Mã độc tống tiền (ransomware) là phần mềm độc hại mã hoá file và hệ thống của doanh nghiệp rồi đòi tiền chuộc để đưa khoá giải mã, thường còn chép trộm dữ liệu trước để doạ công bố. Doanh nghiệp nhỏ bị dính chủ yếu qua vài "cửa" dễ đoán: email lừa đảo, cổng truy cập từ xa để mở với mật khẩu yếu, thiết bị không cập nhật bản vá và phần mềm bẻ khoá. Đóng những cửa đó, hạn chế người có quyền quản trị và giữ một bản sao lưu ngoại tuyến là chặn được phần lớn các vụ tấn công, hoặc ít nhất sống sót qua được.
Trả tiền không bảo đảm lấy lại được dữ liệu và không ngăn được dữ liệu bị đánh cắp đem đi dùng bậy. Bảo vệ thật nằm ở chuẩn bị: biết mình sẽ làm gì vào buổi sáng màn hình hiện thông báo đòi tiền chuộc, trước khi chuyện đó xảy ra.
Một vụ mã độc tống tiền thường diễn ra thế nào
Mã độc tống tiền hiếm khi ập tới trong một khoảnh khắc. Thường thì kẻ tấn công trước hết kiếm được một chỗ đứng: một nhân viên mở file đính kèm, mật khẩu truy cập từ xa bị đoán trúng, hoặc một tường lửa cũ có lỗ hổng đã biết bị khai thác. Sau đó chúng lặng lẽ dò quanh mạng nội bộ, tìm tài khoản quản trị, tìm chỗ để bản sao lưu và file quan trọng, và thường chép dữ liệu ra ngoài.
Chuẩn bị xong, có khi sau vài ngày hay vài tuần, chúng mới tung đòn mã hoá, hay chọn ban đêm hoặc dịp nghỉ lễ khi không ai trông. Sáng ra, file mang đuôi lạ, chương trình không mở được, và một thông báo hướng dẫn cách trả tiền.
Nắm được trình tự này rất quan trọng cho phòng thủ. Có nhiều cơ hội để chặn: ở cửa đầu tiên, khi kẻ tấn công đi lại trong mạng, và khi chúng tìm tới bản sao lưu. Doanh nghiệp nhỏ trụ được thường là đã chặn được một trong các bước đó, kể cả khi không chặn được bước đầu.
Nó cũng cho thấy câu "mình nhỏ quá, ai thèm nhắm tới" là sai. Nhiều cuộc tấn công là tự động và "tiện đâu đánh đó". Máy quét đi tìm bất cứ cổng truy cập từ xa nào để mở hay thiết bị nào có lỗ hổng trên internet, còn email lừa đảo được gửi đi hàng loạt. Nhỏ không phải là lá chắn; cửa mở mới là thứ hút kẻ tấn công.
Những cửa mã độc tống tiền hay đi vào nhất
Email lừa đảo. File đính kèm giả làm hoá đơn, thông báo giao hàng, giấy tờ thuế, hay đường link tới trang đăng nhập giả để lấy mật khẩu email.
Truy cập máy tính từ xa mở thẳng ra internet. Máy tính hay máy chủ vào được trực tiếp từ internet với mật khẩu dễ đoán là một trong những lối vào phổ biến nhất.
Tường lửa, VPN, router chưa vá. Thiết bị ở rìa mạng có lỗ hổng đã công bố luôn bị dò quét và khai thác. Cập nhật cho chúng quan trọng không kém cập nhật máy tính.
Phần mềm lậu và bẻ khoá. Chương trình crack, công cụ kích hoạt bản quyền, bản "miễn phí" của phần mềm trả phí là đường quen thuộc để cài mã độc. Tiết kiệm tiền bản quyền có thể trả giá bằng cả doanh nghiệp.
Mật khẩu dùng lại hoặc đã bị lộ. Mật khẩu của nhân viên lộ từ trang web khác được đem thử vào email công ty và cổng truy cập từ xa.
Dùng tài khoản quản trị cho việc hằng ngày. Người dùng lướt web, mở email bằng quyền quản trị thì mã độc họ lỡ chạy cũng có quyền y như vậy.
Đơn vị IT hoặc công cụ hỗ trợ từ xa bị xâm nhập. Kẻ tấn công chiếm được công cụ của bên cung cấp dịch vụ IT có thể với tới nhiều khách hàng. Hỏi đơn vị IT của mình họ bảo vệ quyền truy cập ra sao.
USB và máy tính dùng chung. Giờ ít gặp hơn, nhưng vẫn là đường vào ở những văn phòng hay chép file bằng USB qua lại giữa nhà và chỗ làm.
Danh sách phòng ngừa làm dần trong tháng này
Không bước nào đòi ngân sách lớn. Làm lần lượt cùng người đang lo IT cho công ty.
- Bật xác thực hai lớp cho email và mọi kiểu truy cập từ xa. Chặn được phần lớn các vụ tấn công dựa trên mật khẩu bị đánh cắp.
- Đóng truy cập máy tính từ xa ra internet. Nhân viên cần làm từ xa thì dùng VPN hoặc dịch vụ truy cập từ xa an toàn có xác thực hai lớp.
- Cập nhật tất cả, kể cả thiết bị ở rìa mạng. Máy tính, máy chủ, tường lửa, router, thiết bị VPN, máy in. Thiết bị nào hãng đã ngừng cập nhật thì thay.
- Gỡ phần mềm lậu. Thay bằng bản có bản quyền hoặc phần mềm miễn phí hợp pháp.
- Tách tài khoản quản trị khỏi tài khoản dùng hằng ngày. Nhân viên dùng tài khoản thường; quyền quản trị chỉ dùng khi thật cần.
- Tạo bản sao lưu ngoại tuyến hoặc không sửa được, và thử khôi phục. Đây là bước quyết định một vụ tấn công là thảm hoạ hay chỉ là một tuần tồi tệ.
- Cài và theo dõi phần mềm bảo mật. Phần mềm bảo vệ máy trạm hiện đại trên mọi máy, cảnh báo gửi tới người thật sự đọc.
- Huấn luyện nhân viên bằng ví dụ thật. Cho xem chính những email lừa đảo đã lọt vào hộp thư công ty và thống nhất cách báo khi gặp tin đáng ngờ.
Giữ một danh sách ngắn ghi đã làm gì, lúc nào. Nó giúp khi xem lại năm sau, và khi làm việc với chuyên gia nếu có sự cố.
Vì sao trả tiền chuộc không phải là một phương án
Có chủ doanh nghiệp nghĩ tệ nhất thì trả tiền là xong. Nghĩ vậy rất nguy hiểm. Công cụ giải mã do kẻ tấn công đưa có thể chậm, lỗi hoặc giải không hết. Có nhóm nhận tiền rồi biến mất. Có nhóm quay lại lần nữa, vì biết công ty này chịu trả.
Chuyện đánh cắp dữ liệu càng làm bức tranh khác đi. Nếu file đã bị chép ra trước khi mã hoá, trả tiền mua khoá chẳng ngăn được dữ liệu bị đem bán hay công bố. Dữ liệu khách hàng, nhân viên có thể đã bị lộ, kéo theo những nghĩa vụ riêng và thiệt hại uy tín.
Việc chuyển tiền cho nhóm tội phạm còn có thể dính tới vấn đề pháp lý, tài chính, mỗi nước một khác và thay đổi theo thời gian. Doanh nghiệp nào đứng trước quyết định đó nên báo công an và nhờ người tư vấn pháp lý, bảo mật có chuyên môn, đừng tự mình thương lượng.
Phương án đáng tin duy nhất là tự khôi phục được mà không cần kẻ tấn công. Điều đó dựa vào bản sao lưu chúng không với tới được, và vào việc biết cách dựng lại hệ thống cho sạch. Lên kế hoạch trước rẻ hơn mọi khoản tiền chuộc.
Chuẩn bị gì trước khi có chuyện
Viết một kế hoạch một trang. Trong đó ghi ai quyết định, gọi ai (đơn vị IT, ngân hàng nếu có thể ảnh hưởng thanh toán, công an), ngắt máy bị nhiễm khỏi mạng thế nào, bản sao lưu ngoại tuyến nằm đâu, và nhân viên liên lạc với nhau bằng gì nếu email tê liệt.
In sẵn danh sách số điện thoại quan trọng, vì lúc bị tấn công có khi không mở nổi file hay email. Cất bản kế hoạch và danh bạ ở chỗ nằm ngoài các hệ thống chính.
Thống nhất từ trước: không ai tự bật lại máy, xoá file hay liên lạc với kẻ tấn công khi chưa có người quyết định đồng ý. Những việc làm có ý tốt trong giờ đầu tiên có thể xoá mất dấu vết hoặc làm mã độc lan thêm.
Mỗi năm diễn tập trên bàn một lần: ngồi với nhau ba mươi phút, tưởng tượng sáng thứ Hai màn hình hiện thông báo đòi tiền chuộc, rồi đi qua từng bước kế hoạch. Lỗ hổng tìm ra trong nửa tiếng đó rẻ hơn rất nhiều so với lỗ hổng lộ ra lúc sự cố thật.
Câu hỏi thường gặp
Chỉ cần phần mềm diệt virus có chặn được ransomware không?
Có giúp, nhưng chưa đủ. Kẻ tấn công thường tắt công cụ bảo mật sau khi vào được, nên xác thực hai lớp, cập nhật, hạn chế quyền quản trị và sao lưu ngoại tuyến quan trọng không kém.
Thấy thông báo đòi tiền chuộc thì làm gì trước tiên?
Ngắt các máy bị ảnh hưởng khỏi mạng, nếu được thì đừng tắt máy, gọi đơn vị IT và trình báo công an. Đừng liên lạc với kẻ tấn công hay xoá file trước khi có chuyên gia tư vấn.
Máy Mac có an toàn trước ransomware không?
Máy Mac ít bị nhắm hơn máy Windows nhưng không miễn nhiễm, và ổ dùng chung hay tài khoản đám mây chúng kết nối vẫn có thể bị ảnh hưởng. Áp dụng cùng thói quen trên mọi hệ thống.
Bảo hiểm an ninh mạng có đáng cho doanh nghiệp nhỏ không?
Có thể giúp chi phí khôi phục và có chuyên gia hỗ trợ, nhưng các hợp đồng rất khác nhau và thường đòi phải có biện pháp bảo mật cơ bản. Đọc kỹ điều kiện và hỏi người tư vấn bảo hiểm có chuyên môn.
Vì sao phần mềm lậu lại nguy hiểm như vậy?
Bản crack và công cụ kích hoạt cần quyền rất sâu vào máy và đến từ nguồn không rõ, nên là chỗ giấu mã độc lý tưởng. Chúng cũng không được nhận các bản cập nhật bảo mật.
