Cơ quan Hoa Kỳ trả 1 triệu đô la cho Kairos sau vụ đánh cắp 2TB dữ liệu

Khoản thanh toán sáu con số không liên quan đến ransomware

Một cơ quan chính phủ Hoa Kỳ đã trả khoảng 1 triệu đô la Bitcoin cho một nhóm tống tiền dữ liệu có tên Kairos, theo một nghiên cứu điển hình được công bố bởi Ransom-ISAC. Khoản thanh toán, được thực hiện vào khoảng ngày 13 tháng 6 năm 2025, nổi bật vì Kairos không triển khai ransomware để khóa hệ thống. Thay vào đó, nhóm này được cho là đã đánh cắp hơn 2TB dữ liệu nhạy cảm và đe dọa công bố nếu cơ quan này không trả tiền.

Sự khác biệt này rất quan trọng. Tấn công ransomware truyền thống mã hóa tập tin và yêu cầu tiền chuộc để lấy khóa giải mã, gây ra gián đoạn hoạt động dễ thấy, khó che giấu. Tống tiền dữ liệu hoạt động khác: kẻ tấn công âm thầm đánh cắp dữ liệu, sau đó đe dọa công khai. Không có mạng lưới sập, không có ghi chú đòi tiền chuộc trên màn hình đóng băng, chỉ có tối hậu thư riêng tư và đồng hồ đếm ngược. Điều đó khiến những sự cố này dễ dàng nằm ngoài tầm mắt công chúng, và khó hơn cho các nhà nghiên cứu bên ngoài hoặc cơ quan giám sát xác minh độc lập.

Kairos là ai, và tại sao cách tiếp cận này hiệu quả?

Kairos dường như chuyên về chính kịch bản này: xâm nhập tổ chức, đánh cắp càng nhiều dữ liệu càng tốt, rồi kiếm tiền từ lời đe dọa công khai thay vì đe dọa ngừng hoạt động. Các nhà nghiên cứu bảo mật theo dõi nhóm này chưa xác nhận Kairos từng triển khai ransomware, điều này cho thấy một lựa chọn chiến lược có chủ đích. Các cuộc tấn công chỉ tống tiền có thể rẻ hơn để thực hiện, khó bị phát hiện theo thời gian thực hơn và thường giải quyết tài chính nhanh hơn vì nạn nhân không cần xây dựng lại hệ thống bị mã hóa, họ chỉ cần ngăn rò rỉ.

Đối với một cơ quan chính phủ, sự tính toán xung quanh việc trả tiền càng phức tạp. Các cơ quan liên bang, tiểu bang và địa phương nói chung không khuyến khích thanh toán tiền chuộc, lập luận rằng các khoản thanh toán tài trợ cho các cuộc tấn công trong tương lai và không đảm bảo dữ liệu bị đánh cắp sẽ thực sự bị xóa. Tuy nhiên, khi giải pháp thay thế là một vụ công khai hồ sơ nhạy cảm, một số cơ quan rõ ràng quyết định rằng rủi ro trước mắt lớn hơn tiền lệ lâu dài. Báo cáo của Ransom-ISAC không xác định cơ quan nào liên quan, loại dữ liệu nào bị đánh cắp, hoặc liệu khoản thanh toán có thực sự ngăn chặn việc công bố hay không — tất cả những chi tiết thường định hình mức độ nghiêm trọng mà công chúng nên coi sự cố này.

Tại sao thanh toán của chính phủ gây lo ngại về quyền riêng tư

Vấn đề cốt lõi về quyền riêng tư ở đây không chỉ là đã xảy ra vi phạm; mà là công chúng biết về nó qua một báo cáo tình báo đe dọa thay vì từ chính cơ quan. Sự minh bạch của chính phủ về các sự cố dữ liệu vốn không nhất quán, và các cuộc tấn công chỉ tống tiền đặc biệt phù hợp để nằm dưới radar. Không giống như một cuộc tấn công ransomware làm ngừng dịch vụ và buộc phải thừa nhận công khai, một khoản thanh toán đánh cắp dữ liệu âm thầm có thể được giải quyết và khép lại mà không bao giờ trở thành tiêu đề, trừ khi một bên thứ ba như Ransom-ISAC phanh phui.

Mô hình này lặp lại những căng thẳng rộng lớn hơn xung quanh việc xử lý và tiết lộ dữ liệu của chính phủ. Những câu hỏi tương tự làm sôi nổi các cuộc tranh luận về warrant canaries, cụ thể là công chúng thực sự có bao nhiêu tầm nhìn vào những gì xảy ra với dữ liệu của họ một khi nằm trong tay chính phủ hoặc doanh nghiệp, áp dụng trực tiếp ở đây. Nếu một cơ quan có thể âm thầm trả tiền cho nhóm tống tiền mà không tiết lộ phạm vi vi phạm, những cá nhân bị ảnh hưởng có thể không bao giờ biết thông tin của họ bị xâm phạm, chứ chưa nói đến liệu cuối cùng nó có bị rò rỉ hay không.

Cũng có một mối liên hệ với các cuộc tranh luận đang diễn ra về chính sách bảo vệ dữ liệu. Các cuộc thảo luận xung quanh CLARITY Act và cửa hậu mã hóa nhấn mạnh cách các quyết định lập pháp về truy cập dữ liệu và tiêu chuẩn mã hóa ảnh hưởng trực tiếp đến mức độ lộ diện của hồ sơ nhạy cảm ngay từ đầu. Tiêu chuẩn mã hóa yếu hơn hoặc các điểm truy cập bắt buộc khiến việc đánh cắp dữ liệu dễ dàng hơn và các khoản thanh toán như thế này có nhiều khả năng tái diễn.

Điều này có ý nghĩa gì với bạn

Nếu bạn tương tác với bất kỳ cơ quan chính phủ Hoa Kỳ nào, dù qua khai thuế, đơn xin trợ cấp, cấp phép hay hồ sơ công, dữ liệu của bạn có thể nằm trong các hệ thống là mục tiêu cho chính loại nỗ lực tống tiền này. Việc khoản thanh toán này chỉ được công khai qua báo cáo tình báo đe dọa của bên thứ ba, thay vì tiết lộ chính thức, có nghĩa là các cá nhân bị ảnh hưởng bởi vi phạm có thể không biết qua các kênh thông thường. Bạn có thể không nhận được thông báo vi phạm kịp thời, hoặc hoàn toàn không, nếu cơ quan liên quan chọn giải pháp âm thầm thay vì tiết lộ công khai.

Điều này không có nghĩa là đáng hoảng loạn. Nó có nghĩa là hãy coi dữ liệu do chính phủ nắm giữ giống như bạn đối xử với bất kỳ tài khoản nhạy cảm nào khác: giả định rằng cuối cùng nó có thể bị lộ, và lên kế hoạch tương ứng thay vì chờ đợi một thông báo chính thức có thể không bao giờ đến.

Hành động cụ thể

• Theo dõi báo cáo tín dụng của bạn và cân nhắc phong tỏa tín dụng nếu bạn đã gửi thông tin nhạy cảm cho một cơ quan chính phủ trong quá khứ, vì thông báo vi phạm không phải lúc nào cũng kịp thời hoặc đầy đủ.
• Sử dụng mật khẩu mạnh, duy nhất cho mọi cổng thông tin chính phủ (thuế, trợ cấp, cấp phép) và bật xác thực đa yếu tố nếu có.
• Theo dõi các nhà nghiên cứu bảo mật độc lập và các nhóm tình báo đe dọa, không chỉ các tuyên bố chính thức của cơ quan, vì những sự cố như thế này thường lộ diện trước tiên qua báo cáo bên ngoài.
• Ủng hộ các yêu cầu về yêu cầu tiết lộ vi phạm rõ ràng hơn cho các thực thể khu vực công, vì các khoản thanh toán tống tiền dữ liệu nếu không có thể bị che giấu khỏi những người thực sự bị ảnh hưởng.

Khoản thanh toán 1 triệu đô la cho Kairos là một lời nhắc nhở rằng tống tiền dữ liệu không cần ransomware mới hiệu quả, và sự minh bạch của chính phủ xung quanh những sự cố này vẫn còn một chặng đường dài phía trước. Luôn cập nhật về cách các cuộc tấn công này hoạt động, và cách các tiết lộ diễn ra, là một trong số ít công cụ mà cá nhân có để tự bảo vệ mình khi dữ liệu của họ nằm trong tay người khác.