Một cuộc điều tra tội phạm mạng đã liên kết quản trị viên của Qilin ransomware với Aleksey Mikhailovich Yakovtsev, một người đàn ông 36 tuổi sống tại St. Petersburg, Nga. Với việc quản trị viên Qilin ransomware được xác định bằng tên, tuổi và thành phố, đây là một trường hợp hiếm hoi lộ diện danh tính trong một lĩnh vực tội phạm mạng nơi những kẻ điều hành thường ẩn mình sau các bí danh. Điều này cũng đặt ra một câu hỏi thực tế: việc lộ diện danh tính thay đổi điều gì đối với nạn nhân, và những người bình thường cùng các tổ chức nhỏ có thể làm gì về nạn tống tiền đánh cắp dữ liệu?

Trước hết là một lưu ý về sự thận trọng. Các báo cáo cho đến nay còn ngắn gọn, và các chi tiết đến từ kết quả điều tra chứ không phải từ phán quyết của tòa án. Mối liên kết nên được đọc như một sự quy kết, không phải một kết luận pháp lý đã được chứng minh.

Quản trị viên Qilin Ransomware Được Xác Định: Cuộc Điều Tra Chỉ Ra Ai

Theo bài báo, cuộc điều tra liên kết quản trị viên của Qilin với Aleksey Mikhailovich Yakovtsev, 36 tuổi, sống tại St. Petersburg, Nga. Đó là toàn bộ phạm vi những gì nguồn tin xác nhận. Bài báo không mô tả cách các nhà điều tra đi đến kết luận này, bằng chứng nào ủng hộ nó, hay liệu có cơ quan thực thi pháp luật nào đã hành động hay chưa.

Khoảng trống đó quan trọng. Việc quy kết trong tội phạm mạng thường được xây dựng từ sự kết hợp của các cuộc trò chuyện bị rò rỉ, dấu vết hạ tầng và các sai sót trong vận hành, và độ mạnh của mỗi mắt xích là khác nhau. Cho đến khi có thêm thông tin được công bố hoặc một cơ quan có thẩm quyền xác nhận phát hiện này, hãy coi cái tên đó như một tuyên bố được báo cáo. Đáng để theo dõi cập nhật, nhưng không phải điều gì đó nên coi là đã ngã ngũ.

Cách Các Nhóm Ransomware Như Qilin Tấn Công Nạn Nhân

Bài báo nguồn không nêu chi tiết phương thức của Qilin, nên sẽ hữu ích khi giải thích cách thức tống tiền bằng ransomware hiện đại thường diễn ra. Nhiều nhóm không còn chỉ dựa vào việc khóa tệp. Đầu tiên chúng sao chép dữ liệu nhạy cảm ra khỏi mạng của nạn nhân, sau đó mã hóa hệ thống, rồi gây áp lực lên nạn nhân bằng hai mối đe dọa: trả tiền để lấy khóa giải mã, và trả tiền để ngăn dữ liệu bị đánh cắp được công bố trên một trang web rò rỉ.

Mô hình tống tiền kép này là lý do tại sao chỉ sao lưu thôi không phải là biện pháp phòng thủ hoàn chỉnh. Ngay cả khi một tổ chức khôi phục mọi thứ từ một bản sao sạch, dữ liệu bị đánh cắp vẫn nằm trong tay bọn tội phạm. Khách hàng, bệnh nhân, nhân viên và đối tác có thể bị phơi bày dù họ chưa bao giờ tương tác với những kẻ tấn công.

Nhiều hoạt động ransomware cũng vận hành theo mô hình dịch vụ. Một nhóm nòng cốt duy trì mã độc và hạ tầng, trong khi các chi nhánh (affiliate) thực hiện các cuộc xâm nhập. Nếu bạn muốn có một cái nhìn thoáng qua về cách phân công lao động đó trông như thế nào từ bên trong, báo cáo của chúng tôi về một máy chủ mở liên quan đến các chi nhánh ransomware INC và The Gentlemen mang đến một góc nhìn hiếm hoi về cách bọn tội phạm thực sự làm việc hàng ngày.

Việc Lộ Diện Danh Tính Thay Đổi và Không Thay Đổi Điều Gì

Gắn một cái tên và một thành phố với một quản trị viên có thể có ý nghĩa, nhưng hiếm khi tự nó chấm dứt một hoạt động. Đây là một góc nhìn thực tế về tác động.

Những gì nó có thể thay đổi:

  • Nó làm tăng rủi ro cá nhân đối với người được nêu tên, bao gồm hạn chế đi lại, các lệnh trừng phạt hoặc sự chú ý của cơ quan điều tra.
  • Nó có thể khiến các chi nhánh và đối tác thận trọng hơn trong việc tin tưởng hoạt động này.
  • Nó mang lại cho những người phòng thủ và điều tra thêm một manh mối để lần theo khi lập bản đồ hạ tầng và dòng tiền.

Những gì nó thường không thay đổi:

  • Nạn nhân hiện hữu không tự động được giúp đỡ. Dữ liệu bị đánh cắp đã bị rò rỉ thì vẫn bị rò rỉ.
  • Mã độc và các chiến thuật không biến mất. Các chi nhánh, công cụ và kịch bản có thể chuyển sang các thương hiệu khác.
  • Một người sống ở Nga có thể khó bị các cơ quan nước ngoài tiếp cận, nên một vụ bắt giữ không được đảm bảo. Bài báo không báo cáo bất kỳ vụ bắt giữ nào.

Tóm lại, việc xác định danh tính là một điểm gây áp lực, không phải một sự đóng cửa. Các biện pháp phòng thủ của bạn không nên phụ thuộc vào việc một nhóm biến mất.

Điều Này Có Ý Nghĩa Gì Với Bạn

Hầu hết mọi người sẽ không bao giờ là mục tiêu trực tiếp trong cuộc đàm phán của một nhóm ransomware, nhưng nhiều người sẽ bị ảnh hưởng bởi một nhóm như vậy. Dữ liệu của bạn nằm trong bệnh viện, nhà bán lẻ, nơi làm việc, trường học và các nhà cung cấp dịch vụ. Khi một trong số họ bị tấn công bằng tống tiền đánh cắp dữ liệu, thông tin của bạn có thể bị rò rỉ.

Điều đó có nghĩa là hai điều. Thứ nhất, bạn không thể hoàn toàn kiểm soát liệu một công ty bạn sử dụng có bị xâm nhập hay không. Thứ hai, bạn có thể kiểm soát mức độ thiệt hại mà dữ liệu bị đánh cắp gây ra cho bạn. Mật khẩu duy nhất, xác thực đa yếu tố và xử lý cẩn thận các tin nhắn bất ngờ đều hạn chế những gì kẻ tấn công có thể làm với các chi tiết bị rò rỉ. Nếu bạn điều hành một doanh nghiệp nhỏ hoặc quản lý thiết bị của một hộ gia đình, những điều cơ bản tương tự cũng áp dụng cho hệ thống của chính bạn.

Các Bước Thực Tế Để Giảm Phơi Nhiễm Với Ransomware

Không bước nào trong số này là xa lạ, và kết hợp lại chúng cắt giảm rủi ro một cách đáng kể.

  1. Duy trì sao lưu ngoại tuyến hoặc bất biến. Lưu trữ ít nhất một bản sao ngắt kết nối khỏi mạng của bạn để ransomware không thể mã hóa nó. Kiểm tra khôi phục từ đó định kỳ.
  2. Bật xác thực đa yếu tố. Ưu tiên email, ngân hàng, lưu trữ đám mây và bất kỳ công cụ truy cập từ xa nào. Ưu tiên ứng dụng xác thực hoặc khóa phần cứng hơn SMS khi có thể.
  3. Sử dụng trình quản lý mật khẩu và mật khẩu duy nhất. Nếu một dịch vụ bị rò rỉ, thông tin đăng nhập bị dùng lại không nên mở khóa các tài khoản khác của bạn.
  4. Vá lỗi kịp thời. Cập nhật hệ điều hành, trình duyệt, router và phần mềm doanh nghiệp ngay khi có bản sửa lỗi.
  5. Hoài nghi với các tin nhắn không được yêu cầu. Lừa đảo qua email vẫn là một cách phổ biến để xâm nhập vào mạng. Xác minh các yêu cầu bất ngờ thông qua một kênh riêng.
  6. Hạn chế những gì bạn lưu trữ và chia sẻ. Dữ liệu bạn không còn cần là dữ liệu không thể bị đánh cắp. Xóa các tệp cũ và đóng các tài khoản không dùng.
  7. Bảo vệ các liên lạc nhạy cảm. Sử dụng tin nhắn mã hóa đầu cuối cho các cuộc trò chuyện riêng tư, và một VPN uy tín trên các mạng không tin cậy như Wi-Fi công cộng. VPN không ngăn được ransomware, nhưng nó giảm phơi nhiễm với việc bị theo dõi trên kết nối.

Điểm Mấu Chốt

Quản trị viên Qilin ransomware được xác định trong cuộc điều tra này là một diễn biến đáng chú ý, nhưng báo cáo vẫn còn mỏng và tác động thực tế đối với nạn nhân là hạn chế. Tống tiền bằng ransomware phụ thuộc vào dữ liệu bị đánh cắp, kiểm soát truy cập yếu và các mục tiêu chưa được chuẩn bị, và những điều kiện đó vẫn tồn tại bất kể ai đứng sau một thương hiệu nhất định.

Hãy tận dụng thời điểm này để củng cố thiết lập của chính bạn: tạo sao lưu ngoại tuyến, bật MFA trên các tài khoản quan trọng của bạn, và chuyển các cuộc trò chuyện riêng tư sang các kênh mã hóa. Để có thêm một góc nhìn hiếm hoi bên trong cách các chi nhánh ransomware vận hành, hãy đọc bài đưa tin của chúng tôi về phát hiện của SOCRadar về một máy chủ mở liên quan đến các cuộc tấn công của INC và The Gentlemen, và quay lại đây để cập nhật nếu việc quy kết Qilin được xác nhận hoặc bị phản bác.