Dữ liệu mới về thanh toán ransomware cho thấy điều gì

Báo cáo mới từ công ty bảo mật Proofpoint, công bố hôm thứ Tư, mang đến một xác nhận khó chịu cho bất kỳ ai từng cân nhắc trả tiền cho băng ransomware để giải quyết vấn đề: một tỷ lệ đáng kể nạn nhân từng trả tiền cuối cùng phải đối mặt với yêu cầu tống tiền lần thứ hai. Báo cáo củng cố điều mà các nhà nghiên cứu bảo mật và đội ngũ ứng phó sự cố đã khẳng định suốt nhiều năm, rằng các cuộc đàm phán ransomware không diễn ra trên tinh thần thiện chí, và việc trả tiền không đảm bảo kẻ tấn công sẽ thực sự rời đi.

Dữ liệu của Proofpoint bổ sung con số cụ thể cho một xu hướng mà lâu nay giới phòng thủ mới chỉ nghi ngờ qua các giai thoại. Các tổ chức tuân theo yêu cầu tiền chuộc không mua được sự kết thúc. Họ thường mua về đòn bẩy cho vòng đòi thứ hai từ chính kẻ tấn công đó, hoặc từ một nhóm hoàn toàn khác, quay lại đòi thêm tiền.

Vì sao trả tiền chuộc lại dẫn tới cuộc tấn công thứ hai

Logic đằng sau việc tống tiền lặp lại trở nên rõ ràng một khi bạn thử suy nghĩ từ góc nhìn của kẻ tấn công. Toàn bộ mô hình kinh doanh của băng ransomware phụ thuộc vào việc nạn nhân tin rằng trả tiền sẽ chấm dứt khủng hoảng. Nhưng không có hợp đồng pháp lý, không có cơ chế thực thi, và không có rủi ro danh tiếng nào đủ mạnh để đảm bảo lời hứa của kẻ tấn công một khi tiền đã được chuyển. Nếu nạn nhân đã chứng minh họ sẵn sàng và có khả năng chi trả, thì nạn nhân đó trở thành mục tiêu hấp dẫn hơn, chứ không phải một tài khoản đã xong.

Đây là một phần lý do tại sao giới nghiên cứu bảo mật mô tả đàm phán ransomware về cơ bản khác với giao dịch kinh doanh thông thường. Phía bên kia không hề có động cơ để thực sự rời đi. Một nhóm tội phạm đã thành công moi tiền một lần có đủ lý do để kiểm tra xem liệu tổ chức đó có trả tiền lần nữa hay không, bằng cách mã hóa lại hệ thống, đe dọa rò rỉ dữ liệu đã đánh cắp trước đó lần thứ hai, hoặc đơn giản là đưa ra một yêu cầu mới liên quan tới vụ xâm phạm ban đầu.

Động lực này liên quan mật thiết tới điều mà ngành gọi là tống tiền kép hoặc đa tống tiền, khi kẻ tấn công không chỉ mã hóa tập tin mà còn đánh cắp dữ liệu từ trước, tạo cho chúng nhiều điểm gây áp lực để bóp nghẹt nạn nhân ngay cả sau khi tiền chuộc đã được trả. Những phát hiện của Proofpoint gợi ý rằng ngay cả sau khi chiến dịch gây áp lực ban đầu thành công, cái giếng vẫn chưa hẳn đã cạn.

Những vụ xâm nhập không bị phát hiện khiến việc tái tống tiền dễ dàng hơn ra sao

Một lý do khiến tái tống tiền hiệu quả đến vậy đối với kẻ tấn công là bởi nhiều nạn nhân không hiểu đầy đủ phạm vi của vụ xâm phạm vào thời điểm họ quyết định trả tiền. Nếu một tổ chức phát hiện tập tin bị mã hóa và đàm phán tiền chuộc mà trước đó không xác định chính xác dữ liệu nào đã bị truy cập, sao chép hoặc cài lại cửa hậu, thì về cơ bản, tổ chức đó đã đồng ý với một cái giá mà không biết mình thực sự đang mua lại thứ gì.

Khoảng trống giữa phát hiện và ứng phó này là chủ đề lặp đi lặp lại trong nghiên cứu ransomware. Như đã đề cập trong một báo cáo liên quan về thất bại trong phát hiện ransomware, gần một nửa số nạn nhân ransomware bị mất dữ liệu trước khi họ kịp nhận ra cuộc tấn công đang diễn ra. Sự chậm trễ đó có ý nghĩa cực kỳ quan trọng ở đây: nếu nạn nhân không biết kẻ tấn công đã rút dữ liệu từ nhiều tuần trước khi triển khai ransomware, thì việc trả tiền để mở khóa tập tin chẳng giải quyết được gì đối với thông tin bị đánh cắp đang nằm trên máy chủ tội phạm, thứ có thể được kiếm tiền lần nữa thông qua yêu cầu thứ hai, bán riêng hoặc dùng cho mối đe dọa rò rỉ mới sau này.

Các bước phòng thủ: Sao lưu, giám sát và lập kế hoạch ứng phó sự cố

Bài học thực tế từ báo cáo của Proofpoint không phải là tuyệt đối không bao giờ trả tiền chuộc trong bất kỳ hoàn cảnh nào. Mà là không bao giờ được coi việc trả tiền như một sự giải quyết dứt điểm được đảm bảo. Các tổ chức, cũng như cá nhân quản lý mạng lưới hoặc doanh nghiệp nhỏ, sẽ được phục vụ tốt hơn bằng cách đầu tư vào phòng ngừa và phát hiện ở thượng nguồn thay vì đàm phán ở hạ nguồn.

Điều đó nghĩa là duy trì các bản sao lưu ngoại tuyến, được kiểm tra định kỳ để có thể khôi phục tập tin bị mã hóa mà không cần trả tiền cho ai. Nghĩa là đầu tư vào các công cụ giám sát có thể phát hiện truy cập dữ liệu trái phép trước khi kẻ tấn công kịp rút một lượng lớn thông tin nhạy cảm. Và nghĩa là phải có sẵn kế hoạch ứng phó sự cố trước khi cuộc tấn công xảy ra, kế hoạch đó bao gồm điều tra pháp y để xác định chính xác những gì đã bị truy cập, chứ không chỉ liệu tập tin có bị mã hóa hay không.

Điều này có ý nghĩa gì với bạn

Đối với chủ doanh nghiệp nhỏ và cá nhân, thông điệp từ nghiên cứu này rất rõ ràng: đừng cho rằng trả tiền chuộc là giải pháp nhanh gọn, sạch sẽ như vẻ bề ngoài lúc đó. Những kẻ tấn công đã chứng minh chúng sẵn sàng tống tiền bạn một lần thì vừa có phương tiện, vừa có động cơ để làm lại lần nữa. Cách phòng thủ thực sự trước các cuộc tấn công tống tiền lặp lại của ransomware không nằm ở chiến lược đàm phán tốt hơn, mà là giảm thiểu khả năng bạn rơi vào tình huống đó ngay từ đầu thông qua sao lưu mạnh mẽ, phát hiện nhanh hơn và một kế hoạch ứng phó rõ ràng.

Những điểm hành động cụ thể

  • Coi việc trả tiền chuộc là giải pháp cuối cùng, không phải cách khắc phục chắc chắn, vì dữ liệu của Proofpoint cho thấy kẻ tấn công thường xuyên quay lại với yêu cầu mới.
  • Ưu tiên sao lưu ngoại tuyến, được kiểm tra để riêng việc mã hóa không thể ép buộc quyết định trả tiền.
  • Đầu tư vào công cụ phát hiện để kịp thời nhận ra hành vi rút dữ liệu, vì phát hiện chậm trễ tạo thêm đòn bẩy cho kẻ tấn công tái tống tiền.
  • Xây dựng kế hoạch ứng phó sự cố trước khi cuộc tấn công xảy ra, bao gồm các bước pháp y để xác định toàn bộ phạm vi của vụ xâm phạm.
  • Giả định rằng bất kỳ dữ liệu nào bị đánh cắp trước khi trả tiền chuộc vẫn là rủi ro trong tương lai, bất kể kẻ tấn công hứa hẹn điều gì.