Mã độc tống tiền và sao lưu offline: kế hoạch cho văn phòng nhỏ

Mã độc tống tiền (ransomware) mã hoá tệp trên máy rồi đòi tiền để trả lại quyền truy cập. Không chỉ tập đoàn lớn bị nhắm đến: văn phòng nhỏ với kế toán, hợp đồng và dữ liệu khách hàng nằm trên vài máy tính và một ổ chia sẻ cũng là mục tiêu dễ. Điều tốt là phần lớn biện pháp phòng thế đều đơn giản và chi phí vừa phải.

Mã độc tống tiền thường vào bằng đường nào

Theo hướng dẫn của cơ quan an ninh mạng Hoa Kỳ CISA, ransomware là mã độc mã hoá tệp trên thiết bị rồi đòi tiền để giải mã. Một số con đường lây nhiễm hay gặp:

• Email và tệp đính kèm: tệp giả hoá đơn, đơn hàng, hồ sơ xin việc; liên kết dẫn tới trang giả mạo.
• Phần mềm chưa cập nhật: lỗ hổng trên hệ điều hành, trình duyệt, plugin website.
• Thiết bị kết nối internet có lỗ hổng: máy chủ, camera, bộ định tuyến, truy cập từ xa mở không an toàn.
• Mật khẩu yếu hoặc bị lộ: tài khoản email, VPN, điều khiển từ xa.

Nhận biết sớm giúp giảm rủi ro. Hãy dạy nhân viên nghi ngờ các email hối thúc, đòi mở tệp hoặc nhập mật khẩu.

Sao lưu 3-2-1 và bản offline

CISA khuyến nghị giữ bản sao lưu offline và được mã hoá, và kiểm tra định kỳ bản sao lưu. Quy tắc 3-2-1 là nền tảng dễ nhớ:

1. 3 bản dữ liệu: bản đang dùng và hai bản sao.
2. 2 loại thiết bị lưu trữ khác nhau: ví dụ ổ cứng ngoài và dịch vụ lưu trữ.
3. 1 bản để ở nơi khác hoặc offline: ngắt kết nối khỏi mạng để mã độc không chạm tới.

Lý do nhấn mạnh “offline”: nếu ổ sao lưu luôn nối với máy bị nhiễm, mã độc có thể mã hoá luôn cả bản sao. Chi tiết cách áp dụng cho website nằm trong bài sao lưu website theo quy tắc 3-2-1. Đừng quên bước quan trọng nhất: thử khôi phục định kỳ để chắc bản sao dùng được.

Phân quyền và cập nhật

• Chỉ cấp cho mỗi người quyền truy cập đủ dùng, đặc biệt với thư mục chia sẻ chứa dữ liệu quan trọng.
• Dùng tài khoản thường cho công việc hằng ngày, tài khoản quản trị chỉ khi cần.
• Bật xác thực hai lớp cho email và các dịch vụ quan trọng.
• Cập nhật hệ điều hành, phần mềm, plugin; CISA nhắc việc cập nhật và quét lỗ hổng cho thiết bị kết nối internet. Ví dụ, bài về PHP 5.6 và 7.0 hết hỗ trợ cho thấy phần mềm hết hỗ trợ không còn được vá lỗi bảo mật.
• Cẩn thận khi cho nhân viên dùng công cụ AI với dữ liệu công ty; xem quy tắc dùng AI trong công ty.

Dữ liệu cá nhân của khách hàng khi bị lộ còn kéo theo nghĩa vụ riêng, xem Nghị định 13/2023 về dữ liệu cá nhân.

Kế hoạch phản ứng ngắn, in ra được

Hãy viết sẵn một trang, để cả bản in và bản trên điện thoại:

1. Ngắt kết nối ngay: rút dây mạng, tắt wifi của máy nghi nhiễm; không tắt nguồn nếu chưa hỏi người có chuyên môn.
2. Báo cho người phụ trách và nhà cung cấp hỗ trợ công nghệ.
3. Không vội trả tiền và không tự liên hệ kẻ tấn công khi chưa tham khảo ý kiến chuyên gia.
4. Chụp ảnh thông báo đòi tiền và ghi lại giờ phát hiện.
5. Khôi phục từ bản sao lưu sạch sau khi đã làm sạch hệ thống.
6. Báo cho cơ quan chức năng theo quy định ở nơi bạn; với CISA, người dùng Hoa Kỳ có thể báo qua các kênh liên bang như IC3.

Danh sách kiểm tra nhanh cho văn phòng nhỏ

• Có ít nhất một bản sao lưu offline, ngắt khỏi mạng sau mỗi lần sao lưu.
• Đã thử khôi phục trong sáu tháng gần đây.
• Máy tính, trình duyệt, plugin được cập nhật.
• Nhân viên biết không mở tệp lạ.
• Có tài liệu “làm gì khi bị tấn công” và số liên hệ.

Cập nhật 2026: Phương thức tấn công đã thay đổi theo thời gian, nhưng những nguyên tắc nền như sao lưu offline, kiểm tra khôi phục, cập nhật và phân quyền vẫn là khuyến nghị của CISA trên trang #StopRansomware. Nên xem thêm sự cố CrowdStrike 19/7/2024 và bài học dự phòng và bài về hosting hay VPS cho doanh nghiệp nhỏ. Kiểm tra hướng dẫn mới nhất tại cisa.gov.

Câu hỏi thường gặp

Sao lưu lên đám mây có đủ an toàn không?

Chưa chắc. Nếu bản sao luôn đồng bộ với máy bị nhiễm, tệp mã hoá có thể bị đồng bộ theo. Nên có thêm bản offline hoặc bản có lưu phiên bản cũ.

Có nên trả tiền chuộc không?

Không có gì đảm bảo bạn sẽ lấy lại được dữ liệu. Hãy tham khảo ý kiến chuyên gia và cơ quan chức năng trước khi quyết định.

Văn phòng chỉ có vài máy có cần quan tâm không?

Có. Mã độc không chọn theo quy mô; các bước cơ bản như sao lưu và cập nhật không tốn nhiều.

Nếu cần hỗ trợ về bảo mật và máy chủ, có thể liên hệ đội Công nghệ của HVSC qua trang bảo mật server, website hoặc hosting, VPS.

Nguồn tham khảo

• CISA — #StopRansomware: https://www.cisa.gov/stopransomware