Khảo sát về Ransomware: Trả tiền chuộc tiếp tay cho hành vi tống tiền lặp lại

Một khảo sát ngành mới đang bổ sung dữ liệu thực tế cho lời cảnh báo mà các chuyên gia bảo mật đã lặp đi lặp lại trong nhiều năm: trả tiền cho một băng ransomware hiếm khi kết thúc vấn đề, và thường khiến nó trở nên tồi tệ hơn. Theo báo cáo về các phát hiện, các tổ chức trả tiền chuộc đối mặt với nguy cơ bị nhắm mục tiêu trở lại cao hơn đáng kể, đôi khi bởi chính những kẻ tấn công cũ, trong một khoảng thời gian tương đối ngắn sau đó.

Khảo sát này bổ sung vào khối lượng bằng chứng ngày càng tăng rằng thanh toán ransomware không vận hành như một giao dịch sòng phẳng. Thay vào đó, nó có thể báo hiệu cho các nhóm tội phạm rằng mục tiêu vừa sẵn lòng vừa có khả năng chi trả, khiến tổ chức đó trở thành mục tiêu hấp dẫn hơn trong tương lai thay vì là một hồ sơ đã khép lại.

Phát hiện của Khảo sát

Nghiên cứu được nêu bật trong báo cáo chỉ ra một mô hình đáng lo ngại: một tỷ lệ đáng kể các tổ chức đã trả tiền chuộc sau đó bị tống tiền lần nữa, hoặc thông qua các mối đe dọa mới từ chính kẻ tấn công ban đầu hoặc thông qua một cuộc tấn công tiếp theo từ một nhóm khác. Vòng xoáy tống tiền lặp lại này làm suy yếu logic cơ bản thường thúc đẩy các quyết định trả tiền ngay từ đầu, đó là ý tưởng rằng trả tiền sẽ nhanh chóng giải quyết sự cố và hạn chế thiệt hại thêm.

Thay vào đó, dữ liệu cho thấy điều ngược lại có thể xảy ra. Những kẻ tấn công có thể giữ lại bản sao dữ liệu đã đánh cắp ngay cả sau khi tiền chuộc được trả, và một số nạn nhân đã báo cáo bị liên lạc lại với những yêu cầu mới liên quan đến chính các tệp đã bị đánh cắp đó. Những người khác đã bị tấn công bởi các cuộc xâm nhập hoàn toàn mới, cho thấy việc trả tiền có thể đánh dấu một tổ chức là mục tiêu dễ dàng trong các mạng lưới tội phạm có chia sẻ thông tin tình báo về những nạn nhân nào đã từng trả tiền.

Tại sao Trả tiền không Đảm bảo Khôi phục

Các cơ quan chính phủ và liên minh quốc tế đã nhiều lần phản đối việc trả tiền chuộc, lập luận rằng thanh toán không đảm bảo khôi phục dữ liệu, không đảm bảo xóa thông tin bị đánh cắp, và trực tiếp tài trợ cho hệ sinh thái tội phạm đứng sau các cuộc tấn công trong tương lai. Dữ liệu khảo sát mới nhất củng cố lập trường đó bằng các số liệu cụ thể thay vì chỉ là hướng dẫn chính sách.

Điều này tạo ra một thế tiến thoái lưỡng nan cho các tổ chức đang đối mặt với sự cố ransomware đang diễn ra. Áp lực vận hành, đặc biệt trong các lĩnh vực như chăm sóc sức khỏe, hậu cần hoặc dịch vụ tài chính, có thể thúc đẩy ban lãnh đạo trả tiền chỉ để khôi phục hệ thống và hạn chế gián đoạn kinh doanh. Nhưng các phát hiện của khảo sát cho thấy sự nhẹ nhõm ngắn hạn có thể đi kèm với rủi ro dài hạn, vì việc trả tiền không loại bỏ dữ liệu bị đánh cắp khỏi lưu hành và có thể không ngăn chặn được cuộc tấn công thứ hai.

Những hàm ý rộng hơn về quyền riêng tư là rất đáng kể. Các sự cố ransomware ngày càng liên quan đến việc đánh cắp dữ liệu cùng với mã hóa, có nghĩa là các tổ chức nạn nhân, và qua đó là khách hàng hoặc bệnh nhân của họ, đối mặt với nguy cơ lộ lọt bất kể tiền chuộc có được trả hay không. Dữ liệu cá nhân bị thu thập trong một cuộc tấn công có thể bị bán, rò rỉ, hoặc bị giữ lại cho đợt tống tiền thứ hai ngay cả sau khi thanh toán, khiến các cá nhân bị ảnh hưởng gần như không biết điều gì đã xảy ra với thông tin của họ. Đây là một phần của xu hướng rộng lớn hơn về việc các tổ chức và chính phủ vật lộn với cách dữ liệu cá nhân được thu thập, lưu trữ và để lộ, một mối quan tâm vang vọng các cuộc tranh luận trong các lĩnh vực chính sách khác, chẳng hạn như sự giám sát xung quanh các yêu cầu chính sách thị thực Hoa Kỳ mới đối với hồ sơ mạng xã hội công khai, nơi thông tin cá nhân trở thành đối tượng của những hình thức truy cập và rủi ro mới.

Điều này Có Ý nghĩa Gì Đối với Bạn

Đối với người tiêu dùng cá nhân, tác động trực tiếp của quyết định trả tiền chuộc ransomware có vẻ xa vời, nhưng không phải vậy. Nhiều cuộc tấn công ransomware nhắm vào các tổ chức nắm giữ dữ liệu cá nhân: bệnh viện, trường học, nhà bán lẻ và nhà cung cấp dịch vụ. Dù tiền chuộc có được trả hay không, việc lộ lọt tên, địa chỉ, chi tiết tài chính hoặc hồ sơ sức khỏe thường đã bắt đầu diễn ra một khi kẻ tấn công đã lấy cắp dữ liệu. Trả tiền chuộc không nhất thiết bảo vệ thông tin đó khỏi việc tái xuất hiện sau này, dù là qua rò rỉ, bán lại hay nỗ lực tống tiền lần thứ hai nhắm vào chính tổ chức đó.

Đối với doanh nghiệp và những người ra quyết định CNTT, các phát hiện của khảo sát củng cố rằng thanh toán tiền chuộc không nên được coi là một giải pháp đảm bảo. Lập kế hoạch khôi phục, ứng phó sự cố và liên lạc với các cơ quan quản lý cũng như khách hàng bị ảnh hưởng quan trọng không kém, nếu không muốn nói là hơn, so với chính quyết định trả tiền.

Xây dựng Chiến lược Ứng phó Mạnh mẽ hơn

Thông điệp nhất quán từ các nhà nghiên cứu bảo mật, cơ quan chính phủ và giờ đây là dữ liệu khảo sát này là phòng ngừa và chuẩn bị vượt trội hơn so với thanh toán mang tính phản ứng. Điều đó có nghĩa là duy trì các bản sao lưu ngoại tuyến, kiểm tra các kế hoạch ứng phó sự cố trước khi một cuộc tấn công xảy ra, và có một quy trình rõ ràng để liên hệ với cơ quan thực thi pháp luật sớm thay vì coi trả tiền là động thái đầu tiên mặc định.

Đối với độc giả thông thường, bài học thực tế là hãy cảnh giác với các thông báo vi phạm từ bất kỳ tổ chức nào bạn tương tác, vì hậu quả của ransomware có thể ảnh hưởng đến bạn ngay cả khi bạn không bao giờ nhìn thấy các tiêu đề. Cân nhắc sử dụng mật khẩu mạnh, duy nhất cho các tài khoản, bật xác thực đa yếu tố nếu có, và theo dõi các tài khoản tài chính và liên quan đến sức khỏe để phát hiện hoạt động bất thường sau bất kỳ sự cố nào được báo cáo.

Ransomware sẽ không biến mất, và cuộc tranh luận về việc có nên trả tiền hay không sẽ tiếp tục. Nhưng bằng chứng ngày càng tăng cho thấy việc trả tiền thường mời gọi tống tiền lặp lại nên thúc đẩy cả tổ chức và cá nhân hướng tới cách tiếp cận hoài nghi hơn, đặt sự chuẩn bị lên hàng đầu thay vì coi thanh toán tiền chuộc là một giải pháp nhanh chóng.