Ransomware tống tiền kép là gì?

Tống tiền kép là một chiến thuật trong đó kẻ tấn công không chỉ mã hóa dữ liệu của nạn nhân mà còn đánh cắp thông tin và đe dọa rò rỉ nếu yêu cầu không được đáp ứng. Nó thêm một mối đe dọa thứ hai lên trên yêu cầu mã hóa truyền thống.

Tại sao sao lưu không đủ để bảo vệ chống lại tống tiền kép?

Sao lưu chỉ giải quyết mối đe dọa mã hóa bằng cách cho phép nạn nhân khôi phục hoạt động mà không phải trả tiền cho chìa khóa giải mã, nhưng chúng không giải quyết gì đối với các bản sao dữ liệu bị đánh cắp. Một khi thông tin đã bị tuồn ra ngoài, việc khôi phục tệp từ bản sao lưu không kéo dữ liệu trở lại từ máy chủ của kẻ tấn công.

Giải thích về Ransomware Tống tiền Kép: Tại sao Bản sao lưu Không Đủ

Q: Nguồn tin đề xuất những biện pháp nào cùng với sao lưu?

Nguồn tin kết hợp sao lưu với các biện pháp khác như xác thực đa yếu tố, vì ngăn chặn kẻ tấn công xâm nhập hoặc di chuyển tự do một khi đã vào trong là cách duy nhất để ngăn chặn hành vi trộm cắp ngay từ đầu.

Q: RansomHouse là gì?

RansomHouse là một ví dụ về trang rò rỉ nơi các nhóm tống tiền nêu tên nạn nhân và đe dọa phát tán hoặc thực sự công bố tài liệu bị đánh cắp. Nó được trích dẫn trong bài bình luận như một phần của bối cảnh mối đe dọa hiện tại.

Q: Tôi có thể bị ảnh hưởng bởi tống tiền kép ngay cả khi tôi không phải là mục tiêu trực tiếp không?

Có. Nếu một công ty, phòng khám, trường học hoặc nhà cung cấp nắm giữ thông tin của bạn bị xâm phạm, dữ liệu của bạn có thể là một phần của những gì bị đánh cắp, nghĩa là bạn có thể bị ảnh hưởng mà không bao giờ là mục tiêu.

Ransomware từng là một vấn đề đơn giản nhưng tàn bạo: kẻ tấn công khóa tệp của bạn và đòi tiền để lấy chìa khóa. Ngày nay bức tranh phức tạp hơn. Hướng dẫn này cung cấp phần giải thích chi tiết về ransomware tống tiền kép dành cho độc giả phổ thông, dựa trên một bài bình luận tiếng Nhật gần đây của Masaya Kinoshita, mô tả cách thiệt hại do ransomware ngày càng trở nên tinh vi và nghiêm trọng.

Điểm mấu chốt là chiến thuật chủ đạo hiện nay là "tống tiền kép." Kẻ tấn công không chỉ mã hóa dữ liệu. Chúng còn đánh cắp thông tin và đe dọa rò rỉ nếu yêu cầu không được đáp ứng. Sự thay đổi đó làm thay đổi ý nghĩa của phòng thủ, đối với cả tổ chức và những cá nhân có dữ liệu mà các tổ chức đó nắm giữ.

Tống tiền kép hoạt động như thế nào

Trong một cuộc tấn công ransomware cổ điển, tội phạm mã hóa tệp của nạn nhân và đòi tiền để giải mã. Câu hỏi chính của nạn nhân là liệu họ có thể khôi phục hệ thống của mình không.

Tống tiền kép thêm một đòn bẩy thứ hai. Trước hoặc trong khi mã hóa, kẻ tấn công sao chép thông tin nhạy cảm ra khỏi mạng của nạn nhân. Sau đó chúng đưa ra hai mối đe dọa cùng lúc:

Trả tiền, nếu không hệ thống của bạn sẽ bị khóa.
Trả tiền, nếu không dữ liệu bị đánh cắp của bạn sẽ bị công bố.

Bài bình luận mô tả đây là cách tiếp cận chủ đạo, không phải là điều hiếm gặp. Mối đe dọa thứ hai chính là điều khiến chiến thuật này trở nên hiệu quả đến vậy. Ngay cả một nạn nhân có kế hoạch khôi phục hoàn hảo vẫn phải đối mặt với viễn cảnh hồ sơ khách hàng, thông tin nhân viên hoặc tài liệu nội bộ xuất hiện trước công chúng.

Tại sao chỉ sao lưu không còn giải quyết được vấn đề

Sao lưu dữ liệu vẫn là điều thiết yếu. Nguồn tin nhấn mạnh việc đảm bảo sao lưu mạnh mẽ là một trong những biện pháp cụ thể mà tổ chức nên áp dụng, vì bản sao lưu tốt cho phép nạn nhân khôi phục hoạt động mà không phải trả tiền cho chìa khóa giải mã.

Nhưng sao lưu chỉ giải quyết mối đe dọa mã hóa. Chúng không giải quyết gì đối với các bản sao bị đánh cắp. Khôi phục tệp từ bản sao lưu sạch không kéo dữ liệu của bạn trở lại từ máy chủ của kẻ tấn công. Một khi thông tin đã bị tuồn ra ngoài, nạn nhân đã mất kiểm soát về việc ai sẽ nhìn thấy nó, và tội phạm biết điều đó.

Đây là lý do nguồn tin kết hợp sao lưu với các biện pháp khác, chẳng hạn như xác thực đa yếu tố. Ngăn chặn kẻ tấn công xâm nhập, hoặc di chuyển tự do một khi đã vào trong, là cách duy nhất để ngăn chặn hành vi trộm cắp ngay từ đầu. Sao lưu là công cụ khôi phục, không phải công cụ phòng ngừa.

Các trang rò rỉ như RansomHouse có ý nghĩa gì đối với dữ liệu cá nhân của bạn

Áp lực đằng sau tống tiền kép thường được áp dụng công khai. Nguồn tin đề cập đến một trang web có tên RansomHouse, một ví dụ về các trang rò rỉ nơi các nhóm tống tiền nêu tên nạn nhân và đe dọa phát tán hoặc thực sự công bố tài liệu bị đánh cắp. Video được thảo luận trong bài bình luận nhấn mạnh loại trang web này như một phần của mối đe dọa hiện tại.

Đối với người dân bình thường, điểm mấu chốt là bạn có thể bị ảnh hưởng mà không bao giờ là mục tiêu. Nếu một công ty, phòng khám, trường học hoặc nhà cung cấp nắm giữ thông tin của bạn bị xâm phạm, dữ liệu của bạn có thể là một phần của những gì bị đánh cắp. Việc xuất hiện trên trang rò rỉ là dấu hiệu cho thấy nhóm đang gây áp lực lên tổ chức, không phải bằng chứng rằng tuyên bố đó là chính xác. Ví dụ, bài đưa tin của chúng tôi về Everest ransomware liệt kê Capgemini Engineering, tuyên bố chưa được xác minh lưu ý rằng những tuyên bố như vậy thường chưa được xác minh vào thời điểm chúng xuất hiện.

Một ví dụ gần đây về mô hình này là vụ xâm phạm Uber Freight, nơi nhóm Helix tuyên bố gần 1 triệu tệp sau khi liệt kê công ty trên trang rò rỉ dark web của mình. Công ty cho biết họ đang điều tra một sự cố bảo mật dữ liệu. Nếu bạn muốn hiểu thông tin bị đánh cắp sẽ đi đâu tiếp theo, bài giải thích của chúng tôi về điều gì xảy ra với dữ liệu của bạn sau một vụ xâm phạm đề cập đến chuỗi phản ứng có thể xảy ra sau đó.

Điều này có ý nghĩa gì đối với bạn

Hầu hết độc giả không điều hành một mạng lưới doanh nghiệp, nhưng bạn vẫn là một phần của câu chuyện tống tiền kép. Dữ liệu của bạn nằm trong hệ thống của người khác, và bạn không thể kiểm soát bảo mật của họ. Điều bạn có thể kiểm soát là mức độ thiệt hại mà một vụ rò rỉ gây ra cho bạn.

Một bộ thông tin cá nhân bị công bố hoặc bán có thể nuôi dưỡng lừa đảo, các nỗ lực chiếm đoạt tài khoản và mạo danh. Việc tái sử dụng mật khẩu làm điều này tồi tệ hơn, vì một thông tin đăng nhập bị rò rỉ có thể mở khóa nhiều tài khoản. Tin tốt là một vài thói quen có thể hạn chế mạnh mẽ hậu quả.

Các bước thực tế cho cá nhân và tổ chức nhỏ

Đối với cá nhân:

Sử dụng mật khẩu duy nhất cho mỗi tài khoản, lưu trữ trong trình quản lý mật khẩu.
Bật xác thực đa yếu tố ở mọi nơi được cung cấp, bắt đầu với email, ngân hàng và lưu trữ đám mây.
Hãy hoài nghi về những tin nhắn bất ngờ đề cập đến thông tin thực của bạn, vì dữ liệu bị rò rỉ khiến các vụ lừa đảo trở nên thuyết phục hơn.
Nếu bạn được thông báo về một vụ xâm phạm, hãy thay đổi mật khẩu bị ảnh hưởng ngay lập tức và bất kỳ mật khẩu nào khác trùng với nó.
Chỉ chia sẻ thông tin cá nhân mà dịch vụ thực sự cần.

Đối với tổ chức nhỏ:

Duy trì sao lưu mạnh mẽ, và lưu trữ ít nhất một bản sao ngoại tuyến hoặc tách biệt khỏi mạng chính để kẻ tấn công không thể mã hóa nó.
Yêu cầu xác thực đa yếu tố cho nhân viên, đặc biệt là đối với truy cập từ xa và tài khoản quản trị.
Thu thập và lưu giữ ít dữ liệu nhạy cảm hơn. Thông tin bạn không nắm giữ thì không thể bị đánh cắp.
Chuẩn bị kế hoạch ứng phó sự cố bao gồm cả trộm cắp dữ liệu, không chỉ khôi phục hệ thống, bao gồm cả việc bạn sẽ thông báo cho ai.

Những điểm chính cần ghi nhớ

Hiểu về ransomware tống tiền kép được giải thích bằng ngôn ngữ đơn giản chỉ quy về một ý tưởng: mã hóa là cuộc tấn công hữu hình, và trộm cắp là cuộc tấn công lâu dài. Sao lưu bảo vệ hoạt động của bạn, nhưng chỉ có phòng ngừa, chẳng hạn như xác thực đa yếu tố và hạn chế dữ liệu được lưu trữ, mới giảm khả năng rò rỉ.

Để xem điều gì thường xảy ra sau khi thông tin bị lấy đi, hãy đọc hướng dẫn của chúng tôi về điều gì xảy ra với dữ liệu của bạn sau một vụ xâm phạm, và xem lại báo cáo Uber Freight và Helix như một ví dụ gần đây về việc liệt kê tống tiền trên trang rò rỉ. Sau đó, hãy dành mười phút hôm nay để bật xác thực đa yếu tố trên các tài khoản quan trọng nhất của bạn.