Phần mềm tống tiền mã hóa các tập tin và yêu cầu thanh toán để lấy khóa giải mã. Trường hợp đầu tiên được ghi nhận là vào năm 1989, được phát tán trên đĩa mềm. Phiên bản hiện đại là một ngành công nghiệp tội phạm. Các nhóm như LockBit, BlackCat và Cl0p vận hành các chương trình liên kết. Các đối tác liên kết đột nhập, triển khai phần mềm độc hại và thương lượng tiền chuộc. Các nhà phát triển được hưởng một phần. Yêu cầu tiền chuộc đã lên tới hàng chục triệu đô la. Colonial Pipeline đã trả 4,4 triệu đô la vào năm 2021 sau một cuộc tấn công bằng phần mềm tống tiền làm gián đoạn việc vận chuyển nhiên liệu trên khắp miền đông Hoa Kỳ.

Mã độc tống tiền hiện đại không chỉ mã hóa dữ liệu. Trước tiên, chúng đánh cắp dữ liệu và đe dọa công bố chúng nếu nạn nhân không trả tiền chuộc. Chiến thuật tống tiền kép này gây áp lực lên các tổ chức có hệ thống sao lưu tốt. Ngay cả khi họ khôi phục từ bản sao lưu, dữ liệu vẫn bị rò rỉ. Một số nhóm bỏ qua hoàn toàn việc mã hóa và chỉ đe dọa công bố các tập tin bị đánh cắp. Khả năng ứng phó đã được cải thiện. Các bản sao lưu trở nên bền vững hơn. Cơ quan thực thi pháp luật đã triệt phá nhiều nhóm tội phạm lớn. Nhưng vấn đề vẫn chưa được giải quyết. Các nhóm mã độc tống tiền thích nghi, đổi tên và quay trở lại. Những nguyên tắc cơ bản vẫn rất quan trọng: vá lỗi, phân vùng hệ thống, sao lưu ngoại tuyến và diễn tập khôi phục.

Các yếu tố thiết yếu để phòng chống mã độc tống tiền

• Sao lưu ngoại tuyến — các bản sao bất biến không thể mã hóa.
• Vá lỗi — khắc phục các lỗ hổng mà kẻ tấn công sử dụng.
• Phân vùng — giới hạn phạm vi lây lan của phần mềm độc hại
• Xác thực đa yếu tố (MFA) — chặn truy cập ban đầu dựa trên thông tin xác thực
• Diễn tập khắc phục sự cố — thực hành khôi phục trước khi sự cố thực sự xảy ra.

Việc trả tiền chuộc sẽ dẫn đến cuộc tấn công tiếp theo. Điều này cũng không đảm bảo dữ liệu sẽ được khôi phục. Khôi phục từ bản sao lưu là con đường duy nhất đáng tin cậy.