Nguyễn Tiến Đạt
Intern Writer
Một nghiên cứu mới từ Ransom-ISAC tiết lộ một cơ quan chính phủ tại Mỹ đã trả khoảng 1 triệu USD (9,44 BTC) cho nhóm tin tặc Kairos nhằm ngăn chặn việc công bố dữ liệu bị đánh cắp.
Điểm đáng chú ý là Kairos không sử dụng mã hóa dữ liệu như các cuộc tấn công ransomware truyền thống. Thay vào đó, nhóm này chỉ đánh cắp hơn 2 TB dữ liệu rồi đe dọa công khai nếu nạn nhân không trả tiền chuộc.
Các bằng chứng từ nội dung đàm phán và dữ liệu blockchain cho thấy nạn nhân nhiều khả năng là Quận Union (Ohio). Trước đó, địa phương này từng thông báo vụ tấn công mạng khiến dữ liệu của hơn 45.000 cư dân và nhân viên bị đánh cắp, bao gồm số an sinh xã hội, thông tin tài chính, hộ chiếu và dấu vân tay.
Quá trình thương lượng kéo dài gần một tháng. Kairos ban đầu đòi 3 triệu USD, trong khi phía nạn nhân chỉ đề nghị 100.000 USD. Sau nhiều lần đàm phán, hai bên chốt mức thanh toán 1 triệu USD trước thời hạn để tránh dữ liệu bị phát tán.
Theo các chuyên gia, khoản tiền chuộc không đảm bảo dữ liệu đã được xóa hoàn toàn. "Bằng chứng xóa dữ liệu" do tin tặc cung cấp chỉ chứng minh chúng từng sở hữu các tệp tin, chứ không thể xác nhận dữ liệu đã bị xóa khỏi hệ thống của chúng.
Vụ việc cũng phản ánh xu hướng mới của tội phạm mạng: tống tiền bằng dữ liệu đánh cắp thay vì mã hóa hệ thống. Báo cáo của Sophos cho biết trong năm 2025, chỉ khoảng một nửa số vụ ransomware còn sử dụng mã hóa, mức thấp nhất trong sáu năm.
Các chuyên gia khuyến nghị các tổ chức, đặc biệt là cơ quan chính phủ và đơn vị công, cần triển khai xác thực đa yếu tố (MFA), giám sát các lần đăng nhập bất thường, phát hiện hoạt động truyền dữ liệu lớn ra ngoài, phân tách dữ liệu nhạy cảm và chuẩn bị sẵn kế hoạch ứng phó truyền thông. Đồng thời, không nên tin rằng việc trả tiền chuộc sẽ đảm bảo dữ liệu bị đánh cắp được xóa vĩnh viễn.
Điểm đáng chú ý là Kairos không sử dụng mã hóa dữ liệu như các cuộc tấn công ransomware truyền thống. Thay vào đó, nhóm này chỉ đánh cắp hơn 2 TB dữ liệu rồi đe dọa công khai nếu nạn nhân không trả tiền chuộc.
Các bằng chứng từ nội dung đàm phán và dữ liệu blockchain cho thấy nạn nhân nhiều khả năng là Quận Union (Ohio). Trước đó, địa phương này từng thông báo vụ tấn công mạng khiến dữ liệu của hơn 45.000 cư dân và nhân viên bị đánh cắp, bao gồm số an sinh xã hội, thông tin tài chính, hộ chiếu và dấu vân tay.
Quá trình thương lượng kéo dài gần một tháng. Kairos ban đầu đòi 3 triệu USD, trong khi phía nạn nhân chỉ đề nghị 100.000 USD. Sau nhiều lần đàm phán, hai bên chốt mức thanh toán 1 triệu USD trước thời hạn để tránh dữ liệu bị phát tán.
Theo các chuyên gia, khoản tiền chuộc không đảm bảo dữ liệu đã được xóa hoàn toàn. "Bằng chứng xóa dữ liệu" do tin tặc cung cấp chỉ chứng minh chúng từng sở hữu các tệp tin, chứ không thể xác nhận dữ liệu đã bị xóa khỏi hệ thống của chúng.
Vụ việc cũng phản ánh xu hướng mới của tội phạm mạng: tống tiền bằng dữ liệu đánh cắp thay vì mã hóa hệ thống. Báo cáo của Sophos cho biết trong năm 2025, chỉ khoảng một nửa số vụ ransomware còn sử dụng mã hóa, mức thấp nhất trong sáu năm.
Các chuyên gia khuyến nghị các tổ chức, đặc biệt là cơ quan chính phủ và đơn vị công, cần triển khai xác thực đa yếu tố (MFA), giám sát các lần đăng nhập bất thường, phát hiện hoạt động truyền dữ liệu lớn ra ngoài, phân tách dữ liệu nhạy cảm và chuẩn bị sẵn kế hoạch ứng phó truyền thông. Đồng thời, không nên tin rằng việc trả tiền chuộc sẽ đảm bảo dữ liệu bị đánh cắp được xóa vĩnh viễn.
Được phối hợp thực hiện bởi các chuyên gia của Bkav,
cộng đồng An ninh mạng Việt Nam WhiteHat
và cộng đồng Khoa học công nghệ VnReview
