CISA ยืนยันการเปลี่ยนแปลงครั้งใหญ่ในกลยุทธ์ของ BianLian
สำนักงานความปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐาน (CISA) ได้ยืนยันว่า BianLian กลุ่มแรนซัมแวร์ที่เคยมีชื่อเสียงจากการล็อคเครือข่ายโรงพยาบาล ได้หยุดการเข้ารหัสไฟล์โดยสิ้นเชิงตั้งแต่เดือนมกราคม 2024 แทนที่จะทำให้ข้อมูลยุ่งเหยิงและเรียกค่าไถ่เพื่อแลกกับคีย์ถอดรหัส ขณะนี้กลุ่มดังกล่าวมุ่งเน้นไปที่การขโมยข้อมูลสำคัญเพียงอย่างเดียว และขู่ว่าจะเผยแพร่ข้อมูลนั้นหากเหยื่อไม่ยอมจ่ายเงิน
การยืนยันนี้มีความสำคัญ เนื่องจากเป็นสัญญาณบ่งชี้ถึงการเปลี่ยนแปลงในวงกว้างของวิธีการดำเนินการของผู้โจมตีด้วยแรนซัมแวร์ หลายปีที่ผ่านมา มาตรฐานการโจมตีมักเกี่ยวข้องกับการเข้ารหัสไฟล์ของเหยื่อ ทิ้งข้อความเรียกค่าไถ่ และบีบบังคับให้องค์กรต่างๆ ต้องเลือกระหว่างการจ่ายเงินเพื่อแลกกับคีย์ถอดรหัส หรือการกู้คืนระบบจากข้อมูลสำรอง การที่ BianLian เบี่ยงเบนจากโมเดลดังกล่าวแสดงให้เห็นว่า การขโมยข้อมูลเพียงอย่างเดียวโดยไม่ต้องมีขั้นตอนการเข้ารหัสเพิ่ม ก็สามารถทำกำไรได้พอๆ กัน และดำเนินการได้ง่ายกว่ามาก
จากการเข้ารหัสสู่การรีดไถ: เหตุใดการเปลี่ยนแปลงนี้จึงสำคัญ
การเข้ารหัสเครือข่ายทั้งหมดต้องใช้เวลา ทรัพยากรในการประมวลผล และระดับการเข้าถึงที่เพิ่มโอกาสในการถูกตรวจจับก่อนที่การโจมตีจะเสร็จสิ้น การคัดลอกไฟล์ออกจากเครือข่ายและออกไปอย่างเงียบๆ นั้นรวดเร็วกว่า ตรวจจับได้ยากกว่าในช่วงเวลาจริง และยังคงทำให้ผู้โจมตีมีอำนาจต่อรองอย่างมาก หากกลุ่มผู้โจมตีสามารถขโมยข้อมูลบันทึกผู้ป่วย เอกสารทางการเงิน หรือการสื่อสารภายในได้ การขู่จะเผยแพร่ข้อมูลเหล่านั้นต่อสาธารณะก็มักจะเพียงพอที่จะกดดันให้เหยื่อยอมจ่ายเงิน
แนวทางนี้ยังหลีกเลี่ยงการป้องกันบางอย่างที่องค์กรต่างๆ สร้างขึ้นเพื่อรับมือกับการโจมตีแบบเข้ารหัสอีกด้วย หลายบริษัทได้ลงทุนอย่างมากในระบบสำรองและกู้คืนข้อมูล โดยเฉพาะเพื่อลดผลกระทบของแรนซัมแวร์ที่ล็อคไฟล์ ข้อมูลสำรองเหล่านั้นไม่สามารถช่วยอะไรได้เลยในการหยุดยั้งกลุ่มผู้โจมตีที่ไม่ได้แตะต้องความสมบูรณ์ของไฟล์ตั้งแต่แรก พวกเขาเพียงแค่คัดลอกข้อมูลและจากไป การยืนยันของ CISA ต่อการเปลี่ยนแปลงนี้สอดคล้องกับรูปแบบที่หน่วยงานได้ติดตามอย่างใกล้ชิด ซึ่งรวมถึงกรณีที่กลุ่มแรนซัมแวร์เปลี่ยนมาใช้การโจมตีช่องโหว่ที่มีความรุนแรงสูงในวงกว้างทันทีที่ความรู้เรื่องช่องโหว่นั้นถูกเปิดเผยสู่สาธารณะ ดังที่เห็นเมื่อ CISA ยืนยันว่าแก๊งแรนซัมแวร์กำลังโจมตีช่องโหว่ BlueHammer ในวงกว้าง แทนที่จะสงวนไว้สำหรับการโจมตีที่เจาะจงเป้าหมายแคบๆ
องค์กรด้านการดูแลสุขภาพยังคงตกเป็นเป้าหมาย
ประวัติการมุ่งเป้าไปที่เครือข่ายโรงพยาบาลของ BianLian นั้นควรค่าแก่การให้ความสนใจ แม้ว่ากลุ่มจะเปลี่ยนกลยุทธ์ไปแล้วก็ตาม องค์กรด้านการดูแลสุขภาพครอบครองข้อมูลส่วนบุคคลที่ละเอียดอ่อนที่สุดบางประเภทเท่าที่มีอยู่ รวมถึงประวัติการรักษาพยาบาล รายละเอียดการประกัน และบันทึกการรักษา ความอ่อนไหวนั้นคือเหตุผลที่แน่ชัดว่า การขู่กรรโชกด้วยการขโมยข้อมูลจึงได้ผลดีอย่างยิ่งต่อภาคส่วนนี้ โรงพยาบาลที่ต้องเผชิญกับโอกาสที่บันทึกข้อมูลคนไข้จะถูกเผยแพร่หรือขาย มีแรงจูงใจอย่างมากที่จะจ่ายเงินอย่างรวดเร็ว ไม่ว่าระบบของพวกเขาจะเคยถูกเข้ารหัสหรือไม่ก็ตาม
การเข้าถึงเครือข่ายเหล่านี้ในขั้นต้นมักจะยังคงอาศัยการโจมตีช่องโหว่ที่ทราบแล้ว ซึ่งเป็นรูปแบบที่ CISA ได้บันทึกไว้ซ้ำๆ ในแค็ตตาล็อกช่องโหว่ที่ทราบว่าถูกโจมตี (Known Exploited Vulnerabilities) การที่หน่วยงานเพิ่งตั้งข้อสังเกตถึง ช่องโหว่การยกระดับสิทธิ์ใน Linux ที่กำลังถูกโจมตีอยู่ในปัจจุบัน แสดงให้เห็นว่าผู้โจมตียังคงพึ่งพาระบบที่ไม่ได้รับการแพตช์เป็นจุดเริ่มต้นในการเข้าถึง ไม่ว่าพวกเขาจะทำอะไรหลังจากเข้ามาในระบบแล้วก็ตาม
สิ่งนี้มีความหมายต่อคุณอย่างไร
หากองค์กรของคุณจัดการข้อมูลที่ละเอียดอ่อน ไม่ว่าจะเป็นโรงพยาบาล ธุรกิจขนาดเล็ก หรือหน่วยงานใดๆ ที่จัดเก็บข้อมูลลูกค้า การเปลี่ยนแปลงนี้ทำให้ความหมายของ "การป้องกันแรนซัมแวร์" เปลี่ยนไป กลยุทธ์การสำรองข้อมูลยังคงมีความสำคัญ แต่ไม่เพียงพออีกต่อไปหากใช้เพียงลำพัง การโจมตีด้วยการขโมยข้อมูลอย่างแนวทางใหม่ของ BianLian กำหนดให้องค์กรต่างๆ ต้องให้ความสำคัญอย่างมากกับการป้องกันการเข้าถึงโดยไม่ได้รับอนุญาต และการเฝ้าติดตามการถ่ายโอนข้อมูลขาออกที่ผิดปกติ เนื่องจากความเสียหายจะเกิดขึ้นทันทีที่ไฟล์ออกจากเครือข่าย ไม่ใช่ตอนที่ถูกเข้ารหัส
สำหรับบุคคลทั่วไป ข้อควรคำนึงเป็นเรื่องส่วนตัวมากกว่า หากองค์กรที่จัดเก็บบันทึกทางการแพทย์ รายละเอียดทางการเงิน หรือข้อมูลส่วนบุคคลของคุณตกเป็นเหยื่อของการโจมตีขโมยข้อมูล คุณอาจไม่เคยเห็นข้อความเรียกค่าไถ่ หรือได้ยินเกี่ยวกับระบบที่ถูกเข้ารหัสเลย สัญญาณแรกของปัญหาอาจเป็นเพียงจดหมายแจ้งเตือนการละเมิดข้อมูล หรือแย่กว่านั้น คือการพบว่าข้อมูลของคุณถูกขายหรือรั่วไหลทางออนไลน์
ข้อเสนอแนะที่นำไปปฏิบัติได้จริง
องค์กรต่างๆ ควรให้ความสำคัญกับเครื่องมือตรวจสอบเครือข่ายที่สามารถตั้งค่าสถานะการถ่ายโอนข้อมูลขนาดใหญ่หรือผิดปกติได้ ไม่ใช่แค่การแจ้งเตือนการเข้ารหัสเฉพาะของแรนซัมแวร์เท่านั้น การแพตช์ช่องโหว่ที่ทราบแล้วอย่างรวดเร็วยังคงเป็นสิ่งจำเป็น เนื่องจากการเข้าถึงในขั้นต้นมักจะยังคงขึ้นอยู่กับการโจมตีระบบที่ไม่ได้รับการแพตช์ บุคคลทั่วไปควรตื่นตัวต่อการแจ้งเตือนการละเมิดข้อมูลจากผู้ให้บริการด้านสุขภาพและสถาบันการเงิน และพิจารณาใช้บริการตรวจสอบเครดิตหรือการป้องกันการโจรกรรมข้อมูลส่วนบุคคลหากได้รับแจ้ง ในขณะที่กลุ่มแรนซัมแวร์อย่าง BianLian ยังคงปรับเปลี่ยนวิธีการของพวกเขาอย่างต่อเนื่อง การติดตามความเปลี่ยนแปลงเหล่านี้ให้ทันเหตุการณ์ มากกว่าการคาดเดาว่าการป้องกันของเมื่อวานยังคงครอบคลุมภัยคุกคามของวันนี้ คือการป้องกันที่ดีที่สุดที่มีอยู่
