Ransomware tiền mã hóa

Ransomware tiền mã hóa là gì?

Ransomware tiền mã hóa là phần mềm độc hại hoặc hình thức tống tiền chặn quyền truy cập dữ liệu, mã hóa tệp, đánh cắp thông tin nhạy cảm hoặc làm gián đoạn hệ thống máy tính, sau đó yêu cầu thanh toán bằng tiền mã hóa.

Khoản thanh toán được yêu cầu thường được gọi là tiền chuộc bằng crypto.

Kẻ tấn công có thể hứa cung cấp khóa giải mã, khôi phục quyền truy cập hệ thống, xóa dữ liệu bị đánh cắp hoặc không công bố thông tin mật sau khi nhận được tiền.

Không có gì đảm bảo rằng kẻ tấn công sẽ thực hiện bất kỳ lời hứa nào trong số này.

Thuật ngữ “ransomware tiền mã hóa” cũng có thể chỉ ransomware nhắm cụ thể vào người dùng tiền mã hóa, chủ ví, công ty blockchain, hoạt động đào, ứng dụng phi tập trung hoặc tổ chức nắm giữ tài sản kỹ thuật số.

Không nên nhầm ransomware tiền mã hóa với cryptojacking, hình thức âm thầm sử dụng tài nguyên máy tính của nạn nhân để đào tiền mã hóa.

Ransomware tiền mã hóa cũng khác với một vụ lừa đảo crypto thông thường vì ransomware thường liên quan đến việc truy cập trái phép vào hệ thống, phần mềm độc hại, dữ liệu bị đánh cắp hoặc mối đe dọa trực tiếp đối với hoạt động kỹ thuật số.

Tiền mã hóa được sử dụng như thế nào trong các vụ ransomware?

Tiền mã hóa thường đóng vai trò là phương thức thanh toán, chứ không phải công nghệ gây ra lây nhiễm ransomware.

Kẻ tấn công thường cung cấp địa chỉ ví tiền mã hóa và yêu cầu nạn nhân chuyển một khoản tiền cụ thể trước hạn chót.

Thông báo đòi tiền chuộc có thể nêu tài sản cần thanh toán, mạng blockchain, số tiền và hướng dẫn liên hệ với kẻ tấn công.

Một số kẻ tấn công vận hành cổng liên lạc ẩn để nạn nhân thương lượng, nhận hướng dẫn thanh toán và yêu cầu giải mã thử.

Kẻ tấn công có thể cấp một địa chỉ ví riêng cho mỗi nạn nhân để theo dõi từng khoản thanh toán.

Sau khi nhận tiền mã hóa, kẻ tấn công có thể chuyển tiền qua nhiều địa chỉ hoặc dịch vụ khác nhằm che giấu nguồn gốc phạm pháp.

Những lần chuyển này không khiến giao dịch tiền mã hóa trở nên vô hình, bởi blockchain công khai thường lưu giữ hồ sơ giao dịch vĩnh viễn.

Vì sao kẻ tấn công bằng ransomware yêu cầu tiền mã hóa?

Kẻ tấn công có thể ưu tiên tiền mã hóa vì tài sản này có thể được chuyển xuyên biên giới mà người gửi và người nhận không cần sử dụng cùng một ngân hàng.

Khoản thanh toán có thể được gửi trực tiếp đến địa chỉ ví vào bất kỳ thời điểm nào.

Thông thường, người gửi khó hủy hoặc yêu cầu hoàn trả một giao dịch blockchain đã được xác nhận.

Kẻ tấn công có thể tạo nhiều địa chỉ ví mà không cần hiển thị tên cá nhân trên blockchain.

Tiền mã hóa cũng có thể được chuyển qua nhiều ví và dịch vụ sau khi thanh toán.

Tuy nhiên, những đặc điểm này không khiến tiền mã hóa hoàn toàn ẩn danh.

Địa chỉ ví thường mang tính giả danh, nghĩa là địa chỉ đó vẫn hiển thị dù danh tính thật của chủ sở hữu không được công khai.

Cơ quan điều tra có thể lần theo dòng giao dịch và liên kết một địa chỉ với dịch vụ, thiết bị, tài khoản hoặc cá nhân có thể nhận diện.

Ransomware tiền mã hóa nghiêm trọng đến mức nào?

Ransomware có thể làm gián đoạn các hoạt động thiết yếu trong lĩnh vực y tế, sản xuất, chính phủ, giáo dục, giao thông, tài chính và nhiều lĩnh vực khác.

Một cuộc tấn công có thể gây mất dữ liệu, gián đoạn kinh doanh, chi phí pháp lý, chi phí thông báo khách hàng, chi phí an ninh mạng, tổn hại danh tiếng và thất thu.

Báo cáo Tội phạm Internet năm 2025 của FBI ghi nhận hơn 3.600 khiếu nại liên quan đến ransomware và báo cáo thiệt hại vượt quá $32 million.

Báo cáo cũng cho biết con số này thường không bao gồm tổn thất kinh doanh, thời gian làm việc, tiền lương, tệp, thiết bị và dịch vụ khắc phục của bên thứ ba.

Một số tổ chức không báo cáo số tiền thiệt hại hoặc báo cáo vụ việc trực tiếp cho văn phòng địa phương của FBI thay vì thông qua Trung tâm Khiếu nại Tội phạm Internet.

Do đó, tác động kinh tế thực tế của ransomware tiền mã hóa có thể lớn hơn nhiều so với tổng thiệt hại trực tiếp được báo cáo.

Báo cáo tương tự xác định 63 biến thể ransomware mới trong năm 2025, cho thấy mối đe dọa này tiếp tục thay đổi nhanh chóng.

Ransomware tiền mã hóa tấn công như thế nào?

1. Truy cập ban đầu

Trước tiên, kẻ tấn công giành quyền truy cập vào thiết bị, tài khoản người dùng, môi trường đám mây hoặc mạng của tổ chức.

Việc truy cập ban đầu có thể bắt nguồn từ phishing, thông tin đăng nhập bị đánh cắp, mật khẩu yếu, lỗ hổng chưa được vá, phần mềm truy cập từ xa hoặc dịch vụ kết nối Internet bị lộ.

Kẻ tấn công cũng có thể xâm nhập nhà cung cấp, nhà thầu, nhà cung cấp dịch vụ được quản lý hoặc bên thứ ba đáng tin cậy khác.

Các cuộc tấn công hiện nay có thể bao gồm những cuộc gọi điện thoại trong đó tội phạm giả làm nhân viên công nghệ thông tin nội bộ.

Cảnh báo an ninh mạng năm 2026 của FBI bao gồm cảnh báo về kỹ thuật thao túng xã hội liên quan đến ransomware và tội phạm giả danh nhân viên IT.

2. Thiết lập quyền kiểm soát

Sau khi xâm nhập môi trường, kẻ tấn công có thể tìm cách duy trì quyền truy cập và giành quyền hạn cao hơn cho tài khoản.

Tội phạm có thể tìm kiếm thông tin đăng nhập quản trị viên, công cụ quản lý từ xa, bộ nhớ dùng chung, bản sao lưu, hệ thống bảo mật và dữ liệu có giá trị.

Kẻ tấn công có thể duy trì trạng thái ẩn mình trong khi tìm hiểu cách tổ chức vận hành.

Khoảng thời gian này giúp tội phạm xác định hệ thống nào nếu bị gián đoạn sẽ tạo áp lực buộc nạn nhân phải trả tiền lớn nhất.

3. Tìm kiếm và đánh cắp dữ liệu

Nhiều nhóm ransomware tìm kiếm hồ sơ khách hàng, thông tin tài chính, tài liệu pháp lý, sở hữu trí tuệ, dữ liệu ví, mã nguồn và thông tin nhân viên.

Kẻ tấn công có thể sao chép các tệp có giá trị trước khi mã hóa hệ thống của tổ chức.

Dữ liệu bị đánh cắp tạo thêm một hình thức gây sức ép, bởi việc khôi phục từ bản sao lưu không ngăn được kẻ tấn công đe dọa tiết lộ thông tin.

4. Vô hiệu hóa biện pháp phòng vệ và bản sao lưu

Kẻ tấn công có thể tìm cách can thiệp vào phần mềm bảo mật, công cụ giám sát, tính năng khôi phục hệ thống và các bản sao lưu có thể truy cập.

Bản sao lưu được kết nối có thể bị mã hóa hoặc xóa cùng với dữ liệu đang vận hành.

Vì vậy, các tổ chức nên duy trì bản sao lưu được bảo vệ, không thể bị sửa đổi thông qua tài khoản sản xuất thông thường.

5. Mã hóa hoặc làm gián đoạn hoạt động

Ransomware có thể mã hóa tệp trên máy tính, máy chủ, ổ đĩa dùng chung, bộ nhớ đám mây hoặc các hệ thống kết nối.

Một số biến thể khóa chính thiết bị hoặc ngăn các ứng dụng quan trọng hoạt động.

Các cuộc tấn công khác tập trung vào việc đánh cắp dữ liệu và đe dọa nạn nhân mà không mã hóa bất kỳ tệp nào.

Một cuộc tấn công phá hoại có thể làm hỏng dữ liệu ngay cả khi thông báo đòi tiền chuộc cho thấy có thể khôi phục dữ liệu.

6. Đòi tiền chuộc bằng crypto

Kẻ tấn công gửi thông báo đòi tiền chuộc, trong đó yêu cầu thanh toán bằng tiền mã hóa và đưa ra hạn chót.

Thông báo có thể đe dọa tăng số tiền, công bố thông tin bị đánh cắp, liên hệ khách hàng hoặc phá hủy vĩnh viễn khóa giải mã.

Kẻ tấn công tạo cảm giác cấp bách để gây áp lực lên người ra quyết định trước khi họ kịp điều tra vụ việc hoặc tham vấn cơ quan thực thi pháp luật.

7. Thanh toán và khả năng giải mã

Nạn nhân quyết định trả tiền sẽ gửi tiền mã hóa đến địa chỉ do kẻ tấn công chỉ định.

Kẻ tấn công có thể cung cấp chương trình giải mã, hướng dẫn không đầy đủ, khóa bị hỏng hoặc không cung cấp gì cả.

Ngay cả công cụ giải mã hoạt động tốt cũng có thể khôi phục dữ liệu chậm và không sửa được mọi hệ thống bị ảnh hưởng.

Thanh toán không loại bỏ phần mềm độc hại, khắc phục lỗ hổng bảo mật ban đầu hay chứng minh dữ liệu bị đánh cắp đã được xóa.

Các loại ransomware tiền mã hóa

Ransomware mã hóa

Ransomware mã hóa khiến tệp không thể đọc được bằng cách mã hóa dữ liệu và giữ lại khóa giải mã cần thiết.

Nạn nhân được yêu cầu gửi tiền mã hóa để đổi lấy khóa hoặc phần mềm giải mã.

Có thể không thể phá được phương thức mã hóa an toàn nếu không có đúng khóa.

Đôi khi, ransomware được triển khai yếu kém có lỗi giúp các nhà nghiên cứu bảo mật tạo công cụ giải mã miễn phí.

Ransomware khóa thiết bị

Ransomware khóa thiết bị ngăn người dùng truy cập thiết bị, hệ điều hành hoặc ứng dụng.

Các tệp bên dưới có thể chưa bị mã hóa, nhưng nạn nhân không thể truy cập chúng bằng giao diện thông thường.

Màn hình đòi tiền chuộc có thể giả mạo thông báo của cơ quan thực thi pháp luật hoặc một cơ quan khác.

Ransomware tống tiền kép

Tống tiền kép kết hợp mã hóa dữ liệu với đánh cắp dữ liệu.

Kẻ tấn công yêu cầu tiền mã hóa để cung cấp khóa giải mã, đồng thời đe dọa công bố hoặc bán thông tin bị đánh cắp.

Phương thức này làm giảm hiệu quả bảo vệ của bản sao lưu vì nguy cơ lộ dữ liệu vẫn còn ngay cả sau khi hệ thống được khôi phục.

Hướng dẫn StopRansomware của CISA đề cập cả sự cố mã hóa ransomware lẫn tống tiền dữ liệu.

Ransomware tống tiền ba lớp

Tống tiền ba lớp bổ sung một phương thức gây sức ép khác bên cạnh mã hóa và đánh cắp dữ liệu.

Kẻ tấn công có thể liên hệ khách hàng, nhân viên, nhà cung cấp hoặc đối tác kinh doanh có thông tin bị đánh cắp.

Chúng cũng có thể đe dọa gây gián đoạn thêm hoặc nhắm vào một bên khác có liên quan đến nạn nhân ban đầu.

Tống tiền chỉ bằng cách đánh cắp dữ liệu

Một số tội phạm đánh cắp thông tin và yêu cầu thanh toán bằng tiền mã hóa mà không triển khai phần mềm độc hại mã hóa tệp.

Không có mã hóa không đồng nghĩa sự cố vô hại, bởi kẻ tấn công có thể nắm giữ dữ liệu nhạy cảm hoặc dữ liệu thuộc diện quản lý.

Các tổ chức nên xem những tuyên bố tống tiền dữ liệu đáng tin cậy là dấu hiệu của khả năng xảy ra vi phạm bảo mật.

Ransomware dưới dạng dịch vụ

Ransomware dưới dạng dịch vụ là mô hình kinh doanh phạm pháp, trong đó nhà phát triển ransomware cung cấp phần mềm độc hại và cơ sở hạ tầng hỗ trợ cho những kẻ tấn công khác.

Những kẻ tấn công tham gia thường được gọi là affiliate.

Đơn vị vận hành và affiliate có thể chia nhau khoản thanh toán bằng tiền mã hóa nhận được từ nạn nhân.

Mô hình này cho phép tội phạm có các kỹ năng khác nhau hợp tác và có thể tạo ra nhiều cuộc tấn công từ cùng một dòng ransomware.

Ransomware nhắm vào người nắm giữ tiền mã hóa

Một số chiến dịch ransomware nhắm cụ thể vào cá nhân hoặc doanh nghiệp được cho là sở hữu tiền mã hóa.

Kẻ tấn công có thể tìm kiếm ứng dụng ví, tiện ích mở rộng trình duyệt, hồ sơ tài khoản, khóa riêng tư hoặc cụm từ khôi phục trên các thiết bị bị nhiễm.

Vì vậy, sự cố ransomware có thể biến thành vụ trộm tiền mã hóa trực tiếp ngay cả khi nạn nhân từ chối trả tiền chuộc.

Không bao giờ lưu cụm từ khôi phục và khóa riêng tư trong các tệp không được bảo vệ trên thiết bị kết nối Internet.

Các phương thức tấn công ransomware tiền mã hóa phổ biến

Email và tin nhắn phishing

Tin nhắn phishing có thể chứa tệp đính kèm độc hại, trang đăng nhập giả mạo hoặc liên kết cài đặt phần mềm truy cập từ xa.

Tin nhắn có thể giả dạng hóa đơn, thông báo giao hàng, tài liệu pháp lý, cảnh báo bảo mật, đơn xin việc hoặc yêu cầu đặt lại mật khẩu.

Người dùng nên xác minh các yêu cầu bất thường qua một kênh liên lạc độc lập trước khi mở tệp hoặc nhập thông tin đăng nhập.

Thông tin đăng nhập bị đánh cắp

Mật khẩu bị lấy cắp thông qua phishing, phần mềm độc hại, rò rỉ dữ liệu hoặc việc dùng lại mật khẩu có thể giúp truy cập trực tiếp vào hệ thống doanh nghiệp.

Xác thực đa yếu tố có thể làm giảm giá trị của mật khẩu bị đánh cắp, dù các phương thức xác thực yếu hơn vẫn có thể bị nhắm đến.

Tài khoản quản trị và tài khoản truy cập từ xa cần được bảo vệ đặc biệt chặt chẽ.

Phần mềm chưa được vá

Kẻ tấn công thường tìm kiếm các lỗ hổng đã biết trong phần mềm kết nối Internet, tường lửa, công cụ truy cập từ xa và máy chủ.

Cập nhật bảo mật kịp thời có thể khắc phục lỗ hổng trước khi chúng bị lợi dụng để xâm nhập mạng.

Các tổ chức nên duy trì danh mục hệ thống chính xác để biết hệ thống nào cần được vá hoặc thay thế.

Dịch vụ truy cập từ xa

Dịch vụ máy tính từ xa, mạng riêng ảo và quản lý từ xa được bảo mật kém có thể tạo lối vào cho kẻ tấn công bằng ransomware.

Quyền truy cập từ xa cần được giới hạn, giám sát, bảo vệ bằng xác thực mạnh và vô hiệu hóa khi không cần thiết.

Quyền truy cập của bên thứ ba

Nhà cung cấp hoặc đơn vị cung cấp công nghệ có thể được cấp quyền truy cập đáng tin cậy vào nhiều môi trường của khách hàng.

Xâm nhập một nhà cung cấp có thể giúp kẻ tấn công tiếp cận nhiều tổ chức.

Hợp đồng và biện pháp kiểm soát kỹ thuật nên giới hạn quyền truy cập của bên thứ ba vào đúng hệ thống và khoảng thời gian thực sự cần thiết.

Giả mạo bộ phận hỗ trợ IT

Kẻ tấn công có thể gọi cho nhân viên và nói rằng cần cài đặt phần mềm để khắc phục sự cố kỹ thuật.

Phần mềm được yêu cầu cài đặt có thể cấp quyền truy cập từ xa, sau đó bị lợi dụng để đánh cắp dữ liệu hoặc triển khai ransomware.

Nhân viên nên xác minh các yêu cầu hỗ trợ bất ngờ thông qua quy trình help desk đã biết của tổ chức.

Khoản thanh toán tiền chuộc bằng crypto có ẩn danh không?

Khoản thanh toán tiền chuộc bằng crypto không tự động ẩn danh vì giao dịch có thể được ghi lại trên blockchain công khai.

Số tiền thanh toán, địa chỉ gửi, địa chỉ nhận, dấu thời gian và các giao dịch chuyển tiếp sau đó có thể vẫn hiển thị.

Cơ quan điều tra có thể xem xét dòng tiền và xác định liệu tiền có đến một dịch vụ có thể nhận diện hay không.

Dịch vụ lưu ký có thể nắm giữ hồ sơ danh tính, thiết bị, tài khoản và giao dịch mà blockchain không hiển thị.

Việc truy vết blockchain cũng có thể liên kết các địa chỉ dường như thuộc cùng một hoạt động phạm pháp.

Truy vết không đảm bảo có thể thu hồi tiền vì tài sản có thể được chuyển nhanh hoặc đưa vào các khu vực pháp lý khó hợp tác về mặt pháp lý.

Có thể thu hồi khoản thanh toán tiền chuộc bằng crypto không?

Thông thường, người gửi khó đảo ngược một khoản thanh toán tiền mã hóa đã được xác nhận.

Có thể thu hồi tài sản nếu cơ quan thực thi pháp luật xác định và tịch thu ví của kẻ tấn công, đóng băng tiền do một dịch vụ nắm giữ hoặc có được các khóa riêng tư cần thiết.

Tháng 8 năm 2025, Bộ Tư pháp Hoa Kỳ công bố việc tịch thu hơn $2.8 million tiền mã hóa và tài sản khác có liên quan đến hoạt động ransomware và rửa tiền bị cáo buộc.

Một chiến dịch khác trong năm 2025 đã tịch thu cơ sở hạ tầng ransomware và hơn $1 million tiền ảo, cho thấy tiền thu được từ tiền chuộc bằng crypto đôi khi có thể được xác định và đóng băng.

Những vụ việc này không có nghĩa là có thể thu hồi khoản thanh toán của mọi nạn nhân.

Báo cáo nhanh và bằng chứng giao dịch đầy đủ có thể giúp cung cấp thêm thông tin cho cơ quan điều tra.

Có nên trả tiền chuộc bằng crypto không?

FBI không ủng hộ việc trả tiền chuộc vì thanh toán không đảm bảo khôi phục dữ liệu và tạo động lực để tội phạm tiếp tục tấn công nạn nhân.

Hướng dẫn về ransomware của cơ quan này khuyên nạn nhân báo cáo vụ tấn công ngay cả khi họ quyết định không trả tiền.

Thanh toán có thể giúp nhận được khóa giải mã hoạt động, nhưng cũng có thể chỉ nhận được công cụ bị lỗi, yêu cầu thêm tiền hoặc không nhận được phản hồi.

Kẻ tấn công có thể giữ lại dữ liệu bị đánh cắp sau khi hứa sẽ xóa dữ liệu đó.

Tổ chức đã trả tiền cũng có thể bị nhắm đến lần nữa vì tội phạm biết tổ chức đó từng trả tiền.

Quyết định này có thể liên quan đến các cân nhắc về an toàn, hoạt động, pháp lý, bảo hiểm, quy định và tài chính.

Tổ chức đang phải đối mặt với yêu cầu tiền chuộc cần tham vấn chuyên gia ứng phó sự cố đủ năng lực, cố vấn pháp lý, công ty bảo hiểm, ban lãnh đạo cấp cao và cơ quan thực thi pháp luật phù hợp.

Rủi ro về lệnh trừng phạt đối với khoản thanh toán tiền chuộc bằng crypto

Khoản thanh toán ransomware có thể tạo ra rủi ro về lệnh trừng phạt nếu người nhận là cá nhân, tổ chức, khu vực pháp lý hoặc địa chỉ ví bị áp lệnh trừng phạt.

Quy định trừng phạt của Hoa Kỳ có thể được áp dụng ngay cả khi nạn nhân không biết danh tính thật của kẻ tấn công.

Khuyến cáo của OFAC về thanh toán ransomware giải thích những rủi ro trừng phạt tiềm ẩn khi tạo điều kiện cho việc thanh toán tiền chuộc.

Đơn vị trung gian thanh toán, công ty bảo hiểm, bên đàm phán, tổ chức tài chính và những bên tham gia khác cũng có thể cần xem xét nghĩa vụ pháp lý của mình.

Báo cáo kịp thời, hợp tác với cơ quan chức năng và duy trì các biện pháp an ninh mạng vững chắc có thể là những yếu tố liên quan khi cơ quan quản lý đánh giá sự cố.

Lệnh trừng phạt và yêu cầu báo cáo khác nhau tùy khu vực pháp lý, vì vậy tổ chức nên xin tư vấn phù hợp với địa điểm và tình hình cụ thể của mình.

Cần làm gì sau một cuộc tấn công ransomware tiền mã hóa?

1. Cô lập các hệ thống bị ảnh hưởng

Ngắt kết nối máy tính, máy chủ và thiết bị bị ảnh hưởng khỏi mạng có dây, mạng không dây, đám mây và quyền truy cập từ xa càng sớm càng tốt.

Hướng dẫn ứng phó ransomware của CISA khuyến nghị cô lập ngay các hệ thống bị ảnh hưởng.

Thông thường, chỉ nên tắt nguồn thiết bị khi không thể ngắt kết nối thiết bị khỏi mạng hoặc khi đội ứng phó sự cố yêu cầu thực hiện việc đó.

Tắt thiết bị có thể làm mất bằng chứng tạm thời hữu ích cho việc điều tra cuộc tấn công.

2. Kích hoạt kế hoạch ứng phó sự cố

Thông báo cho các nhóm bảo mật, pháp lý, quyền riêng tư, truyền thông, quản lý và duy trì hoạt động kinh doanh nội bộ được nêu trong kế hoạch ứng phó sự cố.

Sử dụng các phương thức liên lạc không bị kiểm soát qua mạng đã bị xâm nhập.

Không sử dụng tài khoản email bị ảnh hưởng để thảo luận về kế hoạch ứng phó nếu kẻ tấn công vẫn có thể truy cập tài khoản đó.

3. Bảo vệ tài sản crypto

Xác định xem thiết bị bị ảnh hưởng có quyền truy cập vào ví tiền mã hóa, thiết bị ký giao dịch, khóa riêng tư, cụm từ khôi phục hoặc tài khoản lưu ký hay không.

Chuyển tài sản không bị ảnh hưởng sang ví mới được bảo mật nếu khóa riêng tư hoặc cụm từ khôi phục có thể đã bị lộ.

Tạo ví mới trên thiết bị sạch và đáng tin cậy, sử dụng cụm từ khôi phục hoàn toàn mới.

Không tạo tài khoản khác bằng seed phrase đã bị xâm phạm vì kẻ tấn công có thể suy ra tài khoản đó.

Thu hồi các phê duyệt hợp đồng thông minh độc hại nếu quyền của ví có thể đã bị xâm phạm.

4. Bảo toàn bằng chứng

Lưu thông báo đòi tiền chuộc ban đầu, tin nhắn của kẻ tấn công, tiêu đề email, tên tệp, địa chỉ ví, hướng dẫn thanh toán và ảnh chụp màn hình.

Ghi lại loại tiền mã hóa được yêu cầu, số tiền, mạng, hạn chót và phương thức liên lạc.

Nếu an toàn, hãy lưu nhật ký hệ thống, cảnh báo bảo mật, mẫu phần mềm độc hại, phần mở rộng tệp, hoạt động tài khoản và hồ sơ mạng.

Không chỉnh sửa các tệp gốc vì dấu thời gian và siêu dữ liệu có thể hữu ích.

5. Xác định phạm vi

Xác định thiết bị, tài khoản, ứng dụng, ví, bản sao lưu và tập dữ liệu nào bị ảnh hưởng.

Cơ quan điều tra nên xác định lối xâm nhập của kẻ tấn công, phương thức duy trì quyền truy cập, thông tin đăng nhập bị đánh cắp và khả năng dữ liệu bị đánh cắp.

Khôi phục một máy chủ bị mã hóa là chưa đủ nếu kẻ tấn công vẫn có thể truy cập thông qua tài khoản hoặc thiết bị khác.

6. Báo cáo vụ tấn công

Nạn nhân tại Hoa Kỳ có thể gửi báo cáo qua Trung tâm Khiếu nại Tội phạm Internet của FBI.

Biểu mẫu khiếu nại cho phép nạn nhân cung cấp siêu dữ liệu giao dịch tiền mã hóa, hash ransomware, thông tin email và các bằng chứng kỹ thuật khác.

Các tổ chức cũng nên liên hệ với cơ quan quốc gia có thẩm quyền về tội phạm mạng, quyền riêng tư, tài chính hoặc thực thi pháp luật tại khu vực pháp lý của mình.

Tổ chức thuộc lĩnh vực cơ sở hạ tầng trọng yếu có thể phải tuân thủ thêm các yêu cầu báo cáo bắt buộc.

7. Kiểm tra công cụ giải mã

Đôi khi, các nhà nghiên cứu bảo mật và cơ quan thực thi pháp luật thu được khóa giải mã hoặc phát hiện lỗ hổng trong một biến thể ransomware.

Nạn nhân nên tham khảo ý kiến chuyên gia ứng phó sự cố uy tín và các nguồn thông tin công khai về ransomware trước khi cho rằng thanh toán là phương thức khôi phục duy nhất.

Dự án No More Ransom cung cấp công cụ giải mã hợp pháp cho một số dòng ransomware đã biết.

Không phải biến thể ransomware nào cũng có công cụ giải mã miễn phí hoạt động hiệu quả.

8. Khôi phục từ bản sao lưu sạch

Cần kiểm tra bản sao lưu để phát hiện phần mềm độc hại, tài khoản trái phép và tệp bị thay đổi trước khi khôi phục.

Cần xây dựng lại hoặc làm sạch hệ thống theo kế hoạch ứng phó sự cố trước khi khôi phục dữ liệu kinh doanh.

Khôi phục từ bản sao lưu bị nhiễm có thể đưa kẻ tấn công trở lại môi trường.

9. Đặt lại thông tin đăng nhập

Có thể cần thay thế mật khẩu, token xác thực, bí mật ứng dụng, quyền truy cập ví và thông tin đăng nhập quản trị.

Việc đặt lại thông tin đăng nhập nên được thực hiện trên hệ thống sạch sau khi đã ngăn chặn các phương thức truy cập của kẻ tấn công.

Đặt lại mật khẩu quá sớm có thể làm lộ thông tin đăng nhập mới cho kẻ tấn công vẫn đang ở trong mạng.

10. Thực hiện nghĩa vụ thông báo

Việc đánh cắp dữ liệu có thể tạo ra nghĩa vụ pháp lý phải thông báo cho khách hàng, nhân viên, cơ quan quản lý, công ty bảo hiểm, đối tác kinh doanh hoặc các bên bị ảnh hưởng khác.

Yêu cầu thông báo phụ thuộc vào loại thông tin, những người bị ảnh hưởng, hợp đồng và khu vực pháp lý áp dụng.

Cố vấn pháp lý nên giúp xác định nghĩa vụ nào được áp dụng và thời điểm phải gửi thông báo.

Cần bảo toàn bằng chứng crypto nào?

Địa chỉ ví nhận tiền chuộc là một trong những bằng chứng tiền mã hóa quan trọng nhất.

Nạn nhân nên lưu chính xác địa chỉ như trong thông báo đòi tiền chuộc hoặc cổng thanh toán.

Cũng cần ghi lại loại tiền mã hóa được yêu cầu và mạng blockchain, vì các mạng khác nhau có thể có định dạng địa chỉ tương tự.

Nếu đã thanh toán, cần lưu hash giao dịch, địa chỉ gửi, địa chỉ nhận, số tiền, phí, dấu thời gian và dịch vụ được sử dụng để gửi tiền.

Hồ sơ cho thấy cách mua tiền mã hóa có thể giúp cơ quan điều tra xác định toàn bộ luồng thanh toán.

Cần lưu lại trao đổi với kẻ tấn công vì nội dung có thể chứa địa chỉ khác, thay đổi thanh toán hoặc các dấu hiệu nhận dạng.

Các tổ chức không nên công khai bằng chứng nhạy cảm vì việc này có thể cản trở điều tra hoặc làm lộ thêm thông tin bảo mật.

Cách phòng tránh ransomware tiền mã hóa

Duy trì bản sao lưu ngoại tuyến đã được kiểm thử

Cần sao lưu dữ liệu quan trọng thường xuyên và lưu trữ theo cách khiến ransomware không thể sửa đổi mọi bản sao hiện có.

Ít nhất một bản sao lưu cần được cách ly khỏi thông tin đăng nhập và hệ thống sản xuất thông thường.

Cần kiểm thử bản sao lưu vì bản sao chưa được kiểm thử có thể không đầy đủ, bị hỏng hoặc khôi phục quá chậm.

Hồ sơ Quản lý rủi ro ransomware của NIST tháng 6 năm 2026 cung cấp hướng dẫn hiện hành về quản trị, xác định, bảo vệ, phát hiện, ứng phó và khôi phục sau sự cố ransomware.

Sử dụng phương thức xác thực mạnh

Tài khoản quan trọng nên sử dụng mật khẩu riêng biệt và xác thực đa yếu tố mạnh.

Chỉ cấp quyền truy cập quản trị cho những người cần quyền này để thực hiện vai trò của mình.

Tài khoản quản trị riêng biệt có thể giảm thiệt hại khi tài khoản người dùng thông thường bị xâm phạm.

Vá hệ thống nhanh chóng

Cần ưu tiên cập nhật bảo mật cho hệ thống kết nối Internet, phần mềm truy cập từ xa, hệ thống nhận dạng và các lỗ hổng đã bị khai thác.

Nên thay thế phần mềm không còn được hỗ trợ khi không còn bản sửa lỗi bảo mật.

Phân đoạn mạng

Phân đoạn mạng có thể giới hạn phạm vi lây lan của ransomware sau khi một hệ thống bị xâm phạm.

Không nên để hệ thống ví, hạ tầng sao lưu, dịch vụ nhận dạng và cơ sở dữ liệu nhạy cảm có thể được truy cập tự do từ mọi thiết bị của nhân viên.

Giám sát hoạt động đáng ngờ

Đội ngũ bảo mật nên theo dõi các lần đăng nhập bất thường, truyền dữ liệu dung lượng lớn, công cụ bảo mật bị vô hiệu hóa, tài khoản quản trị mới và thay đổi nhanh trên nhiều tệp.

Phát hiện sớm có thể giúp đội ngũ phòng vệ ngăn chặn xâm nhập trước khi dữ liệu bị mã hóa.

Bảo mật hoạt động của ví crypto

Tổ chức nắm giữ tiền mã hóa nên tách hệ thống ký giao dịch ví khỏi thiết bị kinh doanh thông thường.

Giao dịch lớn có thể cần nhiều phê duyệt độc lập thông qua quy trình đa chữ ký hoặc quản lý khóa dành cho tổ chức.

Không lưu khóa riêng tư và cụm từ khôi phục trên ổ đĩa dùng chung, tài khoản email, hệ thống trò chuyện hoặc tài liệu không được mã hóa.

Sự cố ransomware trên mạng doanh nghiệp không nên tự động tạo quyền truy cập vào ví ngân quỹ hoặc ví khách hàng.

Đào tạo nhân viên

Nhân viên cần biết cách nhận diện phishing, hỗ trợ IT giả mạo, yêu cầu đăng nhập đáng ngờ, tệp đính kèm bất thường và yêu cầu cài đặt phần mềm khẩn cấp.

Chương trình đào tạo nên bao gồm quy trình đơn giản để báo cáo hoạt động đáng ngờ mà không lo bị trừng phạt.

Nhân viên báo cáo nhanh có thể ngăn một thiết bị bị xâm phạm trở thành sự cố ransomware quy mô lớn.

Thực hành kế hoạch ứng phó

Các tổ chức nên tổ chức diễn tập ransomware, bao gồm cô lập kỹ thuật, quyết định thanh toán bằng crypto, truyền thông, rà soát pháp lý và khôi phục bản sao lưu.

Buổi diễn tập cần xác định ai có quyền cô lập hệ thống, liên hệ cơ quan chức năng, bảo toàn bằng chứng ví và phê duyệt quyết định tài chính khẩn cấp.

Kế hoạch chưa từng được kiểm thử có thể thất bại khi xảy ra tấn công thực tế.

Ransomware tiền mã hóa và lừa đảo crypto

Ransomware tiền mã hóa thường liên quan đến việc truy cập trái phép vào hệ thống, mã hóa, đánh cắp dữ liệu hoặc đe dọa hoạt động máy tính.

Lừa đảo crypto thường thuyết phục nạn nhân tự nguyện gửi tiền mã hóa thông qua tuyên bố đầu tư sai sự thật, giả mạo danh tính, lừa tình cảm, việc làm giả hoặc một câu chuyện lừa đảo khác.

Hai loại này có thể chồng lấn khi kẻ tấn công đánh cắp dữ liệu rồi giả danh một người đáng tin cậy để đòi tiền mã hóa.

Cả hai sự cố đều cần được báo cáo nhanh chóng và bảo toàn địa chỉ ví cùng hồ sơ giao dịch.

Ransomware tiền mã hóa và cryptojacking

Ransomware tiền mã hóa yêu cầu thanh toán bằng tiền mã hóa để khôi phục dữ liệu, quyền truy cập hệ thống hoặc tính bảo mật.

Cryptojacking âm thầm sử dụng tài nguyên máy tính của nạn nhân để đào tiền mã hóa.

Cryptojacking có thể làm chậm hệ thống và tăng chi phí điện mà không hiển thị thông báo đòi tiền chuộc.

Một mạng bị xâm phạm có thể gặp cả hai hình thức nếu cài đặt các phần mềm độc hại khác nhau.

Ransomware tiền mã hóa và công cụ rút tài sản từ ví crypto

Ransomware tiền mã hóa sử dụng mã hóa hoặc tống tiền để gây áp lực buộc nạn nhân thanh toán.

Công cụ rút tài sản từ ví sử dụng khóa bị đánh cắp, phê duyệt độc hại hoặc chữ ký đánh lừa để chuyển tài sản kỹ thuật số trực tiếp khỏi ví.

Kẻ tấn công bằng ransomware cũng có thể cài phần mềm độc hại đánh cắp ví, khiến sự cố bao gồm cả yêu cầu tiền chuộc lẫn giao dịch crypto trái phép.

Những hiểu lầm phổ biến về ransomware tiền mã hóa

Một hiểu lầm là tiền mã hóa khiến các khoản thanh toán ransomware không thể bị truy vết.

Hồ sơ blockchain công khai có thể cung cấp bằng chứng giá trị ngay cả khi ban đầu chưa biết danh tính chủ ví.

Một hiểu lầm khác là trả tiền luôn khôi phục được mọi tệp.

Kẻ tấn công có thể cung cấp công cụ giải mã không đáng tin cậy hoặc không bao giờ phản hồi sau khi nhận tiền mã hóa.

Một số nạn nhân cho rằng bản sao lưu loại bỏ hoàn toàn rủi ro ransomware.

Bản sao lưu giúp khôi phục hoạt động, nhưng không ngăn được kẻ tấn công công bố dữ liệu bị đánh cắp.

Một sai lầm khác là cho rằng xóa chương trình ransomware sẽ loại bỏ kẻ tấn công.

Tài khoản bị xâm phạm ban đầu, công cụ truy cập từ xa, quản trị viên độc hại hoặc thông tin đăng nhập bị đánh cắp có thể vẫn còn hoạt động.

Một số người cũng cho rằng cơ quan chính phủ có thể đơn giản đảo ngược khoản thanh toán crypto.

Việc thu hồi thường đòi hỏi truy vết, thẩm quyền pháp lý, quyền kiểm soát tài sản liên quan và sự hợp tác của các dịch vụ hoặc khu vực pháp lý.

Câu hỏi thường gặp

Định nghĩa đơn giản nhất về ransomware tiền mã hóa là gì?

Ransomware tiền mã hóa là phần mềm độc hại hoặc hình thức tống tiền dữ liệu làm gián đoạn quyền truy cập vào hệ thống kỹ thuật số và yêu cầu nạn nhân thanh toán bằng tiền mã hóa.

Vì sao ransomware yêu cầu tiền mã hóa?

Kẻ tấn công có thể yêu cầu tiền mã hóa vì tài sản này có thể được chuyển xuyên biên giới nhanh chóng, hoạt động liên tục và người gửi khó đảo ngược giao dịch sau khi được xác nhận.

Ransomware tiền mã hóa có giống cryptojacking không?

Không. Ransomware tiền mã hóa yêu cầu thanh toán, còn cryptojacking âm thầm sử dụng thiết bị của nạn nhân để đào tiền mã hóa.

Các khoản thanh toán ransomware tiền mã hóa có ẩn danh không?

Không. Ban đầu có thể chưa xác định được chủ ví, nhưng giao dịch blockchain thường hiển thị công khai và có thể được phân tích.

Có thể đảo ngược khoản thanh toán tiền chuộc bằng crypto không?

Thông thường, người gửi không thể đảo ngược khoản thanh toán đã được xác nhận, dù đôi khi cơ quan chức năng có thể tịch thu hoặc đóng băng tiền thông qua điều tra.

Trả tiền có đảm bảo nhận được khóa giải mã không?

Không. Kẻ tấn công có thể cung cấp khóa bị lỗi, yêu cầu thêm tiền mã hóa hoặc biến mất mà không giúp nạn nhân.

Ransomware có thể đánh cắp ví crypto không?

Có. Phần mềm độc hại có thể tìm kiếm khóa riêng tư, cụm từ khôi phục, tệp ví, tiện ích mở rộng trình duyệt, mật khẩu và các phiên tài khoản đang hoạt động.

Tôi nên làm gì đầu tiên khi phát hiện ransomware?

Hãy lập tức cô lập các hệ thống bị ảnh hưởng, kích hoạt kế hoạch ứng phó sự cố, bảo vệ tài sản crypto, bảo toàn bằng chứng và liên hệ chuyên gia cùng cơ quan chức năng phù hợp.

Có nên tắt máy tính bị nhiễm ransomware không?

Thông thường, hành động đầu tiên là ngắt kết nối máy tính khỏi mạng. Có thể cần tắt nguồn khi không thể cô lập thiết bị hoặc khi chuyên gia ứng phó sự cố yêu cầu.

Tôi nên báo cáo những thông tin tiền mã hóa nào?

Hãy báo cáo địa chỉ ví, tài sản được yêu cầu, mạng, số tiền, hạn thanh toán, hash giao dịch, dấu thời gian và mọi trao đổi với kẻ tấn công.

Có thể giải mã ransomware mà không trả tiền không?

Một số loại ransomware có thể được giải mã bằng bản sao lưu, khóa khôi phục, lỗ hổng trong cách triển khai hoặc công cụ giải mã miễn phí hợp pháp, nhưng không phải biến thể nào cũng có giải pháp.

Bản sao lưu có thể ngăn ransomware không?

Bản sao lưu được bảo vệ và kiểm thử có thể hỗ trợ khôi phục, nhưng không ngăn được việc đánh cắp dữ liệu hoặc cuộc tấn công ban đầu.

Ransomware tống tiền kép là gì?

Tống tiền kép xảy ra khi kẻ tấn công đánh cắp dữ liệu và mã hóa hệ thống trước khi yêu cầu tiền mã hóa để vừa giải mã vừa không công bố thông tin.

Ransomware dưới dạng dịch vụ là gì?

Ransomware dưới dạng dịch vụ là mô hình phạm pháp trong đó đơn vị vận hành phần mềm độc hại cung cấp công cụ và cơ sở hạ tầng cho affiliate thực hiện tấn công và chia sẻ tiền chuộc.

Trả tiền chuộc bằng crypto có phạm pháp không?

Việc thanh toán không phải lúc nào cũng phạm pháp, nhưng có thể vi phạm lệnh trừng phạt hoặc luật khác nếu người nhận là cá nhân hay tổ chức bị cấm.

Nên báo cáo ransomware tiền mã hóa ở đâu?

Hãy báo cáo sự cố cho cơ quan tội phạm mạng hoặc thực thi pháp luật quốc gia có liên quan và cho cơ quan quản lý được yêu cầu theo ngành hoặc địa điểm của tổ chức.

Cơ quan thực thi pháp luật có thể theo dõi ví ransomware không?

Cơ quan điều tra có thể phân tích hoạt động blockchain công khai và liên kết ví với các dịch vụ, tài khoản, thiết bị có thể nhận diện hoặc địa chỉ phạm pháp khác.

Có thể thu hồi dữ liệu bị đánh cắp sau khi trả tiền chuộc không?

Thanh toán không thể chứng minh kẻ tấn công đã xóa mọi bản sao dữ liệu bị đánh cắp hoặc ngăn dữ liệu bị chia sẻ.

Các công ty crypto có thể giảm rủi ro ransomware như thế nào?

Các công ty crypto có thể tách hệ thống ký giao dịch ví, yêu cầu nhiều phê duyệt, bảo vệ bản sao lưu, cập nhật bảo mật, giới hạn quyền, giám sát mạng và diễn tập kế hoạch ứng phó sự cố.

Ransomware có thể ảnh hưởng đến ví phần cứng không?

Ransomware có thể không trực tiếp lấy được khóa từ ví phần cứng được bảo mật đúng cách, nhưng có thể sửa địa chỉ hiển thị, xâm phạm máy tính kết nối hoặc lừa người dùng phê duyệt giao dịch gây hại.

Biện pháp phòng vệ tốt nhất trước ransomware tiền mã hóa là gì?

Biện pháp phòng vệ vững chắc nhất là kết hợp bản sao lưu ngoại tuyến đã kiểm thử, xác thực an toàn, vá lỗi kịp thời, phân đoạn mạng, cách ly ví, giám sát, đào tạo nhân viên và kế hoạch ứng phó đã được diễn tập.

Kết luận

Ransomware tiền mã hóa là cuộc tấn công mạng mã hóa dữ liệu, đánh cắp thông tin, làm gián đoạn hệ thống hoặc đe dọa công bố dữ liệu trước khi yêu cầu thanh toán bằng tiền mã hóa.

Tiền mã hóa cung cấp cho kẻ tấn công phương thức thanh toán xuyên biên giới nhanh chóng, nhưng hồ sơ blockchain công khai cũng có thể hỗ trợ truy vết và điều tra của cơ quan thực thi pháp luật.

Trả tiền chuộc không đảm bảo giải mã, xóa dữ liệu, khôi phục hoạt động hoặc tránh được một cuộc tấn công khác.

Các tổ chức nên tập trung cô lập hệ thống bị ảnh hưởng, bảo vệ ví crypto, lưu giữ đầy đủ bằng chứng giao dịch, báo cáo nhanh và khôi phục hoạt động từ bản sao lưu đã được xác minh.

Biện pháp bảo vệ dài hạn hiệu quả nhất kết hợp các biện pháp kiểm soát an ninh mạng với việc lưu ký tiền mã hóa an toàn, thẩm quyền ra quyết định rõ ràng và kế hoạch ứng phó ransomware được kiểm thử trước khi xảy ra tình huống khẩn cấp.