แคตตาล็อกการโจมตีด้วยแรนซัมแวร์กว่า 50 ครั้งแสดงให้เห็นว่าโมเดลกำลังเปลี่ยนไป
การรวบรวมตัวอย่างการโจมตีด้วยแรนซัมแวร์ครั้งใหม่ ซึ่งครอบคลุมการรั่วไหลของข้อมูลขนาดใหญ่หลายสิบกรณีและความเสียหายทางการเงิน แสดงให้เห็นสิ่งที่ควรให้ความสนใจนอกเหนือจากตัวเลขดิบๆ นั่นคือกลไกของการโจมตีเหล่านี้กำลังพัฒนาไปในทางที่ทำให้ข้อมูลส่วนบุคคลตกอยู่ในความเสี่ยงมากกว่าที่การเข้ารหัสเพียงอย่างเดียวเคยทำได้
รูปแบบคลาสสิกของแรนซัมแวร์ ซึ่งมักเรียกว่า crypto-ransomware ทำงานตรงตามที่คนส่วนใหญ่จินตนาการไว้ โค้ดที่เป็นอันตรายแทรกซึมเข้าสู่เครือข่ายและเข้ารหัสไฟล์โดยใช้อัลกอริทึมที่แข็งแกร่ง โดยทั่วไปคือ AES-256 เพื่อล็อกข้อมูล และ RSA-2048 เพื่อปกป้องกุญแจเข้ารหัส เมื่อกระบวนการนั้นเสร็จสิ้น ไฟล์จะไม่สามารถกู้คืนได้จริงหากไม่มีกุญแจส่วนตัวของผู้โจมตี หลังจากนั้นเหยื่อจะเห็นบันทึกเรียกค่าไถ่ที่เรียกร้องการชำระเงิน โดยปกติเป็น Bitcoin หรือ Monero มักจะมาพร้อมกับตัวนับเวลาถอยหลังและการขู่ว่าจะทำลายกุญแจหากเลยกำหนดเวลา
โมเดลดังกล่าวสร้างชื่อเสียงให้กับแรนซัมแวร์อย่างที่เป็นทุกวันนี้ โรงพยาบาลที่ถูกล็อกระบบ หน่วยงานเทศบาลที่เป็นอัมพาต ผู้ผลิตที่ไม่สามารถจัดส่งสินค้าได้ แต่แคตตาล็อกตัวอย่างชี้ไปที่กลยุทธ์ที่สองซึ่งเงียบกว่าแต่กำลังได้รับความนิยมควบคู่กันไป กลยุทธ์ที่ไม่ต้องพึ่งพาการเข้ารหัสเลย
การกรรโชกด้วยการขโมยข้อมูลไม่จำเป็นต้องล็อกไฟล์แม้แต่ไฟล์เดียว
แทนที่จะทำให้ไฟล์ปั่นป่วน ผู้โจมตีบางรายในตอนนี้เพียงแค่คัดลอกข้อมูลที่ละเอียดอ่อนออกจากเครือข่ายโดยที่ไม่มีใครสังเกตเห็น จากนั้นขู่ว่าจะเผยแพร่หรือขายข้อมูลนั้นหากไม่มีการจ่ายเงิน ไม่มีนาฬิกานับถอยหลังบนเดสก์ท็อปที่ถูกแช่แข็ง ไม่มีแผนกไอทีที่เร่งกู้คืนจากข้อมูลสำรอง แรงกดดันไม่ได้อยู่ที่การทำให้ระบบหยุดชะงัก แต่อยู่ที่การเปิดเผยข้อมูล
ความแตกต่างนี้สำคัญสำหรับทุกคนที่คิดถึงความเป็นส่วนตัวของตนเอง ไม่ใช่แค่องค์กรที่จัดการงบประมาณด้านความปลอดภัย แรนซัมแวร์ที่ใช้การเข้ารหัสโดยแก่นแท้แล้วเป็นปัญหาด้านความพร้อมใช้งาน ข้อมูลของคุณยังคงอยู่ แต่คุณเข้าถึงไม่ได้จนกว่าจะกู้คืนหรือจ่ายค่าไถ่ การกรรโชกด้วยการขโมยข้อมูลเป็นปัญหาด้านความลับ ข้อมูลได้ออกไปแล้ว และอยู่บนเซิร์ฟเวอร์ของผู้โจมตีเรียบร้อยแล้ว และการจ่ายค่าไถ่ไม่สามารถย้อนกลับสิ่งนั้นได้ แม้แต่องค์กรที่มีระบบสำรองข้อมูลที่แข็งแกร่งและแผนการกู้คืนที่รวดเร็วก็ไม่มีคำตอบที่แท้จริงสำหรับภัยคุกคามที่สร้างขึ้นจากการเปิดเผยข้อมูลทั้งหมด กลุ่มที่ดำเนินการแบบแรนซัมแวร์เป็นบริการ ตามที่ให้รายละเอียดในบทความเกี่ยวกับ LockBit 5.0 และการดำเนินงานหลังปฏิบัติการ Cronos ได้มุ่งไปที่แนวทางภัยคุกคามสองทางนี้อย่างแท้จริง เข้ารหัสสิ่งที่คุณทำได้ ขโมยสิ่งที่คุณเข้ารหัสไม่ได้ และกรรโชกในทั้งสองด้าน
ทำไมค่าไถ่ที่เรียกร้องเป็นเพียงส่วนหนึ่งของเรื่องราว
การรายงานข่าวเกี่ยวกับการโจมตีด้วยแรนซัมแวร์มักจะจับจ้องไปที่ตัวเลขค่าไถ่ ซึ่งเข้าใจได้ไม่ยาก จำนวนเงินที่แน่นอนเป็นพาดหัวที่ชัดเจน แต่ต้นทุนทางการเงินของการโจมตีมักสะท้อนเพียงด้านการตอบสนองเท่านั้น การตอบสนองต่อเหตุการณ์ เวลาหยุดทำงาน ค่าธรรมเนียมทางกฎหมาย ค่าปรับตามกฎระเบียบ และค่าไถ่หากมีการจ่าย สิ่งที่ตัวเลขนั้นไม่ได้จับคือผลกระทบด้านความเป็นส่วนตัวที่ตามมาต่อผู้คนที่มีข้อมูลอยู่ในระบบนั้น ผู้ป่วยที่บันทึกทางการแพทย์ถูกเปิดเผย ลูกค้าที่รายละเอียดการชำระเงินถูกคัดลอก พนักงานที่ข้อมูลส่วนบุคคลอยู่ในฐานข้อมูลฝ่ายบุคคลที่ถูกขโมยออกไป
นั่นคือความหมายที่แท้จริงด้านความเป็นส่วนตัวที่ซ่อนอยู่ในแคตตาล็อกการรั่วไหลเหล่านี้ บริษัทสามารถกู้คืนระบบ จ่ายค่าปรับ และเดินหน้าต่อไปได้ แต่บุคคลที่ข้อมูลถูกขโมยไม่ได้รับการฟื้นตัวอย่างสะอาดแบบเดียวกัน ข้อมูลของพวกเขาสามารถหมุนเวียนไปอย่างไม่มีกำหนดเมื่อมันออกจากเครือข่ายเดิม ปรากฏในรายการยัดข้อมูลประจำตัว แคมเปญฟิชชิ่ง หรือความพยายามขโมยตัวตนนานหลังจากที่การโจมตีดั้งเดิมหายไปจากข่าว
สิ่งนี้หมายถึงอะไรสำหรับคุณ
หากคุณเป็นผู้บริโภค ข้อสรุปไม่ใช่ว่าคุณต้องป้องกันตัวเองจากแรนซัมแวร์เป็นการส่วนตัว นั่นเป็นปัญหาขององค์กรที่เก็บข้อมูลของคุณ แต่การเปลี่ยนไปสู่การกรรโชกด้วยการขโมยข้อมูลหมายความว่าการแจ้งเตือนการรั่วไหลสมควรได้รับความสนใจมากกว่าที่มักได้รับ แม้ว่าบริษัทจะบอกว่าไม่มีการจ่ายค่าไถ่หรือระบบไม่หยุดชะงักก็ตาม "ไม่มีอะไรถูกเข้ารหัส" ไม่ได้หมายความว่า "ไม่มีอะไรถูกขโมย" อีกต่อไป
หากคุณทำงานด้านไอทีหรือความปลอดภัย บทเรียนจากตัวอย่างกว่า 50 กรณีนี้คือกลยุทธ์การสำรองข้อมูลเพียงอย่างเดียวไม่เพียงพออีกต่อไป การวางแผนการกู้คืนต้องคำนึงถึงการเปิดเผยข้อมูล ไม่ใช่แค่เวลาหยุดทำงาน ซึ่งหมายถึงการเข้ารหัสข้อมูลที่ละเอียดอ่อนขณะจัดเก็บ การจำกัดสิ่งที่บัญชีที่ถูกบุกรุกเพียงบัญชีเดียวสามารถเข้าถึงได้ และการปฏิบัติต่อการตรวจจับการขโมยข้อมูลอย่างจริงจังพอๆ กับการตรวจจับแรนซัมแวร์เอง
ขั้นตอนที่เป็นประโยชน์ที่ควรทำ
พฤติกรรมไม่กี่อย่างสามารถช่วยได้มากไม่ว่าคุณจะอยู่ด้านไหนของการรั่วไหล บุคคลควรติดตามการแจ้งเตือนการรั่วไหลที่เชื่อมโยงกับบริการที่พวกเขาใช้ เปิดใช้การยืนยันตัวตนหลายปัจจัยทุกที่ที่มีให้ และปฏิบัติต่อข้อความไม่พึงประสงค์ที่อ้างถึงรายละเอียดบัญชีด้วยความสงสัย เนื่องจากข้อมูลที่ถูกขโมยมักเป็นเชื้อเพลิงให้กับฟิชชิ่งที่ตามมา องค์กรควรสันนิษฐานว่าการบุกรุกที่สำเร็จอาจรวมถึงการขโมยข้อมูลแม้ในกรณีที่ไม่มีบันทึกเรียกค่าไถ่ที่มองเห็นได้ และสร้างแผนการตอบสนองที่จัดการกับการเปิดเผยข้อมูลและการปกป้องลูกค้า ไม่ใช่แค่การกู้คืนระบบ
การเติบโตของแรนซัมแวร์จากภัยคุกคามด้วยการเข้ารหัสล้วนๆ ไปสู่ระบบเศรษฐกิจการกรรโชกที่กว้างขึ้นเป็นเครื่องเตือนใจว่าการต่อสู้ไม่ได้เป็นเพียงเรื่องของการทำให้ระบบทำงานต่อไปได้เท่านั้น แต่เป็นเรื่องของการรักษาข้อมูลให้เป็นส่วนตัวตั้งแต่แรก และนั่นเป็นความรับผิดชอบที่ขยายออกไปไกลเกินกว่าช่วงเวลาที่บันทึกเรียกค่าไถ่ปรากฏบนหน้าจอ
