Máy tính bị mã độc tống tiền mã hóa dữ liệu: cần làm gì ngay
File bị đổi đuôi lạ, có thông báo đòi tiền chuộc? Các bước xử lý ngay khi dính ransomware: ngắt mạng, giữ bằng chứng, không trả tiền, khôi phục từ bản sao lưu.
Mở máy lên thấy file Word, ảnh, Excel không mở được, đuôi file bị đổi sang cái tên lạ và một thông báo đòi tiền chuộc để mở khóa, rất có thể máy bạn đã dính mã độc tống tiền (ransomware). Loại mã độc này mã hóa dữ liệu rồi buộc nạn nhân trả tiền, thường bằng tiền ảo.
Hãy bình tĩnh, vì những phút đầu quyết định rất nhiều tới khả năng giữ lại dữ liệu. Bài này nêu rõ việc cần làm, việc tuyệt đối tránh và cách phòng ngừa để không có lần sau.
Nhận biết máy đã dính ransomware
Các dấu hiệu thường thấy:
- Nhiều file đột ngột không mở được, tên bị thêm đuôi lạ như một chuỗi ký tự ngẫu nhiên.
- Có file văn bản hoặc hình nền hiện thông báo đòi tiền, kèm hướng dẫn liên hệ qua email hoặc một trang web.
- Máy chạy chậm bất thường trong lúc ổ cứng hoạt động liên tục, vì mã độc đang mã hóa hàng loạt file.
- Các bản sao lưu cũ trong Windows bị xóa.
Khác với virus thông thường làm chậm máy hay hiện quảng cáo (xem máy tính bị virus: dấu hiệu và cách xử lý), ransomware nhắm thẳng vào dữ liệu của bạn.
Việc phải làm ngay trong những phút đầu
- Ngắt mạng ngay lập tức. Rút dây mạng LAN, tắt Wi-Fi hoặc bật chế độ máy bay. Mục đích là ngăn mã độc lan sang máy khác trong mạng và ngăn nó liên lạc với kẻ tấn công.
- Rút các ổ lưu trữ đang gắn như USB, ổ cứng ngoài (nếu chưa bị mã hóa). Đừng cắm lại vào máy đang nhiễm.
- Chụp ảnh thông báo đòi tiền bằng điện thoại. Thông tin này giúp xác định loại ransomware.
- Tắt máy hoặc để chế độ ngủ đông nếu bạn không thể xử lý ngay. Với máy văn phòng, hãy báo người phụ trách IT hoặc nhờ đơn vị có chuyên môn.
- Không xóa file bị mã hóa, kể cả file thông báo. Có thể sau này tìm được cách giải mã.
Nếu là mạng văn phòng, hãy kiểm tra các máy khác và ổ chia sẻ trong công ty xem có dấu hiệu tương tự không.
Có nên trả tiền chuộc không?
Không nên. Lý do thực tế:
- Trả tiền không đảm bảo nhận được công cụ giải mã, hoặc công cụ có thể hoạt động chưa đầy đủ.
- Bạn tiếp tay cho tội phạm tiếp tục tấn công và có thể bị nhắm lại.
- Máy vẫn còn mã độc bên trong, cần được làm sạch.
Nhiều dòng ransomware cũ đã có công cụ giải mã miễn phí do các tổ chức an ninh mạng phát hành. Cách an toàn là nhờ chuyên gia xác định loại mã độc rồi mới xem có công cụ phù hợp không.
Khôi phục dữ liệu bằng cách nào?
Cách tốt nhất: dùng bản sao lưu
Nếu bạn có bản sao lưu nằm ở nơi không bị nối vào máy lúc bị tấn công (ổ cứng rời rút ra, hệ thống lưu trữ riêng), đây là con đường chắc chắn nhất.
- Làm sạch hoặc cài lại Windows để loại bỏ mã độc.
- Cài Windows Security đầy đủ, cập nhật hệ thống.
- Mới kết nối ổ sao lưu và chép dữ liệu về.
Dữ liệu trên OneDrive hay Google Drive có thể còn bản cũ ở chức năng khôi phục phiên bản hoặc thùng rác, nhưng nếu ransomware đã đồng bộ file bị mã hóa lên mạng thì cần kiểm tra cẩn thận. Tham khảo thêm bài sao lưu dữ liệu máy tính an toàn.
Khi không có bản sao lưu
Bạn vẫn còn vài hướng, nhưng không có gì đảm bảo:
- Giữ nguyên các file bị mã hóa và nhờ đơn vị chuyên môn xem có công cụ giải mã cho loại ransomware này không.
- Một số trường hợp, file gốc chưa bị ghi đè hoàn toàn nên có thể khôi phục bằng phần mềm chuyên dụng. Việc này cần làm trên ổ được bảo vệ, càng sớm càng tốt vì dùng máy tiếp sẽ ghi đè lên dữ liệu.
Đây là lúc dịch vụ cứu dữ liệu và xử lý sự cố của cửa hàng hữu ích, đừng tự ý cài lại Windows khi chưa sao chép ổ cứng.
Làm sạch máy sau khi xử lý
Sau khi dữ liệu đã an toàn, máy phải được làm sạch hoàn toàn:
- Cách an toàn nhất là cài lại Windows (xóa sạch ổ chứa hệ điều hành) thay vì chỉ quét virus.
- Đổi mật khẩu các tài khoản quan trọng (email, ngân hàng, mạng xã hội, tài khoản làm việc) từ một thiết bị sạch khác.
- Bật xác minh hai bước, xem hướng dẫn bảo vệ tài khoản bằng mật khẩu mạnh và xác minh 2 bước.
- Cập nhật Windows và phần mềm lên bản mới nhất.
Nếu cần cài lại Windows, bạn xem cách cài Windows 11 bằng USB chi tiết.
Phòng ngừa để không bị lần nữa
- Sao lưu theo quy tắc 3-2-1: 3 bản dữ liệu, trên 2 loại thiết bị khác nhau, 1 bản để ngoài văn phòng hoặc ngoại tuyến. Doanh nghiệp xem thêm quy tắc 3-2-1.
- Không mở file đính kèm lạ trong email, Zalo, kể cả từ người quen nếu nội dung bất thường.
- Không dùng phần mềm crack. Đây là con đường lây mã độc phổ biến.
- Bật Ransomware protection (Bảo vệ chống ransomware) trong Windows Security: vào Virus & threat protection > Ransomware protection > Manage ransomware protection, bật Controlled folder access (Truy cập thư mục được kiểm soát).
- Cập nhật Windows và phần mềm thường xuyên để vá lỗ hổng.
Cần hỗ trợ thêm?
Nếu bạn là cá nhân hay chủ cửa hàng nhỏ vừa dính ransomware, hãy ngắt mạng rồi gọi 0943.847.333 hoặc mang máy tới cửa hàng, đừng tự cài lại máy. Với văn phòng nhiều máy, bên mình có dịch vụ IT cho doanh nghiệp hỗ trợ kiểm tra, dựng lại hệ thống và thiết lập sao lưu để lần sau không còn lo mất dữ liệu.
Câu hỏi thường gặp
Máy tính bị mã độc tống tiền thì việc đầu tiên phải làm là gì?
Ngắt mạng ngay (rút dây LAN, tắt Wi-Fi) và rút các ổ lưu trữ ngoài để mã độc không lan thêm. Sau đó chụp lại thông báo đòi tiền và không xóa file bị mã hóa.
Có nên trả tiền chuộc để mở khóa dữ liệu không?
Không nên. Trả tiền không đảm bảo nhận được công cụ giải mã, có thể bị tấn công lại và máy vẫn còn mã độc cần làm sạch.
Làm sao lấy lại file bị mã hóa?
Cách chắc chắn nhất là khôi phục từ bản sao lưu nằm ngoài máy. Nếu không có, hãy giữ nguyên file và nhờ chuyên gia xác định loại ransomware để xem có công cụ giải mã không.
Làm sao phòng tránh ransomware?
Sao lưu theo quy tắc 3-2-1, không mở file đính kèm lạ, không dùng phần mềm crack, bật Controlled folder access trong Windows Security và cập nhật hệ thống thường xuyên.
