Nghi vấn chuyên gia an ninh mạng tiếp tay cho nhóm tống tiền ShinyHunters

• Cáo buộc nghiêm trọng: FBI nghi ngờ một chuyên gia tư vấn an ninh mạng tại Mỹ đã hỗ trợ nhóm ShinyHunters vận hành nền tảng tống tiền trực tuyến.
• Chiến thuật tống tiền: Nhóm ShinyHunters sử dụng trang web shinywire[.]com để phô diễn dữ liệu đánh cắp và gây áp lực buộc nạn nhân phải chi trả tiền chuộc.
• Dấu vết điều tra: Các bằng chứng từ ứng dụng Signal sau khi bắt giữ nghi phạm Pepijn van der Stap đã dẫn đến việc bắt giữ Edward Dubrovsky tại Pennsylvania.
• Rủi ro từ bên thứ ba: Vụ việc đặt ra hồi chuông cảnh báo về sự xung đột lợi ích giữa các đơn vị tư vấn ứng cứu sự cố và các nhóm tội phạm mạng.

Tổng quan về chiến dịch tống tiền của ShinyHunters

Các nhà nghiên cứu bảo mật và cơ quan thực thi pháp luật đang tập trung điều tra một mạng lưới tống tiền tinh vi do nhóm ShinyHunters điều hành. Theo các báo cáo, nhóm này đã thiết lập trang web shinywire[.]com từ ngày 3 tháng 5 đến ngày 16 tháng 10 năm 2026, đóng vai trò là trung tâm điều phối các yêu cầu đòi tiền chuộc đối với gần 100 tổ chức bị xâm nhập.

Cơ chế hoạt động của ShinyHunters không dựa trên mã hóa dữ liệu (Ransomware truyền thống) mà tập trung vào kỹ thuật Extortion-only (tống tiền bằng cách rò rỉ dữ liệu). Bằng cách công khai các mẫu dữ liệu nhạy cảm trên trang web, nhóm này tạo ra áp lực tâm lý cực lớn, buộc các doanh nghiệp phải đàm phán trong vòng 7 ngày nếu không muốn toàn bộ thông tin bị phát tán trên các diễn đàn ngầm qua mạng Tor.

Phân tích vai trò của các chuyên gia trong mạng lưới tội phạm

Vụ việc trở nên phức tạp hơn khi FBI nghi ngờ một chuyên gia cấp cao tại một công ty tư vấn lớn của Mỹ đã tham gia vận hành hạ tầng kỹ thuật cho ShinyHunters. Điều này đặt ra câu hỏi lớn về tính trung thực của các đơn vị tư vấn an ninh mạng trong quá trình hỗ trợ nạn nhân xử lý sự cố.

Bên cạnh đó, việc bắt giữ Edward Dubrovsky, một chuyên gia an ninh mạng 54 tuổi người Canada, vào ngày 8 tháng 10 tại Pennsylvania đã cung cấp thêm những manh mối quan trọng. Mặc dù các cáo buộc đối với ông Dubrovsky vẫn đang trong quá trình điều tra, nhưng các tài liệu tòa án cho thấy ông này đối mặt với cáo buộc âm mưu đe dọa phát tán thông tin mật để trục lợi và can thiệp vào hoạt động thương mại.

Dấu hiệu nhận biết và kỹ thuật tấn công (TTPs)

ShinyHunters thường xuyên sử dụng kỹ thuật Phishing để đánh cắp thông tin xác thực (credentials), sau đó chiếm quyền truy cập vào các dịch vụ đám mây (Cloud Services) để trích xuất dữ liệu. Theo các nguồn tin, nhóm này đã thu lợi hơn 70 triệu USD trong năm 2026 thông qua các hoạt động tống tiền.

⚠️ Cảnh báo quan trọng: Việc chi trả tiền chuộc không đảm bảo dữ liệu sẽ được xóa bỏ. Các trường hợp như PowerSchool cho thấy tội phạm mạng có thể tiếp tục sử dụng dữ liệu đã đánh cắp để thực hiện các đợt tống tiền tiếp theo ngay cả khi nạn nhân đã thanh toán.

Khuyến nghị phòng thủ và ứng phó

• Giám sát tài khoản: Triển khai xác thực đa yếu tố (MFA) trên tất cả các dịch vụ đám mây và hệ thống nội bộ để ngăn chặn việc chiếm đoạt tài khoản.
• Kiểm soát dữ liệu: Thực hiện phân loại dữ liệu nhạy cảm và áp dụng các chính sách ngăn chặn mất mát dữ liệu (DLP) nghiêm ngặt.
• Quy trình ứng cứu: Khi xảy ra sự cố, hãy tuân thủ hướng dẫn từ các cơ quan chức năng như IC3 và không tự ý liên lạc hoặc thanh toán cho kẻ tấn công.
• Minh bạch hóa: Các tổ chức cần yêu cầu sự minh bạch tối đa từ các đơn vị tư vấn an ninh mạng, đặc biệt là các thỏa thuận liên quan đến phí đàm phán và chi phí tiền điện tử.

Việc điều tra vẫn đang tiếp tục diễn ra. Các chuyên gia an ninh mạng khuyến cáo các tổ chức nên tập trung vào việc củng cố hệ thống phòng thủ thay vì tin tưởng vào các lời hứa từ phía tội phạm mạng. Mọi thông tin chi tiết về các chiến dịch tương tự có thể tham khảo thêm tại các báo cáo từ CISA để cập nhật các chỉ số IOCs mới nhất.