Quy định mới nhằm “phá vỡ mô hình kinh doanh của tội phạm mạng” áp dụng toàn bộ dịch vụ công và hạ tầng quan trọng
Anh đã quyết định cấm toàn bộ khu vực công và các đơn vị vận hành hạ tầng quan trọng của quốc gia thanh toán tiền chuộc cho các cuộc tấn công ransomware. Động thái này nhằm “phá vỡ mô hình kinh doanh của tội phạm mạng” và bảo vệ các dịch vụ thiết yếu.
Đề xuất được công bố hôm thứ Ba sau cuộc tham vấn công chúng kêu gọi cấm thanh toán ransomware đối với tất cả các cơ quan khu vực công và hạ tầng quan trọng như năng lượng, dịch vụ y tế và hội đồng địa phương. Quy định này mở rộng lệnh cấm hiện tại chỉ áp dụng cho các bộ phận chính phủ.
Các phần khác của đề xuất bao gồm chế độ phòng ngừa yêu cầu các nạn nhân và doanh nghiệp không thuộc diện cấm phải báo cáo khi họ có ý định trả tiền chuộc. Điều này giúp chính phủ nắm bắt tình hình và đưa ra các biện pháp hỗ trợ kịp thời.
Hệ thống báo cáo bắt buộc dựa trên ngưỡng cũng đang được đề xuất. Theo đó, các nạn nhân phải gửi báo cáo với các chi tiết quan trọng cho chính phủ trong vòng 72 giờ sau cuộc tấn công, và một phân tích sâu hơn trong vòng 28 ngày.
Bộ trưởng An ninh Anh Dan Jarvis cho biết Bộ Nội vụ “quyết tâm phá vỡ mô hình kinh doanh của tội phạm mạng và bảo vệ các dịch vụ mà tất cả chúng ta đều phụ thuộc vào”. Ông cũng nhấn mạnh sẽ “hợp tác với ngành công nghiệp để thúc đẩy các biện pháp này”.
Ransomware là phần mềm độc hại mã hóa máy tính hoặc mạng lưới để chặn quyền truy cập cho đến khi một khoản tiền được thanh toán, thường được yêu cầu bằng tiền điện tử. Đây là một trong những mối đe dọa nghiêm trọng nhất đối với an ninh mạng hiện nay.
Theo báo cáo của Chainalysis vào tháng 2, các cuộc tấn công ransomware đã giảm 35% năm ngoái so với năm 2023. Tuy nhiên, mối đe dọa vẫn còn rất lớn đối với các tổ chức và cá nhân.
Trong tháng 6, CertiK cho biết phần lớn thiệt hại crypto trong năm nay đến từ việc xâm phạm ví và các cuộc tấn công lừa đảo. Điều này cho thấy tội phạm mạng đang đa dạng hóa phương thức tấn công.
Bộ Nội vụ Anh đã tham vấn về các đề xuất từ ngày 14 tháng 1 đến ngày 8 tháng 4 và nhận được 273 phản hồi. Trong đó, 57% được xác định là các tổ chức, 39% là cá nhân và 4% được phân loại là khác.
Gần ba phần tư số người được hỏi đồng ý rằng lệnh cấm có mục tiêu về thanh toán ransomware là cần thiết, trong khi hơn một phần năm không đồng ý. Cũng có nhiều quan điểm trái chiều về chế độ phòng ngừa, với gần một nửa ủng hộ lệnh cấm thanh toán ransomware trên toàn nền kinh tế.
Đề xuất thứ ba về hệ thống báo cáo dựa trên ngưỡng có 63% người trả lời ủng hộ, và ít hơn một nửa – 41% – đồng ý tiếp tục hệ thống báo cáo tự nguyện hiện tại.
Một điểm gây tranh cãi là các hình phạt có thể đối với các nạn nhân vi phạm các biện pháp. Người trả lời đồng ý sử dụng hình phạt trong tất cả các đề xuất, tuy nhiên, lo ngại được nêu ra về việc tội hóa các nạn nhân và liệu hình phạt hình sự hay dân sự sẽ phù hợp.
Bộ Nội vụ cho biết vì phản hồi về hình phạt còn trái chiều, họ sẽ “tiếp tục khám phá các hình phạt phù hợp và cân đối nhất”. Điều này cho thấy sự thận trọng trong việc xây dựng khung pháp lý.
Báo cáo Đánh giá Hàng năm 2024 của Trung tâm An ninh Mạng Quốc gia Anh, được phát hành vào tháng 12, nhận thấy các cuộc tấn công ransomware “tiếp tục gây ra mối đe dọa trực tiếp và gây rối loạn nhất” đối với đất nước.
Theo báo cáo, một cuộc tấn công ransomware vào tháng 6 năm 2024 nhắm vào phòng thí nghiệm bệnh lý Synnovis đã làm trì hoãn các thủ thuật tự chọn và các cuộc hẹn ngoại trú. Một cuộc tấn công khác vào ngày 28 tháng 10 năm 2023 đã xâm phạm hệ thống trực tuyến của Thư viện Anh.
Giám đốc điều hành Thư viện Anh Rebecca Lawrence cho biết trong một tuyên bố hôm thứ Ba rằng thư viện “nắm giữ một trong những bộ sưu tập tri thức nhân loại quan trọng nhất thế giới”, và cuộc tấn công “đã phá hủy cơ sở hạ tầng công nghệ của chúng tôi và tiếp tục tác động đến người dùng”.
Trong khi đó, các nước khác cũng đang có những động thái tương tự. Hôm thứ Hai, các đảng viên Cộng hòa Hạ viện Mỹ đã tìm cách cắt giảm 7% ngân sách năm 2026 của Ủy ban Chứng khoán và Giao dịch, bao gồm một điều khoản chặn tài trợ cho việc thực thi quy tắc yêu cầu các công ty đại chúng tiết lộ các sự cố mạng trong vòng bốn ngày.
Vào tháng 11, Australia đã ban hành luật có hiệu lực từ tháng 5 yêu cầu các doanh nghiệp có doanh thu hàng năm trên 3 triệu đô la Australia (1,9 triệu USD) và các tổ chức chịu trách nhiệm về hạ tầng quan trọng phải báo cáo các yêu cầu ransomware.
Trước đó, Anh đã cân nhắc việc có nên coi việc thanh toán ransomware là bất hợp pháp sau một cuộc tấn công mạng vào công ty cho vay tiêu dùng Latitude Financial, nhưng đã bị từ chối vào thời điểm đó.