Khi một cuộc tấn công mạng nhắm vào hệ thống máy tính của một thị trấn nhỏ, hầu hết cư dân đều cho rằng các quan chức sẽ nhanh chóng tìm hiểu chuyện gì đã xảy ra và thông báo cho công chúng. Hồ sơ mới được công bố từ Andover lại kể một câu chuyện phức tạp hơn, trong đó tính minh bạch bị bỏ lại phía sau so với phản ứng kỹ thuật, và những câu hỏi then chốt về các khoản tiền chuộc cũng như việc rò rỉ dữ liệu cá nhân vẫn chưa được trả lời nhiều tuần sau vụ xâm nhập ban đầu.

Chuyện gì đã xảy ra trong cuộc tấn công ransomware ở Andover

Theo hồ sơ mà các phóng viên địa phương thu thập được, các quan chức Andover đã hành động nhanh chóng về mặt kỹ thuật của sự việc. Các chuyên gia ransomware đã được đưa vào ngay trong đêm đầu tiên phát hiện ra cuộc tấn công, một quyết định phản ánh mức độ nghiêm túc mà các đô thị hiện nay dành cho những sự cố như vậy khi chúng xảy ra.

Hệ thống MUNIS của thị trấn, phần mềm mà nhiều chính quyền địa phương sử dụng để quản lý tài chính, bảng lương và các chức năng hành chính khác, đã được khôi phục bằng bản sao lưu được tạo lúc nửa đêm ngày 12 tháng 8. Chi tiết thời điểm này rất quan trọng: mọi công việc mà nhân viên hoàn thành sau bản chụp nửa đêm đó đều phải được nhập lại thủ công sau khi hệ thống hoạt động trở lại, một bước tẻ nhạt nhưng cần thiết để tránh mất các hồ sơ chưa được sao lưu.

Điều quan trọng là sự gián đoạn dường như không ảnh hưởng đến các dịch vụ mà cư dân phụ thuộc nhiều nhất. Các hoạt động an toàn công cộng, các tòa nhà đô thị, hệ thống điện thoại và các tiện ích do thị trấn vận hành đều tiếp tục hoạt động xuyên suốt sự việc. Đó là một sự khác biệt đáng kể so với các cuộc tấn công ransomware ở nơi khác đã đánh sập hoàn toàn hệ thống liên lạc khẩn cấp hoặc việc thanh toán hóa đơn tiện ích.

Nhưng vào ngày 17 tháng 8, năm ngày sau khi cuộc tấn công bắt đầu, một quan chức thị trấn tên Flanagan nói với nhân viên rằng các điều tra viên vẫn đang làm việc để xác định liệu vụ xâm nhập có ảnh hưởng đến thông tin cá nhân hoặc nhạy cảm hay không. Khoảng cách giữa cuộc tấn công ban đầu và ngay cả một câu trả lời sơ bộ về việc rò rỉ dữ liệu chính là phần trong câu chuyện này mà cư dân nên lo ngại nhất.

Vì sao thị trấn không công bố chi tiết về tiền chuộc và tống tiền

Theo yêu cầu cung cấp hồ sơ, Andover đã từ chối công bố thông tin liên quan đến bất kỳ yêu cầu đòi tiền chuộc hoặc tống tiền nào liên quan đến cuộc tấn công. Đây là lập trường phổ biến của các chính quyền địa phương khi đối phó với ransomware: các quan chức thường lập luận rằng việc tiết lộ chi tiết đàm phán, số tiền thanh toán hoặc liên lạc với kẻ tấn công có thể gây tổn hại đến một cuộc điều tra đang tiến hành hoặc mời gọi các cuộc tấn công bắt chước.

Lý lẽ đó không phải là vô căn cứ, nhưng nó thực sự tạo ra một khoảng trống minh bạch đối với công chúng. Những cư dân nộp yêu cầu cung cấp hồ sơ, hoặc chỉ đơn giản muốn biết liệu tiền thuế của họ có được dùng để trả tiền chuộc hay không, đều bị bỏ lại mà không có câu trả lời rõ ràng. Dù có thanh toán hay không, và thị trấn đã đàm phán gì với kẻ tấn công, tất cả vẫn bị che giấu sau nhãn "đang điều tra" có thể kéo dài hàng tháng.

Kiểu mẫu này không chỉ riêng Andover. Các đô thị trên khắp cả nước đã áp dụng cách tiếp cận tương tự khi các sự cố ransomware xảy ra, coi chi tiết về tiền chuộc và tống tiền là nhạy cảm ngay cả sau khi các hệ thống cốt lõi đã được khôi phục và hoạt động bình thường trở lại.

Điều này có ý nghĩa gì với bạn: Việc công bố thông tin bị trì hoãn và dữ liệu cá nhân của bạn

Điểm đáng chú ý quan trọng nhất từ hồ sơ của Andover không phải là các chuyên gia ransomware hay bản sao lưu lúc nửa đêm. Đó là dòng thời gian của sự không chắc chắn xung quanh dữ liệu cá nhân. Năm ngày sau cuộc tấn công, các quan chức vẫn không thể nói với nhân viên, chứ chưa nói đến cư dân, liệu thông tin nhạy cảm có bị ảnh hưởng hay không. Đối với một hệ thống của thị trấn như MUNIS, điều đó có thể bao gồm hồ sơ nhân viên, dữ liệu tài chính hoặc thông tin cư dân gắn với các dịch vụ đô thị và tiện ích.

Kiểu độ trễ này là phổ biến trong các trường hợp rò rỉ dữ liệu do tấn công ransomware ở đô thị, và nó đặt cư dân vào một tình thế khó khăn. Bạn không thể theo dõi tình trạng đánh cắp danh tính hoặc gian lận gắn với một sự cố cụ thể nếu bạn chưa biết liệu thông tin của mình có nằm trong đó hay không. Các chính quyền địa phương thường cần nhiều tuần hoặc nhiều tháng để hoàn tất điều tra pháp y trước khi đưa ra thông báo chính thức, và đến khi thông báo đó đến, cửa sổ rò rỉ đã mở ra được một thời gian.

Đây không chỉ là vấn đề của đô thị. Việc công bố thông tin bị trì hoãn sau một vụ rò rỉ dữ liệu xuất hiện ở mọi ngành. Trường hợp gần đây liên quan đến vụ rò rỉ 1,2 triệu hồ sơ người dùng của ứng dụng nhắn tin Tokee là một so sánh hữu ích: một cơ sở dữ liệu bị phơi bày vẫn có thể truy cập được trong một khoảng thời gian trước khi bị phát hiện và báo cáo, khiến người dùng bị ảnh hưởng không hề biết thông tin của mình đang gặp rủi ro. Dù đó là cơ sở dữ liệu không được bảo vệ của một công ty tư nhân hay máy chủ của một thị trấn bị tấn công ransomware, điểm chung là những người có dữ liệu bị rò rỉ thường là những người biết cuối cùng.

Cách tự bảo vệ bản thân sau một vụ rò rỉ dữ liệu của chính phủ

Vì việc công bố thông tin chính thức có thể mất rất lâu, cư dân không nên thụ động chờ đợi lá thư thông báo trước khi thực hiện các biện pháp phòng ngừa cơ bản. Một vài bước đáng làm nếu thị trấn hoặc thành phố của bạn đã trải qua một cuộc tấn công mạng:

  • Theo dõi liên lạc chính thức từ đô thị, nhưng đừng cho rằng im lặng nghĩa là dữ liệu của bạn an toàn. Điều tra cần thời gian, và các tuyên bố ban đầu thường chỉ nói rằng vấn đề "đang được xem xét."
  • Kiểm tra báo cáo tín dụng của bạn và cân nhắc đóng băng tín dụng nếu bạn tương tác với các hệ thống đô thị lưu trữ thông tin tài chính hoặc thuế.
  • Cảnh giác với các nỗ lực lừa đảo trực tuyến có nhắc đến chính vụ rò rỉ đó. Kẻ tấn công đôi khi sử dụng tin tức về một cuộc tấn công mạng để tạo ra các email hoặc tin nhắn lừa đảo thuyết phục, tự nhận là cung cấp dịch vụ bảo vệ danh tính.
  • Tìm kiếm thông tin của bạn trong các cơ sở dữ liệu về rò rỉ dữ liệu đã biết, tương tự như cách người dùng bị ảnh hưởng có thể kiểm tra liệu hồ sơ của họ có xuất hiện trong một sự cố như vụ rò rỉ Tokee hay không. Nó sẽ không bao quát cụ thể các vụ rò rỉ ở đô thị, nhưng đó là một thói quen tốt để theo dõi mức độ phơi bày tổng thể của bạn trên các dịch vụ.
  • Bật xác thực đa yếu tố trên bất kỳ tài khoản nào gắn với dịch vụ của thị trấn, cổng tiện ích hoặc hệ thống thanh toán thuế, vì việc tái sử dụng thông tin đăng nhập có thể biến một vụ rò rỉ thành nhiều vụ.

Những điểm mấu chốt cuối cùng

Cuộc tấn công ransomware ở Andover cho thấy một thị trấn đã phản ứng nhanh về mặt kỹ thuật, khôi phục hệ thống và duy trì các dịch vụ thiết yếu, trong khi lại tiến rất chậm về tính minh bạch trước công chúng. Khoảng cách giữa những gì các quan chức biết và những gì họ sẵn sàng chia sẻ, đặc biệt liên quan đến các yêu cầu tiền chuộc và việc rò rỉ dữ liệu cá nhân, là một kiểu mẫu mà cư dân nên kỳ vọng ở các chính quyền địa phương nói chung, không chỉ riêng thị trấn này.

Bài học thực tế là cư dân không thể hoàn toàn dựa vào dòng thời gian chính thức để tự bảo vệ mình. Nếu bạn sống trong một cộng đồng đã trải qua một cuộc tấn công mạng, hãy coi việc thiếu thông tin là lý do để thận trọng hơn là để yên tâm. Theo dõi tài khoản của bạn, đóng băng tín dụng khi thích hợp và giữ thái độ hoài nghi với các tin nhắn không được yêu cầu có nhắc đến sự cố. Tính minh bạch của đô thị có thể sẽ vẫn chậm hơn nhịp độ của những cuộc tấn công này, vì vậy việc xây dựng thói quen theo dõi dữ liệu của riêng bạn là biện pháp bảo vệ đáng tin cậy nhất mà bạn có.

FAQ: Q1: Chuyện gì đã xảy ra trong cuộc tấn công ransomware ở Andover? A1: Các quan chức Andover đã đưa các chuyên gia ransomware vào ngay trong đêm đầu tiên phát hiện ra cuộc tấn công, và hệ thống MUNIS của thị trấn đã được khôi phục bằng bản sao lưu được tạo lúc nửa đêm ngày 12 tháng 8. Q2: Cuộc tấn công ransomware có ảnh hưởng đến các dịch vụ thiết yếu của thị trấn như an toàn công cộng hay tiện ích không? A2: Không, các hoạt động an toàn công cộng, các tòa nhà đô thị, hệ thống điện thoại và các tiện ích do thị trấn vận hành đều tiếp tục hoạt động xuyên suốt sự việc. Q3: Andover mất bao lâu để giải quyết vấn đề liệu dữ liệu cá nhân có bị ảnh hưởng hay không? A3: Vào ngày 17 tháng 8, năm ngày sau khi cuộc tấn công bắt đầu, một quan chức thị trấn tên Flanagan nói với nhân viên rằng các điều tra viên vẫn đang làm việc để xác định liệu vụ xâm nhập có ảnh hưởng đến thông tin cá nhân hoặc nhạy cảm hay không. Q4: Andover có trả tiền chuộc không, và vì sao họ không công bố chi tiết? A4: Andover đã từ chối công bố thông tin liên quan đến bất kỳ yêu cầu đòi tiền chuộc hoặc tống tiền nào, một lập trường phổ biến của các chính quyền địa phương, những người lập luận rằng việc tiết lộ chi tiết đàm phán có thể gây tổn hại đến một cuộc điều tra đang tiến hành hoặc mời gọi các cuộc tấn công bắt chước. Q5: Vì sao một số công việc phải được nhập lại thủ công sau khi hệ thống được khôi phục? A5: Hệ thống MUNIS đã được khôi phục bằng bản sao lưu được tạo lúc nửa đêm ngày 12 tháng 8, vì vậy mọi công việc mà nhân viên hoàn thành sau bản chụp nửa đêm đó đều phải được nhập lại thủ công sau khi hệ thống hoạt động trở lại. ---END---