Một tập hợp các cuộc hội thoại nội bộ của Silent Ransom Group (SRG) đã được công ty tình báo mối đe dọa KELA phân tích, và các cuộc trò chuyện bị rò rỉ của Silent Ransom Group mang đến một góc nhìn hiếm hoi về cách một nhóm tống tiền hiện đại suy nghĩ và hoạt động. Những chi tiết này quan trọng đối với các công ty lớn, nhưng chúng cũng quan trọng đối với các tổ chức nhỏ và các cá nhân mà tài khoản và dữ liệu của họ có thể trở thành đòn bẩy.

Bài viết này bám sát những gì phân tích của KELA cung cấp. Bản tóm tắt được công bố khá ngắn gọn, vì vậy ở những chỗ nguồn không có chi tiết, chúng tôi nói rõ điều đó thay vì phỏng đoán.

Silent Ransom Group là ai

SRG là một nhóm tống tiền. Theo bài viết của KELA, những nhóm như vậy tồn tại dai dẳng vì mô hình này hiệu quả và khó bị xóa bỏ, và chính sự dai dẳng đó là một phần khiến chúng trở nên nguy hiểm. Phân tích cũng đặt câu hỏi liệu các tổ chức ở Mỹ có phải là mục tiêu nhiều hơn những nơi khác hay không, điều này cho thấy vị trí địa lý của nạn nhân là một trong những câu hỏi mà các cuộc trò chuyện bị rò rỉ giúp trả lời.

Điểm mấu chốt là mô hình kinh doanh. Thay vì chỉ dựa vào việc khóa tệp bằng mã hóa, các nhóm trong nhóm này tập trung vào việc giành quyền truy cập, lấy dữ liệu, rồi gây áp lực. Cách tiếp cận đó làm hạ thấp rào cản kỹ thuật và chuyển cuộc chiến từ hệ thống sang con người và danh tiếng.

Các cuộc trò chuyện bị rò rỉ tiết lộ gì về cách chúng hoạt động

Phân tích của KELA, được xây dựng dựa trên các cuộc trò chuyện nội bộ bị rò rỉ, đi qua cách nhóm này xây dựng hoạt động ransomware và tống tiền của mình. Góc độ liên quan nhất đối với độc giả hàng ngày là việc dựa vào việc mạo danh IT qua điện thoại. Trong kiểu tấn công này, ai đó gọi cho một nhân viên giả vờ là từ bộ phận hỗ trợ, rồi hướng dẫn họ trao quyền truy cập hoặc phê duyệt điều gì đó mà họ không nên làm.

Chúng tôi đã đề cập đến chiến thuật này kỹ hơn trong bài viết về lừa đảo mạo danh IT qua bộ phận hỗ trợ, xem xét cách kế hoạch này được tổ chức ở hậu trường. Đáng đọc nếu bạn muốn có chi tiết về vận hành.

Mô thức rộng hơn là dữ liệu bị đánh cắp, chứ không phải các tệp bị mã hóa, trở thành điểm gây áp lực. Nạn nhân có thể khôi phục hệ thống từ bản sao lưu và vẫn phải đối mặt với nguy cơ thông tin bị rò rỉ. Đây chính là sự chuyển dịch được mô tả trong bài đưa tin của chúng tôi về cách ransomware bỏ qua mã hóa mà vẫn được trả tiền.

Tại sao thông tin đăng nhập và dữ liệu bị đánh cắp lại quan trọng đối với quyền riêng tư cá nhân

Thật dễ đọc một câu chuyện như thế này như một vấn đề của doanh nghiệp. Nhưng dữ liệu mà một nhóm như SRG đánh cắp thường thuộc về những người bình thường: khách hàng, bệnh nhân, nhân viên và khách hàng doanh nghiệp. Chỉ một cuộc gọi điện thoại thành công đến một nhân viên có thể làm lộ các hồ sơ bao gồm tên, thông tin liên hệ và thông tin tài khoản.

Đối với cá nhân, rủi ro thể hiện ở một vài cách:

  • Thông tin của bạn có thể được lưu giữ bởi một tổ chức bị nhắm mục tiêu, ngay cả khi bạn không làm gì sai.
  • Thông tin đăng nhập được dùng lại trên nhiều dịch vụ có thể biến một lần lộ lọt thành nhiều lần.
  • Các tin nhắn tống tiền có thể nhắm trực tiếp vào bạn một khi thông tin của bạn nằm trong tay tội phạm.

Một VPN không ngăn được bất kỳ điều nào trong số này. Nó mã hóa lưu lượng của bạn và che giấu địa chỉ IP, nhưng nó không thể ngăn ai đó thuyết phục nhân viên bộ phận hỗ trợ trao quyền truy cập, cũng không ngăn được bên thứ ba làm rò rỉ dữ liệu mà họ nắm giữ về bạn. Những biện pháp phòng vệ thực sự quan trọng ở đây là thói quen và vệ sinh tài khoản.

Các bước thực tế để giảm mức độ phơi nhiễm của bạn

Bạn không thể kiểm soát cách mọi tổ chức bảo vệ dữ liệu của bạn, nhưng bạn có thể hạn chế thiệt hại và khiến bản thân cùng nơi làm việc của bạn trở thành mục tiêu khó hơn.

Xác minh trước khi tin tưởng người gọi. Nếu ai đó tự nhận là hỗ trợ IT, hãy gác máy và liên hệ với bộ phận hỗ trợ qua số bạn đã biết. Hỗ trợ hợp pháp sẽ không phiền lòng. Đặc biệt cảnh giác với bất kỳ yêu cầu cài phần mềm, phê duyệt lời nhắc đăng nhập, hoặc đọc to mã nào đó.

Tăng cường xác thực đa yếu tố. Bật MFA ở mọi nơi có cung cấp, và ưu tiên các phương thức dựa trên ứng dụng hoặc phần cứng hơn tin nhắn văn bản khi có thể. Không bao giờ phê duyệt một lời nhắc mà bạn không tự kích hoạt.

Dùng mật khẩu duy nhất. Một trình quản lý mật khẩu giúp điều này trở nên thực tế. Nếu một tài khoản bị lộ, mật khẩu duy nhất giúp giữ vấn đề trong tầm kiểm soát.

Duy trì bản sao lưu ngoại tuyến đã được kiểm thử. Bản sao lưu hữu ích nếu tệp bị mã hóa, nhưng hãy nhớ chúng không có tác dụng gì chống lại việc đánh cắp dữ liệu. Hãy coi chúng là một lớp, không phải toàn bộ kế hoạch.

Hạn chế những gì bạn chia sẻ. Càng ít dữ liệu cá nhân mà một tổ chức nắm giữ về bạn, thì càng ít thứ để rò rỉ. Hãy suy nghĩ kỹ trước khi cung cấp các chi tiết không bắt buộc.

Đối với các tổ chức nhỏ: hãy ghi ra một quy trình xác minh bộ phận hỗ trợ, chẳng hạn như quy tắc gọi lại hoặc một mật mã chung, và đảm bảo mọi nhân viên đều biết. Đào tạo nhân viên rằng sự khẩn cấp là một chiến thuật thao túng phổ biến.

Điều này có ý nghĩa gì đối với bạn

Các cuộc trò chuyện bị rò rỉ của Silent Ransom Group là một lời nhắc rằng nhiều cuộc tấn công bắt đầu bằng một cuộc trò chuyện, chứ không phải một đoạn mã độc. Dù bạn điều hành một văn phòng nhỏ hay chỉ đơn giản là có tài khoản với nhiều công ty, những biện pháp phòng vệ hữu ích nhất đều mang tính công nghệ thấp: xác nhận danh tính, bảo vệ đăng nhập bằng MFA mạnh, và giả định rằng dữ liệu do người khác nắm giữ cuối cùng có thể bị lộ.

Những điểm chính cần ghi nhớ

  • Xem lại quy trình sao lưu của bạn, và nhớ rằng bản sao lưu không bảo vệ chống lại dữ liệu bị đánh cắp.
  • Kiểm tra cài đặt MFA của bạn và thay thế các phương thức yếu khi có thể.
  • Thiết lập hoặc xem lại thói quen xác minh bộ phận hỗ trợ, ở nhà và ở nơi làm việc.
  • Để có bối cảnh sâu hơn, hãy đọc bài đưa tin của chúng tôi về lừa đảo mạo danh IT qua bộ phận hỗ trợ và sự chuyển dịch hướng tới tống tiền chỉ đánh cắp dữ liệu.

Vài phút dành cho những kiểm tra này bây giờ rẻ hơn nhiều so với việc đối phó với một tin nhắn tống tiền sau này.