เกิดอะไรขึ้นในการประมูลแรนซัมแวร์ของ CMD

กลุ่มแรนซัมแวร์ที่เรียกตัวเองว่า CMD ได้ยกระดับกลยุทธ์การรีดไถสองขั้นด้วยการนำไฟล์ที่ถูกขโมยมาประมูลและเรียกร้องเงิน 1.9 ล้านดอลลาร์จากเหยื่อ แทนที่จะเพียงแค่ขู่จะรั่วไหลข้อมูลตามเส้นตายที่กำหนดไว้ CMD ปฏิบัติต่อข้อมูลที่ถูกขโมยเสมือนเป็นสินค้า เชิญชวนผู้เสนอราคาให้แข่งขันกันเข้าถึงข้อมูลหากเป้าหมายเดิมไม่ยอมจ่าย การเคลื่อนไหวนี้สะท้อนถึงการเปลี่ยนแปลงในระบบเศรษฐกิจของแรนซัมแวร์: การเข้ารหัสเพียงอย่างเดียวไม่เพียงพอที่จะรับประกันการจ่ายเงินอีกต่อไปตั้งหลายปีแล้ว กลุ่มต่างๆ จึงทดลองหาวิธีใหม่ๆ ในการรีดมูลค่าจากข้อมูลที่ถูกขโมย แม้ว่าเหยื่อจะปฏิเสธการเจรจาก็ตาม

กรณีนี้เป็นส่วนหนึ่งของรูปแบบที่ใหญ่ขึ้น ดังที่รายงานสรุปของ vpn.social เกี่ยวกับ การพุ่งขึ้นของแรนซัมแวร์ในวงกว้างในปี 2026 ระบบนิเวศของอาชญากรได้แตกตัวออกเป็นกลุ่มต่างๆ ที่แข่งขันกันอย่างหนาแน่น แต่ละกลุ่มพยายามสร้างความแตกต่างเพื่อบีบเหยื่อได้เร็วและหนักขึ้น การประมูลข้อมูลเป็นหนึ่งในกลยุทธ์ที่รุกเร้าที่สุดที่เกิดจากการแข่งขันนั้น เปลี่ยนภัยคุกคามการรั่วไหลให้กลายเป็นเหตุการณ์ในตลาด

การรีดไถสองขั้นของแรนซัมแวร์ทำงานอย่างไร

การขโมยข้อมูลของแรนซัมแวร์แบบรีดไถสองขั้นรวมภัยคุกคามสองอย่างเข้าด้วยกันในการโจมตีครั้งเดียว ขั้นแรก ผู้โจมตีเจาะเข้าไปในเครือข่ายและคัดลอกไฟล์ที่ละเอียดอ่อนอย่างเงียบๆ เช่น บันทึกทางการเงิน ข้อมูลลูกค้า การสื่อสารภายใน อะไรก็ตามที่มีมูลค่า หลังจากที่การเอาข้อมูลออกเสร็จสมบูรณ์เท่านั้น พวกเขาจึงปล่อยส่วนที่เข้ารหัสล็อคระบบของเหยื่อ ลำดับนี้สำคัญมาก หมายความว่าความเสียหายได้เกิดขึ้นแล้วก่อนที่บันทึกเรียกค่าไถ่จะปรากฏ

รูปแบบการกดดันเดี่ยวแบบดั้งเดิม คือ จ่ายเพื่อคีย์ถอดรหัสหรือทำไฟล์ของตัวเองหาย ได้สูญเสียประสิทธิภาพไปเมื่อองค์กรต่างๆ ลงทุนในระบบสำรองข้อมูลแบบออฟไลน์และเปลี่ยนแปลงไม่ได้ หากคุณสามารถกู้คืนระบบโดยไม่ต้องพึ่งผู้โจมตี การเข้ารหัสก็กลายเป็นเรื่องน่ารำคาญมากกว่าภัยที่คุกคามการดำรงอยู่ การรีดไถสองขั้นแก้ปัญหานี้ให้ผู้โจมตีด้วยการเพิ่มคันโยกที่สอง: แม้ว่าคุณไม่จำเป็นต้องใช้คีย์ถอดรหัส คุณก็ยังต้องกังวลว่าข้อมูลที่ถูกขโมยจะถูกเผยแพร่ ขาย หรือในกรณีของ CMD ถูกประมูลให้แก่ผู้เสนอราคาสูงสุด บางกลุ่มได้ผลักดันไปไกลกว่านี้เป็นการรีดไถสามและสี่ขั้น เพิ่มการโจมตีแบบปฏิเสธการให้บริการหรือการติดต่อโดยตรงกับลูกค้าและคู่ค้าของเหยื่อเพื่อเพิ่มแรงกดดัน

ทำไมการสำรองข้อมูลแบบออฟไลน์ถึงไม่รับประกันความปลอดภัยอีกต่อไป

หลายปีมาแล้ว คำแนะนำมาตรฐานในการป้องกันแรนซัมแวร์มุ่งเน้นที่การสำรองข้อมูล: เก็บสำเนาข้อมูลของคุณไว้แบบออฟไลน์หรือในระบบจัดเก็บที่เปลี่ยนแปลงไม่ได้ แล้วการโจมตีด้วยการเข้ารหัสจะกลายเป็นสิ่งที่กู้คืนได้แทนที่จะเป็นหายนะ คำแนะนำนั้นยังคงใช้ได้ดีสำหรับครึ่งหนึ่งของภัยคุกคามที่เป็นการเข้ารหัส แต่ไม่ได้ช่วยอะไรกับการป้องกันการขโมยข้อมูลเลย การสำรองข้อมูลคืนความสามารถในการดำเนินงานของคุณ แต่ไม่ได้ลบล้างความจริงที่ว่าสำเนาของไฟล์คุณนั่งอยู่บนเซิร์ฟเวอร์ของผู้โจมตีแล้ว

ความแตกต่างนี้ชัดเจนว่าเป็นเหตุผลที่ว่าทำไมบางองค์กรที่สามารถกู้คืนด้วยตัวเองได้ทางเทคนิคก็ยังต้องเผชิญกับความกดดันอย่างหนักในการจ่ายค่าไถ่ และยังเป็นเหตุผลที่ว่าทำไมการปฏิเสธที่จะจ่ายจึงกลายเป็นการตอบสนองที่เห็นได้ชัดขึ้นและในบางกรณีเป็นเรื่องปกติขึ้น การรายงานของ vpn.social เกี่ยวกับ การโจมตีด้วยแรนซัมแวร์ของ Stadler Rail ได้บันทึกไว้ว่าบริษัทหนึ่งปฏิเสธข้อเรียกร้อง 12.3 ล้านดอลลาร์อย่างเปิดเผยแม้จะเผชิญกับภัยคุกคามจากการขโมยข้อมูล และบทความที่เกี่ยวข้องให้รายละเอียดว่า การละเมิดการแลกเปลี่ยนข้อมูลของกลุ่ม Everest ได้เกิดขึ้นอย่างไร กรณีเหล่านี้แสดงให้เห็นว่าการจ่ายไม่ใช่สิ่งที่จะเกิดขึ้นอัตโนมัติเมื่อข้อมูลถูกขโมย แต่ยังย้ำให้เห็นว่าการตัดสินใจตอนนี้ขึ้นอยู่กับการเปิดเผยข้อมูลและความเสี่ยงด้านชื่อเสียง ไม่ใช่แค่ระยะเวลาหยุดดำเนินการ

การตรวจสอบว่าข้อมูลของคุณถูกเปิดเผยหรือไม่และการลดความเสี่ยงในอนาคต

หากคุณมีปฏิสัมพันธ์กับองค์กรที่เปิดเผยการละเมิดที่เกี่ยวข้องกับกลุ่มอย่าง CMD ให้ถือว่าการแจ้งเตือนทุกครั้งเป็นเรื่องจริงจัง แม้ว่าบริษัทจะบอกว่าระบบได้รับการกู้คืนแล้ว การกู้คืนจัดการกับการเข้ารหัส ไม่ใช่การเปิดเผยข้อมูล คอยดูประกาศการละเมิดอย่างเป็นทางการ ตรวจสอบว่าองค์กรที่ได้รับผลกระทบเสนอบริการตรวจสอบเครดิตหรือคุ้มครองตัวตนหรือไม่ และตื่นตัวต่อความพยายามฟิชชิงที่อ้างถึงเหตุการณ์นั้น เพราะข้อมูลที่ถูกขโมยมักถูกใช้ในการสร้างกลลวงต่อเนื่องที่น่าเชื่อถือ

สำหรับองค์กร การเปลี่ยนแปลงในทางปฏิบัติคือการลดสิ่งที่อาจถูกขโมยตั้งแต่แรก: การควบคุมการเข้าถึงที่เข้มงวดขึ้น การแบ่งส่วนเครือข่าย การตรวจจับการถ่ายโอนข้อมูลที่ผิดปกติได้เร็วขึ้น และการลดระยะเวลาที่ข้อมูลสำคัญถูกเก็บไว้ให้เข้าถึงได้ในระบบภายใน การวางแผนการกู้คืนยังสำคัญ แต่ตามที่ให้รายละเอียดใน รายงานแรนซัมแวร์ระดับโลกฉบับล่าสุด ค่าใช้จ่ายในการกู้คืนกำลังเพิ่มขึ้นในขณะที่อัตราการจ่ายเงินโดยรวมกำลังลดลง เป็นสัญญาณว่าการป้องกันและข้อจำกัดในการเปิดเผยข้อมูลกำลังมีความสำคัญพอๆ กับกลยุทธ์การสำรองข้อมูล

สิ่งนี้มีความหมายกับคุณอย่างไร

ไม่ว่าคุณจะเป็นผู้ตัดสินใจด้านไอทีหรือเป็นเพียงลูกค้าของบริษัทที่ถูกโจมตี การประมูลของ CMD เป็นเครื่องเตือนใจว่าการขโมยข้อมูลของแรนซัมแวร์แบบรีดไถสองขั้นไม่ต้องรอการตัดสินใจจ่ายค่าไถ่ถึงจะก่ออันตราย การเปิดเผยเกิดขึ้นทันทีที่ข้อมูลออกจากเครือข่าย ไม่ว่าอะไรจะเกิดขึ้นหลังจากนั้น นั่นเปลี่ยนการคำนวณทั้งสำหรับผู้ป้องกันและผู้ใช้ทั่วไปที่ต้องเฝ้าตัวหลังจากการแจ้งการละเมิด อย่าเพิ่งสันนิษฐานว่าเหตุการณ์ที่แก้ไขแล้วหมายความว่าความเสี่ยงถูกแก้ไขแล้ว

สาระสำคัญ

  • การสำรองข้อมูลป้องกันการเข้ารหัส แต่ไม่ป้องกันการขโมยหรือการรั่วไหลของข้อมูล
  • กลยุทธ์การรีดไถสองขั้นอย่างโมเดลการประมูลของ CMD เพิ่มความกดดันแม้ว่าเหยื่อจะสามารถกู้คืนระบบได้ด้วยตัวเอง
  • การปฏิเสธที่จะจ่าย ดังที่เห็นในกรณีของ Stadler Rail กำลังกลายเป็นตัวเลือกที่เห็นได้ชัดขึ้น แต่ไม่ได้ลบล้างความเสี่ยงในการเปิดเผยข้อมูล
  • หากคุณได้รับการแจ้งเตือนการละเมิด ให้ระวังการฟิชชิงที่ตามมาและพิจารณาการตรวจสอบตัวตน แทนที่จะสันนิษฐานว่าภัยคุกคามสิ้นสุดลงเมื่อมีความตัดสินใจเรื่องค่าไถ่
  • องค์กรควรให้ความสำคัญกับการจำกัดการเข้าถึงข้อมูลและการตรวจจับการดูดข้อมูลออกอย่างรวดเร็ว ไม่ใช่เพียงการรักษาระบบสำรองข้อมูลที่แข็งแกร่งเท่านั้น