Leak site là nơi một nhóm ransomware nêu tên các tổ chức mà chúng tuyên bố đã tấn công, thường được sử dụng như áp lực để trả tiền hoặc đối mặt với việc công bố thông tin bị đánh cắp.

Tống tiền kép là gì?

Tống tiền kép là khi nạn nhân phải đối mặt với cả hệ thống bị khóa và mối đe dọa về việc thông tin bị đánh cắp của họ bị phơi bày.

VPN có thể bảo vệ tôi khỏi việc phơi bày trên leak site ransomware không?

Không nhiều, đối với mối đe dọa cụ thể này; VPN mã hóa lưu lượng giữa thiết bị của bạn và máy chủ VPN và che giấu địa chỉ IP của bạn, nhưng việc phơi bày trên leak site thường xảy ra khi hệ thống của chính tổ chức bị xâm phạm.

Các nhóm ransomware mới gây ra 90% các tuyên bố trên leak site

Q: Bao nhiêu phần trăm các tuyên bố ransomware trên leak site đến từ các nhóm mới?

Các nhóm mới hiện chịu trách nhiệm cho hơn 90 phần trăm các tuyên bố ransomware được đăng trên leak site.

Q: Một danh sách trên leak site có chứng minh chính xác dữ liệu nào đã bị đánh cắp không?

Không, một danh sách là một tuyên bố, không phải bằng chứng về chính xác những gì đã bị lấy, vì vậy đáng để coi đó là tín hiệu để kiểm tra mức độ phơi bày của chính bạn thay vì giả định điều tồi tệ nhất.

Số lượng tổ chức bị liệt kê trên các leak site darknet đã tăng lên, và theo báo cáo từ Cyber Daily, các nhóm mới hiện chịu trách nhiệm cho hơn 90 phần trăm các tuyên bố ransomware. Xu hướng về các nhóm ransomware mới trên leak site đáng để hiểu rõ ngay cả khi bạn không bao giờ vận hành mạng lưới công ty, bởi vì dữ liệu được đăng trên những site đó thường thuộc về khách hàng, bệnh nhân và nhân viên bình thường.

Bài viết này đề cập đến những gì phát hiện cho thấy, ý nghĩa của nó đối với dữ liệu cá nhân, VPN phù hợp ở đâu (và không phù hợp ở đâu), và các bước thực tế hữu ích.

Tại sao các nhóm ransomware mới tiếp tục nhân lên

Con số tiêu đề là các nhóm mới hơn, không phải những nhóm lâu đời, chiếm phần lớn áp đảo các tuyên bố được đăng trên leak site. Nói cách khác, bối cảnh ransomware không bị chi phối bởi một nhóm nhỏ các tên tuổi kỳ cựu. Đó là một lĩnh vực liên tục được làm mới bởi những người mới, và mỗi người trong số họ công bố danh sách nạn nhân bị cáo buộc của riêng mình.

Bản tóm tắt của bài báo nguồn không giải thích rõ mọi lý do đằng sau sự thay đổi này, vì vậy sẽ là sai lầm nếu giải thích quá mức ở đây. Những gì dữ liệu cho thấy là hệ sinh thái bị phân mảnh. Khi các tuyên bố được phân tán across nhiều nhóm mới, những người phòng thủ gặp khó khăn hơn trong việc theo dõi hành vi, và các tên trên leak site thay đổi nhanh chóng. Ngay cả các hoạt động lâu dài vẫn là một yếu tố; phạm vi đưa tin của chúng tôi về chiến dịch tống tiền kép LockBit 5.0 cho thấy các thương hiệu lâu đời vẫn hoạt động song song với những người mới.

Đối với độc giả, điểm chính rất đơn giản: không có một nhóm duy nhất nào để đề phòng. Rủi ro là rộng khắp, và nó không phụ thuộc vào bất kỳ tên thương hiệu nào.

Ý nghĩa của các danh sách trên leak site đối với dữ liệu cá nhân của bạn

Leak site là nơi một nhóm ransomware nêu tên các tổ chức mà chúng tuyên bố đã tấn công. Thông thường, danh sách được sử dụng như áp lực: trả tiền, hoặc thông tin bị đánh cắp có thể bị công bố. Chiến thuật đó thường được gọi là tống tiền kép, vì nạn nhân phải đối mặt với cả hệ thống bị khóa và mối đe dọa về việc phơi bày.

Nếu một tổ chức bạn giao dịch bị liệt kê trên một trong những site này, thông tin bị ảnh hưởng có thể bao gồm bất cứ thứ gì tổ chức đó lưu giữ về bạn. Tùy thuộc vào công ty, đó có thể là thông tin liên hệ, thông tin tài khoản hoặc các hồ sơ khác. Một danh sách là một tuyên bố, không phải bằng chứng về chính xác những gì đã bị lấy, vì vậy đáng để coi đó là tín hiệu để kiểm tra mức độ phơi bày của chính bạn thay vì giả định điều tồi tệ nhất.

Với nhiều nhóm đăng nhiều tuyên bố hơn, khả năng tăng lên rằng tại một thời điểm nào đó một trong những tổ chức nắm giữ dữ liệu của bạn xuất hiện trên danh sách. Bạn không thể kiểm soát điều đó trực tiếp. Bạn có thể kiểm soát mức độ thiệt hại mà một vụ rò rỉ gây ra cho cá nhân bạn.

VPN có thể và không thể làm gì chống lại ransomware

Thật tự nhiên khi tự hỏi liệu VPN có giúp ích ở đây không. Câu trả lời trung thực là: không nhiều, đối với mối đe dọa cụ thể này.

VPN mã hóa lưu lượng giữa thiết bị của bạn và máy chủ VPN và che giấu địa chỉ IP của bạn khỏi các site bạn truy cập. Điều đó hữu ích trên Wi-Fi công cộng và để hạn chế một số theo dõi. Nhưng việc phơi bày trên leak site ransomware thường xảy ra khi hệ thống của chính tổ chức bị xâm phạm. VPN của bạn không có tiếng nói trong cách một nhà bán lẻ, phòng khám hoặc nhà tuyển dụng bảo vệ máy chủ của họ, và nó không thể lấy lại dữ liệu của bạn một khi dữ liệu nằm trong một kho lưu trữ bị đánh cắp.

VPN cũng không ngăn bạn mở một tệp đính kèm độc hại hoặc sử dụng lại mật khẩu mà sau đó xuất hiện trong một vụ rò rỉ. Hãy nghĩ về nó như một công cụ bảo mật trong số nhiều công cụ, không phải là biện pháp phòng vệ chống lại ransomware hoặc hậu quả của nó.

Các bước thực tế để giảm mức độ phơi bày của bạn

Các biện pháp hiệu quả nhất không hào nhoáng, và chúng hiệu quả bất kể nhóm nào đang trên tin tức.

Sử dụng mật khẩu duy nhất ở mọi nơi. Một trình quản lý mật khẩu làm cho điều này trở nên thực tế. Nếu một tổ chức bị xâm phạm, thông tin đăng nhập được sử dụng lại sẽ không mở khóa các tài khoản khác của bạn.
Bật xác thực đa yếu tố (MFA). Ưu tiên ứng dụng xác thực hoặc khóa phần cứng hơn SMS khi bạn có thể. MFA hạn chế những gì một mật khẩu bị đánh cắp có thể làm.
Duy trì các bản sao lưu đã được kiểm tra. Giữ ít nhất một bản sao các tệp quan trọng được ngắt kết nối khỏi thiết bị chính của bạn hoặc được lưu trữ ngoại tuyến, và kiểm tra rằng bạn thực sự có thể khôi phục từ đó.
Chia sẻ ít dữ liệu hơn. Giảm thiểu dữ liệu rất quan trọng: nếu một công ty không lưu giữ ngày sinh hoặc số ID của bạn, họ không thể làm rò rỉ chúng. Bỏ qua các trường tùy chọn và xóa các tài khoản cũ mà bạn không còn sử dụng.
Cập nhật phần mềm kịp thời. Các bản cập nhật hệ điều hành và ứng dụng đóng các lỗ hổng mà kẻ tấn công sử dụng để xâm nhập.
Cảnh giác sau một thông báo. Nếu một tổ chức cho bạn biết họ bị ảnh hưởng, hãy thay đổi mật khẩu của tài khoản đó, chú ý đến các email hoặc cuộc gọi đáng ngờ, và thận trọng với bất cứ điều gì đề cập đến chi tiết mà chỉ công ty đó mới biết.

Điều này có ý nghĩa gì đối với bạn

Sự chuyển dịch sang một lĩnh vực đông đúc các nhóm ransomware mới có nghĩa là các danh sách trên leak site có thể sẽ tiếp tục xuất hiện, và bạn sẽ không phải lúc nào cũng biết tổ chức nào bị ảnh hưởng cho đến sau khi sự việc xảy ra. Chiến lược tốt nhất của bạn là giả định rằng một số dữ liệu của bạn có thể cuối cùng bị phơi bày và làm cho sự phơi bày đó ít gây hại nhất có thể. Thông tin đăng nhập mạnh, duy nhất, MFA và chia sẻ dữ liệu hợp lý làm được nhiều hơn bất kỳ công cụ bảo mật đơn lẻ nào.

Những điểm chính cần ghi nhớ

Phát hiện rằng các nhóm mới gây ra hơn 90 phần trăm các tuyên bố cho thấy vấn đề đã trở nên phổ biến như thế nào. Đừng chờ đợi một thông báo vi phạm để hành động. Tăng cường bảo mật tài khoản của bạn ngay hôm nay: thiết lập trình quản lý mật khẩu, bật MFA trên email, ngân hàng và tài khoản đám mây, sao lưu các tệp quan trọng của bạn, và dọn dẹp các tài khoản bạn không còn cần. Để xem áp lực từ leak site diễn ra như thế nào trong một chiến dịch thực tế, đang diễn ra, hãy đọc báo cáo của chúng tôi về LockBit 5.0 và tống tiền kép. Hiểu chiến thuật là bước đầu tiên để làm giảm bớt nó, và các nhóm ransomware mới trên leak site sẽ ít quan trọng hơn đối với bạn nếu tài khoản của bạn được bảo vệ tốt.