Nghiên cứu từ Singapore: Một nửa số nạn nhân trả tiền chuộc lại bị tấn công lần nữa

Nghiên cứu mới từ Singapore gửi đến các doanh nghiệp một lời nhắc nhở khó chịu khi đang cân nhắc có nên trả tiền chuộc mã độc tống tiền hay không: việc trả tiền thường không kết thúc cơn ác mộng. Theo báo cáo từ Singapore Business Review, 50% tổ chức tại địa phương bị tấn công tống tiền đã giao tiền cho kẻ tấn công, và một tỷ lệ đáng kể trong số những nạn nhân trả tiền chuộc mã độc phát hiện mình phải đối mặt với yêu cầu thứ hai sau đó.

Phát hiện này đi ngược lại giả định phổ biến rằng trả tiền chuộc là cách nhanh chóng để khiến một vấn đề tốn kém biến mất. Với nhiều tổ chức, dường như điều ngược lại xảy ra: nó báo hiệu cho các nhóm tội phạm rằng nạn nhân vừa sẵn lòng vừa có khả năng chi trả, khiến họ trở thành mục tiêu chính cho lần thứ hai.

Nghiên cứu đã phát hiện điều gì

Con số cốt lõi từ nghiên cứu rất đơn giản nhưng đáng lo ngại. Một nửa số tổ chức Singapore được khảo sát từng trải qua tấn công mã độc tống tiền hoặc tống tiền đã chọn trả tiền cho kẻ tấn công. Đó là một quyết định như tung đồng xu được đưa ra dưới áp lực khổng lồ, thường là khi hệ thống bị mã hóa, hoạt động bị đình trệ và thiệt hại danh tiếng rình rập đè nặng lên kết quả.

Điều khiến tập dữ liệu này đặc biệt đáng chú ý là hệ quả tiếp theo: một phần đáng kể những người đã trả tiền không nhận được sự kết thúc. Thay vào đó, họ nhận được yêu cầu tống tiền thứ hai, có thể từ cùng một nhóm quay lại đòi thêm hoặc một tác nhân liên quan khai thác cùng quyền truy cập hoặc dữ liệu bị rò rỉ. Mô hình này không chỉ riêng ở Singapore. Các phát hiện tương tự đã xuất hiện ở những nơi khác, bao gồm phân tích cho thấy các băng nhóm mã độc tống tiền tống tiền lại 22% nạn nhân đã trả tiền, và nghiên cứu riêng từ New Zealand phát hiện khoảng 1 trong 5 khoản tiền chuộc đã bị phản bội bởi những kẻ tấn công quay lại đòi thêm dù đã nhận tiền.

Gộp lại, các điểm dữ liệu này vẽ nên một bức tranh nhất quán trên các thị trường khác nhau: trả tiền chuộc không đáng tin cậy để mua lấy sự an toàn, và trong một số lượng đáng kể trường hợp, nó có thể làm tăng khả năng bị nhắm mục tiêu lần nữa.

Tại sao kẻ tấn công quay lại đòi thêm

Logic hành vi ở đây rất đơn giản một khi bạn xét từ góc độ của tội phạm. Một nạn nhân đã trả tiền đã chứng minh ba điều có giá trị với kẻ tống tiền: họ có sẵn tiền, họ đã quyết định trả tiền thay vì lựa chọn khác, và họ có thể thiếu phòng thủ kỹ thuật để ngăn chặn xâm nhập lặp lại.

Hoạt động mã độc tống tiền ngày càng giống các doanh nghiệp với các thước đo nội bộ riêng. Nói thẳng ra, một khách hàng đã trả tiền là một đầu mối đã được chứng minh. Một số nhóm cũng hoạt động như đối tác liên kết hoặc nhượng quyền, nghĩa là dữ liệu hoặc quyền truy cập mạng của nạn nhân có thể bị bán lại hoặc sử dụng lại bởi một tổ chức tội phạm hoàn toàn khác, dẫn đến yêu cầu thứ hai không liên quan gì đến nhóm đứng sau vụ tấn công đầu tiên. Dù cách nào, nạn nhân vẫn phải gánh chịu rủi ro gấp đôi.

Động thái này chính là lý do các cơ quan an ninh mạng và nhà nghiên cứu từ lâu đã cảnh báo không nên coi việc trả tiền chuộc là giải pháp, thay vì chỉ là biện pháp tạm thời và không đáng tin cậy.

Ngoài việc trả tiền chuộc: Xây dựng phòng thủ thực sự

Nếu việc trả tiền không phải là giải pháp chắc chắn, các tổ chức và cá nhân nên tập trung năng lượng vào đâu? Câu trả lời nằm ở việc giảm khả năng một cuộc tấn công thành công ngay từ đầu, và hạn chế thiệt hại khi nó xảy ra.

Bắt đầu với những điều cơ bản: duy trì các bản sao lưu ngoại tuyến, đã được kiểm tra để dữ liệu bị mã hóa có thể được khôi phục mà không cần thương lượng với kẻ tấn công. Điều đó cũng có nghĩa là thắt chặt kiểm soát truy cập từ xa, vì thông tin đăng nhập bị xâm phạm và giao thức máy tính từ xa bị lộ vẫn là những điểm xâm nhập phổ biến của các nhóm mã độc tống tiền. Mã hóa lưu lượng nhạy cảm và sử dụng các kết nối VPN an toàn, được cấu hình tốt cho công việc từ xa và kết hợp có thể giảm bề mặt tấn công mà tội phạm dựa vào để giành chỗ đứng ban đầu. Đào tạo nhân viên nhận diện các nỗ lực lừa đảo, vốn vẫn là phương thức phát tán mã độc tống tiền hàng đầu, hoàn thiện một chiến lược phòng thủ theo lớp không phụ thuộc vào việc hy vọng kẻ tấn công giữ lời.

Điều này có ý nghĩa gì với bạn

Đối với các doanh nghiệp vừa và nhỏ nói riêng, nghiên cứu này nên định hình lại kế hoạch ứng phó sự cố. Nếu tổ chức của bạn từng bị tấn công mã độc tống tiền, quyết định trả tiền không nên được coi là một chiến lược thoát êm đẹp. Hãy lập ngân sách và lên kế hoạch như thể việc trả tiền chỉ có thể mua được sự nhẹ nhõm tạm thời, không phải giải pháp vĩnh viễn. Điều đó có nghĩa là có một kế hoạch ứng phó sự cố bằng văn bản, hướng dẫn pháp lý và quy định sẵn sàng trước, và hiểu rõ rằng việc trả tiền có thể mời gọi thêm nhắm mục tiêu thay vì kết thúc nó.

Đối với cá nhân và người làm việc từ xa, bài học mang tính cá nhân hơn: các điểm yếu mà kẻ tấn công khai thác, từ phần mềm chưa vá lỗi đến kết nối không an toàn, thường có thể ngăn ngừa được bằng vệ sinh cơ bản hơn là các công cụ đắt tiền.

Những điểm chính cần nhớ

• Một nửa số tổ chức Singapore bị tấn công tống tiền đã trả tiền cho kẻ tấn công, theo nghiên cứu mới.
• Một tỷ lệ đáng chú ý nạn nhân mã độc tống tiền đã trả tiền vẫn nhận được yêu cầu tống tiền thứ hai, lặp lại các phát hiện tương tự trên toàn cầu.
• Việc trả tiền nên được coi là giải pháp cuối cùng và không phải là đảm bảo cho một cuộc tấn công đang diễn ra.
• Sao lưu mạnh mẽ, truy cập từ xa an toàn và nhận thức về lừa đảo giảm khả năng phải đối mặt với quyết định đó.
• Các tổ chức nên lên kế hoạch ứng phó sự cố với giả định kẻ tấn công có thể quay lại, thay vì cho rằng trả tiền là kết thúc mối đe dọa.

Cuối cùng, nghiên cứu là lời kêu gọi chuyển trọng tâm từ quyết định trả tiền mang tính phản ứng sang phòng ngừa chủ động. Các doanh nghiệp có vị thế tốt nhất để vượt qua một cuộc tấn công mã độc tống tiền là những doanh nghiệp không bao giờ phải quyết định xem việc trả tiền có đáng để mạo hiểm hay không.