Mục tiêu tấn công bằng ransomware tuân theo khả năng thanh toán, không phải mức độ nổi tiếng
Trong nhiều năm, hình dung phổ biến về nạn nhân ransomware thường là những cái tên quen thuộc: một hệ thống bệnh viện, một hãng hàng không lớn, một nhà sản xuất toàn cầu. Nhưng một phân tích gần đây đưa ra một điểm đơn giản và hữu ích hơn: mục tiêu tấn công bằng ransomware tuân theo khả năng thanh toán, không phải mức độ nổi tiếng. Những kẻ tấn công, và cụ thể là các chi nhánh (affiliate) thực hiện phần lớn các vụ xâm nhập bằng ransomware, không chạy theo tiêu đề báo chí. Họ chạy theo khoản tiền thanh toán, và điều đó thay đổi ai sẽ nằm trong tầm ngắm của họ.
Logic kinh tế đằng sau điều này rất rõ ràng. Hầu hết ransomware hiện đại vận hành theo mô hình ransomware-as-a-service, trong đó một nhóm nòng cốt xây dựng mã độc và hạ tầng, còn các chi nhánh độc lập xử lý các vụ xâm nhập thực tế. Những chi nhánh này chỉ kiếm được hoa hồng khi nạn nhân chịu trả tiền. Chỉ một sự thật đó đã tổ chức lại toàn bộ quá trình chọn mục tiêu. Thay vì hỏi "ai sẽ gây được tiếng vang lớn nhất", các chi nhánh hỏi "ai có khả năng trả tiền cao nhất, và trả nhanh đến mức nào."
Tại sao xác suất thanh toán quan trọng hơn mức độ nhận diện thương hiệu
Khi thanh toán là nguồn thu nhập duy nhất, mức độ nổi tiếng trở nên không liên quan trừ khi nó tương quan với thiện chí hoặc khả năng chi trả. Một thương hiệu nổi tiếng với bản sao lưu mạnh mẽ, kế hoạch ứng phó sự cố được gia cố và cam kết công khai không bao giờ đàm phán với kẻ tấn công thực sự là một mục tiêu tồi, ngay cả khi xâm nhập được nó sẽ tạo ra nhiều sự chú ý truyền thông hơn. Trong khi đó, một công ty quy mô vừa với phòng thủ yếu hơn, có bảo hiểm mạng và mô hình kinh doanh không thể chịu đựng được thời gian ngừng hoạt động lại trở nên hấp dẫn hơn nhiều.
Các dấu hiệu làm tăng xác suất thanh toán được nhận định của nạn nhân bao gồm bằng chứng về nguồn tiền sẵn có, quy trình nội bộ rõ ràng để phê duyệt các khoản thanh toán lớn một cách nhanh chóng, sự phụ thuộc vào hoạt động liên tục, và lịch sử (công khai hoặc suy đoán) về các khoản tiền chuộc đã trả trong quá khứ. Các tổ chức đã công khai từ chối trả tiền gửi đi tín hiệu ngược lại. Ví dụ, Stadler Rail đã từ chối yêu cầu tiền chuộc 12,3 triệu đô la từ băng nhóm tống tiền Everest sau khi kẻ tấn công đánh cắp dữ liệu kỹ thuật thông qua một nhà cung cấp, một quyết định làm giảm động lực để chính nhóm đó ưu tiên các mục tiêu tương tự trong tương lai. Chính quyền bang Berlin cũng có lập trường tương tự, khẳng định sẽ không trả tiền cho tin tặc bất chấp một nỗ lực tống tiền đang diễn ra sau một vụ xâm nhập mạng. Mỗi lần từ chối công khai đều bào mòn phép tính xác suất thanh toán vốn định hình quá trình ra quyết định của các chi nhánh.
Góc nhìn về quyền riêng tư: Đánh cắp dữ liệu không chờ đợi một quyết định
Logic chọn mục tiêu này có một hệ quả trực tiếp về quyền riêng tư thường bị bỏ qua trong các cuộc tranh luận về thanh toán tiền chuộc. Rất lâu trước khi nạn nhân quyết định có trả tiền hay không, kẻ tấn công thường đã trích xuất dữ liệu rồi. Các hoạt động ransomware hiện đại ngày càng dựa vào tống tiền kép, mã hóa hệ thống đồng thời đánh cắp các tập tin nhạy cảm để dùng làm đòn bẩy bổ sung. Điều đó có nghĩa là thông tin cá nhân, hồ sơ tài chính và liên lạc nội bộ có thể bị phơi bày hoặc bán đi bất kể kết quả tiền chuộc ra sao.
Cuộc tấn công của nhóm ShinyHunters vào công ty dịch vụ tài chính Colombia Addi.com minh họa rõ ràng rủi ro này. Nhóm này nhận trách nhiệm về việc đánh cắp 16 triệu hồ sơ tài chính, một quy mô phơi bày không liên quan đến việc Addi.com có phải là mục tiêu nổi tiếng hay có ý nghĩa chính trị hay không. Nó phản ánh chính logic cơ bản đó: một công ty dịch vụ tài chính nắm giữ khối lượng lớn dữ liệu nhạy cảm đại diện cho một cơ hội tống tiền có giá trị cao, độc lập với mức độ nhận diện thương hiệu. Đối với người dùng hàng ngày, điều này có nghĩa là dữ liệu của bạn có thể gặp rủi ro chỉ đơn giản vì tổ chức nắm giữ nó trông giống như một canh bạc tốt đối với một chi nhánh, chứ không phải vì đó là mục tiêu mà bất kỳ ai cũng sẽ ngờ tới.
Điều này có ý nghĩa gì đối với bạn
Nếu việc chọn mục tiêu được thúc đẩy bởi xác suất thanh toán thay vì mức độ nổi tiếng, thì bài học thực tế là không tổ chức nào, bất kể quy mô hay mức độ hiển thị, có thể cho rằng mình "quá nhỏ để quan trọng" đối với các nhà vận hành ransomware. Các công ty nhỏ hơn, nhà cung cấp dịch vụ y tế, nền tảng tài chính và cơ quan chính quyền địa phương thường hấp dẫn chính vì họ có thể có phòng thủ kém trưởng thành hơn và áp lực hoạt động cao hơn để khôi phục quyền truy cập nhanh chóng.
Đối với cá nhân, điều này củng cố một thực tế quen thuộc nhưng quan trọng: sự an toàn dữ liệu cá nhân của bạn phụ thuộc rất nhiều vào tư thế bảo mật của mọi tổ chức nắm giữ nó, không chỉ những tổ chức nổi tiếng. Các tổ chức tài chính, nhà cung cấp dịch vụ nhỏ hơn và nhà cung cấp trong chuỗi cung ứng đều là những điểm xâm nhập khả thi, như sự cố Stadler Rail đã chứng minh.
Những điểm cần hành động
Các tổ chức nên coi tính toàn vẹn của bản sao lưu, lập kế hoạch ứng phó sự cố và truyền thông công khai về chính sách tiền chuộc là những công cụ trực tiếp làm giảm mức độ hấp dẫn của họ đối với các chi nhánh đang tìm kiếm khoản thanh toán dễ dàng. Cá nhân nên giả định rằng bất kỳ dịch vụ nào nắm giữ dữ liệu cá nhân hoặc tài chính nhạy cảm đều có thể bị nhắm mục tiêu, và nên sử dụng mật khẩu mạnh, duy nhất, bật xác thực đa yếu tố ở mọi nơi có thể, và theo dõi tài khoản để phát hiện hoạt động bất thường sau bất kỳ thông báo vi phạm nào. Bởi vì mục tiêu tấn công bằng ransomware tuân theo xác suất thanh toán thay vì mức độ nổi tiếng, việc cảnh giác với các nhà cung cấp nhỏ hơn, ít được biết đến cũng quan trọng không kém việc theo dõi tin tức về các cuộc tấn công vào các thương hiệu lớn. Nhận thức về cách những quyết định này được đưa ra là một trong những cách đơn giản nhất để đi trước rủi ro.
