สมาชิกกลุ่มแรนซัมแวร์ Conti ถูกตัดสินจำคุกสี่ปีหลังยอมรับสารภาพว่ามีบทบาทในหนึ่งในการปฏิบัติการแรนซัมแวร์แบบบริการ (ransomware-as-a-service) ที่โด่งดังที่สุดในช่วงต้นทศวรรษ 2020 คดีนี้ให้ภาพโดยละเอียดว่าการกรรโชกทรัพย์สองชั้น (double-extortion) ถูกดำเนินการจริงเบื้องหลังอย่างไร และเป็นเครื่องเตือนใจว่าการป้องกันแรนซัมแวร์ต้องอาศัยเครื่องมือความปลอดภัยมากกว่าหนึ่งอย่าง

สมาชิกกลุ่ม Conti ยอมรับสารภาพว่าทำอะไรบ้าง

ตามคำรับสารภาพต่อศาล บุคคลรายนี้เข้าร่วมปฏิบัติการ Conti และรับบทบาทลงมือปฏิบัติในกระบวนการโจมตี เขาดูแลข้อมูลที่ถูกขโมยมาจากเหยื่อแปดรายในสหรัฐอเมริกาและเหยื่ออีกสี่รายในต่างประเทศ และรับผิดชอบในการส่งหมายเรียกค่าไถ่ระหว่างการโจมตีแบบกรรโชกทรัพย์สองชั้นที่เกิดขึ้นระหว่างปี 2020 ถึงมิถุนายน 2022 เขายังทำงานเป็นส่วนหนึ่งของทีมขนาดเล็กที่นำโดยสมาชิก Conti อีกราย โดยผลงานทางเทคนิคเฉพาะของเขาคือการพัฒนาแวร์"โหลดเดอร์" (loader) ชิ้นหนึ่ง เครื่องมือนี้ถูกออกแบบมาเพื่อช่วยติดตั้งซอฟต์แวร์โจมตีของกลุ่มลงในเครือข่ายเหยื่อ ทำหน้าที่เป็นกลไกส่งมอบที่เปิดประตูให้กับเพย์โหลดแรนซัมแวร์เอง

การแบ่งแยกความรับผิดชอบนี้ ทั้งการจัดการข้อมูล การส่งหมายเรียกค่าไถ่ และการพัฒนาแวร์ แสดงให้เห็นว่ากลุ่มแรนซัมแวร์อย่าง Conti ดำเนินงานด้วยการแบ่งงานภายในแบบเดียวกับที่มักพบในทีมซอฟต์แวร์มืออาชีพ สมาชิกแต่ละคนเชี่ยวชาญในขั้นตอนต่าง ๆ ของห่วงโซ่การโจมตี ตั้งแต่เครื่องมือเข้าถึงเบื้องต้นไปจนถึงการสื่อสารเจรจา

การโจมตีแรนซัมแวร์แบบกรรโชกทรัพย์สองชั้นทำงานอย่างไรจริง ๆ

การกรรโชกทรัพย์สองชั้นคือกลยุทธ์ที่เป็นแกนกลางของคดีนี้ และอธิบายว่าทำไมแรนซัมแวร์จึงยังคงเป็นภัยคุกคามที่ยั่งยืนต่อองค์กรทุกขนาด ในการโจมตีแรนซัมแวร์แบบดั้งเดิม อาชญากรเพียงเข้ารหัสไฟล์ของเหยื่อและเรียกค่าไถ่เพื่อแลกกับกุญแจถอดรหัส การกรรโชกทรัพย์สองชั้นเพิ่มแรงกดดันอีกชั้น: ก่อนที่จะเข้ารหัสอะไร ผู้โจมตีจะขโมยข้อมูลอ่อนไหวออกจากระบบของเหยื่อก่อน

เมื่อข้อมูลถูกเข้ารหัสแล้ว เหยื่อจะเผชิญกับภัยคุกคามสองอย่างแทนที่จะเป็นหนึ่ง พวกเขาถูกบอกให้จ่ายค่ากุญแจถอดรหัสเพื่อกู้คืนการเข้าถึงระบบของตนเอง และแยกต่างหากถูกข่มขู่ว่าจะเปิดเผยหรือขายข้อมูลที่ถูกขโมยหากไม่จ่ายเงินครั้งที่สอง นี่คือโครงสร้างที่อธิบายไว้ในคำรับสารภาพของสมาชิก Conti อย่างแม่นยำ: เขาไม่ได้มีส่วนเพียงแค่การล็อกระบบ แต่เขาจัดการข้อมูลที่ถูกขโมยเองและส่งคำเรียกค่าไถ่ที่ผูกกับข้อมูลนั้น ภัยคุกคามคู่นี้เองที่ทำให้การกรรโชกทรัพย์สองชั้นได้ผลและสร้างความเสียหายได้มาก เพราะแม้องค์กรที่มีข้อมูลสำรองและการวางแผนกู้คืนที่แข็งแกร่งก็ยังเผชิญความเสี่ยงจากการรั่วไหลของข้อมูลที่สร้างความเสียหาย

มรดกของ Conti: ทำไมกลุ่มนี้จึงสำคัญในภูมิทัศน์แรนซัมแวร์

Conti กลายเป็นหนึ่งในการปฏิบัติการแรนซัมแวร์ที่ активที่สุดและถูกจับตามากที่สุดในช่วงที่ดำเนินงาน โดยมุ่งเป้าทั้งองค์กรในสหรัฐฯ และเหยื่อในต่างประเทศด้วยโมเดลกรรโชกทรัพย์สองชั้นที่อธิบายในคดีนี้ โครงสร้างของกลุ่มที่มีสมาชิกเชี่ยวชาญดูแลส่วนต่าง ๆ ของการโจมตี ตั้งแต่การพัฒนาแวร์ไปจนถึงการจัดการข้อมูลและการสื่อสารเรียกค่าไถ่ ทำให้การดำเนินงานคล้ายกับองค์กรอาชญากรรมมากกว่าทีมแฮกเกอร์ที่จัดตั้งอย่างหลวม ๆ

การตัดสินลงโทษครั้งนี้เป็นเพียงส่วนเล็ก ๆ ของความพยายามบังคับใช้กฎหมายในวงกว้างเพื่อให้สมาชิก Conti แต่ละรายต้องรับผิดชอบ แม้จะผ่านมาหลายปีนับจากช่วงที่กลุ่มนี้ فعالที่สุดก็ตาม ยังเน้นย้ำว่าการปฏิบัติการแรนซัมแวร์พึ่งพาผู้มีส่วนร่วมจำนวนมากที่ทำงานเฉพาะทางแคบ ๆ หมายความว่าการรื้อถอนกลุ่มเหล่านี้มักต้องระบุตัวและดำเนินคดีกับหลายบุคคล ไม่ใช่แค่หัวหน้าคนเดียว

การป้องกันในทางปฏิบัติ: ข้อมูลสำรอง การแบ่งส่วนเครือข่าย และบทบาทของ VPN

เนื่องจากการกรรโชกทรัพย์สองชั้นผสมผสานการขโมยข้อมูลกับการเข้ารหัส ไม่มีเครื่องมือใดเพียงอย่างเดียวที่สามารถป้องกันได้อย่างสมบูรณ์ องค์กรและบุคคลต้องการการป้องกันแบบหลายชั้นที่จัดการกับภัยคุกคามทั้งสองส่วน

ข้อมูลสำรองที่ทำเป็นประจำและผ่านการทดสอบยังคงจำเป็นสำหรับการกู้คืนระบบที่ถูกเข้ารหัสโดยไม่ต้องจ่ายค่าไถ่ แต่ข้อมูลสำรองเพียงอย่างเดียวไม่ได้หยุดข้อมูลที่ถูกขโมยไม่ให้รั่วไหล การแบ่งส่วนเครือข่าย ซึ่งจำกัดว่าผู้โจมตีสามารถเคลื่อนที่ได้ไกลแค่ไหนเมื่อได้ที่ยืน ช่วยจำกัดการบุกรุกก่อนที่จะถึงแหล่งข้อมูลอ่อนไหว การควบคุมการเข้าถึงที่แข็งแกร่งและการเฝ้าระวังการถ่ายโอนข้อมูลที่ผิดปกติสามารถจับการพยายามขโมยข้อมูลก่อนที่ข้อมูลปริมาณมากจะออกจากเครือข่าย

VPN มีบทบาทสนับสนุนในภาพนี้ การเข้ารหัสทราฟฟิกและการรักษาความปลอดภัยจุดเข้าถึงระยะไกลสามารถลดความเสี่ยงจากการขโมยข้อมูลประจำตัวหรือการดักจับการเชื่อมต่อ ซึ่งเป็นจุดเข้าที่พบบ่อยของทีมแรนซัมแวร์ แต่ VPN ไม่ใช่สิ่งทดแทนกลยุทธ์ข้อมูลสำรอง การแบ่งส่วนเครือข่าย หรือการเฝ้าระวังข้อมูล มันเป็นเพียงชั้นหนึ่งในหลายชั้น ไม่ใช่โล่ป้องกันแบบStandalone ต่อโมเดลการโจมตีที่สร้างขึ้นเพื่อข่มขู่เหยื่อถึงสองครั้ง

สิ่งนี้หมายความว่าอะไรสำหรับคุณ

สำหรับผู้อ่านส่วนใหญ่ คดีนี้ไม่ได้เกี่ยวกับโทษเฉพาะเจาะจงมากนัก แต่เกี่ยวกับสิ่งที่มันเปิดเผย: ทีมแรนซัมแวร์ให้ความสำคัญกับการขโมยข้อมูลพอ ๆ กับการเข้ารหัส บางครั้งมากกว่าด้วยซ้ำ รูปแบบเดียวกันนี้ปรากฏในเหตุการณ์ข้อมูลรั่วไหลขนาดใหญ่อื่น ๆ รวมถึงการรั่วไหลของนักการทูตเกาหลีใต้ครั้งล่าสุด ที่บันทึกที่ถูกบุกรุกสร้างความเสี่ยงโดยไม่ต้องมีคำเรียกค่าไถ่ใด ๆ ไม่ว่าภัยคุกคามจะมาจากกลุ่มแรนซัมแวร์ที่จัดตั้งหรือการรั่วไหลของข้อมูลตรง ๆ บทเรียนพื้นฐานก็เหมือนกัน: การปกป้องข้อมูลก่อนที่จะถูกขโมยสำคัญพอ ๆ กับการกู้คืนระบบหลังการโจมตี

ประเด็นสำคัญ

องค์กรควรให้ความสำคัญกับข้อมูลสำรองแบบออฟไลน์หรือแบบที่แก้ไขไม่ได้ที่แรนซัมแวร์เข้าถึงไม่ได้ แบ่งส่วนเครือข่ายเพื่อให้บัญชีที่ถูกบุกรุกบัญชีเดียวไม่เปิดเผยทุกสิ่ง และเฝ้าระวังการถ่ายโอนข้อมูลออกที่ผิดปกติซึ่งอาจส่งสัญญาณว่ากำลังมีการขโมยข้อมูล บุคคลควรระมัดระวังกับข้อมูลประจำตัวและเครื่องมือเข้าถึงระยะไกล เนื่องจากการขโมยข้อมูลเข้าสู่ระบบยังคงเป็นวิธีที่พบบ่อยที่สุดวิธีหนึ่งที่ผู้โจมตีใช้เข้าถึงเบื้องต้น การเข้าใจกลยุทธ์กรรโชกทรัพย์สองชั้นของแรนซัมแวร์ Conti ตามที่ปรากฏในคำพิพากษานี้ เป็นจุดเริ่มต้นที่มีประโยชน์สำหรับการสร้างการป้องกันที่จัดการกับทั้งภัยคุกคามจากการเข้ารหัสและภัยคุกคามจากการรั่วไหลของข้อมูลในเวลาเดียวกัน