Một giám đốc điều hành an ninh mạng đã bị bắt trong một vụ án liên kết ngành an ninh mạng với nền kinh tế tống tiền mà ngành này được cho là phải chống lại. Edward Dubrovsky, cựu giám đốc điều hành tại công ty CYPFER của Canada, đã bị bắt với các cáo buộc tống tiền liên bang có liên quan đến vụ ShinyHunters xâm nhập hệ thống CNTT của FBI, theo CyberScoop. Câu chuyện về vụ bắt giữ liên quan đến tống tiền của ShinyHunters vẫn đang tiếp tục phát triển, và các chi tiết công khai còn hạn chế. Nhưng nó mang lại một góc nhìn hữu ích về cách các nhóm tội phạm "trả tiền hoặc bị rò rỉ" hoạt động và ý nghĩa của hoạt động này đối với những người bình thường có dữ liệu nằm trong hệ thống của doanh nghiệp.

Những gì vụ bắt giữ Dubrovsky cáo buộc

Các sự kiện được xác nhận còn khá hạn chế. Dubrovsky, trước đây thuộc CYPFER, đã bị bắt với các cáo buộc tống tiền liên bang, và những cáo buộc đó có liên quan đến vụ ShinyHunters xâm nhập hệ thống CNTT của FBI. Đó là mức độ thông tin mà nguồn báo cáo xác lập được ở giai đoạn này.

Cần thận trọng về những gì chưa được biết. Báo cáo được cung cấp không nêu chi tiết hành vi cụ thể bị cáo buộc, vai trò chính xác mà các công tố viên gán cho Dubrovsky, hay cách vụ án sẽ tiếp diễn. Việc bắt giữ và cáo buộc là những lời buộc tội, không phải kết luận về tội lỗi, và bất kỳ ai bị buộc tội đều được coi là vô tội cho đến khi được chứng minh ngược lại tại tòa.

Riêng biệt, các cơ quan truyền thông khác đã đưa tin rằng Giám đốc FBI Kash Patel đã công bố việc bắt giữ một nghi phạm đồng phạm khác có liên quan đến vụ xâm nhập được nhóm này tuyên bố nhắm vào hệ thống FBI. Những báo cáo đó cho thấy một nỗ lực thực thi pháp luật rộng hơn, nhưng không nên được hiểu là xác lập cách các vụ án cá nhân liên kết với nhau.

Cách thức hoạt động của kiểu tống tiền ShinyHunters

ShinyHunters được mô tả rộng rãi là một nhóm tống tiền. Thay vì chỉ đơn thuần đánh cắp dữ liệu và bán nó một cách âm thầm, những nhóm như thế này đánh cắp thông tin, rồi gây áp lực buộc nạn nhân phải trả tiền bằng cách đe dọa công bố nó. Các nhà nghiên cứu bảo mật đã mô tả một trang web rò rỉ gắn với nhóm này, đe dọa phát tán dữ liệu bị đánh cắp trừ khi nạn nhân trả tiền.

Các bài báo chuyên ngành chỉ ra một vài chiến thuật lặp đi lặp lại:

  • Lừa đảo qua thoại (vishing). Cybersecurity Dive đưa tin rằng nhóm này đã nhận trách nhiệm về một loạt các cuộc tấn công lừa đảo qua thoại dẫn đến các yêu cầu tống tiền nhắm vào năm tổ chức. Một cuộc gọi đến một nhân viên có thể đủ để vượt qua các biện pháp phòng thủ kỹ thuật.
  • Tên miền giả và bộ công cụ lừa đảo. SecurityWeek đưa tin nhóm này đăng ký các tên miền giả để nhắm vào các công ty và sử dụng các bộ công cụ lừa đảo chuyên dụng để thu thập thông tin đăng nhập.
  • Mục tiêu đăng nhập một lần. Paubox đưa tin rằng ShinyHunters tuyên bố đã xâm nhập Charter thông qua một cuộc tấn công vishing nhắm vào tài khoản Microsoft Entra của một nhân viên. Đó là tường thuật của nhóm này về sự việc, và các công ty liên quan đã đưa ra những tường thuật khác nhau.

Điểm chung là con người, chứ không phải lỗ hổng phần mềm, thường là điểm xâm nhập. Một người gọi thuyết phục hoặc một trang đăng nhập trông giống thật có thể trao đi thông tin đăng nhập mở khóa toàn bộ môi trường đám mây.

Những vụ xâm nhập này có ý nghĩa gì đối với dữ liệu cá nhân của bạn

Vụ xâm nhập FBI là một tiêu đề lớn, nhưng hầu hết các mục tiêu được báo cáo của ShinyHunters là các công ty, trường học và nhà cung cấp dịch vụ nắm giữ dữ liệu về người dân bình thường. Khi một trong những tổ chức đó bị xâm nhập, bạn có thể không bao giờ tương tác trực tiếp với kẻ tấn công. Tên, địa chỉ email, số điện thoại hoặc chi tiết tài khoản của bạn vẫn có thể nằm trong một tập dữ liệu bị đánh cắp được dùng làm đòn bẩy.

Điều đó có một vài hệ quả thực tế. Chi tiết liên lạc bị lộ thúc đẩy các cuộc lừa đảo tiếp theo, vì kẻ tấn công biết bạn giao dịch với những tổ chức nào. Dữ liệu bị rò rỉ có thể được tái sử dụng chống lại bạn ngay cả sau khi yêu cầu tống tiền ban đầu đã được giải quyết hoặc bị phớt lờ. Và việc trả tiền chuộc không bao giờ đảm bảo việc xóa dữ liệu bị đánh cắp.

Phạm vi tiếp cận rộng hơn của nhóm này đã thu hút sự chú ý chính thức. Bài đưa tin của chúng tôi về cách vụ xâm nhập ShinyHunters Canvas thu hút sự giám sát của Quốc hội cho thấy một vụ xâm nhập duy nhất có thể biến thành một vấn đề trách nhiệm liên bang như thế nào, đặc biệt khi dữ liệu sinh viên bị liên quan.

Cách kiểm tra mức độ phơi lộ và tăng cường phòng thủ

Bạn không thể ngăn một công ty bị xâm nhập, nhưng bạn có thể hạn chế thiệt hại khi điều đó xảy ra.

  1. Kiểm tra cơ sở dữ liệu rò rỉ. Sử dụng một dịch vụ thông báo rò rỉ uy tín để xem liệu các địa chỉ email của bạn có xuất hiện trong các tập dữ liệu bị rò rỉ đã biết hay không. Kiểm tra mọi địa chỉ bạn dùng, không chỉ địa chỉ chính.
  2. Đổi mật khẩu bị dùng lại. Nếu một mật khẩu từ tài khoản bị lộ được dùng ở nơi khác, hãy thay thế nó. Một trình quản lý mật khẩu giúp việc dùng mật khẩu duy nhất cho mỗi trang trở nên khả thi.
  3. Bật xác thực đa yếu tố. Ưu tiên mã dựa trên ứng dụng hoặc khóa bảo mật phần cứng hơn tin nhắn văn bản khi có thể, vì các cuộc tấn công dựa trên điện thoại là một chiến thuật đã được ghi nhận.
  4. Coi những cuộc gọi bất ngờ là đáng ngờ. Nếu ai đó tự xưng là từ nơi làm việc, ngân hàng hoặc bộ phận CNTT của bạn hỏi mã hoặc thông tin đăng nhập, hãy cúp máy và gọi lại bằng số bạn tin cậy.
  5. Kiểm tra thanh địa chỉ. Các tên miền trông giống thật là một phương thức lừa đảo phổ biến. Truy cập các tài khoản quan trọng qua dấu trang đã lưu thay vì liên kết trong tin nhắn.
  6. Đọc kỹ thông báo rò rỉ. Nếu một tổ chức cho bạn biết dữ liệu của bạn bị liên quan, hãy làm theo hướng dẫn của họ và theo dõi tài khoản cũng như tín dụng của bạn để phát hiện hoạt động bất thường.

Điều này có ý nghĩa gì đối với bạn

Vụ Dubrovsky là một lời nhắc nhở rằng tống tiền là một ngành kinh doanh có những người tham gia, công cụ và kịch bản, và rằng cơ quan thực thi pháp luật đang tích cực truy đuổi nó. Đối với cá nhân, bài học ít nằm ở một vụ bắt giữ mà nhiều hơn ở các thói quen. Các nhóm đứng sau những chiến dịch này dựa vào thông tin đăng nhập bị đánh cắp và những cuộc gọi thuyết phục, cả hai đều có thể khiến khó bị khai thác hơn.

Những điểm chính cần ghi nhớ

Câu chuyện về vụ bắt giữ liên quan đến tống tiền của ShinyHunters có thể sẽ tiếp tục phát triển khi các hồ sơ tòa án xuất hiện, và các chi tiết của cáo buộc có thể thay đổi bức tranh. Trong lúc đó, hãy kiểm tra xem dữ liệu của bạn có xuất hiện trong các tập dữ liệu rò rỉ hay không, dùng mật khẩu duy nhất với xác thực đa yếu tố, và thận trọng với các cuộc gọi và liên kết không mong muốn. Để hiểu về tác động rộng hơn của nhóm này, hãy đọc báo cáo của chúng tôi về vụ xâm nhập ShinyHunters Canvas và phản ứng của Quốc hội.