Tuyên bố của Emperador ransomware về AB InBev là ví dụ mới nhất về việc một nhóm ransomware đưa ra khẳng định công khai chưa được xác nhận độc lập. Theo báo cáo nguồn, Emperador đã liệt kê AB InBev trên trang rò rỉ của mình và yêu cầu 1 triệu USD bằng Bitcoin (BTC). Việc niêm yết trên trang rò rỉ là lời tuyên bố của kẻ tấn công, không phải bằng chứng về vi phạm. Bài viết này tách biệt những gì được tuyên bố với những gì đã biết, và đề cập các bước thực tế cho độc giả lo lắng về dữ liệu doanh nghiệp bị rò rỉ.
Emperador Tuyên Bố Gì Về AB InBev
Bài báo nguồn đưa tin rằng nhóm ransomware Emperador đã liệt kê AB InBev trên trang rò rỉ của mình và đang yêu cầu 1 triệu USD bằng BTC. URL của bài viết cũng đề cập đến một tuyên bố về Azure PKI, cho thấy các khẳng định của nhóm liên quan đến hạ tầng chứng chỉ, nhưng bản tóm tắt mà chúng tôi có không nêu chi tiết về tuyên bố đó.
Đó là giới hạn của chúng tôi. Các sự kiện chúng tôi có thể nêu rất hạn chế:
- Một danh sách nêu tên AB InBev xuất hiện trên trang rò rỉ của Emperador.
- Nhóm đang yêu cầu 1 triệu USD bằng Bitcoin.
- Nguồn tin trình bày những điểm này như là các tuyên bố.
Chúng tôi chưa thấy bằng chứng đã được xác minh về dữ liệu nào, nếu có, đã bị lấy đi, cách thức truy cập được thực hiện, hoặc liệu có hệ thống nào bị gián đoạn hay không.
Những Gì Vẫn Chưa Được Xác Minh
Các nhóm ransomware sử dụng trang rò rỉ như công cụ gây áp lực. Việc niêm yết được thiết kế để tạo sự khẩn cấp, thu hút sự chú ý của truyền thông và thúc đẩy nạn nhân tiến tới đàm phán. Vì động cơ đó, chỉ một danh sách niêm yết không xác nhận được một số câu hỏi quan trọng:
- Liệu có xảy ra vi phạm hay không. Một số danh sách bị phóng đại hoặc tái sử dụng từ các sự cố cũ.
- Những gì đã bị lấy đi. Các nhóm có thể tuyên bố khối lượng dữ liệu lớn mà không công bố bằng chứng.
- Liệu hoạt động của công ty có bị ảnh hưởng hay không. Tống tiền có thể xảy ra có hoặc không có mã hóa.
- Liệu yêu cầu tiền chuộc có thật hay không. Con số là của chính nhóm, và có thể không phản ánh bất kỳ cuộc đàm phán thực tế nào.
Bài báo nguồn mô tả tình huống là những gì được tuyên bố so với những gì chưa được xác minh, và đó là cách trình bày đúng đắn. Cho đến khi AB InBev đưa ra tuyên bố, hoặc các nhà nghiên cứu độc lập xem xét dữ liệu mẫu, lập trường có trách nhiệm là coi tuyên bố này là chưa được xác nhận.
Một thói quen hữu ích cho bất kỳ độc giả nào: hỏi ai là người đưa ra mỗi tuyên bố, bằng chứng nào hỗ trợ nó, và liệu một bên thứ hai độc lập đã xác nhận nó chưa. Kẻ tấn công, nhà nghiên cứu và công ty bị ảnh hưởng đều có động cơ khác nhau và mức độ tiếp cận sự thật khác nhau.
Cách Emperador Nhắm Mục Tiêu So Với Các Tuyên Bố Khác Của Nhóm
Chúng tôi sẽ không suy đoán về danh sách nạn nhân rộng hơn của nhóm ở đây, vì tài liệu nguồn cho câu chuyện này không cung cấp danh sách đó. Những gì chúng tôi có thể làm là chỉ đến các bài báo trước đây của chúng tôi về nhóm này. Bài đưa tin của chúng tôi về cách Emperador tuyên bố các site Thụy Điển của Electrolux bị tấn công vào ngày 28 tháng 9 mô tả một mô thức tương tự: một danh sách trên trang rò rỉ của nhóm nêu tên một công ty lớn, dễ nhận biết.
Điểm chung là phương thức. Nêu tên các tập đoàn nổi tiếng trên trang rò rỉ thu hút sự chú ý, và sự chú ý là đòn bẩy. Điều đó không có nghĩa là bất kỳ tuyên bố cá nhân nào là sai, và cũng không có nghĩa là nó đúng. Nó có nghĩa là mỗi tuyên bố nên được đánh giá dựa trên bằng chứng riêng của nó, và độc giả nên thận trọng khi đưa ra kết luận chỉ từ việc nhóm chọn mục tiêu nào.
Điều Này Có Ý Nghĩa Gì Với Bạn
Nếu bạn là khách hàng, nhân viên hoặc nhà cung cấp của một công ty lớn được nêu tên trên trang rò rỉ, bạn không nên cho rằng dữ liệu của mình đã bị lộ. Bạn cũng không nên bỏ qua khả năng này. Cách tiếp cận thực tế là chờ thông tin được xác nhận trong khi tăng cường phòng thủ của chính bạn.
Đối với cá nhân, một danh sách như thế này là lời nhắc nhở tốt rằng các vi phạm doanh nghiệp có thể dẫn đến lừa đảo phishing tiếp theo. Nếu dữ liệu từ bất kỳ công ty nào bị rò rỉ, kẻ tấn công thường sử dụng nó để tạo ra các tin nhắn thuyết phục. Hãy cảnh giác với email hoặc cuộc gọi bất ngờ đề cập đến một mối quan hệ công ty thực tế.
Đối với chủ doanh nghiệp và đội ngũ IT, tuyên bố này là lời nhắc kiểm tra mức độ sẵn sàng của chính bạn thay vì lý do để hoảng loạn.
Giảm Thiểu Phơi Nhiễm Với Tống Tiền và Hậu Quả Dữ Liệu Bị Rò Rỉ
Các bước này là thực hành tốt chung và không phụ thuộc vào chi tiết của tuyên bố cụ thể này:
- Sử dụng mật khẩu duy nhất và trình quản lý mật khẩu. Nếu một dịch vụ bạn sử dụng bị vi phạm, thông tin đăng nhập duy nhất sẽ hạn chế thiệt hại.
- Bật xác thực đa yếu tố. Ưu tiên ứng dụng xác thực hoặc khóa phần cứng hơn SMS khi có thể.
- Cảnh giác với phishing tiếp theo. Coi các tin nhắn không mong muốn đề cập đến một công ty, hóa đơn hoặc vấn đề tài khoản là đáng ngờ, và xác minh qua kênh chính thức.
- Duy trì bản sao lưu ngoại tuyến đã được kiểm tra. Đối với tổ chức, bản sao lưu mà kẻ tấn công không thể tiếp cận sẽ giảm đòn bẩy của việc tống tiền dựa trên mã hóa.
- Hạn chế lưu giữ dữ liệu. Dữ liệu bạn không còn lưu trữ thì không thể bị đánh cắp.
- Chuẩn bị kế hoạch ứng phó sự cố. Biết ai quyết định, ai liên lạc, và ai liên hệ với cơ quan thực thi pháp luật và cố vấn pháp lý trước khi sự cố xảy ra.
- Theo dõi các tuyên bố chính thức. Dựa vào thông báo của công ty bị ảnh hưởng và phân tích độc lập đáng tin cậy, không dựa vào bài đăng của kẻ tấn công.
Điểm Chính
Tuyên bố của Emperador ransomware về AB InBev, hiện tại, là một khẳng định chưa được xác minh: một danh sách trên trang rò rỉ và yêu cầu 1 triệu USD BTC được báo cáo bởi nguồn tin, không có chi tiết được xác nhận về bất kỳ vi phạm nào. Hãy coi đây là câu chuyện đang phát triển, không phải đã kết thúc.
Dành vài phút để xem xét mức độ phơi nhiễm của chính bạn với hậu quả dữ liệu bị rò rỉ: kiểm tra bảo mật tài khoản, bật xác thực đa yếu tố, và xác nhận doanh nghiệp của bạn có kế hoạch ứng phó. Để biết thêm bối cảnh về cách nhóm này trình bày các tuyên bố của mình, hãy đọc báo cáo trước đây của chúng tôi về danh sách Electrolux của Emperador.
