Những nạn nhân của ransomware trả tiền với hy vọng giải quyết vấn đề thường thất vọng. Một nghiên cứu toàn cầu mới công bố, Báo cáo Ransomware Thời đại AI, đã khảo sát gần 1.000 chuyên gia bảo mật tại 12 thị trường và phát hiện rằng trả tiền chuộc không hề đảm bảo giải pháp. Kết quả này củng cố thêm lời cảnh báo mà các nhà nghiên cứu bảo mật đã lặp lại trong nhiều năm: thanh toán tống tiền lặp lại là một rủi ro thực tế và đang gia tăng, không phải trường hợp hiếm gặp ngoại lệ.

Những Phát Hiện Của Báo Cáo Ransomware Thời Đại AI

Khảo sát vẽ nên một bức tranh đáng lo ngại về cách các tổ chức phản ứng khi ransomware tấn công. Hơn một nửa số tổ chức bị tấn công, 54%, cuối cùng đã trả tiền chuộc để cố gắng khôi phục dữ liệu nhạy cảm của mình. Trong số những người đã trả tiền, 56% lấy lại được quyền truy cập vào tệp hoặc hệ thống của họ. Nhưng con số đáng lo ngại hơn là điều xảy ra tiếp theo: hơn một phần ba số nạn nhân, 37%, nhận được yêu cầu tống tiền lần thứ hai sau khi đã trả lần đầu.

Chỉ riêng thống kê đó đã phải thay đổi cách các tổ chức suy nghĩ về ứng phó ransomware. Trả tiền không phải là một giao dịch một lần giúp kết thúc sự cố. Với hơn một phần ba số nạn nhân trong nghiên cứu này, đó chỉ đơn giản là bước mở đầu cho một chu kỳ dài hơn, tốn kém hơn.

Tại Sao Trả Tiền Không Đảm Bảo An Toàn Hay Khôi Phục Dữ Liệu

Đáng để ngẫm về con số ở đây. Ngay cả trong số các tổ chức đã trả tiền, gần một nửa vẫn không khôi phục được dữ liệu đầy đủ. Và một phần lớn những người lấy lại được tệp của mình lại tiếp tục bị nhắm đến, dù bởi cùng kẻ tấn công đòi thêm tiền hay bởi một nhóm khác xem việc thanh toán là bằng chứng cho thấy nạn nhân sẵn sàng thương lượng.

Mô hình này khớp với các nghiên cứu gần đây khác. Một khảo sát của Proofpoint được vpn.social đưa tin cũng phát hiện rằng trả tiền cho các băng nhóm ransomware thường phản tác dụng, với một tỷ lệ đáng kể nạn nhân đã trả tiền phải đối mặt với các nỗ lực tống tiền mới. Một khi tổ chức trả tiền, tổ chức đó có thể nằm trong danh sách những người đã xác nhận trả tiền—thông tin lan truyền giữa các nhóm tội phạm—khiến tổ chức đó trở thành mục tiêu hấp dẫn hơn cho các cuộc tấn công trong tương lai, thay vì kém hấp dẫn hơn.

Cũng không có hợp đồng nào ràng buộc trong một cuộc thương lượng ransomware. Kẻ tấn công không có động cơ pháp lý hay danh tiếng nào để tôn trọng cam kết của chúng sau khi tiền đã được chuyển. Khóa giải mã có thể không đầy đủ, lỗi, hoặc thậm chí không bao giờ được gửi. Dữ liệu bị đánh cắp và dùng làm đòn bẩy vẫn có thể bị bán, rò rỉ, hoặc giữ lại cho vòng tống tiền thứ hai bất kể lời hứa là gì.

Các Giải Pháp Phòng Ngừa Thay Thế: Sao Lưu, Mã Hóa, và Phân Đoạn Mạng

Với những tỷ lệ đó, chiến lược bền bỉ hơn là giảm khả năng bạn phải đưa ra quyết định trả tiền ngay từ đầu. Một vài biện pháp thực hành liên tục được chứng minh là phòng thủ hiệu quả:

  • Duy trì bản sao lưu ngoại tuyến, đã được kiểm tra. Bản sao lưu tách khỏi mạng chính và được kiểm tra khôi phục thường xuyên giúp tổ chức khôi phục mà không cần thương lượng với kẻ tấn công.
  • Mã hóa dữ liệu nhạy cảm khi lưu trữ và truyền tải. Ngay cả khi kẻ tấn công đánh cắp tệp, mã hóa mạnh giới hạn những gì chúng có thể sử dụng hoặc bán, giảm đòn bẩy đằng sau mối đe dọa rò rỉ dữ liệu.
  • Phân đoạn mạng. Chia hệ thống thành các khu vực cách ly giới hạn mức độ lây lan của ransomware sau khi xâm nhập ban đầu, giới hạn thiệt hại trong một phần nhỏ của tổ chức.
  • Cập nhật bản vá và giám sát nhất quán. Nhiều vụ xâm nhập ransomware vẫn khai thác các lỗ hổng đã biết chưa được vá hoặc thông tin đăng nhập truy cập từ xa yếu, vì vậy vệ sinh cơ bản đóng lại phần lớn các điểm xâm nhập.

Không biện pháp nào trong số này khiến tổ chức miễn nhiễm với tấn công, nhưng kết hợp lại, chúng thu nhỏ cả khả năng bị xâm nhập thành công lẫn áp lực phải trả tiền nếu sự cố xảy ra.

Xây Dựng Kế Hoạch Ứng Phó Sự Cố Trước Khi Bị Tấn Công

Các tổ chức xử lý tốt nhất sau sự cố ransomware thường là những tổ chức đã diễn tập ứng phó trước khi cuộc tấn công xảy ra. Điều đó có nghĩa là có một kế hoạch được lập thành văn bản ghi rõ ai đưa ra quyết định trả tiền, liên hệ với cơ quan pháp lý và thực thi pháp luật nào, cách xử lý truyền thông với nhân viên và khách hàng, cũng như cách cô lập và khôi phục hệ thống.

Tổ chức các bài diễn tập bàn (tabletop exercises), nơi nhân viên mô phỏng một tình huống tấn công, giúp phát hiện các lỗ hổng trong kế hoạch khi chưa có áp lực thực tế. Điều này cũng tăng tốc độ ứng phó thực tế khi sự cố xảy ra, thu hẹp thời gian phơi nhiễm và giảm sự cám dỗ trả tiền chỉ vì không có lựa chọn nào khác sẵn sàng.

Ý Nghĩa Đối Với Bạn

Đối với các nhà lãnh đạo CNTT và đội ngũ bảo mật, báo cáo này là lời nhắc rằng thanh toán tống tiền lặp lại đủ phổ biến để cần được tính vào kế hoạch, không phải ngoại lệ tệ hại nhất. Hãy coi trả tiền chuộc là giải pháp cuối cùng với khả năng thất bại thực sự, không phải một hợp đồng bảo hiểm đáng tin cậy. Ngân sách cho phòng ngừa (sao lưu, phân đoạn, giám sát) giống như bạn ngân sách cho bất kỳ chi phí cơ sở hạ tầng cốt lõi nào khác, vì các con số cho thấy nó rẻ hơn về lâu dài so với việc thương lượng lặp đi lặp lại với kẻ tấn công.

Đối với người dùng cá nhân và các tổ chức nhỏ không có đội ngũ bảo mật riêng, các nguyên tắc tương tự có thể thu nhỏ lại: giữ bản sao ngoại tuyến của mọi thứ không thể thay thế, sử dụng mã hóa khi có sẵn, và biết trước bạn sẽ gọi ai nếu hệ thống bị khóa.

Các Điểm Chính

  • 54% tổ chức được khảo sát từng bị tấn công ransomware đã trả tiền chuộc, nhưng chỉ 56% người trả tiền lấy lại được dữ liệu đầy đủ.
  • 37% tổ chức đã trả tiền phải nhận yêu cầu tống tiền lần hai, cho thấy trả tiền không chấm dứt rủi ro.
  • Sao lưu ngoại tuyến, mã hóa, và phân đoạn mạng giảm cả khả năng tấn công thành công lẫn áp lực phải trả tiền.
  • Một kế hoạch ứng phó sự cố được kiểm tra, xây dựng trước khi bị tấn công, rút ngắn thời gian khôi phục và giảm sự phụ thuộc vào tiền chuộc.
  • Người đọc có thể xem kết quả khảo sát của Proofpoint để có thêm dữ liệu xác nhận về mức độ thường xuyên việc trả tiền chuộc thất bại trong việc giải quyết sự cố.