การจ่ายเงินให้แก๊งแรนซัมแวร์ไม่เคยเป็นการันตีความปลอดภัย แต่งานวิจัยใหม่เผยตัวเลขชัดเจนว่าการพนันนี้ล้มเหลวบ่อยแค่ไหน จากผลการศึกษาล่าสุด 58% ขององค์กรในสหราชอาณาจักรที่โดนแรนซัมแวร์โจมตีจ่ายค่าไถ่ตามที่เรียกร้อง และ 22% ของผู้จ่ายเหล่านั้นถูกโจมตีซ้ำด้วยความพยายามรีดไถครั้งที่สอง ข้อความสำหรับทีมไอทีและใครก็ตามที่มีข้อมูลส่วนบุคคลผ่านเครือข่ายองค์กรคือ แนวทางเดิมที่ "จ่ายแล้วเดินหน้าต่อ" ใช้ไม่ได้อีกต่อไปแล้ว
ความจริงใหม่: การจ่ายเงินไม่ได้ยุติการโจมตี
เดิมทีแรนซัมแวร์มีรูปแบบที่คาดเดาได้: ผู้โจมตีเข้ารหัสไฟล์ของคุณ คุณจ่ายเงิน คุณได้รับคีย์ถอดรหัส และเหตุการณ์ก็จบลง แต่บทนั้นถูกเขียนใหม่แล้ว การเปลี่ยนไปสู่การรีดไถสองชั้น ที่ผู้โจมตีขโมยข้อมูลก่อนเข้ารหัส และขู่ว่าจะเปิดเผยข้อมูลนั้นไม่ว่าจะจ่ายเงินหรือไม่ หมายความว่าการทำธุรกรรมค่าไถ่ไม่ได้ยุติอะไรเลย ตัวเลข 22% ที่แสดงถึงการรีดไถซ้ำต่อองค์กรที่จ่ายไปแล้วยืนยันสิ่งที่นักวิจัยด้านความปลอดภัยหลายคนเตือนมาหลายปี: เมื่อข้อมูลของคุณหลุดออกไปแล้ว คุณไม่สามารถควบคุมได้ว่าจะเกิดอะไรขึ้นกับมันต่อไป แก๊งอาชญากรที่ได้รับเงินครั้งหนึ่งมีแรงจูงใจทุกอย่างที่จะกลับมาอีก ไม่ว่าจะเป็นกลุ่มเดิมหรือกลุ่มอื่นที่ทำงานจากการเข้าถึงที่ถูกขายต่อ
สำหรับผู้ดูแลระบบ Windows โดยเฉพาะ นี่เป็นการเปลี่ยนแปลงวิธีคิดในการตอบสนองต่อเหตุการณ์ การกู้คืนจากข้อมูลสำรองเคยถูกมองเป็นทางเลือกแทนการจ่ายเงิน ตอนนี้ต้องถือเป็นความคาดหวังพื้นฐาน เพราะการจ่ายเงินไม่สามารถหยุดการรั่วไหลด้านการขโมยข้อมูลได้อย่างน่าเชื่อถือ ข้อมูลสำรองที่ทดสอบแล้วและออฟไลน์ การควบคุมความปลอดภัยด้านตัวตนที่เข้มแข็ง และแผนการกู้คืนที่จัดทำเป็นเอกสารคือสิ่งที่ตัดวงจรได้จริง ไม่ใช่การโอนเงินไปยังกระเป๋าเงินนิรนาม
AI กำลังเร่งการโจมตีขั้นเริ่มต้น
ประเด็นหลักอีกประการในงานวิจัยนี้คือบทบาทที่เพิ่มขึ้นของ AI ในช่วงเริ่มต้นของการโจมตี การบุกรุกขั้นเริ่มต้น ซึ่งเป็นช่วงที่ผู้โจมตีเข้ามาตั้งหลักในเครือข่ายได้ครั้งแรก คือจุดที่เครื่องมือ AI มีรายงานว่าส่งผลกระทบมากที่สุด การสอดแนมที่เร็วขึ้น เหยื่อฟิชชิ่งที่แนบเนียนขึ้น และการระบุจุดอ่อนที่โจมตีได้รวดเร็วขึ้น ล้วนบีบให้ช่วงเวลาที่ผู้ป้องกันจะสังเกตเห็นสิ่งผิดปกติก่อนเกิดความเสียหายสั้นลง
เรื่องนี้สำคัญเพราะการป้องกันแรนซัมแวร์ส่วนใหญ่ยังคงสร้างขึ้นบนสมมติฐานว่าผู้โจมตีต้องใช้เวลาในการเคลื่อนที่ผ่านเครือข่ายก่อนจะสร้างความเสียหายร้ายแรง หาก AI กำลังบีบอัดเวลานั้น องค์กรที่พึ่งพาการแพตช์ตามรอบเวลาและการเฝ้าระวังด้วยตนเองเท่านั้นจะยิ่งมีความเสี่ยงมากขึ้น นี่คือเหตุผลที่ความปลอดภัยด้านตัวตน เช่น การยืนยันตัวตนหลายปัจจัย การจัดการการเข้าถึงแบบสิทธิพิเศษ และการตรวจจับความผิดปกติที่รวดเร็ว ได้กลายเป็นสิ่งสำคัญพอๆ กับการป้องกันที่ปลายทาง
เหตุใดการขโมยข้อมูลคือเรื่องจริงของความเป็นส่วนตัว
ในขณะที่ไฟล์ที่ถูกเข้ารหัสมักเป็นข่าวใหญ่ โมเดลการรีดไถสองชั้นดึงความสนใจไปยังสิ่งที่สำคัญต่อคนทั่วไปมากกว่า: ตัวข้อมูลเอง ทุกเหตุการณ์แรนซัมแวร์ที่เกี่ยวข้องกับบันทึกทรัพยากรบุคคล ฐานข้อมูลลูกค้า หรือไฟล์พนักงานที่ถูกขโมย ล้วนเป็นเหตุการณ์ด้านความเป็นส่วนตัวในแก่นของมัน ลองพิจารณากรณี การละเมิดระบบ HR ของ Statistics South Africa ที่เปิดเผยข้อมูลพนักงาน ซึ่งเป็นตัวอย่างที่แสดงให้เห็นว่าระบบภายในที่เก็บข้อมูลส่วนบุคคลที่ละเอียดอ่อนสามารถกลายเป็นเป้าหมายที่แท้จริง ไม่ใช่แค่ความเสียหายข้างเคียงจากการโจมตีในวงกว้าง เมื่อกลุ่มแรนซัมแวร์ขโมยข้อมูลประเภทนี้ออกไปก่อนล็อกระบบ การจ่ายค่าไถ่ไม่ได้ช่วยลบล้างความจริงที่ว่าชื่อ เงินเดือน ที่อยู่ หรือข้อมูลสุขภาพอาจอยู่บนเซิร์ฟเวอร์ของอาชญากรแล้ว หรือถูกนำไปขายแล้ว
นี่คือส่วนที่มักหายไปจากการรายงานข่าวแรนซัมแวร์เชิงเทคนิคล้วนๆ: ความพยายามรีดไถครั้งที่สองไม่ใช่แค่ความปวดหัวขององค์กร แต่มันคือคลื่นการเปิดเผยข้อมูลรอบสองสำหรับบุคคลที่ข้อมูลถูกขโมยไปตั้งแต่แรก พนักงาน ลูกค้า และผู้ป่วยแทบไม่มีสิทธิ์มีเสียงว่าองค์กรจะจ่ายเงินหรือไม่ แต่พวกเขาต้องแบกรับความเสี่ยงต่อเนื่องจากการขโมยตัวตน ฟิชชิ่งแบบเจาะจง หรือการฉ้อโกงอีกนานหลังจากข่าวเงียบไป
สิ่งนี้หมายความอย่างไรสำหรับคุณ
หากคุณทำงานในสายไอทีหรือความปลอดภัย ข้อมูลนี้เป็นสัญญาณชัดเจนให้เลิกมองการจ่ายค่าไถ่ว่าเป็นการแก้ปัญหา และเริ่มมองว่าเป็นทางเลือกสำรองในกรณีเลวร้ายที่สุด แผนการกู้คืน ข้อมูลสำรองที่ไม่สามารถเปลี่ยนแปลงได้ และการป้องกันที่มุ่งเน้นด้านตัวตนสมควรได้รับงบประมาณและเวลาในการทดสอบมากกว่าที่เป็นอยู่ หากคุณเป็นพนักงานหรือลูกค้าขององค์กรที่ประกาศเหตุการณ์แรนซัมแวร์ จงสันนิษฐานว่าข้อมูลของคุณอาจถูกคัดลอก แม้ว่าคุณจะได้รับแจ้งว่าระบบถูก "กู้คืน" แล้วก็ตาม ตรวจสอบบัญชีของคุณ ระวังความพยายามฟิชชิ่งที่อ้างถึงการละเมิดนั้น และพิจารณาบริการตรวจสอบเครดิตหากข้อมูลส่วนตัวหรือการเงินที่ละเอียดอ่อนเกี่ยวข้อง
ข้อปฏิบัติที่นำไปใช้ได้
องค์กรควรตรวจสอบความสมบูรณ์ของข้อมูลสำรองอย่างสม่ำเสมอ และตรวจสอบว่าข้อมูลสำรองแยกออกจากเครือข่ายการผลิตอย่างแท้จริง การยืนยันตัวตนหลายปัจจัยและการเข้าถึงแบบสิทธิ์น้อยที่สุดควรเป็นข้อบังคับในทุกระบบ ไม่ใช่แค่ระบบที่สำคัญ แผนการตอบสนองต่อเหตุการณ์ต้องกล่าวถึงสถานการณ์การรีดไถสองชั้นอย่างชัดเจน รวมถึงขั้นตอนทางกฎหมายและการสื่อสารเมื่อข้อมูลที่ถูกขโมยปรากฏต่อสาธารณะ บุคคลที่ได้รับผลกระทบจากการเปิดเผยเหตุการณ์แรนซัมแวร์ใดๆ ควรเปลี่ยนรหัสผ่าน เปิดใช้ MFA หากมี และเฝ้าระวังการหลอกลวงที่ตามมา ข้อมูลชัดเจนว่าการรีดไถครั้งที่สองจากแรนซัมแวร์ไม่ใช่กรณีหายากอีกต่อไป แต่มันกำลังกลายเป็นส่วนมาตรฐานของวงจรชีวิตการโจมตี และการเตรียมพร้อมคือการป้องกันที่แท้จริงเพียงอย่างเดียว
