DDoS là gì? Các loại tấn công DDoS và cách phòng chống

Mục lục

1. DDoS là gì?
2. A DDoS attack hoạt động thế nào và thuật ngữ tiếng Anh thường gặp
3. DoS và DDoS khác nhau thế nào?
4. Botnet là gì và vì sao DDoS ngày càng lớn?
5. Các loại tấn công DDoS phổ biến
6. Tình hình DDoS 2025–2026 qua các báo cáo lớn
7. Dấu hiệu nhận biết hệ thống đang bị DDoS
8. Cách phòng chống DDoS cho doanh nghiệp
9. Chọn giải pháp chống DDoS theo tiêu chí nào?
10. Kế hoạch ứng phó khi bị DDoS
11. Doanh nghiệp nhỏ nên bắt đầu từ đâu?
12. Pháp luật Việt Nam quy định gì về DDoS?
13. Câu hỏi thường gặp

DDoS là gì?

DDoS là viết tắt của Distributed Denial of Service, tức tấn công từ chối dịch vụ phân tán. Mục tiêu không phải đột nhập hay lấy dữ liệu, mà là làm một dịch vụ trực tuyến không dùng được: website không tải, ứng dụng báo lỗi, tổng đài VoIP mất tín hiệu, cổng thanh toán từ chối giao dịch.

Kẻ tấn công gửi lượng yêu cầu hoặc gói tin vượt xa khả năng xử lý của hệ thống. “Phân tán” nghĩa là lưu lượng đến từ rất nhiều thiết bị ở nhiều quốc gia, thường là máy tính, camera, router, TV box đã nhiễm mã độc. Vì nguồn rải rác và lẫn với người dùng thật, cách “khoá một địa chỉ IP” gần như vô dụng.

Trong pháp luật Việt Nam, DDoS thuộc khái niệm tấn công mạng. Khoản 13 Điều 2 Luật An ninh mạng số 116/2025/QH15 định nghĩa tấn công mạng là hành vi dùng công nghệ thông tin hoặc phương tiện điện tử để chiếm đoạt thông tin, gây rối loạn, gián đoạn, tê liệt hoạt động, phá hoại hoặc kiểm soát hệ thống mạng, hệ thống thông tin. DDoS rơi đúng vào phần “gây rối loạn, gián đoạn, tê liệt”.

Ví dụ minh hoạ. Hàng nghìn người được thuê cùng gọi tổng đài đặt bàn của một quán ăn rồi cúp máy. Khách thật gọi không được. Quán không mất tiền trong két nhưng mất trọn buổi doanh thu. DDoS làm đúng như vậy với hệ thống mạng.

A DDoS attack hoạt động thế nào và thuật ngữ tiếng Anh thường gặp

Phần lớn tài liệu kỹ thuật về chủ đề này viết bằng tiếng Anh, nên bạn sẽ gặp cụm “DDoS attack” cùng nhiều thuật ngữ đi kèm. Một đợt tấn công thường đi qua bốn bước:

1. Chiếm thiết bị: mã độc quét Internet, dò tài khoản mặc định hoặc lỗ hổng chưa vá để biến camera, router, TV box thành “bot”.
2. Nhận lệnh: các bot kết nối về máy chủ điều khiển (command and control, C2) và chờ chỉ thị gồm mục tiêu, loại tấn công, thời lượng.
3. Đồng loạt gửi: tất cả bot cùng gửi gói tin hoặc yêu cầu HTTP tới một địa chỉ IP, tên miền hoặc đường dẫn.
4. Cạn tài nguyên: băng thông, bảng kết nối hoặc CPU của mục tiêu đầy; khách thật bị từ chối hoặc chờ quá lâu.

Thuật ngữ tiếng Anh	Nghĩa tiếng Việt	Hiểu nhanh
DDoS attack	Tấn công từ chối dịch vụ phân tán	Nhiều nguồn cùng làm quá tải một mục tiêu
Botnet	Mạng máy bị chiếm quyền	“Đội quân” thiết bị nhiễm mã độc
Flood	Tấn công làm ngập	UDP flood, SYN flood, HTTP flood là tên theo giao thức bị dùng
Reflection, amplification	Phản xạ, khuếch đại	Dùng máy chủ công khai để nhân lưu lượng lên nhiều lần
Volumetric attack	Tấn công theo dung lượng	Làm nghẽn đường truyền, đo bằng Gbps hoặc Tbps
Mitigation	Giảm thiểu tấn công	Lọc lưu lượng xấu, giữ dịch vụ chạy
Scrubbing	Lọc sạch	Chuyển lưu lượng qua trung tâm lọc rồi trả về bản sạch
Blackhole routing	Định tuyến hố đen	Bỏ hết lưu lượng tới IP bị đánh, dịch vụ ngừng hẳn

Hệ thống tên miền (DNS) xuất hiện ở cả hai phía: vừa là mục tiêu (DNS flood), vừa là công cụ khuếch đại (DNS mở cấu hình sai). Vì vậy khi đọc tài liệu tiếng Anh, bạn sẽ thấy DNS được nhắc rất nhiều.

DoS và DDoS khác nhau thế nào?

DoS (Denial of Service) là dạng gốc: một hoặc vài máy tấn công một mục tiêu. DDoS dùng mạng lưới máy bị chiếm quyền (botnet). Hướng dẫn về DDoS phiên bản 2.0 do CISA, FBI và MS-ISAC (Hoa Kỳ) công bố ngày 21/03/2024 phân biệt theo cách này và lưu ý kẻ tấn công còn có thể giả mạo IP nguồn để che giấu nguồn gốc.

Tiêu chí	DoS	DDoS
Nguồn tấn công	Một hoặc vài máy	Hàng nghìn tới hàng triệu thiết bị, hoặc máy chủ bị lợi dụng để phản xạ
Chặn theo IP	Thường hiệu quả	Gần như vô hiệu vì nguồn quá nhiều, thay đổi liên tục
Phòng thủ chính	Firewall, giới hạn kết nối	Hạ tầng phân tán, lọc sạch, WAF, phối hợp nhà mạng

Botnet là gì và vì sao DDoS ngày càng lớn?

Botnet là mạng lưới thiết bị nhiễm phần mềm độc hại, nhận lệnh từ máy chủ điều khiển. Chủ thiết bị thường không biết máy mình đang tham gia tấn công. Mỗi thiết bị gửi một ít, cộng lại thành lưu lượng khổng lồ.

• Mirai (2016): theo cảnh báo TA16-288A của CISA, Mirai chiếm camera IP, đầu ghi hình, router bằng danh sách 62 cặp tài khoản, mật khẩu mặc định. Đợt tấn công trang của nhà báo Brian Krebs tháng 9/2016 vượt 620 Gbps với hơn 380.000 thiết bị. Ngày 21/10/2016, Mirai đánh vào nhà cung cấp DNS Dyn, khiến Twitter, GitHub, Netflix, Reddit khó truy cập ở nhiều nơi. Bảo mật thiết bị IoT vì thế là chuyện chung.
• Aisuru-Kimwolf (2025): theo báo cáo quý 4/2025 của Cloudflare (công bố 05/02/2026), botnet này ước tính gồm 1 tới 4 triệu thiết bị, chủ yếu là Android TV. Đợt lớn nhất năm 2025 hãng ghi nhận đạt 31,4 Tbps và chỉ kéo dài 35 giây.
• DDoS cho thuê: các dịch vụ tự gọi là “booter”, “stresser” cho phép người không có kỹ năng trả tiền thuê tấn công. Báo cáo nửa đầu 2026 của Cloudflare dẫn chiến dịch quốc tế Operation PowerOFF (21 quốc gia) đã gỡ 53 tên miền, bắt 4 người và cảnh báo hơn 75.000 người dùng các dịch vụ này.
• Phản xạ và khuếch đại (reflection, amplification): truy vấn nhỏ với địa chỉ nguồn giả là nạn nhân được gửi tới máy chủ công khai cấu hình sai (DNS mở, NTP, memcached, CLDAP). Phản hồi lớn hơn nhiều lần dồn cả vào nạn nhân. Máy chủ của bạn nếu cấu hình sai cũng có thể vô tình bị lợi dụng tấn công người khác.

Các loại tấn công DDoS phổ biến

CISA, FBI và MS-ISAC chia kỹ thuật DDoS thành ba nhóm, không loại trừ nhau. Một đợt tấn công thực tế thường trộn nhiều nhóm (đa vector) để dò điểm yếu nhất.

1. Tấn công tầng mạng (volumetric)

Mục tiêu là làm nghẽn đường truyền. Nếu đường truyền 10 Gbps bị đổ vào 100 Gbps rác, mọi thiết bị phía sau đều vô dụng dù máy chủ còn khoẻ. Điển hình là UDP flood và khuếch đại qua DNS, NTP, CLDAP, memcached. Ví dụ có ghi chép công khai: ngày 28/02/2018, GitHub bị tấn công khuếch đại qua memcached, đỉnh 1,35 Tbps, 126,9 triệu gói/giây. GitHub phục hồi hoàn toàn sau khoảng 9 phút nhờ chuyển lưu lượng sang nhà cung cấp chống DDoS.

2. Tấn công giao thức (protocol)

Nhóm này khai thác cách giao thức tầng 3, tầng 4 vận hành. Ví dụ SYN flood: gửi rất nhiều yêu cầu mở kết nối TCP nhưng không hoàn tất bắt tay, làm đầy bảng kết nối của máy chủ, firewall hoặc bộ cân bằng tải. Lưu lượng có thể nhỏ về Gbps nhưng lớn về số gói mỗi giây.

3. Tấn công tầng ứng dụng (tầng 7)

Kẻ tấn công gửi yêu cầu trông hợp lệ (trang tìm kiếm, giỏ hàng, API đăng nhập) với số lượng lớn. Mỗi yêu cầu buộc máy chủ truy vấn cơ sở dữ liệu, nên vài nghìn yêu cầu mỗi giây vào đúng điểm “nặng” đủ làm sập website. Dạng hay gặp: HTTP flood, Slowloris (giữ kết nối mở bằng cách gửi dữ liệu rất chậm), DNS query flood. Đây là nhóm khó phát hiện nhất vì giống người dùng thật; cần WAF và quản lý bot.

Nhóm	Tầng OSI	Tài nguyên bị cạn	Đơn vị đo	Phòng thủ chính
Tầng mạng	3, 4	Băng thông	Gbps, Tbps	Anycast, lọc sạch, nhà mạng
Giao thức	3, 4	Bảng trạng thái firewall, cân bằng tải	Gói/giây (pps)	Lọc trạng thái, SYN cookie, lọc sạch
Ứng dụng	7	CPU, RAM, kết nối cơ sở dữ liệu	Yêu cầu/giây (rps)	CDN, WAF, rate limiting, quản lý bot

Tình hình DDoS 2025–2026 qua các báo cáo lớn

Số liệu dưới đây phản ánh hệ thống của từng nhà cung cấp, không phải toàn bộ Internet.

Toàn cầu

• Năm 2025: Cloudflare chặn 47,1 triệu đợt DDoS, hơn gấp đôi năm 2024; riêng tầng mạng tăng từ 11,4 triệu lên 34,4 triệu.
• Nửa đầu 2026: báo cáo công bố 11/08/2026 ghi nhận 23,2 triệu đợt tầng mạng (khoảng 128.000 đợt mỗi ngày) và 29,64 nghìn tỷ yêu cầu HTTP độc hại.
• Tấn công siêu lớn: 935 đợt vượt 1 Tbps trong nửa đầu 2026, trong đó 805 đợt ở quý 2, gấp hơn sáu lần quý 1.
• Ngắn và nhanh: 90,6% đợt tầng mạng kết thúc dưới 10 phút. Cloudflare nhấn mạnh bảo vệ tự động, luôn bật là điều bắt buộc.
• DNS là mục tiêu lớn: DNS flood và khuếch đại DNS chiếm 34,3% số đợt tầng mạng; ngành truyền thông, xuất bản chịu 14,2% lượng yêu cầu HTTP DDoS bị chặn, đứng đầu.

Tại Việt Nam

• Báo cáo quý 4/2025 của Cloudflare xếp Việt Nam thứ 7 về quốc gia bị tấn công và cũng thứ 7 về nguồn phát tán. Thiết bị trong nước vừa là nạn nhân, vừa bị lợi dụng.
• Theo Viettel Cyber Security (VnEconomy, 26/11/2025), quý 3/2025 có hơn 547.000 cuộc DDoS tại Việt Nam, tăng 207% so với cùng kỳ; đợt lớn nhất gần 500 Gbps ngày 13/9, nhắm vào doanh nghiệp công nghệ thông tin, nhà cung cấp hosting và nền tảng giải trí số.
• Báo cáo nửa đầu 2024 của Viettel cho thấy số đợt dưới 1 Gbps tăng gấp ba so với cùng kỳ, do kẻ tấn công cố tình dùng cường độ thấp để lọt qua hệ thống phòng thủ chỉ dựa trên ngưỡng lưu lượng.

Dấu hiệu nhận biết hệ thống đang bị DDoS

Website chậm chưa chắc là DDoS: lỗi cấu hình, đợt khuyến mãi thành công hay bài viết lan truyền cũng gây quá tải. Bạn cần số liệu lưu lượng bình thường (baseline) để so sánh. Dấu hiệu đáng chú ý:

• Yêu cầu dồn vào một đường dẫn: trang tìm kiếm, đăng nhập, một API.
• Bảng kết nối của firewall, cân bằng tải đầy nhanh; số kết nối “nửa mở” tăng mạnh.
• Dịch vụ sập theo chu kỳ, hoặc nhà mạng, hosting cảnh báo và tạm cô lập IP của bạn.

Đặc điểm	Nghiêng về DDoS	Nghiêng về khách thật tăng đột biến
Thời điểm	Bất ngờ, không gắn sự kiện	Trùng chiến dịch, livestream, tin tức
Hành vi	Lặp một đường dẫn, không tải ảnh, CSS, không đi tiếp	Xem nhiều trang, thêm giỏ hàng, có chuyển đổi
Nguồn	Nhiều quốc gia lạ, nhiều ASN trung tâm dữ liệu	Khớp thị trường mục tiêu

DDoS đôi khi là “màn khói”: trong lúc đội vận hành chống quá tải, kẻ tấn công thử xâm nhập ở chỗ khác. Hãy vẫn theo dõi cảnh báo đăng nhập và nhật ký bảo mật. Thiệt hại của DDoS không dừng ở doanh thu mất trong lúc gián đoạn: còn có bồi thường theo cam kết dịch vụ (SLA), chi phí băng thông, điện toán tự co giãn, giờ làm thêm và uy tín. Một số nhóm còn gửi thư tống tiền (ransom DDoS); khác ransomware, dạng này không mã hoá dữ liệu, nhưng nguyên tắc vẫn là không trả tiền và báo cơ quan chức năng.

Cách phòng chống DDoS cho doanh nghiệp

Không có một thiết bị hay dịch vụ nào chặn được mọi DDoS. Phòng thủ hiệu quả là xếp lớp, mỗi lớp loại bỏ một phần lưu lượng xấu trước khi tới hạ tầng của bạn. Đây là một mảng cụ thể trong chiến lược an ninh mạng tổng thể.

1. Biết hệ thống của mình

Liệt kê tài sản hướng ra Internet (tên miền, DNS, website, API, VPN, dải IP), ghi lại lưu lượng bình thường và xác định các điểm “nặng”. CISA khuyến nghị bắt đầu từ đánh giá rủi ro và baseline; không có baseline thì không biết đâu là bất thường.

2. CDN và mạng anycast

CDN (Content Delivery Network) đặt bản sao nội dung ở nhiều máy chủ biên. Với định tuyến anycast (nhiều điểm cùng quảng bá một IP), lưu lượng tấn công bị chia ra hàng trăm điểm thay vì dồn vào một máy chủ; bộ nhớ đệm giúp trang tĩnh vẫn trả lời khi máy chủ gốc khó khăn. Với website chạy trên điện toán đám mây, CDN thường là lớp bảo vệ đầu tiên, dễ triển khai nhất.

3. Trung tâm lọc sạch (scrubbing center)

Tấn công hàng chục, hàng trăm Gbps vượt xa đường truyền doanh nghiệp. Dịch vụ lọc sạch chuyển hướng lưu lượng (qua BGP hoặc DNS) sang trung tâm có năng lực lớn, bỏ gói xấu, trả về lưu lượng sạch. Chế độ luôn bật (always-on) phản ứng gần như tức thì; chế độ theo yêu cầu (on-demand) rẻ hơn nhưng trễ vài phút, có khi bằng cả đợt tấn công.

4. Rate limiting (giới hạn tốc độ)

Đặt trần số yêu cầu một nguồn được gửi trong một khoảng thời gian, ví dụ tối đa 10 lần thử đăng nhập mỗi phút từ một IP. Nên đặt riêng cho từng đường dẫn quan trọng. Hạn chế: botnet hàng triệu IP, mỗi IP gửi vài yêu cầu, sẽ lọt qua giới hạn theo IP; cần kết hợp dấu hiệu khác như phiên, vân tay trình duyệt, hành vi.

5. WAF và quản lý bot

WAF (Web Application Firewall) phân tích từng yêu cầu HTTP, chặn yêu cầu có dấu hiệu tự động, đưa thử thách JavaScript hoặc CAPTCHA cho nguồn đáng ngờ. Khác biệt giữa WAF và tường lửa mạng có trong bài firewall là gì, còn cách WAF lọc từng yêu cầu được giải thích riêng ở bài WAF là gì. Lưu ý: firewall có trạng thái đặt tại văn phòng có thể chính là điểm nghẽn đầu tiên khi bị SYN flood, nên không thể xem firewall là giải pháp chống DDoS.

6. Phối hợp với nhà mạng (ISP)

Nhà mạng có thể chặn ở biên bằng danh sách kiểm soát truy cập (ACL), lọc theo cổng, kích thước gói. Biện pháp mạnh nhất là định tuyến hố đen (blackhole): bỏ toàn bộ lưu lượng tới IP bị tấn công. Cách này bảo vệ phần còn lại của mạng nhưng làm dịch vụ của bạn ngừng hẳn, tức là giúp kẻ tấn công đạt mục tiêu; chỉ dùng khi hết lựa chọn. Hãy lưu sẵn đầu mối kỹ thuật 24/7 của nhà mạng.

7. Kiến trúc chịu tải

• Ẩn IP gốc: máy chủ gốc chỉ nhận kết nối từ dải IP của CDN hoặc dịch vụ lọc. Nếu IP gốc lộ qua bản ghi DNS cũ hay máy chủ mail, kẻ tấn công sẽ đánh thẳng vào, bỏ qua mọi lớp bảo vệ.
• DNS bền vững: dùng DNS có hạ tầng anycast hoặc nhiều nhà cung cấp. Mất DNS là mất toàn bộ dịch vụ dù máy chủ web vẫn chạy.
• Không làm “vũ khí” cho người khác: tắt dịch vụ UDP không cần thiết hướng ra Internet (DNS đệ quy mở, NTP, memcached, SSDP, CLDAP); nếu vận hành mạng, áp dụng lọc địa chỉ nguồn giả mạo theo khuyến nghị BCP 38.

Biện pháp	Hiệu quả với	Hạn chế
CDN, anycast	Tầng mạng, một phần tầng 7	Vô dụng nếu IP gốc lộ; không che dịch vụ không qua CDN (VPN, mail)
Lọc sạch	Tầng mạng, giao thức	Chế độ theo yêu cầu có độ trễ; phí theo dung lượng
Rate limiting	Tầng 7	Kém với botnet rất phân tán; dễ chặn nhầm khách dùng chung NAT
WAF, quản lý bot	Tầng 7	Cần tinh chỉnh quy tắc; không chống tấn công băng thông
Nhà mạng	Tầng mạng	Blackhole làm dịch vụ ngừng hoàn toàn
Tăng băng thông, tự co giãn	Tấn công nhỏ	Không theo kịp tấn công Tbps; chi phí tăng theo tấn công

Chọn giải pháp chống DDoS theo tiêu chí nào?

Phần này trung lập, không gợi ý nhà cung cấp cụ thể. Hãy hỏi:

1. Bảo vệ những gì? Chỉ website, API (giải pháp tầng 7, CDN) hay cả dải IP, VPN, tổng đài, mail (cần lọc tầng mạng qua BGP)?
2. Năng lực lọc và điểm hiện diện gần người dùng Việt Nam, vì ảnh hưởng tới độ trễ hằng ngày.
3. Luôn bật hay theo yêu cầu, và thời gian bắt đầu giảm thiểu (time to mitigate) cam kết trong SLA.
4. Cách tính phí: theo băng thông sạch, theo đợt tấn công hay gói cố định; có thu thêm khi đang bị tấn công không.
5. Dữ liệu đi qua đâu: lưu lượng HTTPS thường được giải mã tại lớp bảo vệ, nên cần xem cách quản lý chứng chỉ, khoá bí mật, và nhật ký chứa dữ liệu cá nhân có phù hợp Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (hiệu lực 01/01/2026) không.
6. Hỗ trợ khẩn cấp: có đội ứng cứu 24/7, có thể bật bảo vệ khi đang bị tấn công không.

Về mô hình: dịch vụ đám mây (CDN, WAF, lọc sạch) hợp với đa số doanh nghiệp; thiết bị tại chỗ chỉ xử lý được tấn công nhỏ hơn đường truyền; mô hình lai, tự đẩy lên đám mây khi vượt ngưỡng, thường dành cho ngân hàng, viễn thông.

Kế hoạch ứng phó khi bị DDoS

Vì phần lớn đợt tấn công ngắn hơn 10 phút, kế hoạch phải viết và diễn tập từ trước. Khung dưới đây tóm lược hướng dẫn năm 2024 của CISA, FBI và MS-ISAC, điều chỉnh cho doanh nghiệp Việt Nam.

Trước khi bị tấn công

• Liệt kê dịch vụ quan trọng và thời gian gián đoạn tối đa chấp nhận được.
• Giám sát lưu lượng, cảnh báo tự động khi vượt baseline; bật sẵn bảo vệ DDoS cho dịch vụ quan trọng.
• Viết kế hoạch ứng phó và truyền thông: ai quyết định, ai gọi nhà mạng, ai trả lời khách hàng; lưu danh bạ khẩn cấp.
• Diễn tập trên giấy (tabletop) ít nhất mỗi năm. Kiểm thử tải thật chỉ làm trên hệ thống của chính bạn, có phê duyệt bằng văn bản và báo trước cho nhà cung cấp hạ tầng.

Trong khi bị tấn công

1. Xác nhận đây là tấn công, không phải lỗi hệ thống hay khách thật tăng.
2. Kích hoạt kế hoạch, báo nhà mạng, hosting, nhà cung cấp chống DDoS để lọc ở thượng nguồn.
3. Nâng mức bảo vệ; áp dụng rate limiting, ACL, chặn theo quốc gia hoặc ASN nếu chắc chắn không có khách ở đó.
4. Lưu bằng chứng: thời điểm, địa chỉ nguồn, mẫu gói tin, nhật ký, thư đe doạ.
5. Thông báo khách hàng qua kênh không phụ thuộc hệ thống đang bị tấn công.

Sau khi bị tấn công

• Đánh giá tác động, phân tích vector và điểm yếu bị khai thác.
• Khắc phục, cập nhật kế hoạch và đào tạo lại nhân sự.
• Trình báo cơ quan chức năng khi tấn công nghiêm trọng, có dấu hiệu tội phạm hoặc kèm tống tiền.

Doanh nghiệp nhỏ nên bắt đầu từ đâu?

1. Đưa website và API ra sau một CDN có bảo vệ DDoS cơ bản.
2. Khoá máy chủ gốc chỉ nhận kết nối từ CDN; đổi IP gốc nếu IP cũ từng công khai.
3. Bật xác thực đa yếu tố cho tài khoản quản lý tên miền, DNS.
4. Đặt rate limiting cho trang đăng nhập, tìm kiếm, form, API công khai; bật cache cho trang ít thay đổi.
5. Giám sát uptime từ bên ngoài, viết một trang kế hoạch ứng phó với số điện thoại hỗ trợ của nhà mạng, hosting, CDN.
6. Đổi mật khẩu mặc định của camera, router, đầu ghi trong văn phòng để thiết bị của bạn không thành một phần của botnet.

Pháp luật Việt Nam quy định gì về DDoS?

Luật An ninh mạng số 116/2025/QH15 (thông qua ngày 10/12/2025, hiệu lực 01/07/2026) thay thế Luật An toàn thông tin mạng 2015 và Luật An ninh mạng 2018. Các điểm liên quan tới DDoS:

• Hành vi bị nghiêm cấm: khoản 3 Điều 7 cấm tấn công mạng; gây sự cố, làm gián đoạn, ngưng trệ, tê liệt hoặc phá hoại hệ thống thông tin. Khoản 4 Điều 7 cấm sản xuất, đưa vào sử dụng công cụ, phần mềm gây rối loạn hoạt động của mạng.
• Hành vi tấn công mạng: điểm b khoản 1 Điều 18 nêu hành vi “gây cản trở, rối loạn, làm tê liệt, gián đoạn, ngưng trệ hoạt động, ngăn chặn trái phép việc truyền đưa dữ liệu của không gian mạng”, đúng bản chất DDoS. Điểm đ cùng khoản nêu việc sản xuất, mua bán, trao đổi công cụ, phần mềm gây hại để dùng vào mục đích trái pháp luật; người thuê dịch vụ DDoS cũng không nằm ngoài vùng rủi ro.
• Nghĩa vụ của doanh nghiệp: khoản 2 Điều 18 buộc chủ quản hệ thống thông tin áp dụng biện pháp kỹ thuật để phòng ngừa, ngăn chặn tấn công mạng với hệ thống mình quản lý. Khoản 3 cho phép lực lượng chuyên trách yêu cầu doanh nghiệp viễn thông, Internet chặn lọc lưu lượng khi tấn công nghiêm trọng.
• Hệ thống quan trọng: theo điểm k khoản 3 Điều 6 Nghị định 333/2026/NĐ-CP ngày 19/08/2026, hệ thống thông tin quan trọng về an ninh quốc gia phải “có giải pháp phát hiện, ngăn chặn truy cập không tin cậy, xâm nhập trái phép, tấn công từ chối dịch vụ và hình thức tấn công mạng khác”. Nghị định 331/2026/NĐ-CP cùng ngày quy định bảo vệ an ninh mạng cho hệ thống thông tin theo cấp độ.
• Trách nhiệm hình sự: Điều 287 Bộ luật Hình sự 2015 (sửa đổi 2017) quy định tội cản trở hoặc gây rối loạn hoạt động của mạng máy tính, mạng viễn thông, phương tiện điện tử, với hình phạt từ phạt tiền tới phạt tù tuỳ hậu quả.

Câu hỏi thường gặp

What is a DDoS attack, hiểu ngắn gọn là gì?

Đó là cuộc tấn công trong đó nhiều thiết bị bị điều khiển cùng gửi lưu lượng tới một dịch vụ cho tới khi dịch vụ quá tải và không phục vụ được người dùng thật. Khác với xâm nhập, mục tiêu là làm gián đoạn chứ không phải lấy dữ liệu.

DDoS có đánh cắp dữ liệu không?

Không trực tiếp. DDoS nhắm vào tính sẵn sàng của dịch vụ, nhưng có thể là màn khói cho một cuộc xâm nhập khác, nên vẫn cần theo dõi nhật ký bảo mật khi xử lý.

Một đợt DDoS thường kéo dài bao lâu?

Phần lớn dưới 10 phút (90,6% đợt tầng mạng nửa đầu 2026, theo Cloudflare), nhưng chiến dịch có thể lặp lại nhiều ngày.

Firewall có chống được DDoS không?

Chỉ một phần. Firewall chặn được tấn công nhỏ, nguồn rõ ràng, nhưng không chống được tấn công lớn hơn đường truyền và dễ cạn bảng kết nối. Cần kết hợp CDN, lọc sạch, WAF và nhà mạng.

Thuê DDoS để “thử” website đối thủ có phạm luật không?

Có. Làm gián đoạn hệ thống của người khác bị Luật An ninh mạng 2025 nghiêm cấm và có thể bị truy cứu theo Điều 287 Bộ luật Hình sự. Kiểm thử tải chỉ làm trên hệ thống của bạn, có phê duyệt.

Bị DDoS thì báo cho ai?

Trước hết là nhà mạng, hosting hoặc nhà cung cấp chống DDoS. Khi tấn công nghiêm trọng hoặc kèm tống tiền, hãy lưu bằng chứng và trình báo cơ quan công an.