Các công ty vẫn tiếp tục trả tiền chuộc, dữ liệu mới cho thấy

Bất chấp nhiều năm hướng dẫn khuyến nghị các tổ chức từ chối yêu cầu đòi tiền chuộc từ ransomware, nhiều công ty vẫn đang viết séc cho tội phạm mạng. Một nghiên cứu mới từ công ty bảo mật Proofpoint cho thấy gần một phần tư (22%) các công ty đã trả tiền chuộc đã bị tấn công lần nữa với yêu cầu tống tiền thứ hai, một con số đặt ra những câu hỏi nghiêm túc về việc liệu việc trả tiền có thực sự giải quyết được điều gì hay không.

Nghiên cứu được công bố vào thời điểm các cơ quan chức năng đang thúc đẩy mạnh mẽ hơn bao giờ hết để các tổ chức giữ vững lập trường trước những kẻ tấn công. Trung tâm An ninh Mạng Quốc gia Vương quốc Anh (NCSC) từ lâu đã khuyến cáo không nên trả tiền chuộc, cảnh báo rằng điều đó khuyến khích các cuộc tấn công tiếp theo và không đảm bảo rằng dữ liệu bị đánh cắp hoặc mã hóa sẽ thực sự được trả lại. Tuy nhiên, những phát hiện của Proofpoint cho thấy lời khuyên chính thức và các quyết định kinh doanh trong thực tế thường là hai điều rất khác nhau.

Tại sao các doanh nghiệp vẫn trả tiền

Các cuộc tấn công ransomware đặt các công ty vào tình thế không thể ghen tị. Khi các hệ thống bị khóa hoặc dữ liệu nhạy cảm bị đe dọa công khai, các giám đốc điều hành thường buộc phải cân nhắc giữa thiệt hại về danh tiếng, rủi ro pháp lý và thời gian ngừng hoạt động so với chi phí của khoản tiền chuộc. Đối với nhiều tổ chức, việc trả tiền có thể cảm thấy như con đường nhanh nhất trở lại bình thường, ngay cả khi các chuyên gia bảo mật cảnh báo rằng hiếm khi mọi chuyện diễn ra suôn sẻ như vậy.

Sự tính toán đó càng trở nên phức tạp hơn khi chính hoạt động kinh doanh ransomware đã được chuyên nghiệp hóa. Đàm phán đã trở thành một dạng tiểu ngành, với các công ty được thuê riêng để giao tiếp với những kẻ tấn công và cố gắng giảm yêu cầu. Nhưng ngành đó không phải không có tranh cãi. Trong một vụ việc đáng chú ý, một nhà đàm phán chuyên nghiệp đã bị kết án 70 tháng tù vì vai trò của mình trong một thỏa thuận ransomware BlackCat, một lời nhắc nhở rõ ràng rằng những người môi giới các khoản thanh toán này không phải lúc nào cũng hành động vì lợi ích tốt nhất của công ty. Một vụ án liên quan liên quan đến cùng nhà đàm phán, được xác định là Martino trong hồ sơ tòa án, càng nhấn mạnh hệ sinh thái thanh toán tiền chuộc có thể trở nên mờ ám và rủi ro về mặt pháp lý như thế nào một khi có bên trung gian tham gia.

Cái giá về quyền riêng tư khi trả tiền

Thống kê 22% tống tiền lặp lại là đáng kể vì nó phản bác lại lý do cốt lõi mà hầu hết các công ty đưa ra để biện minh cho việc trả tiền: rằng nó làm cho vấn đề biến mất. Nếu gần một phần tư nạn nhân bị nhắm mục tiêu lại sau khi trả tiền, thì khoản thanh toán đó không mua được sự an toàn. Nó có thể chỉ đơn giản là xác nhận với những kẻ tấn công rằng tổ chức sẵn sàng và có khả năng trả tiền, khiến nó trở thành mục tiêu hấp dẫn hơn cho các cuộc tấn công trong tương lai.

Còn có một khía cạnh về quyền riêng tư thường bị bỏ qua trong các cuộc thảo luận này. Các cuộc tấn công ransomware thường liên quan đến việc đánh cắp dữ liệu nhạy cảm, hồ sơ khách hàng, thông tin nhân viên, chi tiết tài chính, từ rất lâu trước khi bất kỳ mã hóa nào xảy ra. Việc trả tiền chuộc không hoàn tác được sự phơi nhiễm đó. Những kẻ tấn công có thể đã sao chép dữ liệu, và một khoản thanh toán không cung cấp sự đảm bảo có thể kiểm chứng rằng nó sẽ bị xóa thay vì bị bán hoặc rò rỉ sau đó. Đối với những cá nhân có dữ liệu nằm trong hệ thống của một công ty bị xâm phạm, cuộc đàm phán tiền chuộc diễn ra sau cánh cửa đóng kín ít liên quan đến việc thông tin của họ có được giữ kín hay không.

Điều này có ý nghĩa gì đối với bạn

Nếu bạn là người tiêu dùng, dữ liệu này là một lời nhắc nhở rằng quyết định trả tiền chuộc của một công ty không nhất thiết bảo vệ thông tin cá nhân của bạn. Các thông báo vi phạm và đề nghị giám sát tín dụng sau một sự cố ransomware đáng được xem xét nghiêm túc, bất kể công ty bị ảnh hưởng có nói rằng họ đã giải quyết tình huống với những kẻ tấn công hay không.

Nếu bạn làm việc trong lĩnh vực CNTT, bảo mật hoặc lãnh đạo điều hành, những phát hiện của Proofpoint nên được đưa trực tiếp vào kế hoạch ứng phó sự cố. Việc thanh toán không bao giờ nên được coi là một giải pháp nhanh chóng. Các tổ chức đã từng trả tiền dường như vẫn là những mục tiêu hấp dẫn, điều đó có nghĩa là các kế hoạch phục hồi cần bao gồm việc tăng cường mạnh mẽ hơn sau sự cố, chứ không chỉ là một lần chuyển khoản và một tiếng thở phào nhẹ nhõm.

Các biện pháp có thể hành động

Một vài bước thực tế có thể giúp giảm cả khả năng xảy ra tấn công lẫn hậu quả nếu một cuộc tấn công xảy ra:

  • Duy trì các bản sao lưu ngoại tuyến, đã được kiểm tra để các yêu cầu mã hóa mất đi đòn bẩy của chúng.
  • Mặc định coi bất kỳ sự cố ransomware nào là một vụ vi phạm dữ liệu, vì những kẻ tấn công thường xuyên rút dữ liệu trước khi mã hóa nó.
  • Tham vấn cơ quan thực thi pháp luật và các cơ quan như NCSC sớm, thay vì nhảy ngay vào thanh toán hoặc đàm phán.
  • Nếu có liên quan đến một nhà đàm phán, hãy thẩm tra họ cẩn thận dựa trên các rủi ro pháp lý được nhấn mạnh bởi các vụ truy tố gần đây.
  • Giao tiếp minh bạch với khách hàng hoặc nhân viên bị ảnh hưởng bất kể tiền chuộc có được trả hay không.

Ransomware không biến mất, và sự cám dỗ trả tiền để có được giải pháp nhanh chóng sẽ vẫn mạnh mẽ. Nhưng dữ liệu mới này bổ sung thêm sức nặng cho những gì các cơ quan quản lý đã nói trong nhiều năm: trả tiền chuộc hiếm khi là kết thúc của câu chuyện, và nó có thể chỉ là khởi đầu của một câu chuyện thứ hai.