Ngày 30/9/2026, cảnh sát nhiều nước châu Âu phối hợp trong Chiến dịch KillSwitch, đánh sập hạ tầng của băng ransomware KillSec, thu giữ ít nhất 110 TB dữ liệu bị đánh cắp và tạm bắt ba nghi phạm. Người bị cho là quản trị viên kiêm vận hành chính mới 16 tuổi. Cuộc điều tra do Đức dẫn đầu, liên quan khoảng 1.000 vụ tấn công nghi vấn trên toàn thế giới.
Chiến dịch KillSwitch diễn ra thế nào
Theo BleepingComputer, cuộc điều tra bắt đầu từ năm 2025 và đạt đỉnh bằng một đợt hành động đồng loạt ngày 30/9/2026. Cảnh sát khám xét tám địa điểm ở Hy Lạp, Romania, Tây Ban Nha và Anh. Lực lượng tham gia gồm Bỉ, Mỹ, Phần Lan, Đức, Hy Lạp, Hà Lan, Romania, Tây Ban Nha, Thụy Sĩ, Anh, cùng Europol, Eurojust và hai công ty bảo mật Bitdefender, Group-IB.
Cảnh sát Hamburg cho biết năm máy chủ đã bị kiểm soát, gồm máy chủ chính của KillSec và một số máy dùng để lưu dữ liệu đánh cắp. Trang leak trên dark web của nhóm giờ hiện biểu ngữ thu giữ. Các tên miền khác của KillSec được chuyển hướng về thông báo của cơ quan thực thi pháp luật.
Những người bị bắt và vai trò
Ngoài nghi phạm 16 tuổi bị cho là quản trị viên, nhà chức trách xác định một người phát triển vừa tròn 18 tuổi vào tháng 8/2026, tức vẫn là trẻ vị thành niên khi một phần hành vi diễn ra. Các vai trò khác như người đàm phán tiền chuộc và thành viên liên kết (affiliate) cũng đã được nhận diện.
Bài của eSecurity Planet ngày 4/10/2026 bổ sung: lực lượng Guardia Civil của Tây Ban Nha xác nhận đã bắt một thiếu niên quốc tịch Romania tại Alicante. Công tố Mỹ cũng buộc tội một người Hà Lan tên Fouad Eltibrizi, biệt danh "Archduke", về các tội truy cập trái phép, phá hoại máy tính và tống tiền; người này bị bắt tại Anh ngày 30/9 và đang chờ dẫn độ.
KillSec là ai
KillSec, còn gọi là Kill Security hay k1llsec, được Group-IB phát hiện lần đầu năm 2024. Đây là một nền tảng ransomware dạng dịch vụ (RaaS): thành viên liên kết dùng hạ tầng của nhóm và trả lại một phần tiền chuộc. Mô hình này đã được phân tích kỹ trong bài về Ransomware-as-a-Service, và KillSec là ví dụ cho thấy nó hạ thấp rào cản gia nhập tới mức nào.
Group-IB theo dõi 274 tổ chức bị nhóm công khai trên trang leak, khoảng 35% ở Mỹ và 17% ở Ấn Độ; dịch vụ tài chính và y tế là hai ngành chịu ảnh hưởng nhiều nhất trong bộ dữ liệu này. Con số của cảnh sát lớn hơn nhiều: khoảng 500 vụ được xác định là thành công trên tổng số khoảng 1.000 vụ nghi vấn, trong đó ít nhất 70 vụ liên quan tổ chức Đức và 18 vụ ở Hamburg. Nhà chức trách lưu ý con số có thể còn thay đổi.
Cách nhóm xâm nhập
Theo mô tả của nhà chức trách được hai trang tin dẫn lại, KillSec không dựa vào kỹ thuật độc đáo:
- Khai thác lỗ hổng phần mềm chưa vá trên hệ thống lộ ra internet.
- Lợi dụng điểm truy cập bảo vệ kém, đặc biệt là kho lưu trữ đám mây và thiết bị biên.
- Lấy cắp dữ liệu rồi đe dọa công bố trên trang leak nếu không trả tiền.
- Dùng trí tuệ nhân tạo để duy trì hạ tầng và tìm nạn nhân tiềm năng.
Europol nói nhóm đã nhận được những khoản tiền chuộc "đáng kể". Nhà chức trách cũng đang lần theo dòng tiền, gồm cả tiền mã hóa, từ máy chủ và thiết bị thu giữ.
Thủ lĩnh tuổi teen: chuyện không còn hiếm
Một nghi phạm 16 tuổi đứng đầu băng tống tiền với hàng trăm nạn nhân nghe có vẻ khó tin, nhưng nó phản ánh hai xu hướng. Thứ nhất, công cụ và hạ tầng tội phạm được bán, cho thuê sẵn, người điều hành không cần tự viết mã độc. Thứ hai, AI giúp tự động hóa những việc trước đây cần nhiều người, từ dò mục tiêu tới viết thư tống tiền.
Với phụ huynh, câu chuyện là lời nhắc rằng kỹ năng máy tính của con có thể bị kéo vào hướng sai qua các cộng đồng trực tuyến. Hướng lành mạnh hơn cho người trẻ đam mê bảo mật là các cuộc thi CTF, chương trình săn lỗi hợp pháp và lộ trình nghề nghiệp mũ trắng.
Bài học phòng thủ cho doanh nghiệp
eSecurity Planet tổng hợp một số khuyến nghị đi kèm tin triệt phá. Có thể sắp xếp lại theo thứ tự ưu tiên cho doanh nghiệp vừa và nhỏ ở Việt Nam:
- Vá nhanh hệ thống lộ ra internet và tắt dịch vụ không cần thiết. Các bước kiểm kê và cập nhật được hướng dẫn trong bài phát hiện và vá lỗ hổng trên máy chủ.
- Bắt buộc xác thực đa yếu tố, áp dụng quyền tối thiểu và rà soát định kỳ tài khoản đặc quyền.
- Siết quyền quản trị trên kho lưu trữ đám mây, hypervisor và bảng điều khiển quản lý.
- Phân vùng mạng, hạn chế cổng và giao thức không dùng tới.
- Tập trung nhật ký và cảnh báo khi có lượng dữ liệu lớn bị chuyển ra ngoài hoặc quyền bị thay đổi bất thường.
- Giữ bản sao lưu ngoại tuyến hoặc bất biến, diễn tập khôi phục định kỳ.
Điểm cuối cùng thường bị xem nhẹ với kiểu tống tiền chỉ đánh cắp dữ liệu như KillSec: sao lưu không ngăn được việc dữ liệu bị công bố. Vì vậy, kiểm soát luồng dữ liệu ra ngoài và mã hóa dữ liệu nhạy cảm khi lưu trữ quan trọng không kém.
Cuộc điều tra chưa khép lại
Các cơ quan đang phân tích máy tính, máy chủ và dữ liệu thu giữ để tìm thêm nạn nhân và lần theo tiền thu lợi. Số vụ tấn công thành công có thể tăng khi phân tích xong. Với các tổ chức từng nhận thư tống tiền mang tên KillSec mà chưa trình báo, đây là thời điểm hợp lý để liên hệ cơ quan chức năng, vì dữ liệu thu giữ có thể giúp xác định phạm vi rò rỉ.
Đối với người lao động trong doanh nghiệp, phần việc của mỗi cá nhân cũng không nhỏ: báo ngay khi thấy email đòi tiền hoặc thông báo đăng nhập lạ, không tự ý cài công cụ truy cập từ xa, và không lưu dữ liệu khách hàng trên kho đám mây cá nhân.
Câu hỏi thường gặp
Doanh nghiệp từng bị KillSec tống tiền có lấy lại được dữ liệu không?
Cảnh sát đã thu giữ ít nhất 110 TB dữ liệu bị đánh cắp để ngăn truy cập tiếp, nhưng các bài báo chưa nói dữ liệu sẽ được xóa hay trả lại thế nào. Nạn nhân nên liên hệ cơ quan điều tra nơi mình đặt trụ sở để được hướng dẫn.
Vì sao một thiếu niên có thể điều hành cả băng ransomware?
Mô hình ransomware dịch vụ cho phép thuê hạ tầng, công cụ và người đàm phán. Nhà chức trách còn cho biết nhóm dùng AI để duy trì hạ tầng và tìm mục tiêu, khiến rào cản kỹ năng thấp hơn trước.
KillSec có tấn công doanh nghiệp Việt Nam không?
Các nguồn được dẫn trong bài không nêu nạn nhân tại Việt Nam. Dữ liệu của Group-IB cho thấy Mỹ và Ấn Độ chiếm tỷ trọng lớn nhất trong số tổ chức bị công khai.
Lưu ý: Bài viết mang tính giáo dục, giúp bạn hiểu rủi ro và tự bảo vệ. Thế Giới Ngầm không hướng dẫn truy cập trái phép, mua bán hàng cấm hay bất kỳ hành vi vi phạm pháp luật nào.
