100.000 hồ sơ cảnh sát Anh bị phát tán: ExfilSquad và bài học về dòng tiền chuộc trên blockchain
Vũ Cường
Hôm qua, The Times xác nhận một điều mà giới bảo mật Anh đã cố tránh né: nhóm tin tặc ExfilSquad công bố hơn 100.000 hồ sơ của cảnh sát và nhân viên Bộ Quốc phòng trên dark web. Không mã hóa hệ thống, không cài phần mềm tống tiền. Chúng chỉ đánh cắp dữ liệu, dựng trang web tối và viết: 'Hãy thông minh lên. Trả tiền.' Giới chuyên môn gọi đây là pure extortion – mô hình tống tiền thuần túy. Còn tôi, một người theo dõi dòng tiền trên chuỗi, thấy đây là một bài kiểm tra khả năng truy vết thanh khoản bất hợp pháp. Volume nói nhiều hơn tweet của KOL.
ExfilSquad là tổ chức mới nổi, chưa từng xuất hiện trong các báo cáo ransomware trước đây. Chúng tuyên bố đã xâm nhập 15 công ty và cơ quan chính phủ, bao gồm Microsoft, Bộ Giáo dục Anh, Bộ Quốc phòng, Bộ Nội vụ, Cơ quan Tội phạm Quốc gia và Cơ quan Công tố Crown. Dữ liệu bị lộ bao gồm tên, email, lĩnh vực công tác của hơn 114.000 người đăng ký truy cập Mạng Dữ liệu Cảnh sát Quốc gia, cùng thông tin của 2.615 nhân viên CPS, 617 nhân viên Bộ Nội vụ, 588 nhân viên NCA và 402 nhân viên Bộ Quốc phòng. The Times đã xác minh một phần dữ liệu là thật, nhưng các nhà nghiên cứu nghi ngờ con số 135.000 bản ghi bị thổi phồng. Thời điểm công bố cũng trùng với lúc Anh chuẩn bị ban hành lệnh cấm trả tiền chuộc cho khu vực công. Đây chính là bối cảnh tạo ra một nghịch lý chính sách.
Chuỗi tấn công mà ExfilSquad thực hiện không phức tạp như nhiều người tưởng. Chúng không cần zero-day, không cần khai thác lỗ hổng phần mềm. Khả năng cao chúng mua quyền truy cập từ các nhà môi giới truy cập ban đầu – những kẻ chuyên rao bán thông tin đăng nhập VPN của nhân viên chính phủ trên chợ đen. Vì sao tôi khẳng định điều này? Vì chính phủ Anh vá lỗ hổng nhanh, và một nhóm mới nổi như ExfilSquad khó có đủ ngân sách cho việc nghiên cứu zero-day. Mua sẵn một tài khoản VPN còn rẻ hơn nhiều. Trên blockchain, dấu vết của các giao dịch mua bán này vẫn hiện hữu nếu cơ quan thực thi pháp luật biết nhìn vào đúng địa chỉ ví.
Phần quan trọng nhất với tôi là khâu thanh toán. Theo các thông tin rò rỉ, ExfilSquad có thể yêu cầu tiền chuộc bằng tiền mã hóa, sau đó chuyển qua mixer, privacy coin và các sàn giao dịch không tuân thủ KYC. Từ kinh nghiệm theo dõi các vụ ransomware trong năm năm qua, tôi nhận thấy hai kịch bản rửa tiền chính. Kịch bản thứ nhất: nạn nhân gửi Bitcoin vào ví do kẻ tấn công kiểm soát, số Bitcoin này được chuyển vào Tornado Cash, tách thành nhiều ví nhỏ, sau đó chảy qua các sàn phi tập trung để đổi sang stablecoin. Chi phí cho toàn bộ quá trình này khoảng 10 đến 20% tổng số tiền. Kịch bản thứ hai: kẻ tấn công yêu cầu Monero ngay từ đầu. Monero che giấu số dư và địa chỉ ví, khiến các công ty như Chainalysis hay Elliptic gần như bị mù. Các sàn giao dịch lớn đã niêm yết Monero rồi gỡ bỏ vì áp lực pháp lý, nhưng nhu cầu sử dụng nó trên chợ đen vẫn tăng đều.
Tác động lên thị trường tiền mã hóa gần như bằng không nếu xét theo giá Bitcoin hay Ethereum. Nhưng nếu nhìn sâu hơn, đây là chất xúc tác cho một câu chuyện quản lý dài hơi: khi cơ quan thực thi pháp luật tìm thấy một vụ rửa tiền liên quan đến Monero hoặc mixer, họ sẽ dùng chính vụ này để thúc đẩy các lệnh trừng phạt. Lịch sử lặp lại: Tornado Cash từng bị Bộ Tài chính Mỹ trừng phạt sau khi nhóm hacker Triều Tiên dùng nó để rửa tiền. Mỗi vụ tấn công mới là một viên gạch mới cho bức tường pháp lý nhắm vào các công cụ bảo mật.
Có một khía cạnh kỹ thuật mà báo chí ít nhắc đến: lệnh cấm trả tiền chuộc của Anh thực chất sẽ làm giảm tỷ lệ nạn nhân sẵn sàng trả tiền, nhưng nó không làm giảm tổng nhu cầu rửa tiền. Nó chỉ đẩy ExfilSquad và các nhóm tương tự chuyển sang khu vực tư nhân, nơi doanh nghiệp có tiền nhưng năng lực phòng thủ kém hơn nhiều. Chính sách công thường tạo ra hậu quả ngược. Trên blockchain, không có gì biến mất, chỉ có dòng tiền đổi chủ.
Truyền thông gọi đây là thảm họa an ninh. Tôi gọi đây là cú hích tăng trưởng cho ngành an ninh mạng và phân tích on-chain. Mỗi vụ rò rỉ dữ liệu cảnh sát là một bản hợp đồng mới cho các công ty giám sát dark web, dịch vụ xác thực danh tính và các nền tảng phân tích chuỗi. Dữ liệu không bao giờ nói dối; chỉ có người đọc dữ liệu tự lừa mình. Đám đông đang lo sợ rằng tiền mã hóa tiếp tay cho tội phạm, nhưng thực tế cho thấy ngành công nghiệp truy vết blockchain chưa bao giờ có nhiều khách hàng như lúc này. Các cơ quan chính phủ Anh sẽ phải chi thêm hàng trăm triệu bảng cho công cụ tuân thủ, và phần lớn ngân sách đó sẽ chảy vào các công ty có trụ sở tại Mỹ. Nếu nhìn theo hướng này, ExfilSquad vừa giúp thị trường bảo mật tăng trưởng một cách ngoạn mục.
Khi chính phủ cấm trả tiền chuộc, họ nghĩ tội phạm sẽ bỏ cuộc. Tôi không chắc. Tôi chỉ biết dòng tiền trên blockchain là thứ duy nhất nói sự thật. Hãy theo dõi volume Monero và các địa chỉ mixer trong ba mươi ngày tới. Mọi thứ khác chỉ là tweet.