Một nhóm ransomware tự xưng là WhiteArmor đã tuyên bố rằng chúng đã đánh cắp dữ liệu từ công ty logistics Ryder. Tuyên bố này chưa được xác minh, và báo cáo nguồn cung cấp rất ít thông tin cụ thể. Dù vậy, sự việc này là một nghiên cứu điển hình hữu ích về cách thức đánh cắp thông tin đăng nhập bằng infostealer ransomware diễn ra, và về những gì người dùng thông thường có thể làm để tránh trở thành mắt xích đầu tiên trong một chuỗi tương tự.

WhiteArmor đang tuyên bố gì về Ryder

Theo một báo cáo tình báo mối đe dọa từ Quasar Cybertech, WhiteArmor nói rằng chúng đã lấy dữ liệu từ Ryder. Phần văn bản khả dụng của báo cáo còn hạn chế, và nó không xác nhận dữ liệu nào có thể đã bị lấy, số lượng bao nhiêu, hay cách nhóm này xâm nhập. Ryder chưa được thể hiện trong tài liệu nguồn là đã xác nhận tuyên bố này.

Sự phân biệt đó rất quan trọng. Các nhóm ransomware và tống tiền đôi khi đăng tải những tuyên bố hóa ra là phóng đại, và những tuyên bố khác lại được chứng minh là chính xác. Cho đến khi công ty hoặc một bên độc lập xác minh chi tiết, thái độ đúng đắn là thận trọng thay vì hoảng loạn.

Điều mà báo cáo nhấn mạnh là bài học phòng thủ. Nó mô tả sự việc như một lời nhắc nhở về những rủi ro do các chiến dịch ransomware dẫn dắt bởi infostealer gây ra, và khuyến nghị các đội ngũ bảo mật giám sát các nỗ lực truy cập trái phép xuất phát từ thông tin đăng nhập bị xâm phạm. Báo cáo cũng khuyến nghị xem xét lại các kế hoạch ứng phó sự cố để các tổ chức sẵn sàng cho khả năng bị tống tiền.

Infostealer cấp nguồn cho tống tiền ransomware như thế nào

Infostealer là một loại phần mềm độc hại được xây dựng để âm thầm lấy thông tin nhạy cảm từ một thiết bị bị nhiễm. Điều đó có thể bao gồm mật khẩu đã lưu, dữ liệu trình duyệt và các tài liệu đăng nhập khác. Nó thường không tự thông báo như phần mềm độc hại phá hoại, đó là một phần lý do khiến nó có thể không bị phát hiện trong thời gian dài.

Mối liên hệ với tống tiền rất rõ ràng. Thông tin đăng nhập bị đánh cắp có thể được thu thập, mua bán hoặc tái sử dụng. Một kẻ tấn công nắm giữ thông tin đăng nhập hợp lệ cho một hệ thống doanh nghiệp có thể không cần phải xâm nhập bằng vũ lực; chúng chỉ cần đăng nhập. Từ đó, dữ liệu có thể bị sao chép ra ngoài, và nhóm sau đó có thể đe dọa công bố nó trừ khi được trả tiền. Đó là mô thức mà báo cáo đề cập khi nói về các chiến dịch ransomware dẫn dắt bởi infostealer.

Hai điểm đáng lưu ý cho người không chuyên:

  • Sự xâm phạm đầu tiên thường là một thiết bị thông thường duy nhất, chẳng hạn như laptop của một nhân viên hoặc một máy tính cá nhân được dùng cho công việc.
  • Thông tin đăng nhập trông có vẻ hợp lệ rất khó phân biệt với đăng nhập thật, vì vậy việc giám sát phải tập trung vào các mô thức bất thường, chẳng hạn như truy cập từ những vị trí không mong đợi hoặc vào những thời điểm kỳ lạ.

Điều này có ý nghĩa gì với bạn

Nếu bạn là khách hàng, nhân viên hoặc đối tác của Ryder, không có thông tin nào được xác nhận trong nguồn về những gì đã bị lấy, vì vậy chưa có gì để kết luận. Các bước hợp lý là theo dõi các thông tin liên lạc chính thức từ công ty, và thận trọng với các email, cuộc gọi hoặc tin nhắn không được yêu cầu đề cập đến Ryder, các lô hàng hoặc vấn đề tài khoản. Các chiến dịch tống tiền và lừa đảo trực tuyến tiếp theo đôi khi dựa vào sự chú ý của công chúng xung quanh một vụ xâm phạm được tuyên bố.

Nếu bạn có tài khoản với bất kỳ công ty nào được nêu tên trong một tuyên bố chưa được xác minh, bạn không cần phải hoảng loạn, nhưng nên:

  • Thay đổi mật khẩu trên tài khoản đó nếu bạn đã tái sử dụng nó ở bất kỳ nơi nào khác.
  • Bật xác thực đa yếu tố nếu có sẵn.
  • Xem lại hoạt động đăng nhập gần đây để tìm bất kỳ điều gì lạ.

Đối với nhân viên và quản trị viên, lời khuyên của báo cáo áp dụng trực tiếp: giám sát các nỗ lực truy cập trái phép sử dụng thông tin đăng nhập đã biết bị xâm phạm, và đảm bảo kế hoạch ứng phó sự cố của bạn bao gồm những gì cần làm nếu một yêu cầu tống tiền xuất hiện.

Cách bảo vệ tài khoản cá nhân khỏi bị đánh cắp thông tin đăng nhập

Bạn không thể kiểm soát cách một công ty lớn bảo mật hệ thống của họ, nhưng bạn có thể giảm giá trị của bất cứ thứ gì mà một infostealer có thể lấy từ thiết bị của chính bạn.

Sử dụng một mật khẩu duy nhất cho mỗi tài khoản. Việc tái sử dụng là điều biến một thông tin đăng nhập bị đánh cắp thành nhiều. Một trình quản lý mật khẩu giúp việc này trở nên thực tế.

Bật xác thực đa yếu tố. Ngay cả khi mật khẩu bị đánh cắp, yếu tố thứ hai có thể chặn một lần đăng nhập. Nếu có thể, ưu tiên các phương thức dựa trên ứng dụng hoặc phần cứng hơn là tin nhắn văn bản.

Cập nhật thiết bị và phần mềm. Các bản cập nhật hệ điều hành, trình duyệt và phần mềm bảo mật vá các lỗ hổng mà phần mềm độc hại dựa vào.

Cẩn thận với những gì bạn cài đặt và nhấp vào. Infostealer thường đến qua các bản tải xuống độc hại, phần mềm giả mạo và liên kết lừa đảo. Hãy chỉ dùng các nguồn chính thức.

Tránh lưu thông tin đăng nhập nhạy cảm ở những nơi bạn không cần. Mật khẩu được lưu trong trình duyệt là mục tiêu phổ biến, vì vậy hãy cân nhắc một trình quản lý mật khẩu chuyên dụng với mật khẩu chính mạnh.

Nếu bạn nghi ngờ bị nhiễm, hãy ngắt kết nối khỏi mạng, chạy quét bảo mật từ nguồn uy tín, và thay đổi mật khẩu từ một thiết bị sạch.

Kết luận

Tuyên bố của WhiteArmor về Ryder vẫn chưa được xác minh, và các chi tiết còn mỏng. Điều rõ ràng là bài học rộng hơn: việc đánh cắp thông tin đăng nhập bằng infostealer ransomware bắt đầu từ những thông tin đăng nhập thông thường, và những thông tin đăng nhập đó thường đến từ những thiết bị thông thường. Hãy dùng mật khẩu duy nhất, bật xác thực đa yếu tố, và giữ thiết bị của bạn được cập nhật. Những thói quen này sẽ không ngăn chặn mọi cuộc tấn công, nhưng chúng khiến tài khoản của bạn trở thành mục tiêu khó hơn nhiều và ít bõ công hơn.