CISA และ FBI เตือนภัย Ransomware Gunra แบบเรียกค่าไถ่สองต่อ

สิ่งที่คำแนะนำของ CISA/FBI เปิดเผยเกี่ยวกับ Ransomware Gunra

สำนักงานความมั่นคงปลอดภัยไซเบอร์และโครงสร้างพื้นฐาน (CISA) และ FBI ร่วมกับหน่วยงานรัฐบาลสหรัฐฯ และพันธมิตรระหว่างประเทศ ได้ออกคำแนะนำด้านความมั่นคงปลอดภัยไซเบอร์ร่วมภายใต้ชื่อ #StopRansomware: Gunra Ransomware คำแนะนำนี้ติดตามกลุ่มแรนซัมแวร์ที่ปรากฏตัวครั้งแรกในเดือนเมษายน 2025 และกำลังสั่งสมชื่อเสียงอย่างเงียบ ๆ ในด้านการขู่กรรโชกที่ดุดันและกดดันสูง

ตามคำแนะนำดังกล่าว Gunra ดำเนินการในรูปแบบการเรียกค่าไถ่สองต่อ หมายความว่ากลุ่มนี้ไม่เพียงแต่ล็อกไฟล์ของเหยื่อด้วยการเข้ารหัสเท่านั้น แต่ยังขโมยหรือนำข้อมูลละเอียดอ่อนออกไปก่อนที่จะเข้ารหัสอีกด้วย สิ่งนี้ทำให้ผู้โจมตีมีอำนาจต่อรองเหนือเป้าหมายสองทางแยกกัน คือ เพื่อเรียกร้องค่าไถ่สำหรับกุญแจถอดรหัส และเพื่อเรียกร้องค่าไถ่เพื่อป้องกันไม่ให้ข้อมูลที่ถูกขโมยเผยแพร่หรือถูกขาย คำแนะนำระบุว่าข้อเรียกร้องค่าไถ่กระทำผ่านช่องทางการชำระเงินที่มีโครงสร้าง ซึ่งเป็นจุดเด่นของปฏิบัติการแรนซัมแวร์ที่เปลี่ยนจากการโจมตีตามโอกาสมาสู่การขู่กรรโชกแบบองค์กรที่ดำเนินการเยี่ยงธุรกิจ

การที่หน่วยงานของรัฐบาลกลางเห็นว่าจำเป็นต้องออกคำแนะนำเฉพาะสำหรับกลุ่มที่เพิ่งปฏิบัติการมาตั้งแต่ฤดูใบไม้ผลิปี 2025 สะท้อนให้เห็นว่า Gunra ยกระดับความรุนแรงได้รวดเร็วเพียงใด คำแนะนำร่วมในลักษณะนี้มักสงวนไว้สำหรับภัยคุกคามที่หน่วยงานเชื่อว่ากำลังมุ่งเป้าไปยังองค์กรในวงกว้าง ไม่ใช่เหตุการณ์ที่เกิดแบบแยกส่วน

วิธีที่การโจมตีแบบเรียกค่าไถ่สองต่อใช้ข้อมูลที่ถูกขโมยเป็นอาวุธ

อันตรายหลักของการเรียกค่าไถ่สองต่อคือการเปลี่ยนสมการสำหรับเหยื่อ ในการโจมตีด้วยแรนซัมแวร์ยุคก่อน องค์กรที่มีระบบสำรองข้อมูลที่มั่นคงมักจะปฏิเสธการจ่ายค่าไถ่และกู้คืนระบบของตนได้ การเรียกค่าไถ่สองต่อทำให้ตาข่ายความปลอดภัยนั้นหายไป ต่อให้บริษัทสามารถสร้างเครือข่ายใหม่จากข้อมูลสำรองได้โดยไม่ต้องจ่ายค่ากุญแจถอดรหัส ผู้โจมตีก็ยังยึดข้อมูลที่ถูกขโมยไว้เป็นตัวประกัน และสามารถข่มขู่ว่าจะเผยแพร่หรือขายข้อมูลดังกล่าว

กลยุทธ์นี้มีผลกระทบในวงกว้างเกินกว่าที่คนส่วนใหญ่ตระหนัก ข้อมูลที่ถูกขโมยมักไม่ได้จำกัดอยู่แค่บันทึกภายในของบริษัทเท่านั้น แต่ยังรวมถึงชื่อลูกค้า รายละเอียดการติดต่อ ข้อมูลการชำระเงิน และข้อมูลส่วนบุคคลอื่น ๆ ซึ่งเมื่อถูกนำออกไปแล้วสามารถใช้กดดันธุรกิจจากหลายมุม ดังที่เคยกล่าวถึงในบทวิเคราะห์ก่อนหน้าเกี่ยวกับวิธีที่ แก๊งแรนซัมแวร์ข่มขู่จะติดต่อลูกค้าของคุณ บางกลุ่มก้าวไปอีกขั้นด้วยการติดต่อลูกค้าขององค์กรเหยื่อโดยตรง เตือนว่าข้อมูลส่วนบุคคลของพวกเขาถูกขโมยและกระตุ้นให้พวกเขากดดันบริษัทให้จ่ายค่าไถ่ แนวทางการเรียกค่าไถ่สองต่อของ Gunra เข้ากันได้ดีกับรูปแบบเดียวกันนี้ในการเปลี่ยนข้อมูลที่ถูกขโมยให้เป็นอาวุธต่อทั้งองค์กรที่ถูกเจาะระบบและผู้คนที่ข้อมูลถูกถือครองอยู่

สำหรับธุรกิจขนาดเล็กและขนาดกลาง หมายความว่าเหตุการณ์แรนซัมแวร์ไม่ใช่ปัญหาไอทีเพียงอย่างเดียวอีกต่อไป แต่อาจกลายเป็นปัญหาความเชื่อมั่นของลูกค้าและชื่อเสียงได้อย่างรวดเร็ว ไม่ว่าจะจ่ายค่าไถ่ในท้ายที่สุดหรือไม่

ขั้นตอนการป้องกันที่ธุรกิจขนาดเล็กสามารถดำเนินการได้ทันที

การเผยแพร่คำแนะนำนี้เป็นเครื่องกระตุ้นที่ดีสำหรับองค์กรทุกขนาดให้ทบทวนการป้องกันแรนซัมแวร์ โดยเฉพาะอย่างยิ่งเมื่อกลุ่มอย่าง Gunra ไม่ได้จำกัดเป้าหมายเฉพาะองค์กรขนาดใหญ่ ขั้นตอนพื้นฐานไม่กี่ข้อช่วยได้มาก:

• จัดเก็บข้อมูลสำรองแบบออฟไลน์หรือป้องกันการเปลี่ยนแปลง ที่ผู้โจมตีที่เข้าถึงเครือข่ายแล้วไม่สามารถแก้ไขหรือลบได้
• แบ่งแยกเครือข่าย เพื่อไม่ให้การบุกรุกในระบบหนึ่ง เช่น เครื่องเวิร์กสเตชันของพนักงาน แพร่กระจายไปยังเซิร์ฟเวอร์ที่เก็บข้อมูลสำคัญของลูกค้าได้โดยง่าย
• บังคับใช้การพิสูจน์ตัวตนหลายปัจจัยสำหรับเครื่องมือการเข้าถึงระยะไกล อีเมล และบัญชีผู้ดูแลระบบ เนื่องจากข้อมูลประจำตัวที่ถูกขโมยยังคงเป็นจุดเข้าที่พบบ่อยที่สุดสำหรับผู้ปฏิบัติการแรนซัมแวร์
• อัปเดตแพตช์ระบบที่เชื่อมต่ออินเทอร์เน็ตอย่างรวดเร็ว เพราะซอฟต์แวร์ที่ไม่อัปเดตมักถูกใช้เป็นช่องทางเข้าถึงขั้นต้น
• พัฒนาและทดสอบแผนการตอบสนองต่อเหตุการณ์ก่อนที่การโจมตีจะเกิดขึ้น ไม่ใช่หลังจากนั้น

ซอฟต์แวร์แอนตี้ไวรัสยังมีบทบาทอยู่บ้าง แต่ไม่ได้ถูกออกแบบมาเพื่อหยุดผู้โจมตีที่ได้ตั้งหลักในระบบแล้วและกำลังดูดข้อมูลออกไปเป็นระยะเวลานาน การป้องกันหลายชั้นมีความสำคัญมากกว่าเครื่องมือใด ๆ เพียงเครื่องมือเดียว

เหตุใดการเข้ารหัสข้อมูลสำรองและการลดปริมาณข้อมูลจึงสำคัญยิ่งกว่าที่เคย

การมีข้อมูลสำรองเพียงอย่างเดียวไม่เพียงพอ หากเป้าหมายคือการเรียกค่าไถ่สองต่อ การเข้ารหัสข้อมูลสำรองขณะจัดเก็บ และการจำกัดผู้ที่เข้าถึงหรือแก้ไขได้ ลดโอกาสที่ผู้โจมตีจะเข้าไปยุ่งเกี่ยวกับทางเลือกในการกู้คืนระหว่างขั้นตอนการลาดตระเวนของการโจมตี การลดปริมาณข้อมูลก็สำคัญไม่แพ้กัน: ธุรกิจที่เก็บรวบรวมและรักษาเฉพาะข้อมูลลูกค้าที่จำเป็นจริง ๆ จะลดขนาดของข้อมูลที่ผู้โจมตีอย่าง Gunra อาจนำออกไปและนำมาใช้เป็นเครื่องต่อรองภายหลังได้ บันทึกเก่าที่ค้างอยู่ในฐานข้อมูลที่ไม่ได้ใช้งานคือภาระความเสี่ยง ไม่ใช่ทรัพย์สิน

ความหมายสำหรับคุณ

หากคุณดำเนินธุรกิจขนาดเล็กหรือบริหารไอทีให้กับธุรกิจหนึ่ง คำแนะนำเกี่ยวกับ Gunra เป็นเครื่องเตือนใจว่าตอนนี้การเตรียมพร้อมรับมือแรนซัมแวร์ต้องคำนึงถึงข้อมูลที่ถูกขโมย ไม่ใช่แค่ไฟล์ที่ถูกล็อก แคมเปญเรียกค่าไถ่สองต่อของ Gunra ransomware ประสบความสำเร็จเพราะใช้ประโยชน์จากทั้งความหยุดชะงักในการดำเนินงานจากการเข้ารหัส และผลกระทบด้านชื่อเสียงจากการรั่วไหลของข้อมูล การเตรียมพร้อมรับมือด้านใดด้านหนึ่งโดยละเลยอีกด้านจะเปิดช่องว่างที่ผู้โจมตีได้รับการฝึกฝนให้ค้นหามากขึ้นเรื่อย ๆ

ข้อควรปฏิบัติที่นำไปใช้ได้ทันที

• ทบทวนกลยุทธ์การสำรองข้อมูลของคุณเพื่อให้แน่ใจว่าสำเนาอยู่แบบออฟไลน์ ป้องกันการเปลี่ยนแปลง และถูกเข้ารหัส
• ตรวจสอบว่าข้อมูลลูกค้าใดที่คุณจำเป็นต้องเก็บรักษาจริง ๆ และลบสิ่งที่คุณไม่ต้องการ
• ยืนยันว่าการพิสูจน์ตัวตนหลายปัจจัยเปิดใช้งานอยู่สำหรับจุดเชื่อมต่อระยะไกลและจุดเข้าถึงระดับผู้ดูแลทั้งหมด
• สร้างแผนการตอบสนองต่อเหตุการณ์ที่มีขั้นตอนการแจ้งเตือนลูกค้า เนื่องจากข้อมูลที่ถูกขโมยอาจถูกนำไปใช้ต่อต้านพวกเขาโดยตรง
• ติดตามคำแนะนำจาก CISA และ FBI อย่างต่อเนื่อง เพราะกลุ่มแรนซัมแวร์ใหม่ ๆ ยังคงนำแนวทางปฏิบัติแบบเรียกค่าไถ่สองต่อเดิมมาใช้