這是一個關於美國地方政府遭遇網路 extortion（敲詐勒索）的真實案例。雖然許多人習慣將這類攻擊統稱為 ransomware（勒索軟體），但這個案例揭示了一個關鍵的技術趨勢：攻擊者正逐漸放棄加密文件，而直接利用數據外洩來威脅受害者。
勒索軟體的定義演變
在傳統的勒索軟體攻擊中，攻擊者會使用 encryptor（加密程式）將受害者的文件鎖定，使其無法讀取，然後要求支付贖金以換取 decryption key（解密金鑰）。然而，在這次針對美國俄亥俄州 Union County 的攻擊中，名為 Kairos 的組織並沒有使用任何加密手段。
這種攻擊模式被稱為 Pure Data-Theft Extortion（純數據竊取勒索）。攻擊者的邏輯很簡單：我不鎖你的電腦，但我偷走你的機密文件，如果你不付錢，我就把這些資料公開。對於攻擊者來說，這樣做可以避開許多偵測加密行為的防禦工具，且威脅程度同樣高，甚至更高。
案例分析：從 300 萬美元到 100 萬美元的心理戰
根據洩漏的協商紀錄與區塊鏈追蹤，這次攻擊的過程呈現出典型的勒索心理戰。Kairos 聲稱竊取了超過 2 TB 的數據，包含約 160 萬個文件，其中最敏感的是檢察官辦公室的資料。
協商過程大致如下： 攻擊者開價 300 萬美元，受害者最初僅出價 10 萬美元。 經過約一個月的拉鋸，受害方將出價逐步提高到 43 萬美元。 攻擊者最終設定死線，要求在週五前支付 100 萬美元，否則立即公開資料。
最終，受害方支付了約 9.44 枚比特幣（當時價值約 100 萬美元）。這筆資金隨後被迅速拆分，流向 Bybit、OKX 等加密貨幣交易所以及俄羅斯的 BELQI 服務。
付贖金能解決問題嗎
這對工程師和資安人員來說是最重要的一點：付錢並不代表數據被刪除。
在這次案例中，Kairos 提供了一份 proof of deletion（刪除證明），但這實際上只是一份文件清單。這只能證明攻擊者曾經擁有這些文件，完全無法證明他們已經將原始副本徹底銷毀。在網路犯罪的世界裡，刪除證明僅僅是攻擊者開出的單方面收據，缺乏任何技術上的強制力或可驗證性。
實務上的防禦建議
對於維護小型政府或企業網路的工程師，這次事件提供了幾個非常基礎但關鍵的教訓。
首先是身份驗證。Kairos 聲稱他們僅透過猜測密碼就進入了系統。這再次證明了 MFA（Multi-Factor Authentication，多因素驗證）的重要性。只要開啟 MFA，即使密碼外洩，攻擊者也難以直接進入系統。
其次是監控異常流量。攻擊者在搬運大量數據時，通常會產生異常的 outbound data transfers（出站數據傳輸）。監控大流量的外流，以及追蹤像是 temp.sh 這類臨時文件分享連結的訪問記錄，可以幫助在數據被完全偷走前發現入侵。
最後是數據分級與隔離。將法律、人事、公民個資等高敏感資料與一般網路環境進行物理或邏輯上的隔離（Walled off），可以避免攻擊者一旦進入網路就能橫向移動並獲取所有核心機密。
總結來說，現代的勒索攻擊已從鎖定系統轉向操縱數據。面對這種趨勢，我們不能僅依賴備份來對抗加密，更需要透過嚴格的權限控管與流量監控來防止數據外洩。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。