Weil, WilmerHale, Goodwin đã trả 50 triệu USD để đối phó với vụ tống tiền mạng

Hồi chuông cảnh tỉnh 50 triệu USD cho BigLaw

Một số hãng luật danh giá nhất Hoa Kỳ, bao gồm Weil Gotshal & Manges, WilmerHale và Goodwin Procter, được cho là đã trả tổng cộng gần 50 triệu USD cho một nhóm tống tiền mạng trong vài tháng qua. Điều khiến vụ việc này trở nên đặc biệt đáng lo ngại không chỉ là con số tiền. Mà là cách cuộc tấn công diễn ra. Không có hệ thống nào bị mã hóa. Không có màn hình khóa, không có đồng hồ đếm ngược, và không có ghi chú đòi tiền chuộc truyền thống để mở khóa các tệp tin bị đóng băng. Đây là một hình thức ransomware âm thầm và tinh vi hơn, xoay quanh dữ liệu bị đánh cắp thay vì hạ tầng bị tê liệt.

Đối với một ngành nắm giữ một số thông tin nhạy cảm nhất hiện hữu, từ thông tin liên lạc đặc quyền của khách hàng đến hồ sơ tài chính và chi tiết sáp nhập, sự cố này là lời nhắc nhở rằng ngay cả những tổ chức được đầu tư bài bản nhất cũng có thể bị bất ngờ.

Tại sao Ransomware không phải lúc nào cũng trông giống Ransomware

Hình ảnh kinh điển của một cuộc tấn công ransomware là một công ty thức dậy và thấy mọi tệp tin bị mã hóa cùng một thông điệp yêu cầu tiền điện tử để khôi phục quyền truy cập. Phiên bản ransomware đó vẫn còn tồn tại, nhưng các kẻ tấn công ngày càng chuyển sang một mô hình khác: âm thầm đánh cắp dữ liệu trước, sau đó đe dọa tiết lộ hoặc bán dữ liệu đó trừ khi được trả tiền. Không cần mã hóa. Không cần hệ thống nào phải ngừng hoạt động. Đòn bẩy hoàn toàn đến từ mối đe dọa phơi bày thông tin.

Sự thay đổi này quan trọng vì nó thay đổi ý nghĩa của việc "phát hiện". Ransomware truyền thống tự lộ diện ngay khi các tệp tin bị khóa. Tống tiền dữ liệu, ngược lại, có thể diễn ra âm thầm, có khi kéo dài hàng tuần hoặc hàng tháng, trước khi nạn nhân nhận ra thông tin đã rời khỏi mạng lưới của họ. Các hãng luật là mục tiêu đặc biệt hấp dẫn cho cách tiếp cận này vì dữ liệu họ nắm giữ, chiến lược kiện tụng, công bố tài chính, thông tin cá nhân của khách hàng, thường có giá trị hơn khi được giữ bí mật so với khi đơn giản bị xóa bỏ.

Kịch bản này không chỉ riêng ngành luật. Các chiến thuật tống tiền tương tự cũng đã được sử dụng nhắm vào các công ty ngoài lĩnh vực pháp lý. Tại Úc, một kẻ tấn công đã công khai đe dọa tiết lộ hàng triệu hồ sơ khách hàng trừ khi Origin Energy trả tiền, và gã khổng lồ năng lượng Shell đã phải điều tra tuyên bố từ nhóm Cl0p rằng họ đã đánh cắp gần 89GB dữ liệu công ty. Điểm chung trong tất cả các vụ việc này là thiệt hại thực sự không nằm ở hệ thống bị khóa. Mà là chính dữ liệu, và điều gì xảy ra nếu nó bị công khai.

Điều này có ý nghĩa gì với bạn

Nếu bạn là khách hàng của một hãng luật, công ty kế toán, hoặc bất kỳ tổ chức nào xử lý hồ sơ cá nhân hoặc tài chính nhạy cảm, sự cố này là lời nhắc nhở hữu ích rằng bảo mật dữ liệu không được đảm bảo chỉ vì một tổ chức lớn, lâu đời hoặc được cấp vốn dồi dào. Danh tiếng và nguồn lực không tự động chuyển thành các thực hành an ninh mạng mạnh mẽ.

Nếu bạn làm việc trong môi trường dịch vụ chuyên nghiệp, đặc biệt là tại công ty CPA hoặc hãng luật, bài học rõ ràng hơn: mô hình mối đe dọa của công ty bạn cần tính đến việc đánh cắp dữ liệu, không chỉ là thời gian ngừng hoạt động của hệ thống. Các kế hoạch sao lưu và khôi phục chỉ chuẩn bị cho các tệp tin bị mã hóa sẽ không giúp ích gì nếu rủi ro thực sự là rò rỉ thông tin bí mật của khách hàng. Các chính sách bảo hiểm mạng, kế hoạch ứng phó sự cố và chiến lược truyền thông với khách hàng đều cần phản ánh thực tế này.

Các biện pháp phòng thủ thực tế đáng ưu tiên

Một vài bước cụ thể có thể giảm đáng kể mức độ phơi nhiễm trước loại tấn công này. Mã hóa mạnh cho dữ liệu ở trạng thái lưu trữ và khi truyền tải giới hạn những gì kẻ tấn công thực sự có thể sử dụng ngay cả khi chúng truy cập được các tệp tin. Sao lưu thường xuyên và được kiểm tra vẫn quan trọng, không phải vì chúng hoàn tác một vụ rò rỉ dữ liệu, mà vì chúng đảm bảo hoạt động có thể tiếp tục mà không cần đàm phán với kẻ tấn công. Phân đoạn mạng là một biện pháp phòng thủ quan trọng khác: bằng cách giới hạn phạm vi di chuyển của kẻ xâm nhập khi đã vào mạng, các hãng giảm khả năng một tài khoản bị xâm phạm duy nhất dẫn đến một vụ vi phạm trên toàn công ty.

Kiến trúc zero-trust, yêu cầu xác minh liên tục đối với người dùng và thiết bị thay vì giả định tin cậy dựa trên vị trí mạng, đặc biệt hiệu quả đối với loại di chuyển ngang biến một lần đăng nhập bị xâm phạm thành một vụ đánh cắp dữ liệu trên toàn công ty. Kết hợp với kiểm soát truy cập chặt chẽ, xác thực đa yếu tố và giám sát các luồng chuyển dữ liệu bất thường, các biện pháp này khiến kẻ tấn công khó lòng âm thầm thu thập lượng lớn thông tin nhạy cảm trước khi bị phát hiện.

Kết luận

Số tiền 50 triệu USD mà các hãng luật BigLaw này chi trả nhấn mạnh một sự chuyển dịch rộng hơn trong cách ransomware và tống tiền mạng thực sự hoạt động ngày nay. Kẻ tấn công không còn cần khóa một tệp tin nào để gây thiệt hại nghiêm trọng, chúng chỉ cần truy cập vào đúng dữ liệu và đủ kiên nhẫn để trích xuất nó một cách âm thầm. Đối với các hãng luật, công ty kế toán và bất kỳ tổ chức nào được tin tưởng giao thông tin nhạy cảm của khách hàng, bài học rất rõ ràng: mã hóa, phân đoạn, sao lưu đã được kiểm tra và các nguyên tắc zero-trust không còn là lựa chọn phụ. Chúng là yêu cầu cơ bản để bảo vệ những người đã tin tưởng bạn với thông tin cá nhân nhất của họ.