Các chuyên gia Delta Crisis: Doanh nghiệp nên đàm phán ransomware như thế nào

Các cuộc tấn công ransomware không còn là vấn đề chỉ dành riêng cho các tập đoàn lớn với nguồn lực tài chính dồi dào và đội ngũ bảo mật chuyên trách. Theo Michael Sjøberg và Peter Skovbo của Delta Crisis, các doanh nghiệp quy mô vừa — xương sống của nhiều nền kinh tế quốc gia — ngày càng rơi vào tình trạng tê liệt bởi những kẻ tấn công mã hóa các hệ thống quan trọng và đòi tiền chuộc để khôi phục quyền truy cập. Hướng dẫn của họ, được công bố qua Handelsblatt, mang đến cái nhìn hiếm hoi từ bên trong về cách các công ty thực sự đàm phán với những kẻ tống tiền mạng, cũng như những bước có thể giảm thiểu thiệt hại trước khi một cuộc tấn công xảy ra.

Tại sao các công ty quy mô vừa lại trở thành mục tiêu mới

Trong nhiều năm, các tiêu đề về ransomware tập trung vào bệnh viện, cơ quan chính phủ và các tập đoàn đa quốc gia. Bức tranh đó đang thay đổi. Những kẻ tấn công đã nhận ra rằng các công ty nhỏ và vừa thường thiếu hệ thống phòng thủ nhiều lớp như các doanh nghiệp lớn, nhưng vẫn nắm giữ dữ liệu có giá trị và không thể chịu đựng thời gian ngừng hoạt động kéo dài. Sự chuyển dịch này phản ánh một xu hướng rộng lớn hơn đã được ghi nhận ở nơi khác trong hệ sinh thái ransomware, nơi một số nhóm đã chuyển sang cái mà các nhà nghiên cứu gọi là kìm hãm diện rộng mạng lưới SME, nhắm vào toàn bộ cụm các tổ chức nhỏ hơn thay vì lựa chọn từng nạn nhân có giá trị cao một cách tỉ mỉ. Logic rất đơn giản: số lượng thay thế độ chính xác, và ngay cả những khoản tiền chuộc khiêm tốn cũng tăng lên đáng kể khi được nhân lên qua hàng chục nạn nhân.

Kinh nghiệm của Delta Crisis cho thấy rằng khi một cuộc tấn công xảy ra, sự khác biệt giữa một công ty phục hồi với thiệt hại hạn chế và một công ty chịu tổn hại lâu dài thường nằm ở sự chuẩn bị và cách cuộc đàm phán được xử lý trong những giờ và ngày đầu tiên.

Bên trong một cuộc đàm phán ransomware

Theo Sjøberg và Skovbo, đàm phán với tội phạm mạng không chỉ đơn giản là quyết định có trả tiền hay không. Nó đòi hỏi phải hiểu mô hình kinh doanh của kẻ tấn công, xác minh dữ liệu nào thực sự bị đánh cắp hoặc mã hóa, và quản lý giao tiếp theo cách không kích động nhóm này phá hủy dữ liệu cũng như không thể hiện sự tuyệt vọng có thể đẩy mức yêu cầu lên cao. Đây là công việc tinh tế, và nó ngày càng giống một ngành dịch vụ chuyên nghiệp ở cả hai phía của bàn đàm phán. Sự chuyên nghiệp hóa đó có thể thấy rõ trên toàn bộ bức tranh ransomware. Các nhóm đã áp dụng mô hình ransomware-as-a-service có cấu trúc, một mô hình cũng được thấy trong các cảnh báo về sự mở rộng của ransomware Gunra thành hoạt động RaaS, nơi các chi nhánh thực hiện các cuộc tấn công bằng công cụ do một nhóm nòng cốt xây dựng để đổi lấy một phần lợi nhuận. Kết quả là một quy trình tống tiền có khả năng mở rộng và lặp lại cao hơn, và đó chính là lý do chiến lược đàm phán lại quan trọng đối với nạn nhân đến vậy.

Điểm xâm nhập của nhiều cuộc tấn công này cũng đáng được chú ý. Những kẻ tấn công thường giành quyền truy cập ban đầu thông qua kỹ thuật xã hội thay vì khai thác các lỗ hổng kỹ thuật ít người biết. Các chiến dịch lạm dụng các công cụ như Microsoft Teams để giả danh nhân viên hỗ trợ IT giả mạo cho thấy một cuộc gọi điện thoại hoặc tin nhắn trò chuyện thuyết phục duy nhất có thể mở ra cánh cửa dẫn đến việc xâm nhập toàn bộ hệ thống mạng, rất lâu trước khi bất kỳ thông báo đòi tiền chuộc nào xuất hiện.

Rủi ro về quyền riêng tư và lộ dữ liệu

Đàm phán ransomware không chỉ về việc khôi phục quyền truy cập vào các tệp đã mã hóa. Các nhóm ransomware hiện đại thường đánh cắp dữ liệu trước khi mã hóa, sau đó đe dọa công khai hoặc bán thông tin đó nếu không được thanh toán. Mô hình tống tiền kép này làm tăng đáng kể rủi ro về quyền riêng tư. Hồ sơ khách hàng, dữ liệu nhân viên và thông tin kinh doanh bí mật có thể bị lộ bất kể công ty có trả tiền hay không. Những kẻ tấn công cũng ngày càng tinh vi hơn trong việc trốn tránh bị phát hiện trong giai đoạn xâm nhập, bao gồm các kỹ thuật vô hiệu hóa hoàn toàn các công cụ bảo mật, như đã thấy trong báo cáo về ransomware GodDamn lạm dụng trình điều khiển có chữ ký để vô hiệu hóa phần mềm diệt virus. Kiểu lén lút đó có nghĩa là một vụ vi phạm có thể không bị phát hiện trong thời gian dài hơn nhiều, cho phép những kẻ tấn công có thêm thời gian để trích xuất dữ liệu nhạy cảm trước khi bất kỳ ai nhận ra có điều gì đó không ổn.

Điều này có ý nghĩa gì với bạn

Nếu bạn điều hành hoặc làm việc tại một công ty quy mô vừa, thông điệp từ Delta Crisis rất rõ ràng: sự sẵn sàng đối phó với ransomware không còn là tùy chọn, và nó bắt đầu từ rất lâu trước khi một cuộc tấn công xảy ra. Vệ sinh cơ bản, sao lưu ngoại tuyến, kế hoạch ứng phó sự cố đã được kiểm tra và đào tạo nhân viên chống kỹ thuật xã hội vẫn là hàng phòng thủ mạnh nhất. Nếu một cuộc tấn công xảy ra, quyết định có đàm phán hay không và đàm phán như thế nào không bao giờ được thực hiện một cách cô lập hoặc trong cơn hoảng loạn. Những nhà đàm phán giàu kinh nghiệm hiểu tâm lý kẻ tấn công, xác minh các tuyên bố trước khi tin tưởng và biết cách kéo dài thời gian mà không làm leo thang các mối đe dọa đối với dữ liệu bị đánh cắp.

Đối với những cá nhân có dữ liệu có thể nằm trong hệ thống của công ty, điều này cũng nhấn mạnh lý do tại sao các tổ chức phải minh bạch với khách hàng khi xảy ra vi phạm, vì các cuộc đàm phán ransomware ảnh hưởng trực tiếp đến việc thông tin cá nhân được giữ kín hay bị rò rỉ.

Những điểm chính

Các công ty ở mọi quy mô nên coi ransomware là tình huống "khi nào" chứ không phải "nếu có". Xây dựng kế hoạch ứng phó sự cố trước khi bị tấn công, duy trì sao lưu ngoại tuyến đã được kiểm tra và xác định trước ai sẽ phụ trách giao tiếp nếu những kẻ tống tiền liên hệ. Đào tạo nhân viên nhận biết các nỗ lực kỹ thuật xã hội, đặc biệt là việc giả danh qua các công cụ cộng tác hàng ngày. Nếu việc đàm phán trở nên cần thiết, hãy có sự tham gia của các chuyên gia giàu kinh nghiệm thay vì ứng biến, vì cách công ty phản ứng trong những giờ đầu có thể định hình cả kết quả tài chính lẫn mức độ dữ liệu cá nhân hoặc dữ liệu công ty bị lộ.