เกิดอะไรขึ้น: ผู้เจรจาที่ทำงานให้ทั้งสองฝ่าย
เมื่อบริษัทถูกโจมตีด้วยแรนซัมแวร์ หนึ่งในการติดต่อแรก ๆ คือผู้เจรจา: ผู้เชี่ยวชาญที่ได้รับความไว้วางใจให้นั่งระหว่างเหยื่อที่ตื่นตระหนกกับแก๊งอาชญากร ทำงานเพื่อลดจำนวนค่าไถ่หรือซื้อเวลาในการกู้คืน ความสัมพันธ์นั้นขึ้นอยู่กับความไว้วางใจล้วน ๆ ตามรายงานจาก Malwarebytes ผู้เจรจารายหนึ่งได้ทำลายความไว้วางใจนั้นในทางที่เสียหายที่สุด แทนที่จะช่วยเหยื่อต่อต้านแก๊งแรนซัมแวร์ BlackCat เขากลับแอบส่งข้อมูลให้พวกอาชญากรจากภายในกระบวนการเจรจาที่เขาควรจะดำเนินการในนามของเหยื่อ
ผลลัพธ์คือสถานการณ์ภัยคุกคามจากบุคคลภายในที่เป็นผู้เจรจาค่าไถ่ ซึ่งทำให้เหยื่อสูญเสียเงินหลายล้าน แทนที่จะทำหน้าที่เป็นไฟร์วอลล์ระหว่างบริษัทกับผู้โจมตี ผู้เจรจากลับกลายเป็นผู้โจมตีคนที่สองที่มีสิทธิ์เข้าถึงขีดจำกัดทางการเงิน กลยุทธ์ทางกฎหมาย และความเต็มใจที่จะจ่ายของเหยื่อ นั่นคือความล้มเหลวในการตอบสนองต่อเหตุการณ์ที่เลวร้ายที่สุดเท่าที่จะเป็นได้ เพราะมันเปลี่ยนสิ่งป้องกันที่องค์กรจ่ายเงินซื้อให้กลายเป็นภาระ
แก๊ง Ransomware-as-a-Service รับสมัครคนกลางที่ได้รับความไว้วางใจได้อย่างไร
BlackCat หรือที่รู้จักในชื่อ ALPHV ดำเนินการในรูปแบบ Ransomware-as-a-Service (RaaS) หมายความว่าพวกเขาอนุญาตให้พันธมิตรใช้มัลแวร์และโครงสร้างพื้นฐานเพื่อก่อการโจมตีและแบ่งผลกำไรกัน โมเดลธุรกิจนี้ต้องพึ่งพาการสร้างเครือข่ายคนที่เต็มใจให้ความร่วมมือเพื่อแลกกับส่วนแบ่งรายได้ ตั้งแต่โบรกเกอร์เข้าถึงระบบเบื้องต้นที่ขายข้อมูลประจำตัวที่ถูกขโมย ไปจนถึงพันธมิตรที่ปล่อยเพย์โหลดเข้ารหัสจริง ผู้เจรจาที่ถูกซื้อตัวหรือสมรู้ร่วมคิดจึงเป็นเพียงส่วนขยายที่สมเหตุสมผลถัดไปของเครือข่ายนั้น: คนที่ฝังตัวอยู่ในระบบนิเวศการตอบสนองต่อเหตุการณ์ที่ถูกกฎหมาย และสามารถแบ่งปันข่าวกรองที่แก๊งไม่มีทางหาได้ด้วยตัวเอง
นี่คือเหตุผลที่แน่ชัดว่าทำไมกรณีนี้ถึงมีความสำคัญเกินกว่าตัว BlackCat เอง แก๊งแรนซัมแวร์เข้าใจมากขึ้นเรื่อย ๆ ว่าจุดอ่อนที่สุดในการรับมือเหตุการณ์ละเมิดข้อมูลไม่ใช่ไฟร์วอลล์หรือเซิร์ฟเวอร์ที่ไม่อัปเดตแพตช์เสมอไป มันอาจเป็นคน โดยเฉพาะอย่างยิ่งคนที่เหยื่อเลือกที่จะไว้วางใจในช่วงเวลาที่ตึงเครียดที่สุดของเหตุการณ์ด้านความปลอดภัย หลักการเดียวกันเรื่องการฉวยโอกาสจากความไว้วางใจและการเข้าถึงปรากฏให้เห็นทั่วทั้งภูมิทัศน์ของแรนซัมแวร์และการรีดไถข้อมูล รวมถึงในเหตุการณ์อย่าง ShinyHunters breach of the Council of Europe's HR systems ซึ่งผู้โจมตีได้แสดงให้เห็นอีกครั้งว่ากลุ่มอาชญากรสามารถใช้ประโยชน์จากการเข้าถึงภายในได้อย่างมีประสิทธิภาพเพียงใดเมื่อพวกเขาหาช่องทางเข้ามาได้
เหตุใดสิ่งนี้จึงขยายขอบเขตความเสี่ยงสำหรับเหยื่อการละเมิดข้อมูล
องค์กรส่วนใหญ่มักคิดถึงความเสี่ยงจากแรนซัมแวร์ในแง่ของเครือข่ายของตัวเอง: อุปกรณ์ปลายทาง เซิร์ฟเวอร์ ระบบสำรองข้อมูล การฝึกอบรมพนักงาน มีน้อยรายที่คิดถึงความเสี่ยงที่เกิดจากผู้ขายและที่ปรึกษาที่พวกเขาดึงเข้ามาหลังจากการโจมตีเริ่มขึ้นแล้ว แต่ผู้เจรจา เช่นเดียวกับผู้ตรวจสอบทางนิติวิทยาศาสตร์หรือโค้ชการรับมือเหตุละเมิดข้อมูล มักเข้าถึงข้อมูลที่ละเอียดอ่อนที่สุดบางอย่างที่บริษัทมีอยู่ในช่วงวิกฤต: จำนวนค่าไถ่ที่เหยื่อพร้อมจะจ่าย ข้อมูลใดที่ถูกขโมยไปจริง และองค์กรนั้นหมดหวังแค่ไหนที่จะหลีกเลี่ยงการเปิดเผยต่อสาธารณะ
เมื่อการเข้าถึงนั้นถูกนำไปใช้ในทางที่ผิด ความเสียหายก็ยิ่งทับถม เหยื่อไม่เพียงแค่สูญเสียเงินให้กับค่าไถ่เท่านั้น แต่ยังสูญเสียอำนาจต่อรองทั้งหมดที่มีในการเจรจา เพราะแก๊งรู้ผลกำไรขั้นต่ำของพวกเขาก่อนที่การเจรจาจะเริ่มต้นเสียอีก กรณีนี้เป็นเครื่องเตือนใจว่าห่วงโซ่อุปทานในการตอบสนองต่อเหตุการณ์สมควรได้รับการตรวจสอบอย่างละเอียดเช่นเดียวกับความสัมพันธ์กับผู้ขายรายอื่น และความไว้วางใจในยามวิกฤตไม่ควรถูกคาดเดาล่วงหน้าเพียงเพราะใครสักคนมีตำแหน่งงานที่ถูกต้อง
วิธีตรวจสอบผู้ตอบสนองต่อเหตุการณ์และผู้เจรจาก่อนเกิดวิกฤต
เวลาที่ดีที่สุดในการตรวจสอบผู้เจรจาค่าไถ่หรือบริษัทตอบสนองต่อเหตุการณ์คือก่อนเกิดการโจมตี ไม่ใช่ระหว่างนั้น เมื่อแรงกดดันด้านเวลาทำให้การตรวจสอบสถานะอย่างรอบคอบแทบเป็นไปไม่ได้ องค์กรสามารถดำเนินการได้หลายขั้นตอนที่เป็นรูปธรรม:
- ยืนยันประวัติผลงานของบริษัทและขอรายชื่ออ้างอิงจากลูกค้าเก่าที่เคยประสบเหตุการณ์คล้ายคลึงกัน
- ถามว่าบริษัทตรวจสอบบุคลากรของตัวเองอย่างไร รวมถึงการตรวจสอบประวัติและการควบคุมภายในว่าใครเข้าถึงรายละเอียดการเจรจาได้บ้าง
- ยืนกรานให้มีบันทึกการสื่อสารที่จัดทำเป็นเอกสารและตรวจสอบได้ในระหว่างการเจรจาใด ๆ แทนที่จะพึ่งพาผู้ติดต่อเพียงคนเดียว
- ใช้ที่ปรึกษากฎหมายภายนอกหรือที่ปรึกษาด้านความปลอดภัยคนที่สองเพื่อตรวจสอบการตัดสินใจสำคัญอย่างเป็นอิสระ เช่น จำนวนค่าไถ่หรือจังหวะการจ่ายเงิน
- สร้างความสัมพันธ์และทำสัญญากับผู้ขายเหล่านี้ไว้ล่วงหน้า ในรูปแบบของสัญญาจ้างตอบสนองต่อเหตุการณ์ แทนที่จะเร่งหาความช่วยเหลือระหว่างเกิดเหตุ
สิ่งนี้มีความหมายต่อคุณอย่างไร
หากองค์กรของคุณมีแผนรับมือแรนซัมแวร์ กรณีนี้เป็นตัวกระตุ้นที่ดีให้กลับไปทบทวนว่าใครอยู่ในแผนนั้นบ้างและคุณรู้จักพวกเขาดีแค่ไหน ภัยคุกคามจากบุคคลภายในที่เป็นผู้เจรจาค่าไถ่เกิดขึ้นได้ยาก แต่ผลกระทบนั้นรุนแรงมากพอที่การตรวจสอบล่วงหน้าในระดับพอเหมาะจะคุ้มค่ากับความพยายาม หลักการเดียวกันนี้ใช้กับบุคคลภายนอกรายใดก็ตามที่มีสิทธิ์เข้าถึงแบบอภิสิทธิ์ระหว่างเกิดเหตุ: ผู้ตรวจสอบทางนิติวิทยาศาสตร์ ที่ปรึกษากฎหมาย และบริษัทประชาสัมพันธ์ ล้วนสมควรได้รับการตรวจสอบเช่นเดียวกับที่คุณใช้กับผู้ขายซอฟต์แวร์รายใหม่
ประเด็นสำคัญ
- ตรวจสอบบริษัทตอบสนองต่อเหตุการณ์และการเจรจาตั้งแต่ก่อนเกิดวิกฤต รวมถึงการตรวจสอบประวัติพนักงานและรายชื่ออ้างอิง
- เรียกให้มีบันทึกการเจรจาค่าไถ่ทั้งหมดที่จัดทำเป็นเอกสารและตรวจสอบได้ แทนที่จะพึ่งพาบุคคลที่ได้รับความไว้วางใจเพียงคนเดียว
- มองผู้ตอบสนองที่เป็นบุคคลภายนอกว่าเป็นส่วนหนึ่งของขอบเขตความเสี่ยงของคุณ ไม่ใช่แค่ส่วนหนึ่งของการป้องกัน
- ติดตามข่าวสารอยู่เสมอว่ากลุ่มแรนซัมแวร์และรีดไถข้อมูลใช้ประโยชน์จากความไว้วางใจในทุกขั้นตอนของการละเมิดข้อมูลได้อย่างไร ตั้งแต่การเข้าถึงเบื้องต้นไปจนถึงการเจรจาขั้นสุดท้าย
