Báo cáo Quý 2 của BlackFog: Các cuộc tấn công ransomware không được tiết lộ tăng 40%

Khoảng cách ngày càng lớn giữa các cuộc tấn công ransomware và việc công bố thông tin công khai

Hãng phòng chống ransomware BlackFog vừa công bố báo cáo quý 2 về hoạt động ransomware toàn cầu, với con số tiêu đề gây ấn tượng mạnh: các cuộc tấn công ransomware không được tiết lộ tăng 40% so với cùng kỳ năm ngoái. Nói cách khác, ngày càng có nhiều sự cố ransomware xảy ra mà công chúng, cơ quan quản lý, hay thậm chí cả những khách hàng bị ảnh hưởng không hề hay biết thông qua các kênh chính thức.

Sự phân biệt này rất quan trọng. Những vụ tấn công ransomware được đưa tin thường là các vụ mà kẻ tấn công công khai nhận trách nhiệm, rò rỉ dữ liệu đánh cắp, hoặc buộc tổ chức phải công bố vì khách hàng, đối tác, hay truyền thông nhận thấy sự gián đoạn. Các cuộc tấn công không được tiết lộ thì khác. Đây là những sự cố mà tổ chức nạn nhân âm thầm giải quyết, trả tiền chuộc, hoặc xử lý theo cách khác mà không kích hoạt báo cáo công khai, dù dữ liệu có thể đã bị truy cập, mã hóa, hoặc đánh cắp trong quá trình đó.

Dữ liệu của BlackFog cho thấy loại tấn công thầm lặng này hiện đang tăng nhanh hơn so với những vụ tấn công được báo cáo công khai và dễ thấy hơn. Đối với một ngành đã dành nhiều năm để cải thiện tính minh bạch về vi phạm dữ liệu, đây là một sự chuyển dịch đáng chú ý, và nó gây ra hậu quả thực sự cho bất kỳ ai có thông tin cá nhân đang nằm trong hệ thống của các công ty.

Vì sao "không được tiết lộ" không đồng nghĩa với "đã được kiểm soát"

Thật dễ để cho rằng nếu một cuộc tấn công không bao giờ lên mặt báo, chắc hẳn nó chỉ là sự cố nhỏ hoặc đã được kiểm soát thành công. Những phát hiện của BlackFog phản bác lại giả định đó. Một sự cố ransomware có thể liên quan đến việc đánh cắp dữ liệu đáng kể, nghĩa là kẻ tấn công sao chép các tệp nhạy cảm trước hoặc thay vì mã hóa hệ thống, mà tổ chức không bao giờ chính thức thừa nhận nó đã xảy ra.

Có một số lý do khiến một công ty có thể tránh công bố thông tin công khai: không chắc chắn liệu vi phạm có đáp ứng ngưỡng báo cáo pháp lý hay không, mong muốn tránh tổn hại danh tiếng, hoặc đơn giản là thương lượng và trả tiền một cách lặng lẽ để giải quyết tình huống trước khi cơ quan quản lý vào cuộc. Không lý do nào trong số này làm biến mất rủi ro riêng tư tiềm ẩn. Nếu hồ sơ khách hàng, dữ liệu nhân viên, hoặc thông tin tài chính và sức khỏe bị lộ trong một cuộc tấn công không được tiết lộ, những người có dữ liệu bị lấy đi vẫn phải đối mặt với những rủi ro thứ cấp tương tự, như đánh cắp danh tính, gian lận, lừa đảo qua email có chủ đích, bất kể có thông cáo báo chí nào được đưa ra hay không.

Đây là điểm mà cuộc trò chuyện về ransomware ngày càng giao thoa với cuộc trò chuyện về quản lý lỗ hổng bảo mật. Nhiều đối tượng điều hành ransomware có được chỗ đứng ban đầu thông qua các lỗi phần mềm chưa được vá hoặc đang bị khai thác tích cực. Các cơ quan như CISA liên tục gắn cờ các lỗ hổng mà kẻ tấn công đang tích cực sử dụng để có được quyền truy cập nâng cao vào hệ thống, bao gồm các vấn đề như CVE-2026-31431, một lỗ hổng truy cập root trên Linux đã bị khai thác trong thực tế. Khi các tổ chức không vá các lỗ hổng đã biết đang bị khai thác một cách nhanh chóng, họ tạo ra chính xác kiểu sơ hở dẫn đến các sự cố ransomware mà BlackFog đang theo dõi, dù có được tiết lộ hay không.

Quy mô của vấn đề chưa được khám phá

Một lý do khiến các cuộc tấn công không được tiết lộ trở nên phổ biến hơn có thể đơn giản là do khối lượng khổng lồ các điểm yếu có thể khai thác trên phần mềm hiện đại. Các nhà nghiên cứu sử dụng các công cụ phân tích được hỗ trợ bởi AI gần đây đã chứng minh bề mặt tấn công đó có thể lớn đến mức nào. Ví dụ, Project Glasswing của Anthropic đã cho thấy mô hình Claude Mythos của họ có khả năng xác định hơn 10.000 lỗ hổng mức độ nghiêm trọng cao hoặc nghiêm trọng trên cơ sở hạ tầng phần mềm quan trọng. Khi có quá nhiều điểm xâm nhập tiềm năng như vậy, việc hiểu tại sao các nhóm ransomware liên tục tìm thấy các tổ chức mới để nhắm đến, và tại sao rất nhiều vụ xâm nhập trong số đó không bao giờ xuất hiện công khai trở nên dễ dàng hơn nhiều.

Báo cáo của BlackFog củng cố một mô hình mà các nhà nghiên cứu về quyền riêng tư và bảo mật đã cảnh báo trong nhiều năm: hồ sơ công khai về hoạt động ransomware có lẽ chỉ là một bức tranh không đầy đủ. Mỗi cuộc tấn công có thể nhìn thấy được đưa tin trên báo chí có thể có những vụ tương ứng đã được giải quyết một cách riêng tư, thông qua khôi phục sao lưu, dàn xếp thương lượng, hoặc các đội phản ứng sự cố làm việc bên ngoài tầm nhìn công chúng.

Điều này có ý nghĩa gì đối với bạn

Đối với người tiêu dùng hàng ngày, sự gia tăng các cuộc tấn công ransomware không được tiết lộ là một lời nhắc nhở rằng các thông báo vi phạm không phải là một hệ thống cảnh báo sớm hoàn chỉnh. Bạn có thể không bao giờ nhận được thông báo chính thức rằng dữ liệu của bạn có liên quan đến một sự cố, ngay cả khi nó đã xảy ra. Điều đó không có nghĩa là thông tin của bạn tự động an toàn; nó có nghĩa là các tín hiệu thông thường mà mọi người dựa vào, như email thông báo vi phạm hay tin tức thời sự, đang trở thành những chỉ báo kém tin cậy hơn về rủi ro thực tế.

Đối với các doanh nghiệp và đội ngũ CNTT, báo cáo là một lập luận mạnh mẽ để thu hẹp khoảng cách giữa các lỗ hổng đã biết và tiến độ vá lỗi, vì vá lỗi chậm trễ thường là điểm xâm nhập cho các kiểu xâm nhập thầm lặng không bao giờ được đưa tin. Đây cũng là lý do để đầu tư vào giám sát cụ thể việc đánh cắp dữ liệu, chứ không chỉ mã hóa ransomware, vì kẻ tấn công ngày càng đánh cắp dữ liệu ngay cả khi chúng không khóa hệ thống.

Đi trước các cuộc tấn công ransomware mà bạn có thể không bao giờ nghe đến

Các phát hiện quý 2 của BlackFog làm rõ rằng số liệu thống kê báo cáo ransomware có thể đánh giá thấp phạm vi thực sự của vấn đề, vì có quá nhiều cuộc tấn công không được tiết lộ. Thay vì chờ đợi một tiêu đề báo hay một lá thư thông báo, hãy coi việc giữ gìn quyền riêng tư định kỳ như một thói quen thường xuyên thay vì phản ứng với các sự kiện tin tức.

Một vài bước thực tế đáng thực hiện ngay bây giờ: sử dụng mật khẩu mạnh, duy nhất với trình quản lý mật khẩu để một vụ vi phạm ở một công ty không làm lộ các tài khoản khác của bạn; bật xác thực đa yếu tố ở bất cứ đâu được cung cấp; theo dõi tài khoản tài chính và tín dụng thường xuyên để phát hiện hoạt động bất thường; và cân nhắc đóng băng tín dụng nếu bạn nghi ngờ thông tin của mình có thể đã bị lộ trong bất kỳ sự cố nào, dù được tiết lộ hay không. Đối với các tổ chức, ưu tiên quản lý bản vá cho các lỗ hổng đang bị khai thác tích cực và đầu tư vào các công cụ phát hiện đánh cắp dữ liệu, không chỉ mã hóa, có thể giúp thu hẹp khoảng cách mà các cuộc tấn công ransomware không được tiết lộ hiện đang khai thác.