ShinyHunters thách thức FBI sau khi thủ lĩnh bị bắt

FBI vừa đưa ra lời kêu gọi công khai đối với các thành viên còn lại của nhóm tội phạm mạng ShinyHunters, sau khi thủ lĩnh bị nghi ngờ của nhóm này bị bắt giữ tại Hà Lan. Thế nhưng thay vì lo sợ, nhóm hacker này lại tỏ ra thách thức, thậm chí còn tuyên bố vụ tấn công vào hệ thống tuyển dụng của FBI chỉ là một chiến dịch quảng bá thương hiệu.

Hacker và tội phạm mạng

Thủ lĩnh bị bắt giữ tại Hà Lan

Pepijn van der Stap, 24 tuổi, người Amsterdam, bị bắt tại Hà Lan vào ngày 15 tháng 9 trong thời gian đang chấp hành án treo. Trước đó, y từng bị kết án 4 năm tù vào năm 2023 vì các hoạt động hack và tống tiền, và đã thụ án được 3 năm.

Cảnh sát Hà Lan cho biết người đàn ông này bị tình nghi "có vai trò trong nhóm hacker ShinyHunters" và đang lên kế hoạch cho hai vụ giết người. Theo thông báo của cảnh sát Hà Lan, sau khi bắt giữ, cơ quan chức năng tìm thấy rất nhiều thông tin trên laptop của nghi phạm, bao gồm cả kế hoạch về hai vụ giết người sẽ được thực hiện ở nước ngoài.

Theo FBI, nghi phạm là một trong những thủ lĩnh bị cáo buộc của nhóm tống tiền này. Từ năm 2025 đến nay, y được cho là đã tham gia vào việc hack hơn 140 tổ chức và thu về ít nhất 70 triệu USD tiền chuộc.

"Chúng thường nhắm vào các nhà cung cấp bên thứ ba trên các nền tảng đám mây, đánh cắp dữ liệu nhạy cảm và tống tiền nạn nhân bằng cách đe dọa công bố dữ liệu." — Brett Leatherman, Trợ lý Giám đốc Bộ phận An ninh mạng FBI.

FBI gửi thông điệp cứng rắn đến các thành viên còn lại

Trợ lý Giám đốc Leatherman kêu gọi các thành viên khác của ShinyHunters nên chú ý đến vụ bắt giữ này và ra đầu thú trước khi cơ quan chức năng tìm đến họ.

"Gửi những thành viên còn lại của ShinyHunters: Các người đã nghe về vụ bắt giữ đồng nghiệp của mình. Chúng tôi tin rằng các người đã thấy hoặc nghe được những điều mà công chúng chưa biết trong những ngày gần đây."

"Việc bắt giữ có cách khiến người ta muốn khai ra, và cơ sở hạ tầng bị thu giữ có cách chỉ cho chúng tôi biết ai còn lại. Các người càng ở lại lâu trong đường dây này, chúng tôi càng biết nhiều về các người. Các người biết cách tìm chúng tôi, và chúng tôi biết cách tìm các người. Tôi khuyên các người nên liên lạc trước khi lựa chọn vẫn còn nằm trong tay các người."

ShinyHunters phản bác: "Đây không phải tống tiền"

Trước tuyên bố của FBI, nhóm hacker này tỏ ra tự tin rằng việc xuất hiện trên các mặt báo trong tuần qua đã giúp chúng thu hút thêm sự chú ý thay vì gây tổn hại đến hoạt động.

Liên quan đến vụ hack trang FBIJobs.gov và tối hậu thư một tuần mà nhóm này đưa ra để yêu cầu Cục điều tra Liên bang rút lại báo cáo trước đó, ShinyHunters giờ đây khẳng định tất cả chỉ là một chiến dịch tiếp thị nhằm bảo vệ thương hiệu.

Trước đó, nhóm này tuyên bố đã đánh cắp thông tin cá nhân (PII) và thông tin sức khỏe được bảo vệ (PHI) của tất cả nhân viên FBI hiện tại và trước đây từ trang tuyển dụng của cơ quan này. Chúng gửi một danh sách mẫu gồm 5.000 nhân viên FBI đến nhiều cơ quan truyền thông, khẳng định đã đánh cắp từ 2-3 terabyte dữ liệu.

Trong tuyên bố mới nhất gửi giới truyền thông, ShinyHunters viết:

"Ngay từ đầu sự việc này, chúng tôi đã khẳng định rõ ràng và dứt khoát rằng đây KHÔNG phải là tống tiền, KHÔNG phải là đòi tiền chuộc, KHÔNG vì động cơ tài chính.

Đây hoàn toàn là một chiến dịch tiếp thị để bảo vệ hoạt động kinh doanh của chúng tôi và chủ động chống lại thông tin sai lệch. Nếu chúng tôi đưa ra tuyên bố này theo cách thông thường thì sẽ không bao giờ nhận được sự chú ý rộng rãi đến vậy đối với lời nói và ý định của chúng tôi. Chúng tôi sẽ bị phớt lờ và xem nhẹ.

Tuy nhiên, giờ đây mọi người đều biết vấn đề là gì và chúng tôi đang làm gì. Mọi người đều đang đọc về nó. Chúng tôi đã chứng minh quan điểm của mình trong nhiều trường hợp. Chúng tôi không quan tâm công chúng nói gì và không bị ảnh hưởng bởi điều đó, cũng không để những ý kiến và suy nghĩ bên ngoài làm mờ phán đoán của mình.

Chúng tôi hiểu tại sao nhiều người hiểu sai đây là tống tiền và tin rằng chúng tôi sẽ công bố dữ liệu này và/hoặc lạm dụng nó như bán cho bên thứ ba, do lịch sử hoạt động trước đây của chúng tôi vốn chưa bao giờ liên quan đến một cơ quan chính phủ nổi bật.

Chúng tôi một lần nữa muốn nhấn mạnh rằng đây không phải là tống tiền. Ngay từ đầu đã không phải vậy, không phải mối đe dọa, không phải đòi tiền chuộc, và không vì động cơ tài chính. Sẽ không có gì xảy ra cả. Chúng tôi đã vượt qua tình huống này trong hoạt động kinh doanh của mình và tin tưởng rằng mình đã thành công khi thấy hoạt động của chúng tôi gần đây có nhiều thành công mới."

Trong một tuyên bố mới trên trang rò rỉ dữ liệu qua mạng Tor, nhóm tống tiền này khẳng định hoạt động và cơ sở hạ tầng của chúng không bị ảnh hưởng bởi các sự kiện gần đây, đồng thời cảnh báo các tổ chức nạn nhân nên tiếp tục đàm phán để ngăn chặn việc rò rỉ dữ liệu bị đánh cắp.

"Chúng tôi đang háo hức chờ đợi để làm gương cho những tổ chức nghĩ rằng họ có thể thoát khỏi việc trả cho chúng tôi vài chục triệu đô la."

Bảo mật và an ninh mạng

ShinyHunters liệu có tồn tại được?

Một số ý kiến cho rằng nhóm này đã quyết định không tống tiền FBI vì những hệ lụy tiềm ẩn: cơ quan này sẽ càng có động lực hơn để truy lùng và triệt phá các thành viên ShinyHunters. Tuy nhiên, cũng có ý kiến cho rằng các cơ quan tình báo nước ngoài có thể đã hứa bảo vệ ShinyHunters để đổi lấy dữ liệu. Chưa có thông tin nào trong số này được xác nhận.

Theo chuyên gia tình báo mối đe dọa Jason Baker của GuidePoint Security, việc cảnh sát Hà Lan bắt giữ van der Stap khó có thể dẫn đến sự diệt vong của nhóm tống tiền này. Ngay cả những vụ bắt giữ tiếp theo cũng có thể không khiến ShinyHunters biến mất hoàn toàn. Do tính chất phi tập trung của hoạt động, các thành viên còn lại có thể đổi tên nhóm hoặc tách ra thành các băng nhóm hacker khác.

Jason Brown, Giám đốc tư vấn khách hàng về chống gian lận tại iCOUNTER, cũng đồng tình với quan điểm này.

"Một vụ bắt giữ là sự gián đoạn, không phải là dấu chấm hết. ShinyHunters hoạt động như một thương hiệu chứ không phải một nhóm cố định. Các biệt danh thay đổi và thành viên luân chuyển, đó là lý do tại sao thủ lĩnh hiện tại của chúng được cho là đang đổ lỗi vụ hack FBI cho một người mà nhóm từng có liên hệ trước đây. Những vụ bắt giữ như thế này có ý nghĩa. Chúng tạo ra nỗi sợ hãi và sự ngờ vực bên trong nhóm, đồng thời trao cho các nhà điều tra đòn bẩy. Nhưng những người vẫn đang hoạt động sẽ không dừng lại. Họ sẽ thích nghi."

"Những nhóm như thế này không thắng chỉ bằng các lỗ hổng khai thác mới. Những chiến dịch gây thiệt hại nhất của chúng đến từ việc nhắm vào những người bên trong các nhà cung cấp, bộ phận trợ giúp và nhà cung cấp SaaS nắm giữ quyền truy cập đặc quyền, rồi lợi dụng lòng tin đó để tiếp cận hàng chục nạn nhân hạ nguồn cùng lúc. Đó mới là rủi ro thực sự đối với hầu hết các tổ chức."

Bài học cho doanh nghiệp Việt Nam

Sự việc ShinyHunters một lần nữa cho thấy mối đe dọa từ các nhóm tội phạm mạng có tổ chức ngày càng tinh vi và khó lường. Đối với các doanh nghiệp Việt Nam, đặc biệt là những đơn vị đang chuyển đổi số mạnh mẽ và phụ thuộc vào các nền tảng đám mây, đây là lời cảnh tỉnh về tầm quan trọng của việc bảo vệ dữ liệu khách hàng.

Các chuyên gia khuyến nghị doanh nghiệp cần:

• Kiểm soát quyền truy cập đặc quyền chặt chẽ đối với nhân viên và nhà cung cấp bên thứ ba.
• Giám sát liên tục thay vì chỉ kiểm tra định kỳ, nhằm phát hiện sớm các hành vi bất thường.
• Xây dựng kế hoạch ứng phó sự cố rõ ràng, bao gồm cả kịch bản bị tống tiền dữ liệu.
• Đào tạo nhân viên về nhận diện các cuộc tấn công lừa đảo và kỹ thuật xã hội.
• Sao lưu dữ liệu thường xuyên và lưu trữ ở nơi tách biệt khỏi hệ thống chính.

Việc một nhóm tội phạm mạng quy mô toàn cầu như ShinyHunters có thể hoạt động bất chấp sự truy đuổi của FBI cho thấy cuộc chiến chống tội phạm mạng vẫn còn rất nhiều thách thức phía trước.

Logo SecurityWeek