Trong nhiều năm, công thức thành công của ransomware vẫn đơn giản nhưng cực kỳ hiệu quả: mã hóa hoặc đánh cắp dữ liệu quan trọng của tổ chức, sau đó tống tiền để buộc họ phải chi trả nhằm khôi phục hoặc giữ bí mật. Tuy nhiên, thời gian gần đây, nhiều chính phủ trên thế giới đã bắt đầu đưa ra các biện pháp quản lý, thậm chí cấm hoàn toàn hành vi thanh toán tiền chuộc.
Tháng 7 vừa qua, Vương quốc Anh công bố kế hoạch cấm các cơ quan thuộc khu vực công trả tiền chuộc. Quy định này áp dụng với các đơn vị y tế, hội đồng địa phương, trường học, và các nhà vận hành hạ tầng quan trọng quốc gia. Tại Mỹ, nhiều đề xuất đang được đưa ra nhằm bắt buộc doanh nghiệp phải báo cáo các khoản thanh toán tiền chuộc cho cơ quan quản lý. Bắt đầu từ tháng 9/2025, bang Ohio yêu cầu chính quyền địa phương phải được phê duyệt chính thức trước khi chi trả cho tin tặc trong các vụ tấn công ransomware.
Tuy nhiên, trong khi các đề xuất vẫn đang trong quá trình hình thành, nhiều tổ chức vẫn tiếp tục trả tiền, vô tình duy trì vòng luẩn quẩn khiến ransomware tiếp tục trở thành trụ cột trong nền kinh tế tội phạm mạng. Báo cáo Verizon DBIR 2025 cho thấy ransomware xuất hiện trong 44% tổng số sự cố xâm nhập, tăng 37% so với năm trước. Cybersecurity Ventures ước tính chi phí do tội phạm mạng gây ra trên toàn cầu đạt 9,5 nghìn tỷ USD trong năm 2024.
Một yếu tố then chốt trong thành công của ransomware chính là chiến thuật đánh cắp dữ liệu (data exfiltration), vốn làm gia tăng đáng kể áp lực buộc nạn nhân phải chi tiền, ngay cả khi họ có hệ thống sao lưu đáng tin cậy. DBIR 2025 chỉ ra vì sao áp lực này đặc biệt hiệu quả:
-
Chi phí gián đoạn hoạt động kinh doanh: Tỷ lệ sự cố liên quan đến bên thứ ba đã tăng gấp đôi, đạt 30%, trong khi tấn công chuỗi cung ứng kéo dài đáng kể thời gian gián đoạn. Nghiên cứu từ Big Panda cho thấy chi phí trung bình mỗi phút downtime lên tới 14.056 USD với mọi tổ chức, và 23.750 USD với các doanh nghiệp lớn.
-
Bùng nổ rò rỉ dữ liệu: Bí mật và thông tin xác thực ngày càng bị rò rỉ công khai trên các kho mã nguồn mở hoặc chợ ngầm. Điều này tạo điều kiện để tin tặc dễ dàng xâm nhập hệ thống nhạy cảm. DBIR ghi nhận 441.000 secrets bị rò rỉ trên các repository công khai.
-
Sự mong manh của doanh nghiệp vừa và nhỏ (SMB): Các SMB đặc biệt dễ tổn thương vì thiếu khả năng phục hồi khi đối mặt với downtime kéo dài, khiến họ dễ bị buộc phải trả tiền hơn. Ransomware xuất hiện trong 88% sự cố SMB, so với chỉ 39% ở doanh nghiệp lớn.
Cuối cùng, chi phí downtime, tổn thất uy tín, và rủi ro pháp lý thường cao hơn nhiều so với khoản tiền chuộc, khiến nhiều tổ chức buộc phải cân nhắc “chi tiền để yên chuyện”, ngay cả khi chưa chắc chắn có thể khôi phục hệ thống.
Một lý do khác khiến ransomware vẫn sống sót và bùng phát là nhờ sự tiến hóa liên tục:
-
Chiến dịch ngày càng khó phát hiện: Sự xuất hiện của AI trong các chiến dịch tấn công, kết hợp với ransomware đa hình (polymorphic), giúp mã độc có khả năng “biến hình” khiến giải pháp phòng thủ truyền thống gần như bất lực.
-
Khai thác lỗ hổng hệ thống: Tin tặc tận dụng triệt để các lỗ hổng chưa vá trong phần mềm, đặc biệt ở các thiết bị hướng Internet, edge hoặc gateway. Hiện nay, việc khai thác lỗ hổng chiếm 20% phương thức truy cập ban đầu của ransomware. Trong đó, các zero-day nhắm vào thiết bị edge đã tăng gấp 8 lần so với năm trước.
-
Ransomware không file và mang tính phá hoại: Hoạt động hoàn toàn trong bộ nhớ hệ thống, bỏ qua các chiến lược khôi phục truyền thống, khiến ngay cả các tổ chức được chuẩn bị kỹ lưỡng cũng khó khôi phục hoạt động.
Trong khi chính phủ còn đang tranh luận về lệnh cấm và quy định công khai chi trả, tội phạm mạng đã kịp mở rộng bề mặt tấn công. Thay vì chờ đợi yếu tố bên ngoài, doanh nghiệp cần chuyển từ việc “trả tiền” sang “phòng ngừa” thông qua các biện pháp phòng thủ chủ động (preemptive defenses) và tăng cường khả năng phục hồi (resilience).
Các biện pháp này bao gồm:
-
Phát hiện bất thường bằng AI, giúp nhận diện hành vi lạ trước khi xảy ra mã hóa hoặc đánh cắp dữ liệu.
-
Kiến trúc Zero Trust, đảm bảo nguyên tắc tối thiểu đặc quyền (least privilege) và hạn chế di chuyển ngang (lateral movement).
-
Sử dụng thông tin xác thực tạm thời (ephemeral credentials) và giám sát liên tục để ngăn lạm dụng tài khoản.
-
Tích hợp phản ứng sự cố thống nhất giữa CNTT, an ninh mạng và kế hoạch duy trì hoạt động (business continuity) để giảm tối đa downtime.
-
Kiểm thử định kỳ và diễn tập tabletop nhằm đảm bảo chiến lược ứng phó luôn bắt kịp các chiến thuật ransomware đang tiến hóa.
Nếu bạn đã đọc DBIR 2025, bạn sẽ thấy ransomware đang tăng trưởng với tốc độ đáng báo động. Và có lẽ, từ kinh nghiệm thực tế, bạn cũng hiểu rằng việc chống đỡ ngày nay khó khăn hơn bao giờ hết. Dù các cuộc thảo luận về việc cấm chi trả hay yêu cầu báo cáo đang ngày càng được quan tâm, thì vẫn sẽ còn rất nhiều nạn nhân lựa chọn trả tiền chuộc như giải pháp ngắn hạn. Nhưng điều đó không đảm bảo khả năng khôi phục hoàn toàn hệ thống, cũng không giúp ngăn chặn tái diễn trong tương lai.
Cách tiếp cận đúng đắn nhất chính là loại bỏ ransomware ngay từ đầu — bằng cách triển khai phòng ngừa, tăng cường khả năng phục hồi và củng cố các lớp phòng thủ chiến lược.
