Khi một cuộc tấn công mạng ảnh hưởng đến hệ thống máy tính của một thị trấn nhỏ, hầu hết cư dân đều cho rằng các quan chức sẽ nhanh chóng tìm hiểu điều gì đã xảy ra và thông báo cho công chúng. Các hồ sơ mới được công bố từ Andover lại kể một câu chuyện phức tạp hơn, trong đó tính minh bạch bị chậm trễ so với phản ứng kỹ thuật, và những câu hỏi then chốt về các khoản thanh toán tiền chuộc cũng như việc lộ dữ liệu cá nhân vẫn chưa được trả lời nhiều tuần sau vụ xâm nhập ban đầu.

Điều gì đã xảy ra trong cuộc tấn công ransomware của Andover

Theo các hồ sơ mà phóng viên địa phương thu thập được, các quan chức Andover đã hành động nhanh chóng về mặt kỹ thuật của sự cố. Các chuyên gia ransomware đã được đưa vào ngay trong đêm đầu tiên phát hiện ra cuộc tấn công, một quyết định phản ánh mức độ nghiêm túc mà các chính quyền đô thị hiện nay dành cho những sự cố như vậy khi chúng xảy ra.

Hệ thống MUNIS của thị trấn, phần mềm mà nhiều chính quyền địa phương sử dụng để quản lý tài chính, bảng lương và các chức năng hành chính khác, đã được khôi phục bằng bản sao lưu được tạo vào lúc nửa đêm ngày 12 tháng 8. Chi tiết về thời điểm này rất quan trọng: mọi công việc mà nhân viên hoàn thành sau thời điểm sao lưu nửa đêm đó đều phải được nhập lại thủ công khi hệ thống hoạt động trở lại, một bước tẻ nhạt nhưng cần thiết để tránh mất các hồ sơ chưa được sao lưu.

Điều quan trọng là, sự gián đoạn dường như không ảnh hưởng đến các dịch vụ mà cư dân phụ thuộc nhiều nhất. Các hoạt động an toàn công cộng, các tòa nhà thành phố, hệ thống điện thoại và các tiện ích do thị trấn vận hành đều tiếp tục hoạt động trong suốt sự cố. Đó là một điểm khác biệt đáng kể so với các cuộc tấn công ransomware ở nơi khác đã làm tê liệt hoàn toàn hệ thống liên lạc khẩn cấp hoặc thanh toán tiện ích.

Nhưng vào ngày 17 tháng 8, năm ngày sau khi cuộc tấn công bắt đầu, một quan chức thị trấn tên Flanagan nói với nhân viên rằng các nhà điều tra vẫn đang làm việc để xác định liệu vụ xâm nhập có ảnh hưởng đến thông tin cá nhân hoặc nhạy cảm hay không. Khoảng cách giữa cuộc tấn công ban đầu và thậm chí một câu trả lời sơ bộ về việc lộ dữ liệu chính là phần trong câu chuyện này mà cư dân nên quan tâm nhất.

Tại sao thị trấn không công bố chi tiết về tiền chuộc và tống tiền

Theo yêu cầu cung cấp hồ sơ, Andover đã từ chối công bố thông tin liên quan đến bất kỳ yêu cầu tiền chuộc hoặc tống tiền nào liên quan đến cuộc tấn công. Đây là một thái độ phổ biến ở các chính quyền địa phương đối phó với ransomware: các quan chức thường lập luận rằng việc tiết lộ chi tiết đàm phán, số tiền thanh toán hoặc thông tin liên lạc với những kẻ tấn công có thể gây tổn hại đến một cuộc điều tra đang diễn ra hoặc mời gọi các cuộc tấn công bắt chước.

Lý lẽ đó không phải là không có cơ sở, nhưng nó tạo ra một khoảng trống minh bạch thực sự đối với công chúng. Những cư dân nộp yêu cầu cung cấp hồ sơ, hoặc chỉ đơn giản là muốn biết liệu tiền thuế của họ có được dùng để trả tiền chuộc hay không, đều bị bỏ lại mà không có câu trả lời rõ ràng. Dù có hay không việc thanh toán được thực hiện, và thị trấn đã đàm phán những gì với những kẻ tấn công, tất cả đều bị che giấu sau nhãn "đang điều tra" có thể kéo dài hàng tháng.

Mô thức này không phải là duy nhất ở Andover. Các chính quyền đô thị trên khắp đất nước đã áp dụng cách tiếp cận tương tự khi các sự cố ransomware xảy ra, coi chi tiết về tiền chuộc và tống tiền là nhạy cảm ngay cả sau khi các hệ thống cốt lõi đã được khôi phục và hoạt động bình thường được nối lại.

Điều này có ý nghĩa gì với bạn: Việc công bố thông tin bị trì hoãn và dữ liệu cá nhân của bạn

Điểm mấu chốt quan trọng nhất từ hồ sơ của Andover không phải là các chuyên gia ransomware hay bản sao lưu lúc nửa đêm. Đó là dòng thời gian của sự không chắc chắn xung quanh dữ liệu cá nhân. Năm ngày sau cuộc tấn công, các quan chức vẫn không thể nói với nhân viên, chứ chưa nói đến cư dân, liệu thông tin nhạy cảm có bị ảnh hưởng hay không. Đối với một hệ thống của thị trấn như MUNIS, điều đó có thể bao gồm hồ sơ nhân viên, dữ liệu tài chính hoặc thông tin cư dân gắn với các dịch vụ và tiện ích của thành phố.

Sự chậm trễ kiểu này là phổ biến trong các trường hợp lộ dữ liệu do ransomware tấn công ở cấp đô thị, và nó đặt cư dân vào một tình thế khó khăn. Bạn không thể theo dõi nạn trộm danh tính hoặc gian lận gắn với một sự cố cụ thể nếu bạn chưa biết liệu thông tin của mình có nằm trong đó hay không. Các chính quyền địa phương thường cần hàng tuần hoặc hàng tháng để hoàn thành các cuộc điều tra pháp y trước khi đưa ra thông báo chính thức, và vào thời điểm thông báo đó đến, cửa sổ phơi nhiễm đã mở ra được một thời gian.

Đây không chỉ là vấn đề của chính quyền đô thị. Việc công bố thông tin bị trì hoãn sau khi lộ dữ liệu xuất hiện ở mọi ngành. Trường hợp gần đây liên quan đến vụ rò rỉ 1,2 triệu hồ sơ người dùng của ứng dụng nhắn tin Tokee là một so sánh hữu ích: một cơ sở dữ liệu bị phơi nhiễm đã tồn tại có thể truy cập được trong một khoảng thời gian trước khi được phát hiện và báo cáo, khiến những người dùng bị ảnh hưởng không biết rằng thông tin của họ đang gặp rủi ro. Dù đó là cơ sở dữ liệu không được bảo mật của một công ty tư nhân hay các máy chủ bị ransomware tấn công của một thị trấn, điểm chung là những người có dữ liệu bị lộ thường là những người cuối cùng biết được.

Cách tự bảo vệ sau một vụ vi phạm dữ liệu của chính phủ

Với việc việc công bố chính thức có thể mất bao lâu, cư dân không nên chờ đợi một cách thụ động thư thông báo trước khi thực hiện các biện pháp phòng ngừa cơ bản. Một vài bước đáng làm nếu thị trấn hoặc thành phố của bạn đã trải qua một cuộc tấn công mạng:

  • Theo dõi thông tin liên lạc chính thức từ chính quyền thành phố, nhưng đừng cho rằng im lặng nghĩa là dữ liệu của bạn an toàn. Các cuộc điều tra cần thời gian, và các tuyên bố ban đầu thường chỉ nói rằng vấn đề đang được "xem xét."
  • Kiểm tra báo cáo tín dụng của bạn và cân nhắc đóng băng tín dụng nếu bạn tương tác với các hệ thống của thành phố lưu trữ thông tin tài chính hoặc thuế.
  • Cảnh giác với các nỗ lực lừa đảo trực tuyến đề cập đến chính vụ vi phạm. Những kẻ tấn công đôi khi sử dụng tin tức về một cuộc tấn công mạng để tạo ra các email hoặc tin nhắn lừa đảo thuyết phục, giả danh cung cấp dịch vụ bảo vệ danh tính.
  • Tìm kiếm thông tin của bạn trong các cơ sở dữ liệu về phơi nhiễm vi phạm đã biết, tương tự như cách những người dùng bị ảnh hưởng có thể kiểm tra xem hồ sơ của họ có xuất hiện trong một sự cố như vụ rò rỉ Tokee hay không. Nó sẽ không bao quát cụ thể các vụ vi phạm của chính quyền đô thị, nhưng đó là một thói quen tốt để theo dõi mức độ phơi nhiễm tổng thể của bạn trên các dịch vụ.
  • Bật xác thực đa yếu tố trên bất kỳ tài khoản nào gắn với các dịch vụ của thị trấn, cổng thông tin tiện ích hoặc hệ thống thanh toán thuế, vì việc tái sử dụng thông tin đăng nhập có thể biến một vụ vi phạm thành nhiều vụ.

Những điểm chính cuối cùng

Cuộc tấn công ransomware của Andover cho thấy một thị trấn đã phản ứng nhanh chóng về mặt kỹ thuật, khôi phục hệ thống và duy trì các dịch vụ thiết yếu hoạt động, trong khi lại tiến bước chậm hơn nhiều về tính minh bạch công khai. Khoảng cách giữa những gì các quan chức biết và những gì họ sẵn sàng chia sẻ, đặc biệt là xung quanh các yêu cầu tiền chuộc và việc lộ dữ liệu cá nhân, là một mô thức mà cư dân nên kỳ vọng từ các chính quyền địa phương nói chung, không chỉ riêng thị trấn này.

Bài học thực tế là cư dân không thể hoàn toàn dựa vào các mốc thời gian chính thức để tự bảo vệ mình. Nếu bạn sống trong một cộng đồng đã trải qua một cuộc tấn công mạng, hãy coi việc thiếu thông tin là lý do để thận trọng hơn là để yên tâm. Theo dõi tài khoản của bạn, đóng băng tín dụng khi thích hợp, và giữ thái độ hoài nghi với các tin nhắn không được yêu cầu đề cập đến sự cố. Tính minh bạch của chính quyền đô thị có thể sẽ tiếp tục chậm hơn tốc độ của những cuộc tấn công này, vì vậy xây dựng thói quen theo dõi dữ liệu của riêng bạn là biện pháp bảo vệ đáng tin cậy nhất mà bạn có.