Bao nhiêu phần trăm số người bị nhắm mục tiêu trong chiến dịch ransomware được phân tích là quản lý?

Gần hai phần ba, khoảng 67%, giữ vị trí quản lý hoặc cao hơn, theo phân tích của ZDNET.

Tại sao các quản lý lại bị những kẻ tấn công ransomware nhắm mục tiêu cụ thể?

Các quản lý thường có quyền truy cập rộng vào dữ liệu vận hành, phê duyệt tài chính và các hệ thống quản trị, đồng thời họ nhận được lượng lớn email từ cả cấp dưới và lãnh đạo, khiến cho việc lừa đảo trở nên rất khả thi.

Chiến lược nhắm mục tiêu của ransomware đã thay đổi như thế nào so với các chiến dịch trước đây?

Kẻ tấn công đã chuyển từ việc theo đuổi khoản tiền chuộc lớn nhất bằng cách nhắm vào các giám đốc điều hành cấp C sang tập trung vào các quản lý cấp trung, đặc biệt là trong lĩnh vực IT, vận hành hoặc tài chính, những người sở hữu quyền truy cập thực tế vào các hệ thống quan trọng với ít sự giám sát bảo mật hơn.

Những cuộc tấn công này tạo ra những rủi ro quyền riêng tư nào cho những nhân viên không bị nhắm mục tiêu trực tiếp?

Các tài khoản quản lý bị xâm phạm có thể làm lộ dữ liệu nhân viên nhạy cảm như đánh giá hiệu suất, thông tin lương và chi tiết sức khỏe, gây ra một sự cố quyền riêng tư dữ liệu ảnh hưởng đến nhiều nhân viên chưa bao giờ tự nhấp vào liên kết độc hại.

Những vai trò quản lý cụ thể nào có nguy cơ cao nhất trong chiến dịch này?

Các quản lý cấp trung trong lĩnh vực IT, vận hành hoặc tài chính là những mục tiêu hàng đầu vì họ nắm giữ chìa khóa thực tế đến các hệ thống quan trọng mà không có cùng mức độ nguồn lực bảo mật chuyên dụng dành cho các giám đốc điều hành cấp C.

Chiến dịch ransomware nhắm vào quản lý trong hai phần ba số vụ

Quản lý giờ đây là điểm xâm nhập ưa thích của ransomware

Một phân tích mới về một chiến dịch ransomware duy nhất cho thấy gần hai phần ba số người bị nhắm mục tiêu giữ vị trí quản lý hoặc cao hơn. Thống kê này, được ZDNET đưa tin, đánh dấu một sự thay đổi đáng chú ý trong cách những kẻ vận hành ransomware chọn nạn nhân. Thay vì giăng lưới rộng khắp toàn bộ lực lượng lao động, kẻ tấn công dường như cố tình chọn ra những cá nhân có quyền truy cập cao, quyền ra quyết định, hoặc cả hai.

Đây không chỉ là một điều tò mò đối với các đội ngũ bảo mật. Nó có những tác động thực sự đến quyền riêng tư của nhân viên, tính nhạy cảm của dữ liệu mà những quản lý này kiểm soát, và cách các tổ chức suy nghĩ về việc ai thực sự cần được đào tạo và bảo vệ khẩn cấp nhất.

Tại sao quản lý trở thành mục tiêu hàng đầu

Logic đằng sau sự thay đổi này trở nên rõ ràng một khi bạn xem xét những gì một quản lý thường có quyền truy cập. Các quản lý thường ngồi ở điểm giao thoa của dữ liệu vận hành, hồ sơ nhân sự, phê duyệt tài chính và các quyền quản trị trên nhiều hệ thống. Việc xâm phạm một tài khoản có thể cho kẻ tấn công một chỗ đứng rộng hơn nhiều so với việc xâm phạm tài khoản của một nhân viên tuyến đầu.

Điều này phản ánh một mô hình mà các nhà nghiên cứu bảo mật đã cảnh báo ở nơi khác. Như đã đề cập trong một báo cáo liên quan về cách các băng đảng ransomware hiện nhắm vào quản lý IT thay vì CEO, kẻ tấn công đã rời xa giả định rằng khoản tiền chuộc lớn nhất đến từ việc nhắm vào vị trí cao nhất trong sơ đồ tổ chức. Thay vào đó, các quản lý cấp trung, đặc biệt là những người trong lĩnh vực IT, vận hành hoặc tài chính, thường nắm giữ chìa khóa thực tế đến các hệ thống quan trọng mà không có cùng mức độ giám sát hoặc nguồn lực bảo mật thường dành riêng cho các giám đốc điều hành cấp C.

Các quản lý cũng hấp dẫn vì họ nằm ở một vị trí giao tiếp thuận lợi. Họ nhận được một lượng lớn email từ cả cấp dưới và lãnh đạo cấp cao, khiến cho các nỗ lực lừa đảo giả mạo một trong hai hướng trở nên hợp lý. Một tin nhắn trông giống như từ một báo cáo trực tiếp yêu cầu phê duyệt, hoặc từ một giám đốc điều hành yêu cầu một hành động khẩn cấp, chính xác là kiểu kỹ thuật xã hội khai thác thói quen hàng ngày của một quản lý.

Những tác động đến quyền riêng tư mà không ai bàn tới

Điều thường bị bỏ qua trong các bài viết về ransomware là sự phơi nhiễm quyền riêng tư cá nhân gắn liền với những cuộc tấn công này. Các quản lý thường xuyên có quyền truy cập vào thông tin nhân viên nhạy cảm: đánh giá hiệu suất, dữ liệu lương, hồ sơ kỷ luật, và đôi khi là các chi tiết về sức khỏe hoặc gia đình được chia sẻ trong các cuộc trò chuyện một kèm một. Khi tài khoản hoặc thiết bị của một quản lý bị xâm phạm, dữ liệu cá nhân thuộc về các thành viên trong nhóm của họ cũng bị phơi bày, không chỉ là tài sản trí tuệ hay hồ sơ tài chính của công ty.

Điều này tạo ra một hiệu ứng lan tỏa. Một cuộc tấn công bắt đầu như một sự cố ransomware nhắm vào một quản lý có thể âm thầm trở thành một sự cố về quyền riêng tư dữ liệu ảnh hưởng đến hàng chục nhân viên chưa bao giờ tự mình nhấp vào một liên kết độc hại. Các tổ chức đang cân nhắc các biện pháp phòng thủ ransomware cần tính đến lớp phơi nhiễm thứ cấp này, đặc biệt là theo các quy định bảo vệ dữ liệu buộc các công ty phải chịu trách nhiệm bảo vệ thông tin nhân viên bất kể vi phạm xảy ra như thế nào.

Sáu bước thực tế để giảm thiểu rủi ro

Dựa trên các mô hình đằng sau chiến dịch này, một vài biện pháp cụ thể nổi lên như thực sự hữu ích, thay vì lời khuyên chung chung:

Áp dụng nguyên tắc đặc quyền tối thiểu cho các tài khoản quản lý. Các quản lý chỉ nên có quyền truy cập vào những hệ thống và dữ liệu họ thực sự cần cho vai trò của mình, không phải quyền truy cập bao trùm được thừa hưởng từ chức danh.
Sử dụng thông tin xác thực riêng biệt cho các tác vụ quản trị. Nếu một quản lý thỉnh thoảng cần quyền truy cập nâng cao, quyền truy cập đó nên yêu cầu một lần đăng nhập riêng biệt, không phải tài khoản email hàng ngày của họ.
Ưu tiên đào tạo mô phỏng lừa đảo cho riêng cấp quản lý. Đào tạo chung cho toàn bộ nhân viên là hữu ích, nhưng các quản lý phải đối mặt với những mồi nhử được nhắm mục tiêu và thuyết phục hơn, và việc đào tạo của họ nên phản ánh điều đó.
Thực thi xác thực đa yếu tố ở mọi nơi, không có ngoại lệ vì sự tiện lợi. Kẻ tấn công nhắm vào quản lý đang trông chờ vào các phê duyệt nhanh hơn và ít trở ngại hơn; MFA thu hẹp khoảng cách đó.
Phân đoạn mạng để một tài khoản bị xâm phạm không thể vươn tới mọi thứ. Hạn chế di chuyển ngang giúp giảm thiểu thiệt hại mà một thông tin xác thực bị đánh cắp có thể gây ra.
Duy trì các bản sao lưu ngoại tuyến, đã được kiểm tra của dữ liệu quan trọng. Ngay cả khi một cuộc tấn công thành công, một kế hoạch phục hồi vững chắc sẽ giảm đòn bẩy mà những kẻ vận hành ransomware có được trong quá trình thương lượng.

Điều này có ý nghĩa gì với bạn

Nếu bạn là một quản lý, báo cáo này là một tín hiệu trực tiếp rằng hộp thư đến và các tài khoản của bạn mang nhiều rủi ro hơn bạn có thể đã giả định. Bạn nên hỏi đội ngũ IT hoặc bảo mật của mình liệu các đặc quyền truy cập của bạn có khớp với những gì bạn thực sự sử dụng hàng ngày hay không, và liệu bạn có đang nhận được đào tạo phù hợp với các kiểu tấn công lừa đảo có chủ đích mà các quản lý đặc biệt phải đối mặt hay không.

Nếu bạn giám sát chính sách bảo mật, đây là lý do để xem xét lại ai được đào tạo chuyên sâu nhất và cách các đặc quyền tài khoản được phân phối trên khắp lớp quản lý của tổ chức bạn. Dữ liệu cho thấy ransomware nhắm mục tiêu vào các quản lý không phải ngẫu nhiên, mà vì những gì vai trò của họ cho phép họ truy cập.

Điểm mấu chốt

Thực tế rằng ransomware hiện nhắm vào các quản lý một cách không cân xứng như vậy nên định hình lại cách các tổ chức ưu tiên đào tạo bảo mật và kiểm soát truy cập. Không phải là cho rằng mọi quản lý đều là một mắt xích yếu, mà là nhận ra rằng vị trí của họ trong sơ đồ tổ chức khiến họ trở thành mục tiêu có giá trị cao bất kể ý định hay nhận thức. Rà soát các đặc quyền truy cập, thắt chặt các yêu cầu xác thực, và cung cấp đào tạo phù hợp với vai trò là những bước thực tế mà bất kỳ tổ chức nào cũng có thể thực hiện ngay bây giờ, mà không cần chờ đợi một sự cố buộc phải hành động.