Các nhà điều tra liên bang được cho là đã xác định được các giám đốc tại hai công ty đàm phán sự cố an ninh mạng khác nhau, những người duy trì mối quan hệ gần gũi bất thường với nhóm tống tiền ShinyHunters. Theo báo cáo của KrebsOnSecurity được Security Arsenal tóm tắt, một giám đốc có trụ sở tại Hoa Kỳ được cho là đã đi xa hơn và giúp điều hành trang web được sử dụng để gây áp lực buộc nạn nhân phải trả tiền. Cáo buộc về trang web tống tiền của nhà đàm phán tiền chuộc ShinyHunters vẫn chỉ là cáo buộc, nhưng nó đặt ra một câu hỏi khó cho bất kỳ ai có dữ liệu nằm tại một công ty mà một ngày nào đó có thể bị xâm phạm: ai thực sự đang ngồi ở phía bên kia bàn đàm phán?
Các nhà điều tra cáo buộc gì về những nhà đàm phán và ShinyHunters
Báo cáo cho biết các nhà điều tra liên bang, làm việc với dữ liệu từ FBI, đã xác định được các giám đốc tại hai công ty đàm phán có liên hệ chặt chẽ với ShinyHunters. Một trong số họ, một giám đốc có trụ sở tại Hoa Kỳ, được cho là đã giúp điều hành trang web mà nhóm này sử dụng để gây áp lực buộc nạn nhân phải trả tiền chuộc.
Có vài điểm đáng lưu tâm. Bản tóm tắt hiện có không nêu rõ các cáo buộc, và những tuyên bố này xuất phát từ báo cáo về những gì các nhà điều tra nghi ngờ. Cả các giám đốc lẫn công ty của họ đều không được nêu tên trong tài liệu mà chúng tôi đã xem xét, vì vậy chúng tôi sẽ không suy đoán về danh tính. Hãy coi đây là một câu chuyện đang phát triển và mong đợi các chi tiết sẽ thay đổi khi có thêm thông tin được xác nhận.
Cách thức hoạt động của đàm phán tiền chuộc và các trang web tống tiền
Khi một công ty bị tấn công đánh cắp dữ liệu hoặc ransomware, họ thường thuê một công ty bên ngoài để xử lý việc liên lạc với kẻ tấn công. Những nhà đàm phán này thường xác minh những gì đã bị đánh cắp, cố gắng giảm yêu cầu, và sắp xếp thanh toán nếu công ty quyết định trả tiền. Vì họ nói chuyện trực tiếp với tội phạm, họ nắm giữ những kiến thức nhạy cảm: nạn nhân có thể chi trả bao nhiêu, dữ liệu nào đã bị lấy, và thời hạn của công ty cấp bách đến mức nào.
Các trang web tống tiền là công cụ gây áp lực ở phía bên kia. Các nhóm như ShinyHunters sử dụng một trang web để nêu tên nạn nhân, đe dọa công bố dữ liệu bị đánh cắp, và thúc đẩy các công ty đi đến một thỏa thuận. Trang web là một phần của chiêu trò bán hàng: mối đe dọa càng đáng tin và đáng sợ, nạn nhân càng có khả năng trả tiền.
Đó là lý do tại sao cáo buộc này quan trọng. Nếu một nhà đàm phán cũng giúp điều hành trang web gây áp lực, thì về lý thuyết, cùng một người có thể vừa là cố vấn đáng tin cậy của nạn nhân vừa là người tham gia vào mối đe dọa. Đó là một xung đột lợi ích điển hình, và nạn nhân có thể không biết về điều đó.
Tại sao xung đột lợi ích trong ứng phó sự cố lại quan trọng
Ứng phó sự cố phụ thuộc vào sự tin tưởng. Một công ty bị xâm phạm giao nộp nhật ký, chi tiết mạng và thông tin kinh doanh nhạy cảm cho những người đang giúp họ phục hồi. Nếu bất kỳ cố vấn nào trong số đó có quan hệ với kẻ tấn công, một số điều có thể xảy ra sai sót:
- Đòn bẩy đàm phán có thể bị rò rỉ. Biết ngân sách hoặc thời hạn của nạn nhân giúp kẻ tống tiền đặt ra mức giá.
- Lời khuyên có thể bị lệch hướng. Một cố vấn bị xung đột lợi ích có thể thúc đẩy công ty trả tiền thay vì phục hồi theo cách khác.
- Việc xử lý dữ liệu trở nên không chắc chắn. Việc thanh toán được cho là để mua việc xóa dữ liệu bị đánh cắp, nhưng, giống như các vụ tống tiền gần đây khác, không có cách nào để chắc chắn dữ liệu thực sự đã biến mất.
Đối với khách hàng, bệnh nhân, sinh viên hoặc nhân viên có hồ sơ nằm trong công ty bị xâm phạm, điều này nằm ngoài tầm kiểm soát của họ. Bạn không chọn nhà đàm phán, và bạn hiếm khi biết đó là ai. Trên toàn ngành, đó là lý do để yêu cầu thẩm định rõ ràng hơn và công khai các xung đột lợi ích, cũng như để các cơ quan quản lý và công ty bảo hiểm xem xét cách các công ty này được sàng lọc.
Điều này có ý nghĩa gì với bạn
Bạn không thể kiểm toán các đối tác ứng phó sự cố của nhà cung cấp mình. Điều bạn có thể làm là hạn chế thiệt hại nếu dữ liệu của bạn rơi vào tay kẻ xấu, bất kể ai đã xử lý việc đàm phán. Hãy giả định rằng việc thanh toán không đảm bảo thông tin của bạn đã bị hủy, và rằng các chi tiết bị đánh cắp có thể được tái sử dụng trong các vụ lừa đảo tiếp theo. Các nhóm tống tiền và những kẻ bắt chước cũng khai thác tin tức về vi phạm: ví dụ, một email tống tiền tình dục giả mạo ShinyHunters được cho là đã sử dụng chi tiết vi phạm thật để làm cho các mối đe dọa trông đáng tin hơn.
Phải làm gì nếu một công ty bạn sử dụng bị xâm phạm
Khi nhận được thông báo vi phạm, hãy hành động thay vì chờ đợi câu chuyện lắng xuống:
- Thay đổi mật khẩu bị dùng lại. Bắt đầu với dịch vụ bị xâm phạm, sau đó là bất kỳ tài khoản nào khác dùng chung mật khẩu đó. Sử dụng mật khẩu riêng cho mỗi tài khoản, lý tưởng nhất là lưu trong trình quản lý mật khẩu.
- Bật xác thực đa yếu tố. Ưu tiên ứng dụng xác thực hoặc khóa phần cứng hơn SMS khi có thể.
- Cảnh giác với email lừa đảo và tống tiền. Hãy hoài nghi về những tin nhắn trích dẫn chi tiết thật về bạn và yêu cầu tiền hoặc hành động khẩn cấp. Không trả lời, nhấp vào liên kết hoặc mở tệp đính kèm. Thay vào đó, hãy truy cập trực tiếp trang web chính thức của công ty.
- Kiểm tra chính thông báo. Xác nhận rằng nó đến từ công ty thông qua một kênh bạn có thể xác minh, vì kẻ tấn công bắt chước các thông báo vi phạm.
- Theo dõi tài khoản của bạn. Xem xét sao kê ngân hàng và thẻ, và cân nhắc đóng băng tín dụng nếu thông báo cho biết dữ liệu tài chính hoặc danh tính đã bị lộ.
Kết luận
Mối liên hệ bị cáo buộc giữa một nhà đàm phán tiền chuộc và một trang web tống tiền của ShinyHunters vẫn chưa phải là một vụ án đã ngã ngũ, nhưng nó cho thấy phần lớn việc ứng phó vi phạm dựa vào sự tin tưởng mà các cá nhân không thể nhìn thấy. Cho đến khi sự thật được xác lập đầy đủ, cách tiếp cận hợp lý là tự bảo vệ mình theo cùng một cách mỗi lần: mật khẩu riêng biệt, xác thực đa yếu tố, và một sự nghi ngờ lành mạnh đối với bất kỳ tin nhắn nào dựa vào dữ liệu bị rò rỉ của bạn để đe dọa bạn. Hãy làm những điều đó sau bất kỳ thông báo vi phạm nào, và bạn sẽ giảm bớt giá trị của bất cứ thứ gì mà kẻ tấn công, hoặc những kẻ trung gian của chúng, đang nắm giữ.
