Tiền Chuộc Chỉ Là Khoản Trả Trước

Khi hầu hết mọi người nghĩ về chi phí của một cuộc tấn công ransomware, họ hình dung đến chính khoản tiền chuộc: một khoản tiền mà tội phạm yêu cầu để đổi lấy khóa giải mã. Nhưng theo một bài giải thích mới từ Datto, con số đó thường chỉ là một phần nhỏ so với những gì một tổ chức thực sự phải chi trả sau khi cuộc tấn công kết thúc. Thời gian ngừng hoạt động, công việc khôi phục, nỗ lực khắc phục và các nghĩa vụ pháp lý có thể cộng dồn lên tới hàng triệu đô la, khiến khoản tiền chuộc ban đầu trở nên nhỏ bé.

Sự khác biệt này quan trọng vì nó định hình lại cách các doanh nghiệp, và những người mà dữ liệu của họ được các doanh nghiệp đó nắm giữ, nên suy nghĩ về rủi ro ransomware. Một công ty có thể từ chối trả tiền chuộc vì nguyên tắc, để rồi phát hiện ra rằng chi phí xây dựng lại hệ thống từ đầu, thông báo cho khách hàng bị ảnh hưởng và đáp ứng các cơ quan quản lý cuối cùng lại tốn kém hơn nhiều so với yêu cầu ban đầu của tội phạm.

Tiền Thực Sự Đi Đâu

Phân tích của Datto làm nổi bật một số danh mục chi phí thường ít được chú ý hơn so với chính khoản tiền chuộc:

  • Thời gian ngừng hoạt động: Mỗi giờ hệ thống ngừng hoạt động là một giờ mất năng suất, bỏ lỡ giao dịch và gián đoạn dịch vụ khách hàng. Đối với các doanh nghiệp phụ thuộc vào thời gian hoạt động liên tục, đây có thể là yếu tố chi phí lớn nhất.
  • Khôi phục: Xây dựng lại hạ tầng, khôi phục dữ liệu từ các bản sao lưu (nếu chúng tồn tại và có thể sử dụng được), và xác minh rằng hệ thống đã sạch trước khi đưa chúng trở lại hoạt động là một quá trình chậm chạp và tốn nhiều công sức.
  • Khắc phục: Ngoài việc chỉ khôi phục hoạt động, các tổ chức thường cần đại tu các kiểm soát bảo mật, vá các lỗ hổng và thuê chuyên gia bên ngoài để xác nhận rằng những kẻ tấn công đã thực sự biến mất.
  • Nghĩa vụ pháp lý: Luật thông báo vi phạm dữ liệu, yêu cầu báo cáo theo quy định và các vụ kiện tiềm tàng từ khách hàng hoặc đối tác bị ảnh hưởng thêm một tầng chi phí và sự phức tạp, kéo dài hàng tháng sau khi sự cố kỹ thuật được giải quyết.

Chiều hướng pháp lý đó là nơi các rủi ro về quyền riêng tư trở nên rõ ràng. Các cuộc tấn công ransomware ngày càng liên quan đến việc đánh cắp dữ liệu song song với mã hóa, nghĩa là thông tin cá nhân, hồ sơ tài chính hoặc dữ liệu sức khỏe có thể bị phơi bày hoặc bán đi bất kể tiền chuộc có được trả hay không. Một khi điều đó xảy ra, sự cố không còn là vấn đề thuần túy kỹ thuật nữa mà trở thành vấn đề về quyền riêng tư và tuân thủ, với các thời hạn thông báo, sự giám sát của cơ quan quản lý và thiệt hại về danh tiếng kéo dài hơn cả sự gián đoạn ban đầu.

Tại Sao BCDR Thay Đổi Cục Diện

Bài giải thích của Datto chỉ ra khả năng liên tục kinh doanh và khôi phục sau thảm họa (BCDR) như một cách để giảm bớt những chi phí này, đặc biệt là phần thời gian ngừng hoạt động và khôi phục trong hóa đơn. Một chiến lược BCDR trưởng thành được xây dựng dựa trên việc có các bản sao lưu đáng tin cậy, đã được kiểm thử và một kế hoạch khôi phục rõ ràng được chuẩn bị trước khi cuộc tấn công xảy ra, chứ không phải được gấp rút tập hợp sau đó. Các tổ chức có sự chuẩn bị như vậy có xu hướng hoạt động trở lại nhanh hơn và có thể dự đoán được nhiều hơn, thay vì đối mặt với một khung thời gian khôi phục không xác định trong khi những kẻ tấn công nắm giữ hệ thống của họ làm con tin.

Điều này đặc biệt liên quan khi các nhóm ransomware tiếp tục chuyên nghiệp hóa hoạt động của chúng. Như đã đề cập trong một bài viết gần đây về cách AI đang định hình lại mô hình kinh doanh của ransomware, những kẻ tấn công đang trở nên hiệu quả hơn trong việc xác định mục tiêu, tự động hóa các phần của quá trình xâm nhập và gây áp lực buộc nạn nhân trả tiền nhanh chóng. Một kẻ tấn công nhanh hơn, tự động hóa hơn đồng nghĩa với việc những người phòng thủ cần các quy trình khôi phục nhanh chóng, được luyện tập kỹ lưỡng tương đương để tránh những hậu quả tồi tệ nhất về thời gian ngừng hoạt động và pháp lý.

Điều Này Có Ý Nghĩa Gì Với Bạn

Nếu bạn điều hành một doanh nghiệp, dù chỉ là doanh nghiệp nhỏ, cách định hình này nên thay đổi cách bạn đánh giá rủi ro ransomware. Không đủ để hỏi "liệu chúng ta có thể chi trả tiền chuộc không." Câu hỏi tốt hơn là "liệu chúng ta có thể chi trả cho nhiều tuần ngừng hoạt động, xây dựng lại toàn bộ hệ thống và hậu quả pháp lý nếu dữ liệu khách hàng bị phơi bày không?" Đối với hầu hết các tổ chức, câu trả lời trung thực là không, và đó chính xác là lý do tại sao việc lập kế hoạch sao lưu và khôi phục xứng đáng nhận được sự quan tâm tương tự như tường lửa và bảo vệ điểm cuối.

Đối với cá nhân, bài học chủ yếu là về nhận thức. Nếu một công ty mà bạn giao dịch bị tấn công ransomware, sự gián đoạn và bất kỳ sự phơi bày dữ liệu nào có thể kéo dài rất lâu sau khi các tiêu đề tin tức phai nhạt, vì các quy trình pháp lý và khắc phục thường kéo dài hàng tháng. Theo dõi các thông báo vi phạm và hiểu rõ dữ liệu nào của bạn có thể đã bị ảnh hưởng vẫn là một thói quen hợp lý.

Những Điểm Cần Hành Động

  • Các doanh nghiệp nên đánh giá xem hệ thống sao lưu và khôi phục của họ có được kiểm thử thường xuyên không, chứ không chỉ được cài đặt rồi bỏ quên.
  • Coi việc chuẩn bị ứng phó ransomware là vấn đề pháp lý và quyền riêng tư, không chỉ là vấn đề CNTT, do các chi phí thông báo và tuân thủ liên quan.
  • Xây dựng một kế hoạch ứng phó sự cố được ghi chép rõ ràng, giải quyết đồng thời thời gian ngừng hoạt động, khôi phục và báo cáo theo quy định, thay vì riêng lẻ.
  • Các cá nhân nên cảnh giác với các thông báo vi phạm từ các công ty mà họ tương tác, vì rủi ro phơi bày dữ liệu có thể tồn tại lâu sau cuộc tấn công ban đầu.

Hiểu được toàn bộ chi phí của một cuộc tấn công ransomware, không chỉ khoản tiền chuộc, là bước đầu tiên để xây dựng các biện pháp phòng thủ thực sự vững chắc khi một cuộc tấn công xảy ra.