Một loạt các cuộc trò chuyện nội bộ bị rò rỉ từ một nhóm tống tiền có tên Silent Ransom Group đang mang đến cho các chuyên gia phòng thủ một cái nhìn hiếm hoi về cách một lừa đảo help desk mạo danh IT được tổ chức phía sau hậu trường. Theo phân tích từ nhóm nghiên cứu GRIT của GuidePoint Security, các cuộc trò chuyện tiết lộ các chiến thuật mạo danh IT, việc sử dụng các đặc vụ trực tiếp, và một sổ cái thanh toán với tổng giá trị lên đến 206,95 triệu USD.
Bản tóm tắt được công bố khá ngắn gọn, vì vậy bài viết này chỉ tập trung vào những gì nó nêu ra và những gì người đọc có thể làm với thông tin đó.
Rò rỉ dữ liệu Silent Ransom Group tiết lộ điều gì
Vụ rò rỉ này đáng chú ý vì nó đến từ chính những kẻ tấn công. Thay vì tái dựng một chiến dịch từ các báo cáo nạn nhân, các nhà nghiên cứu đã có quyền truy cập vào chính các cuộc trò chuyện của nhóm. Phân tích của GRIT, như được tóm tắt, làm nổi bật ba điểm:
- Chiến thuật mạo danh IT: nhóm xây dựng cách tiếp cận của mình xoay quanh việc giả danh hỗ trợ kỹ thuật.
- Đặc vụ trực tiếp: hoạt động này không chỉ diễn ra từ xa.
- Sổ cái thanh toán 206,95 triệu USD: một bản ghi các khoản thanh toán cho thấy quy mô của hoạt động.
Chúng tôi chưa xác minh độc lập các cuộc trò chuyện hoặc sổ cái, và bản tóm tắt không giải thích cách tính toán con số này. Tốt nhất nên đọc nó như một dấu hiệu cho thấy kiểu tấn công này có vẻ sinh lợi đến mức nào, chứ không phải là một tổng số đã được kiểm toán chính xác.
Cách thức mạo danh help desk hoạt động
Ý tưởng cốt lõi đằng sau bất kỳ vụ mạo danh help desk nào đều đơn giản: kẻ tấn công giả danh những người mà nhân viên vốn đã tin tưởng để giải quyết vấn đề. Hầu hết chúng ta đều được rèn luyện để hợp tác với IT. Nếu ai đó nói họ từ bộ phận hỗ trợ và cần bạn dành chút thời gian, phản ứng mặc định là giúp đỡ.
Sự tin tưởng đó chính là điểm yếu bị khai thác. Thay vì tìm kiếm một lỗ hổng phần mềm, kẻ tấn công nhắm đến một quyết định của con người: phê duyệt một yêu cầu, chia sẻ một mã, hoặc cho ai đó vào. Bởi vì cuộc tấn công dựa vào sự thuyết phục, nó có thể thành công ngay cả khi các công cụ bảo mật được cấu hình tốt.
Mô hình tương tự cũng xuất hiện trong các chiến dịch gần đây khác. Một nhóm hacker được báo cáo là đang lạm dụng Microsoft Teams để xâm nhập vào mạng lưới doanh nghiệp, như được đề cập trong bài viết của chúng tôi về hỗ trợ IT giả trên Microsoft Teams thúc đẩy làn sóng ransomware. Một chiến dịch khác xuất hiện vào đầu năm 2026 đã bỏ qua hoàn toàn việc mã hóa, như chúng tôi đã giải thích trong Tống tiền qua vishing và đánh cắp dữ liệu không cần malware của BlackFile. Kênh liên lạc thay đổi (chat, điện thoại, email), nhưng lý do giả tạo "chúng tôi là IT, và chúng tôi cần bạn làm điều gì đó" vẫn giữ nguyên.
Tại sao đặc vụ trực tiếp và sổ cái 206,95 triệu USD lại quan trọng
Hai chi tiết từ vụ rò rỉ nổi bật.
Thứ nhất, các đặc vụ trực tiếp. Nhiều bài học về nhận thức bảo mật giả định rằng việc mạo danh diễn ra qua màn hình hoặc đường dây điện thoại. Một hoạt động cũng sử dụng người tại chỗ cho thấy rằng lời khai của người gọi, thẻ tên, hay phong thái tự tin không nên được coi là bằng chứng về danh tính. Việc xác minh cần được áp dụng cho mọi kênh, không chỉ email và điện thoại.
Thứ hai, sổ cái. Một bản ghi thanh toán 206,95 triệu USD, ngay cả khi được xem xét thận trọng, cho thấy tống tiền dựa trên kỹ thuật xã hội có thể được tổ chức và lặp lại, chứ không phải chỉ là cơ hội ngẫu nhiên. Điều này đặc biệt quan trọng đối với các tổ chức nhỏ hơn. Dễ dàng cho rằng tội phạm chỉ nhắm vào các doanh nghiệp lớn, nhưng một nhóm hoạt động theo quy trình có mọi động lực để áp dụng cùng một kịch bản với bất kỳ ai trả lời cuộc gọi.
Điều này cũng phản ánh mức độ bền bỉ của các phương thức này. Bài viết của chúng tôi về Scattered Spider nhận nạn nhân mới bằng thủ đoạn xã hội cũ đã đưa ra quan điểm tương tự: sự thuyết phục đã được kiểm chứng vẫn tiếp tục hiệu quả vì nó nhắm vào con người, không phải mã nguồn.
Điều này có ý nghĩa gì với bạn
Nếu bạn là một cá nhân, bài học là một liên hệ "IT" nghe có vẻ hợp pháp mà bạn không yêu cầu đáng bị nghi ngờ, bất kể nó nghe chuyên nghiệp đến đâu. Nếu bạn điều hành một doanh nghiệp nhỏ, bạn có thể không có đội ngũ bảo mật chuyên dụng, điều này khiến một quy trình rõ ràng, đơn giản có giá trị hơn bất kỳ công cụ nào.
Mục tiêu thực tế là tách biệt ai đang liên hệ với bạn khỏi ai bạn tin tưởng. Người gọi có thể tự nhận là bất kỳ ai. Một số điện thoại bạn tự tra cứu, hoặc một hệ thống ticket bạn đã sử dụng, không thể bị giả mạo bởi kịch bản của người lạ.
Cách xác minh các liên hệ hỗ trợ IT bất ngờ
Các bước này áp dụng bất kể liên hệ đến qua điện thoại, chat, email, hay trực tiếp:
- Tạm dừng khi liên hệ là không được yêu cầu. Nếu bạn không mở ticket hoặc yêu cầu hỗ trợ, hãy coi liên hệ đó là chưa được xác minh theo mặc định.
- Tạo thói quen gọi lại. Gác máy hoặc kết thúc cuộc chat, sau đó liên hệ IT qua số hoặc kênh bạn đã biết từ tài liệu chính thức của công ty, không phải số mà người liên hệ đã cung cấp.
- Không bao giờ chia sẻ mã hoặc phê duyệt lời nhắc theo yêu cầu. Mã xác thực đa yếu tố và phê duyệt đăng nhập là dành cho việc đăng nhập của chính bạn, không phải để người hỗ trợ sử dụng.
- Cảnh giác với yêu cầu truy cập từ xa. Không cài đặt công cụ hoặc cấp quyền điều khiển màn hình dựa trên một liên hệ bất ngờ.
- Xác minh khách đến. Nếu ai đó xuất hiện tự nhận là IT, hãy xác nhận với nhà cung cấp IT thực sự hoặc quản lý của bạn trước khi cho phép truy cập vào thiết bị hoặc phòng.
- Thống nhất quy trình trước. Các nhóm nhỏ nên quyết định cách các yêu cầu IT hợp pháp sẽ được thực hiện, để nhân viên biết một yêu cầu thực sự trông như thế nào.
- Báo cáo. Hãy nói với liên hệ IT hoặc quản lý của bạn về các nỗ lực đáng ngờ, ngay cả khi bạn không bị lừa. Những người khác có thể là mục tiêu tiếp theo.
Điểm mấu chốt
Các cuộc trò chuyện bị rò rỉ của Silent Ransom Group nhấn mạnh rằng lừa đảo help desk mạo danh IT là một quy trình kinh doanh đối với những người điều hành nó, không phải là một thủ đoạn đơn lẻ. Phòng thủ cũng là một quy trình: chậm lại, gác máy, và gọi lại qua kênh bạn tin tưởng. Hãy biến việc xác minh bằng cách gọi lại thành thói quen cho mọi liên hệ IT không được yêu cầu, và chia sẻ với nhóm hoặc gia đình bạn. Để xem thêm các ví dụ về cùng chiến thuật này, hãy đọc bài viết của chúng tôi về hỗ trợ IT giả trên Microsoft Teams và tống tiền qua vishing.
