Dũng Virgo
Một công ty chuyên hỗ trợ nạn nhân ransomware tại Mỹ đang đối mặt với cáo buộc nghiêm trọng: thay vì tự giải mã dữ liệu như quảng cáo, doanh nghiệp này được cho là âm thầm thương lượng với chính nhóm tin tặc, trả tiền để nhận khóa khôi phục rồi tính phí cao hơn nhiều lần cho khách hàng.
Bộ Tư pháp Mỹ đã truy tố Zohar Pinhasi, chủ sở hữu MonsterCloud, với các cáo buộc liên quan đến lừa đảo qua mạng. Vụ việc thu hút chú ý vì cho thấy nạn nhân ransomware có thể gặp thêm một rủi ro khác sau cuộc tấn công: bị đơn vị trung gian trục lợi dưới danh nghĩa giải cứu dữ liệu.
MonsterCloud từng quảng bá công nghệ giải mã độc quyền
Ransomware là loại mã độc khóa hoặc mã hóa dữ liệu trên máy tính, máy chủ và hệ thống doanh nghiệp, sau đó yêu cầu nạn nhân trả tiền để lấy lại quyền truy cập. Trong tình huống khẩn cấp, nhiều tổ chức sẵn sàng thuê một công ty chuyên nghiệp để đánh giá thiệt hại, khôi phục hệ thống và xử lý quá trình thương lượng.
MonsterCloud tìm kiếm khách hàng trong nhóm doanh nghiệp vừa bị ransomware tấn công. Công ty được cho là khuyến cáo nạn nhân không nên tự trả tiền trực tiếp cho tin tặc, đồng thời giới thiệu các công cụ riêng và kỹ thuật tiên tiến có khả năng khôi phục dữ liệu bị mã hóa.
Trên website, MonsterCloud từng tự mô tả mình bằng những lời quảng bá rất mạnh, trong đó có tuyên bố là một “đội chống khủng bố mạng” tinh vi. Những thông điệp như vậy có thể tạo cảm giác rằng doanh nghiệp sở hữu năng lực kỹ thuật đặc biệt, khác biệt với các đơn vị tư vấn an ninh mạng thông thường.
Cáo buộc: khóa giải mã đến từ chính hacker
Theo cáo trạng, MonsterCloud không thực sự phá lớp mã hóa bằng công nghệ độc quyền như cách công ty giới thiệu với khách hàng. Thay vào đó, nhân viên được cho là bí mật liên hệ với các nhóm ransomware, sử dụng một phần khoản tiền thu từ khách hàng để thanh toán tiền chuộc và nhận khóa giải mã.
Sau khi có khóa, nhân viên MonsterCloud dùng công cụ do nhóm tấn công cung cấp để thử khôi phục dữ liệu. Nguồn gốc của khóa giải mã được cho là không được tiết lộ rõ cho khách hàng. Điều này khiến nạn nhân có thể tin rằng dữ liệu được phục hồi nhờ năng lực nghiên cứu, kỹ thuật riêng của MonsterCloud, thay vì nhờ khoản tiền chuyển cho kẻ tấn công.
Các công tố viên cũng cáo buộc công ty từng sử dụng một số tệp đã được giải mã làm bằng chứng cho năng lực chuyên môn. Tuy nhiên, những tệp mẫu này được cho là do chính các đối tượng vận hành ransomware cung cấp hoặc hỗ trợ giải mã.
Cáo trạng mới chỉ đưa ra các cáo buộc. Bị cáo được xem là vô tội cho đến khi tòa án chứng minh hành vi phạm tội theo quy định pháp luật.
Khoản chênh lệch lớn giữa phí dịch vụ và tiền chuộc
Điểm đáng chú ý trong hồ sơ vụ án là sự chênh lệch giữa số tiền MonsterCloud thu từ khách hàng và khoản thực tế chuyển cho nhóm ransomware.
| Trường hợp | Khách hàng trả | Tiền chuyển cho hacker |
|---|---|---|
| Khoảng tháng 8/2023 | 150.000 USD | Khoảng 8.200 USD |
| Một khách hàng khác | Khoảng 380.000 USD | Khoảng 236.000 USD |
Trong trường hợp đầu tiên, phần chênh lệch lên tới gần 142.000 USD. Với trường hợp còn lại, MonsterCloud được cho là giữ lại một khoản đáng kể sau khi chuyển tiền cho nhóm ransomware.
Việc tính phí dịch vụ cao không tự động đồng nghĩa với hành vi phạm pháp, bởi một công ty khôi phục dữ liệu có thể phải chi trả cho nhân sự, điều tra số, thiết bị, tư vấn pháp lý và khôi phục hạ tầng. Tuy nhiên, vấn đề nằm ở chỗ khách hàng có được cung cấp thông tin trung thực về cách dữ liệu được mở khóa hay không. Nếu doanh nghiệp quảng cáo có công nghệ riêng nhưng thực tế sử dụng khóa mua từ hacker, bản chất giao dịch sẽ hoàn toàn khác.
MonsterCloud thu hơn 19 triệu USD từ khách hàng
Bộ Tư pháp Mỹ cho biết MonsterCloud đã thu hơn 19 triệu USD phí dịch vụ trong thời gian hoạt động. Trong khi đó, tổng số tiền được chuyển cho các nhóm ransomware được cho là hơn 8 triệu USD.
Những con số này chưa phải kết luận cuối cùng của tòa án, nhưng cho thấy quy mô tài chính của mô hình kinh doanh bị cáo buộc. Công ty không chỉ xử lý một vài trường hợp riêng lẻ mà được cho là đã phục vụ nhiều nạn nhân ransomware, trong bối cảnh các cuộc tấn công nhằm vào doanh nghiệp ngày càng gây áp lực lớn về thời gian.
Với một tổ chức bị khóa toàn bộ dữ liệu, mỗi ngày hệ thống ngừng hoạt động có thể kéo theo doanh thu sụt giảm, gián đoạn chuỗi cung ứng và nguy cơ mất khách hàng. Tâm lý cần khôi phục càng nhanh càng khiến nạn nhân khó kiểm chứng liệu bên tư vấn có thật sự sở hữu công nghệ như quảng bá hay không.
Điều tra trước đây từng đặt dấu hỏi về mô hình hoạt động
MonsterCloud từng được nhắc đến trong một cuộc điều tra của ProPublica vào năm 2019. Nội dung điều tra đề cập đến mô hình một số công ty khôi phục dữ liệu: bí mật trả tiền chuộc cho nhóm tấn công, sau đó tính thêm phí đối với nạn nhân.
Cũng trong năm đó, một người phát ngôn được trả tiền được cho là đã liên hệ với Pinhasi để chất vấn về hoạt động của MonsterCloud. Người này muốn biết liệu công ty có thực sự sở hữu phần mềm riêng để giải mã dữ liệu hay không. Theo cáo trạng, Pinhasi khi đó thừa nhận MonsterCloud không có công nghệ độc quyền như thông tin quảng cáo.
Pinhasi trước đây phủ nhận việc công ty hứa chắc có thể giải mã dữ liệu hoặc cố tình đánh lừa khách hàng. Trong vụ án hiện tại, ông không nhận tội và được tại ngoại với khoản bảo lãnh 2 triệu USD.
Những cáo buộc mà chủ công ty phải đối mặt
Pinhasi bị truy tố hai tội danh lừa đảo qua mạng và một tội danh âm mưu lừa đảo qua mạng. Nếu bị kết tội, ông có thể đối mặt mức án tối đa 20 năm tù cho mỗi tội danh.
Dù vậy, mức án tối đa chỉ là khung hình phạt theo cáo buộc và không phản ánh kết quả cuối cùng của vụ án. Quá trình tố tụng sẽ phải xác định liệu MonsterCloud có đưa ra thông tin sai lệch, che giấu nguồn gốc khóa giải mã và thu tiền khách hàng dựa trên những tuyên bố không đúng sự thật hay không.
Nạn nhân ransomware cần cảnh giác với bên “giải cứu”
Vụ MonsterCloud đưa ra một bài học quan trọng: sau khi bị ransomware, doanh nghiệp không nên chỉ tập trung vào việc tìm người có thể mở khóa dữ liệu. Họ cũng cần kiểm tra tính minh bạch, phương pháp làm việc và lợi ích của đơn vị được thuê.
- Yêu cầu bên cung cấp dịch vụ giải thích rõ dữ liệu sẽ được khôi phục bằng bản sao lưu, công cụ giải mã, lỗ hổng kỹ thuật hay thương lượng với nhóm tấn công.
- Đề nghị tách riêng phí điều tra, phí khôi phục hệ thống và mọi khoản có thể được dùng cho tiền chuộc.
- Kiểm tra hợp đồng, danh tính pháp lý, kinh nghiệm thực tế và chính sách bảo mật của nhà cung cấp.
- Không xem các tệp mẫu hoặc lời chứng thực quảng cáo là bằng chứng duy nhất về năng lực kỹ thuật.
- Tham khảo chuyên gia pháp lý và cơ quan chức năng trước khi quyết định chuyển tiền cho bất kỳ bên nào.
Về lâu dài, cách phòng ngừa hiệu quả vẫn là sao lưu ngoại tuyến, phân quyền truy cập, bật xác thực đa yếu tố, cập nhật phần mềm và thường xuyên diễn tập phương án ứng phó sự cố. Một hệ thống sao lưu được kiểm tra định kỳ có thể giúp doanh nghiệp giảm sự phụ thuộc vào việc thương lượng với tin tặc hoặc thuê dịch vụ khôi phục trong tình huống khẩn cấp.
Câu chuyện của MonsterCloud chưa có phán quyết cuối cùng, nhưng nó cho thấy thị trường xử lý hậu quả ransomware cần minh bạch hơn. Khi dữ liệu bị khóa, nạn nhân không chỉ đối đầu với kẻ tấn công mà còn phải đủ tỉnh táo để phân biệt giữa một dịch vụ an ninh mạng thực sự và một mô hình trung gian chỉ chuyển tiền chuộc rồi thu khoản chênh lệch lớn.
Startup Việt tiết kiệm hơn 200 triệu nhờ gói hỗ trợ Anthropic
Nga hoàn tất nguyên mẫu máy quang khắc 130 nm đầu tiên
Sharp dẫn đầu bình chọn hệ sinh thái sống khỏe tại BCA 2026
Sun Holidays giảm 10%, tối đa 1 triệu đồng qua VietQR
Hacker làm nóng tủ lạnh tại hàng trăm siêu thị Pháp
VIS 2026: Kết nối vốn, công nghệ và thị trường cho Việt Nam
Getty Images đối mặt nguy cơ phá sản sau cú rơi 99% cổ phiếu
