Trong nhiều năm, ransomware gắn liền với một hình ảnh rất cụ thể: các tệp bị mã hóa và một ghi chú đòi tiền chuộc hiện trên màn hình. Một cảnh báo từ Kaspersky, được trang Acento của Cộng hòa Dominica đưa tin, cho thấy hình ảnh đó chưa đủ. Nếu bạn tự hỏi ransomware không mã hóa là gì, câu trả lời ngắn gọn là một hình thức tống tiền kỹ thuật số, trong đó tội phạm có thể khóa máy tính, gián đoạn hoạt động và đe dọa công bố thông tin bị đánh cắp, mà không cần phụ thuộc vào việc các tệp bị mã hóa.
Tài liệu hiện có về cảnh báo này khá ngắn gọn, vì vậy nên tách biệt những gì đã được biết và những gì là khuyến nghị chung. Điều rõ ràng là sự thay đổi trọng tâm: việc tống tiền không còn chỉ dựa vào việc mất quyền truy cập, mà còn dựa vào mối đe dọa phơi bày dữ liệu.
Ransomware không mã hóa: đó là gì và khác gì so với loại cổ điển
Ransomware cổ điển hoạt động như một ổ khóa: mã hóa các tệp và yêu cầu thanh toán để đổi lấy chìa khóa. Nạn nhân, nếu có bản sao lưu tốt, có thể khôi phục hệ thống và giảm áp lực từ kẻ tấn công.
Hình thức được Kaspersky mô tả đã dịch chuyển trọng tâm của việc tống tiền. Theo cảnh báo, tội phạm có thể:
- Khóa máy tính.
- Gián đoạn hoạt động của doanh nghiệp.
- Đe dọa công bố thông tin bị đánh cắp.
Nói cách khác, áp lực đến từ hai phía cùng lúc: sự tê liệt của doanh nghiệp và nguy cơ dữ liệu nhạy cảm bị lộ ra trước mắt bên thứ ba. Việc không có mã hóa tệp không có nghĩa là thiệt hại nhỏ hơn; nó có nghĩa là kẻ tấn công không còn cần yếu tố đó để có đòn bẩy.
Tại sao sao lưu không đủ chống lại tống tiền bằng rò rỉ dữ liệu
Sao lưu vẫn là điều thiết yếu, nhưng chúng chỉ giải quyết một vấn đề: khôi phục thông tin và tiếp tục làm việc. Chúng không thể hoàn tác một vụ đánh cắp dữ liệu.
Nếu kẻ tấn công đã lấy đi hóa đơn, danh sách khách hàng, hợp đồng hoặc dữ liệu cá nhân, việc khôi phục bản sao lưu không đưa chúng trở lại tầm kiểm soát của bạn. Mối đe dọa công bố chúng vẫn còn đó ngay cả khi hệ thống của bạn hoạt động trở lại. Vì vậy, khôi phục không còn đồng nghĩa với việc kết thúc khủng hoảng.
Điều này thay đổi câu hỏi cốt lõi. Trước đây người ta hỏi "chúng ta có thể khôi phục các tệp của mình không?". Bây giờ cũng cần hỏi "chúng có thể đánh cắp gì từ chúng ta và điều gì sẽ xảy ra nếu nó bị công bố?".
Kẻ tấn công xâm nhập như thế nào và chúng lợi dụng những công cụ hợp pháp nào
Cảnh báo được Acento tóm tắt không nêu chi tiết các con đường xâm nhập, vì vậy chúng tôi sẽ không gán cho Kaspersky những kỹ thuật cụ thể. Điều chúng tôi có thể giải thích là một mô hình liên quan mà chúng tôi đã đề cập: một số chiến dịch không mã hóa dựa vào các công cụ hợp pháp đã tồn tại trong hệ thống của nạn nhân, thay vì phụ thuộc vào các chương trình độc hại rõ ràng. Chúng tôi trình bày chi tiết trong phân tích về ransomware không mã hóa living off the land, nơi giải thích cách kẻ tấn công sử dụng những gì bạn đã có sẵn trong tầm tay.
Logic rất đơn giản: một công cụ quản trị hoặc một chương trình sử dụng hàng ngày gây ít nghi ngờ hơn một tệp không xác định. Vì vậy, chỉ giám sát sự hiện diện của "virus" không còn đủ; việc quan sát hành vi bất thường của phần mềm hợp pháp cũng quan trọng.
Điều này có ý nghĩa gì với bạn (What This Means For You)
Nếu bạn quản lý một doanh nghiệp nhỏ, bài học chính là kế hoạch ứng phó của bạn không thể kết thúc ở bản sao lưu. Một sự gián đoạn hoạt động, kết hợp với mối đe dọa rò rỉ, ảnh hưởng đến tính liên tục của doanh nghiệp, sự tin tưởng của khách hàng và có thể cả các nghĩa vụ về bảo vệ dữ liệu cá nhân.
Nếu bạn là người dùng cá nhân, rủi ro gián tiếp hơn nhưng vẫn thực tế: dữ liệu của bạn thường nằm trong tay các công ty và dịch vụ có thể là mục tiêu của loại tống tiền này. Càng chia sẻ và lưu giữ ít thông tin nhạy cảm không cần thiết, thì càng ít có thể bị phơi bày.
Nguyên tắc chung cho cả hai trường hợp là như nhau: hạn chế những gì có thể bị đánh cắp.
Các biện pháp thực tế để giảm thiểu rủi ro phơi bày
Không có giải pháp duy nhất, nhưng những biện pháp chung sau đây giúp giảm tác động của bất kỳ vụ tống tiền nào dựa trên dữ liệu:
- Kiểm kê dữ liệu nhạy cảm của bạn. Biết bạn có thông tin gì, nó được lưu ở đâu và ai có thể truy cập.
- Xóa những gì bạn không cần. Dữ liệu cũ hoặc không cần thiết là dữ liệu có thể bị rò rỉ mà không mang lại giá trị.
- Áp dụng nguyên tắc đặc quyền tối thiểu. Mỗi người chỉ nên truy cập những gì cần thiết cho công việc của họ.
- Bật xác thực đa yếu tố trên email, quản trị từ xa và các dịch vụ đám mây.
- Duy trì bản sao lưu tách biệt và đã được kiểm tra, biết rằng chúng bảo vệ tính khả dụng, không phải tính bảo mật.
- Mã hóa thông tin nhạy cảm khi lưu trữ, để một vụ đánh cắp trở nên ít hữu ích hơn cho kẻ tấn công.
- Giữ hệ thống và ứng dụng được cập nhật và xem xét những công cụ quản trị nào đang được bật và ai sử dụng chúng.
- Chuẩn bị một kế hoạch ứng phó bao gồm những việc cần làm nếu dữ liệu bị đánh cắp, không chỉ khi thiết bị bị khóa.
Kết luận: vượt ra ngoài câu hỏi ransomware không mã hóa là gì
Hiểu ransomware không mã hóa là gì là bước đầu tiên; bước tiếp theo là hành động dựa trên những gì nó ngụ ý. Cảnh báo của Kaspersky cho thấy tội phạm có thể làm tê liệt một doanh nghiệp và gây áp lực bằng việc công bố dữ liệu bị đánh cắp, dù có hay không có tệp bị mã hóa. Sao lưu vẫn cần thiết, nhưng không còn là tuyến phòng thủ duy nhất.
Đây là thời điểm tốt để xem xét cách tổ chức của bạn lưu trữ và bảo vệ thông tin nhạy cảm: bạn lưu giữ gì, ở đâu, trong bao lâu và ai có thể xem. Nếu bạn muốn tìm hiểu sâu hơn về cách kẻ tấn công lạm dụng các công cụ hợp pháp, hãy đọc giải thích của chúng tôi về ransomware không mã hóa sử dụng chính công cụ của bạn và bắt đầu ngay hôm nay để giảm thiểu những gì chúng có thể đánh cắp từ bạn.
