Outlook chặn tệp .msix .msixbundle: quyết định đúng nhưng gây khó chịu
Việc Microsoft mở rộng danh sách Outlook chặn tệp đính kèm để thêm các tệp .msix và .msixbundle là bước siết chặt bảo mật email Microsoft nhằm giảm nguy cơ phần mềm độc hại phát tán qua email, bảo vệ an toàn tài khoản công việc nhưng đồng thời buộc người dùng và quản trị viên phải thay đổi cách gửi và nhận gói cài đặt ứng dụng trong môi trường doanh nghiệp.
Về bản chất, tệp .msix và .msixbundle là gói ứng dụng Windows và gói bundle có thể cài đặt trực tiếp trên thiết bị người dùng. Microsoft nhìn thấy điều mà nhiều doanh nghiệp hay xem nhẹ: bất kỳ tệp cài đặt nào được gửi qua email đều có thể bị kẻ tấn công lợi dụng. Khi người dùng quen tay bấm mở và cài đặt mà không kiểm tra nguồn, một gói .msix độc hại đủ sức chiếm quyền thiết bị. Vì vậy, việc Outlook chặn tệp đính kèm dạng này không chỉ là chỉnh sửa nhỏ trong cấu hình, mà là thông điệp rất rõ: email không còn là kênh an toàn để phân phối gói cài đặt ứng dụng. Nếu tổ chức vẫn tiếp tục dùng Outlook làm "đường ống" cho các bộ cài, lỗi không nằm ở Microsoft, mà ở cách chúng ta quản lý rủi ro.
Chi tiết cập nhật: ai bị ảnh hưởng, lúc nào và ở mức độ nào?
Theo thông báo trên Microsoft 365 Message Center, Outlook trên web và New Outlook for Windows sẽ chặn tệp .msix và .msixbundle theo mặc định trong OwaMailboxPolicy bắt đầu từ tháng 11 năm 2026 để tăng cường bảo mật. Bản cập nhật áp dụng cho Outlook for the web, New Outlook for Windows và Exchange Online, nghĩa là hầu hết môi trường Microsoft 365 nền tảng cloud đều nằm trong phạm vi.
Microsoft sẽ thêm hai phần mở rộng này vào BlockedFileTypes trong chính sách hộp thư OWA mặc định và mọi chính sách tùy chỉnh trên tenant của tổ chức. Người dùng gửi hoặc nhận tệp .msix .msixbundle qua Outlook trên web hoặc New Outlook for Windows sẽ không thể mở hay tải xuống các tệp này nữa. Lộ trình triển khai: bản cập nhật được tung ra từ đầu tháng 11 năm 2026 và dự kiến hoàn tất giữa tháng 11 trên toàn cầu (Worldwide, GCC, GCC High, DoD). Nói cách khác, nếu bạn là quản trị Exchange Online hoặc phụ trách bảo mật email Microsoft, bạn không có nhiều thời gian để chuẩn bị. Việc làm ngơ cho đến khi người dùng than phiền vì "đính kèm không mở được" là cách phản ứng thiếu chuyên nghiệp và làm xói mòn niềm tin vào bộ phận IT.
Vì sao tệp .msix .msixbundle bị xem là nguy hiểm?
Ở góc kỹ thuật, không phải .msix hay .msixbundle tự nó độc hại; vấn đề nằm ở cách chúng được gửi và cài đặt. Các tệp này là gói ứng dụng Windows, có quyền thay đổi hệ thống khi người dùng cho phép cài đặt. Microsoft thừa nhận tồn tại nhiều loại tệp có thể bị kẻ tấn công lạm dụng khi gửi làm tệp đính kèm email, và đã có danh sách chặn sẵn như .py, .ps1, .cab… Việc .msix và .msixbundle tới giờ mới được thêm vào danh sách là khá bất ngờ nếu nhìn vào mức độ phá hoại tiềm tàng của gói cài đặt độc hại.
Một điểm cần nhớ: chặn tệp đính kèm không khiến gói cài đặt trở nên an toàn; nó chỉ giảm nguy cơ người dùng vô tình cài đặt mà không được kiểm soát. Ngay cả khi đổi tên phần mở rộng tệp hoặc gửi link tải thay vì đính kèm trực tiếp, gói cài đặt độc hại vẫn có thể lừa người dùng tải về và chạy. Microsoft trước đây đã phải vô hiệu hóa ms-appinstaller protocol handler theo mặc định sau khi giao thức này bị lợi dụng phát tán malware, và nay tiếp tục thêm lớp bảo vệ ở tầng email. Người dùng thường kỳ vọng rằng Outlook chặn tệp đính kèm nào thì tệp đó nguy hiểm, và tệp không bị chặn thì an toàn. Thực tế, logic an toàn tài khoản công việc phải đi chiều ngược lại: mọi tệp cài đặt gửi qua email đều đáng ngờ cho đến khi được kiểm chứng nguồn và nội dung.
Doanh nghiệp nên phản ứng thế nào: đừng vội whitelisting cho xong chuyện
Microsoft nói rõ: đa số tổ chức sẽ không bị ảnh hưởng vì .msix và .msixbundle ít khi được dùng; nếu doanh nghiệp không phụ thuộc vào các định dạng này, không cần hành động gì thêm. Tuy nhiên, nếu tổ chức đang dùng chúng để phân phối ứng dụng nội bộ qua email, Microsoft khuyến nghị quản trị viên thêm hai phần mở rộng này vào AllowedFileTypes trong OwaMailboxPolicy trước khi bản cập nhật được triển khai. Nghe có vẻ đơn giản: whitelisting và mọi thứ quay lại như cũ. Nhưng đó là phản ứng ngắn hạn và đi ngược tinh thần của cập nhật bảo mật.
Nếu bạn phải cho phép tệp .msix .msixbundle, hãy coi đó là dấu hiệu kiến trúc phân phối phần mềm của tổ chức đang phụ thuộc vào kênh email một cách kém an toàn. Thay vì chỉ sửa AllowedFileTypes, cần thiết kế lại quy trình: dùng kho phân phối ứng dụng nội bộ, hệ thống quản lý thiết bị (MDM/Endpoint Management) hoặc ít nhất là kho lưu trữ được kiểm soát, có kiểm tra chữ ký số và nguồn phát hành. Bên cạnh đó, phải đào tạo người dùng: tệp .msix nhận qua email, dù Outlook không còn chặn, vẫn phải được xem như tệp có rủi ro cao. Nếu bộ phận IT whitelisting mà không truyền thông rõ ràng, tổ chức đã tước đi lợi ích lớn nhất của bản cập nhật là nâng cao nhận thức an toàn tài khoản công việc.
Kết luận: Email không còn là đường cài ứng dụng, hãy thích nghi sớm
Khi Microsoft thêm tệp .msix .msixbundle vào danh sách Outlook chặn tệp đính kèm, thông điệp quan trọng không phải là hai định dạng này nguy hiểm hơn các tệp khác, mà là email đã trở thành mặt trận tấn công hàng đầu cần được gia cố tối đa. Bản cập nhật được mô tả như một phần trong "nỗ lực liên tục nhằm tăng cường bảo mật và giúp bảo vệ tổ chức khỏi tệp đính kèm có thể không an toàn". Nếu doanh nghiệp phản ứng bằng cách xem đây chỉ là phiền toái mới từ nhà cung cấp, họ đang bỏ lỡ cơ hội chỉnh lại tư duy bảo mật.
Từ góc nhìn quản trị, lựa chọn đúng không phải là whitelisting cho xong hay chặn hết cho an toàn, mà là: 1) tách kênh phân phối phần mềm khỏi email; 2) dùng công cụ quản lý ứng dụng chuyên dụng; 3) coi mọi tệp cài đặt trong email là ngoại lệ cần kiểm tra bổ sung; 4) giải thích rõ với người dùng vì sao hạn chế mới xuất hiện. Khi bảo mật email Microsoft ngày càng siết chặt, doanh nghiệp có thể chọn phàn nàn, hoặc coi đây là động lực để xây dựng hạ tầng an toàn hơn cho tài khoản công việc. Bảo mật hiện đại không còn là vài bộ lọc antivirus; nó là mạng lưới quyết định thiết kế quy trình sao cho ngay cả khi người dùng mắc lỗi, hệ thống vẫn giữ được lớp phòng thủ cuối cùng.
