Chainalysis: Thanh toán tiền chuộc ransomware vượt 1 tỷ USD vào năm 2023

Nhờ vào ransomware, những tên tội phạm đã kiếm được số tiền kỷ lục 1 tỷ USD vào năm 2023 khi các tổ chức và cơ sở hạ tầng cao cấp trở thành mục tiêu của các cuộc tấn công tinh vi.

Theo ​​“Báo cáo tội phạm tiền điện tử” năm 2024 của Chainalysis tập trung vào ransomware, các cuộc tấn công chuỗi cung ứng nghiêm trọng đã xảy ra bằng cách sử dụng phần mềm truyền tệp phổ biến MOVEit, làm ảnh hưởng đến những cái tên quen thuộc như BBC và British Airways.

Một yếu tố góp phần vào sự trỗi dậy trở lại của ransomware vào năm 2023 là sự leo thang về “tần suất, phạm vi và số lượng các cuộc tấn công”. Nhiều tác nhân khác nhau đã thực hiện các cuộc tấn công, từ các cá nhân và nhóm tội phạm nhỏ đến các tập đoàn lớn.

Khoản thanh toán tiền chuộc hàng năm đạt đỉnh mới vào năm 2023, vượt quá 1 tỷ USD. Nguồn: Chainalysis

Chainalysis trích dẫn dữ liệu và thông tin chi tiết từ công ty an ninh mạng Recorded Future, công ty đã báo cáo 538 biến thể ransomware mới vào năm 2023. Báo cáo cũng cung cấp hình ảnh trực quan về các loại ransomware khác nhau theo quy mô và tần suất thanh toán, minh họa sự đa dạng của các chiến lược tội phạm.

Báo cáo lưu ý rằng các nhóm ransomware như CL0P đã sử dụng chiến lược “big-game hunting” (săn thú lớn) để thực hiện ít cuộc tấn công hơn so với các loại ransomware khác nhưng thu về khoản thanh toán lớn hơn sau mỗi cuộc tấn công:

“Cl0p đã tận dụng các lỗ hổng zero-day cho phép nó tống tiền hàng loạt nạn nhân giàu có, thúc đẩy kẻ khai thác áp dụng chiến lược lọc dữ liệu thay vì mã hóa.”

Trong khi đó, các nhóm ransomware như Phobos về cơ bản vận hành mô hình RaaS (ransomware-as-a-service), cho phép các chi nhánh tội phạm truy cập vào phần mềm độc hại để thực hiện các cuộc tấn công. Những kẻ khai thác cốt lõi sau đó sẽ kiếm được một phần tiền chuộc.

*Ransomware-as-a-service (RaaS): là một mô hình kinh tế của tội phạm mạng, cho phép các nhà phát triển phần mềm độc hại có thể kiếm tiền từ các sản phẩm mình tạo ra mà không cần phát tán mối đe dọa.

Hình ảnh trực quan về các biến thể ransomware theo quy mô và tần suất thanh toán trung bình. Nguồn: Chainalysis

Chainalysis mô tả mô hình này thường nhắm vào các thực thể nhỏ hơn với số tiền chuộc thấp hơn, dựa vào số lượng lớn các cuộc tấn công nhỏ hơn, đóng vai trò như một hệ số nhân để rút tiền.

Những kẻ tấn công ransomware cũng thường xuyên đổi thương hiệu và tạo ra các biến thể chồng chéo để tránh xa những loại đã được xác định trước đó liên quan đến các biện pháp trừng phạt và điều tra. Chainalysis sử dụng phân tích blockchain để hiển thị các liên kết on-chain giữa các ví của các biến thể ransomware khác nhau.

Các lỗ hổng zero-day cũng là nguyên nhân đáng kể gây ra các sự cố ransomware có ảnh hưởng lớn vào năm 2023. Các cuộc tấn công này thường nhắm vào các lỗ hổng bảo mật trong dịch vụ, hệ thống, sản phẩm hoặc ứng dụng của công ty trước khi các nhà phát triển có thể tạo và phân phối bản sửa lỗi.

Việc CL0P khai thác phần mềm truyền tệp MOVEit vào năm 2023 là một ví dụ điển hình, vì sản phẩm của họ được sử dụng bởi nhiều ứng dụng CNTT và đám mây khác nhau, đồng thời làm lộ dữ liệu của hàng trăm tổ chức và hàng triệu người dùng.

Chiến lược này đã giúp CL0P trở thành biến thể ransomware “nổi bật” nhất trên toàn hệ sinh thái. Vào tháng 6 và tháng 7 năm 2023, chủng này đã tích lũy được hơn 100 triệu USD tiền chuộc, chiếm 44,8% giá trị của ransomware.

Năm 2023 chứng kiến ​​các cầu nối cross-chain, bộ trao đổi tức thời, bộ trộn và sàn giao dịch ngầm được sử dụng để rửa phần lớn số tiền bị lấy đi thông qua các cuộc tấn công ransomware.

Các con đường khác nhau mà bọn tội phạm sử dụng để rửa các khoản thanh toán ransomware bằng tiền điện tử. Nguồn: Chainalysis

Chainalysis cũng đề cập đến bản chất ngày càng phát triển của hoạt động chuyển tiền bị đánh cắp từ các cuộc tấn công ransomware. Các sàn giao dịch và máy trộn tập trung trong lịch sử là nơi ưa thích để rửa tiền ransomware.

• Bitcoin tăng là do chính phủ Hoa Kỳ mua BTC để trả cho những kẻ tấn công ransomware?