Tống tiền kép bằng ransomware là gì?

Tống tiền kép là một mô hình trong đó kẻ tấn công sao chép các tệp nhạy cảm ra khỏi mạng của nạn nhân trước khi mã hóa bất cứ thứ gì, sau đó đe dọa bán hoặc rò rỉ dữ liệu bị đánh cắp. Một mối đe dọa là hệ thống bị khóa, và mối đe dọa còn lại là việc dữ liệu bị phơi bày.

Tại sao các nhóm ransomware vượt ra ngoài việc chỉ mã hóa tệp?

Nạn nhân trở nên giỏi hơn trong việc phục hồi sau tấn công mạng, với nhiều tổ chức duy trì bản sao lưu và khôi phục các tệp bị mã hóa mà không phải trả tiền. Chỉ mã hóa không còn là nguồn thu nhập đáng tin cậy, vì vậy tội phạm đã thay đổi cách tiếp cận.

Có bản sao lưu có bảo vệ tổ chức khỏi tống tiền kép không?

Không. Một bản sao lưu tốt giải quyết vấn đề hệ thống bị khóa nhưng không làm gì được với việc phơi bày dữ liệu bị đánh cắp, vì sao lưu không thể hoàn tác việc đánh cắp dữ liệu.

Nếu một công ty trả tiền chuộc, dữ liệu bị đánh cắp có được xóa không?

Tổ chức hoàn toàn dựa vào lời hứa của tội phạm rằng chúng sẽ xóa dữ liệu, và đây là những người đã vi phạm pháp luật để có được nó. Tổ chức không thể tự mình xác minh điều gì xảy ra với các bản sao.

Ai bị ảnh hưởng nhiều nhất khi các nhóm ransomware thêm các mối đe dọa trong thế giới thực?

Hầu hết mọi người không bao giờ đàm phán với một nhóm ransomware; họ thường là những người có dữ liệu bị giữ làm con tin. Những người bị ảnh hưởng nhiều nhất thường là khách hàng, bệnh nhân và nhân viên có thông tin nằm trong các tệp bị đánh cắp.

Giải thích về tống tiền kép bằng ransomware khi các mối đe dọa trong thế giới thực gia tăng

Giải thích đơn giản về tống tiền kép bằng ransomware: kẻ tấn công không chỉ khóa tệp của bạn mà còn đánh cắp dữ liệu của bạn trước và sử dụng nó làm đòn bẩy. Theo một báo cáo gần đây của HIPAA Journal, các nhóm ransomware hiện đang tiến xa hơn một bước và sử dụng các mối đe dọa trong thế giới thực để gây áp lực buộc nạn nhân đáp ứng yêu cầu của chúng. Đối với bất kỳ ai có thông tin cá nhân nằm trong cơ sở dữ liệu của công ty, sự thay đổi đó rất quan trọng.

Giải thích về tống tiền kép bằng ransomware: Cách các chiến thuật leo thang

Câu chuyện về ransomware là câu chuyện về sự thích nghi không ngừng. Ban đầu, việc mã hóa tệp của nạn nhân là đủ để buộc phải trả tiền. Nếu một bệnh viện, trường học hoặc doanh nghiệp không thể mở dữ liệu của chính mình, họ có lý do mạnh mẽ để trả tiền.

Sau đó, nạn nhân trở nên giỏi hơn trong việc phục hồi sau tấn công mạng. Nhiều tổ chức bắt đầu duy trì bản sao lưu và nhận ra rằng họ có thể khôi phục các tệp bị mã hóa mà không phải nhượng bộ kẻ tấn công. Chỉ mã hóa không còn là nguồn thu nhập đáng tin cậy, vì vậy bọn tội phạm đã thay đổi cách tiếp cận.

Bước tiếp theo là đánh cắp dữ liệu. Các nhóm ransomware bắt đầu sao chép các tệp nhạy cảm ra khỏi mạng của nạn nhân trước khi mã hóa bất cứ thứ gì. Sau đó, chúng đe dọa bán hoặc rò rỉ thông tin bị đánh cắp đó. Đây là mô hình tống tiền kép: một mối đe dọa là hệ thống bị khóa, mối đe dọa còn lại là việc dữ liệu bị phơi bày. Một bản sao lưu tốt giải quyết vấn đề thứ nhất nhưng không làm gì được với vấn đề thứ hai.

Báo cáo mới nhất mô tả một sự leo thang hơn nữa, với các nhóm chuyển sang các mối đe dọa trong thế giới thực như một cách để tăng thêm áp lực. Đoạn trích của bài viết mà chúng tôi có không mô tả chi tiết mọi chiến thuật, vì vậy nên đọc báo cáo gốc để biết chi tiết cụ thể. Tuy nhiên, hướng đi tổng thể rất rõ ràng: mỗi khi những người phòng thủ đóng một con đường, kẻ tấn công lại tìm kiếm một nguồn đòn bẩy mới.

Tại sao trả tiền chuộc không bảo vệ dữ liệu của bạn

Thật dễ nghĩ rằng nếu một công ty trả tiền, vấn đề sẽ biến mất. Trên thực tế, giả định đó không vững chắc vì một lý do đơn giản: một khi tội phạm đã sao chép dữ liệu của bạn, bạn hoàn toàn dựa vào lời hứa của chúng rằng chúng sẽ xóa nó. Đây là những người đã vi phạm pháp luật để có được nó.

Ngoài ra còn có một vấn đề về cấu trúc. Đánh cắp dữ liệu có nghĩa là thông tin đã rời khỏi tòa nhà. Ngay cả khi hệ thống được khôi phục và tiền được trả, tổ chức không thể tự mình xác minh điều gì xảy ra với các bản sao. Đối với những cá nhân có tên, địa chỉ, chi tiết sức khỏe hoặc hồ sơ tài chính trong dữ liệu đó, rủi ro không phụ thuộc vào việc công ty có đàm phán hay không.

Đây là lý do tại sao chiến thuật này lại hiệu quả đến vậy. Sao lưu đã giải quyết vấn đề mã hóa, nhưng chúng không thể hoàn tác việc đánh cắp dữ liệu. Tống tiền dựa trên việc phơi bày vẫn tiếp tục hiệu quả vì tác hại đối với con người là có thật dù tiền chuộc có được trả hay không.

Mối đe dọa trong thế giới thực có ý nghĩa gì với người dân thường

Hầu hết mọi người không bao giờ đàm phán với một nhóm ransomware. Họ thường là những người có dữ liệu bị giữ làm con tin. Khi tội phạm thêm áp lực ngoài lĩnh vực kỹ thuật số, những người bị ảnh hưởng nhiều nhất thường là khách hàng, bệnh nhân và nhân viên có thông tin nằm trong các tệp bị đánh cắp.

Điều đó có một vài hệ quả thực tế:

An toàn dữ liệu của bạn phụ thuộc vào bảo mật của người khác. Bạn không thể vá máy chủ của một công ty, nhưng bạn có thể quyết định lượng thông tin của mình mà họ nắm giữ.
Tuyên bố không phải lúc nào cũng đồng nghĩa với vi phạm đã được xác nhận. Các băng nhóm thường công bố các cuộc tấn công của chúng để gây áp lực. Ví dụ, một nhóm đã công khai tuyên bố về một vụ vi phạm tại Marlborough Partners, nhưng không có bằng chứng được xác nhận đằng sau tuyên bố đó vào thời điểm chúng tôi đưa tin về tuyên bố ransomware Anubis. Tương tự, Kingston Technology cho biết họ đang điều tra sau khi nhóm Everest đưa ra các tuyên bố, như chúng tôi đã đưa tin trong báo cáo về cuộc điều tra của Kingston Technology.
Tống tiền không giới hạn ở một lĩnh vực. Tổng hợp của chúng tôi về câu chuyện tống tiền Stadler Rail và gián điệp Zimbra của Nga là một lời nhắc nhở khác rằng các chiến dịch gây áp lực này xuất hiện trên khắp các ngành.

Điểm chung là bạn thường biết về một vấn đề sau khi sự việc đã xảy ra, từ một lá thư thông báo hoặc một câu chuyện tin tức. Đến lúc đó, dữ liệu đã ra khỏi tầm tay bạn.

Cách giảm thiểu rủi ro phơi bày trước khi bị vi phạm

Bạn không thể ngăn một băng nhóm ransomware nhắm vào một công ty mà bạn có quan hệ kinh doanh, nhưng bạn có thể hạn chế thiệt hại nếu điều đó xảy ra. Những bước này tập trung vào những gì nằm trong tầm kiểm soát của bạn.

Chia sẻ ít hơn. Chỉ cung cấp cho các dịch vụ những thông tin họ thực sự cần. Nếu một biểu mẫu yêu cầu ngày sinh, số điện thoại hoặc giấy tờ tùy thân không thiết yếu, hãy cân nhắc bỏ qua hoặc sử dụng mức tối thiểu được yêu cầu. Dữ liệu chưa bao giờ được thu thập thì không thể bị đánh cắp.
Xóa những gì bạn không còn sử dụng. Đóng các tài khoản cũ và yêu cầu xóa khi có thể. Các tài khoản không hoạt động vẫn là dữ liệu nằm trên máy chủ của ai đó.
Duy trì bản sao lưu ngoại tuyến cho các tệp của riêng bạn. Sao lưu sẽ không ngăn được việc đánh cắp dữ liệu, nhưng chúng bảo vệ bạn khỏi vấn đề ransomware ban đầu trên thiết bị của chính bạn. Giữ ít nhất một bản sao không kết nối với mạng của bạn.
Sử dụng mật khẩu duy nhất và xác thực đa yếu tố. Nếu một vụ vi phạm làm lộ thông tin đăng nhập, mật khẩu duy nhất ngăn một vụ rò rỉ mở khóa các tài khoản khác của bạn.
Theo dõi các thông báo vi phạm. Đọc kỹ thư và email từ các công ty, và cẩn thận với những tin nhắn bất ngờ đề cập đến thông tin cá nhân của bạn, vì dữ liệu bị đánh cắp có thể cung cấp nguồn lực cho các trò lừa đảo thuyết phục.
Hoài nghi về các mối đe dọa. Nếu bạn nhận được tin nhắn tuyên bố dữ liệu của bạn đã bị đánh cắp và yêu cầu thanh toán, hãy xác minh qua các kênh chính thức trước khi phản hồi. Không nhấp vào liên kết hoặc gọi số trong chính tin nhắn đó.

Điều này có ý nghĩa gì với bạn

Bài học chính là trả tiền chuộc không phải là một chiến lược bảo mật, và việc hy vọng một công ty có bản sao lưu tốt cũng không phải. Tống tiền kép đã chuyển rủi ro từ hệ thống bị khóa sang dữ liệu bị phơi bày, và việc chuyển sang các mối đe dọa trong thế giới thực cho thấy tội phạm sẽ tiếp tục tìm kiếm những cách mới để gây áp lực. Phòng thủ tốt nhất của bạn là giảm lượng thông tin nhạy cảm về bạn tồn tại trong hệ thống của người khác, và sẵn sàng hành động nhanh chóng nếu bạn được thông báo về một vụ vi phạm.

Điểm chính

Hiểu về tống tiền kép bằng ransomware được giải thích bằng ngôn ngữ đơn giản giúp bạn thấy tại sao các cuộc tấn công này tiếp tục thành công: mối đe dọa không còn chỉ là về thời gian ngừng hoạt động, mà là về việc phơi bày. Hạn chế dữ liệu cá nhân bạn trao đi, duy trì bản sao lưu ngoại tuyến cho những gì quan trọng với bạn, và chú ý đến các thông báo vi phạm. Để xem các chiến thuật này diễn ra như thế nào trong thực tế, hãy theo dõi đưa tin liên tục của chúng tôi về các tuyên bố ransomware gần đây, bắt đầu với các câu chuyện Anubis và Everest được liên kết ở trên.