Tên công ty xuất hiện trên trang leak ransomware: xác minh thế nào

Khi tên doanh nghiệp xuất hiện trên trang leak của một nhóm ransomware, việc đầu tiên không phải là trả tiền hay ra thông cáo, mà là xác minh tuyên bố đó có thật hay không. Báo cáo Threat Debrief tháng 11/2026 của Bitdefender là ví dụ rõ: nhóm N0n đăng hơn 100 nạn nhân lên trang leak, nhưng dữ liệu rò rỉ từ chính máy chủ của nhóm cho thấy số mục tiêu thật chỉ nhỉnh hơn 20. Bài này tóm tắt trường hợp N0n và đưa ra quy trình kiểm chứng từng bước.

Chuyện gì đã xảy ra với nhóm N0n

Theo Bitdefender Threat Debrief công bố ngày 10/11/2026, N0n xuất hiện từ giữa tháng 9 với một trang leak liệt kê hơn 100 nạn nhân. Trong tháng 10, nhóm này được ghi nhận 126 nạn nhân, đủ để lọt vào top 10 nhóm hoạt động mạnh nhất. Tuy nhiên, một máy chủ tệp Python để mở công khai đã làm lộ số mục tiêu thực tế, chỉ hơn 20.

Bitdefender cho rằng các mục trùng lặp hoặc sai có thể xuất phát từ việc trang leak được duy trì cẩu thả. Nhóm này dùng nền tảng mã nguồn mở OpenCode để quản lý các mô hình AI và viết script, đã chi hơn 7.000 USD cho dịch vụ AI tạo sinh. Bitdefender đánh giá với độ tin cậy cao rằng N0n khó giữ được vị trí top 10. Thậm chí các nhà nghiên cứu còn tranh luận liệu nhóm này có thực sự triển khai mã độc mã hóa một cách nhất quán hay không; việc dùng lại cùng khóa mã hóa giữa các chiến dịch có thể giúp nạn nhân giải mã.

Ảnh hưởng đến số liệu thống kê

Hệ quả thấy ngay trong thống kê. Tổng số nạn nhân được tuyên bố của tháng 10 là 1.072; bỏ phần của N0n thì còn 946. Hàn Quốc ghi nhận 18 nạn nhân nhưng 11 trong số đó đến từ N0n, toàn bộ thuộc ngành vận tải. Ngành vận tải vì thế nhảy từ hạng 10 lên hạng 6. Bitdefender lưu ý không nên đọc đây là một xu hướng thật.

Vì sao các nhóm tống tiền thổi phồng danh sách nạn nhân

Trang leak vừa là công cụ gây sức ép, vừa là tấm biển quảng cáo. Danh sách dài giúp nhóm trông mạnh hơn trong mắt cộng tác viên (affiliate) và nạn nhân tiềm năng. Có vài cách thổi phồng phổ biến:

• Đăng lại dữ liệu cũ từ các vụ rò rỉ trước, gán là chiến lợi phẩm mới.
• Gom dữ liệu công khai, dữ liệu từ nhà cung cấp bên thứ ba rồi tuyên bố đã xâm nhập chính doanh nghiệp.
• Đăng tên doanh nghiệp chỉ vì quét thấy dịch vụ lộ ra internet, chưa từng vào được bên trong.
• Lỗi kỹ thuật hoặc quản lý kém làm một nạn nhân bị đăng nhiều lần.

Nhưng thổi phồng không có nghĩa là vô hại. Bitdefender cũng nêu trường hợp nhóm Booba Team tuyên bố tấn công hơn 9 cơ quan chính phủ với hơn 800 GB dữ liệu, và nhóm Azazel đã tích lũy hơn 6 TB dữ liệu đánh cắp. Không thể mặc định mọi tuyên bố đều là giả.

Quy trình xác minh trong 48 giờ đầu

Bước 1: thu thập và cô lập bằng chứng

Chụp lại trang leak, ghi thời điểm, lưu các ảnh mẫu dữ liệu nhóm tấn công đăng kèm. Việc truy cập trang leak nên do đội chuyên môn thực hiện trong môi trường tách biệt, không dùng máy tính văn phòng thông thường. Nếu chưa quen với cách các trang này vận hành trên mạng ẩn danh, có thể tham khảo bài cơ chế hoạt động của mạng Tor.

Bước 2: đối chiếu mẫu dữ liệu với hệ thống nội bộ

Mẫu dữ liệu là bằng chứng có giá trị nhất. Đội an ninh cần trả lời: tên tệp, cấu trúc thư mục có khớp với máy chủ nào không; dữ liệu có mốc thời gian gần nhất là khi nào; có trường dữ liệu chỉ tồn tại trong hệ thống nội bộ không. Nếu mẫu chỉ gồm thông tin đã công khai trên website hay báo cáo tài chính, khả năng cao đây là tuyên bố rỗng.

Bước 3: tìm dấu vết xâm nhập thực tế

Song song, rà nhật ký đăng nhập VPN, RDP, tài khoản quản trị, lưu lượng ra ngoài bất thường trong vài tuần gần nhất. Một vụ đánh cắp hàng trăm GB thường để lại dấu vết truyền dữ liệu lớn. Không có dấu vết nào cả cũng là một thông tin quan trọng, dù chưa đủ để kết luận.

Bước 4: kiểm tra chuỗi cung ứng

Nếu dữ liệu là thật nhưng không tìm thấy dấu vết trong hệ thống của mình, hãy hỏi các nhà cung cấp đang giữ dữ liệu của bạn: đơn vị kế toán thuê ngoài, nền tảng CRM, nhà cung cấp dịch vụ email marketing. Rất nhiều vụ bị gán cho doanh nghiệp thực chất xảy ra ở đối tác.

Bước 5: quyết định truyền thông

Chỉ sau khi có kết quả sơ bộ mới nên quyết định thông báo. Nếu xác nhận có dữ liệu cá nhân bị lộ, doanh nghiệp phải thực hiện nghĩa vụ thông báo theo quy định về bảo vệ dữ liệu cá nhân. Nếu tuyên bố là giả, vẫn nên chuẩn bị sẵn câu trả lời cho báo chí và khách hàng, vì tin đồn lan nhanh hơn kết quả điều tra.

Những điều không nên làm

• Không liên hệ, thương lượng với nhóm tấn công khi chưa có tư vấn chuyên môn và pháp lý.
• Không tải toàn bộ dữ liệu bị rao về máy nội bộ để kiểm tra.
• Không vội phủ nhận công khai khi chưa xác minh xong, vì nếu sau đó dữ liệu bị tung ra, uy tín sẽ tổn hại gấp đôi.
• Không coi việc nhóm tấn công tự giải thể hay trang leak sập là dấu hiệu sự cố đã kết thúc.

Áp lực trả tiền cũng không còn lớn như trước. Theo báo cáo giữa năm 2026 của Flashpoint, chỉ 28% nạn nhân trong sáu tháng đầu năm chấp nhận trả tiền, mức mà hãng này mô tả có thể là thấp nhất từ trước đến nay. Điều đó phần nào giải thích vì sao các nhóm phải làm danh sách nạn nhân trông dài hơn để tạo sức ép.

Bài học cho đội tình báo mối đe dọa

Trường hợp N0n nhắc người làm phân tích rằng số liệu trang leak là tín hiệu thô, cần làm sạch trước khi dùng để vẽ xu hướng. Một nhóm mới nổi có thể kéo lệch thống kê theo quốc gia, theo ngành chỉ trong một tháng. Khi lập báo cáo cho lãnh đạo, nên tách riêng phần dữ liệu đã kiểm chứng và phần tuyên bố chưa xác minh.

Bitdefender cũng ghi nhận hơn 17 nhóm ransomware mới xuất hiện trong hai tháng gần đây, với nhiều cái tên chỉ mới lộ diện trong tháng 10. Các vụ triệt phá, mâu thuẫn nội bộ và thất bại vận hành liên tục sinh ra nhóm mới. Việc theo dõi sát các trang leak giúp doanh nghiệp biết sớm khi tên mình bị nhắc đến, và đây là một phần cốt lõi của dịch vụ giám sát rò rỉ trên dark web.

Khuyến nghị của Bitdefender đi theo đúng tinh thần đó: duy trì danh mục tài sản và dữ liệu quan trọng, không mặc định dữ liệu bị đánh cắp là mới hay dùng được khi chưa có bằng chứng, ghi chép các vụ rò rỉ cũ để đối chiếu, và giữ bản sao lưu tách biệt có kiểm thử khôi phục thường xuyên.