Ransomware-as-a-Service (RaaS) là mô hình mà một nhóm nhỏ viết và vận hành mã độc tống tiền, rồi "cho thuê" nó cho các nhóm cộng tác (affiliate) đi tấn công nạn nhân, sau đó chia nhau tiền chuộc. Nhờ cách phân công này, tống tiền bằng mã hóa dữ liệu trở thành một ngành kinh tế ngầm có quy trình, có bộ phận hỗ trợ và có cả "thương hiệu". Hiểu được mô hình kinh doanh đó giúp doanh nghiệp thấy vì sao trả tiền chuộc hiếm khi là lối thoát, và vì sao các vụ triệt phá lớn như Hive hay LockBit lại nhắm vào hạ tầng và lòng tin trong chính băng nhóm.
Bài viết mang tính giáo dục, dựa trên thông tin cơ quan thực thi pháp luật và báo chí đã công bố.
Từ một kẻ tấn công đơn lẻ đến chuỗi cung ứng tội phạm
Thời kỳ đầu, mã độc tống tiền thường do một cá nhân hoặc nhóm nhỏ tự làm từ đầu đến cuối: viết mã, phát tán qua email rác, tự thu tiền. Từ giữa thập niên 2010, cách làm thay đổi theo hai hướng. Thứ nhất, kẻ tấn công chuyển sang nhắm vào tổ chức như bệnh viện, nhà máy, chuỗi bán lẻ, nên mức tiền chuộc tăng vọt. Thứ hai, công việc được tách thành nhiều khâu chuyên môn hóa, mỗi khâu do một nhóm khác nhau đảm nhận và trao đổi với nhau trên các diễn đàn thế giới ngầm.
Kết quả là một chuỗi cung ứng giống nền kinh tế hợp pháp: một người không cần biết viết mã độc vẫn có thể tham gia nếu có kỹ năng xâm nhập mạng, và ngược lại.
Ai làm gì trong một băng nhóm RaaS
Các báo cáo của cơ quan an ninh mạng và các hãng bảo mật thường mô tả ba vai trò chính, cùng nhiều dịch vụ phụ trợ xung quanh.
| Vai trò | Công việc | Cách được trả công |
|---|---|---|
| Nhà phát triển (nhóm vận hành) | Viết và cập nhật mã độc, xây bảng điều khiển cho affiliate, vận hành trang rò rỉ và kênh đàm phán | Giữ một phần trăm của mỗi khoản tiền chuộc |
| Affiliate (cộng tác viên) | Xâm nhập mạng nạn nhân, leo thang quyền, đánh cắp dữ liệu, kích hoạt mã hóa | Nhận phần lớn tiền chuộc của vụ mình thực hiện |
| Môi giới truy cập ban đầu (IAB) | Bán sẵn "lối vào" mạng doanh nghiệp: tài khoản VPN, quyền truy cập từ xa, máy đã nhiễm mã độc | Bán đứt theo giá từng quyền truy cập |
| Dịch vụ phụ trợ | Rửa tiền mã hóa, thuê hạ tầng máy chủ, dịch thuật, "chăm sóc" đàm phán | Phí dịch vụ hoặc hoa hồng |
Điểm then chốt là affiliate thường nhận phần lớn tiền, còn nhóm vận hành giữ phần nhỏ hơn. LockBit từng công khai quảng cáo rằng affiliate được giữ khoảng 80% mỗi khoản tiền chuộc. Mức chia này giúp nhóm vận hành thu hút người giỏi và đứng xa khâu rủi ro nhất.
Môi giới truy cập ban đầu là mắt xích ít được chú ý nhưng rất quan trọng. Nhiều quyền truy cập họ bán có nguồn gốc từ mật khẩu bị lộ, thiết bị biên chưa vá lỗi hoặc máy tính nhân viên nhiễm mã độc đánh cắp thông tin. Một vụ tống tiền lớn có thể bắt đầu từ một bộ "log" tài khoản bán rẻ nhiều tháng trước.
Tống tiền kép và trang rò rỉ
Khi doanh nghiệp bắt đầu sao lưu tốt hơn và có thể tự khôi phục, việc chỉ mã hóa dữ liệu mất dần sức ép. Các băng nhóm phản ứng bằng tống tiền kép: trước khi mã hóa, họ lặng lẽ sao chép một lượng lớn dữ liệu ra ngoài. Nạn nhân giờ đối mặt hai mối đe dọa cùng lúc: hệ thống bị khóa, và dữ liệu nhạy cảm của khách hàng, nhân viên, đối tác sẽ bị công bố nếu không trả tiền.
Để mối đe dọa thứ hai có sức nặng, hầu hết nhóm RaaS lớn vận hành một trang rò rỉ trên mạng ẩn danh. Trang này liệt kê tên nạn nhân, kèm đồng hồ đếm ngược và đôi khi là mẫu dữ liệu để chứng minh. Nó vừa gây áp lực, vừa là "bảng quảng cáo" giúp tuyển thêm affiliate. Một số nhóm còn liên hệ trực tiếp khách hàng hoặc lãnh đạo của nạn nhân để tăng sức ép. Hậu quả của dữ liệu bị phát tán thường kéo dài hơn sự cố mã hóa, giống như những gì đã xảy ra trong các vụ rò rỉ dữ liệu lớn.
Đàm phán: một quy trình được kịch bản hóa
Phía băng nhóm thường cung cấp một cổng trò chuyện riêng cho từng nạn nhân, kèm hướng dẫn mua tiền mã hóa. Cuộc đàm phán có kịch bản khá quen thuộc: đưa ra mức giá ban đầu dựa trên doanh thu của nạn nhân mà họ tìm được, đề nghị "giải mã thử" vài tệp để chứng minh khả năng, đặt hạn chót và giảm giá nếu trả sớm.
Tiền chuộc thường đòi bằng tiền mã hóa vì chuyển nhanh, xuyên biên giới và khó thu hồi. Tuy vậy, giao dịch trên blockchain công khai để lại dấu vết có thể phân tích; chính điều này đã giúp cơ quan chức năng Mỹ thu hồi một phần tiền chuộc trong vụ Colonial Pipeline năm 2021. Bài bản chất ẩn danh của tiền mã hóa giải thích vì sao "ẩn danh" trên blockchain thực ra chỉ là bút danh.
Các vụ triệt phá được công bố
Hive, tháng 1/2023
Ngày 26 tháng 1 năm 2023, Bộ Tư pháp Mỹ công bố chiến dịch triệt phá Hive, một trong những nhóm RaaS hoạt động mạnh lúc đó. Điều đặc biệt là FBI đã bí mật thâm nhập hạ tầng của Hive từ tháng 7 năm 2022, lấy được khóa giải mã và âm thầm trao cho các nạn nhân trên khắp thế giới, giúp họ khôi phục dữ liệu mà không phải trả tiền. Theo Bộ Tư pháp Mỹ, cách làm này đã ngăn được các khoản tiền chuộc ước tính khoảng 130 triệu USD. Cuối chiến dịch, máy chủ và trang web của Hive bị thu giữ với sự phối hợp của Đức và Hà Lan.
LockBit và Chiến dịch Cronos, tháng 2/2024
LockBit nhiều năm liền được xem là thương hiệu RaaS lớn nhất. Tháng 2 năm 2024, Cơ quan Tội phạm Quốc gia Anh (NCA) dẫn đầu Chiến dịch Cronos cùng FBI và lực lượng của nhiều quốc gia, với sự điều phối của Europol, chiếm quyền kiểm soát hạ tầng của nhóm. Thay vì chỉ tắt trang rò rỉ, họ giữ nguyên giao diện và đăng thông báo của chính mình, theo đúng kiểu đếm ngược LockBit hay dùng với nạn nhân. Họ thu được khóa giải mã để hỗ trợ nạn nhân và tiết lộ rằng dữ liệu mà LockBit hứa đã xóa sau khi nhận tiền thực ra vẫn được giữ lại. Tháng 5 năm 2024, Anh, Mỹ và Úc công khai danh tính người bị cáo buộc là thủ lĩnh LockBit và áp lệnh trừng phạt.
LockBit sau đó cố hoạt động trở lại, nhưng đòn lớn nhất của Cronos nằm ở lòng tin: affiliate không còn chắc ai đang theo dõi bảng điều khiển của mình.
Khi băng nhóm tự sụp từ bên trong
Không phải mọi cú ngã đều đến từ cảnh sát. Đầu năm 2022, sau khi nhóm Conti tuyên bố ủng hộ Nga trong cuộc xung đột tại Ukraine, một người có quyền truy cập nội bộ đã làm rò rỉ hàng loạt tin nhắn trò chuyện của nhóm. Các đoạn chat cho thấy Conti vận hành như một công ty, có lương, quản lý và tuyển dụng. Ít lâu sau, thương hiệu Conti biến mất, dù các thành viên được cho là đã chuyển sang những nhóm khác.
Vì sao trả tiền chuộc không đảm bảo lấy lại dữ liệu
Trả tiền thường bị coi là cách nhanh nhất để quay lại hoạt động, nhưng thực tế phức tạp hơn:
- Công cụ giải mã có thể lỗi hoặc rất chậm. Khôi phục hệ thống lớn bằng công cụ của kẻ tấn công có thể mất nhiều ngày, và một số tệp không cứu được.
- Lời hứa xóa dữ liệu không có giá trị. Chiến dịch Cronos đã chứng minh trực tiếp rằng dữ liệu "đã xóa" vẫn còn trên máy chủ băng nhóm.
- Affiliate có thể quay lại. Một nạn nhân đã trả tiền chứng tỏ mình sẵn sàng trả, và lối vào ban đầu có thể vẫn còn nếu chưa được tìm ra và đóng lại.
- Băng nhóm có thể lừa nhau. Đã có trường hợp nhóm vận hành biến mất cùng tiền của affiliate, khiến nạn nhân trả tiền mà không ai cung cấp khóa.
- Rủi ro pháp lý. Một số quốc gia, như Mỹ, cảnh báo rằng thanh toán cho cá nhân hoặc tổ chức bị trừng phạt có thể vi phạm quy định trừng phạt.
Đó là lý do các cơ quan an ninh mạng lớn đều khuyến cáo không trả tiền chuộc, và khuyến khích nạn nhân báo cho cơ quan chức năng sớm. Như vụ Hive, đôi khi cơ quan chức năng đang nắm sẵn khóa giải mã.
Bài học phòng thủ ở mức nguyên tắc
Nhìn từ mô hình kinh doanh, có thể thấy mỗi khâu của chuỗi RaaS là một điểm để cắt đứt:
- Đóng lối vào mà IAB rao bán: bắt buộc xác thực đa yếu tố cho truy cập từ xa và email, vá kịp thời thiết bị biên như VPN, tường lửa.
- Làm khó việc leo thang và di chuyển trong mạng: cấp quyền tối thiểu, tách riêng tài khoản quản trị, phân đoạn mạng để một máy bị chiếm không mở được cả hệ thống.
- Phát hiện việc sao chép dữ liệu ra ngoài: tống tiền kép cần thời gian rút dữ liệu, và lưu lượng bất thường là dấu hiệu sớm.
- Sao lưu tách biệt và diễn tập khôi phục: bản sao lưu ngoại tuyến hoặc không thể sửa đổi, được thử khôi phục định kỳ, quyết định doanh nghiệp có bị dồn vào thế phải trả tiền hay không.
- Có sẵn kế hoạch ứng phó: biết trước ai quyết định, ai liên hệ cơ quan chức năng, ai thông báo cho khách hàng, thay vì bàn bạc giữa lúc khủng hoảng.
Ransomware là một ngành có phân công lao động, nên phòng thủ cũng phải nghĩ theo chuỗi: làm mỗi khâu tốn kém và rủi ro hơn với kẻ tấn công.
Câu hỏi thường gặp
RaaS khác gì với mã độc tống tiền thông thường?
Về kỹ thuật, mã độc có thể tương tự. Khác biệt nằm ở mô hình: với RaaS, người viết mã độc không trực tiếp tấn công mà cho affiliate thuê, rồi chia tiền chuộc theo tỷ lệ thỏa thuận. Nhờ vậy số vụ tấn công tăng lên vì nhiều nhóm cùng dùng một công cụ.
Bị tên trên trang rò rỉ có nghĩa là dữ liệu đã bị công bố?
Chưa chắc. Tên nạn nhân thường được đăng kèm hạn chót để gây áp lực, và dữ liệu có thể được công bố sau đó hoặc một phần. Đôi khi băng nhóm còn phóng đại lượng dữ liệu đã lấy. Tổ chức bị nêu tên cần điều tra độc lập để xác định thực tế đã mất gì.
Doanh nghiệp ở Việt Nam bị tấn công ransomware nên báo cho ai?
Nên liên hệ sớm cơ quan công an, cụ thể là lực lượng an ninh mạng của Bộ Công an, và cơ quan điều phối ứng cứu sự cố an toàn thông tin quốc gia. Nếu sự cố liên quan dữ liệu cá nhân, doanh nghiệp còn có nghĩa vụ thông báo theo quy định về bảo vệ dữ liệu cá nhân.
Sau khi băng nhóm bị triệt phá, nạn nhân cũ có lấy lại được dữ liệu không?
Trong một số trường hợp có. Ở các chiến dịch như Hive và Cronos, cơ quan chức năng thu được khóa giải mã và chủ động liên hệ hoặc mở kênh hỗ trợ nạn nhân. Dự án No More Ransom do Europol cùng các đối tác lập ra cũng tập hợp công cụ giải mã miễn phí cho nhiều họ mã độc.
Lưu ý: Bài viết mang tính giáo dục, giúp bạn hiểu rủi ro và tự bảo vệ. Thế Giới Ngầm không hướng dẫn truy cập trái phép, mua bán hàng cấm hay bất kỳ hành vi vi phạm pháp luật nào.
