การโจมตี ransomware ในโคลัมเบีย รัฐเซาท์แคโรไลนา: สิ่งที่ผู้อยู่อาศัยควรทำตอนนี้

การโจมตีด้วยแรนซัมแวร์ต่อสาธารณูปโภคในมิดเวสต์: การป้องกันเครือข่ายภายในบ้าน

บันทึกเรียกค่าไถ่กระทบทุกวิทยาเขตของโรงเรียนรัฐบาลริชมอนด์ทั้ง 53 แห่ง

โครงสร้างพื้นฐานของผู้โจมตีที่ถูกเปิดเผยทำให้ researchers ได้เห็นภาพที่หาได้ยากว่ากลุ่ม affiliate ของแรนซัมแวร์นำ AI มาใช้งานอย่างไร ตามรายงานจาก The Hacker News กลุ่ม affiliate ได้ใช้เวิร์กโฟลว์ AI ที่มีมนุษย์อนุมัติเพื่อโจมตีระบบ edge ขโมยข้อมูล และกำหนดเป้าหมายองค์กรประมาณ 62 แห่ง เรื่องนี้เป็นเครื่องเตือนใจที่มีประโยชน์ว่า AI agent แคมเปญแรนซัมแวร์บนอุปกรณ์ edge ไม่ใช่ความกังวลทางทฤษฎีอีกต่อไป และฮาร์ดแวร์ที่ตั้งอยู่ที่ขอบเครือข่ายของคุณสมควรได้รับความสนใจอย่างแท้จริง เนื้อหาต้นฉบับมีไม่มาก บทความนี้จึงยึดตามสิ่งที่ได้รับการรายงานและเน้นสิ่งที่ผู้อ่านสามารถทำได้เกี่ยวกับเรื่องนี้ ## กลุ่ม affiliate ใช้ AI agent ดำเนินการบุกรุกอย่างไร รายละเอียดสำคัญคือคำว่า "human-approved" รายงานอธิบายถึงเวิร์กโฟลว์ AI ที่มีคนอยู่ในวงจรเพื่ออนุมัติขั้นตอน มากกว่าระบบอัตโนมัติเต็มรูปแบบที่ดำเนินการเพียงลำพัง ในทางปฏิบัติ นั่นหมายความว่า AI จัดการงานบุกรุกซ้ำ ๆ จำนวนมาก ในขณะที่มนุษย์ซึ่งเป็น affiliate ลงนามอนุมัติสิ่งที่เกิดขึ้นต่อไป โมเดลนี้สำคัญเพราะลดความพยายามที่ต้องใช้ในการดำเนินการโจมตี งานที่ครั้งหนึ่งต้องใช้ผู้ปฏิบัติงานที่มีทักษะไล่ทำแต่ละขั้นตอนสามารถเร่งความเร็วได้ ในขณะที่มนุษย์ยังคงควบคุมการตัดสินใจสำคัญ ในกรณีนี้ กลุ่ม affiliate ใช้เวิร์กโฟลว์เหล่านี้เพื่อโจมตีระบบ edge และขโมยข้อมูล สิ่งนี้สอดคล้องกับรูปแบบที่กว้างขึ้นของระบบอัตโนมัติในอาชญากรรมไซเบอร์ สำหรับข้อมูลเพิ่มเติมเกี่ยวกับว่าเครื่องมือ AI กำลัง重塑เศรษฐศาสตร์ของผู้โจมตีอย่างไร โปรดดูรายงานก่อนหน้าของเราเกี่ยวกับว่า[เครื่องมือ AI ที่ชื่อ Hermes ขับเคลื่อนการโจมตีแรนซัมแวร์อย่างไร](/en/ai-tool-hermes-powers-4-ransomware-attacks-report-finds) ## ทำไม VPN gateway และเราเตอร์จึงเป็นจุดเข้าของการโจมตี ระบบ edge คืออุปกรณ์ที่หันหน้าสู่อินเทอร์เน็ตแบบเปิด: VPN gateway, เราเตอร์, ไฟร์วอลล์ และอุปกรณ์ที่คล้ายกัน พวกมันน่าสนใจสำหรับผู้โจมตีด้วยเหตุผลง่าย ๆ คือ สามารถเข้าถึงได้จากทุกที่ มักอยู่นอกการตรวจสอบที่ครอบคลุมแล็ปท็อปและเซิร์ฟเวอร์ และสามารถให้เส้นทางตรงเข้าสู่เครือข่ายภายในได้ เมื่อผู้โจมตีบุกรุกอุปกรณ์เหล่านี้ได้ พวกเขาอาจเข้าถึงทรัพยากรภายในและดึงข้อมูลออกไปได้โดยไม่ต้องแตะคอมพิวเตอร์ของผู้ใช้เลย นั่นคือเหตุผลที่จุดเน้นที่แนะนำในที่นี้คือสุขอนามัยของ perimeter อุปกรณ์ที่ตั้งใจไว้เพื่อปกป้องการเข้าถึงสามารถกลายเป็นช่องทางเข้าได้หากมันถูกเปิดเผย ล้าสมัย หรือกำหนดค่าไม่ดี ควรระบุให้ชัดเจน: รายงานที่เรามีไม่ได้ระบุผลิตภัณฑ์หรือช่องโหว่เฉพาะ และเราจะไม่คาดเดา สิ่งที่ควรนำไปคือประเภทของอุปกรณ์ ไม่ใช่ผู้จำหน่ายรายใดรายหนึ่ง ## โครงสร้างพื้นฐานที่ถูกเปิดเผยเผยอะไรเกี่ยวกับ 62 เป้าหมาย โครงสร้างพื้นฐานที่ถูกเปิดเผยคือสิ่งที่ทำให้ researchers ประมาณการได้ว่าองค์กรประมาณ 62 แห่งตกเป็นเป้าหมาย ตัวเลขนั้นเป็นการประมาณ และสะท้อนสิ่งที่มองเห็นได้ในการตั้งค่าของผู้โจมตีเอง มากกว่าจำนวนการบุกรุกที่สำเร็จซึ่งยืนยันแล้ว มีประเด็นที่โดดเด่น 몇ประการ: - **ผู้โจมตีก็ทำผิดพลาดเช่นกัน** เซิร์ฟเวอร์ของผู้โจมตีที่กำหนดค่าผิดหรือถูกเปิดเผยสามารถเผยเครื่องมือ เวิร์กโฟลว์ และรายชื่อเป้าหมายที่ฝ่ายป้องกันไม่เคยเห็น - **การกำหนดเป้าหมายดูเป็นระบบ** รายชื่อองค์กรหลายสิบแห่งบ่งชี้ถึงกระบวนการที่ทำซ้ำได้ มากกว่าการบุกรุกครั้งเดียว - **การขโมยข้อมูลเป็นส่วนหนึ่งของเพลย์บุ๊ก** กลุ่ม affiliate ไม่ได้มุ่งแค่การเข้ารหัสเท่านั้น แต่ยังขโมยข้อมูลด้วย ซึ่งเพิ่มแรงกดดันต่อเหยื่อ บทเรียนที่กว้างขึ้นคือความช่วยเหลือจาก AI สามารถช่วยให้กลุ่ม affiliate ขยายขอบเขตได้ แม้จะมีมนุษย์อนุมัติการกระทำ ผู้ปฏิบัติงานคนเดียวก็อาจดำเนินการกับเป้าหมายจำนวนมากได้ ## สิ่งนี้หมายความว่าอะไรสำหรับคุณ หากคุณดูแลเครือข่ายธุรกิจ คุณคือกลุ่มเป้าหมายที่ตรงที่สุด อุปกรณ์ VPN ไฟร์วอลล์ หรือเราเตอร์ใด ๆ ที่รับการเชื่อมต่อจากอินเทอร์เน็ตเป็นส่วนหนึ่งของพื้นผิวการโจมตีของคุณ และผู้โจมตีกำลังมองหาอุปกรณ์ที่ถูกทิ้งไว้โดยไม่แพตช์หรือไม่มีการจัดการ หากคุณเป็นผู้ใช้ตามบ้าน โปรไฟล์ความเสี่ยงแตกต่างออกไปแต่ไม่ใช่ศูนย์ เราเตอร์ตามบ้านมักมาพร้อมตัวเลือกการบริหารจัดการระยะไกลที่หลายคนไม่เคยตรวจสอบ การเปิดทิ้งไว้และไม่แพตช์คือช่องโหว่แบบที่เครื่องมืออัตโนมัติถูกสร้างขึ้นมาเพื่อค้นหา ไม่มีสิ่งใดในนี้ที่ต้องตื่นตระหนก มันต้องการการบำรุงรักษาตามปกติที่หลายคนข้ามไป ## วิธีตรวจสอบและเสริมความแข็งแกร่งอุปกรณ์ edge ของคุณเอง เริ่มจากvisibility แล้วลดการเปิดเผย 1. **ค้นหาว่าอะไรถูกเปิดเผย** ระบุเราเตอร์ VPN gateway และไฟร์วอลล์ทุกตัวที่หันหน้าสู่อินเทอร์เน็ต ตรวจสอบว่าอินเทอร์เฟซการจัดการและพอร์ตใดเข้าถึงได้จากภายนอกเครือข่ายของคุณ 2. **แพตช์เฟิร์มแวร์** ตรวจสอบหน้าอัปเดตของผู้จำหน่ายและติดตั้งเฟิร์มแวร์ปัจจุบัน เปิดการอัปเดตอัตโนมัติหากอุปกรณ์รองรับ 3. **ปิดการเข้าถึงระยะไกลที่ไม่จำเป็น** หากคุณไม่ต้องการการบริหารจัดการระยะไกล ให้ปิดมัน ในกรณีที่ต้องการ ให้จำกัดเฉพาะที่อยู่ที่เชื่อถือได้ 4. **เปิดใช้ MFA** กำหนดให้มีการยืนยันตัวตนหลายปัจจัยสำหรับการเข้าสู่ระบบ VPN และแผงผู้ดูแลระบบ และเปลี่ยนรหัสผ่านเริ่มต้นหรือรหัสผ่านที่ใช้ซ้ำ 5. **ตรวจสอบบันทึก** มองหาการเข้าสู่ระบบที่ผิดปกติ การเปลี่ยนแปลงการกำหนดค่าที่ไม่คาดคิด หรือการถ่ายโอนข้อมูลออกจำนวนมาก 6. **ปลดระวางฮาร์ดแวร์ที่สิ้นสุดอายุ** อุปกรณ์ที่ไม่ได้รับการอัปเดตความปลอดภัยอีกต่อไปเป็นความเสี่ยงที่คงอยู่ ## ประเด็นสำคัญ แคมเปญที่รายงานแสดงให้เห็นว่าการโจมตีด้วย AI agent แรนซัมแวร์บนอุปกรณ์ edge ได้ผลดีที่สุดกับอุปกรณ์ที่ถูกเปิดเผยและถูกละเลย เวิร์กโฟลว์ AI ที่มีมนุษย์อนุมัติช่วยให้กลุ่ม affiliate เคลื่อนไหวได้เร็วขึ้น แต่จุดเข้ายังคงเป็นเรื่องธรรมดา: อุปกรณ์ที่หันหน้าสู่อินเทอร์เน็ตที่มีการตั้งค่าอ่อนแอ สัปดาห์นี้ ให้ตรวจสอบเราเตอร์หรืออุปกรณ์ VPN ของคุณสำหรับการเปิดเผยสู่อินเทอร์เน็ต แพตช์เฟิร์มแวร์ ปิดการเข้าถึงระยะไกลที่ไม่จำเป็น และเปิดใช้ MFA สำหรับบริบทเพิ่มเติมเกี่ยวกับว่าระบบอัตโนมัติกำลังเปลี่ยนแรนซัมแวร์อย่างไร โปรดอ่านบทความของเราเกี่ยวกับ[เครื่องมือแรนซัมแวร์ Hermes](/en/ai-tool-hermes-powers-4-ransomware-attacks-report-finds)

กลุ่มแรนซัมแวร์ Everest ได้ขึ้นบัญชี PwC บนเว็บไซต์กรรโชกของตน ทำให้หนึ่งในเครือข่ายบริการวิชาชีพที่ใหญ่ที่สุดในโลกตกเป็นจุดสนใจ ข้อกล่าวหานี้ยังไม่ได้รับการยืนยัน และยังไม่มีหลักฐานว่า PwC สูญเสียข้อมูลใด ๆ อย่างไรก็ตาม การอ้างว่าข้อมูล PwC รั่วไหลโดยแรนซัมแวร์ Everest นี้เป็นเครื่องเตือนใจที่มีประโยชน์ว่าการละเมิดข้อมูลที่ที่ปรึกษาสามารถส่งผลกระทบต่อผู้ที่ไม่เคยเกี่ยวข้องกับผู้โจมตี หรือแม้แต่กับบริษัทเองได้อย่างไร ## Everest อ้างอะไรเกี่ยวกับ PwC ตามรายงานของสำนักข่าวความปลอดภัยที่ติดตามการขึ้นบัญชีดังกล่าว Everest อ้างว่าขโมยข้อมูลที่เชื่อมโยงกับ PwC ไป 590.69 GB บทสรุปหนึ่งของการขึ้นบัญชีระบุว่ามี 108,426 ไฟล์ และอธิบายเนื้อหาว่าเป็นบันทึกพนักงานและข้อมูลส่วนบุคคล รายงานอื่นกล่าวถึงบันทึกทรัพยากรบุคคลและสื่อฝึกอบรม โพสต์ LinkedIn ที่เผยแพร่ข้อกล่าวหานี้ไปไกลกว่านั้น โดยอ้างถึงข้อมูลพนักงานและข้อมูลการตรวจสอบ แต่คำอธิบายนั้นมาจากความคิดเห็นต่อข้อกล่าวหา ไม่ใช่หลักฐานที่ได้รับการยืนยัน ข้อควรระวังที่สำคัญคือ ไม่มีสิ่งใดได้รับการยืนยัน แถลงการณ์ด้านความปลอดภัยฉบับหนึ่งระบุว่าการขึ้นบัญชีดังกล่าวไม่ได้มาพร้อมกับตัวอย่างข้อมูล รายละเอียดทางเทคนิค หรือหลักฐานอิสระ กลุ่มแรนซัมแวร์ขึ้นบัญชีเหยื่อเพื่อสร้างแรงกดดัน และการขึ้นบัญชีเพียงอย่างเดียวไม่ได้พิสูจน์ว่าข้อมูลถูกนำไปจริง ข้อมูลนั้นเป็นของแท้ หรือมาจากระบบของ PwC ตามที่อ้าง จนกว่า PwC จะยืนยันเหตุการณ์หรือมีหลักฐานที่น่าเชื่อถือปรากฏขึ้น ผู้อ่านควรถือว่าตัวเลขข้างต้นเป็นเพียงข้อกล่าวหา ## ทำไมที่ปรึกษาบุคคลที่สามจึงเป็นเป้าหมายการกรรโชกที่น่าสนใจ บริษัทบริการวิชาชีพถือข้อมูลจำนวนมากที่เป็นของผู้อื่น ผู้ตรวจสอบบัญชี ที่ปรึกษา และที่ปรึกษาด้านภาษีได้รับบันทึกทางการเงิน สัญญา ข้อมูลพนักงาน และเอกสารภายในเพื่อให้สามารถทำงานได้ ไฟล์เหล่านั้นมักอยู่ในที่เดียว ซึ่งทำให้การบุกรุกที่สำเร็จเพียงครั้งเดียวอาจมีมูลค่าสูง นี่คือจุดที่ช่องว่างระหว่างเจ้าของข้อมูลและผู้ถือข้อมูลมีความสำคัญ บริษัทที่ส่งบันทึกให้ที่ปรึกษาอาจไม่มีทางรู้ว่าผู้โจมตีมีข้อมูลเหล่านั้น เว้นแต่ที่ปรึกษาจะเปิดเผย บุคคลยิ่งห่างไกลออกไปอีก: พนักงานที่มีข้อมูลปรากฏในไฟล์ของลูกค้าไม่มีความสัมพันธ์โดยตรงกับที่ปรึกษาเลย นอกจากนี้ยังมีผลกระทบจากแรงกดดัน ทีมแรนซัมแวร์สมัยใหม่แทบจะไม่พึ่งพาการเข้ารหัสเพียงอย่างเดียว พวกเขาขโมยข้อมูลก่อนแล้วขู่ว่าจะเผยแพร่ ซึ่งเป็นกลยุทธ์ที่เราอธิบายไว้ในบทความอธิบายของเราเกี่ยวกับ[การกรรโชกซ้ำซ้อนด้วยแรนซัมแวร์](/en/ransomware-double-extortion-explained-as-real-world-threats-rise) บริษัทที่ให้บริการลูกค้าที่อ่อนไหวจำนวนมากมีเหตุผลหนักแน่นที่จะหลีกเลี่ยงการรั่วไหลต่อสาธารณะ และผู้โจมตีก็รู้ดี การระบุชื่อเป้าหมายที่มีชื่อเสียงบนเว็บไซต์รั่วไหลยังดึงดูดความสนใจ ไม่ว่าข้อกล่าวหาจะเป็นจริงหรือไม่ก็ตาม ## สิ่งที่ลูกค้าและบุคคลควรตรวจสอบตอนนี้ ยังไม่มีการละเมิดที่ได้รับการยืนยันให้ต้องตอบสนอง ดังนั้นเป้าหมายคือการเตรียมตัวอย่างใจเย็น ไม่ใช่ความตระหนก มีขั้นตอนปฏิบัติบางประการที่ควรทำ: - **จับตาการแจ้งเตือนอย่างเป็นทางการ** หาก PwC หรือที่ปรึกษาของคุณเองยืนยันเหตุการณ์ การแจ้งเตือนมักมาทางอีเมลหรือไปรษณีย์ อ่านอย่างละเอียดและเก็บสำเนาไว้ - **ตรวจสอบก่อนคลิก** ข้อกล่าวหาเช่นนี้มักกระตุ้นการฟิชชิ่งที่เลียนแบบการแจ้งเตือนการละเมิด เข้าเว็บไซต์ทางการขององค์กรโดยตรงแทนการคลิกลิงก์ในข้อความที่ไม่คาดคิด - **ถามผู้ติดต่อของคุณเอง** หากบริษัทของคุณทำงานกับ PwC ให้ถามผู้ติดต่อฝ่ายบัญชีหรือทีมกฎหมายว่าพวกเขาได้รับแจ้งสิ่งใดหรือไม่ และข้อมูลใดถูกแชร์ - **ทบทวนสิ่งที่คุณส่งไป** ทำรายการคร่าว ๆ ของข้อมูลส่วนบุคคล การเงิน หรือข้อมูลพนักงานที่องค์กรของคุณส่งให้ที่ปรึกษาภายนอก คุณไม่สามารถประเมินความเสี่ยงได้หากไม่รู้ว่ามีอะไรอยู่ข้างนอกนั้น - **จับตาบัญชีของคุณ** หากคุณเป็นพนักงานหรือลูกค้าของบริษัทที่ใช้ที่ปรึกษาขนาดใหญ่ ให้จับตากิจกรรมทางธนาคารและเครดิต และระวังสายเรียกเข้าหรืออีเมลที่ไม่พึงประสงค์ซึ่งอ้างถึงงานหรือการเงินของคุณ ## วิธีจำกัดการเปิดเผยเมื่อที่ปรึกษาถือข้อมูลของคุณ คุณไม่สามารถควบคุมได้เต็มที่ว่าบุคคลที่สามจะรักษาความปลอดภัยข้อมูลของคุณอย่างไร แต่คุณสามารถลดสิ่งที่พวกเขาถือและระยะเวลาที่พวกเขาเก็บไว้ได้ **แชร์ขั้นต่ำ** ส่งเฉพาะบันทึกที่งานนั้นต้องการ ปิดหรือลบฟิลด์ที่ไม่จำเป็น เช่น วันเกิดเต็มหรือหมายเลขบัตรประจำตัวราชการ **กำหนดเงื่อนไขการเก็บรักษา** สัญญาสามารถระบุระยะเวลาที่ที่ปรึกษาเก็บข้อมูลหลังจากโครงการสิ้นสุด และกำหนดให้ลบหรือคืน afterward ไฟล์เก่าที่ค้างอยู่บนเซิร์ฟเวอร์ของบริษัทคือการเปิดเผยที่ไม่ก่อให้เกิดประโยชน์ **ถามเกี่ยวกับความปลอดภัยและการแจ้งเตือน** องค์กรสามารถขอรายละเอียดเกี่ยวกับวิธีที่ที่ปรึกษาปกป้องข้อมูล และต้องแจ้งลูกค้าเกี่ยวกับเหตุการณ์ที่สงสัยภายในเร็วเพียงใด การแจ้งเตือนที่เร็วกว่าจะให้เวลาทุกคนในการตอบสนองมากขึ้น **รักษาสุขอนามัยของบัญชีที่แข็งแรง** หากคุณใช้พอร์ทัลเพื่อแลกเปลี่ยนเอกสาร ให้ใช้รหัสผ่านที่ไม่ซ้ำใครและการยืนยันตัวตนหลายปัจจัย สิ่งนี้จะไม่หยุดการโจมตีระบบของที่ปรึกษาเอง แต่จะปกป้องบัญชีที่คุณควบคุม **เรียนรู้จากกรณีที่เทียบเคียงได้** รูปแบบแรงกดดันไม่ได้มีเฉพาะในการขึ้นบัญชีนี้ ใน[กรณี ATB ที่เกี่ยวข้องกับกลุ่มที่เรียกตัวเองว่า DataSuckers](/en/atb-hit-by-datasuckers-400k-demand-7-9m-affected) การเรียกร้องค่าไถ่มาพร้อมกับข้ออ้างว่ามีผู้ได้รับผลกระทบจำนวนมาก การอ่านว่าสถานการณ์เหล่านั้นคลี่คลายอย่างไรช่วยให้คุณแยกแยะได้ว่าการแจ้งเตือนที่น่าเชื่อถือเป็นอย่างไร และการโอ้อวดที่ไม่ได้รับการยืนยันเป็นอย่างไร ## สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ หากคุณไม่มีความเชื่อมโยงกับ PwC ไม่มีสิ่งใดเกี่ยวกับข้อกล่าวหานี้ที่ต้องดำเนินการในวันนี้ หากคุณทำงานให้หรือร่วมกับบริษัท หรือนายจ้างของคุณแชร์ข้อมูลกับที่ปรึกษาขนาดใหญ่ การตอบสนองที่สมเหตุสมผลคือการติดตามข้อมูล หลีกเลี่ยงการตั้งสมมติฐานทั้งสองทาง และจับตาการสื่อสารอย่างเป็นทางการ บทเรียนที่กว้างขึ้นใช้ได้กับทุกคน: ข้อมูลของคุณสามารถอยู่กับองค์กรที่คุณไม่เคยเลือก และความเสี่ยงขึ้นอยู่กับว่าพวกเขาถือข้อมูลไว้น้อยเพียงใด ## ประเด็นสำคัญ การอ้างว่าข้อมูล PwC รั่วไหลโดยแรนซัมแวร์ Everest ยังคงไม่ได้รับการยืนยัน โดยไม่มีตัวอย่างสาธารณะหรือการยืนยันอิสระ ณ เวลาที่รายงาน อย่างไรก็ตาม มันแสดงให้เห็นว่าทำไมที่ปรึกษาจึงเป็นเป้าหมายที่น่าสนใจ และทำไมลูกค้าควรรู้ว่าพวกเขาแชร์อะไรไปบ้าง เข้าใจว่าการกรรโชกซ้ำซ้อนทำงานอย่างไร จับตาการแจ้งเตือนการละเมิดจากที่ปรึกษาของคุณ และปฏิบัติต่อข้อความที่ไม่คาดคิดเกี่ยวกับเหตุการณ์ใด ๆ ด้วยความระมัดระวัง การอ่านบทความอธิบายของเราเกี่ยวกับการกรรโชกซ้ำซ้อนและกรณี ATB เป็นขั้นตอนถัดไปที่ดีหากคุณต้องการเห็นว่าสถานการณ์เหล่านี้มักคลี่คลายอย่างไร