Trả tiền chuộc hay không? Vì sao tống tiền mạng là khủng hoảng về quyền riêng tư

Khi một thông báo đòi tiền chuộc hiện lên trên màn hình công ty, phản xạ tự nhiên thường là coi đó như sự cố IT: cô lập mạng, gọi đội an ninh, đánh giá thiệt hại cho máy chủ. Nhưng ngày càng có nhiều hướng dẫn, gần đây nhất được Cyber Daily mô tả chi tiết trong phân tích về việc ra quyết định trong tống tiền mạng, cho thấy rõ rằng trả hay không trả tiền chuộc là một lựa chọn lớn hơn nhiều so với một quyết định kỹ thuật. Đó là quyết định pháp lý, tài chính, và trên hết – là quyết định về quyền riêng tư, ảnh hưởng đến từng khách hàng, nhân viên và đối tác có dữ liệu nằm trong những hệ thống bị xâm nhập.

Bãi mìn pháp lý đằng sau quyết định trả tiền chuộc

Một trong những khía cạnh thường bị bỏ qua nhất của tống tiền mạng là việc trả tiền cho tội phạm không phải lúc nào cũng đơn giản về mặt pháp lý. Tùy vào kẻ đứng sau vụ tấn công, khoản tiền chuộc có thể khiến tổ chức trả tiền gặp rủi ro về trừng phạt, đặc biệt khi tác nhân đe dọa hoặc hạ tầng của chúng có liên kết với một thực thể hoặc khu vực pháp lý bị trừng phạt. Những tổ chức vội vàng trả tiền mà không rà soát pháp lý có thể phải đối mặt với sự giám sát của cơ quan quản lý, bên cạnh chính vụ xâm nhập. Như đã nêu trong bài viết trước của chúng tôi về việc thanh toán ransomware có rủi ro vi phạm trừng phạt OFAC, quyết định trả tiền không chỉ nằm ở chuyện công ty có đủ khả năng chi trả hay không. Nó còn là vấn đề bản thân việc thanh toán có hợp pháp hay không, và tổ chức đã thực hiện thẩm tra cần thiết để biết điều đó hay chưa.

Chính vì vậy, ứng phó với tống tiền mạng không thể chỉ nằm riêng trong bộ phận IT. Cố vấn pháp lý, cán bộ tuân thủ và thường là cơ quan thực thi pháp luật cần tham gia vào cuộc trao đổi từ thời điểm sớm nhất có thể, chứ không phải chỉ được gọi tới sau khi tiền đã được chuyển đi.

Vì sao đây là vấn đề về quyền riêng tư, không chỉ là vấn đề IT

Ransomware từng chủ yếu nhằm khóa các tập tin. Điều đó đã thay đổi. Các nhóm tống tiền hiện đại ngày càng đánh cắp dữ liệu trước khi mã hóa bất cứ thứ gì, rồi dùng lời đe dọa công khai như đòn bẩy. Sự dịch chuyển đó biến mọi vụ ransomware thành sự cố về dữ liệu cá nhân, bất kể cuối cùng các hệ thống có được khôi phục hay không.

Chúng ta đã chứng kiến sự tiến hóa này tăng tốc theo thời gian thực. Một số nhóm đã vượt xa việc đe dọa trực tiếp tổ chức nạn nhân và giờ đây đe dọa liên lạc với chính khách hàng của công ty, gây áp lực bằng cách nhắm vào những người mà thông tin cá nhân của họ thực sự đang bị đe dọa. Chiến thuật đó thay đổi toàn bộ tính toán: ngay cả một khoản tiền chuộc đầy đủ cũng không đảm bảo rằng dữ liệu khách hàng bị đánh cắp sẽ không bị rò rỉ, bị bán, hay bị dùng để tiếp tục tống tiền.

Các tổ chức cân nhắc một yêu cầu tiền chuộc cần phải hỏi không chỉ “chúng ta có thể khôi phục hệ thống không” mà còn “điều gì xảy ra với dữ liệu cá nhân của tất cả mọi người trong hệ thống của chúng ta, bất kể chúng ta quyết định ra sao.” Khoản tiền chuộc có thể mua được khóa giải mã. Nó không xóa bỏ sự thật rằng dữ liệu nhạy cảm đã bị phơi nhiễm trước tội phạm ngay từ đầu.

Trả tiền không đảm bảo an toàn

Ngay cả khi các tổ chức trả tiền, không có bằng chứng đáng tin cậy nào cho thấy vấn đề kết thúc. Nghiên cứu của Proofpoint cho thấy một tỷ lệ đáng kể các công ty trả tiền chuộc phải đối mặt với những nỗ lực tống tiền lặp lại, đôi khi từ chính những kẻ tấn công cũ quay lại đòi lần thứ hai. Dữ liệu đó làm suy yếu một trong những lý do phổ biến nhất để trả tiền: niềm tin rằng nó sẽ làm vấn đề biến mất.

Một số tổ chức đã chọn con đường hoàn toàn khác. Stadler Rail, nhà sản xuất tàu hỏa Thụy Sĩ, đã công khai từ chối yêu cầu tiền chuộc hàng triệu đô la sau khi kẻ tấn công đánh cắp dữ liệu thông qua một nhà cung cấp bên thứ ba, đặt cược rằng việc từ chối ít rủi ro hơn là hợp pháp hóa nền kinh tế tống tiền. Trong khi đó, bối cảnh ransomware vẫn liên tục thay đổi; một tổng hợp ngành gần đây theo dõi những nhóm nào đang chiếm ưu thế trong môi trường đe dọa hiện tại cho thấy việc trả tiền cho một băng nhóm không làm giảm rủi ro tổng thể từ hàng chục băng nhóm khác vẫn còn đang hoạt động.

Điều này có ý nghĩa gì với bạn

Dù bạn điều hành một doanh nghiệp nhỏ hay quản lý an ninh cho một tập đoàn lớn, quyết định trả hay không trả tiền chuộc không bao giờ nên được đưa ra một cách biệt lập bởi bất kỳ ai quản lý máy chủ. Nó đòi hỏi rà soát pháp lý về trừng phạt và rủi ro pháp lý với cơ quan quản lý, một đánh giá về quyền riêng tư để xác định chính xác dữ liệu nào đã bị truy cập, và một sự hiểu biết thực tế rằng thanh toán không mang lại đảm bảo nào chống lại việc tống tiền hay rò rỉ trong tương lai. Với người tiêu dùng hàng ngày, bài học thì khác nhưng vẫn liên quan: sự an toàn của dữ liệu cá nhân của bạn sau một vụ xâm nhập phụ thuộc rất nhiều vào các quyết định được đưa ra bởi những công ty mà bạn có thể không bao giờ tương tác trực tiếp, đó là lý do việc hiểu cách các tổ chức xử lý tống tiền mạng là quan trọng ngay cả khi bạn không phải là người đối diện với thông báo đòi tiền chuộc.

Những điểm hành động cụ thể

Các tổ chức nên xây dựng kế hoạch ứng phó sự cố trước khi một cuộc tấn công xảy ra, một kế hoạch bao gồm rõ ràng cố vấn pháp lý và đánh giá quyền riêng tư bên cạnh khắc phục kỹ thuật. Đừng bao giờ coi quyết định trả tiền chuộc chỉ đơn thuần là vấn đề tài chính; rủi ro về trừng phạt và tuân thủ là có thật và có thể làm trầm trọng thêm vụ xâm nhập ban đầu. Hãy giả định rằng mọi dữ liệu bị trích xuất có thể đã bị xâm phạm bất kể có trả tiền hay không, và lập kế hoạch thông báo cho khách hàng và nhân viên một cách phù hợp. Cuối cùng, hãy nhớ rằng chiến lược dài hạn an toàn nhất chống lại tống tiền mạng không phải là trả tiền chuộc nhanh chóng, mà là những lớp phòng thủ mạnh mẽ hơn để ngăn chặn nỗ lực tống tiền thành công ngay từ đầu.