Một chiến dịch tống tiền dữ liệu qua tấn công chuỗi cung ứng không cần chạm đến thiết bị của bạn để đặt thông tin của bạn vào vòng nguy hiểm. Nó chỉ cần xâm phạm một công cụ mà nhà cung cấp của bạn đã tin tưởng. Đó là bức tranh đang hiện ra từ vụ TeamPCP, khi các nhà chức trách Hoa Kỳ công bố cáo trạng và một vụ bắt giữ tại Úc vào tháng 8.

Các chi tiết hiện có còn hạn chế, nên bài viết này chỉ bám sát những gì đã được đưa tin. Nguồn đưa tin, từ Virtual Routes, mô tả cách FBI ghi nhận rõ rằng một số vụ việc này liên quan đến đánh cắp dữ liệu và tống tiền mà không mã hóa bằng ransomware, và chỉ ra các mục TeamPCP như một con đường khác dẫn đến tống tiền.

Cách TeamPCP biến phần mềm đáng tin cậy thành đường dẫn đánh cắp dữ liệu

Theo bản tin, một khuyến cáo hồi tháng 7 mô tả các vụ xâm phạm phần mềm đáng tin cậy và việc đánh cắp thông tin nhạy cảm. Mô thức này đáng để hiểu vì nó khác với câu chuyện ransomware kinh điển. Không có màn hình bị khóa và không có tệp bị mã hóa. Thay vào đó, kẻ tấn công xâm phạm phần mềm mà các tổ chức vốn đã dựa vào, dùng quyền truy cập đó để lấy dữ liệu, rồi đòi tiền chuộc.

Vào tháng 8, các nhà chức trách Hoa Kỳ công bố cáo trạng và một vụ bắt giữ tại Úc. Các cáo buộc mô tả phần mềm bị xâm phạm cho phép đánh cắp dữ liệu từ các khách hàng hạ nguồn, sau đó là các yêu cầu tiền chuộc. Nói một cách đơn giản, nạn nhân không chỉ là công ty có công cụ bị xâm phạm, mà còn là những khách hàng đã sử dụng công cụ đó.

Đó chính là điều khiến kiểu chiến dịch tống tiền dữ liệu qua tấn công chuỗi cung ứng này trở nên hiệu quả với tội phạm. Một điểm xâm phạm có thể mở cửa cho nhiều tổ chức cùng lúc, và mỗi tổ chức sau đó có thể bị gây áp lực riêng.

Cáo trạng và vụ bắt giữ tại Úc thay đổi và không thay đổi điều gì

Một cáo trạng và một vụ bắt giữ là những bước đi có ý nghĩa. Chúng cho thấy hợp tác xuyên biên giới giữa nhà chức trách Hoa Kỳ và Úc có thể tạo ra kết quả, và chúng gửi tín hiệu đến những kẻ khác đang vận hành các kế hoạch tương tự.

Nhưng ở giai đoạn này chúng vẫn chỉ là cáo buộc, và tiêu đề của bài báo nguồn đã khắc họa vấn đề lớn hơn: con đường buộc tội phạm ransomware phải chịu trách nhiệm là rất dài. Các vụ án pháp lý cần thời gian, trong khi đánh cắp dữ liệu diễn ra nhanh chóng. Một khi thông tin đã bị lấy đi, một vụ bắt giữ không bảo đảm rằng nó có thể được thu hồi hay các bản sao không còn lưu hành.

Còn một điểm rộng hơn nữa. Việc thực thi pháp luật có xu hướng đi theo thiệt hại thay vì ngăn chặn nó. Độc giả nên coi các vụ bắt giữ là tin tốt cho tính răn đe, không phải là lý do để nới lỏng các biện pháp bảo vệ của chính mình.

Vì sao khách hàng hạ nguồn gánh chịu rủi ro

Khách hàng hạ nguồn thường là bên ít hiện diện nhất trong những sự cố này. Họ có thể không biết nhà cung cấp của mình dùng những công cụ nào, những công cụ đó có quyền truy cập gì, hay bao nhiêu dữ liệu của họ nằm trong hệ thống của bên thứ ba. Khi một công cụ đáng tin cậy bị xâm phạm, dữ liệu bị rò rỉ có thể bao gồm bất cứ thứ gì nhà cung cấp hoặc khách hàng của họ đã lưu ở đó.

Điều đó có thể bao gồm thông tin cá nhân thông thường. Các bài viết liên quan cho thấy những vụ xâm phạm do tống tiền diễn ra thế nào đối với cá nhân. Các báo cáo về các vụ xâm phạm Novo Nordisk và OnePoint làm lộ 800K hồ sơ bệnh nhân minh họa mức độ phơi lộ của dữ liệu y tế, và một tuyên bố gần đây về 2 đến 3 TB dữ liệu về các đặc vụ FBI cho thấy ngay cả những tổ chức có danh tiếng bảo mật mạnh cũng phải chịu áp lực từ những kẻ tống tiền.

Mẫu số chung là những người bị đánh cắp dữ liệu hiếm khi có tiếng nói trong các lựa chọn bảo mật đã khiến họ bị phơi lộ.

Điều này có ý nghĩa gì với bạn

Bạn không thể kiểm toán mọi nhà cung cấp đang giữ dữ liệu của mình, và bạn không thể ngăn một nhà cung cấp bị xâm phạm. Điều bạn có thể kiểm soát là có bao nhiêu thứ để đánh cắp và dữ liệu bị đánh cắp có thể gây bao nhiêu thiệt hại.

Bạn chia sẻ càng ít, nhóm tống tiền càng ít có thể lợi dụng. Và vì tống tiền dựa vào đòn bẩy, dữ liệu bị đánh cắp thường được kiếm tiền theo nhiều cách. Phân tích về một vụ rò rỉ bị nghi ngờ từ một nhóm tống tiền, được đề cập trong bài của chúng tôi về Chainalysis gắn ví tiền mã hóa với các khoản thanh toán tiền chuộc, cho thấy cách các dòng thanh toán đó vận hành.

Các cách thực tế để hạn chế phơi lộ

  • Chia sẻ ít hơn với nhà cung cấp. Chỉ cung cấp thông tin mà dịch vụ thực sự cần. Bỏ qua các trường tùy chọn, và xóa những tài khoản bạn không còn dùng.
  • Bật xác thực đa yếu tố. Nếu thông tin đăng nhập bị lộ trong một vụ xâm phạm, MFA khiến chúng khó bị sử dụng hơn nhiều. Ưu tiên phương thức qua ứng dụng hoặc phần cứng hơn SMS khi có thể.
  • Dùng mật khẩu duy nhất. Một trình quản lý mật khẩu giúp điều này khả thi, để một vụ rò rỉ không mở khóa các tài khoản khác.
  • Đọc thông báo về xâm phạm. Đừng bỏ qua email hay thư về các sự cố tại những công ty bạn giao dịch. Chúng thường bao gồm các bước và thời hạn, chẳng hạn ưu đãi theo dõi tín dụng.
  • Hoài nghi với các tin nhắn tống tiền. Nếu ai đó liên hệ với bạn tuyên bố đang giữ dữ liệu của bạn, hãy xác minh qua các kênh chính thức trước khi phản hồi hoặc trả tiền.
  • Theo dõi tài khoản của bạn. Hãy để ý sao kê tài chính và cân nhắc đóng băng tín dụng nếu các định danh nhạy cảm bị phơi lộ.

Điểm mấu chốt

Vụ TeamPCP là lời nhắc rằng một chiến dịch tống tiền dữ liệu qua tấn công chuỗi cung ứng có thể chạm đến những khách hàng bình thường thông qua các công cụ họ chưa từng chọn. Cáo trạng tháng 8 và vụ bắt giữ tại Úc là đáng khích lệ, nhưng trách nhiệm pháp lý di chuyển chậm hơn thiệt hại. Hãy hạn chế những gì bạn giao nộp, bật MFA, và chú ý đến các thông báo xâm phạm. Để biết thêm về cách dữ liệu bị đánh cắp được sử dụng, xem bản tổng hợp hằng tuần của chúng tôi về vụ xâm phạm McKesson và vụ ransomware Berlin.