Cách lập kế hoạch ứng phó khi văn phòng bị mã độc tấn công

Khi mã độc tấn công, nhất là loại mã hóa dữ liệu đòi tiền chuộc, điều tốn kém nhất thường không phải mã độc mà là sự hoảng loạn. Mỗi người tự xử lý một kiểu, vô tình làm lan rộng sự cố hoặc xóa mất bằng chứng. Một kế hoạch ngắn viết sẵn giúp cả văn phòng biết phải làm gì trong những phút đầu.

Bài này hướng dẫn bạn lập kế hoạch ứng phó vừa sức cho văn phòng nhỏ, không cần đội ngũ IT riêng.

Bước 1: Phân công vai trò rõ ràng

Kế hoạch tốt bắt đầu bằng việc ai là người quyết định. Hãy ghi lên giấy và dán ở nơi dễ thấy:

• Người điều phối: thường là chủ doanh nghiệp hoặc quản lý, quyết định ngắt hệ thống và liên hệ bên ngoài.
• Người kỹ thuật: nhân viên phụ trách IT hoặc đơn vị hỗ trợ bên ngoài.
• Người liên lạc: thông báo cho nhân viên, khách hàng, đối tác khi cần.
• Danh bạ khẩn cấp: số của ngân hàng, đơn vị hỗ trợ IT, nhà cung cấp mạng.

Danh bạ này nên có cả bản in, vì khi máy bị khóa bạn không thể mở file danh bạ trên máy tính.

Bước 2: Chuẩn bị trước khi sự cố xảy ra

Phần lớn thành bại nằm ở việc chuẩn bị:

1. Có bản sao lưu độc lập. Tuân theo nguyên tắc 3-2-1 trong bài sao lưu dữ liệu doanh nghiệp theo quy tắc 3-2-1. Bản sao nằm cùng mạng, luôn cắm vào máy có thể bị mã hóa cùng lúc.
2. Thử khôi phục thật ít nhất vài lần mỗi năm để biết bản sao có dùng được không.
3. Lập danh sách tài sản: máy tính nào, phần mềm nào, dữ liệu nằm ở đâu, cái nào quan trọng nhất.
4. Cập nhật Windows và phần mềm đều đặn, dùng tài khoản thường thay vì tài khoản quản trị cho công việc hằng ngày.
5. Đào tạo nhân viên nhận biết email và tệp đính kèm đáng ngờ, xem nhận biết email lừa đảo.

Bước 3: Dấu hiệu nhận biết sự cố

Bạn nên nghi ngờ khi thấy:

• File đổi đuôi lạ hoặc không mở được, tên file bị thêm ký tự.
• Xuất hiện tệp văn bản hoặc màn hình đòi tiền để lấy lại dữ liệu.
• Máy chậm bất thường, quạt chạy mạnh khi không làm gì.
• Nhiều máy cùng báo lỗi truy cập thư mục chia sẻ.

Để hiểu rõ hơn tình huống đơn máy, đọc bài máy tính bị mã độc tống tiền mã hóa dữ liệu.

Bước 4: Hành động trong giờ đầu tiên

Đây là phần nên in ra thành danh sách kiểm tra:

1. Ngắt mạng máy nghi nhiễm ngay: rút dây mạng hoặc tắt Wi-Fi để mã độc không lan sang máy khác và thư mục chung.
2. Không khởi động lại liên tục hay tự ý cài thêm công cụ lạ; hãy báo người kỹ thuật để xử lý đúng cách.
3. Báo cho người điều phối và thông báo cho mọi người ngưng dùng thư mục chung.
4. Chụp ảnh màn hình thông báo hoặc dùng điện thoại chụp để làm bằng chứng.
5. Ngắt ổ cứng ngoài và USB sao lưu nếu đang cắm, để bảo vệ bản sao.
6. Đổi mật khẩu email và các tài khoản quan trọng từ một thiết bị sạch khác.

Bước 5: Khôi phục và rút kinh nghiệm

Sau khi cô lập, việc khôi phục nên đi theo thứ tự:

• Đánh giá phạm vi: những máy nào bị ảnh hưởng, dữ liệu nào bị mất.
• Cài lại sạch hệ điều hành trên máy bị nhiễm thay vì cố giữ lại, rồi khôi phục dữ liệu từ bản sao đã kiểm tra. Xem thêm cách cài Windows 11 bằng USB.
• Nếu có dữ liệu cá nhân của khách hàng bị ảnh hưởng, cân nhắc thông báo và trình báo theo quy định hiện hành.
• Họp ngắn sau sự cố: nguyên nhân là gì, kế hoạch cần bổ sung điều gì.

Một kế hoạch tốt trông như thế nào

Chỉ cần một trang gồm: danh sách vai trò và số điện thoại, năm việc làm trong giờ đầu, vị trí bản sao lưu, người có quyền khôi phục. Hãy diễn tập nhẹ mỗi năm một lần, chẳng hạn giả định một máy kế toán bị khóa và xem ai làm gì.

Cần hỗ trợ thêm?

Nếu máy đã có dấu hiệu bị mã hóa, hãy ngắt mạng và mang máy tới Cường Tech để được kiểm tra, có thể thử cứu dữ liệu và xử lý tại cửa hàng, kiểm tra miễn phí và báo giá trước khi sửa. Doanh nghiệp muốn xây dựng quy trình bài bản có thể tìm hiểu vận hành hệ thống IT hoặc gọi 0943.847.333.