Một nhóm có tên WhiteArmor đang thu hút sự chú ý của các nhà nghiên cứu bảo mật nhờ chiến dịch gây áp lực nhắm vào các công ty hậu cần toàn cầu. Theo báo cáo nguồn, nhóm này đã đưa ra các yêu cầu đòi tiền chuộc lên tới năm triệu đô la và công bố nạn nhân trên các trang rò rỉ dựa trên Tor. Các nhà nghiên cứu cũng cho biết nhóm này tuyên bố trình mã hóa của chúng gần như đã hoàn thiện. Chi tiết đó quan trọng, bởi nó cho thấy hoạt động tống tiền dữ liệu hậu cần bằng ransomware của WhiteArmor có thể sớm chuyển từ đánh cắp dữ liệu thuần túy sang một điều gì đó gây gián đoạn hơn.

Tài liệu nguồn còn hạn chế, và nhiều chi tiết về các nạn nhân cụ thể cũng như phạm vi dữ liệu bị đánh cắp vẫn chưa được xác minh. Dưới đây là những gì đã được báo cáo, những gì nó có thể báo hiệu, và những gì người dân thường có thể làm về việc này.

Cách mô hình tống tiền của WhiteArmor vận hành

Theo báo cáo, WhiteArmor không hành xử như một nhóm vận hành ransomware truyền thống. Thay vì khóa hệ thống trước, nhóm này tập trung vào việc đánh cắp dữ liệu rồi gây áp lực buộc nạn nhân phải trả tiền.

Nhóm vận hành thông qua các trang rò rỉ dựa trên Tor. Nạn nhân được liệt kê công khai, kèm theo đồng hồ đếm ngược và các yêu cầu tiền chuộc. Cấu trúc này được thiết kế để tạo ra sự cấp bách: một chiếc đồng hồ đang chạy, một công ty được nêu tên và một mức giá. Con số năm triệu đô la là yêu cầu được báo cáo liên quan đến các mục tiêu hậu cần.

Điều quan trọng là phải coi những danh sách này như những tuyên bố. Một cái tên trên trang rò rỉ cho thấy điều mà một nhóm tội phạm nói rằng chúng đã làm, chứ không phải điều đã được xác minh độc lập. Danh sách Whirlpool trên trang rò rỉ WhiteArmor là một ví dụ hữu ích về cách những mục này xuất hiện và lý do tại sao chúng ta tách tuyên bố tống tiền khỏi các sự kiện đã được xác minh.

Từ đánh cắp dữ liệu đến tống tiền kép: trình mã hóa báo hiệu điều gì

Các nhà nghiên cứu bảo mật được trích dẫn trong báo cáo cho biết WhiteArmor tuyên bố trình mã hóa của chúng gần như đã hoàn thiện. Nếu đúng, điều này sẽ báo hiệu một sự leo thang từ việc đánh cắp dữ liệu thuần túy sang chiến thuật tống tiền kép.

Tống tiền kép kết hợp hai mối đe dọa. Kẻ tấn công đánh cắp dữ liệu và đe dọa công bố nó, sau đó còn mã hóa hệ thống để nạn nhân không thể hoạt động bình thường. Dù thế nào, việc trả tiền cũng trở nên khó biện minh hơn: một khóa giải mã không đảm bảo dữ liệu bị đánh cắp sẽ bị xóa.

Đối với các công ty hậu cần, áp lực gia tăng là hiển nhiên. Vận tải biển và vận chuyển hàng hóa phụ thuộc vào sự phối hợp liên tục, nên thời gian ngừng hoạt động có thể lan sang các nhà cung cấp, hãng vận tải và khách hàng. Một nhóm có cả trang rò rỉ và trình mã hóa hoạt động được sẽ có nhiều đòn bẩy hơn một nhóm chỉ dựa vào dữ liệu. Lưu ý rằng tuyên bố về trình mã hóa đến từ chính nhóm này theo cách các nhà nghiên cứu thuật lại, nên cần được xem xét thận trọng cho đến khi được xác nhận.

Các vụ xâm nhập hậu cần có thể tiết lộ gì về người tiêu dùng

Các công ty hậu cần nắm giữ thông tin dễ bị bỏ qua. Tùy thuộc vào công ty và các hệ thống liên quan, các nền tảng vận chuyển và giao hàng có thể xử lý tên, địa chỉ, số điện thoại, địa chỉ email và thông tin chi tiết về những gì đang được gửi và nhận. Báo cáo nguồn không nêu rõ chính xác dữ liệu người tiêu dùng nào mà WhiteArmor đã lấy, vì vậy độc giả không nên giả định bất kỳ sự phơi nhiễm cụ thể nào. Nhưng loại dữ liệu nói chung là đáng để hiểu rõ.

Loại thông tin này hữu ích cho những kẻ lừa đảo. Một kẻ tội phạm biết tên, địa chỉ và một đơn giao hàng dự kiến của bạn có thể tạo ra một tin nhắn giả mạo thuyết phục về một gói hàng bị lỡ hoặc một khoản phí hải quan. Ngay cả dữ liệu một phần cũng có thể khiến lừa đảo phishing trở nên cá nhân hóa.

Điều này có ý nghĩa gì với bạn

Hầu hết mọi người sẽ không bao giờ đối mặt trực tiếp với WhiteArmor. Sự phơi nhiễm của bạn đến một cách gián tiếp, thông qua các công ty xử lý các lô hàng của bạn. Bạn thậm chí có thể không biết công ty hậu cần nào đứng sau một đơn giao hàng nhất định, vì các nhà môi giới vận tải và nhà cung cấp bên thứ ba thường hoạt động phía sau nhà bán lẻ mà bạn thực sự đã đặt hàng.

Rủi ro thực tế ít liên quan đến thiết bị của bạn mà nhiều hơn đến gian lận tiếp theo: tin nhắn lừa đảo, thông báo giao hàng giả và các nỗ lực chiếm đoạt tài khoản sử dụng thông tin chi tiết bị rò rỉ để trông có vẻ hợp pháp. Một VPN không ngăn được một vụ xâm nhập tại một công ty nắm giữ dữ liệu của bạn, vì vậy các biện pháp phòng vệ hữu ích ở đây là vệ sinh tài khoản và sự hoài nghi.

Các bước để bảo vệ tài khoản và dữ liệu cá nhân của bạn

  • Xem lại các tài khoản vận chuyển và giao hàng. Kiểm tra những hãng vận tải, chợ trực tuyến và nhà bán lẻ nào nắm giữ địa chỉ và thông tin thanh toán của bạn, và xóa các tài khoản bạn không còn sử dụng.
  • Sử dụng mật khẩu mạnh và duy nhất. Một trình quản lý mật khẩu giúp điều này trở nên khả thi. Việc tái sử dụng chính là điều biến một vụ xâm nhập thành nhiều vụ.
  • Bật xác thực hai yếu tố. Ưu tiên ứng dụng xác thực hoặc khóa phần cứng hơn SMS khi dịch vụ cho phép.
  • Đối xử với tin nhắn giao hàng một cách hoài nghi. Không nhấp vào liên kết trong tin nhắn văn bản hoặc email bất ngờ về các gói hàng. Truy cập trực tiếp vào ứng dụng hoặc trang web chính thức của hãng vận tải và tự nhập số theo dõi của bạn.
  • Theo dõi hoạt động bất thường. Giám sát thẻ thanh toán và tài khoản email để phát hiện các khoản phí hoặc cảnh báo đăng nhập lạ.
  • Hạn chế những gì bạn chia sẻ. Khi có thể, tránh lưu thông tin thanh toán với các dịch vụ giao hàng và chỉ sử dụng thông tin mà một đơn giao hàng thực sự yêu cầu.

Những điểm chính

Chiến dịch tống tiền dữ liệu hậu cần bằng ransomware WhiteArmor cho thấy cách các trang rò rỉ công khai, đồng hồ đếm ngược và các yêu cầu tiền chuộc lớn được sử dụng để buộc phải trả tiền, và cách một trình mã hóa được tuyên bố có thể làm tăng thêm mức độ nghiêm trọng. Nhiều chi tiết cụ thể vẫn chưa được xác nhận, vì vậy cần thận trọng với cả các tuyên bố của nhóm này và bất kỳ giả định nào về sự phơi nhiễm.

Cách phản ứng tốt nhất là hành động dựa trên những gì bạn kiểm soát. Hãy xem lại các tài khoản vận chuyển và giao hàng của bạn ngay hôm nay, chuyển sang thông tin đăng nhập mạnh và duy nhất, và bật xác thực hai yếu tố. Để có cái nhìn cụ thể về cách một danh sách WhiteArmor xuất hiện và những gì vẫn chưa được xác nhận, hãy đọc bài phân tích của chúng tôi về danh sách trên trang rò rỉ Whirlpool.