng, hệ thống và dữ liệu của họ, giúp họ xây dựng phòng thủ kỹ thuật số hiệu quả hơn.

BCON Collective uncovers shared phishing infrastructure linked to ShinyHunters

BCON Collective của Bridewell phát hiện cơ sở hạ tầng lừa đảo (phishing) dùng chung có liên quan đến nhóm ShinyHunters sau một cuộc tấn công vishing nhằm vào khách hàng.

Những kẻ tấn công phishing như ShinyHunters thường chia sẻ công cụ và cơ sở hạ tầng, nên bài viết này sẽ giúp bạn hiểu rõ cách bảo vệ hệ thống và ứng dụng của mình trước những mối đe dọa mới từ các nhóm hacker hợp tác.

Experts react as Department for Education cyber attack exposes 607,000 records

Vụ tấn công mạng nhằm vào hệ thống hỗ trợ khách hàng và cổng thông tin Turing Scheme của Bộ Giáo dục Anh đã khiến 607.000 hồ sơ bị lộ, bao gồm tên, chức vụ, email công việc và số điện thoại. Nhóm ExfilSquad tuyên bố trách nhiệm và công bố dữ liệu trực tuyến. Các chuyên gia cảnh báo về nguy cơ spear-phishing và kêu gọi tăng cường xác thực danh tính, xác thực đa yếu tố cùng quyền truy cập tối thiểu.

Bạn nên đọc bài này để hiểu rõ cách các kẻ tấn công lợi dụng lỗ hổng trong hệ thống hỗ trợ khách hàng và cổng đăng ký (như portals) để trộm dữ liệu cá nhân, và cách các chuyên gia khuyến nghị nâng cao bảo mật cho các tổ chức, đặc biệt là trong lĩnh vực giáo dục—một mục tiêu thường bị tấn công nhiều.

Tracking Over 35,000 Fake Sites in the 2026 World Cup Scam Wave

Từ tháng 1 đến tháng 6 năm 2026, TrendAI™ phát hiện hơn 35.000 trang web giả mạo liên quan đến World Cup 2026, bao gồm cửa hàng bán đồ giả, trang bán vé nhái và trang phát sóng miễn phí lừa đảo, thu hút khoảng 1,48 triệu lượt truy cập từ Nhật Bản.

Lập trình viên nên đọc bài này để hiểu cách các hacker và scammer xây dựng các trang giả mạo phức tạp, từ đó nâng cao kiến thức bảo mật web và tìm hiểu kỹ thuật chống lại các cuộc tấn công giả mạo thương mại lớn như vụ lừa đảo World Cup 2026.

Introducing Email Threat Intelligence: A Smarter Way to Understand Phishing Risk in K-12

ManagedMethods vừa bổ sung tính năng Email Threat Intelligence vào giải pháp chống lừa đảo (phishing) nâng cao, cung cấp cho các đội IT trong lĩnh vực K-12 khả năng phân tích lừa đảo bằng AI và giám sát thời gian thực các mối đe dọa email nhắm vào hệ thống giáo dục của họ.

Lập trình viên trong lĩnh vực bảo mật mạng nên đọc bài này để hiểu cách tích hợp các công nghệ thông minh như threat intelligence vào hệ thống phòng ngừa phishing, giúp tối ưu hóa bảo mật cho các hệ thống email trong môi trường giáo dục K-12, từ đó giảm thiểu rủi ro từ các cuộc tấn công phishing phức tạp.

We found 120 fake Walmart stores trying to steal your credit card

Các cửa hàng giả mạo Walmart tung ra các ưu đãi "không thể tin được" về rượu để dụ người dùng nhập thông tin thẻ tín dụng.

Lập trình viên nên đọc bài này để hiểu về phân tích rủi ro an ninh mạng và cách bảo vệ hệ thống, đặc biệt khi ứng dụng web/ứng dụng di động có thể bị tấn công qua lỗ hổng liên quan đến việc nhập thông tin tài khoản.

Prove You’re Human, Install This Malware

Fake CAPTCHA scams trick users into running commands and installing malware, turning online security checks into dangerous attack vectors.

Same Look, Different Code: The Technical Reality Behind Homoglyph Attacks

Các ký tự trông giống hệt nhau trên giao diện người dùng nhưng có thể có mã kỹ thuật (Unicode) hoàn toàn khác nhau, tạo điều kiện cho tấn công homoglyph lợi dụng sự nhầm lẫn giữa những gì người dùng thấy và máy tính xử lý.

Lập trình viên nên đọc bài này để hiểu cách các tấn công homoglyph exploit lỗ hổng trong xử lý ký tự đa dạng, từ đó nâng cao kiến thức bảo mật cho các ứng dụng web, API và hệ thống dữ liệu của bạn.

The Reasoning Gap: Your Organization’s Secret Invasion Is Already Underway

Tấn công phishing kép lợi dụng AI để mô phỏng nhân viên đáng tin cậy, cho thấy tầm quan trọng của việc xác minh ngữ cảnh tổ chức thay vì chỉ dựa vào tín hiệu tin nhắn trong an ninh email.

Một lập trình viên cần đọc bài này để hiểu cách AI và kỹ thuật phishing kép (twin-phishing) có thể lợi dụng thông tin về tổ chức để tấn công, từ đó thiết kế hệ thống bảo mật mạnh mẽ hơn bằng cách kiểm tra bối cảnh tổ chức chứ không chỉ dựa vào các tín hiệu đơn giản trong email.

Man gets six years for hacking 750 women's Snapchat accounts

An Illinois man was sentenced on Tuesday to 76 months in prison and three years of supervised release for hacking the Snapchat accounts of over 750 women to steal nude photos.

13M+ Emails Sent in Tech Support Scam Targeting Users, Organizations in Japan

Một chiến dịch lừa đảo hỗ trợ kỹ thuật đã gửi hơn 13 triệu email đến các địa chỉ ở Nhật Bản, sử dụng mồi nhử liên quan đến môi trường công sở nhằm nhắm đến mục tiêu doanh nghiệp.

Lập trình viên nên đọc bài này để hiểu cách các hacker lợi dụng lỗ hổng trong giao tiếp tự động (email) và hệ thống tự động hóa để tấn công, giúp bạn có kiến thức phòng ngừa và cải thiện bảo mật cho các ứng dụng, API, hoặc hệ thống giao tiếp trong công việc.

Year-long Russian attacks infect users as soon as they look at an email

Phishing for dummies

Russian Global Webmail Espionage

Unit 42 phát hiện chiến dịch gián điệp mạng của Nga nhắm vào máy chủ webmail Zimbra thông qua JavaScript injection nhằm đánh cắp thông tin đăng nhập.

Lập trình viên nên đọc bài này để hiểu cách các cuộc tấn công mã độc thông qua JavaScript có thể khai thác lỗ hổng trong ứng dụng webmail, giúp bảo vệ hệ thống và phát hiện các mối đe dọa mới trong các ứng dụng web.

One ChatGPT link could smuggle a rogue AI agent into your company

Researchers say OpenAI flaw let phishing bait create an autonomous corporate mole armed with employee access

Device Code Phishing: Turning a Convenience Feature Into an MFA Bypass

Device code phishing abuses a legitimate authentication feature designed for devices with limited input capabilities. This article breaks down how the technique works, examines a recent observed case, and outlines the layered security measures organizations can implement.

Cloud Monitor Updates: More Visibility, Less Busy Work for K-12 IT Teams

Managing cloud security for your district should not mean juggling another complex dashboard, learning a new tool, or hiring additional full-time staff just to keep up.   With Cloud Monitor from ManagedMethods, K-12 technology teams get cloud-native monitoring for Microsoft 365 and Google Workspace in a platform that is simple to deploy and even simpler to ... The post Cloud Monitor Updates: More Visibility, Less Busy Work for K-12 IT Teams appeared first on ManagedMethods Cybersecurity, Safety & Compliance for K-12.

Kratos phishing-as-a-service kit loses its battle with international law enforcement

Cảnh sát Indonesia bắt giữ nhà phát triển bị tình nghi đứng sau kit tấn công lừa đảo Kratos phishing-as-a-service sau khi vô hiệu hóa hơn 200 máy chủ.

Lập trình viên nên đọc bài này để hiểu rõ những rủi ro pháp lý và trách nhiệm pháp lý nghiêm trọng khi phát triển hoặc sử dụng các công cụ phishing-as-a-service, đặc biệt khi hệ thống của họ có thể bị truy đuổi và bị xử lý theo luật pháp quốc tế.

Inside an Exposed Malware Delivery Lab: OPSEC Failures Behind a WebDAV Phishing Operation

Một cảnh báo MDR đã giúp nhóm Rapid7 phát hiện một server bị lộ, hoạt động như phòng thí nghiệm phân phối malware hoàn chỉnh. Hệ thống lộ ra cách kẻ tấn công kiểm tra đường dẫn phân phối, đóng gói mồi nhử, lưu trữ payloads và giám sát hoạt động nhờ sự hỗ trợ của AI sinh.

Lập trình viên nên đọc bài này để hiểu cách các nhóm tấn công hiện đại sử dụng công nghệ AI và các lỗ hổng kỹ thuật như WebDAV để xây dựng và vận hành các lab ma trận hóa ma trận hóa, từ đó nâng cao kiến thức phòng thủ và phát hiện sớm các mối đe dọa mới trong môi trường ứng dụng.

New X phishing scam copies real login alerts down to the pixel to hijack accounts

Kẻ gian đang gửi thông báo đăng nhập giả mạo trên X (Twitter cũ) với độ chính xác từng pixel để đánh cắp mật khẩu, sau đó chiếm quyền tài khoản nhằm thực hiện các vụ lừa đảo tiền ảo và phishing. Người dùng cần biết cách nhận diện những chiêu trò này.

Lập trình viên nên đọc bài này để hiểu cách các kẻ lừa đảo sử dụng kỹ thuật phishing tinh vi, từ mã nguồn đến UI, để tránh bị lừa và bảo vệ hệ thống của bạn khỏi tấn công giả mạo login hiệu quả.

My friend’s email startup finally got traction. Turns out it was a phisher.

Một người bạn của tác giả, Endi, đã xây dựng một startup email nhưng không ngờ sản phẩm lại bị lợi dụng làm công cụ phishing.

Lập trình viên nên đọc bài này để hiểu cách lừa đảo phishing có thể tràn ngập trong các dự án khởi nghiệp, từ đó cảnh giác trước các rủi ro về an ninh mạng và bảo mật dữ liệu trong quá trình phát triển sản phẩm.

CISOs say boardrooms still don’t grasp the human cyber risk AI is supercharging

Hơn 75% giám đốc an ninh thông tin (CISO) châu Âu cho rằng ban lãnh đạo không hiểu hết rủi ro an ninh mạng từ nhân viên, đặc biệt khi AI thúc đẩy các mối đe dọa như lừa đảo deepfake hay nhân viên vô tình tiết lộ dữ liệu nhạy cảm. Gần 80% nhận thấy sự quan tâm của lãnh đạo đối với nhận thức an ninh giảm nhanh sau giai đoạn khởi đầu, trong khi 76% gặp khó khăn trong việc thống nhất các bên liên quan về các chỉ số đánh giá rủi ro con người.

Những lập trình viên cần đọc bài này để hiểu cách AI không chỉ là công cụ mạnh mẽ mà còn trở thành vũ khí mới trong cuộc chiến bảo mật, đòi hỏi họ phải nâng cao kiến thức về các rủi ro xã hội kỹ thuật số mới như deepfake và insider threat, từ đó có thể tích hợp kiến thức này vào hệ thống bảo mật của họ.

1M+ Emails Use Hidden Text to Dupe AI Security Filters

Hơn 1 triệu email lừa đảo sử dụng kỹ thuật "text salting" (ẩn văn bản) để vượt qua bộ lọc bảo mật dựa trên AI và LLM, khiến chúng dễ dàng lọt vào hộp thư đến.

Lập trình viên nên đọc bài này để hiểu cách các kỹ thuật text salting và obfuscation được sử dụng trong tấn công phishing, giúp họ phát triển các giải pháp bảo mật AI hiệu quả hơn, từ đó bảo vệ hệ thống và ứng dụng của mình trước các cuộc tấn công mới.

The TTF Trap: A Global Campaign of a Low-Detection Lua Loader

FortiGuard Labs analyzes a global phishing campaign using obfuscated JScript, disguised .ttf files, and Lua loaders to deliver RATs and infostealers.

Google Sues Chinese AI “Phishing Phactory”

Google kiện Outsider Enterprise (công ty allegedly đặt tại Trung Quốc) vì hoạt động phishing-as-a-service lợi dụng AI tạo sinh để tăng tốc tấn công.

Lập trình viên nên đọc bài này để hiểu cách các công nghệ AI hiện đại như generative AI có thể biến hóa và mở rộng quy mô của các hình thức gian lận mạng, đặc biệt là phishing, và tìm hiểu cách bảo vệ hệ thống của mình trước những rủi ro mới từ các dịch vụ như "phishing-as-a-service".