Ransomware được báo cáo là đã tăng gần 50%, và các doanh nghiệp nhỏ đang hứng chịu phần lớn thiệt hại. Điều khiến xu hướng này khó quản lý hơn là sự thay đổi trong chiến thuật. Các vụ đánh cắp dữ liệu ransomware, tống tiền, doanh nghiệp nhỏ ngày càng liên quan đến những kẻ tấn công không hề mã hóa một tệp nào. Chúng đánh cắp dữ liệu, rồi đe dọa công bố hoặc bán nó trừ khi được trả tiền.

Bài viết nguồn trích dẫn NordLayer khi mô tả sự chuyển dịch này: ngày càng nhiều nhóm tống tiền bỏ qua mã hóa và chỉ đơn giản là đánh cắp dữ liệu, rồi đe dọa nạn nhân. Toàn văn mà chúng tôi có được rất ngắn gọn, vì vậy bài viết này chỉ bám sát những điểm đó và các thực hành bảo mật được hiểu rộng rãi thay vì thêm vào những con số mà chúng tôi không thể xác minh.

Vì sao sao lưu không còn ngăn được tống tiền

Cuộc tấn công ransomware cổ điển khóa các tệp của bạn và bán cho bạn chìa khóa. Sao lưu tốt là câu trả lời: khôi phục hệ thống và tiếp tục. Lời khuyên đó vẫn còn quan trọng, nhưng nó chỉ giải quyết một nửa vấn đề hiện đại.

Khi kẻ tấn công đánh cắp dữ liệu thay vì mã hóa nó, không có gì bị hỏng ở phía bạn. Hệ thống của bạn có thể vẫn chạy bình thường. Đòn bẩy đến từ những gì bọn tội phạm đang nắm giữ: hồ sơ khách hàng, thông tin nhân viên, hợp đồng, chi tiết tài chính. Khôi phục từ bản sao lưu không làm gì để lấy bản sao đó ra khỏi tay chúng.

Đó là lý do vì sao thư đòi tiền chuộc trong những trường hợp này được xây dựng quanh việc phơi bày thông tin chứ không phải thời gian ngừng hoạt động. Mối đe dọa là khách hàng, đối tác hoặc cơ quan quản lý của bạn sẽ biết những gì đã bị lấy đi. Sao lưu bảo vệ tính sẵn sàng. Chúng không bảo vệ tính bảo mật.

Vì sao doanh nghiệp nhỏ hứng chịu phần lớn gánh nặng

Bài viết mô tả các doanh nghiệp nhỏ là đối tượng hứng chịu phần lớn mức tăng. Mặc dù chúng tôi không thể phân tích độc lập các lý do từ văn bản nguồn, một số yếu tố phổ biến được công nhận rộng rãi trong giới bảo mật:

  • Ít nhân sự bảo mật chuyên trách hơn. Nhiều doanh nghiệp nhỏ dựa vào một chuyên viên IT tổng quát hoặc một nhà cung cấp bên ngoài.
  • Mạng phẳng và quyền truy cập chia sẻ. Trong môi trường nhỏ hơn, một tài khoản bị xâm phạm thường có thể truy cập được rất nhiều dữ liệu.
  • Áp lực phải trả tiền nhanh chóng. Một nhà máy không thể vận hành, hoặc một phòng khám lo sợ rò rỉ, có thể cảm thấy không thể chịu nổi một quá trình khôi phục kéo dài.

Tống tiền bằng đánh cắp dữ liệu cũng làm giảm công sức của kẻ tấn công. Bỏ qua mã hóa nghĩa là ít bước hơn và ít tiếng động hơn, điều này có thể khiến một vụ xâm nhập khó bị phát hiện hơn trước khi yêu cầu tiền xuất hiện.

Những biện pháp phòng thủ hạn chế những gì kẻ trộm có thể lấy

Nếu mục tiêu là giảm những gì có thể bị đánh cắp, trọng tâm phòng thủ chuyển từ chỉ khôi phục sang kiểm soát dữ liệu. Các bước thực tế bao gồm:

  1. Biết bạn lưu trữ những gì. Kiểm kê dữ liệu khách hàng, nhân viên và tài chính, và xóa những gì bạn không còn cần. Dữ liệu bạn không giữ thì không thể bị rò rỉ.
  2. Hạn chế quyền truy cập. Chỉ cấp cho mỗi người quyền truy cập những gì công việc của họ yêu cầu, và gỡ bỏ tài khoản khi nhân viên rời đi.
  3. Sử dụng xác thực đa yếu tố. Mật khẩu bị đánh cắp là một cách xâm nhập phổ biến, và yếu tố thứ hai nâng cao rào cản.
  4. Phân đoạn mạng của bạn. Giữ các hệ thống nhạy cảm tách biệt để một vụ xâm phạm không làm lộ tất cả.
  5. Mã hóa dữ liệu nhạy cảm khi lưu trữ. Các tệp bị đánh cắp được mã hóa đúng cách ít hữu ích hơn nhiều đối với kẻ trộm.
  6. Giám sát các lần truyền dữ liệu bất thường. Việc di chuyển dữ liệu ra ngoài với khối lượng lớn hoặc kỳ lạ có thể là dấu hiệu cảnh báo sớm.
  7. Dù sao vẫn giữ bản sao lưu ngoại tuyến đã được kiểm tra. Các cuộc tấn công mã hóa chưa biến mất, và các nhóm có thể kết hợp cả hai phương pháp.
  8. Chuẩn bị một kế hoạch ứng phó sự cố. Quyết định trước nên gọi ai, bao gồm cố vấn pháp lý và nhà cung cấp IT của bạn, trước khi áp lực ập đến.

Để xem cách một chiến dịch ransomware lớn di chuyển từ xâm nhập đến tống tiền, phân tích LockBit 3.0 bao gồm 2.000 nạn nhân tại 95 quốc gia vạch ra toàn bộ chuỗi tấn công và chỉ ra nơi các chuyên gia phòng thủ có thể can thiệp.

VPN phù hợp ở đâu và không phù hợp ở đâu

VPN có thể là một phần hữu ích trong thiết lập của doanh nghiệp nhỏ, nhưng nó không phải là phương thuốc chữa ransomware. Giá trị chính của nó là bảo vệ lưu lượng giữa nhân viên làm việc từ xa và tài nguyên công ty, đặc biệt trên các mạng công cộng hoặc không đáng tin cậy, và hạn chế mức độ phơi bày của các dịch vụ nội bộ ra internet mở.

Điều VPN không làm được là ngăn chặn lừa đảo, vá phần mềm chưa được cập nhật, hoặc ngăn một nhân viên có thông tin đăng nhập hợp lệ bị lừa giao nộp chúng. Nếu kẻ tấn công đăng nhập bằng thông tin đăng nhập bị đánh cắp, VPN thậm chí có thể cho chúng một con đường thuận tiện vào bên trong. Nó cũng không mã hóa các tệp nằm trên máy chủ của bạn hoặc theo dõi dữ liệu rời khỏi mạng của bạn.

Hãy nghĩ về VPN như một lớp trong số nhiều lớp. Nó hoạt động tốt nhất cùng với xác thực mạnh, vá lỗi, kiểm soát truy cập và giám sát.

Điều này có ý nghĩa gì với bạn

Nếu bạn điều hành hoặc làm việc cho một doanh nghiệp nhỏ, hãy giả định rằng chỉ có sao lưu là không còn đủ. Câu hỏi cần đặt ra không chỉ là "Chúng ta có thể khôi phục không?" mà còn là "Ai đó có thể đánh cắp những gì, và điều gì sẽ xảy ra nếu chúng công bố nó?"

Các nhóm nhỏ không cần ngân sách doanh nghiệp lớn để cải thiện vị thế của mình. Giảm lượng dữ liệu nhạy cảm bạn lưu giữ, thắt chặt ai có thể truy cập nó, và bật xác thực đa yếu tố giải quyết đúng đòn bẩy mà các nhóm tống tiền kéo. Hãy coi bất kỳ VPN nào là công cụ hỗ trợ, không phải bản thân kế hoạch.

Những điểm chính cần ghi nhớ

  • Ransomware được báo cáo là đã tăng gần 50%, với các doanh nghiệp nhỏ bị ảnh hưởng nặng nề nhất.
  • Ngày càng nhiều nhóm đánh cắp dữ liệu mà không mã hóa nó, vì vậy chỉ sao lưu không thể giải quyết một yêu cầu tống tiền.
  • Hạn chế phơi bày bằng cách giảm thiểu dữ liệu lưu trữ, hạn chế quyền truy cập và mã hóa những gì còn lại.
  • Sử dụng VPN như một lớp phòng thủ, không phải vật thay thế cho phần còn lại.

Tuần này, hãy kiểm tra những dữ liệu mà doanh nghiệp của bạn lưu trữ và ai có thể truy cập chúng. Sau đó đọc cách một nhóm lớn vận hành trong phân tích ransomware LockBit 3.0 của chúng tôi để xem những cuộc tấn công này diễn ra trong thực tế như thế nào và nơi nào phòng thủ chống đánh cắp dữ liệu ransomware, tống tiền, doanh nghiệp nhỏ của bạn nên mạnh nhất.