Barracuda: Một email lừa đảo giờ đây nhắm mục tiêu vào cả người nhận lẫn AI trong hộp thư đến của họ

Vào ngày 7 tháng 10 năm 2026, Barracuda Research đã công bố một phân tích về một chiến dịch lừa đảo được thiết kế để nhắm vào hai đối tượng đọc cùng một thông điệp: người nhận được nó, và trợ lý AI tóm tắt hộp thư đến của họ. Phần dành cho con người thì không có gì đáng chú ý — một tệp đính kèm được bảo vệ bằng mật khẩu với mật khẩu được ghi ngay trong nội dung thư, một sự kết hợp mà Barracuda nói rằng "tạo ra một điểm mù đối với các biện pháp kiểm soát bảo mật email truyền thống." Phần thứ hai là mới. Ẩn bên trong cùng email đó — trong các chú thích HTML, văn bản vô hình bằng CSS, các khối được mã hóa Base64 và ký tự độ rộng bằng không — là những chỉ dẫn nhắm vào bất kỳ mô hình nào phân tích thư, nhằm khiến trợ lý "trình bày email lừa đảo như thể hợp pháp hoặc khẩn cấp" hoặc khiến nó tự hành động.

Barracuda cho biết mẫu mà họ kiểm tra được ngụy trang dưới dạng thư từ nội bộ thông thường và mang điểm số spam đáng tin cậy, và rằng nó có nguồn gốc từ một tên miền thuộc khu vực công. Hồ sơ lưu trữ không ghi nhận nạn nhân nào được xác nhận và không có thiệt hại nào được báo cáo: đây là một phát hiện nghiên cứu về một mô hình tấn công, không phải là tiết lộ về một tổ chức bị xâm phạm. Barracuda không tiết lộ quy mô của chiến dịch, và cả Infosecurity Magazine lẫn The Hacker News — cả hai đều đưa tin về nghiên cứu này — đều không thể bổ sung thêm số liệu.

Barracuda thực sự đã công bố điều gì

Bài viết là một bài đăng blog nghiên cứu mối đe dọa của nhà cung cấp, có tiêu đề “Threat Spotlight: Các cuộc tấn công qua email nhắm vào cả con người và AI trong cùng một thông điệp” và được ghi tên tác giả là Guruprasad Kenja, được mô tả là nhà phân tích mối đe dọa của Barracuda. Bài viết ghi ngày 7 tháng 10 năm 2026 trong đường dẫn URL và mang dấu “Cập nhật: ngày 6 tháng 10 năm 2026” trên chính trang đó; bài tin của Infosecurity Magazine, do Alessandro Mascellino viết, ghi ngày 7 tháng 10 và bản tổng hợp ThreatsDay trên The Hacker News, xuất bản ngày 8 tháng 10, liên kết đến cùng bài đăng của Barracuda. Sự chênh lệch một ngày giữa ngày trên URL và dấu thời gian trên trang là của chính Barracuda và không được bất kỳ bên nào trong ba bên giải thích.

Cách Barracuda đặt vấn đề là trợ lý đã trở thành một bề mặt tấn công thứ hai. Theo cách diễn đạt của họ, các tổ chức "không chỉ phải bảo vệ người dùng và hộp thư đến, mà còn cả các hệ thống AI tiếp nhận và hành động dựa trên dữ liệu email." Nghiên cứu mô tả một thông điệp duy nhất chứa hai payload, thay vì một kỹ thuật khai thác mới: mồi nhử kỹ thuật xã hội thông thường là thứ mà bộ lọc được tạo ra để bắt, còn prompt injection được đặt ở nơi mà bộ lọc trước nay chưa từng xét tới.

Mẫu thử: được chế tạo để vượt qua các kiểm tra uy tín

Barracuda liệt kê ba đặc điểm của thông điệp mà, theo giải thích của mình, đã giúp nó lọt qua bộ lọc dựa trên uy tín:

• Địa chỉ Từ và Đến là cùng một hộp thư, nên thư được hiểu như một ghi chú cho chính mình hơn là thư từ bên ngoài.

• Nó mang điểm tin cậy về khả năng là thư rác.

• Nó bắt nguồn từ một tên miền thuộc khu vực công.

Barracuda không nêu tên miền khu vực công, không cho biết liệu miền đó là nguồn gốc thật sự của thông điệp hay là miền bị giả mạo, và không đưa ra ngày tháng khi thông điệp được quan sát. Những khoảng trống đó có ý nghĩa với bất kỳ ai đang cố đánh giá chiến dịch đã tiến gần đến mức nào tới việc phát huy tác dụng, và chúng là khoảng trống trong nguồn sơ cấp, chứ không phải điều mà một cơ quan truyền thông khác đã lấp vào.

Nửa ẩn giấu: bốn cách các chỉ dẫn bị tuồn vào

Barracuda gọi tên bốn kỹ thuật là những kỹ thuật mà nó thường thấy. Cả bốn đều dựa trên cùng một sự bất đối xứng: một ứng dụng email hiển thị thông điệp theo một cách, trong khi mô hình đọc nguồn thô lại thấy mọi thứ mà ứng dụng email đã ẩn đi.

Mỗi mục trong danh sách đó mô tả một vật mang, chứ không phải một hiệu ứng, và Barracuda nói rõ rằng các injection được thiết kế để tác động lên trợ lý thay vì lên con người. Thẻ loại của bản ghi là IPI — tiêm lệnh gián tiếp (indirect prompt injection) — thuật ngữ tiêu chuẩn để chỉ những chỉ dẫn xuất hiện bên trong nội dung mà mô hình được yêu cầu xử lý, thay vì do người dùng của mô hình gõ vào.

Những mũi tiêm nhằm mục đích gì

Mô tả của Barracuda về các mục tiêu của payload diễn ra theo hai hướng. Hướng mềm mỏng hơn cố bẻ lái bản tóm tắt: nếu con người bỏ qua tệp đính kèm, văn bản ẩn nhằm khiến trợ lý mô tả thông điệp là hợp pháp hoặc khẩn cấp, thúc đẩy người nhận mở và nhấp. Barracuda nói rằng không có chỉ dẫn nào trong số này hiển thị với người dùng. Hướng cứng rắn hơn cố biến trợ lý thành tác nhân — bảo nó "bỏ qua các chỉ dẫn trước đó của nó" và thay vào đó gửi một yêu cầu khẩn cấp để chuyển tiền, rò rỉ dữ liệu, hoặc đưa ra một hành động khẩn cấp giả mạo.

Các ví dụ thực tế đi kèm mà Barracuda trích dẫn cho thấy cùng một cơ chế được áp dụng cho các quy trình làm việc khác do AI làm trung gian:

• Một email hóa đơn chứa khối văn bản ẩn, trong đó chỉ thị cho mô hình tóm tắt thêm một hành động ưu tiên giả mạo nhằm thay đổi thông tin thanh toán của nhà cung cấp, dụ dỗ một nhân viên chuyển tiền cho kẻ tấn công.

• Một bản sơ yếu lý lịch có văn bản ẩn chỉ dẫn công cụ sàng lọc AI đánh giá ứng viên 10 trên 10 và đề xuất phỏng vấn ngay lập tức bất kể trình độ.

• Một yêu cầu được trình bày như một "chế độ bảo trì hoặc quản trị" được uỷ quyền, nhằm yêu cầu bot hỗ trợ tiết lộ cấu hình của chính nó.

• Tài liệu bị đầu độc trên một trang mà trợ lý lập trình đọc, hướng dẫn nó chèn một dòng đánh cắp thông tin xác thực mỗi lần nó tạo mã xác thực.

Những điều này được mô tả như các ví dụ về kỹ thuật, chứ không phải là các vụ vi phạm đã được xác nhận. Không có nội dung nào trong bài đăng của Barracuda nói rằng một mô hình tóm tắt, một công cụ sàng lọc, một bot hỗ trợ hay một trợ lý lập trình thực sự đã tuân theo trong một triển khai thực tế, và kho lưu trữ ghi real_harm là false.

Điều gì đã được xác lập, và điều gì chưa.

Sự phân biệt này ở đây quan trọng hơn so với hầu hết các bản tường thuật sự cố, bởi vì hồ sơ mô tả một thiết kế chứ không phải một kết quả.

• Đã xác lập: Barracuda Research đã xem xét một chiến dịch phishing kết hợp tệp đính kèm được bảo vệ bằng mật khẩu với prompt injection ẩn trong cùng một thư, và công bố phân tích của mình vào ngày 7 tháng 10 năm 2026. Bốn kỹ thuật che giấu và bốn ví dụ sử dụng được nêu trong bài đăng đó. Hai cơ quan truyền thông độc lập — Infosecurity Magazine và The Hacker News — đã đưa tin về cùng những phát hiện đó mà không mâu thuẫn với nhau, đó là lý do mức độ tin cậy của hồ sơ được xếp loại A.

Chưa xác định được: liệu có trợ lý nào thực sự bị chiếm quyền hay không, có bao nhiêu trường hợp, ai đã nhận, và liệu tiền có được chuyển hay dữ liệu có bị lấy đi. Barracuda từ chối bình luận về quy mô của chiến dịch. Chưa có cơ quan quản lý, tổ chức nạn nhân hay đơn vị an ninh nào xác nhận một trường hợp cụ thể, và không có bên nào được nêu tên gắn với mẫu.

• Không có tranh chấp: không có gì trong nội dung đưa tin mâu thuẫn với lời kể của Barracuda. Những câu hỏi còn để ngỏ là những thiếu sót, chứ không phải bất đồng — và kho lưu trữ không ghi nhận phát hiện này là đang bị tranh cãi.

Bản ghi được phân loại là một phát hiện nghiên cứu ở mức độ nghiêm trọng trung bình, với sự tham gia của AI đã được xác nhận — trợ lý AI là mục tiêu mà chiến dịch được thiết kế xoay quanh, và đó là lý do thông điệp này bất thường. Nó không được phân loại là một dấu mốc quan trọng, và không có khoảng thời gian nào: phân tích mô tả một thời điểm duy nhất, ngày 7 tháng 10 năm 2026, chứ không phải một khoảng thời gian diễn ra chiến dịch.

Các biện pháp giảm thiểu mà Barracuda khuyến nghị

Quan điểm của Barracuda là "không có biện pháp kiểm soát đơn lẻ nào có thể ngăn chặn mọi biến thể," nên các khuyến nghị của hãng là một chồng biện pháp thay vì một giải pháp khắc phục duy nhất. Hãng khuyến nghị loại bỏ các phần tử ẩn, chú thích và ký tự vô hình khỏi nội dung trước khi nội dung đó đến hệ thống AI; phát hiện các cụm từ ghi đè chỉ thị như một dấu hiệu nhận dạng của prompt injection; chạy các trợ lý trong sandbox để giới hạn phạm vi tiếp cận của chúng; xác thực đầu ra trước khi phản hồi của trợ lý kích hoạt một hành động; và yêu cầu con người phê duyệt đối với thanh toán, thay đổi nhà cung cấp và các quyết định nhạy cảm khác. Hãng cũng khuyến nghị giám sát các nỗ lực prompt injection lặp lại, đồng thời nêu nguyên tắc cơ bản là coi nội dung bên ngoài "luôn chỉ là dữ liệu và được tách biệt khỏi chỉ thị."

Bài đăng cũng chỉ ra các sản phẩm của chính Barracuda — Email Gateway Defense, Behavioral AI và Automated Threat Response — như những biện pháp kiểm soát mà hãng bán cho phần lọc và khắc phục. Đó là việc một nhà cung cấp giới thiệu danh mục của chính mình, và cần được đọc theo tinh thần đó: các khuyến nghị kỹ thuật độc lập với sản phẩm, nhưng bài đăng không kiểm chứng cả hai trước chiến dịch mà nó mô tả.

Tại sao bản ghi này đáng để giữ lại

Giá trị cụ thể của mục này nằm ở chỗ nó ghi lại thời điểm mà hai lớp phòng vệ trước đây vốn tách biệt không còn bao phủ cùng một thông điệp. Một tệp đính kèm được bảo vệ bằng mật khẩu đánh bại việc quét nội dung vì trình quét không thể mở tệp; một đòn tiêm lệnh ẩn đánh bại việc chấm điểm uy tín vì chấm điểm uy tín chỉ nhìn vào người gửi, chứ không nhìn vào việc mô hình ngôn ngữ sẽ làm gì với phần thân thư. Đặt cả hai vào cùng một email thì các kiểu thất bại sẽ chồng lên nhau: một bộ lọc đã cho thông điệp đi qua nhờ vào một điểm số đáng tin cậy thì cũng đã cho qua luôn phần tải trọng nhắm vào bất cứ thứ gì đọc hộp thư đến tiếp theo. Mẫu của Barracuda chính là bằng chứng cho thấy sự kết hợp này không phải là giả thuyết.

Bản ghi này — phát hiện về lừa đảo nhắm mục tiêu kép của Barracuda — là một mục trong Kho lưu trữ Sự cố AI OrcaRouter, nơi theo dõi các sự cố AI, phát hiện nghiên cứu và đánh giá với cùng các trường được dùng ở trên: mức độ nghiêm trọng, độ tin cậy, trạng thái tranh chấp và tổn hại thực tế.