Intel 471: Các băng nhóm tống tiền ransomware thẩm tra doanh thu trước khi đàm phán

Đàm phán ransomware từng gợi lên hình ảnh một kẻ điều hành duy nhất ngồi sau bàn phím, chờ đợi nạn nhân liên hệ. Theo những phát hiện mới từ công ty tình báo mối đe dọa Intel 471, bức tranh đó đã lỗi thời. Các nhóm ransomware giờ đây xử lý đàm phán như một quy trình kinh doanh có nhân sự, bao gồm cả việc nghiên cứu doanh thu và phạm vi bảo hiểm của nạn nhân trước khi đưa ra con số đòi tiền chuộc. Đối với các tổ chức tầm trung, hàm ý vượt xa quy mô của một lá thư đòi tiền.

Đàm Phán Ransomware Đã Trở Thành Một Chức Năng Có Cấu Trúc

Nghiên cứu của Intel 471 mô tả một sự thay đổi khi các con số đòi tiền chuộc không còn là những con số tùy ý được lấy từ danh sách mục tiêu "công ty lớn". Thay vào đó, các tin tặc dường như đang tiến hành thẩm tra có chủ đích, thu thập tình báo về tình hình tài chính và hợp đồng bảo hiểm mạng của nạn nhân trước khi định giá. Điều này phản ánh một xu hướng rộng lớn hơn đã được ghi nhận trên toàn hệ sinh thái ransomware, nơi các hoạt động ngày càng giống các doanh nghiệp thương mại với các vai trò được xác định rõ, từ nhà môi giới truy cập đến nhà đàm phán. Các bài báo cáo về ransomware như một mô hình kinh doanh đã theo dõi cách các nhóm ransomware-as-a-service chuyên nghiệp hóa gần như mọi giai đoạn của một cuộc tấn công, và đàm phán dường như là chức năng mới nhất được xử lý theo cách đó.

Hiệu quả thực tế là các yêu cầu đòi tiền chuộc có thể được hiệu chỉnh theo mức mà một tổ chức cụ thể có khả năng chi trả hợp lý, thay vì một mức giá cố định theo ngành. Một công ty có khoản bảo hiểm lớn sẵn sàng chi trả có thể phải đối mặt với con số khởi điểm cao hơn so với công ty không có bảo hiểm. Việc hiệu chỉnh đó đòi hỏi nghiên cứu, và nghiên cứu đòi hỏi dữ liệu, đó là nơi các mối quan ngại về quyền riêng tư xuất hiện.

Tại Sao Điều Này Quan Trọng Đối Với Quyền Riêng Tư, Không Chỉ Về Tài Chính

Bề ngoài, đây có vẻ là một câu chuyện tài chính và vận hành: các nhóm ransomware tối đa hóa đòn bẩy bằng cách hiểu khả năng chi trả của nạn nhân. Nhưng cơ chế bên dưới mang theo những hàm ý thực sự về quyền riêng tư. Để đánh giá doanh thu và tình trạng bảo hiểm, tin tặc cần thu thập thông tin về một công ty trước hoặc trong quá trình xâm nhập, thường từ chính các hệ thống và tệp tin mà chúng đã xâm phạm. Điều đó có nghĩa là hồ sơ tài chính, thư từ bảo hiểm và truyền thông nội bộ trở thành một phần của hoạt động trinh sát mà tin tặc sử dụng chống lại tổ chức, không chỉ là dữ liệu có thể bị rò rỉ sau đó.

Điều này cũng giao thoa với các chiến thuật đã định hình lại bối cảnh tống tiền. Các nhóm đã được ghi nhận là cho nạn nhân những khoảng thời gian ngày càng ngắn để phản hồi, một chiến thuật gây áp lực đã được xem xét trong bài báo cáo về lý do tại sao các băng nhóm ransomware giờ chỉ cho nạn nhân bảy ngày để đưa ra quyết định. Khi một nhóm đàm phán đã biết nạn nhân có thể chi trả bao nhiêu và họ cần giải quyết sự cố nhanh như thế nào, mốc thời gian bị nén đó trở thành công cụ để trích xuất khoản thanh toán tối đa thay vì là sản phẩm phụ của sự thiếu kiên nhẫn tội phạm. Ngoài ra, bài báo cáo về chi phí ẩn của tống tiền do AI thúc đẩy đã chỉ ra rằng con số tiền chuộc thường chỉ là một khoản mục trong tổng thiệt hại mà nạn nhân phải gánh chịu, bên cạnh rủi ro pháp lý, thông báo theo quy định và thiệt hại danh tiếng.

Điều Này Có Nghĩa Gì Đối Với Bạn

Đối với các tổ chức tầm trung cụ thể, mô hình đàm phán có nghiên cứu thay đổi cách tính toán xung quanh việc sẵn sàng ứng phó sự cố. Nhiều công ty quy mô vừa cho rằng các nhóm ransomware nhắm vào họ một cách cơ hội và đối xử với mọi nạn nhân như nhau. Phát hiện của Intel 471 cho thấy điều ngược lại: nếu tin tặc đang xây dựng hồ sơ về doanh thu và tình trạng bảo hiểm trước khi định giá, các công ty tầm trung có bảo hiểm hiển thị hoặc công bố tài chính công khai có thể bị đánh giá kỹ lưỡng không kém gì các doanh nghiệp lớn hơn, ngay cả khi yêu cầu cuối cùng được giảm quy mô xuống.

Điều này cũng có những hàm ý về chính sách. Khi đàm phán trở nên được tính toán kỹ lưỡng hơn về phía tin tặc, một số chính phủ đã bắt đầu cân nhắc liệu nạn nhân có nên được phép đàm phán hoặc chi trả hay không. Các cuộc thảo luận đang diễn ra được đề cập trong bài báo cáo về các chính phủ cân nhắc lệnh cấm thanh toán ransomware phản ánh sự công nhận ngày càng tăng rằng bản thân quá trình đàm phán đã trở nên đủ tinh vi để cần sự chú ý của cơ quan quản lý, không chỉ là phòng thủ kỹ thuật.

Những Điểm Hành Động Cụ Thể

Các tổ chức, đặc biệt là các công ty tầm trung có thể tin rằng họ nằm ngoài tầm ngắm, nên coi sự thay đổi này là lý do để xem xét lại kế hoạch ứng phó sự cố ngay bây giờ, trước khi sự cố xảy ra. Một vài bước cụ thể có thể hữu ích:

• Rà soát ai có quyền truy cập hồ sơ tài chính và tài liệu bảo hiểm nội bộ, đồng thời hạn chế phơi bày thông tin đó trên các ổ đĩa dùng chung hoặc các hệ thống dễ truy cập.
• Xây dựng một kế hoạch đàm phán ransomware sẵn sàng.
• Đảm bảo chi tiết bảo hiểm mạng được lưu trữ an toàn và không dễ bị kẻ xâm nhập phát hiện trong giai đoạn đầu của vụ vi phạm.
• Thực hành các bài tập mô phỏng bàn với giả định rằng tin tặc đã biết doanh thu và giới hạn bảo hiểm của bạn, không chỉ là chúng đã mã hóa tệp tin của bạn.
• Cập nhật thông tin về các thực tiễn đàm phán ransomware đang phát triển, vì các chiến thuật tiếp tục thay đổi khi tin tặc chuyên nghiệp hóa hoạt động của chúng.

Đàm phán ransomware không còn là một cuộc trò chuyện ứng biến giữa nạn nhân và một tin tặc ẩn danh. Đó là một quy trình kinh doanh có nhân sự và có nghiên cứu, và các tổ chức hiểu được sự thay đổi này sẽ có vị thế tốt hơn để phản ứng bình tĩnh và hiệu quả khi họ thấy mình ở phía bên kia bàn đàm phán.