Malware là gì? Các loại phần mềm độc hại và cách phòng chống

Mục lục

1. Malware là gì?
2. Virus máy tính là gì và khác malware ở đâu?
3. Malware xuất hiện từ khi nào? Những mốc đáng nhớ
4. Malware gây hại theo những bước nào?
5. Các loại malware phổ biến hiện nay
6. Malware lây vào doanh nghiệp qua những con đường nào?
7. Số liệu malware 2025–2026 đáng chú ý
8. Dấu hiệu máy tính, điện thoại bị nhiễm malware
9. Phần mềm diệt virus (antivirus software) hoạt động thế nào?
10. Cách phòng chống malware cho cá nhân
11. Cách phòng chống malware cho doanh nghiệp
12. Bị nhiễm malware phải làm gì?
13. Cách gỡ virus, mã độc khỏi máy tính và điện thoại
14. Pháp luật Việt Nam quy định gì về malware?
15. Những hiểu lầm phổ biến về malware
16. Câu hỏi thường gặp

Malware là gì?

Malware là viết tắt của “malicious software”, nghĩa là phần mềm độc hại. Tiếng Việt còn gọi là mã độc, phần mềm gây hại, hoặc gọi chung là “virus”. Tất cả đều chỉ chương trình được viết ra với mục đích xấu, chạy trên thiết bị của bạn mà bạn không biết hoặc không đồng ý.

Bảng thuật ngữ của Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ (NIST) mô tả malware là chương trình được cài vào hệ thống, thường lén lút, nhằm xâm phạm tính bí mật, toàn vẹn hoặc sẵn sàng của dữ liệu, ứng dụng hay hệ điều hành. Một số tài liệu NIST mở rộng: malware có thể nằm ở phần mềm, phần sụn (firmware) và cả phần cứng.

Ở Việt Nam, khoản 9 Điều 2 Luật An ninh mạng số 116/2025/QH15 giải thích phần mềm độc hại là phần mềm có khả năng gây hoạt động không bình thường cho một phần hoặc toàn bộ hệ thống thông tin, hoặc sao chép, sửa đổi, xoá bỏ trái phép thông tin lưu trữ trong hệ thống. Định nghĩa này bao phủ cả loại không phá hoại mà chỉ lặng lẽ sao chép dữ liệu.

Malware nhắm vào máy tính, điện thoại, máy chủ, thiết bị mạng, camera và cả hệ thống điều khiển công nghiệp. Mục đích phổ biến nhất hiện nay là tiền: bán dữ liệu, chiếm tài khoản, tống tiền hoặc dùng chùa tài nguyên máy nạn nhân.

Thuật ngữ	Nghĩa chính xác
Malware / mã độc	Tên gọi chung cho mọi phần mềm có chủ đích gây hại
Virus máy tính	Một loại malware: tự chèn vào tệp khác, lây khi tệp đó được mở
Phần mềm không mong muốn (PUP, grayware)	Người dùng thường tự cài, không hẳn độc hại nhưng chèn quảng cáo, đổi trang chủ, làm chậm máy

Virus máy tính là gì và khác malware ở đâu?

Virus máy tính là đoạn mã tự gắn vào một tệp hoặc chương trình khác (gọi là “vật chủ”), rồi nhân bản khi vật chủ được chạy. Tên gọi mượn từ virus sinh học: nó không tự sống được mà phải nhờ vật chủ. Điểm này tách virus khỏi worm (tự lây qua mạng, không cần vật chủ) và trojan (không nhân bản, chỉ đội lốt để bạn tự cài).

Virus lây và phát tác thế nào?

Một virus cổ điển đi qua bốn pha: nằm im trong tệp vật chủ, lây sang tệp khác mỗi khi vật chủ chạy, chờ điều kiện kích hoạt (một ngày giờ, một số lần mở), rồi thực thi phần gây hại như xoá hoặc làm hỏng tệp. Ba dạng thường được nhắc trong tài liệu kỹ thuật:

• Virus tệp (file infector): chèn mã vào tệp chạy được như .exe, nên tệp vẫn chạy bình thường trong khi mã độc chạy kèm.
• Virus khu vực khởi động (boot sector): nằm ở vùng đầu ổ đĩa, chạy trước hệ điều hành. Virus Brain năm 1986 là ví dụ lịch sử.
• Virus macro: viết bằng ngôn ngữ macro trong tài liệu Word, Excel, chạy khi người dùng bật macro.

Ngoài ra có virus đa hình (polymorphic), tự biến đổi mã sau mỗi lần lây để không trùng chữ ký đã biết. Đây là lý do phần mềm diệt virus không thể chỉ dựa vào danh sách mẫu.

Ví dụ minh hoạ: một nhân viên kế toán chép tệp .exe “công cụ xuất báo cáo” vào thư mục dùng chung. Nếu tệp đó chứa virus tệp, mỗi đồng nghiệp chạy nó sẽ khiến các chương trình khác trên máy họ bị chèn mã, rồi lại lan sang ổ đĩa mạng và USB. Với trojan, tình huống này chỉ ảnh hưởng người tự chạy tệp; với worm, máy có lỗ hổng sẽ bị lây mà không ai bấm gì.

Tiêu chí	Virus	Worm	Trojan
Cần tệp vật chủ	Có	Không	Không
Cần người dùng mở tệp	Có	Thường không	Có, người dùng tự cài
Tự nhân bản	Có	Có, qua mạng	Không
Điểm yếu để chặn	Kiểm tra tệp trước khi chạy	Vá lỗ hổng, phân đoạn mạng	Chặn phần mềm lậu, cấm tự cài

Ngày nay, phần lớn ca nhiễm trên máy cá nhân và doanh nghiệp là trojan, infostealer hoặc ransomware chứ không phải virus theo nghĩa hẹp. Tuy vậy, người dùng vẫn gọi tất cả là “virus”, nên bài này dùng “gỡ virus” theo nghĩa quen thuộc là gỡ mọi loại mã độc.

Malware xuất hiện từ khi nào? Những mốc đáng nhớ

Kỹ thuật thay đổi, nhưng các đường lây chính lặp lại qua nhiều thập kỷ:

Năm	Sự kiện	Bài học
1986	Virus Brain do anh em nhà Alvi ở Pakistan tạo ra, virus khu vực khởi động đầu tiên lan rộng trên máy IBM PC	Thiết bị lưu trữ di động là đường lây lâu đời nhất
1988	Sâu Morris (02/11/1988): theo FBI, trong 24 giờ, khoảng 6.000 trên khoảng 60.000 máy nối Internet lúc đó bị ảnh hưởng	Sâu tự lây có thể làm tê liệt mạng trong một ngày
2000	ILOVEYOU (từ 04/05/2000) lây qua email đính kèm giả thư tình, tự gửi tới danh bạ nạn nhân; ước tính khoảng 10% máy nối mạng bị ảnh hưởng	Email từ người quen chưa chắc an toàn
2010	Stuxnet (phát hiện 17/06/2010) nhắm vào PLC Siemens, dùng bốn lỗ hổng zero-day của Windows, thường vào hệ thống cách ly qua USB	Mạng tách biệt không phải bảo đảm tuyệt đối
2017	WannaCry (12/05/2017) lây tới hơn 300.000 máy ở khoảng 150 nước, khai thác lỗ hổng đã có bản vá MS17-010 từ 14/03/2017	Vá lỗi chậm có thể trả giá rất đắt
2021	Bộ Tư pháp Mỹ công bố (28/01/2021) đánh sập botnet Emotet, lây qua email, nhiễm khoảng 1,6 triệu máy, chuyên cài thêm ransomware và mã độc ngân hàng	Một ca nhiễm nhỏ có thể mở đầu sự cố lớn
2025	Bộ Tư pháp Mỹ thu giữ tên miền điều khiển của dịch vụ cho thuê mã độc đánh cắp thông tin LummaC2 (21/05/2025), ghi nhận ít nhất 1,7 triệu lần lấy cắp dữ liệu; Microsoft khởi kiện để gỡ khoảng 2.300 tên miền	Malware được “cho thuê” như một dịch vụ

Malware gây hại theo những bước nào?

Phần lớn malware hiện đại đi qua năm bước: xâm nhập, thực thi, bám trụ, liên lạc với máy chủ điều khiển (C2) và gây hại. Mỗi bước là một cơ hội để chặn, chứ không chỉ có một “cửa” là phần mềm diệt virus.

Các loại malware phổ biến hiện nay

Có thể phân loại theo cách lây (virus cần tệp chủ, worm tự lây, trojan đội lốt phần mềm hợp lệ) hoặc theo mục đích (đánh cắp, gián điệp, tống tiền, quảng cáo, đào tiền mã hoá). Một mẫu mã độc ngày nay thường mang đặc điểm của nhiều nhóm.

Loại	Cách hoạt động	Gây hại chính
Virus	Chèn vào tệp hoặc chương trình khác, lây khi tệp được mở	Hỏng tệp, lỗi hệ thống
Worm (sâu)	Tự nhân bản qua mạng, không cần người dùng thao tác	Nghẽn mạng, mở đường cho mã độc khác
Trojan	Đội lốt phần mềm hữu ích, bản crack, tệp cài đặt	Mở cửa hậu, cài thêm mã độc
Backdoor / RAT	Cho kẻ tấn công điều khiển máy từ xa	Chiếm quyền, theo dõi
Spyware, keylogger	Âm thầm ghi thao tác, màn hình, phím gõ	Lộ mật khẩu, tin nhắn, thông tin thẻ
Infostealer	Lấy mật khẩu, cookie đăng nhập, ví tiền mã hoá lưu trong trình duyệt	Chiếm tài khoản, kể cả khi có MFA
Ransomware	Mã hoá dữ liệu, thường kèm đánh cắp để tống tiền kép	Ngừng hoạt động, lộ dữ liệu
Adware, PUP	Đi kèm phần mềm miễn phí, tiện ích trình duyệt	Quảng cáo, đổi trang chủ, thu thập lịch sử duyệt web
Rootkit, bootkit	Can thiệp sâu vào hệ điều hành hoặc quá trình khởi động	Che giấu mã độc khác, rất khó gỡ
Bot, botnet	Biến máy thành “lính” trong mạng máy bị điều khiển	Gửi thư rác, tấn công DDoS
Cryptojacking	Dùng CPU, GPU nạn nhân để đào tiền mã hoá	Tốn điện, nóng máy, tăng hoá đơn đám mây
Fileless malware	Chạy trong bộ nhớ, lợi dụng công cụ có sẵn như PowerShell	Dễ lọt qua công cụ quét tệp
Wiper	Xoá hoặc ghi đè dữ liệu, không nhằm đòi tiền	Phá huỷ không phục hồi

Trojan và phần mềm lậu

Trojan không tự lây mà dựa vào việc bạn tự cài: bản crack, công cụ “kích hoạt bản quyền”, trò chơi lậu, bộ cài giả mạo ứng dụng nổi tiếng. Sau khi chạy, trojan thường mở cửa hậu hoặc cài công cụ điều khiển từ xa (RAT, Remote Access Trojan). Vì vậy phần mềm lậu là rủi ro an ninh, không chỉ là chuyện bản quyền.

Infostealer: nhóm tăng nhanh nhất

Infostealer gom mật khẩu đã lưu trong trình duyệt, cookie phiên đăng nhập, dữ liệu tự điền và cụm từ khôi phục ví tiền mã hoá, rồi gửi đi trong vài phút. Nguy hiểm nhất là cookie phiên: có nó, kẻ gian vào được tài khoản mà không cần mật khẩu hay mã xác thực. Đó là lý do cài lại máy thôi chưa đủ, mà phải đăng xuất mọi phiên và đổi mật khẩu.

Ransomware

Ransomware (mã độc tống tiền) mã hoá dữ liệu rồi đòi tiền chuộc, thường lấy cắp dữ liệu trước để đe doạ công khai. Đây là loại gây thiệt hại lớn nhất cho doanh nghiệp. Cách xâm nhập, các vụ lớn tại Việt Nam và quy trình ứng phó chi tiết có trong bài ransomware là gì và cách phòng chống mã độc tống tiền.

Malware trên điện thoại

Theo Hiệp hội An ninh mạng quốc gia (NCA), hệ thống nTrust ghi nhận 62.952 loại mã độc mới trên điện thoại di động tại Việt Nam trong năm 2025. Ngày 08/09/2026, Bộ Công an cảnh báo 25 kịch bản lừa đảo, trong đó có nhóm dùng đường link giả, mã QR độc hại, ứng dụng chứa mã độc và phần mềm điều khiển từ xa.

Kịch bản quen thuộc: kẻ gian mạo danh cơ quan nhà nước hoặc ngân hàng, dụ bạn cài ứng dụng ngoài kho chính thức, rồi xin quyền trợ năng (Accessibility). Có quyền này, ứng dụng đọc được OTP và điều khiển màn hình. Nguyên tắc: chỉ cài từ Google Play hoặc App Store, không cấp quyền trợ năng cho ứng dụng lạ.

Malware lây vào doanh nghiệp qua những con đường nào?

Báo cáo Điều tra Vi phạm Dữ liệu 2026 của Verizon (DBIR 2026), dữ liệu từ 10/2024 đến 11/2025, cho thấy khai thác lỗ hổng là véc-tơ xâm nhập ban đầu phổ biến nhất (31% số vụ vi phạm), tiếp theo là phishing (16%) và lạm dụng thông tin đăng nhập (13%). 48% số vụ có liên quan tới bên thứ ba.

Đường lây	Ví dụ	Chốt chặn chính
Lỗ hổng chưa vá	Thiết bị VPN, tường lửa, máy chủ web mở ra Internet	Kiểm kê tài sản, vá ưu tiên lỗ hổng đang bị khai thác
Email, tin nhắn lừa đảo	Tệp hoá đơn, công văn giả; link tải tài liệu	Lọc email, chặn macro, đào tạo, kênh báo cáo
Tài khoản bị lộ	Mật khẩu RDP, VPN bị đánh cắp hoặc đoán được	MFA, tắt dịch vụ thừa, giới hạn IP
Phần mềm lậu, quảng cáo độc hại	Trang tải giả mạo phần mềm phổ biến ở vị trí quảng cáo	Kho phần mềm nội bộ, cấm tự cài, lọc DNS
USB, tiện ích trình duyệt	USB dùng chung; tiện ích bị bán lại rồi cài thêm mã độc	Tắt autorun, danh sách tiện ích được phép
Chuỗi cung ứng	Bản cập nhật của nhà cung cấp bị chèn mã độc	Đánh giá nhà cung cấp, giám sát hành vi

Cách nhận biết thư lừa đảo và thiết lập SPF, DKIM, DMARC được phân tích trong bài phishing là gì.

Số liệu malware 2025–2026 đáng chú ý

Các nguồn dưới đây dùng phương pháp khác nhau, chỉ nên đọc để thấy xu hướng.

• Khối lượng: Kaspersky phát hiện trung bình 500.000 tệp độc hại mỗi ngày trong năm 2025 (11/2024–10/2025), tăng 7%. 48% người dùng Windows và 29% người dùng Mac gặp mối đe doạ trong năm.
• Ransomware: có mặt trong 48% số vụ vi phạm dữ liệu, tăng từ 44% (Verizon DBIR 2026). Tiền chuộc trung vị đã trả 139.875 USD; 69% nạn nhân không trả.
• Vá lỗi chậm: với lỗ hổng nghiêm trọng đã bị khai thác thực tế, thời gian trung vị để khắc phục hoàn toàn năm 2025 là 43 ngày, tăng từ 32 ngày (DBIR 2026).
• Việt Nam: báo cáo của NCA công bố 01/2026, khảo sát hơn 5.300 đơn vị, ghi nhận khoảng 552.000 cuộc tấn công mạng năm 2025, giảm 19,38%. Nhưng tỷ lệ đơn vị từng bị thiệt hại tăng lên 52,30%, từ 46,15% năm 2024.
• Khoảng trống cơ bản: cùng báo cáo, 51,87% đơn vị chưa có phần mềm phòng chống mã độc quản lý tập trung, 8,71% không dùng phần mềm diệt virus nào, 9,38% không có tường lửa, 47,72% thiếu nhân sự an ninh mạng. 76,35% đã có sao lưu dự phòng.

Như vậy, khoảng trống lớn nhất của doanh nghiệp Việt không nằm ở công nghệ đắt tiền, mà ở việc cơ bản: quản lý tập trung, có người phụ trách và theo một khung tiêu chuẩn.

Dấu hiệu máy tính, điện thoại bị nhiễm malware

Infostealer, spyware và backdoor được thiết kế để im lặng, nên “máy chạy bình thường” không có nghĩa là máy sạch. Các dấu hiệu đáng kiểm tra ngay:

• Máy tính: chậm, quạt chạy mạnh khi không dùng; quảng cáo bật liên tục, trình duyệt tự đổi trang chủ; chương trình hoặc tiện ích lạ; phần mềm bảo mật bị tắt; bạn bè nhận tin nhắn lạ từ tài khoản của bạn; tệp bị đổi đuôi, không mở được.
• Điện thoại: pin và dữ liệu hao nhanh; ứng dụng lạ trong danh sách quyền trợ năng; màn hình tự thao tác hoặc bị phủ lớp lạ khi mở ứng dụng ngân hàng; không nhận được OTP.
• Hệ thống doanh nghiệp: cảnh báo hành vi đáng ngờ trên nhiều máy; lưu lượng ra ngoài tăng bất thường vào ban đêm; tài khoản quản trị mới, đăng nhập giờ lạ, nhật ký bị xoá; truy vấn tới tên miền mới đăng ký; IP công ty bị đưa vào danh sách đen thư rác.

Phần mềm diệt virus (antivirus software) hoạt động thế nào?

Phần mềm diệt virus, nay thường gọi là phần mềm chống mã độc, là chương trình chạy thường trực trên thiết bị để quét tệp, theo dõi tiến trình và chặn hoặc cách ly thứ nó đánh giá là độc hại. Tên “diệt virus” là di sản từ thập niên 1980; sản phẩm hiện nay xử lý mọi loại malware chứ không chỉ virus.

Năm kỹ thuật nhận diện

Một sản phẩm hiện đại không dựa vào một phương pháp. Nó xếp chồng nhiều kỹ thuật, mỗi kỹ thuật bù điểm yếu của kỹ thuật trước:

• Chữ ký (signature): nhanh, ít báo nhầm, nhưng chỉ bắt được mẫu đã biết. Virus đa hình và mã độc đóng gói lại sau mỗi lần phát tán dễ vượt qua bước này.
• Phân tích tĩnh và heuristic: không cần mẫu trùng khớp, mà chấm điểm các đặc điểm đáng ngờ của tệp. Đổi lại, dễ báo nhầm hơn.
• Sandbox hoặc giả lập: cho tệp chạy thử ở nơi cách ly rồi quan sát. Một số mã độc tự kiểm tra xem có đang bị giả lập không và nằm im.
• Giám sát hành vi: bắt được thứ vừa chạy mới bộc lộ, ví dụ tiến trình đổi đuôi và mã hoá hàng loạt tệp, hoặc chèn mã vào tiến trình khác.
• Tra cứu đám mây (reputation): tệp hiếm, mới xuất hiện, ký bởi chứng thư lạ sẽ bị nghi ngờ hơn tệp phổ biến. Cần có kết nối mạng để phát huy hết.

Antivirus, EDR và tường lửa khác nhau thế nào?

Ba công cụ này hay bị gộp làm một, nhưng việc của chúng khác nhau:

Công cụ	Chủ yếu làm gì	Phù hợp với
Antivirus / chống mã độc	Quét, chặn, cách ly mã độc trên một thiết bị	Mọi máy tính, điện thoại; cá nhân và doanh nghiệp nhỏ
EDR (phát hiện và phản ứng tại thiết bị đầu cuối)	Ghi lại hoạt động, phát hiện chuỗi hành vi bất thường, cô lập máy từ xa, hỗ trợ điều tra	Doanh nghiệp có đội hoặc đối tác theo dõi cảnh báo
Tường lửa	Lọc kết nối mạng theo quy tắc, không phân tích nội dung tệp trên máy	Ranh giới mạng và từng máy; xem bài WAF và firewall khác nhau

Nhiều sản phẩm doanh nghiệp hiện gộp chống mã độc và EDR trong một tác nhân (agent) cài trên máy, nên ranh giới giữa hai loại ngày càng mờ. Khi so sánh, hãy hỏi cụ thể sản phẩm có ghi lại lịch sử hành vi và cô lập máy từ xa không, thay vì chỉ nhìn tên gọi.

Windows có sẵn antivirus, có cần mua thêm không?

Windows 10 và 11 có Microsoft Defender Antivirus, bật sẵn. Khi bạn cài một phần mềm chống mã độc của hãng khác và nó đăng ký với Windows, Defender thường tự chuyển sang chế độ không quét thời gian thực để hai phần mềm không tranh nhau. Vì thế, không nên chạy song song hai phần mềm quét thời gian thực: chúng có thể làm chậm máy và gây xung đột. Còn máy dùng cho kế toán, bán hàng hay quản trị hệ thống thì quyết định nên dựa vào nhu cầu quản lý tập trung và EDR, không phải vào cảm giác “có trả tiền thì tốt hơn”.

Chọn phần mềm diệt virus cho doanh nghiệp theo tiêu chí nào?

• Kết quả kiểm thử độc lập: tham khảo các phòng thử nghiệm như AV-TEST, AV-Comparatives, SE Labs. Mỗi nơi dùng phương pháp riêng, nên đọc cả tỷ lệ phát hiện lẫn tỷ lệ báo nhầm, và xem bài thử thuộc phân khúc người dùng hay doanh nghiệp.
• Quản lý tập trung: một bảng điều khiển để xem máy nào chưa cập nhật, bị tắt bảo vệ hay có cảnh báo chưa xử lý. Báo cáo của NCA ở trên cho thấy hơn một nửa đơn vị khảo sát chưa có bước này.
• Chống can thiệp (tamper protection): người dùng thường hoặc mã độc không thể tắt bảo vệ.
• Khả năng cô lập và điều tra: có EDR hoặc nâng cấp được lên EDR không, lưu nhật ký bao lâu.
• Tác động hiệu năng: thử trên vài máy cấu hình yếu nhất của công ty trước khi triển khai hàng loạt.
• Hỗ trợ nền tảng: Windows, macOS, Linux máy chủ, Android; ai xử lý khi có cảnh báo ngoài giờ.

Cách phòng chống malware cho cá nhân

1. Bật cập nhật tự động cho hệ điều hành, trình duyệt, ứng dụng. Thay thiết bị không còn nhận bản vá.
2. Luôn bật phần mềm chống mã độc; trên Windows, phần mềm tích hợp sẵn là mức tối thiểu.
3. Không dùng phần mềm crack, công cụ kích hoạt bản quyền, ứng dụng “mod”.
4. Chỉ tải từ trang chính thức hoặc kho ứng dụng chính thức; cẩn thận kết quả tìm kiếm dạng quảng cáo.
5. Không mở tệp, link bất ngờ, kể cả từ người quen; hỏi lại qua kênh khác.
6. Không cài ứng dụng theo link gửi qua tin nhắn, cuộc gọi.
7. Bật xác thực đa yếu tố, ưu tiên ứng dụng xác thực hoặc khoá bảo mật thay SMS.
8. Sao lưu dữ liệu quan trọng ra nơi tách biệt, có lưu phiên bản cũ.

Cách phòng chống malware cho doanh nghiệp

Doanh nghiệp không thể dựa vào việc “nhân viên cẩn thận”. Nguyên tắc là phòng thủ nhiều lớp (defense in depth): một lớp bị vượt qua, lớp sau vẫn hạn chế thiệt hại. Hướng dẫn của Trung tâm An ninh mạng quốc gia Anh (NCSC) chia công việc thành bốn nhóm: sao lưu, ngăn malware được đưa vào và lây lan, ngăn malware chạy trên thiết bị, và chuẩn bị cho sự cố.

Chín việc nên làm, theo thứ tự ưu tiên

1. Kiểm kê và vá lỗi: lập danh sách đầy đủ thiết bị, phần mềm, dịch vụ đám mây. Vá trước thiết bị mở ra Internet (VPN, tường lửa, cổng email) và lỗ hổng đang bị khai thác thực tế.
2. Bảo vệ danh tính: MFA cho email, VPN, tài khoản quản trị, ưu tiên khoá bảo mật hoặc passkey (xem bài xác thực đa yếu tố MFA). Tắt RDP nếu không cần.
3. Chặn từ cửa ngõ: lọc email chặn tệp thực thi và tài liệu có macro từ bên ngoài, lọc DNS, tắt autorun USB.
4. Chỉ chạy phần mềm tin cậy: danh sách ứng dụng được phép (application allowlisting); nhân viên dùng tài khoản thường; tài khoản quản trị không dùng để đọc email, lướt web.
5. EDR quản lý tập trung: công cụ phát hiện và phản ứng tại thiết bị đầu cuối (EDR) phát hiện hành vi bất thường và cô lập máy từ xa, khắc phục điểm yếu của mã độc không tệp.
6. Phân đoạn mạng: tách văn phòng, máy chủ, sản xuất, camera, Wi-Fi khách; tường lửa chặn cả kết nối chiều ra không cần thiết. Về dài hạn, mô hình zero trust hạn chế mã độc lan ngang.
7. Sao lưu ngoại tuyến: NCSC khuyến nghị bản sao tách biệt, không kết nối thường trực với mạng, tốt nhất ở địa điểm khác; tài khoản sao lưu có MFA; diễn tập khôi phục định kỳ.
8. Đào tạo và văn hoá báo cáo: ngắn, thường xuyên, sát tình huống thật (hoá đơn giả, tệp “bảng lương”); có kênh báo cáo dễ dùng, không trách phạt người lỡ bấm.
9. Kiểm soát bên thứ ba: nhà cung cấp có quyền truy cập phải dùng MFA, quyền vừa đủ, có thời hạn, có nhật ký; điều khoản thông báo sự cố trong hợp đồng.

Quy mô	Mức tối thiểu nên có
Dưới 20 nhân viên	Cập nhật tự động, chống mã độc có quản lý, MFA cho email, sao lưu tách biệt, cấm phần mềm lậu
20–200 nhân viên	Thêm EDR, lọc email và DNS, phân đoạn mạng cơ bản, vá lỗi hằng tháng, kịch bản ứng phó
Trên 200 nhân viên	Thêm danh sách ứng dụng được phép, quản lý đặc quyền, giám sát 24/7, hệ thống quản lý theo tiêu chuẩn như ISO 27001

Bị nhiễm malware phải làm gì?

Với máy cá nhân

1. Ngắt mạng ngay để mã độc không gửi thêm dữ liệu hay nhận lệnh.
2. Dùng thiết bị khác, sạch, để đổi mật khẩu email, ngân hàng, ví điện tử, mạng xã hội; đăng xuất mọi phiên đăng nhập.
3. Báo ngân hàng nếu nghi lộ thông tin thẻ, tài khoản.
4. Quét bằng phần mềm chống mã độc đã cập nhật; nếu không chắc đã sạch, cài lại hệ điều hành. Với điện thoại, gỡ ứng dụng lạ, thu hồi quyền trợ năng, cân nhắc khôi phục cài đặt gốc.
5. Khôi phục từ bản sao lưu sạch, quét trước khi mở.

Với doanh nghiệp

Tài liệu SP 800-61 Rev. 3 của NIST (04/2025) gắn ứng phó sự cố vào quản lý rủi ro theo khung NIST CSF 2.0. Áp dụng cho sự cố malware:

1. Phát hiện, đánh giá: máy nào, tài khoản nào bị ảnh hưởng, loại mã độc gì, dữ liệu nào có nguy cơ lộ.
2. Cô lập: tách máy nhiễm khỏi mạng. Cơ quan An ninh mạng và Hạ tầng Mỹ (CISA) khuyến nghị không tắt nguồn trừ khi không cô lập được, vì tắt máy làm mất dấu vết trong bộ nhớ.
3. Bảo toàn bằng chứng: giữ nhật ký, ảnh bộ nhớ, ảnh ổ đĩa trước khi cài lại.
4. Loại bỏ: cài lại từ ảnh hệ thống sạch, vá lỗ hổng bị khai thác, đổi mật khẩu và thu hồi phiên của mọi tài khoản liên quan.
5. Khôi phục: theo thứ tự ưu tiên, theo dõi sát dấu hiệu tái nhiễm.
6. Rút kinh nghiệm: mã độc vào bằng đường nào, lớp phòng thủ nào thất bại; cập nhật kịch bản.

Nếu sự cố làm lộ dữ liệu cá nhân, Điều 23 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 yêu cầu thông báo cơ quan chuyên trách chậm nhất 72 giờ kể từ khi phát hiện. Khung quản trị rộng hơn có trong bài an ninh mạng là gì.

Cách gỡ virus, mã độc khỏi máy tính và điện thoại

Phần trên là thứ tự ưu tiên khi vừa phát hiện nhiễm. Phần này đi vào thao tác gỡ trên từng nền tảng. Hãy làm tuần tự, không bỏ bước, và đừng tin cửa sổ bật lên báo “máy bị nhiễm, gọi ngay số này”: đó thường là chiêu lừa hỗ trợ kỹ thuật chứ không phải cảnh báo của hệ điều hành.

Gỡ virus trên Windows 10 và 11

1. Ngắt mạng và sao chép dữ liệu cần giữ. Chỉ chép tài liệu, ảnh; không chép tệp chạy được (.exe, .msi, .bat, .js) vì có thể mang mã độc sang ổ lưu trữ.
2. Khởi động vào Safe Mode. Giữ phím Shift trong khi bấm Restart, chọn Troubleshoot, Advanced options, Startup Settings, Restart, rồi bấm phím 5 để vào Safe Mode with Networking. Ở chế độ này nhiều mã độc không được nạp, nên dễ quét và gỡ hơn.
3. Quét ngoại tuyến bằng Microsoft Defender. Mở Windows Security, vào Virus and threat protection, Scan options, chọn Microsoft Defender Antivirus (offline scan), bấm Scan now. Máy sẽ khởi động lại và quét trước khi Windows nạp đầy đủ, phù hợp khi nghi mã độc cố bám trụ.
4. Quét thêm bằng công cụ quét theo yêu cầu (on-demand) từ trang chính thức của một hãng khác. Mục đích là lấy ý kiến thứ hai. Đừng cài thêm một phần mềm quét thời gian thực chạy song song.
5. Soi các điểm bám trụ. Trong Task Manager, tab Startup apps: tắt mục lạ. Trong Settings, Apps, Installed apps: sắp theo ngày cài và gỡ chương trình bạn không nhận ra. Kiểm tra tiện ích trình duyệt và trang chủ. Kỹ thuật viên có thể dùng công cụ Autoruns của Sysinternals để xem toàn bộ mục tự khởi động, nhưng chỉ xoá mục khi biết chắc nó là gì.
6. Cài lại nếu còn nghi ngờ. Nếu phần mềm bảo mật liên tục bị tắt, cảnh báo quay lại sau khi đã dọn, hoặc nghi rootkit, bootkit, hãy xoá sạch ổ đĩa và cài lại Windows từ bộ cài tạo từ nguồn chính thức. Ca nhiễm infostealer hoặc ransomware cũng nên cài lại.
7. Đổi mật khẩu và thu hồi phiên từ một thiết bị sạch khác, rồi mới đăng nhập lại trên máy vừa dọn. Nếu không, mã độc còn lại (hoặc cookie đã bị lấy) vẫn đủ để chiếm tài khoản.

Gỡ mã độc trên Android

1. Tắt Wi-Fi và dữ liệu di động. Gọi ngân hàng nếu đã nhập thông tin thẻ hoặc OTP vào ứng dụng lạ.
2. Vào Settings, mục Accessibility (Trợ năng), tắt dịch vụ của ứng dụng bạn không nhận ra. Vào mục ứng dụng quản trị thiết bị (Device admin apps), thu hồi quyền của ứng dụng lạ. Tên mục có thể khác theo hãng máy.
3. Gỡ ứng dụng đó. Nếu nút gỡ bị mờ, khởi động Safe Mode (thường nhấn giữ mục Tắt nguồn rồi giữ tiếp để chọn) và gỡ tại đó.
4. Mở Google Play, vào Play Protect và chạy quét ứng dụng.
5. Nếu thao tác lạ vẫn xảy ra, khôi phục cài đặt gốc rồi chỉ cài lại ứng dụng từ kho chính thức. Trước đó, đổi mật khẩu tài khoản Google, ngân hàng từ thiết bị khác.

Trên iPhone

iOS chạy mỗi ứng dụng trong hộp cách ly nên mã độc dạng virus rất hiếm. Rủi ro thực tế thường là lừa đảo lấy mật khẩu hoặc cấu hình lạ. Hãy cập nhật iOS, xoá ứng dụng bạn không nhận ra, vào Settings, General, VPN and Device Management để gỡ hồ sơ cấu hình (profile) không rõ nguồn gốc, đổi mật khẩu Apple ID và xem danh sách thiết bị đang đăng nhập tài khoản.

Lỗi thường gặp khi gỡ virus

Lỗi	Hậu quả	Cách đúng
Tải “công cụ gỡ virus miễn phí” từ quảng cáo tìm kiếm	Cài thêm trojan hoặc infostealer	Chỉ lấy công cụ từ trang của nhà cung cấp, gõ trực tiếp địa chỉ
Cài hai phần mềm quét thời gian thực cùng lúc	Xung đột, máy chậm, lỗ hổng trong bảo vệ	Dùng một phần mềm thường trực, thêm công cụ quét theo yêu cầu khi cần
Xoá tệp lạ rồi coi như xong	Mã độc còn ở mục tự khởi động, tác vụ định kỳ	Kiểm tra Startup apps, tiện ích trình duyệt, cài lại nếu không chắc
Quét sạch rồi dùng lại mật khẩu cũ	Tài khoản vẫn bị chiếm bằng dữ liệu đã bị lấy	Đổi mật khẩu từ thiết bị sạch, đăng xuất mọi phiên
Làm theo người lạ qua điện thoại, cài phần mềm điều khiển từ xa	Kẻ gian có toàn quyền, lấy tiền thật	Chỉ nhờ ngân hàng, công an hoặc kỹ thuật viên bạn biết

Sau khi gỡ xong, hãy khôi phục dữ liệu từ bản sao lưu đã có từ trước ngày nhiễm. Nếu chưa có thói quen sao lưu, bài về sao lưu đám mây giải thích cách giữ nhiều phiên bản để quay lại thời điểm sạch.

Pháp luật Việt Nam quy định gì về malware?

Từ 01/07/2026, Luật An ninh mạng số 116/2025/QH15 (thông qua 10/12/2025) có hiệu lực, thay thế Luật An toàn thông tin mạng 2015 và Luật An ninh mạng 2018. Các điểm liên quan trực tiếp:

Quy định	Nội dung chính
Khoản 9 Điều 2	Định nghĩa phần mềm độc hại
Khoản 4 Điều 7	Cấm sản xuất, đưa vào sử dụng công cụ, phần mềm hoặc phát tán chương trình tin học gây hại ảnh hưởng tới mạng viễn thông, Internet, hệ thống thông tin
Điểm a khoản 2 Điều 15	Chủ quản hệ thống thông tin kiểm tra an ninh mạng để phát hiện, loại bỏ mã độc, phần cứng độc hại, lỗ hổng
Điều 17	Mọi cơ quan, tổ chức, cá nhân chủ động phòng ngừa, phát hiện, ngăn chặn phần mềm độc hại; doanh nghiệp thư điện tử, lưu trữ thông tin phải có hệ thống lọc; doanh nghiệp cung cấp Internet phải ngăn chặn phát tán
Điều 40	Chủ quản hệ thống thông tin kết nối giám sát, phòng chống mã độc với Trung tâm An ninh mạng theo quy định; báo cáo sự cố với lực lượng chuyên trách

Nghị định 331/2026/NĐ-CP ngày 19/08/2026 quy định chi tiết bảo vệ an ninh mạng đối với hệ thống thông tin theo năm cấp độ. Điều 286 Bộ luật Hình sự 2015 quy định tội phát tán chương trình tin học gây hại cho hoạt động của mạng máy tính, mạng viễn thông, phương tiện điện tử.

Những hiểu lầm phổ biến về malware

• “Mac và iPhone không nhiễm”: ít bị nhắm hơn không có nghĩa miễn nhiễm; Kaspersky ghi nhận 29% người dùng Mac gặp mối đe doạ năm 2025.
• “Có antivirus là đủ”: mã độc mới, mã độc không tệp và việc dùng tài khoản hợp lệ có thể qua mặt công cụ quét tệp.
• “Doanh nghiệp nhỏ không ai nhắm”: phần lớn mã độc lây hàng loạt; DBIR 2026 nhận định tổ chức nhỏ chịu ảnh hưởng ransomware không cân xứng.
• “Cài lại Windows là xong”: mật khẩu, cookie đã bị gửi đi thì vẫn bị dùng; phải đổi mật khẩu và thu hồi phiên.
• “Virus là tên khác của malware”: virus chỉ là loại cần tệp vật chủ; phần lớn ca nhiễm hiện nay là trojan, infostealer hay ransomware.

Câu hỏi thường gặp

Malware và virus có phải là một không?

Không. Malware là tên gọi chung; virus là một loại malware, lây bằng cách chèn vào tệp khác. Worm, trojan, spyware, ransomware cũng là malware nhưng không phải virus.

Phần mềm diệt virus miễn phí có đủ không?

Với cá nhân dùng máy cẩn thận, phần mềm bảo mật tích hợp sẵn và luôn cập nhật là mức tối thiểu chấp nhận được. Doanh nghiệp cần giải pháp quản lý tập trung, có báo cáo và khả năng phản ứng.

Antivirus và EDR khác nhau thế nào?

Antivirus tập trung chặn và cách ly mã độc trên từng thiết bị. EDR ghi lại hoạt động trên máy, phát hiện chuỗi hành vi bất thường, cho phép cô lập máy từ xa và điều tra sau sự cố. Nhiều sản phẩm doanh nghiệp gộp cả hai trong một tác nhân.

Tải nhầm tệp nhưng chưa mở thì có sao không?

Phần lớn malware phải được chạy mới gây hại. Hãy xoá tệp, dọn thùng rác và quét máy. Nếu đã mở hoặc đã bấm “cho phép”, làm theo các bước xử lý ở trên.

Có nên trả tiền khi bị mã độc tống tiền?

Cơ quan chức năng Việt Nam và FBI đều khuyến nghị không trả, vì trả tiền không bảo đảm lấy lại dữ liệu và khuyến khích tội phạm. Sao lưu ngoại tuyến giúp bạn không rơi vào thế phải chọn.

Có nên tải tệp nghi ngờ lên dịch vụ quét trực tuyến?

Được, với tệp không nhạy cảm. Tệp tải lên dịch vụ quét công khai có thể bị người khác xem, nên đừng tải hợp đồng, tài liệu nội bộ hay dữ liệu cá nhân. Kết quả “sạch” cũng chưa bảo đảm an toàn với mã độc mới.