Kẻ vận hành Nefilim và Hive lĩnh án 70 tháng tù

Một mắt xích trong chuỗi ransomware bị chốt sổ

Một cựu hacker ransomware đã nhận mức án 70 tháng tù sau khi nhận tội vào năm ngoái với các cáo buộc liên quan đến hàng loạt vụ tấn công mạng nhằm vào bệnh viện, cơ quan chính phủ và doanh nghiệp. Theo The Record, đây là kết quả của một cuộc điều tra kéo dài nhiều năm và trải rộng nhiều châu lục, và cũng là lời nhắc rằng các "affiliate" — những người trực tiếp xâm nhập hệ thống rồi chia tiền chuộc cho nhóm mẹ — vẫn là mắt xích có thể bị truy tố rõ ràng nhất.

Ảnh: The Record

Có gì trong bản án

Bị cáo là Artem Stryzhak, 36 tuổi, quốc tịch Ukraine. Theo bài gốc, Stryzhak từng là affiliate của nhóm Nefilim khi đang sống ở Barcelona, Tây Ban Nha. Trong suốt năm 2021, anh ta dùng Nefilim để tấn công các tổ chức ở Mỹ, Canada và Australia. Với vai trò affiliate, Stryzhak trả cho các quản trị viên Nefilim — trong đó có Volodymyr Tymoshchuk, người bị truy tố cùng vụ — khoản phí 20% trên mọi tiền chuộc tống được từ nạn nhân.

Sau đó Stryzhak chuyển sang nhóm Hive, hoạt động với nhóm này từ tháng 10/2021 đến tháng 1/2023. Trong giai đoạn này, anh ta tham gia các vụ tấn công nhằm vào bệnh viện, chính quyền và doanh nghiệp. Hive được mô tả là đã mã hóa hàng nghìn nạn nhân tại 80 quốc gia và thu về hàng triệu USD tiền chuộc trong thời gian hoạt động.

Các công tố viên nêu một sự việc cụ thể: một bệnh viện đã không thể tiếp nhận bệnh nhân mới trong thời gian đại dịch COVID-19 vì bị Hive tấn công. Đây là điểm đáng chú ý về hệ quả thực tế của ransomware — thiệt hại không chỉ nằm ở dữ liệu bị mã hóa mà còn ở khả năng cung cấp dịch vụ thiết yếu.

Về con số thiệt hại, theo phát biểu của Phó Giám đốc FBI Brett Leatherman được bài gốc trích dẫn, các nhóm này đã gián đoạn việc chăm sóc bệnh nhân và gây thiệt hại hơn 100 triệu USD. Cũng theo bài gốc, Stryzhak bị bắt tại Tây Ban Nha vào tháng 6/2024 và bị dẫn độ vào tháng 4 năm sau; anh ta nhận tội vào tháng 12/2025 với hai tội danh âm mưu lừa đảo, tống tiền và các hoạt động liên quan đến máy tính.

Ảnh: The Record

Những cái tên còn treo

Điều đáng chú ý với giới theo dõi tội phạm mạng là việc Volodymyr Tymoshchuk vẫn chưa bị bắt. Theo bài gốc, Tymoshchuk bị cáo buộc là quản trị viên của Nefilim, đồng thời của cả LockerGoga và MegaCortex. Bộ Tư pháp Mỹ trước đó đã treo thưởng 11 triệu USD cho thông tin về nơi ở của Tymoshchuk và 15 triệu USD cho thông tin về các thành viên khác của Hive. Công tố viên Mỹ Joseph Nocella Jr. khẳng định họ "vẫn quyết tâm bắt được Volodymyr Tymoshchuk".

Về phía Hive, nhóm này đã bị FBI phá vỡ sau một chiến dịch kéo dài nhiều tháng. Bài gốc không nêu chi tiết kỹ thuật của chiến dịch đó.

Ảnh: The Record

Vì sao chuyện này đáng quan tâm ở Việt Nam

Với người làm bảo mật và vận hành hệ thống tại Việt Nam, vụ việc này mang vài tín hiệu thực dụng.

Thứ nhất, mô hình affiliate của ransomware vẫn là rủi ro chính. Các nhóm như Nefilim hay Hive không tự xâm nhập mọi nạn nhân; họ thuê hoặc chia sẻ lợi nhuận với các tay xâm nhập bên ngoài. Điều này có nghĩa là một tổ chức có thể bị tấn công bởi cùng một kỹ thuật nhưng từ nhiều nhóm khác nhau, và việc "chỉ phòng thủ trước một nhóm" là không đủ.

Thứ hai, bệnh viện và tổ chức y tế là mục tiêu bị nhắm tới có chủ đích. Các đơn vị y tế, bệnh viện tư và công ty cung cấp dịch vụ liên quan tại Việt Nam nên xem lại phương án sao lưu ngoại tuyến, phân đoạn mạng và kịch bản ứng phó khi hệ thống tiếp nhận bệnh nhân bị khóa. Một sự cố ransomware có thể làm gián đoạn tiếp nhận bệnh nhân, không chỉ gây mất dữ liệu.

Thứ ba, việc truy tố thành công một affiliate cho thấy dấu vết kỹ thuật và tài chính có thể bị lần theo qua nhiều năm. Với doanh nghiệp, điều này củng cố giá trị của việc lưu log, giữ nguyên bằng chứng và phối hợp với cơ quan chức năng khi bị tấn công, thay vì chỉ lo trả tiền chuộc.

Ai nên đọc và nên làm gì

Nhóm nên quan tâm trực tiếp gồm đội SOC, quản trị viên hệ thống bệnh viện và tổ chức tài chính, cùng các đơn vị cung cấp dịch vụ CNTT cho doanh nghiệp nhỏ — những bên thường là bàn đạp để kẻ tấn công đi tiếp vào nạn nhân lớn.

Vài việc có thể làm ngay, không cần chờ đến khi có sự cố:

• Kiểm tra lại việc sao lưu: bản sao lưu phải nằm ngoài miền quản trị của tài khoản bị xâm nhập và phải được kiểm tra khả năng phục hồi định kỳ, không chỉ kiểm tra "có chạy".
• Rà soát quyền truy cập từ xa: VPN, RDP công khai và tài khoản dịch vụ dùng chung là các điểm vào phổ biến; nên có xác thực đa yếu tố và giới hạn theo địa chỉ nguồn.
• Phân đoạn mạng giữa hệ thống tiếp nhận bệnh nhân, hệ thống quản trị và máy trạm văn phòng để một máy bị nhiễm không kéo cả bệnh viện xuống.
• Có kịch bản ứng phó đã tập dượt, gồm cả kênh liên lạc ngoài hệ thống email nội bộ khi email bị khóa.

Lưu ý và hạn chế

Bài gốc chưa nêu chi tiết kỹ thuật xâm nhập cụ thể của Stryzhak, cũng chưa nêu mức án của các bị cáo khác trong cùng vụ. Các con số thiệt hại hơn 100 triệu USD là phát biểu của phía FBI được bài gốc trích dẫn, không phải kết luận độc lập của cơ quan khác. Ngoài ra, bài gốc do Recorded Future News thực hiện; đây là hãng truyền thông thuộc một công ty an ninh mạng, nên độc giả có thể cân nhắc bối cảnh đó khi đọc các nhận định về tội phạm mạng.

Kết

Mức án 70 tháng tù cho một affiliate ransomware là tín hiệu rằng các mắt xích trung gian — không chỉ ông trùm — có thể bị truy cứu, dù quá trình này mất nhiều năm và cần hợp tác giữa nhiều quốc gia. Với các tổ chức ở Việt Nam, giá trị thực dụng nhất từ vụ việc nằm ở việc nhìn lại giả định phòng thủ: kẻ tấn công có thể đổi nhóm, nhưng các lỗ hổng bị khai thác thì thường lặp lại.

Nguồn: The Record