Tại sao tỷ lệ thanh toán tiền chuộc ở mức thấp kỷ lục?

Các tổ chức ngày càng sẵn sàng chấp nhận tổn thất vận hành của một cuộc tấn công thay vì tài trợ cho tội phạm, và hệ sinh thái tội phạm đang phân mảnh thành các nhóm nhỏ hơn, kém phối hợp hơn với ít đòn bẩy đàm phán hơn.

Các nhóm ransomware đang phản ứng thế nào với tỷ lệ thanh toán thấp hơn?

Một số đang leo thang từ ép buộc kỹ thuật số sang các mối đe dọa lan sang thế giới vật lý, sử dụng các hình thức đe dọa trực tiếp hơn nhắm vào những người liên quan đến tổ chức mục tiêu.

Lĩnh vực nào đang bị một nhóm tống tiền lớn nhắm mục tiêu mạnh mẽ?

Lĩnh vực pháp lý đang bị một trong những nhóm có khoản thanh toán lớn còn lại nhắm mục tiêu mạnh mẽ.

Sự thay đổi này có ý nghĩa gì đối với phòng thủ ransomware?

Nó có nghĩa là phòng thủ ransomware không còn chỉ là sao lưu, vá lỗi và bảo vệ điểm cuối; tống tiền đang trở thành một vấn đề con người không kém gì vấn đề kỹ thuật.

Thanh toán tiền chuộc ở mức thấp kỷ lục đẩy chiến thuật tống tiền sang hình thức vật lý

Q: Các khoản thanh toán tiền chuộc có đang giảm tổng thể không?

Không, trong khi tỷ lệ phần trăm nạn nhân trả tiền đã giảm, khoản thanh toán trung bình đã tăng 176% lên 1,88 triệu đô la chỉ trong một quý, vì vậy ít nạn nhân trả tiền hơn nhưng những người trả thì trả nhiều hơn đáng kể.

Thanh toán tiền chuộc ở mức thấp kỷ lục đẩy chiến thuật tống tiền sang hình thức vật lý

Các nhóm ransomware đang gặp khó khăn hơn trong việc được trả tiền. Các báo cáo mới cho thấy tỷ lệ nạn nhân đồng ý trả tiền chuộc đã giảm xuống mức thấp nhất từ trước đến nay, một xu hướng đang định hình lại cách các nhóm tội phạm gây áp lực lên mục tiêu của chúng. Thay vì lùi bước, một số khoản thanh toán lớn nhất còn lại hiện gắn liền với một nhóm duy nhất đang nhắm mục tiêu mạnh mẽ vào lĩnh vực pháp lý, và các nhóm khai thác khác dường như đang bù đắp cho tỷ lệ thanh toán thấp hơn bằng cách leo thang từ ép buộc kỹ thuật số sang các mối đe dọa lan sang thế giới vật lý.

Sự thay đổi này có ý nghĩa quan trọng đối với bất kỳ ai chịu trách nhiệm bảo vệ dữ liệu của tổ chức, bởi vì nó có nghĩa là cách tính toán cũ trong phòng thủ ransomware (sao lưu, vá lỗi, bảo vệ điểm cuối) không còn là toàn bộ câu chuyện. Tống tiền đang trở thành một vấn đề con người không kém gì vấn đề kỹ thuật.

Tại sao tỷ lệ thanh toán tiền chuộc đạt mức thấp kỷ lục

Trong nhiều năm, các nhóm ransomware có thể dựa vào một tỷ lệ phần trăm có thể dự đoán được các nạn nhân trả tiền để lấy lại dữ liệu hoặc ngăn chặn rò rỉ. Phép tính đó đang bị phá vỡ. Tỷ lệ thanh toán hiện đã giảm xuống mức thấp kỷ lục, theo các báo cáo mới nhất, cho thấy các tổ chức ngày càng sẵn sàng chấp nhận tổn thất vận hành của một cuộc tấn công thay vì tài trợ cho tội phạm đứng sau nó.

Điều này phù hợp với những thay đổi rộng lớn hơn trong bối cảnh ransomware. Như đã đề cập trong bài viết của vpn.social về cách hệ sinh thái ransomware phân mảnh, thế giới ngầm tội phạm đang tự tách thành hàng chục nhóm nhỏ hơn, kém phối hợp hơn. Sự phân mảnh khiến bất kỳ nhà khai thác đơn lẻ nào khó xây dựng danh tiếng và đòn bẩy đàm phán từng khuyến khích nạn nhân trả tiền nhanh chóng. Đồng thời, các thỏa thuận nổi bật như khoản bồi thường 18 triệu đô la của 23andMe cho thấy các tổ chức ngày càng chuyển tiền vào giải quyết pháp lý và quy định thay vì thưởng trực tiếp cho kẻ tấn công.

Thú vị là, ngay cả khi ít nạn nhân trả tiền hơn, các khoản thanh toán được thực hiện vẫn có thể rất lớn. Một báo cáo riêng của vpn.social về các khoản thanh toán tiền chuộc quý 2 năm 2026 cho thấy khoản thanh toán trung bình đã tăng 176% lên 1,88 triệu đô la chỉ trong một quý, ngay cả khi tỷ lệ phần trăm nạn nhân trả tiền giảm. Ít người trả tiền hơn, nhưng những người trả thì trả nhiều hơn đáng kể, thường là vì những kẻ tấn công trong các vụ đó đang áp dụng áp lực dữ dội bất thường.

Tống tiền chuyển sang hình thức vật lý như thế nào: Các mối đe dọa vượt ra ngoài mạng lưới

Khi ngày càng ít nạn nhân sẵn sàng trả tiền chỉ để tránh rò rỉ dữ liệu, một số nhóm tống tiền dường như đang nâng cao stakes vượt ra ngoài mạng lưới. Thay vì chỉ dựa vào các tệp mã hóa hoặc đe dọa công bố dữ liệu bị đánh cắp, các nhóm này được cho là đang chuyển sang các hình thức đe dọa trực tiếp hơn nhắm vào những người liên quan đến tổ chức mục tiêu, không chỉ hệ thống của họ.

Đây là một sự leo thang đáng kể. Một cuộc đàm phán ransomware trước đây về bản chất là một quyết định kỹ thuật và tài chính: khôi phục từ bản sao lưu, trả tiền chuộc, hoặc chấp nhận mất dữ liệu. Khi các mối đe dọa chuyển sang lĩnh vực vật lý, việc ra quyết định chuyển sang các đội ngũ an ninh và pháp lý của tổ chức, và có khả năng là cơ quan thực thi pháp luật, theo những cách mà tường lửa và VPN chưa bao giờ được thiết kế để xử lý. Đây là lời nhắc nhở rằng các nhóm tội phạm mạng thích nghi chiến thuật của chúng dựa trên những gì hiệu quả về mặt tài chính, và khi đòn bẩy kỹ thuật số ngừng tạo ra doanh thu, một số nhóm sẵn sàng tìm kiếm các điểm gây áp lực khác.

Mức độ tiếp xúc vượt trội của lĩnh vực pháp lý với các khoản thanh toán có chủ đích

Trong khi tỷ lệ thanh toán tổng thể đang giảm, các báo cáo lưu ý rằng một phần không cân xứng trong các khoản thanh toán lớn vẫn diễn ra có thể được truy về một nhóm tập trung cụ thể vào lĩnh vực pháp lý. Các công ty luật là mục tiêu hấp dẫn vì một lý do: họ nắm giữ thông tin khách hàng nhạy cảm, thông tin liên lạc được bảo mật và tài liệu vụ án có thể gây tổn hại nghiêm trọng về chuyên môn và pháp lý nếu bị lộ. Sự kết hợp giữa mức độ rủi ro cao và các nghĩa vụ nhạy cảm về thời gian có thể khiến các tổ chức pháp lý có nhiều khả năng trả tiền hơn, ngay cả khi xu hướng chung đang di chuyển theo hướng ngược lại.

Sự tập trung này cũng minh họa cách ransomware đã chuyển từ các cuộc tấn công cơ hội, bắn tán loạn sang nhắm mục tiêu có chủ đích vào các ngành nơi chi phí nói không là đặc biệt cao.

Điều này có ý nghĩa gì với bạn

Đối với hầu hết cá nhân, xu hướng này sẽ không chuyển thành mối đe dọa trực tiếp, nhưng nó nhấn mạnh các hoạt động ransomware đã trở nên tinh vi và có chủ đích hơn nhiều. Nếu bạn làm việc trong một hành nghề pháp lý, một nhà cung cấp dịch vụ chăm sóc sức khỏe, hoặc bất kỳ tổ chức nào nắm giữ dữ liệu khách hàng hoặc bệnh nhân nhạy cảm, cách tính rủi ro đã thay đổi. Không còn chỉ là vấn đề liệu các tệp của bạn có bị mã hóa hay không; mà là ai có thể bị đe dọa, liên hệ, hoặc hăm dọa như một phần của vụ tống tiền.

Giảm rủi ro trong môi trường đe dọa lai giữa không gian mạng và vật lý

Các biện pháp phòng thủ kỹ thuật vẫn quan trọng, nhưng chúng không còn đủ nếu chỉ đứng riêng lẻ. Các tổ chức nên duy trì các bản sao lưu ngoại tuyến đã được kiểm tra, thực thi xác thực đa yếu tố, và giữ phần mềm được vá lỗi. Điều quan trọng không kém bây giờ là có một kế hoạch ứng phó sự cố rõ ràng tính đến các mối đe dọa đối với nhân viên, giám đốc điều hành, hoặc khách hàng, không chỉ máy chủ. Như vpn.social đã đưa tin trước đó, các chiến thuật tống tiền kép đã cho thấy sao lưu là không đủ để đảm bảo an toàn khi dữ liệu đã bị đánh cắp; sự xuất hiện của các chiến thuật đe dọa vật lý mở rộng bài học đó đi xa hơn. Nhân viên nên được đào tạo để nhận biết và báo cáo các liên hệ đáng ngờ, và các đội ngũ pháp lý cùng an ninh nên phối hợp trước về cách xử lý các mối đe dọa vượt ra ngoài một tờ giấy đòi tiền chuộc.

Những điểm chính

Tỷ lệ thanh toán tiền chuộc đã giảm xuống mức thấp kỷ lục, giảm động cơ tài chính cho các cuộc tấn công cơ hội.
Một số nhóm đang bù đắp bằng cách leo thang sang các mối đe dọa vật lý, một chiến thuật mà VPN và công cụ điểm cuối không thể tự mình giải quyết.
Lĩnh vực pháp lý vẫn tiếp xúc không cân xứng với các khoản thanh toán lớn có chủ đích.
Sao lưu mạnh mẽ và an ninh mạng vẫn là yếu tố thiết yếu, nhưng các tổ chức cũng cần các kế hoạch ứng phó sự cố tính đến sự cưỡng ép nhắm vào con người, không chỉ dữ liệu.

Khi kinh tế học ransomware thay đổi, việc cập nhật thông tin về cách các chiến thuật tống tiền tiến hóa là một trong những bước thực tế nhất mà bất kỳ tổ chức nào có thể thực hiện để chuẩn bị.