Một tòa án Thụy Sĩ đã tuyên án gần 13 năm tù đối với một người đàn ông Ukraine 52 tuổi bị kết tội phát triển biến thể ransomware Nefilim, khép lại một vụ án bắt nguồn từ cuộc tấn công mạng năm 2020 nhắm vào Stadler Rail. Bản án này đánh dấu một trong những vụ truy tố ransomware quan trọng hơn được xét xử tại tòa án châu Âu, và nó mang lại một góc nhìn hữu ích về cách các hoạt động ransomware thực sự vận hành, cũng như điều gì xảy ra khi nạn nhân từ chối trả tiền.
Từ sự cố phần mềm độc hại đến bản án ransomware
Khi Stadler Rail bị tấn công vào năm 2020, công ty ban đầu không sử dụng từ "ransomware." Vào thời điểm đó, họ chỉ mô tả sự cố là liên quan đến phần mềm độc hại "rất có thể đã dẫn đến rò rỉ dữ liệu," và cho biết những kẻ tấn công đã cố gắng tống tiền một khoản tiền lớn, đe dọa công bố các tập tin bị đánh cắp nếu tiền chuộc không được trả. Stadler đã từ chối trả tiền khi đó, cũng như sau một sự cố riêng biệt trong năm nay. Việc từ chối đó đã đặt nền móng cho một cuộc điều tra hình sự mà cuối cùng đã xác định được cá nhân đứng sau mã ransomware Nefilim được sử dụng trong cuộc tấn công.
Nefilim là một phần của làn sóng các họ ransomware kết hợp mã hóa tập tin với đánh cắp dữ liệu, một chiến thuật thường được gọi là tống tiền kép. Thay vì chỉ khóa hệ thống của nạn nhân, những kẻ vận hành sẽ trước tiên trích xuất các tập tin nhạy cảm, sau đó đe dọa công bố chúng công khai nếu nạn nhân không trả tiền. Cách tiếp cận này gây thêm áp lực lên các tổ chức, vì ngay cả một chiến lược sao lưu mạnh mẽ cũng không thể bảo vệ chống lại hậu quả về danh tiếng và quy định từ việc rò rỉ dữ liệu công khai. Bài viết trước đây của chúng tôi về phiên tòa ransomware Zurich đã trình bày chi tiết cách các công tố viên xây dựng vụ án của họ, yêu cầu mức án 12 năm trước khi tòa án cuối cùng tuyên án gần 13 năm.
Tại sao vụ án này quan trọng ngoài phạm vi Thụy Sĩ
Các vụ truy tố ransomware dẫn đến án tù dài vẫn còn tương đối hiếm, phần lớn vì nhiều kẻ vận hành làm việc từ các khu vực pháp lý gây khó khăn cho việc dẫn độ hoặc bắt giữ. Vụ án này đáng chú ý chính vì nó dẫn đến một cá nhân có thể nhận diện được, một phiên tòa hình sự, và một bản án đáng kể do tòa án Thụy Sĩ đưa ra. Nó chứng minh rằng cơ quan thực thi pháp luật và công tố viên có thể, trong một số trường hợp, truy vết thành công mã ransomware về tác giả của nó và buộc người đó phải chịu trách nhiệm nhiều năm sau cuộc tấn công ban đầu.
Vụ án cũng củng cố một mô thức xuất hiện lặp đi lặp lại trong các sự cố ransomware: nạn nhân từ chối trả tiền không nhất thiết phải đối mặt với hậu quả tồi tệ hơn, và việc trả tiền chuộc không đảm bảo rằng dữ liệu bị đánh cắp sẽ không bị rò rỉ. Quyết định không trả tiền của Stadler Rail vào năm 2020, và một lần nữa trong năm nay, phù hợp với hướng dẫn từ các nhà nghiên cứu bảo mật và cơ quan thực thi pháp luật, những người thường khuyến nghị không tài trợ cho các hoạt động ransomware, vì việc thanh toán không khắc phục được vi phạm và thường tài trợ cho hoạt động tội phạm tiếp theo.
Điều này có ý nghĩa gì đối với bạn
Đối với hầu hết độc giả, vụ án này không phải là mối đe dọa trực tiếp, nhưng nó là lời nhắc nhở về cách các hoạt động ransomware thực sự vận hành phía sau hậu trường. Các cuộc tấn công như vụ nhắm vào Stadler Rail thường bắt đầu bằng thông tin đăng nhập bị đánh cắp, email lừa đảo, hoặc lỗ hổng phần mềm bị khai thác, không phải một thế lực không thể ngăn chặn nào đó. Những cá nhân viết và triển khai mã ransomware là những người có thể, trong một số trường hợp, bị nhận diện, truy tố và kết án, ngay cả nhiều năm sau khi cuộc tấn công xảy ra.
Nếu bạn làm việc tại một tổ chức xử lý dữ liệu nhạy cảm, vụ án này nhấn mạnh tầm quan trọng của việc giả định rằng bất kỳ sự xâm nhập thành công nào cũng có thể liên quan đến đánh cắp dữ liệu, không chỉ mã hóa. Chiến lược sao lưu đơn thuần là không đủ. Các tổ chức cần kế hoạch ứng phó sự cố tính đến khả năng tập tin bị rò rỉ, và họ cần quyết định lập trường của mình về việc trả tiền chuộc trước khi một cuộc tấn công xảy ra, không phải trong lúc hỗn loạn của nó. Đối với người dùng cá nhân, bài học cũng tương tự như những gì chúng tôi đã khuyến nghị từ lâu: mật khẩu mạnh, duy nhất, xác thực đa yếu tố, và xử lý cẩn thận các tập tin đính kèm và liên kết trong email vẫn là những biện pháp phòng vệ hiệu quả nhất chống lại các kỹ thuật truy cập ban đầu khiến các cuộc tấn công ransomware trở nên khả thi ngay từ đầu.
Những điểm chính cần ghi nhớ
Bản án này cho thấy rằng những kẻ vận hành ransomware không phải là bất khả xâm phạm, và công việc điều tra kiên nhẫn cuối cùng có thể kết nối một đoạn mã độc hại với người đã viết ra nó. Đối với các tổ chức, vụ án củng cố giá trị của việc từ chối các yêu cầu tiền chuộc và chuẩn bị cho các tình huống rò rỉ dữ liệu thay vì giả định rằng mã hóa là rủi ro duy nhất. Đối với cá nhân, đó là lời nhắc nhở rằng các cuộc tấn công ransomware hầu như luôn bắt đầu bằng một thất bại bảo mật tầm thường, một mật khẩu yếu, một hệ thống chưa được vá, hoặc một nỗ lực lừa đảo thành công, tất cả đều có thể phòng ngừa bằng vệ sinh bảo mật cơ bản. Khi ngày càng nhiều vụ án ransomware được đưa ra tòa, hãy kỳ vọng sự giám sát tiếp tục về cách các hoạt động này được tài trợ, điều hành và cuối cùng bị triệt phá.
