Nhóm Ransomware Sovcali đưa công ty công nghệ vào trang web rò rỉ

Một nhóm ransomware chỉ mới xuất hiện gần đây trên bối cảnh mối đe dọa đã tuyên bố nạn nhân đầu tiên được công bố rộng rãi của mình trong lĩnh vực công nghệ. Các nhà nghiên cứu tình báo mối đe dọa đã xác định được nhóm này, tự gọi mình là Sovcali, sau khi nhóm thêm một công ty công nghệ vào cổng rò rỉ trên dark web của mình như một phần của chiến dịch tống tiền kép. Vụ việc là lời nhắc nhở rằng các hoạt động ransomware mới tiếp tục xuất hiện với tốc độ ổn định, và không ngành nào, kể cả những công ty xây dựng và bảo vệ cơ sở hạ tầng kỹ thuật số của chúng ta, được miễn trừ khỏi việc bị nhắm mục tiêu.

Những gì chúng ta biết về nhóm Ransomware Sovcali

Sovcali được mô tả là một tổ chức tội phạm ransomware mới nổi, nghĩa là đây là một hoạt động mới được xác định mà chưa có lịch sử công khai rộng rãi. Theo cảnh báo, nhóm đã liệt kê một tổ chức trong lĩnh vực công nghệ trên trang rò rỉ dựa trên Tor của mình, một chiến thuật phổ biến được các nhà điều hành ransomware sử dụng để gây áp lực buộc nạn nhân phải trả tiền bằng cách đe dọa công khai dữ liệu bị đánh cắp.

Phương thức của nhóm tuân theo kịch bản tống tiền kép tiêu chuẩn hiện nay. Thay vì chỉ mã hóa các tệp của nạn nhân và yêu cầu thanh toán để lấy khóa giải mã, Sovcali được cho là đã trích xuất dữ liệu từ mạng lưới mục tiêu trước khi triển khai mã hóa. Điều này mang lại cho kẻ tấn công hai điểm đòn bẩy: nạn nhân phải đối mặt với cả sự gián đoạn hoạt động của các hệ thống bị mã hóa và mối đe dọa thông tin nhạy cảm bị công bố hoặc bán nếu không trả tiền chuộc.

Về mặt kỹ thuật, Sovcali được báo cáo sử dụng kết hợp mã hóa AES-256 và RSA, một cách tiếp cận được sử dụng rộng rãi trong toàn bộ hệ sinh thái ransomware vì nó kết hợp mã hóa đối xứng nhanh các tệp (AES-256) với một lớp bất đối xứng (RSA) bảo vệ chính các khóa mã hóa. Sự kết hợp này khiến việc giải mã trái phép trở nên cực kỳ khó khăn nếu không có khóa riêng của kẻ tấn công, đó chính xác là mục đích: nó củng cố vị thế đàm phán của nhóm sau khi hệ thống của nạn nhân đã bị khóa.

Tại sao các nhóm Ransomware mới tiếp tục xuất hiện

Sự xuất hiện của một nhóm như Sovcali không phải là một sự kiện đơn lẻ. Ransomware như một mô hình kinh doanh tội phạm đã chứng minh được khả năng phục hồi và thích ứng, và hành động của cơ quan thực thi pháp luật chống lại một hoạt động có xu hướng được theo sau bởi sự xuất hiện của các thương hiệu mới, đôi khi bao gồm các chi nhánh hoặc cựu thành viên của các nhóm bị gián đoạn. Mô hình hình thành nhóm nhanh chóng này đã được ghi nhận ở nơi khác, bao gồm trong báo cáo về nhóm tống tiền ExfilSquad, đã xuất hiện và nhanh chóng tuyên bố hơn một chục nạn nhân, và nhóm ransomware Moondancer, đã tập trung vào việc tuyển dụng các chi nhánh mới ở Mỹ Latinh.

Các con số rộng hơn hỗ trợ cho xu hướng này. Một đánh giá gần đây của ngành, Báo cáo Ransomware Black Kite 2026, đã theo dõi hàng nghìn nạn nhân ransomware trong một năm, nhấn mạnh rằng các nhóm như Sovcali đang tham gia vào một thị trường tội phạm đã đông đúc và hoạt động mạnh mẽ chứ không phải là một thị trường ngách. Đối với các tổ chức và cá nhân, điều này có nghĩa là mối đe dọa không phải là một đợt tăng đột biến tạm thời gắn liền với một băng nhóm khét tiếng, mà là một đặc điểm dai dẳng của môi trường an ninh mạng hiện tại.

Tống tiền kép và khía cạnh quyền riêng tư dữ liệu

Điều khiến trường hợp Sovcali đặc biệt liên quan từ góc độ quyền riêng tư là thành phần trích xuất dữ liệu. Ngay cả các tổ chức có thực hành sao lưu mạnh mẽ, có thể khôi phục hệ thống bị mã hóa mà không phải trả tiền chuộc, vẫn có nguy cơ dữ liệu bị đánh cắp bị rò rỉ công khai. Dữ liệu đó có thể bao gồm hồ sơ khách hàng, thông tin nhân viên, sở hữu trí tuệ hoặc thông tin liên lạc nội bộ, bất kỳ điều nào trong số đó có thể thúc đẩy gian lận tiếp theo, lừa đảo trực tuyến hoặc đánh cắp danh tính đối với những người không có vai trò trực tiếp trong vụ vi phạm.

Nạn nhân trong lĩnh vực công nghệ mang thêm một chiều hướng rủi ro vì các công ty này thường nắm giữ dữ liệu nhạy cảm thuộc về khách hàng và đối tác của chính họ, nghĩa là một cuộc tấn công thành công duy nhất có thể lan rộng ra toàn bộ chuỗi cung ứng.

Điều này có ý nghĩa gì đối với bạn

Nếu bạn là khách hàng, đối tác hoặc nhân viên của một công ty công nghệ, những sự cố như thế này là dấu hiệu để cảnh giác thay vì hoảng loạn. Các nhóm ransomware dựa vào việc dữ liệu bị đánh cắp có giá trị trên thị trường chợ đen hoặc như một đòn bẩy, và một khi thông tin được công bố trên trang rò rỉ, nó có thể bị thu thập và tái sử dụng bởi các tác nhân độc hại khác trong nhiều năm sau đó. Giám sát hoạt động tài khoản bất thường, sử dụng mật khẩu duy nhất trên các dịch vụ và bật xác thực đa yếu tố bất cứ khi nào có thể vẫn là những biện pháp phòng thủ cá nhân hiệu quả nhất chống lại các tác động tiếp theo của những vi phạm này.

Đối với các tổ chức, trường hợp Sovcali củng cố giá trị của việc giả định rằng bất kỳ sự xâm nhập thành công nào cũng có khả năng liên quan đến đánh cắp dữ liệu, không chỉ mã hóa. Các kế hoạch ứng phó sự cố nên tính đến cả hai kịch bản ngay từ đầu.

Các điểm chính có thể hành động

• Giả định tống tiền kép là tiêu chuẩn: sao lưu hệ thống, nhưng cũng lên kế hoạch cho khả năng dữ liệu bị đánh cắp có thể bị rò rỉ bất kể thanh toán tiền chuộc.
• Theo dõi thông báo từ các nhà cung cấp công nghệ bạn sử dụng và hành động nhanh chóng đối với bất kỳ tiết lộ vi phạm nào.
• Sử dụng mật khẩu mạnh, duy nhất và xác thực đa yếu tố để hạn chế thiệt hại nếu thông tin đăng nhập xuất hiện trong một vụ rò rỉ trong tương lai.
• Theo dõi phạm vi bảo hiểm tình báo mối đe dọa liên tục về các nhóm mới nổi như Sovcali, vì các hoạt động ransomware mới tiếp tục hình thành và nhắm mục tiêu vào nhiều ngành khác nhau.