Mục lục
Ransomware: Phòng chống mã độc tống tiền
Mấy năm gần đây, tôi gặp vô số cuộc gọi khẩn cấp từ các công ty khi server của họ bị "khóa" — toàn bộ dữ liệu biến thành những file có đuôi lạ, kèm một bức ảnh nền buồn bã với yêu cầu chuyển Bitcoin vào ví nào đó. Lần đầu tiên nghe chuyện này, tôi tưởng đó là những trường hợp biệt lệ. Nhưng theo Statista, năm 2024 có trên 3.200 cuộc tấn công ransomware ở Mỹ một ngày — tức là mỗi 27 giây, có một tổ chức nào đó bị đánh cắp dữ liệu. Ở Việt Nam, con số không công bố chính thức nhưng chắc chắn không tệ hơn.
Tại sao ransomware lại nguy hiểm đến vậy?
Không phải vì nó phức tạp từ góc độ kỹ thuật — phần lớn cuộc tấn công ransomware đều bắt đầu từ những cách cơ bản đến nhạt nhẽo: một nhân viên click vào link lạ trong email, một thằng hacker weak password không tầm gì, hoặc tận dụng một lỗ hổng chưa được vá trong phần mềm quản lý từ xa như RDP hoặc TeamViewer. Điều khiến ransomware nguy hiểm là tốc độ và quy mô tác động.
Từ khi hacker truy cập được hệ thống (thường qua một lateral movement khập khiễng đến không tưởng), họ chỉ cần vài tiếng là đã mã hóa toàn bộ dữ liệu và backup của bạn. Nếu backup không offline hoặc không isolated, thì khoảnh khắc kế tiếp, cả backup cũng thành cứt. Tôi từng thấy một công ty chế biến thực phẩm ở Bình Dương mất 3 tuần chỉ để restore từ backup tape lưu trong góc phòng máy chủ — tin tức là họ có backup, nhưng không có quy trình clear.
Các "nhân vật" chủ yếu trong thế giới ransomware
Hiện nay, những gang tội ransomware ơi, chúng đã hoạt động như những công ty thật: có tên tuổi, có chiến lược, thậm chí có customer support. LockBit, BlackCat (cũng gọi là ALPHV), Cl0p, Synnolocker — mỗi cái là một thương hiệu với phong cách tấn công riêng. Một số group chuyên "chọc" các nhà cung cấp dịch vụ nhỏ (như Synology hoặc các NAS) để từ đó lan sang hàng ngàn doanh nghiệp khác. Cách chúng hoạt động ngày nay cũng thông minh hơn: thay vì chỉ mã hóa dữ liệu, chúng đánh cắp dữ liệu trước, rồi mới mã hóa. Kế đó, chúng đăng tải dữ liệu lên "leak site" của riêng mình, công bố công khai công ty nào bị tấn công. Kỹ xảo này gọi là "double extortion" — buộc bạn phải trả tiền không chỉ vì dữ liệu bị mã hóa, mà còn vì sợ dữ liệu bị công bố ra công chúng.
Khi đó, bạn làm gì?
Chia sẻ bài viết
