Trả tiền cho một băng ransomware chưa bao giờ là sự đảm bảo an toàn, nhưng nghiên cứu mới đưa ra con số cụ thể cho thấy canh bạc này thất bại thường xuyên đến mức nào. Theo phát hiện gần đây, 58% các tổ chức tại Anh bị tấn công ransomware đã trả khoản tiền chuộc được yêu cầu, và 22% trong số những người trả tiền đó đã bị tấn công lần hai với một nỗ lực tống tiền khác. Thông điệp dành cho các đội CNTT, và cho bất kỳ ai có dữ liệu cá nhân đi qua mạng lưới doanh nghiệp, là cách làm cũ "trả tiền rồi bỏ qua" không còn đứng vững được nữa.
Thực tế mới: Trả tiền không kết thúc cuộc tấn công
Ransomware từng diễn ra theo một kịch bản khá dễ đoán: kẻ tấn công mã hóa các tệp của bạn, bạn trả tiền, bạn nhận được khóa giải mã, và sự cố khép lại. Kịch bản đó đã được viết lại. Sự chuyển hướng sang tống tiền kép, nơi kẻ tấn công đánh cắp dữ liệu trước khi mã hóa và đe dọa rò rỉ dữ liệu đó bất kể có trả tiền hay không, có nghĩa là một giao dịch tiền chuộc không giải quyết được gì. Con số 22% cho thấy việc tống tiền lặp lại nhằm vào các tổ chức đã trả tiền xác nhận điều mà nhiều nhà nghiên cứu bảo mật đã cảnh báo trong nhiều năm: một khi dữ liệu của bạn đã ra ngoài, bạn không còn kiểm soát thực sự nào đối với những gì xảy ra tiếp theo. Một nhóm tội phạm đã được trả tiền một lần có mọi động cơ để quay trở lại, dù là chính kẻ đó hay một kẻ khác hoạt động từ quyền truy cập đã được bán lại.
Đối với các quản trị viên Windows nói riêng, điều này thay đổi cách tính toán xung quanh việc ứng phó sự cố. Khôi phục từ bản sao lưu từng được coi là phương án thay thế cho việc trả tiền. Giờ đây, nó cần được coi là kỳ vọng cơ bản, bởi vì việc trả tiền không đáng tin cậy để ngăn chặn thiệt hại ở khía cạnh đánh cắp dữ liệu. Các bản sao lưu ngoại tuyến, đã được kiểm tra, các biện pháp kiểm soát bảo mật danh tính mạnh mẽ và một kế hoạch khôi phục được lập thành văn bản mới là những thứ thực sự phá vỡ vòng luẩn quẩn, chứ không phải một giao dịch chuyển tiền đến một ví ẩn danh.
AI đang tăng cường đáng kể khả năng xâm nhập ban đầu
Chủ đề chính khác trong nghiên cứu này là vai trò ngày càng tăng của AI trong các giai đoạn đầu của một cuộc tấn công. Xâm nhập ban đầu, thời điểm kẻ tấn công lần đầu tiên có được chỗ đứng trong mạng, được cho là nơi các công cụ AI có tác động lớn nhất. Hoạt động trinh sát nhanh hơn, các mồi nhử lừa đảo thuyết phục hơn và việc xác định nhanh hơn các điểm yếu có thể khai thác đều thu hẹp khoảng thời gian mà người phòng thủ có để nhận ra có điều gì đó bất thường trước khi thiệt hại xảy ra.
Điều này quan trọng bởi vì hầu hết các biện pháp phòng thủ ransomware vẫn được xây dựng dựa trên giả định rằng kẻ tấn công cần thời gian để di chuyển trong mạng trước khi gây ra thiệt hại nghiêm trọng. Nếu AI đang nén dòng thời gian đó lại, các tổ chức chỉ dựa vào chu kỳ vá lỗi định kỳ và giám sát thủ công ngày càng dễ bị tổn thương. Điều này củng cố lý do tại sao bảo mật danh tính, những thứ như xác thực đa yếu tố, quản lý truy cập đặc quyền và phát hiện bất thường nhanh chóng, đã trở nên quan trọng không kém gì bảo vệ điểm cuối.
Tại sao đánh cắp dữ liệu mới là câu chuyện riêng tư thực sự
Trong khi các tệp bị mã hóa chiếm hầu hết các tiêu đề, mô hình tống tiền kép đặt ánh đèn sân khấu vào thứ quan trọng hơn đối với người dân thông thường: chính dữ liệu. Mỗi sự cố ransomware liên quan đến hồ sơ nhân sự, cơ sở dữ liệu khách hàng hoặc tệp nhân viên bị đánh cắp, về bản chất, đều là một sự cố riêng tư. Hãy xem xét cách vụ vi phạm hệ thống nhân sự của Cơ quan Thống kê Nam Phi làm lộ dữ liệu nhân viên, một trường hợp minh họa cách các hệ thống nội bộ chứa thông tin cá nhân nhạy cảm có thể trở thành mục tiêu thực sự, chứ không chỉ là thiệt hại phụ từ một cuộc tấn công rộng lớn hơn. Khi các nhóm ransomware lấy cắp loại dữ liệu này trước khi khóa hệ thống, việc trả tiền chuộc không giúp xóa bỏ sự thật rằng tên, mức lương, địa chỉ hoặc chi tiết sức khỏe có thể đã nằm trên máy chủ của tội phạm, hoặc đã được rao bán.
Đây là phần thường bị thiếu trong các bài đưa tin thuần túy kỹ thuật về ransomware: nỗ lực tống tiền lần thứ hai không chỉ là vấn đề đau đầu của doanh nghiệp, đó là làn sóng rủi ro thứ hai cho những cá nhân có dữ liệu đã bị đánh cắp ngay từ đầu. Nhân viên, khách hàng và bệnh nhân hiếm khi có tiếng nói trong việc tổ chức của họ có trả tiền hay không, nhưng họ phải gánh chịu rủi ro liên tục về đánh cắp danh tính, lừa đảo có chủ đích hoặc gian lận rất lâu sau khi các tiêu đề tin tức phai nhạt.
Điều này có ý nghĩa gì với bạn
Nếu bạn làm việc trong lĩnh vực CNTT hoặc bảo mật, dữ liệu này là một tín hiệu rõ ràng để ngừng coi việc trả tiền chuộc là một giải pháp và bắt đầu coi đó là phương án dự phòng trong tình huống xấu nhất. Các kế hoạch khôi phục, bản sao lưu bất biến và các biện pháp phòng thủ tập trung vào danh tính xứng đáng nhận được nhiều ngân sách và thời gian thử nghiệm hơn những gì chúng thường nhận được. Nếu bạn là nhân viên hoặc khách hàng của một tổ chức đã công bố sự cố ransomware, hãy cho rằng dữ liệu của bạn có thể đã bị sao chép ngay cả khi bạn được thông báo rằng các hệ thống đã được "khôi phục". Theo dõi các tài khoản của bạn, cảnh giác với các nỗ lực lừa đảo đề cập đến vụ vi phạm và cân nhắc theo dõi tín dụng nếu dữ liệu cá nhân hoặc tài chính nhạy cảm có liên quan.
Các biện pháp khả thi
Các tổ chức nên kiểm tra tính toàn vẹn của bản sao lưu thường xuyên và xác minh rằng các bản sao lưu thực sự được cách ly khỏi mạng sản xuất. Xác thực đa yếu tố và quyền truy cập đặc quyền tối thiểu nên là điều bắt buộc trên tất cả các hệ thống, không chỉ những hệ thống quan trọng. Các kế hoạch ứng phó sự cố cần giải quyết rõ ràng kịch bản tống tiền kép, bao gồm các bước pháp lý và truyền thông khi dữ liệu bị đánh cắp xuất hiện công khai. Các cá nhân bị ảnh hưởng bởi bất kỳ tiết lộ ransomware nào nên thay đổi mật khẩu, bật MFA nếu có sẵn và luôn cảnh giác với các vụ lừa đảo tiếp theo. Dữ liệu cho thấy rõ ràng rằng tống tiền lần hai từ ransomware không còn là tình huống ngoại lệ hiếm gặp, nó đang trở thành một phần tiêu chuẩn trong vòng đời tấn công, và sự chuẩn bị là biện pháp phòng thủ thực sự duy nhất.
