Doanh nghiệp nhỏ bị ransomware sau khi từ chối hỗ trợ bảo mật
"The article describes a small construction company that declined security help, remained on an unpatched Windows server with backups attached to the same system, and was later hit by ransomware that encrypted both production data and backups; the company reportedly went out of business within months. It also details a separate Microsoft 365 phishing campaign using a fake login page and MFA interception, which was detected and blocked by anomaly-based login monitoring that revoked the session token."
Rủi ro cao do ransomware mã hóa cả dữ liệu lẫn backup, đồng thời có phishing vượt qua MFA nếu không có giám sát đăng nhập bất thường.
Có thể gây gián đoạn vận hành, mất khả năng khôi phục dữ liệu và dẫn đến thiệt hại tài chính nghiêm trọng hoặc ngừng hoạt động.
Một công ty xây dựng quy mô nhỏ đã từ chối thuê hỗ trợ bảo mật vì cho rằng mình quá nhỏ để bị tấn công. Hệ thống của công ty vẫn chạy trên Windows Server chưa được vá, trong khi bản sao lưu lại gắn trực tiếp vào cùng máy chủ. Khi bị ransomware, cả dữ liệu sản xuất lẫn backup đều bị mã hóa, khiến doanh nghiệp không thể vận hành bình thường và sau đó được cho là đã ngừng hoạt động trong vòng vài tháng.
Sự việc cho thấy rủi ro của việc chỉ dựa vào một bản sao lưu cục bộ và trì hoãn vá lỗi hệ thống. Với doanh nghiệp nhỏ, bề mặt tấn công vẫn có thể đủ hấp dẫn đối với nhóm tấn công mã độc tống tiền.
Ở một vụ việc khác, kẻ tấn công chiếm được tài khoản email của một doanh nghiệp rồi dùng để gửi phishing sang công ty khác bằng thư mời thầu giả mạo. Trang đăng nhập Microsoft 365 được dựng giống thật và còn chặn cả MFA thông qua kỹ thuật man-in-the-middle. Tuy nhiên, hệ thống giám sát đăng nhập dựa trên bất thường đã phát hiện phiên đăng nhập đáng ngờ, thu hồi token và buộc người dùng đăng nhập lại.
Khuyến nghị: triển khai backup tách biệt/off-site, kiểm tra định kỳ khả năng khôi phục, vá hệ thống cũ, và giám sát đăng nhập bất thường trong Microsoft 365/Entra ID để phát hiện sớm chiếm đoạt tài khoản.