Một phần ba tổ chức ANZ vẫn chọn trả tiền chuộc

Nghiên cứu mới từ Commvault đã xác nhận điều mà nhiều chuyên gia bảo mật đã nghi ngờ từ lâu: việc trả tiền chuộc ransomware không phải là một giải pháp đáng tin cậy. Báo cáo State of Data Resilience ANZ 2026 của công ty cho thấy 34% tổ chức trên khắp Úc và New Zealand từng bị tấn công ransomware đã quyết định trả tiền chuộc, dù không có bảo đảm thực sự nào rằng dữ liệu của họ sẽ được trả lại hoặc hệ thống của họ sẽ được khôi phục hoạt động bình thường.

Phát hiện này xuất hiện vào thời điểm ransomware đã trở nên ít giống một sự cố khủng hoảng hiếm gặp mà giống một thực tế vận hành đối với các doanh nghiệp trong khu vực. Tuy nhiên, trong nhiều trường hợp, quyết định trả tiền vẫn được đưa ra dưới áp lực cực lớn, ngay giữa một sự cố đang diễn ra, thay vì nằm trong một chiến lược ứng phó bình tĩnh, được lên kế hoạch trước.

Vì sao việc trả tiền hiếm khi giải quyết được vấn đề thực sự

Chi tiết quan trọng nhất trong phát hiện của Commvault không phải là việc các tổ chức trả tiền, mà là điều xảy ra sau khi họ trả. Việc trao tiền chuộc không tự động có nghĩa là dữ liệu bị đánh cắp hoặc mã hóa sẽ được trả lại nguyên vẹn, hoặc kẻ tấn công sẽ xóa các bản sao chúng đã lấy trước khi khóa hệ thống. Sự khác biệt này cực kỳ quan trọng từ góc độ quyền riêng tư. Ngày nay, nhiều vụ tấn công ransomware liên quan đến cả hành vi đánh cắp dữ liệu lẫn mã hóa, nghĩa là hồ sơ khách hàng, thông tin nhân viên hoặc dữ liệu tài chính có thể đã rời khỏi mạng lưới của tổ chức trước khi bất kỳ cuộc đàm phán tiền chuộc nào bắt đầu.

Một khảo sát liên quan bao phủ cùng khu vực càng nhấn mạnh điểm này. Nghiên cứu đó cho thấy 36% các khoản tiền chuộc không khôi phục được dữ liệu, nghĩa là hơn một phần ba số tổ chức đã trả tiền vẫn rơi vào cảnh hệ thống hoặc tệp tin không hoạt động bình thường. Nói cách khác, trả tiền không phải là một giao dịch có kết quả được đảm bảo. Đó là một canh bạc với đối thủ không có nghĩa vụ pháp lý hay uy tín nào phải thực hiện đúng thỏa thuận.

Đối với các tổ chức nắm giữ dữ liệu cá nhân nhạy cảm, dù là hồ sơ y tế, thông tin tài chính hay thông tin nhận dạng khách hàng, điều này tạo ra nguy cơ quyền riêng tư chồng chất. Ngay cả một khoản thanh toán thành công cũng không thể đảo ngược việc dữ liệu đã bị lộ. Dữ liệu bị kẻ tấn công sao chép trước khi mã hóa vẫn có thể bị rò rỉ, bán hoặc sử dụng để tống tiền thêm, bất kể tiền chuộc có được trả hay không. Nghiên cứu của Commvault cho thấy quá nhiều tổ chức ANZ đang coi việc trả tiền chuộc là một chiến lược phục hồi, trong khi nó hoạt động giống một vụ cá cược được đặt sau khi thiệt hại đã xảy ra.

Áp lực phải quyết định giữa khủng hoảng

Một phần lý do khiến tình trạng này dai dẳng nằm ở môi trường nơi các quyết định này được đưa ra. Các cuộc tấn công ransomware có xu hướng leo thang nhanh chóng, thường khóa nhân viên khỏi các hệ thống quan trọng chỉ trong vài giờ. Dưới áp lực như vậy, khi hoạt động bị đóng băng và khách hàng hoặc đối tác đặt câu hỏi, việc trả tiền có thể giống như con đường nhanh nhất để trở lại bình thường. Báo cáo của Commvault mô tả đây là việc các tổ chức đưa ra quyết định ransomware có rủi ro cao giữa khủng hoảng, thay vì như một phần của kế hoạch đã được kiểm tra và có từ trước.

Việc ra quyết định do khủng hoảng thúc đẩy chính là lý do sự chuẩn bị quan trọng hơn rất nhiều so với phản ứng. Các tổ chức có hệ thống sao lưu đã được kiểm tra, kế hoạch ứng phó sự cố rõ ràng và các tiêu chí đã thống nhất trước về việc có nên thương lượng với kẻ tấn công hay không sẽ ở vị thế vững vàng hơn nhiều so với những tổ chức phải ứng biến trong thời gian thực. Dữ liệu cho thấy nhiều doanh nghiệp ANZ vẫn chưa đạt đến mức độ sẵn sàng đó, mà thay vào đó mặc định trả tiền vì đây dường như là đòn bẩy duy nhất có sẵn vào thời điểm đó.

Điều này có ý nghĩa gì với bạn

Nếu bạn là người tiêu dùng, nhân viên hoặc khách hàng của bất kỳ tổ chức nào, nghiên cứu này là lời nhắc rằng việc một công ty trả tiền chuộc ransomware không có nghĩa là dữ liệu của bạn an toàn. Ngay cả khi một doanh nghiệp thông báo họ đã giải quyết xong một sự cố, thông tin bị lộ trong vụ tấn công vẫn có thể đang lan truyền. Bạn nên chú ý đến các thông báo vi phạm dữ liệu từ bất kỳ dịch vụ nào bạn sử dụng và xem xét chúng một cách nghiêm túc ngay cả khi tổ chức đó nói rằng tiền chuộc đã được trả hoặc hệ thống đã được khôi phục.

Nếu bạn làm việc trong một doanh nghiệp, đặc biệt là doanh nghiệp xử lý dữ liệu khách hàng hoặc nhân viên, bài học rút ra trực tiếp hơn: đừng để quyết định trả tiền chuộc lần đầu tiên được đưa ra trong một vụ tấn công thực sự. Các tổ chức lên kế hoạch trước, kiểm tra hệ thống sao lưu và có quy trình ứng phó rõ ràng sẽ ít có khả năng đối mặt với tình huống không có lối thoát mà Commvault mô tả, nơi việc trả tiền không đảm bảo dữ liệu được trả lại và việc lộ quyền riêng tư thường đã xảy ra trước khi thông báo đòi tiền chuộc đến.

Những điểm chính

  • Việc trả tiền chuộc ransomware không đảm bảo dữ liệu hoặc hệ thống của bạn sẽ được khôi phục, và nó không thể đảo ngược bất kỳ hành vi đánh cắp dữ liệu nào đã xảy ra.
  • Rủi ro lộ dữ liệu và quyền riêng tư có thể tồn tại độc lập với việc tiền chuộc có được trả hay không, vì kẻ tấn công thường đánh cắp thông tin trước khi mã hóa.
  • Các tổ chức nên xây dựng kế hoạch ứng phó ransomware và kiểm tra hệ thống sao lưu trước khi sự cố xảy ra, không phải trong lúc sự cố.
  • Cá nhân nên cảnh giác với các thông báo vi phạm dữ liệu ngay cả khi công ty báo cáo sự cố đã được giải quyết.

Ransomware sẽ không biến mất, và nghiên cứu của Commvault cho thấy rõ rằng các tổ chức ANZ vẫn đang xử lý các quyết định này theo cách phản ứng thay vì có chiến lược. Xây dựng khả năng phục hồi trước khi một cuộc tấn công xảy ra vẫn là cách đáng tin cậy nhất để bảo vệ cả hoạt động kinh doanh lẫn dữ liệu cá nhân mà các tổ chức được tin tưởng giao phó.