Tại Sao Bản Sao Bất Biến Vẫn Bị Tấn Công Bởi Ransomware

Bản sao bất biến đã trở thành giải pháp được nhiều tổ chức lựa chọn để cố gắng vượt qua các băng nhóm ransomware. Lời quảng cáo rất đơn giản: khóa một bản sao dữ liệu của bạn để nó không thể bị thay đổi, xóa hoặc mã hóa, và kẻ tấn công sẽ mất đi lợi thế của chúng. Nhưng một bài đăng blog gần đây từ công ty khôi phục dữ liệu DriveSavers đã phản bác lại giả định đó, chỉ ra lý do tại sao bản sao bất biến vẫn có thể bị xâm phạm, tại sao công cụ giải mã không phải lúc nào cũng là mạng lưới an toàn mà nạn nhân mong đợi, và vị trí thực sự của dịch vụ khôi phục dữ liệu chuyên nghiệp trong kế hoạch ứng phó ransomware.

Tính Bất Biến Là Một Thiết Lập, Không Phải Một Sự Đảm Bảo

Ý tưởng cốt lõi đằng sau lưu trữ bất biến là một khi dữ liệu được ghi, nó không thể bị thay đổi hoặc xóa trong một khoảng thời gian lưu giữ nhất định, ngay cả khi có quyền truy cập quản trị. Sự bảo vệ đó là có thật, nhưng nó phụ thuộc hoàn toàn vào cách nó được cấu hình và quản lý. Nếu chính sách lưu giữ được đặt quá ngắn, nếu thông tin đăng nhập có quyền vô hiệu hóa tính bất biến bị xâm phạm, hoặc nếu phần mềm sao lưu tự bị khai thác trước khi khóa có hiệu lực, sự bảo vệ có thể bị gỡ bỏ hoặc vượt qua hoàn toàn.

Đây là một sự khác biệt quan trọng đối với bất kỳ ai dựa vào bản sao bất biến như một tuyến phòng thủ duy nhất. Công nghệ làm giảm rủi ro, nhưng nó không loại bỏ được các lỗi con người và cấu hình mà các nhà điều hành ransomware ngày càng nhắm vào. Những kẻ tấn công hiểu kiến trúc sao lưu sẽ tấn công lớp quản lý, các tài khoản và các khoảng thời gian thay vì cố gắng phá khóa bất biến không thể phá vỡ. Điều này phù hợp với những gì các nhà nghiên cứu bảo mật đã ghi nhận trong các chiến dịch ransomware khác, bao gồm các nhóm vận hành mô hình RaaS của Anubis Ransomware từ tháng 12 năm 2024, vốn cho thấy xu hướng thích nghi chiến thuật với bất kỳ biện pháp phòng thủ nào tổ chức triển khai. Bài viết bao quát hơn của DriveSavers về chủ đề này, trong một bài viết đồng hành về bản sao bất biến như tuyến phòng thủ cuối cùng chống ransomware, cũng đưa ra quan điểm tương tự: tính bất biến nâng cao rào cản, chứ không loại bỏ nó.

Khi Công Cụ Giải Mã Sẽ Không Cứu Được Bạn

Giả định thứ hai mà bài viết của DriveSavers thách thức là niềm tin rằng việc có được hoặc mua một công cụ giải mã đảm bảo khôi phục sạch sẽ. Các công cụ giải mã, dù được kẻ tấn công cung cấp sau khi thanh toán hay được các nhà nghiên cứu phát hành khi họ bẻ khóa một chủng ransomware cũ, không phải là giải pháp phổ quát. Các tệp tin vẫn có thể bị hỏng trong quá trình mã hóa, công cụ giải mã có thể thất bại trên một số loại tệp nhất định hoặc dữ liệu bị ghi đè một phần, và việc trả tiền không phải lúc nào cũng tạo ra một khóa hoạt động.

Điều này khớp với các phát hiện từ nghiên cứu gần đây khác về kết quả thanh toán tiền chuộc. Một nghiên cứu bao phủ Australia và New Zealand cho thấy 36% các khoản thanh toán tiền chuộc thất bại trong việc khôi phục dữ liệu, và nghiên cứu riêng tại Anh cho thấy 22% người trả tiền chuộc ransomware đối mặt với vụ tống tiền lần thứ hai sau khi đã trả một lần. Nhìn chung, những con số này củng cố lập luận của DriveSavers: coi việc thanh toán hoặc giải mã như một điểm kết thúc thay vì điểm khởi đầu khiến các tổ chức phải đối mặt với những thất bại lặp đi lặp lại.

Nơi Khôi Phục Dữ Liệu Thực Sự Phù Hợp

Đây là nơi các dịch vụ khôi phục dữ liệu chuyên nghiệp xuất hiện, không phải để thay thế bản sao lưu hoặc công cụ giải mã, mà như một lớp bổ sung khi cả hai đều thất bại. Khi các bản sao bất biến không đầy đủ, bị hỏng hoặc không thể truy cập, và khi công cụ giải mã không tồn tại hoặc không khôi phục hoàn toàn các tệp tin sử dụng được, công việc khôi phục chuyên môn đôi khi có thể tái tạo dữ liệu trực tiếp từ phương tiện lưu trữ bị hỏng hoặc các phân vùng bị mã hóa một phần. Đây là một quá trình chậm hơn, kỹ thuật hơn so với việc khôi phục từ bản sao lưu sạch, nhưng nó tồn tại chính xác để lấp khoảng trống giữa những gì bản sao lưu hứa hẹn và những gì chúng thực sự mang lại trong một sự cố thực tế.

Quy mô của vấn đề nhấn mạnh lý do tại sao khoảng trống đó quan trọng. Hoạt động ransomware tiếp tục gia tăng trên toàn cầu, với dữ liệu khu vực cho thấy các tổ chức tại Tây Ban Nha chiếm khoảng 3% tổng số vụ tấn công ransomware trên toàn thế giới vào năm 2025. Sự lan rộng về mặt địa lý đó có nghĩa là việc lập kế hoạch sao lưu và khôi phục không còn là mối quan tâm CNTT nhỏ lẻ, mà là yêu cầu vận hành cơ bản cho các tổ chức ở hầu hết mọi quy mô.

Điều Này Có Ý Nghĩa Gì Đối Với Bạn

Đối với cả cá nhân và doanh nghiệp, thông điệp chính không phải là bản sao bất biến không hiệu quả. Mà là chúng cần là một phần của chiến lược đa lớp thay vì là một sự đảm bảo độc lập. Quyền riêng tư và tính toàn vẹn dữ liệu phụ thuộc vào toàn bộ chuỗi: cách bản sao lưu được cấu hình, ai nắm quyền truy cập quản trị, tốc độ khóa bất biến được áp dụng sau khi dữ liệu được ghi, và các tùy chọn dự phòng nào tồn tại nếu cả bản sao lưu và công cụ giải mã đều thất bại. Các tổ chức coi lưu trữ bất biến như một giải pháp hoàn chỉnh thay vì một hệ thống được duy trì là những tổ chức có khả năng cao nhất khám phá ra giới hạn của nó trong một cuộc tấn công thực tế.

Bài Học Hành Động

Rà soát những ai có quyền quản trị có khả năng thay đổi hoặc vô hiệu hóa thiết lập bất biến, và giới hạn quyền truy cập đó ở mức chặt chẽ nhất có thể. Kiểm tra việc khôi phục bản sao lưu thường xuyên thay vì giả định rằng riêng tính bất biến đã đồng nghĩa với khả năng khôi phục. Đừng coi một công cụ giải mã, dù mua hay không, là giải pháp chắc chắn cho đến khi các tệp tin thực sự được xác minh là nguyên vẹn. Và giữ một chuyên gia khôi phục dữ liệu trong kế hoạch ứng phó sự cố của bạn như một tùy chọn dự phòng, vì cả bản sao bất biến và công cụ giải mã đều có những điểm thất bại đã được ghi nhận mà quy trình khôi phục đôi khi vẫn có thể xử lý.