Chiến dịch triệt phá LockBit phơi bày những lời hứa hão huyền của ransomware

Khi Cơ Quan Thực Thi Pháp Luật Nhìn Sau Hậu Trường

Vào tháng 2 năm 2024, một liên minh các cơ quan thực thi pháp luật quốc tế đã triệt phá hạ tầng của LockBit, một trong những tổ chức ransomware hoành hành nhất trong ký ức gần đây. Thứ mà các điều tra viên tìm thấy khi truy cập vào hệ thống của LockBit không chỉ đơn thuần là bằng chứng về hoạt động tội phạm. Họ phát hiện ra rằng nhóm này vẫn giữ lại bản sao dữ liệu đã đánh cắp của nạn nhân ngay cả sau khi nói với những nạn nhân đó – thường là để đổi lấy tiền chuộc – rằng dữ liệu đã bị xóa.

Chi tiết này quan trọng hơn nhiều so với vẻ bề ngoài ban đầu. Trong nhiều năm, kịch bản tiêu chuẩn dành cho các tổ chức bị ransomware tấn công đã bao gồm một lựa chọn lặng lẽ và khó xử: trả tiền chuộc, nhận lời hứa xóa dữ liệu từ kẻ tấn công, và tiếp tục tiến lên. Tiết lộ từ LockBit xác nhận điều mà nhiều nhà nghiên cứu bảo mật đã nghi ngờ từ lâu. Lời hứa đó thường vô giá trị, và các nạn nhân thường xuyên không có cách nào để biết được điều đó.

Khoảng Cách Giữa Những Gì Nạn Nhân Được Nghe Và Những Gì Thực Sự Xảy Ra

Các cuộc đàm phán ransomware thường diễn ra ngoài tầm mắt công chúng, được trung gian bởi các công ty ứng phó sự cố, các nhà bảo hiểm hoặc chính các tổ chức nạn nhân. Khi một nhóm tội phạm tuyên bố đã xóa các tệp bị đánh cắp, hiếm khi có cách xác minh độc lập nào cho tuyên bố đó. Về cơ bản, các nạn nhân bị yêu cầu tin vào lời của chính kẻ đã đột nhập vào hệ thống và đánh cắp dữ liệu của họ ngay từ đầu.

Vụ án LockBit cho thấy tại sao sự tin tưởng đó là đặt nhầm chỗ. Ngay cả khi một doanh nghiệp tội phạm đủ tinh vi để vận hành một hoạt động “dịch vụ khách hàng” chuyên nghiệp dành cho nạn nhân, với đầy đủ cổng đàm phán và chứng nhận xóa dữ liệu, thì động cơ ngầm để thực sự hủy dữ liệu có giá trị đã đánh cắp đơn giản là không tồn tại. Dữ liệu có giá trị bán lại, giá trị đòn bẩy và giá trị tống tiền trong tương lai. Việc xóa bỏ nó đi ngược lại chính lợi ích của kẻ tấn công.

Sự thiếu liên kết này hiếm khi xuất hiện trên các mặt báo giống như một thông báo vi phạm dữ liệu. Những công ty lặng lẽ trả tiền để khiến vấn đề biến mất có rất ít lý do để công khai rằng lời hứa xóa dữ liệu đã không được tôn trọng, đặc biệt nếu họ không bao giờ phát hiện ra. Sự im lặng đó là một phần lý do tại sao những kết quả bất lợi xảy ra thường xuyên hơn so với ghi nhận công khai. Việc triệt phá hạ tầng của LockBit là một trong số ít tình huống mà khoảng cách giữa lời hứa và thực tế trở nên hữu hình, tương tự như cách chiến dịch triệt phá mạng lưới tin tặc có liên hệ với Đảng Cộng sản Trung Quốc của Google đã vén bức màn về những hoạt động mà nếu không sẽ mãi bị che giấu khỏi các tổ chức bị ảnh hưởng.

Tại Sao Điều Này Nên Thay Đổi Cách Các Tổ Chức Nghĩ Về Ransomware

Bài học thực tiễn ở đây không phải là trả tiền chuộc luôn là lựa chọn sai. Mỗi sự cố đều có những áp lực riêng về pháp lý, vận hành và tài chính, và một số tổ chức vẫn có thể quyết định rằng việc thanh toán là lựa chọn ít tệ nhất. Bài học là không bao giờ nên coi việc thanh toán tiền chuộc như một giải pháp cho vấn đề lộ lọt dữ liệu.

Một khi dữ liệu đã ra khỏi tầm kiểm soát của một tổ chức, nó nên được coi là bị xâm phạm vĩnh viễn, bất kể những đảm bảo sau đó là gì. Điều đó có nghĩa là các nghĩa vụ thông báo, truyền thông tới khách hàng và đánh giá rủi ro cần được tiến hành như thể dữ liệu bị đánh cắp vẫn đang lưu hành, bởi rất có thể nó đúng là như vậy. Các chính sách bảo hiểm mạng và kế hoạch ứng phó sự cố vốn giả định một giải pháp dứt điểm sau khi thanh toán đang được xây dựng trên một tiền đề lỗi thời và ngày càng mất uy tín.

Điều Này Có Ý Nghĩa Gì Với Bạn

Với các cá nhân có dữ liệu có thể đã bị cuốn vào một vụ vi phạm liên quan đến một cuộc tấn công ransomware, tiết lộ của LockBit là một lời nhắc nhở đừng hạ thấp cảnh giác chỉ vì một công ty thông báo sự cố đã “được giải quyết”. Lời hứa xóa dữ liệu từ tội phạm không phải là một bảo đảm, và thông tin của bạn có thể vẫn tiếp tục bị lộ ra ngoài rất lâu sau khi các tiêu đề tin tức phai nhạt.

Với các doanh nghiệp, đặc biệt là những doanh nghiệp vừa và nhỏ không có đội bảo mật chuyên trách, đây là trường hợp điển hình để ưu tiên phòng ngừa hơn là thương lượng. Thực hành sao lưu mạnh mẽ, phân đoạn mạng và vệ sinh điểm cuối cơ bản sẽ giảm nguy cơ rơi vào tình thế phải dựa vào lời nói của kẻ tống tiền. Rà soát cách các tài khoản cá nhân và công việc được bảo vệ, bao gồm cả việc liệu lưu lượng nhạy cảm có được định tuyến qua các kết nối an toàn hay không, là một điểm khởi đầu hợp lý; một số tổ chức xem xét các lựa chọn như những gì được liệt kê trên các trang so sánh nhà cung cấp như IVPN hoặc Mozilla VPN như một phần của nỗ lực rộng hơn nhằm giảm thiểu mức độ lộ diện, dù không có công cụ đơn lẻ nào thay thế được một chiến lược bảo mật toàn diện.

Những Bài Học Hành Động Có Thể Áp Dụng Ngay

• Giả định rằng mọi dữ liệu bị đánh cắp trong một sự cố ransomware vẫn có nguy cơ vô thời hạn, ngay cả khi một lời hứa xóa dữ liệu đã được đưa ra.
• Đừng để việc trả tiền chuộc thay thế cho thông báo vi phạm đầy đủ và các biện pháp bảo vệ khách hàng.
• Ưu tiên sao lưu và phân đoạn mạng để việc trả tiền cho kẻ tấn công không bao giờ là lựa chọn duy nhất trên bàn.
• Nếu bạn được thông báo rằng dữ liệu của mình có liên quan đến một vụ vi phạm, hãy theo dõi các tài khoản và báo cáo tín dụng của bạn lâu hơn thời điểm công bố ban đầu.
• Thúc đẩy sự minh bạch từ bất kỳ tổ chức nào xử lý dữ liệu của bạn về cách họ ứng phó với các sự cố ransomware, chứ không chỉ về việc họ có trả tiền hay không.

Cuộc triệt phá LockBit đã mang đến một cái nhìn hiếm hoi, không bị kiểm duyệt về cách mà tống tiền mạng thực sự diễn ra khi tội phạm không còn kiểm soát được câu chuyện. Việc coi những lời hứa xóa dữ liệu là sự thật, thay vì là những tuyên bố không thể kiểm chứng từ một tác nhân thù địch, đã khiến quá nhiều nạn nhân có một cảm giác kết thúc giả tạo. Giữ thái độ hoài nghi, và luôn sẵn sàng, vẫn là chiến lược tốt hơn về lâu dài.