Trả tiền chuộc cho tin tặc ransomware không đảm bảo sự yên ổn

Các tổ chức trả tiền chuộc ransomware với hy vọng vấn đề sẽ biến mất có lẽ nên suy nghĩ lại chiến lược đó. Nghiên cứu mới được TechRadar đưa tin cho thấy trong khi 56% nạn nhân trả tiền chuộc đã lấy lại được quyền truy cập vào hệ thống của họ, thì hơn một phần ba, 37%, bị đòi tiền tống tiền lần thứ hai ngay sau khi giao khoản tiền đầu tiên. Thêm 2% đã trả tiền nhưng không bao giờ khôi phục được dữ liệu của mình.

Những phát hiện này thách thức giả định phổ biến rằng trả tiền chuộc ransomware là một giao dịch đơn giản: trả tiền, nhận khóa giải mã, rồi thôi. Thay vào đó, dữ liệu cho thấy đối với một tỷ lệ đáng kể nạn nhân, khoản thanh toán đầu tiên bị kẻ tấn công coi như bước mở đầu chứ không phải là hồi kết. Điều này khớp với những gì các nghiên cứu gần đây khác đã chỉ ra. Một báo cáo ransomware riêng cho thấy gần một nửa số tổ chức trả tiền, sau đó thương lượng, càng củng cố quan điểm rằng các khoản tiền chuộc ransomware hiếm khi là chi phí một lần dứt khoát.

Tại sao tin tặc quay lại đòi thêm

Logic đằng sau nỗ lực tống tiền lặp lại khá đơn giản từ góc nhìn của kẻ tấn công. Nếu một tổ chức nạn nhân đã chứng minh sẵn sàng và có khả năng chi trả, tổ chức đó trở thành mục tiêu hấp dẫn hơn cho những yêu cầu tiếp theo. Các nhóm ransomware biết rằng các công ty chịu áp lực phải khôi phục hoạt động, bảo vệ dữ liệu khách hàng hoặc tránh các hình phạt pháp lý thường sẵn sàng trả thêm tiền thay vì chịu rủi ro gián đoạn kéo dài hoặc công khai vi phạm dữ liệu.

Nghiên cứu cũng chỉ ra một yếu tố phức tạp khác trong quá trình thương lượng tiền chuộc: sự linh hoạt về giá. Các chuyên gia được trích dẫn trong báo cáo lưu ý rằng kẻ vận hành ransomware thường xuyên hạ thấp yêu cầu ban đầu, với một số mức chiết khấu lên tới 96% so với giá ban đầu. Đây không phải là sự hào phóng. Nó phản ánh chiến lược đàm phán trong đó con số đầu tiên được cố tình thổi phồng, còn mục tiêu thực sự chỉ đơn giản là moi được một khoản tiền nào đó, bất kỳ khoản nào, từ nạn nhân. Hiểu được động thái này quan trọng vì nó cho thấy yêu cầu tiền chuộc không phải là mức giá cố định do một thị trường hợp lý đặt ra. Chúng là lời mở đầu thương lượng trong một cuộc mặc cả được thiết kế để tối đa hóa số tiền mà một tổ chức đang chịu áp lực sẵn sàng trả.

Tổng hợp lại, các yêu cầu ban đầu bị thổi phồng, mức chiết khấu sâu, và mô hình tống tiền lặp lại vẽ nên bức tranh về một hệ sinh thái xây dựng quanh đòn bẩy hơn là trao đổi công bằng. Một khi nạn nhân trả tiền, kẻ tấn công có bằng chứng rằng áp lực phát huy hiệu quả, và điểm dữ liệu đó có thể được sử dụng lại, hoặc nhắm vào cùng một tổ chức, hoặc được chia sẻ trong giới tội phạm như bằng chứng cho thấy mục tiêu đáng để theo đuổi.

Điều này có ý nghĩa gì với bạn

Đối với cá nhân, doanh nghiệp nhỏ và cả các doanh nghiệp lớn, điều rút ra không phải là không bao giờ được trả tiền chuộc trong bất kỳ hoàn cảnh nào (đó là quyết định mỗi tổ chức phải cân nhắc dựa trên mức độ chấp nhận rủi ro và nghĩa vụ pháp lý riêng). Thay vào đó, bài học là không bao giờ nên coi việc trả tiền chuộc là giải pháp chắc chắn. Bất kỳ ai cân nhắc việc trả tiền chuộc đều cần lên kế hoạch cho khả năng đó không phải là yêu cầu cuối cùng, và việc khôi phục dữ liệu không được đảm bảo ngay cả sau khi tiền đã được chuyển.

Điều này đặc biệt phù hợp với các tổ chức nhỏ hơn và cá nhân, những người có thể không có đội ngũ ứng phó sự cố chuyên trách. Chính báo cáo ransomware cho thấy nạn nhân trả tiền rồi lại thương lượng cũng nhấn mạnh rằng ngay cả các công ty có nguồn lực tốt cũng gặp khó khăn để khép lại vòng xoáy sau một cuộc tấn công. Nếu không có hỗ trợ ứng phó sự cố chuyên nghiệp, cơ hội đạt được kết cục có lợi sau khi trả tiền không hẳn sẽ tốt hơn cho các mục tiêu nhỏ.

Hàm ý thực tiễn là phòng ngừa và chuẩn bị quan trọng hơn nhiều so với kỹ năng thương lượng sau khi sự việc xảy ra. Sao lưu ngoại tuyến đáng tin cậy, quy trình khôi phục đã được kiểm tra, và bảo mật điểm cuối mạnh mẽ sẽ làm giảm đòn bẩy của kẻ tấn công ngay từ đầu. Nếu một tổ chức không bao giờ cần cân nhắc trả tiền vì có thể khôi phục từ bản sao lưu, toàn bộ chu kỳ tống tiền, bao gồm rủi ro bị đòi lần thứ hai, trở nên vô nghĩa.

Các biện pháp khả thi

Một số bước cụ thể có thể giảm thiểu rủi ro trước ransomware và vòng xoáy tống tiền sau đó:

  • Duy trì sao lưu thường xuyên, đã được kiểm tra, lưu trữ ngoại tuyến hoặc trong môi trường riêng biệt, cô lập để việc khôi phục không phụ thuộc vào sự hợp tác của kẻ tấn công.
  • Coi mọi khoản tiền chuộc như một quyết định kinh doanh với rủi ro thực tế về các yêu cầu tiếp theo, không phải là một giải pháp đảm bảo.
  • Liên hệ cơ quan thực thi pháp luật và các chuyên gia ứng phó sự cố giàu kinh nghiệm trước khi đưa ra quyết định thanh toán, vì họ thường có thông tin về hồ sơ hoạt động của nhóm tấn công.
  • Đầu tư vào vệ sinh an ninh cơ bản, bao gồm vá lỗi, xác thực đa yếu tố, và phân đoạn mạng, để giảm khả năng trở thành nạn nhân ngay từ đầu.

Suy cho cùng, nghiên cứu này là lời nhắc nhở rằng tiền chuộc ransomware không mua được sự kết thúc, mà mua một cơ hội. Các tổ chức lập kế hoạch cho khả năng phục hồi thay vì dựa vào thương lượng sẽ ở vị thế mạnh hơn nhiều, bất kể họ có bao giờ phải đối mặt với yêu cầu tiền chuộc hay không.