แก๊งแรนซัมแวร์กำลังเขียนรายชื่อเป้าหมายใหม่

เป็นเวลาหลายปีที่ความเชื่อทั่วไปเกี่ยวกับแรนซัมแวร์นั้นเรียบง่าย: ผู้โจมตีมุ่งเป้าไปที่ผู้ดูแลระบบ IT ซึ่งเป็นผู้ที่มีกุญแจเข้าถึงเครือข่าย ข้อค้นพบใหม่บ่งชี้ว่าสมมติฐานนั้นล้าสมัยแล้ว จากงานวิจัยล่าสุด 62% ของเหยื่อแรนซัมแวร์ในปัจจุบันดำรงตำแหน่งระดับผู้จัดการขึ้นไป นี่คือสัญญาณว่าผู้โจมตีจงใจขยับเป้าหมายสูงขึ้นตามโครงสร้างองค์กร แทนที่จะมุ่งเน้นแค่บุคลากรด้านเทคนิค

การเปลี่ยนแปลงนี้มีความสำคัญเพราะมันเปลี่ยนมุมมองว่าใครต้องตระหนักถึงความเสี่ยงจากแรนซัมแวร์ มันไม่ใช่แค่ปัญหาของทีมความปลอดภัยหรือฝ่ายช่วยเหลืออีกต่อไป หากคุณบริหารทีม อนุมัติงบประมาณ หรือเข้าถึงไฟล์สำคัญในหน้าที่การงาน ตอนนี้คุณตกเป็นเป้าหมายโดยตรงแล้ว

ทำไมผู้จัดการจึงกลายเป็นเป้าหมายหลัก

ตรรกะเบื้องหลังการเปลี่ยนแปลงนี้ตรงไปตรงมาเมื่อคุณพิจารณาว่าการโจมตีด้วยแรนซัมแวร์ทำงานอย่างไรจริง ๆ ผู้โจมตีไม่ได้เพียงพยายามบุกเข้าระบบเท่านั้น แต่พวกเขากำลังพยายามบีบบังคับให้เกิดการจ่ายเงิน ผู้จัดการและพนักงานระดับสูงมักเข้าถึงข้อมูลทางการเงิน บันทึกลูกค้า ไฟล์ทรัพยากรบุคคล และการสื่อสารภายในได้กว้างขวางกว่าผู้ดูแลระบบเทคนิคที่ดูแลระบบเพียงระบบเดียว การเข้าถึงเช่นนั้นทำให้บัญชีของพวกเขามีค่ามากขึ้นหากถูกบุกรุก และยังทำให้พวกเขากลายเป็นจุดกดดันที่มีประสิทธิภาพมากขึ้นในระหว่างการเจรจา

ยังมีปัจจัยด้านมนุษย์เข้ามาเกี่ยวข้องด้วย พนักงานระดับอาวุโสมักเป็นคนที่ธุรกิจรู้สึกเร่งด่วนที่สุดที่จะต้องปกป้อง ทั้งในแง่ชื่อเสียงและทางกฎหมาย ผู้โจมตีที่สามารถแสดงให้เห็นว่าเข้าถึงกล่องจดหมายหรือไฟล์ของผู้จัดการได้ จะมีอำนาจต่อรองที่มากกว่าแค่การล็อกระบบธรรมดา มันกลายเป็นภัยคุกคามต่อชื่อเสียง ความสัมพันธ์กับลูกค้า และในบางกรณีความสอดคล้องตามข้อบังคับ

การเปลี่ยนเป้าหมายนี้ยังสะท้อนให้เห็นว่ากลุ่มแรนซัมแวร์ได้พัฒนาไปสู่ความเป็นมืออาชีพเพียงใด หลายกลุ่มดำเนินงานไม่เหมือนแฮกเกอร์เดียวดายอีกต่อไป แต่เหมือนธุรกิจที่มีระบบ มีการค้นคว้าว่าใครในบริษัทเป้าหมายที่น่าจะเข้าถึงข้อมูลมีค่าและรู้สึกกดดันจนยอมอำนวยความสะดวกในการจ่ายเงินมากที่สุด การเพิ่มขึ้นของแรนซัมแวร์แบบบริการ (ransomware-as-a-service) ยิ่งเร่งให้เกิดแนวโน้มนี้ ทำให้กลุ่มอาชญากรที่มีความเชี่ยวชาญด้านเทคนิคน้อยกว่าเช่าใช้เครื่องมือและกลยุทธ์ที่เคยเป็นขอบเขตของกลุ่มแฮกเกอร์เฉพาะทางเท่านั้น เป็นที่น่าสังเกตว่าสิ่งที่วางขายในฟอรัมดาร์กเว็บว่าเป็น "การป้องกัน" หรือการเข้าถึงวงในนั้น โดยตัวมันเองก็ไม่น่าเชื่อถือและเป็นการเอาเปรียบ รูปแบบเช่นนี้ได้ถูกสำรวจไว้ใน การขาย 'ความปลอดภัย' ในดาร์กเว็บคือการหลอกลวงที่แท้จริง

ผลกระทบด้านความเป็นส่วนตัวต่อพนักงานและบริษัท

เมื่อบัญชีหรืออุปกรณ์ของผู้จัดการถูกบุกรุก ผลกระทบด้านความเป็นส่วนตัวกินวงกว้างเกินกว่าตัวบุคคลนั้น ผู้จัดการมักเข้าถึงข้อมูลส่วนบุคคลของพนักงาน สัญญาลูกค้า บันทึกทางการเงิน และบางครั้งข้อมูลสุขภาพหรือข้อมูลทางกฎหมายขึ้นอยู่กับอุตสาหกรรม บัญชีที่ถูกบุกรุกเพียงบัญชีเดียวอาจทำให้ข้อมูลสำคัญของทั้งองค์กรรั่วไหล ไม่ใช่แค่กล่องจดหมายของคน ๆ เดียว

นี่ไม่ใช่ความเสี่ยงในเชิงทฤษฎี การรั่วไหลขนาดใหญ่ที่เกี่ยวข้องกับข้อมูลองค์กรที่ถูกขโมย แสดงให้เห็นซ้ำแล้วซ้ำเล่าว่ามันสร้างความเสียหายได้มากเพียงใดเมื่อผู้โจมตีได้ครอบครองบันทึกภายใน ดังที่เห็นใน การรั่วไหลของข้อมูลการทดลองทางคลินิก 1.3TB ของ Novo Nordisk เมื่อข้อมูลเช่นนี้ถูกขโมยออกไป ความเสียหายไม่ได้จำกัดอยู่แค่การจ่ายค่าไถ่เท่านั้น แต่อาจหมายถึงการเปิดเผยข้อมูลลับอย่างถาวร การตรวจสอบจากหน่วยงานกำกับดูแล และความเสียหายระยะยาวต่อชื่อเสียงขององค์กรที่เกี่ยวข้อง

หน่วยงานบังคับใช้กฎหมายได้ไล่ล่าผู้ดำเนินการแรนซัมแวร์เพิ่มขึ้น และมีการดำเนินคดีเกิดขึ้นจริง ดังที่เห็นได้จากการตัดสินโทษใน แฮกเกอร์ Jubair และ Flowers ในคดี TfL ถูกจำคุกห้าปีฐานการแฮ็กมูลค่า 29 ล้านปอนด์ แต่การดำเนินคดีเกิดขึ้นหลังจากความเสียหายเกิดแล้ว การป้องกันยังคงมีประสิทธิภาพมากกว่าการตอบสนองทางกฎหมายใด ๆ หลังจากเหตุการณ์เกิดขึ้น

สิ่งนี้มีความหมายต่อคุณอย่างไร

หากคุณดำรงตำแหน่งบริหารหรือหัวหน้างานใด ๆ แนวโน้มนี้ควรกระตุ้นให้คุณประเมินพฤติกรรมความปลอดภัยส่วนบุคคลอีกครั้ง ไม่ใช่แค่นโยบาย IT ของบริษัท ผู้โจมตีพนันว่าพนักงานระดับสูงมีแนวโน้มปฏิบัติตามระเบียบปฏิบัติด้านความปลอดภัยที่เคร่งครัดน้อยกว่ามืออาชีพด้าน IT และมีแนวโน้มเข้าถึงระบบสำคัญอย่างกว้างขวางโดยไม่ถูกตรวจสอบ

ขั้นตอนที่จับต้องได้มีความสำคัญตรงนี้ ใช้รหัสผ่านที่ไม่ซ้ำใครและคาดเดายากสำหรับบัญชีงาน เปิดใช้การยืนยันหลายปัจจัยในทุกที่ที่มีให้ และระมัดระวังไฟล์แนบหรือลิงก์ที่ไม่คาดคิด แม้จะดูเหมือนมาจากเพื่อนร่วมงานหรือผู้ขายก็ตาม ผู้จัดการควรสนับสนุนให้มีการฝึกอบรมการตระหนักรู้เกี่ยวกับฟิชชิ่งภายในทีมอย่างสม่ำเสมอ และยืนยันว่าองค์กรมีแผนรับมือเหตุการณ์ที่ชัดเจนผ่านการทดสอบ ซึ่งไม่พึ่งพาเฉพาะบุคลากร IT ในการปฏิบัติการ

ก้าวนำการเปลี่ยนแปลง

แรนซัมแวร์ที่มุ่งเป้าผู้จัดการแทนบุคลากรเทคนิค เป็นสัญญาณว่าการปฏิบัติการเหล่านี้ถูกคำนวณมาอย่างดีเพียงใด ผู้โจมตีกำลังตามการเข้าถึงข้อมูล ไม่ใช่ตามชื่อตำแหน่งบนกระดาษ สำหรับพนักงานทุกระดับ แต่โดยเฉพาะอย่างยิ่งผู้ที่อยู่ในบทบาทผู้นำ นั่นหมายถึงการถือว่าความตระหนักด้านความปลอดภัยไซเบอร์เป็นส่วนหนึ่งของงาน ไม่ใช่ความรับผิดชอบของคนอื่น องค์กรที่ปรับตัวได้เร็วที่สุดต่อการเปลี่ยนแปลงนี้ ด้วยการฝึกอบรมผู้จัดการควบคู่ไปกับบุคลากร IT และจำกัดการเข้าถึงข้อมูลสำคัญที่ไม่จำเป็น จะอยู่ในตำแหน่งที่ดีที่สุดในการหลีกเลี่ยงการกลายเป็นสถิติรายต่อไปในแนวโน้มที่กำลังเติบโตนี้