Khi một nhà khai thác hậu cần lớn bị tấn công mạng, câu hỏi đầu tiên thường là về chuỗi cung ứng. Một bài bình luận gần đây đã đặt câu hỏi liệu cuộc tấn công mạng nhằm vào DP World có đặt thương mại của Úc vào vòng nguy hiểm hay không, và câu trả lời là: lần này thì có lẽ không. Tiêu đề đó mang lại sự yên tâm trên phương diện kinh tế. Tuy nhiên, nó để ngỏ một câu hỏi thứ hai, một câu hỏi quan trọng đối với người dân thường: điều gì xảy ra với dữ liệu khi kẻ tấn công xâm nhập vào một tổ chức lớn? Hướng dẫn này sử dụng sự cố DP World làm nghiên cứu điển hình để giải thích về tống tiền kép bằng ransomware một cách dễ hiểu.
Điều gì đã xảy ra trong cuộc tấn công DP World
Bài bình luận nguồn mô tả sự cố DP World như một phần của xu hướng gia tăng ransomware nói chung. Bài viết chỉ ra các cuộc tấn công gắn liền với những băng nhóm tội phạm mạng khét tiếng, bao gồm REvil và gần đây hơn là LockBit. Câu hỏi trọng tâm của bài là về mức độ phơi nhiễm thương mại quốc gia, và kết luận là rủi ro đối với thương mại của Úc lần này có lẽ là hạn chế.
Đoạn trích có sẵn cho chúng ta không nêu chi tiết kỹ thuật của vụ xâm nhập, vì vậy chúng tôi sẽ không suy đoán về cách kẻ tấn công xâm nhập, những gì chúng lấy đi, hay ai chịu trách nhiệm. Điều mà bài bình luận cung cấp là một mô tả rõ ràng về cách thức kiểu tấn công này thường diễn ra. Đó là phần hữu ích cho độc giả.
Giải thích về tống tiền kép bằng ransomware
Ransomware truyền thống rất đơn giản: tội phạm mã hóa các tệp của một tổ chức và yêu cầu thanh toán để mở khóa chúng. Nếu nạn nhân có bản sao lưu tốt, họ thường có thể khôi phục hệ thống và từ chối trả tiền.
Theo mô tả trong bài bình luận, một cuộc tấn công hiện đại thường diễn ra theo hai giai đoạn:
- Dữ liệu bị trích xuất. Kẻ tấn công sao chép dữ liệu ra khỏi hệ thống của tổ chức.
- Dữ liệu bị làm cho không thể truy cập. Các tệp gốc sau đó thường bị mã hóa để nhân viên và khách hàng không thể sử dụng chúng.
Sau đó, tổ chức nhận được yêu cầu đòi tiền chuộc để "mở khóa" dữ liệu, thường phải thanh toán bằng tiền mã hóa.
Tống tiền kép là xu hướng đã thay đổi cách tính toán. Vì dữ liệu đã bị sao chép trước khi bị khóa, kẻ tấn công nắm giữ một nguồn đòn bẩy thứ hai. Ngay cả khi nạn nhân khôi phục mọi thứ từ bản sao lưu, tội phạm vẫn có thể đe dọa công bố hoặc bán những gì chúng đã lấy. Việc trả tiền để giải mã và trả tiền để giữ im lặng trở thành hai áp lực riêng biệt đối với cùng một nạn nhân.
Đây là lý do tại sao câu hỏi về thương mại của DP World và câu hỏi về an ninh cá nhân lại khác nhau. Một tổ chức có thể tiếp tục hoạt động, và nền kinh tế có thể bỏ qua sự gián đoạn, trong khi dữ liệu bị đánh cắp vẫn nằm trong tay tội phạm.
Để có bối cảnh về những người đứng sau các hoạt động này, báo cáo của chúng tôi về việc tòa án Thụy Sĩ tuyên án 13 năm tù đối với một nhà phát triển người Ukraine vì Nefilim cho thấy rằng những kẻ phát triển ransomware cuối cùng có thể phải đối mặt với hậu quả thực sự, mặc dù vụ án bắt nguồn từ một cuộc tấn công năm 2020, một lời nhắc nhở về mức độ chậm chạp của công lý so với tốc độ lan rộng của thiệt hại.
Dữ liệu bị đánh cắp có ý nghĩa gì đối với cá nhân
Hầu hết mọi người sẽ không bao giờ là mục tiêu trực tiếp của một băng nhóm ransomware. Nhưng các tổ chức lớn nắm giữ dữ liệu về khách hàng, nhân viên và đối tác, và đó chính là những gì bị đưa ra mổ xẻ trong một cuộc tấn công tống tiền kép.
Rủi ro đối với bạn hiếm khi tức thời. Nó có xu hướng tích tụ theo thời gian:
- Hồ sơ bị rò rỉ được tái sử dụng. Một khi thông tin cá nhân lan truyền trên các diễn đàn tội phạm, chúng có thể được kết hợp với các vụ rò rỉ khác để xây dựng một hồ sơ đầy đủ hơn về bạn.
- Lừa đảo trở nên thuyết phục hơn. Một tin nhắn sử dụng tên thật, nhà tuyển dụng hoặc chi tiết tài khoản của bạn khó bị phát hiện là giả mạo hơn nhiều.
- Giấy tờ tùy thân đặc biệt nhạy cảm. Không giống như mật khẩu, bạn không thể chỉ đơn giản thay đổi một giấy phép lái xe đã được quét. Một danh sách được cho là 153 triệu bản quét giấy phép lái xe liên quan đến IDScan.net là một ví dụ điển hình về cách các hồ sơ cá nhân bị rò rỉ có thể tạo ra rủi ro lâu dài, ngay cả khi tuyên bố cơ bản vẫn đang được đánh giá.
Các cuộc tấn công cũng có thể có tác động ngoài dữ liệu. Khi một chính phủ cố ý đưa hàng chục hệ thống ngừng hoạt động sau một sự cố, như được đề cập trong bài viết của chúng tôi về Moldova đưa 82 dịch vụ công ra khỏi mạng, điều đó cho thấy sự gián đoạn và phơi nhiễm dữ liệu có thể xảy ra cùng lúc.
Các bước thực tế để giảm mức độ phơi nhiễm của bạn
Bạn không thể ngăn một công ty mà bạn giao dịch bị xâm nhập. Bạn có thể hạn chế mức độ thiệt hại mà một vụ rò rỉ gây ra cho bạn.
- Sử dụng mật khẩu duy nhất cho mỗi tài khoản. Trình quản lý mật khẩu giúp điều này trở nên khả thi. Nếu một dịch vụ bị rò rỉ, các dịch vụ khác vẫn an toàn.
- Bật xác thực đa yếu tố, đặc biệt đối với email, ngân hàng và bất kỳ tài khoản nào gắn với danh tính của bạn.
- Đối xử với các tin nhắn bất ngờ một cách đáng ngờ. Nếu một email hoặc tin nhắn văn bản đề cập đến một vụ rò rỉ gần đây, hãy tự truy cập trang web chính thức của tổ chức thay vì nhấp vào liên kết.
- Chia sẻ ít hơn. Chỉ cung cấp cho các tổ chức những dữ liệu mà họ thực sự cần, và xóa các tài khoản cũ mà bạn không còn sử dụng.
- Theo dõi tài khoản của bạn. Kiểm tra sao kê ngân hàng và thẻ thường xuyên, và cân nhắc đóng băng báo cáo tín dụng hoặc đặt cảnh báo nếu quốc gia của bạn có cung cấp dịch vụ này.
- Đừng bao giờ cho rằng thông báo vi phạm là vô hại. Nếu bạn được thông báo rằng dữ liệu của bạn có liên quan, hãy thay đổi mật khẩu liên quan và cảnh giác với các vụ lừa đảo có mục tiêu trong nhiều tháng sau đó.
Điều này có ý nghĩa gì đối với bạn
Câu hỏi tiêu đề về DP World là liệu thương mại có bị đe dọa hay không, và câu trả lời, theo bài bình luận, là lần này có lẽ không. Đối với cá nhân, bài học lâu bền hơn là về dữ liệu. Dưới hình thức tống tiền kép, việc khôi phục hệ thống không thể hoàn tác một vụ trộm. Thông tin của bạn có thể vẫn còn lưu hành rất lâu sau khi một tổ chức đã phục hồi và chu kỳ tin tức đã chuyển sang chuyện khác.
Đó không phải là lý do để hoảng sợ. Đó là lý do để giả định rằng một số dữ liệu của bạn cuối cùng sẽ bị phơi nhiễm ở đâu đó, và để thiết lập các tài khoản của bạn sao cho sự phơi nhiễm đó có thể chịu đựng được.
Những điểm chính
Với việc tống tiền kép bằng ransomware đã được giải thích, mô hình đã rõ ràng: đánh cắp trước, mã hóa sau, rồi gây áp lực lên nạn nhân hai lần. Hãy thắt chặt thói quen của bạn ngay bây giờ thay vì sau khi thông báo vi phạm đến. Xem lại mật khẩu của bạn, bật xác thực đa yếu tố, và cảnh giác với những tin nhắn dường như biết quá nhiều về bạn. Để có cái nhìn sâu hơn về cách các hồ sơ bị rò rỉ tồn tại lâu dài, hãy đọc bài đưa tin của chúng tôi về tuyên bố của IDScan.net, và để có bối cảnh về những kẻ đứng sau ransomware, hãy xem báo cáo của chúng tôi về bản án Nefilim.
