Ransomware từng có nghĩa là màn hình bị khóa và máy chủ bị mã hóa. Ngày càng nhiều, nó có nghĩa là một vụ đánh cắp âm thầm và một email đe dọa. Một báo cáo gần đây từ The NAS Guy, dựa trên dữ liệu sự cố quý 3 năm 2026 của Coveware by Veeam, mô tả cách các nhóm như Silent Ransom Group (SRG) đã loại bỏ hoàn toàn việc mã hóa. Tống tiền bằng đánh cắp dữ liệu không dùng ransomware nhanh hơn, rẻ hơn cho kẻ tấn công và khó bị các biện pháp phòng thủ truyền thống phát hiện hơn.

Nguồn tài liệu khá ngắn gọn, nên bài viết này chỉ bám sát những gì nó nêu: việc loại bỏ bước triển khai mã hóa tốn kém và đòi hỏi nhiều công sức cho phép các nhóm thực hiện các chiến dịch xâm nhập và tống tiền nhanh chóng, vượt qua các biện pháp phòng thủ endpoint truyền thống trong khi vẫn giữ được đòn bẩy đối với nạn nhân. Các số liệu được trích dẫn đến từ các sự cố mà Coveware by Veeam đã hỗ trợ trong quý 3 năm 2026.

Cách Silent Ransom Group tống tiền mà không cần mã hóa

Các cuộc tấn công ransomware cổ điển cần nhiều thứ phải diễn ra suôn sẻ: kẻ tấn công phải xâm nhập, lan rộng khắp các hệ thống, vô hiệu hóa các biện pháp phòng thủ và triển khai phần mềm mã hóa thực sự hoạt động. Mỗi bước đều tạo cơ hội để các công cụ bảo mật nhận ra có điều gì đó bất thường.

Một mô hình thuần túy đánh cắp dữ liệu bỏ qua phần lớn những điều đó. Kẻ tấn công sao chép dữ liệu, sau đó liên hệ với nạn nhân và đe dọa sẽ công bố dữ liệu. Không có gì để mã hóa, nên không có payload mã hóa nào để phần mềm bảo mật endpoint gắn cờ. Theo báo cáo, đây chính là lý do cách tiếp cận này vượt qua được các biện pháp phòng thủ endpoint truyền thống.

Nó cũng thay đổi cách tính toán của nạn nhân. Các bản sao lưu tốt có thể hoàn tác một cuộc tấn công mã hóa, nhưng sao lưu không giúp được gì trước mối đe dọa rò rỉ các tệp bị đánh cắp. Áp lực đến từ việc phơi bày dữ liệu, không phải từ thời gian ngừng hoạt động.

SRG đã được liên hệ với các cuộc tấn công nhằm vào các công ty luật lớn, và các hoạt động của nhóm đã xuất hiện trong các bài viết của chúng tôi, bao gồm danh sách tống tiền nhắm vào Andersen Group trên trang LeakedData của nhóm.

Vì sao trả tiền để mua sự im lặng không đảm bảo việc xóa dữ liệu

Vấn đề cốt lõi khi trả tiền theo yêu cầu tống tiền dữ liệu là sản phẩm được bán chỉ là một lời hứa. Kẻ tấn công nói rằng dữ liệu sẽ bị xóa, nhưng nạn nhân không có cách nào xác minh điều đó. Dữ liệu bị đánh cắp có thể bị sao chép, giữ lại hoặc bán lại, và tội phạm không có động cơ để giữ lời ngoài việc bảo vệ danh tiếng của chính chúng.

Tiêu đề của bài viết nêu thẳng quan điểm: trả tiền để mua sự im lặng thất bại. Ngay cả khi một nhóm tuân thủ một thỏa thuận, nạn nhân cũng không có dấu vết kiểm toán, không có giấy chứng nhận tiêu hủy và không có quyền khiếu nại. Chính sự không chắc chắn đó là đòn bẩy. Một nạn nhân đã trả tiền một lần đã cho thấy họ sẵn sàng trả tiền.

Đối với những người bình thường, hàm ý thật khó chịu. Nếu một công ty đang nắm giữ dữ liệu của bạn trả tiền theo yêu cầu tống tiền, bạn không thể cho rằng thông tin của mình đã bị xóa. Bạn nên coi nó như đã bị phơi bày bất kể công ty nói gì về kết quả.

Ví tiền và dữ liệu nạn nhân bị rò rỉ tiết lộ điều gì

Câu chuyện về SRG còn có một lớp khác: một vụ rò rỉ bị nghi ngờ liên quan đến dữ liệu nội bộ của nhóm. Như chúng tôi đã đưa tin, Chainalysis đã liên kết các ví tiền mã hóa từ vụ rò rỉ SRG với các khoản thanh toán tiền chuộc, làm lộ các địa chỉ tiền mã hóa liên quan đến các khoản thanh toán cho chiến dịch này.

Vì sao điều đó quan trọng? Nó cho thấy rằng các chiến dịch này là những doanh nghiệp thương mại có doanh thu thực sự, và rằng các nạn nhân đã trả tiền. Nó cũng cho thấy rằng chính các nhóm tội phạm cũng dễ bị phơi bày. Vụ rò rỉ là lời nhắc rằng dữ liệu trong tay chúng chỉ an toàn ngang với mức bảo mật của chính chúng, một suy nghĩ không mấy dễ chịu khi dữ liệu đó là của bạn.

Nó cũng cho thấy mối đe dọa không giới hạn ở một lĩnh vực. Các vụ việc liên quan, chẳng hạn như các tài liệu của Mayer Brown bị Luna Moth công bố, cho thấy cách các nhóm tống tiền có thể gây áp lực lên các tổ chức thông qua các trang rò rỉ, ngay cả khi một công ty nói rằng hệ thống của họ không bị xâm nhập.

Điều này có ý nghĩa gì với bạn

Hầu hết mọi người sẽ không bao giờ đàm phán với một nhóm tống tiền. Nhưng dữ liệu của bạn có thể nằm trong hệ thống của các công ty luật, cố vấn thuế, nhà cung cấp dịch vụ chăm sóc sức khỏe và các dịch vụ chuyên môn khác mà kẻ tấn công nhắm tới. Khi một trong số họ bị tấn công, bạn trở thành nạn nhân gián tiếp dù không làm gì sai.

Vì việc đánh cắp dữ liệu thuần túy không để lại dấu hiệu rõ ràng nào của một cuộc tấn công, bạn có thể chỉ biết về một vụ xâm nhập khi một danh sách xuất hiện hoặc một công ty gửi thông báo. Hãy giả định rằng bất kỳ dữ liệu nào mà một công ty bị xâm nhập nắm giữ, chẳng hạn như thông tin liên hệ, hồ sơ tài chính hoặc giấy tờ tùy thân, đều có thể nằm trong tay tội phạm, và việc công ty trả tiền không thay đổi điều đó.

Các bước tự bảo vệ sau một vụ xâm nhập của bên thứ ba

Bạn không thể kiểm soát cách một công ty phòng thủ máy chủ của họ, nhưng bạn có thể hạn chế mục đích sử dụng của dữ liệu bị đánh cắp.

  • Đổi các mật khẩu bị dùng lại. Nếu bạn đã dùng cùng một mật khẩu tại công ty bị ảnh hưởng và ở nơi khác, hãy thay đổi nó ở mọi nơi. Dùng trình quản lý mật khẩu để tạo các mật khẩu duy nhất.
  • Bật xác thực hai yếu tố. Ưu tiên ứng dụng xác thực hoặc khóa phần cứng hơn SMS khi có thể, đặc biệt với email, ngân hàng và lưu trữ đám mây.
  • Cảnh giác với lừa đảo có chủ đích. Dữ liệu bị đánh cắp khiến các trò lừa đảo thuyết phục hơn. Hãy hoài nghi với những tin nhắn đề cập đến tài liệu thật, chi tiết vụ việc hoặc thông tin tài khoản.
  • Theo dõi các vụ rò rỉ. Dùng dịch vụ thông báo rò rỉ để biết khi địa chỉ email của bạn xuất hiện trong dữ liệu bị rò rỉ.
  • Cân nhắc đóng băng tín dụng. Nếu thông tin tài chính hoặc danh tính bị liên quan, đóng băng tín dụng khiến việc mở tài khoản dưới tên bạn trở nên khó khăn hơn.
  • Tự xác minh các thông báo. Nếu bạn nhận được thư thông báo xâm nhập, hãy liên hệ với tổ chức bằng thông tin bạn tự tra cứu, không dùng các liên kết trong tin nhắn.

Kết luận

Tống tiền bằng đánh cắp dữ liệu không dùng ransomware hoạt động được vì nó loại bỏ bước rủi ro nhất của kẻ tấn công và tước đi biện pháp phòng thủ bằng sao lưu của nạn nhân. Trả tiền không mua được sự chắc chắn, và tài liệu SRG bị rò rỉ cho thấy số tiền và mức độ phơi bày là có thật đến mức nào. Hãy siết chặt thói quen quản lý thông tin đăng nhập, bật 2FA và theo dõi các cảnh báo rò rỉ. Để xem các chiến dịch này diễn ra trong thực tế như thế nào, hãy đọc bài viết của chúng tôi về vụ rò rỉ SRG và các phát hiện về ví của Chainalysis và danh sách tống tiền nhắm vào Andersen Group.