Hơn 50 vụ tấn công ransomware tiết lộ một kịch bản đánh cắp dữ liệu mới

Danh mục hơn 50 vụ tấn công ransomware cho thấy mô hình đang thay đổi

Một tập hợp mới các ví dụ về tấn công ransomware, trải dài qua hàng chục vụ vi phạm lớn và chi phí tài chính của chúng, hé lộ điều đáng chú ý ngoài những con số thô: cơ chế của những vụ tấn công này đang thay đổi theo hướng khiến dữ liệu cá nhân gặp rủi ro lớn hơn nhiều so với việc chỉ mã hóa đơn thuần.

Phiên bản cổ điển của ransomware, thường được gọi là crypto-ransomware, hoạt động đúng như cách hầu hết mọi người hình dung. Mã độc xâm nhập vào mạng và mã hóa các tập tin bằng các thuật toán mạnh, thường là AES-256 để khóa dữ liệu và RSA-2048 để bảo vệ khóa mã hóa. Khi quá trình đó hoàn tất, các tập tin gần như không thể khôi phục nếu không có khóa riêng của kẻ tấn công. Nạn nhân sau đó nhìn thấy thông báo đòi tiền chuộc, thường bằng Bitcoin hoặc Monero, thường đi kèm với đồng hồ đếm ngược và lời đe dọa rằng khóa sẽ bị hủy nếu hết thời hạn.

Mô hình đó đã tạo nên danh tiếng của ransomware ngày nay: một bệnh viện bị khóa hệ thống, một chính quyền thành phố tê liệt, một nhà sản xuất không thể xuất hàng. Nhưng danh mục các ví dụ chỉ ra một chiến thuật thứ hai, âm thầm hơn đang phát triển song song, không phụ thuộc vào việc mã hóa.

Tống tiền đánh cắp dữ liệu không cần khóa bất kỳ tập tin nào

Thay vì xáo trộn tập tin, một số kẻ tấn công giờ đây chỉ đơn giản sao chép dữ liệu nhạy cảm ra khỏi mạng trước khi bị phát hiện, sau đó đe dọa công bố hoặc bán nếu không được thanh toán. Không có đồng hồ đếm ngược nào tích tắc trên màn hình đóng băng, không có bộ phận CNTT nào chạy đua khôi phục từ bản sao lưu. Đòn bẩy không phải là sự gián đoạn, mà là sự phơi bày.

Sự khác biệt này rất quan trọng với bất kỳ ai nghĩ về quyền riêng tư của chính mình, không chỉ các tổ chức quản lý ngân sách bảo mật. Ransomware dựa trên mã hóa, về bản chất, là vấn đề về tính sẵn sàng: dữ liệu của bạn vẫn tồn tại, bạn chỉ không thể truy cập cho đến khi khôi phục hoặc trả tiền chuộc. Tống tiền đánh cắp dữ liệu là vấn đề về tính bảo mật: thông tin đã ra đi, đã nằm trên máy chủ của kẻ tấn công, và không khoản tiền chuộc nào có thể đảo ngược điều đó. Ngay cả các tổ chức có bản sao lưu vững chắc và kế hoạch khôi phục nhanh cũng không có câu trả lời thực sự cho mối đe dọa hoàn toàn xoay quanh việc phơi bày. Các nhóm vận hành ransomware-as-a-service, loại được mô tả chi tiết trong bài viết về LockBit 5.0 và hoạt động sau Chiến dịch Cronos, đã dựa chính xác vào cách tiếp cận đe dọa kép này: mã hóa những gì có thể, đánh cắp những gì không thể, và tống tiền trên cả hai mặt trận.

Tại sao yêu cầu tiền chuộc chỉ là một phần của câu chuyện

Tin tức về các vụ tấn công ransomware thường tập trung vào con số tiền chuộc, và thật dễ hiểu: một khoản đô-la cụ thể là tiêu đề gọn gàng. Nhưng chi phí tài chính của một vụ tấn công thường chỉ phản ánh phía phản ứng; ứng phó sự cố, thời gian ngừng hoạt động, phí pháp lý, tiền phạt theo quy định và khoản thanh toán tiền chuộc nếu có. Những gì con số đó không nắm bắt được là hậu quả về quyền riêng tư lan tỏa đối với những người có dữ liệu trong hệ thống đó: bệnh nhân bị lộ hồ sơ y tế, khách hàng bị sao chép chi tiết thanh toán, nhân viên có thông tin cá nhân nằm trong cơ sở dữ liệu nhân sự bị lấy cắp.

Đó chính là hệ lụy riêng tư thực sự bị chôn vùi trong các danh mục vi phạm này. Một công ty có thể khôi phục hệ thống, trả tiền phạt, và tiếp tục hoạt động. Cá nhân bị đánh cắp dữ liệu không có được sự phục hồi sạch sẽ tương tự. Thông tin của họ có thể lưu hành vô thời hạn một khi ra khỏi mạng ban đầu, xuất hiện trong các danh sách nhồi thông tin đăng nhập, chiến dịch lừa đảo, hoặc các nỗ lực đánh cắp danh tính rất lâu sau khi vụ tấn công gốc đã chìm khỏi tin tức.

Điều này có ý nghĩa gì với bạn

Nếu bạn là người dùng, điều rút ra không phải là bạn cần tự mình phòng chống ransomware, đó là vấn đề tổ chức của các công ty đang nắm giữ dữ liệu của bạn. Nhưng sự chuyển dịch sang tống tiền đánh cắp dữ liệu có nghĩa là thông báo vi phạm xứng đáng được chú ý nhiều hơn chúng thường nhận được, ngay cả khi một công ty nói rằng không trả tiền chuộc hay hệ thống không bị gián đoạn. "Không có gì bị mã hóa" không còn nghĩa là "không có gì bị lấy đi".

Nếu bạn làm việc trong lĩnh vực CNTT hoặc bảo mật, bài học từ hơn 50 ví dụ này là chỉ riêng chiến lược sao lưu không còn đủ. Kế hoạch khôi phục phải tính đến sự phơi bày, không chỉ thời gian ngừng hoạt động, nghĩa là mã hóa dữ liệu nhạy cảm khi lưu trữ, giới hạn những gì mỗi tài khoản bị xâm nhập có thể truy cập, và coi việc phát hiện lấy cắp dữ liệu cũng quan trọng như chính việc phát hiện ransomware.

Các bước thiết thực nên thực hiện

Một vài thói quen giúp ích rất nhiều bất kể bạn ở bên nào của vi phạm. Cá nhân nên theo dõi thông báo vi phạm liên quan đến dịch vụ mình sử dụng, bật xác thực đa yếu tố ở bất cứ đâu được cung cấp, và cảnh giác với các tin nhắn không mong muốn nhắc đến chi tiết tài khoản, vì dữ liệu bị đánh cắp thường xuyên tiếp thêm động lực cho các cuộc tấn công lừa đảo sau đó. Các tổ chức nên giả định rằng bất kỳ sự xâm nhập thành công nào cũng có thể bao gồm đánh cắp dữ liệu ngay cả khi không có thông báo đòi tiền chuộc hiển hiện, và xây dựng kế hoạch ứng phó giải quyết việc công khai thông tin và bảo vệ khách hàng, chứ không chỉ khôi phục hệ thống.

Sự phát triển của ransomware từ mối đe dọa mã hóa thuần túy sang một nền kinh tế tống tiền rộng lớn hơn là lời nhắc nhở rằng cuộc chiến không chỉ là giữ cho hệ thống hoạt động. Đó là giữ cho thông tin được riêng tư ngay từ đầu, và đó là trách nhiệm kéo dài quá khoảnh khắc thông báo đòi tiền chuộc xuất hiện trên màn hình.