เกิดอะไรขึ้นกับกระทรวงรัฐบาลเบอร์ลิน

ในเดือนสิงหาคม แฮกเกอร์บุกเข้าสองกระทรวงของรัฐบาลเบอร์ลิน เมืองรัฐของเยอรมนี และนำข้อมูลอ่อนไหวจำนวนมหาศาลออกไป กลุ่มแรนซัมแวร์ Rhysida อ้างว่าขโมยข้อมูลไป 5.79 เทระไบต์ รวมถึงสัญญา อีเมลภายใน รหัสผ่าน และข้อมูลลับ กลุ่มดังกล่าวนำไฟล์ที่ขโมยมาไปประมูล โดยเปิดราคาเริ่มต้นที่ประมาณ 2.3 ล้านดอลลาร์

เจ้าหน้าที่เบอร์ลินยืนยันทั้งการโจรกรรมและการเรียกค่าไถ่ แต่เมืองรัฐได้แถลงต่อสาธารณะว่าจะไม่จ่ายเงิน การตัดสินใจครั้งนี้ทำให้เบอร์ลินอยู่ในแนวทางเดียวกับคำแนะนำด้านความมั่นคงปลอดภัยไซเบอร์ของรัฐบาลส่วนใหญ่ รวมถึงจุดยืนระยะยาวของ FBI ที่ไม่สนับสนุนการจ่ายค่าไถ่ เพราะการจ่ายไม่ได้การันตีว่าข้อมูลจะถูกส่งคืนหรือถูกลบจริง

การปฏิเสธที่จะจ่ายมักเป็นการตัดสินใจที่ถูกต้องในเชิงนโยบาย เพราะเป็นการตัดแรงจูงใจทางการเงินของอาชญากรไม่ให้โจมตีสถาบันสาธารณะต่อไป และหลีกเลี่ยงการให้ทุนสนับสนุนการดำเนินงานทางอาชญากรรมเพิ่มเติม แต่ก็หมายความว่าข้อมูลที่ถูกขโมยไปนั้นมีแนวโน้มจะไม่กลับคืนมา และตอนนี้ตกอยู่ในมือของอาชญากรที่มีเหตุผลทุกประการที่จะนำไปขาย รั่วไหล หรือใช้ประโยชน์เอง

ทำไมข้อมูล 5.79TB ของ Rhysida ถึงอันตรายกว่าการรั่วไหลทั่วไป

การรั่วไหลของข้อมูลแต่ละครั้งไม่ได้มีความเสี่ยงเท่ากัน และขนาดมหาศาลรวมถึงองค์ประกอบของข้อมูลครั้งนี้คือสิ่งที่ทำให้เป็นเรื่องน่าจับตามอง การรั่วไหลของข้อมูลรัฐบาลจากแรนซัมแวร์ที่เกี่ยวข้องกับสัญญา รหัสผ่าน และไฟล์ลับไม่ใช่แค่ความไม่สะดวกสำหรับกระทรวงที่เกี่ยวข้อง แต่เป็นชุดเครื่องมือสำหรับการโจมตีต่อเนื่อง

สัญญาและอีเมลภายในสามารถเผยให้เห็นความสัมพันธ์กับผู้จำหน่าย กระบวนการจัดซื้อจัดจ้าง และโครงสร้างองค์กร ซึ่งทั้งหมดช่วยให้ผู้โจมตีสร้างแคมเปญฟิชชิ่งที่น่าเชื่อถือขึ้นในภายหลัง ข้อมูลลับขึ้นอยู่กับระดับความอ่อนไหว อาจกระทบต่อการสืบสวนที่กำลังดำเนินอยู่ ความสัมพันธ์ทางการทูต หรือปฏิบัติการด้านความมั่นคง และรหัสผ่าน แม้จะถูกแฮชหรือเข้ารหัสแล้ว ก็มักจะถูกถอดรหัสหรือนำไปใช้ซ้ำข้ามระบบได้ โดยเฉพาะเมื่อพนักงานใช้ข้อมูลประจำตัวซ้ำระหว่างบัญชีงานและบัญชีส่วนตัว

นี่คือส่วนที่มักจะหายไปจากพาดหัวข่าวที่โฟกัสที่จำนวนค่าไถ่ การรั่วไหลครั้งใหญ่ขนาดนี้ไม่ได้จำกัดอยู่แค่สถาบันเดียว แต่มันกลายเป็นวัตถุดิบที่กลุ่มอาชญากรอื่นสามารถซื้อ ขุดหา และนำกลับมาใช้ใหม่ได้เป็นเดือนหรือเป็นปีหลังจากนั้น

ข้อมูลประจำตัวและสัญญาที่ถูกขโมยเชื้อเพลิงการโจมตีลูกโซ่ต่อประชาชนได้อย่างไร

นี่คือจุดที่เหตุการณ์เบอร์ลินมีความสำคัญเกินกว่าเจ้าหน้าที่ไอทีของรัฐบาลเยอรมนี รหัสผ่านและเอกสารภายในที่ถูกขโมยไม่ค่อยจำกัดอยู่แค่บริบทเดิมของมัน ผู้โจมตีใช้ข้อมูลประจำตัวที่รั่วไหลเพื่อพยายามยึดบัญชีบนบริการที่ไม่เกี่ยวข้อง โดยหวังว่าผู้คนจะใช้รหัสผ่านซ้ำกับอีเมล ธนาคาร และพอร์ทัลรัฐบาล รายละเอียดสัญญาและผังองค์กรถูกนำไปรวมเข้าในสคริปต์วิศวกรรมสังคมที่มุ่งเป้าไปที่พนักงาน ผู้รับเหมา หรือแม้แต่ประชาชนที่โต้ตอบกับบริการของรัฐ

ความเสี่ยงแบบลูกโซ่นี้คือเหตุผลที่นักวิจัยด้านความมั่นคงปลอดภัยให้ความสนใจมากขึ้นเรื่อยๆ ว่าข้อมูลประจำตัวและเซสชันที่ถูกบุกรุกถูกนำไปใช้ประโยชน์อย่างไรเมื่อหลุดออกไปสู่สาธารณะ การเปิดเผยล่าสุดที่ให้รายละเอียดเกี่ยวกับช่องโหว่แบบ zero-click ใน Claude และ ChatGPT Atlas แสดงให้เห็นว่าผู้โจมตีสามารถยึดเซสชันเบราว์เซอร์ AI ที่ใช้งานอยู่ได้โดยไม่ต้องมีการโต้ตอบจากผู้ใช้เลย เมื่อรวมเทคนิคแบบนั้นกับคลังรหัสผ่านและจดหมายภายในที่ถูกขโมย คุณจะได้พื้นที่การโจมตีที่ใหญ่กว่าที่การรั่วไหลครั้งแรกเคยบ่งชี้ไว้มาก ข้อมูลประจำตัวที่ขโมยจากสถาบันหนึ่งสามารถถูกทดสอบกับบริการที่ไม่เกี่ยวข้องหลายสิบแห่ง และเทคนิคการยึดเซสชันหมายความว่าแม้แต่การป้องกันหลายปัจจัยก็ไม่สามารถหยุดผู้โจมตีที่มุ่งมั่นได้เสมอไป

บุคคลและองค์กรสามารถทำอะไรได้บ้างเพื่อจำกัดความเสี่ยง

คุณไม่จำเป็นต้องทำงานให้กระทรวงรัฐบาลเพื่อได้รับผลกระทบจากการรั่วไหลแบบนี้ พนักงาน ผู้รับเหมา และประชาชนที่มีข้อมูลผ่านระบบที่ได้รับผลกระทบ ล้วนมีความเสี่ยงทั้งหมด และการป้องกันในทางปฏิบัติก็เป็นแบบเดียวกับที่ผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยแนะนำหลังการรั่วไหลของข้อมูลรัฐบาลจากแรนซัมแวร์ครั้งใหญ่ทุกครั้ง

เริ่มจากสุขอนามัยด้านข้อมูลประจำตัว ใช้ตัวจัดการรหัสผ่านเพื่อสร้างรหัสผ่านที่ไม่ซ้ำกันและซับซ้อนสำหรับทุกบัญชี เพื่อให้รหัสผ่านที่รั่วไหลจากการบุกรุกครั้งหนึ่งไม่สามารถนำไปใช้ปลดล็อกบัญชีอื่นได้ เปิดใช้งานการยืนยันตัวตนหลายปัจจัยทุกที่ที่มีให้ และมองพรอมpt การเข้าสู่ระบบหรืออีเมลรีเซ็ตรหัสผ่านที่ไม่คาดคิดด้วยความสงสัย

หากคุณโต้ตอบกับเครือข่ายที่เกี่ยวข้องกับรัฐบาล ไม่ว่าจะผ่าน Wi-Fi สาธารณะในอาคารเทศบาลหรือเครือข่ายสำนักงานที่ใช้ร่วมกัน การใช้ VPN เพิ่มชั้นการเข้ารหัสที่ทำให้ผู้ที่แอบดักฟังเครือข่ายนั้นยากขึ้นในการสกัดกั้นการรับส่งข้อมูลของคุณ มันไม่ได้หยุดการรั่วไหลที่ต้นทาง แต่ลดความเสี่ยงของคุณขณะเชื่อมต่อ

สุดท้าย ลงทะเบียนบริการเฝ้าติดตามการรั่วไหลที่จะแจ้งเตือนคุณเมื่ออีเมลหรือข้อมูลประจำตัวของคุณปรากฏในฐานข้อมูลที่รั่วไหล ด้วยขนาดของข้อมูลที่ Rhysida อ้างว่าขโมยไป การเฝ้าติดตามจึงเป็นมาตรการป้องกันที่สมเหตุสมผลแม้คุณจะไม่มีความเชื่อมโยงโดยตรงกับรัฐบาลเบอร์ลินก็ตาม

สิ่งนี้หมายความต่อคุณอย่างไร

เหตุการณ์เบอร์ลินเป็นเครื่องเตือนใจว่า การรั่วไหลของข้อมูลรัฐบาลจากแรนซัมแวร์ไม่ค่อยจำกัดอยู่แค่สถาบันที่ถูกโจมตี รหัสผ่าน สัญญา และการสื่อสารภายในที่ถูกขโมยแพร่กระจายออกไป หล่อเลี้ยงแคมเปญฟิชชิ่ง การโจมตีแบบ credential-stuffing และความพยายามยึดเซสชันที่มุ่งเป้าไปที่ประชาชนทั่วไปและธุรกิจที่ไม่มีความเชื่อมโยงโดยตรงกับการรั่วไหลครั้งแรก

การที่เบอร์ลินปฏิเสธที่จะจ่ายค่าไถ่เป็นจุดยืนที่สมเหตุสมผล แต่ไม่ได้ลบล้างความเสี่ยงที่เกิดขึ้น การตอบสนองในทางปฏิบัติสำหรับพวกเราที่เหลือเหมือนกันไม่ว่าการรั่วไหลจะเกิดขึ้นที่ไหน: รหัสผ่านที่ไม่ซ้ำกัน การยืนยันตัวตนหลายปัจจัย นิสัยการใช้เครือข่ายอย่างระมัดระวัง และการเฝ้าติดตามการรั่วไหลอย่างสม่ำเสมอ ขั้นตอนเหล่านี้ไม่ได้ป้องกันทุกการโจมตี แต่ลดความเสียหายที่การรั่วไหลต่อเนื่องจะทำต่อบัญชีและตัวตนของคุณได้อย่างมาก

ใช้เวลาสองสามนาทีในสัปดาห์นี้เพื่อตรวจสอบว่าบัญชีใดของคุณยังใช้รหัสผ่านร่วมกันอยู่หรือไม่ และอัปเดตบัญชีที่ใช้ร่วมกัน นี่เป็นขั้นตอนเล็กๆ แต่เป็นนิสัยแบบที่จำกัดว่าการรั่วไหลแบบเบอร์ลินจะลุกลามเข้าสู่ชีวิตดิจิทัลของคุณได้ไกลแค่ไหน