Nhóm ransomware Booba Project là một tổ chức tống tiền vì mục đích tài chính, công bố nạn nhân trên một trang web rò rỉ và đe dọa công bố thông tin bị đánh cắp trừ khi được trả tiền chuộc. Thông tin công khai về nhóm này còn hạn chế, nhưng những nét chính đủ rõ ràng để hữu ích: các mục tiêu được báo cáo của nhóm tập trung tại Hoa Kỳ, cùng với các nạn nhân khác được xác định ở nơi khác, bao gồm một công ty tại Thụy Sĩ.

Bài viết này giải thích những gì đã biết, cách thức hoạt động của mô hình tống tiền, và những gì người dân thường cũng như doanh nghiệp nhỏ có thể làm để giảm thiệt hại nếu dữ liệu của họ rơi vào tay kẻ xấu.

Booba Project nhắm vào ai

Theo hồ sơ về nhóm do nền tảng tình báo mối đe dọa Mallory công bố, các nạn nhân được báo cáo của Booba Project tập trung tại Hoa Kỳ. Các nạn nhân khác đã được xác định bên ngoài quốc gia này, cho thấy nhóm không giới hạn nghiêm ngặt trong một thị trường duy nhất.

Tài liệu nguồn không cung cấp phân tích chi tiết về các ngành nghề, số lượng nạn nhân, hay các phương thức kỹ thuật mà nhóm sử dụng để xâm nhập, và sẽ là sai lầm nếu lấp đầy những khoảng trống đó bằng phỏng đoán. Điều có thể nói là nhóm này phù hợp với một khuôn mẫu quen thuộc: được thúc đẩy bởi tiền bạc chứ không phải chính trị, và nhắm vào các tổ chức nắm giữ dữ liệu đủ giá trị để gây áp lực buộc họ phải trả tiền.

Đối với độc giả, điểm thực tế là vị trí địa lý không khiến một tổ chức trở nên an toàn. Một nhóm chủ yếu tập trung vào Hoa Kỳ vẫn có thể tiếp cận một doanh nghiệp ở châu Âu, như trường hợp Thụy Sĩ dưới đây cho thấy.

Cách thức hoạt động của mô hình tống tiền qua trang rò rỉ

Booba Project theo mô hình thường được gọi là tống tiền kép. Thay vì chỉ khóa hệ thống, các kẻ điều hành còn đánh cắp dữ liệu và sau đó gây áp lực theo hai cách:

  • Áp lực vận hành: nếu hệ thống bị mã hóa, nạn nhân có thể không thể làm việc bình thường.
  • Áp lực phơi bày: nhóm công bố tên nạn nhân trên trang rò rỉ và đe dọa phát tán các tệp bị đánh cắp trừ khi được trả tiền chuộc.

Trang rò rỉ là công cụ then chốt. Một danh sách công khai vừa là lời đe dọa vừa là thời hạn. Nó cho nạn nhân, khách hàng của họ và báo chí biết rằng một sự cố đã xảy ra, ngay cả trước khi bất kỳ tệp nào bị phát tán. Đó là lý do tại sao khôi phục từ bản sao lưu, dù thiết yếu, không giải quyết hoàn toàn vấn đề. Bản sao lưu có thể đưa hệ thống hoạt động trở lại, nhưng chúng không thể hoàn tác việc dữ liệu đã bị đánh cắp.

Bản thân danh sách cũng chỉ là một tuyên bố. Các mục trên trang rò rỉ do tội phạm tạo ra, và lượng dữ liệu mà chúng nói rằng chúng nắm giữ không được xác minh độc lập theo mặc định. Hãy coi chúng như tín hiệu để điều tra, không phải bằng chứng.

Tuyên bố về Zynex cho thấy gì về hoạt động của nhóm

Phạm vi hoạt động của nhóm vượt ra ngoài Hoa Kỳ được minh họa qua tuyên bố của nhóm nhắm vào Zynex, một công ty có trụ sở tại Thụy Sĩ. Như đã đề cập trong báo cáo của chúng tôi về tuyên bố của nhóm ransomware Booba nhắm vào công ty Thụy Sĩ Zynex, nhóm nói rằng chúng đã đánh cắp khoảng 1,4 GB dữ liệu.

Con số đó là khẳng định của chính nhóm. Đây là một ví dụ hữu ích về cách những tuyên bố này thường xuất hiện: một nạn nhân được nêu tên, một khối lượng dữ liệu bị đánh cắp được nêu rõ, và một lời đe dọa công bố nó.

Vụ việc cũng đặt ra các câu hỏi pháp lý cho các công ty hoạt động tại Thụy Sĩ. Kể từ ngày 1 tháng 9 năm 2023, các doanh nghiệp tại đây hoạt động theo Luật Bảo vệ Dữ liệu Liên bang sửa đổi. Bài giải thích của chúng tôi về tuân thủ Luật Bảo vệ Dữ liệu Thụy Sĩ từ năm 2023 đề cập đến khuôn khổ này và là điểm khởi đầu tốt để hiểu những nghĩa vụ có thể phát sinh sau một vụ đánh cắp dữ liệu.

Điều này có ý nghĩa gì với bạn

Hầu hết mọi người sẽ không bao giờ trực tiếp đối mặt với một nhóm ransomware. Kịch bản có khả năng xảy ra hơn là một công ty mà bạn có quan hệ kinh doanh, chẳng hạn như nhà cung cấp dịch vụ, nhà cung ứng, hoặc người sử dụng lao động, bị liệt kê trên một trang rò rỉ và thông tin của bạn nằm trong số các tệp bị đánh cắp.

Điều đó có nghĩa là mức độ phơi bày của bạn thường phụ thuộc vào quyết định của người khác. Bạn không thể ngăn chặn vụ vi phạm, nhưng bạn có thể hạn chế những gì một tệp bị đánh cắp có thể được sử dụng để làm.

Các bước người tiêu dùng và doanh nghiệp nhỏ có thể thực hiện để hạn chế phơi bày

Đối với cá nhân:

  • Sử dụng mật khẩu duy nhất cho mỗi tài khoản, lưu trữ trong trình quản lý mật khẩu, để một thông tin đăng nhập bị rò rỉ không mở khóa được các tài khoản khác.
  • Bật xác thực đa yếu tố ở mọi nơi được cung cấp, tốt nhất là với ứng dụng xác thực hoặc khóa bảo mật.
  • Cảnh giác với lừa đảo trực tuyến có đề cập đến một vụ vi phạm thực sự. Tội phạm thường sử dụng tin tức về một sự cố để làm cho các tin nhắn lừa đảo trông đáng tin cậy.
  • Cân nhắc đóng băng tín dụng nếu các thông tin nhận dạng nhạy cảm như số CMND/CCCD quốc gia có liên quan, và theo dõi sao kê để phát hiện hoạt động bất thường.

Đối với doanh nghiệp nhỏ:

  • Duy trì bản sao lưu ngoại tuyến hoặc bất biến và kiểm tra việc khôi phục chúng, để chỉ riêng việc mã hóa không thể làm tê liệt hoạt động.
  • Chỉ thu thập và lưu giữ dữ liệu bạn cần. Dữ liệu bạn không còn nắm giữ thì không thể bị đánh cắp.
  • Hạn chế ai có thể truy cập các tệp nhạy cảm, và áp dụng cập nhật phần mềm kịp thời.
  • Chuẩn bị một kế hoạch ứng phó sự cố trước khi bạn cần đến nó, bao gồm việc gọi cho ai, cách thông báo cho khách hàng, và những nghĩa vụ báo cáo pháp lý nào áp dụng tại khu vực tài phán của bạn.
  • Phân đoạn mạng để một thiết bị bị xâm phạm không làm lộ toàn bộ hệ thống.

Nếu bạn bị liệt kê trên một trang rò rỉ, hãy nhanh chóng liên hệ với luật sư và đội ứng phó sự cố. Việc trả tiền không đảm bảo dữ liệu sẽ bị xóa, và nó có thể tài trợ cho các cuộc tấn công tiếp theo.

Những điểm chính cần ghi nhớ

Nhóm ransomware Booba Project là một lời nhắc nhở rằng nạn tống tiền hiện đại không chỉ là về hệ thống bị khóa mà còn là về dữ liệu bị đánh cắp. Việc nhóm được báo cáo tập trung vào các tổ chức Hoa Kỳ, cộng với ít nhất một nạn nhân Thụy Sĩ, cho thấy vị trí địa lý mang lại rất ít sự bảo vệ.

Mật khẩu mạnh và duy nhất, xác thực đa yếu tố, lưu giữ dữ liệu tối thiểu, và bản sao lưu đã được kiểm tra vẫn là những biện pháp phòng thủ hiệu quả nhất. Để xem một tuyên bố của Booba Project trông như thế nào trong thực tế, hãy đọc bài viết của chúng tôi về tuyên bố Zynex, và về khía cạnh pháp lý của một vụ vi phạm, hãy xem hướng dẫn của chúng tôi về tuân thủ bảo vệ dữ liệu Thụy Sĩ.