กลุ่ม ransomware Booba Project เป็นปฏิบัติการกรรโชกทรัพย์ที่ขับเคลื่อนด้วยผลประโยชน์ทางการเงิน โดยเผยแพร่รายชื่อเหยื่อบนเว็บไซต์เปิดเผยข้อมูล (leak site) และข่มขู่ว่าจะเผยแพร่ข้อมูลที่ถูกขโมยเว้นแต่จะมีการจ่ายค่าไถ่ ข้อมูลสาธารณะเกี่ยวกับกลุ่มนี้มีจำกัด แต่โครงร่างนั้นชัดเจนพอที่จะเป็นประโยชน์: เป้าหมายที่รายงานนั้นกระจุกตัวอยู่ในสหรัฐอเมริกา โดยมีเหยื่อรายอื่นถูกระบุในที่อื่นด้วย รวมถึงบริษัทแห่งหนึ่งในสวิตเซอร์แลนด์

บทความนี้อธิบายสิ่งที่ทราบเกี่ยวกับกลุ่มนี้ รูปแบบการกรรโชกทรัพย์ทำงานอย่างไร และบุคคลทั่วไปกับธุรกิจขนาดเล็กสามารถทำอะไรได้บ้างเพื่อลดความเสียหายหากข้อมูลของพวกเขาตกไปอยู่ในมือคนผิด

Booba Project เล็งเป้าใคร

ตามโปรไฟล์ของกลุ่มที่เผยแพร่โดยแพลตฟอร์มข่าวกรองภัยคุกคาม Mallory เหยื่อที่ถูกรายงานของ Booba Project กระจุกตัวอยู่ในสหรัฐอเมริกา เหยื่อรายอื่นถูกระบุอยู่นอกประเทศ ซึ่งแสดงให้เห็นว่ากลุ่มนี้ไม่ได้จำกัดอยู่เพียงตลาดเดียวอย่างเคร่งครัด

แหล่งข้อมูลไม่ได้ให้รายละเอียดเกี่ยวกับอุตสาหกรรม จำนวนเหยื่อ หรือวิธีการทางเทคนิคที่กลุ่มใช้ในการเจาะระบบ และการเติมช่องว่างเหล่านั้นด้วยการคาดเดาจะเป็นความผิดพลาด สิ่งที่กล่าวได้คือกลุ่มนี้ตรงกับรูปแบบที่คุ้นเคย: มันขับเคลื่อนด้วยเงินไม่ใช่การเมือง และมันเลือกองค์กรที่ถือข้อมูลที่มีค่าพอที่จะกดดันให้พวกเขาจ่ายเงิน

สำหรับผู้อ่าน ประเด็นเชิงปฏิบัติคือที่ตั้งไม่ได้ทำให้องค์กรปลอดภัย กลุ่มที่มุ่งเน้นสหรัฐอเมริกาเป็นหลักยังคงเข้าถึงธุรกิจในยุโรปได้ ดังกรณีสวิสด้านล่างที่แสดงให้เห็น

รูปแบบการกรรโชกทรัพย์ผ่าน Leak Site ทำงานอย่างไร

Booba Project ทำตามสิ่งที่มักเรียกว่าการกรรโชกทรัพย์สองชั้น (double extortion) แทนที่จะเพียงล็อกระบบ ผู้ปฏิบัติการยังขโมยข้อมูลแล้วสร้างแรงกดดันในสองวิธี:

  • แรงกดดันด้านปฏิบัติการ: หากระบบถูกเข้ารหัส เหยื่ออาจไม่สามารถทำงานได้ตามปกติ
  • แรงกดดันด้านการเปิดเผย: กลุ่มเผยแพร่ชื่อเหยื่อบน leak site และข่มขู่ว่าจะเปิดเผยไฟล์ที่ขโมยมาเว้นแต่จะมีการจ่ายค่าไถ่

leak site คือเครื่องมือสำคัญ การขึ้นบัญชีต่อสาธารณะทำหน้าที่เป็นทั้งการข่มขู่และกำหนดเส้นตาย มันบอกเหยื่อ ลูกค้าของเหยื่อ และสื่อว่ามีเหตุการณ์เกิดขึ้นแล้ว แม้ก่อนไฟล์ใดจะถูกเปิดเผย นั่นคือเหตุผลที่การกู้คืนจากข้อมูลสำรองแม้จำเป็น แต่ไม่ได้แก้ปัญหาอย่างสมบูรณ์ ข้อมูลสำรองสามารถนำระบบกลับมาออนไลน์ได้ แต่ไม่สามารถทำให้ข้อมูลที่ถูกขโมยไปแล้วกลับมาไม่ได้ถูกขโมย

การขึ้นบัญชีเองก็เป็นเพียงคำกล่าวอ้าง รายการบน leak site สร้างโดยอาชญากร และปริมาณข้อมูลที่พวกเขาอ้างว่าถือครองนั้นไม่ได้ถูกตรวจสอบอย่างเป็นอิสระโดยค่าเริ่มต้น ควรมองว่าเป็นสัญญาณให้สอบสวน ไม่ใช่หลักฐาน

คำกล่าวอ้างต่อ Zynex เผยอะไรเกี่ยวกับกิจกรรมของกลุ่ม

การเข้าถึงของกลุ่มนอกสหรัฐอเมริกาแสดงให้เห็นจากคำกล่าวอ้างต่อ Zynex บริษัทที่ตั้งอยู่ในสวิตเซอร์แลนด์ ดังที่ครอบคลุมในรายงานของเราเกี่ยวกับคำกล่าวอ้างของกลุ่ม ransomware Booba ต่อบริษัทสวิส Zynex กลุ่มกล่าวว่าขโมยข้อมูลไปประมาณ 1.4 GB

ตัวเลขนั้นเป็นการกล่าวอ้างของกลุ่มเอง มันเป็นตัวอย่างที่มีประโยชน์ว่าคำกล่าวอ้างเหล่านี้มักปรากฏอย่างไร: เหยื่อที่ถูกระบุชื่อ ปริมาณข้อมูลที่ถูกขโมยตามที่ระบุ และการข่มขู่ที่จะเผยแพร่มัน

กรณียังก่อให้เกิดคำถามทางกฎหมายสำหรับบริษัทที่ดำเนินงานในสวิตเซอร์แลนด์ ตั้งแต่ 1 กันยายน 2023 ธุรกิจในสวิตเซอร์แลนด์ดำเนินงานภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลฉบับแก้ไข (Federal Act on Data Protection) คำอธิบายของเราเกี่ยวกับการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสวิสตั้งแต่ปี 2023 ครอบคลุมกรอบกฎหมายและเป็นจุดเริ่มต้นที่ดีในการทำความเข้าใจภาระหน้าที่ที่อาจตามมาหลังการขโมยข้อมูล

สิ่งนี้หมายความว่าอะไรสำหรับคุณ

คนส่วนใหญ่จะไม่ต้องจัดการกับกลุ่ม ransomware โดยตรง สถานการณ์ที่น่าจะเป็นมากกว่าคือบริษัทที่คุณทำธุรกิจด้วย เช่น ผู้ให้บริการ ซัพพลายเออร์ หรือนายจ้าง ถูกขึ้นบัญชีบน leak site และข้อมูลของคุณอยู่ในไฟล์ที่ถูกขโมย

นั่นหมายความว่าการเปิดเผยของคุณมักขึ้นอยู่กับการตัดสินใจของผู้อื่น คุณไม่สามารถหยุดการละเมิดได้ แต่คุณสามารถจำกัดสิ่งที่ไฟล์ที่ถูกขโมยสามารถถูกนำไปใช้ได้

ขั้นตอนที่ผู้บริโภคและธุรกิจขนาดเล็กสามารถทำได้เพื่อจำกัดการเปิดเผย

สำหรับบุคคลทั่วไป:

  • ใช้รหัสผ่านที่ไม่ซ้ำกันสำหรับทุกบัญชี เก็บไว้ในตัวจัดการรหัสผ่าน เพื่อให้ข้อมูลรับรองที่รั่วไหลครั้งเดียวไม่สามารถปลดล็อกบัญชีอื่นได้
  • เปิดใช้การยืนยันตัวตนหลายปัจจัยทุกที่ที่มีให้บริการ โดยเฉพาะอย่างยิ่งด้วยแอปAuthenticator หรือsecurity key
  • ระวังการฟิชชิงที่อ้างถึงการละเมิดข้อมูลจริง อาชญากรมักใช้ข่าวเหตุการณ์เพื่อทำให้ข้อความหลอกลวงดูน่าเชื่อถือ
  • พิจารณาการอายัดเครดิตหากข้อมูลระบุตัวตนที่ละเอียดอ่อน เช่น หมายเลขบัตรประชาชน เกี่ยวข้อง และเฝ้าดูรายการเดินบัญชีสำหรับกิจกรรมที่ผิดปกติ

สำหรับธุรกิจขนาดเล็ก:

  • เก็บข้อมูลสำรองแบบออฟไลน์หรือแบบไม่เปลี่ยนแปลง (immutable) และทดสอบการกู้คืน เพื่อให้การเข้ารหัสเพียงอย่างเดียวไม่สามารถหยุดการดำเนินงานได้
  • เก็บรวบรวมและเก็บเฉพาะข้อมูลที่คุณต้องการ ข้อมูลที่คุณไม่ได้ถือครองแล้วไม่สามารถถูกขโมยได้
  • จำกัดผู้ที่สามารถเข้าถึงไฟล์ที่ละเอียดอ่อน และอัปเดตซอฟต์แวร์ทันที
  • เตรียมแผนตอบสนองต่อเหตุการณ์ก่อนที่คุณจะต้องการ รวมถึงใครที่จะโทรหา วิธีแจ้งลูกค้า และหน้าที่การรายงานทางกฎหมายใดที่ใช้ในเขตอำนาจของคุณ
  • แบ่งส่วนเครือข่ายเพื่อให้อุปกรณ์ที่ถูกบุกรุกเครื่องเดียวไม่เปิดเผยทุกสิ่ง

หากคุณถูกขึ้นบัญชีบน leak site ให้ปรึกษาที่ปรึกษากฎหมายและทีมตอบสนองต่อเหตุการณ์โดยเร็ว การจ่ายเงินไม่ได้รับประกันว่าข้อมูลจะถูกลบ และอาจสนับสนุนการโจมตีเพิ่มเติม

ประเด็นสำคัญ

กลุ่ม ransomware Booba Project เป็นเครื่องเตือนใจว่าการกรรโชกทรัพย์สมัยใหม่เกี่ยวข้องกับข้อมูลที่ถูกขโมยพอๆ กับระบบที่ถูกล็อก การมุ่งเน้นที่รายงานว่าอยู่ที่องค์กรในสหรัฐฯ บวกกับเหยื่อสวิสอย่างน้อยหนึ่งราย แสดงให้เห็นว่าภูมิศาสตร์ให้การป้องกันเพียงเล็กน้อย

รหัสผ่านที่แข็งแกร่งและไม่ซ้ำกัน การยืนยันตัวตนหลายปัจจัย การเก็บรักษาข้อมูลน้อยที่สุด และข้อมูลสำรองที่ผ่านการทดสอบยังคงเป็นการป้องกันที่มีประสิทธิภาพที่สุด หากต้องการดูว่าคำกล่าวอ้างของ Booba Project выглядитอย่างไรในทางปฏิบัติ โปรดอ่านรายงานของเราเกี่ยวกับคำกล่าวอ้างต่อ Zynex และสำหรับด้านกฎหมายของการละเมิดข้อมูล โปรดดูคู่มือของเราเกี่ยวกับการปฏิบัติตามกฎหมายคุ้มครองข้อมูลของสวิส