Nguồn: ESET WeLiveSecurity

Tác giả: Phil Muncaster

Chủ nghĩa tin tặc không còn là điều mới, nhưng ranh giới gữa chủ nghĩa tin tặc truyền thống và các hoạt động được nhà nước hậu thuẫn ngày càng trở nên mờ nhạt, khiến nó trở thành một mối đe dọa mạnh mẽ hơn.

Chủ nghĩa tin tặc trỗi dậy trở lại sau cuộc xâm lược Ukraine của Nga vào tháng 2 năm 2022. Chưa đầy hai năm sau, các nhóm và cá nhân có động cơ chính trị lại hoạt động, lần này bề ngoài là để đưa ra quan điểm của họ trong bối cảnh xung đột Israel-Hamas.  Điều đáng lo ngại là những kẻ tấn công đã bị phát hiện sử dụng các chiến thuật ngày càng tinh vi và hung hãn để thu hút sự chú ý của công chúng.

Có lẽ điều đáng lo ngại hơn nữa là khả năng nhiều nhóm trên thực tế là được hỗ trợ hoặc thậm chí bao gồm các chủ thể quốc gia.  Thật vậy, ranh giới giữa các hoạt động mạng do nhà nước bảo trợ và chủ nghĩa tấn công mạng truyền thống đã trở nên mờ nhạt. Trong một thế giới ngày càng nổi bật bởi sự bất ổn chính trị và sự xói mòn của trật tự dựa trên quy tắc cũ, các tổ chức, đặc biệt là những tổ chức hoạt động trong cơ sở hạ tầng quan trọng, nên xem xét việc đưa mối đe dọa tấn công vào quản trị rủi ro của mình.

Có gì mới trong chủ nghĩa tin tặc?

Về cơ bản nhất, chủ nghĩa tin tặc là hành động phát động các cuộc tấn công mạng vì lý do chính trị hoặc xã hội.  Như một dấu hiệu cho thấy mức độ nghiêm trọng hiện nay, Hội Chữ Thập Đỏ năm ngoái đã ban hành 8 quy tắc đối với “tin tặc dân sự” hoạt động trong thời chiến, đồng thời lưu ý rằng những kẻ tấn công mạng đang ngày càng gây ảnh hưởng cho các mục tiêu phi quân sự như bệnh viện, hiệu thuốc và  các ngân hàng.

ĐỌC THÊM: ESET APT Activity Report Q4 2023–Q1 2024

Có thể dự đoán được, đa phần những kẻ tấn công không tuân thủ các nguyên tắc do Hội Chữ Thập Đỏ ban hành.  Thật vậy, việc điều tra nguyên nhân trực tuyến vẫn còn khó khăn, việc tham gia vào hoạt động tin tặc vẫn có ưu điểm nhiều hơn nhược điểm – đặc biệt nếu các cuộc tấn công được các quốc gia bí mật hậu thuẫn.

Cái cũ và cái mới

Cuộc xung đột Israel-Hamas hiện nay đã thu hút số lượng lớn các cuộc biểu tình chưa từng có trên khắp thế giới.  Và, ngay lập tức, nó đã dẫn đến sự gia tăng hoạt động trực tuyến.  Phần lớn điều này tương tự như các chiến thuật mà chúng tôi đã thấy trong các chiến dịch tin tặc trước đây, bao gồm:

• Tấn công DDoS: Theo một số nguồn tin, hoạt động DDoS do tin tặc điều khiển vào năm ngoái đã đạt đỉnh điểm vào tháng 10 ở “mức kỷ lục, sau cuộc xung đột giữa Israel và Hamas”. Điều này khiến Israel trở thành quốc gia bị những kẻ tấn công nhắm tới nhiều nhất;  với 1.480 cuộc tấn công DDoS được ghi nhận vào năm 2023, bao gồm một số tổ chức có tên tuổi lớn.
• Phá hủy giao diện web: Theo các nhà nghiên cứu của Đại học Cambridge, hơn 100 kẻ tấn công đã thực hiện hơn 500 cuộc tấn công phá hủy giao diện web trên các trang web của Israel trong tuần sau cuộc đột kích ngày 7 tháng 10. Các hành vi phá hoại web cấp độ thấp tương tự vẫn tiếp tục cho đến bây giờ.
• Dữ liệu bị đánh cắp: Một số nhóm tuyên bố đã đánh cắp và công bố dữ liệu từ Israel và các tổ chức đồng minh. Nói cách khác, những kẻ tấn công có thể xâm nhập vào hệ thống của công ty để lấy cắp thông tin riêng tư trước khi công khai nhằm gây bối rối hoặc gây tổn hại cho mục tiêu.

Tuy nhiên, cũng có những dấu hiệu cho thấy chủ nghĩa tin tặc đang trở nên có mục tiêu và tinh vi hơn:

• Một báo cáo cho thấy nhóm tin tặc AnonGhost đã khai thác lỗ hổng API trong ứng dụng “Red Alert”, ứng dụng này cung cấp cảnh báo tên lửa theo thời gian thực cho công dân Israel. Nhóm này “đã chặn thành công các yêu cầu, phát hiện các máy chủ và API dễ bị tấn công, đồng thời sử dụng các tập lệnh Python để gửi tin nhắn rác đến một số người dùng ứng dụng”.  Nhóm thậm chí còn tìm cách gửi tin nhắn giả cho người dân về bom hạt nhân.
• Các báo cáo khác lưu ý rằng kẻ tấn công đã đăng ảnh chụp màn hình cho thấy họ có quyền truy cập vào các thiết bị SCADA của hệ thống nước của Israel. Các nhà nghiên cứu không thể xác minh những tuyên bố này, nhưng cho rằng những kẻ tấn công có thể đã tiến hành các hoạt động trinh sát nhắm vào khu vực này.

Khi các quốc gia tham gia

Những kẻ tấn công có bí quyết kỹ thuật tiên tiến hơn và/hoặc quyền truy cập vào các công cụ và kiến ​​thức về tội phạm mạng ngầm có thể đứng đằng sau các cuộc tấn công sau.  Tuy nhiên, không thể loại trừ sự ủng hộ của nhà nước.  Nhiều quốc gia ngụy trang là chủ nghĩa hacktivism để tấn công các quốc gia khác và đồng minh của họ.

ĐỌC THÊM: Nhà nước bảo trợ hoặc có động cơ tài chính: Có sự khác biệt nào nữa không?

Trên thực tế, các nhóm bị nghi ngờ có liên quan đến Nga dường như đã có lịch sử lâu dài về việc này, bao gồm cả những nhóm có biệt danh là Anonymous Sudan, đã hạ gục nhiều mục tiêu ở phương Tây.  Nhóm này đã tuyên bố tấn công tờ The Jerusalem Post và một số trang khác nhắm vào các hệ thống điều khiển công nghiệp (ICS), bao gồm Hệ thống vệ tinh dẫn đường toàn cầu của Israel, Mạng điều khiển và tự động hóa tòa nhà và Modbus ICS.  Một nhóm thân với Nga khác là Killnet tuyên bố đã đánh sập một trang web của chính phủ Israel và trang web của cơ quan an ninh Shin Bet.

Mặc dù các cuộc tấn công này có quy mô lớn đáng chú ý nhưng vẫn có dấu hiệu được nhà nước hậu thuẫn giả dạng chủ nghĩa tin tặc một các tinh vi hơn.  Cố gắng đưa thông tin sai lệch bao gồm việc sử dụng các hình ảnh do AI tạo ra nhằm mục đích công khai các cuộc tấn công bằng tên lửa, xe tăng đi qua các khu dân cư đổ nát hoặc các gia đình đang tìm kiếm những người sống sót trong đống đổ nát.

Trọng tâm ở đây là tạo ra những hình ảnh tạo ra phản ứng cảm xúc mạnh mẽ – chẳng hạn như ảnh một em bé khóc giữa đống đổ nát sau đánh bom, được lan truyền rộng rãi vào cuối năm ngoái.  Các tài khoản mạng xã hội và Telegram giả mạo đã khuếch đại thông tin sai lệch.  Một trường hợp ví dụ, chủ sở hữu X – Elon Musk, có vẻ đã quảng cáo một bài đăng từ một tài khoản giả mạo có lượt xem là 11 triệu sau đó xóa nó.

Các nhà nghiên cứu bảo mật đã quan sát thấy hoạt động phối hợp đáng ngờ sau vụ tấn công của Hamas – có thể cho thấy có sự tham gia của nhà nước.  Một nghiên cứu cho biết ít nhất 30 nhóm tin tặc đã ngay lập tức chuyển hoạt động sang xung đột trong vòng 48 giờ.

Làm thế nào các tổ chức có thể quản lý rủi ro tin tặc

Cho dù mối đe dọa tin tặc đến từ các nhóm thực sự, những người làm việc liên kết với lợi ích nhà nước hay chính các đặc vụ nhà nước bí mật của quốc gia, thì cũng vẫn là mối đe. Những nhóm như vậy đang ngày càng nhắm tới các tổ chức thuộc khu vực tư nhân dám lên tiếng về các vấn đề nhạy cảm về chính trị. Trong một số trường hợp, họ có thể làm như vậy đơn giản vì nhóm được cho là có liên kết với một đảng nào đó. Hoặc để che đậy những mục tiêu quốc gia tinh vi hơn.

Dù lý do là gì, các tổ chức có thể làm theo các bước cấp cao cơ bản sau để giảm thiểu rủi ro tin tặc:

• Đặt những câu hỏi phù hợp: Chúng ta có phải là mục tiêu không? Những tài sản nào có nguy cơ? Bề mặt tấn công (attack surface) của chúng ta lớn đến mức nào? Các biện pháp hiện tại có đủ để giảm thiểu rủi ro tin tặc không? Đây là nơi đánh giá rủi ro mạng toàn diện đối với cơ sở hạ tầng bên ngoài của bạn có thể hữu ích.
• Đóng mọi lỗ hổng được phát hiện bởi các đánh giá như vậy, bao gồm các lỗ hổng hoặc cấu hình sai – tốt nhất nhất thực hiện một cách liên tục và tự động.
• Đảm bảo tài sản được bảo vệ khỏi các mối đe dọa tại email, thiết bị đầu cuối, mạng và hybrid cloud layer và liên tục theo dõi các mối đe dọa bằng các công cụ XDR/MDR.
• Sử dụng thông tin về mối đe dọa để thu thập, phân tích và hành động dựa trên thông tin về các mối đe dọa hiện tại và mới nổi.
• Áp dụng mã hóa mạnh mẽ, cả khi lưu trữ và khi truyền, để bảo vệ dữ liệu nhạy cảm khỏi bị đọc hoặc sửa đổi bởi các bên trái phép.
• Tăng cường quản lý danh tính và quyền truy cập với cơ sở không tin cậy và xác thực đa yếu tố (MFA), đồng thời theo dõi các mẫu truy cập dữ liệu đáng ngờ.
• Liên tục chạy các chương trình đào tạo và nâng cao nhận thức nhân viên.
• Hợp tác với bên thứ ba đáng tin cậy để giảm thiểu DDoS.
• Xây dựng và thử nghiệm một kế hoạch toàn diện để ứng phó sự cố.

Chủ nghĩa tin tặc không còn là điều mới, nhưng ranh giới gữa chủ nghĩa tin tặc truyền thống và các hoạt động được nhà nước hậu thuẫn ngày càng trở nên mờ nhạt, khiến nó trở thành một mối đe dọa mạnh mẽ hơn.Có lẽ đã đến lúc suy nghĩ lại về kế hoạch quản lý rủi ro của bạn.

Nguồn: welivesecurity by ESET

Tác giả: Phil Muncaster

Cách các phương pháp sao lưu hay nhất giúp đẩy khả năng phục hồi và cải thiện cyber-hygiene cho công ty bạn

Liệu công ty bạn có còn tồn tại nếu các kho dữ liệu quan trọng nhất bỗng bị tin tặc mã hóa hoặc xóa mất? Đây là trường hợp xấu nhất mà rất nhiều tổ chức đã gặp phải do mã độc tống tiền. Nhưng cũng có nhiều trường hợp khác tạo nên rủi ro nghiêm trọng cho các doanh nghiệp.

Để đánh dấu Tháng Nhận Thức Anh Ninh Mạng (CSAM), chúng tôi đã xem xét cả cá nhân và công ty đã không chuẩn bị tốt, để xem họ chuẩn bị thất bại như thế nào. Hôm nay, chúng ta sẽ đi sâu hơn một chút vào một khía cạnh cụ thể về cách các công ty có thể giúp thúc đẩy khả năng phục hồi và cải thiện cyber-hygiene.

Sao lưu một bản dữ liệu là một cách an toàn mà khá nhiều người đã không làm và lãnh hậu quả. Và ngay cả những người đã sao lưu cũng có thể đẩy tổ chức đến bờ vực rủi ro. Đúng thật là vậy, sao lưu cũng có thể trở thành một mục tiêu.

Tại sao bạn cần sao lưu?

Có lẽ mã độc tống tiền là thứ giúp nâng cao nhận thức về sao lưu dữ liệu nhất. Tương lai, phần mềm độc hại sẽ được thiết kế để mã hóa tất cả dữ liệu của công ty – bao gồm cả các bản sao lưu được kết nối – điều này thúc đẩy các công ty ồ ạt đầu tư vào các biện pháp giàm thiểu. Và có vẻ chúng hữu ích. Theo một ước tính, tỷ lệ nạn nhân trả tiền cho những kẻ tống tiền đã giảm từ 85% trong quý 1 năm 2019 xuống chỉ còn 35% trong quý 4 năm 2022. Do mã độc tống tiền hiện tại vẫn còn là một vấn đề bất cân xứng với các doanh nghiệp vừa và nhỏ, mối đe dọa từ các tin tặc bên ngoài vẫn là động lực chính thúc đẩy cho các bản sao lưu.

ĐỌC: Báo cáo Tâm lý Bảo mật Kỹ thuật số các doanh nghiệp vừa và nhỏ của ESET: Tác hại của vi phạm

Tuy nhiên, đó chưa phải là duy nhất. Hãy xem xét các rủi ro sau, có thể sao lưu sẽ giúp giảm thiểu tỷ lệ rủi ro:

• Các cuộc tấn công tống tiền phá hoại dữ liệu, một phần được thúc đẩy bởi hệ sinh thái dịch vụ tội phạm mạng, trong đó, dữ liệu được lọc và mã hóa ổ địa trước khi yêu cầu tiền chuộc. Báo cáo mối đe dọa của ESET từ tháng 9 đến tháng 12 năm 2022 cho thấy các tin tặc ngày càng tai quái, chẳng hạn như bắt chước mã độc tống tiền và mã hóa dữ liệu của nạn nhân nhưng không có ý định cung cấp khóa giải mã.
• Việc nhân viên vô tình xóa dữ liệu cũng là một rủi ro, đực biệt là khi dữ liệu riêng tư được vào và các thiết bị cá nhân nhưng không sao lưu. Những thiết bị này cũng có thể bị mất hoặc đánh cắp.
• Các mối đe dọa vật lý: lũ lụt, hỏa hoạn và các thảm họa thiên nhiên khác có thể làm sập các văn phòng và trung tâm dữ liệu, điều này cho thấy việc lưu trữ một bản sao dữ liệu ở một vị trí địa lý khác là vô cùng quan trọng.
• Các yêu cầu về tuân thủ quy định và kiểm toán đang trở nên nặng nề hơn bao giờ hết. Bạn không cung cấp đủ thông tin theo yêu cầu của doanh nghiệp, có thể dẫn đến bị phạt tiền hoặc chế tài khác.

Tuy khó để định giá, nhưng nếu không sao lưu, có thể sẽ phải trả cái giá khá đắt. Khoản thanh toán cho mã độc tống tiền, trung bình trong quý 4/2022 là hơn 400.000 USD. Chưa kể đến nhiều chi phi trực tiếp và gián tiép khác, cả về tài chính lẫn danh tiếng.

Cần phải làm như thế nào?

Chiến lược sao lưu tốt nhất không cần đến hộp đen. Hãy xem xét 10 cách sau đây:

1. Xây dựng một chiến lược
   Nghe có vẻ hiển nhiên, nhưng cần thiết lên kế hoạch cẩn thận đảm bảo bất cứ chiến lược nào cũng phù hợp với yêu cầu của tổ chức. Hãy xem đây là một phần trong kế hoạch khắc phục thảm họa?duy trì kinh doanh. Bạn sẽ cần phải xem xét những thứ như rủi ro và tác hại của việc mất dữ liệu, cùng như việc khôi phục lại.
2. Xác định dữ liệu bạn cần sao lưu
   Khám phá và phân loại dữ liệu là bước quan trọng đầu tiên trong quy trình. Bạn không thể sao lưu những gì bạn không thể nhìn thấy. Không phải tất cả dữ đều quan trọng tới mức cần được sao lưu.  Cần phân loại chúng theo mức ảnh hưởng khi chúng bị mất, tùy theo khả năng chấp nhận rủi ro của công ty bạn
3. Thực hiện theo quy tắc 3-2-1
   Nghĩa là bạn cần tạo 3 bản sao lưu, 2 bản ở 2 phương tiện khác nhau, 1 bản còn lại được lưu trữ ngoại tuyến bên ngoài. Phần cuối cùng rất quan trọng, vì mã độc tống tiền thường săn lùng và mã hóa các dữ liệu sao lưu được kết nối trên cùng một mạng.
4. Mã hóa và bảo vệ các bản sao lưu của bạn
   Vì các tác nhân đe dọa cũng tìm các bản sao lưu để tống tiền, nên cần phải mã hóa các bản sao lưu, làm cho chúng không thể tống tiền bằng những dữ liệu trong đó. Điều này củng cố thêm một lớp phòng thủ cho cơ chế 3-2-1 (ít nhất 3 bản sao lưu, 2 bản lưu trữ 2 nơi và 1 bản ngoại tuyến).
5. Đừng quên dữ liệu đám mây (SaaS)
   Rất nhiều công ty sử dụng phần mềm dạng dịch vụ để lưu dữ liệu. Điều đó có thể tạo nên cảm giác an toàn, nhưng đừng lầm tưởng. Thực tế, cần phải thêm một lớp bảo vệ bổ sung bằng cách sao lưu nó.
6. Thường xuyên kiểm tra bản sao lưu
   Khi cần thiết, nếu không thể khôi phục đúng cách thì việc sao lưu là hoàn toàn vô nghĩa. Đây là lý do tại sao bạn nên kiểm tra chúng thường xuyên để đảm bảo dữ liệu đang được sao lưu đúng và có thể được truy xuất khi cần.
7. Chạy sao lưu đều đặn
   Tương tự, nếu bản sao lưu quá cũ thì nó cũng không giúp ích được nhiều. Chính xác hơn, tần suất sao lưu phụ thuộc vào thời gian kinh doanh của bạn. Một cửa hàng trực tuyến bận rộn sẽ yêu cầu sao lưu gần như là liên tục, một số ngành khác có thể không cần sao lưu quá thường xuyên. Tóm lại, tính nhất quán chính là chìa khóa
8. Chọn đối tác công nghệ của bạn một cách cẩn thận
   Không có hai doanh nghiệp nào là hoàn toàn giống nhau. Nhưng có một vài tính năng đáng chú ý. Khả năng tương thích với các hệ thống hiện có, dễ sử dụng, lên lịch linh hoạt và chi phí, các yếu tố này đều là các yếu tố hàng đầu. Tuy thuộc vào quy mô và quỹ đạo tăng trưởng của doanh nghiệp, khả năng mở rộng cũng có thể là yếu tố quan trọng.
9. Đừng quên thiết bị đầu cuối
   Sao lưu ổ đĩa mạng và cửa hàng đám mây là một chuyện. Nhưng đừng quên, dữ liệu phong phú có thể đều nằm hết tại các thiết bị như máy tính xách tay và điện thoại thông minh. Cần phải thêm chúng vào chiến lược/chính sách sao lưu của công ty.
10. Nhìn xa hơn đối với các bản sao lưu
    Đừng quên, sao lưu chỉ là một phần của câu đố. Bạn nên bổ sung bằng các công cụ bảo mật thiết bị đầu cuối, mạng và lớp máy chủ / đám mây, công cụ phát hiện và phản hồi mở rộng, v.v. Ngoài ra, hãy làm theo các phương pháp hay nhất liên quan đến cyber-hygiene như liên tục sửa lỗi, quản lý mật khẩu và ứng phó sự cố.

Dữ liệu là tài sản quan trọng nhất của bạn. Hãy xây dựng một chiến lược dự phòng cho công ty, đừng để đến khi quá trễ.

ĐỌC THÊM: Doanh nghiệp vừa và nhỏ: Mục tiêu lớn cho các cuộc tấn công mã độc tống tiền