การโจมตีด้วยแรนซัมแวร์ต่อองค์กรไม่แสวงหาผลกำไรที่ให้บริการผู้รอดชีวิตจากการค้ามนุษย์ได้สร้างความตื่นตระหนกครั้งใหม่ในหมู่นักวิจัยด้านความมั่นคงปลอดภัยทางไซเบอร์ ไม่ใช่เพราะความซับซ้อนทางเทคนิคที่เกี่ยวข้อง แต่เป็นเพราะตัวตนของเหยื่อ กลุ่มภัยคุกคามที่อยู่เบื้องหลังเหตุการณ์นี้รู้จักกันในชื่อ CRPx0 ได้โพสต์องค์กรดังกล่าวบนเว็บไซต์รั่วไหลบนดาร์กเว็บ และอ้างว่าได้ขโมยข้อมูลส่วนบุคคล ข้อมูลทางการเงิน ข้อมูลการดำเนินงาน และข้อมูลการปกครอง ก่อนจะขู่ว่าจะเผยแพร่ข้อมูลเหล่านั้นเว้นแต่องค์กรจะจ่ายค่าไถ่ ตามการวิเคราะห์ที่เผยแพร่โดย Ransom-ISAC องค์กรดังกล่าวให้การสนับสนุนผู้รอดชีวิตจากการค้ามนุษย์ ซึ่งเป็นกลุ่มประชากรที่มีความเสี่ยงสูงต่อการถูกทำร้าย การแก้แค้น และการตกเป็นเหยื่อซ้ำอยู่แล้ว

สิ่งที่ CRPx0 อ้างว่าขโมยไปและเหตุใดจึงสำคัญ

ตามโพสต์บนเว็บไซต์รั่วไหลของ CRPx0 ที่ Ransom-ISAC ตรวจสอบ กลุ่มดังกล่าวยืนยันว่าได้เข้าถึงข้อมูลหลายประเภทในวงกว้าง ได้แก่ บันทึกส่วนบุคคล เอกสารทางการเงิน ไฟล์การดำเนินงาน และวัสดุการปกครอง สำหรับองค์กรส่วนใหญ่ การละเมิดที่แตะต้องข้อมูลทั้งสี่ประเภทนั้นร้ายแรงอยู่แล้ว แต่สำหรับองค์กรไม่แสวงหาผลกำไรที่ฐานลูกค้าทั้งหมดเป็นผู้รอดชีวิตจากการค้ามนุษย์ ผลกระทบนั้นสูงกว่าอย่างมาก ข้อมูลส่วนบุคคลที่เป็นของผู้รอดชีวิตอาจรวมถึงรายละเอียดที่ระบุตัวตน ประวัติคดี และข้อมูลติดต่อ ซึ่งหากถูกเปิดเผยอาจทำให้บุคคลเหล่านั้นกลับไปอยู่ในการติดต่อโดยตรงกับบุคคลหรือเครือข่ายที่แสวงหาประโยชน์จากพวกเขาในตอนแรก

CRPx0 เป็นผู้ดำเนินการขู่กรรโชกสองชั้นที่มีการเคลื่อนไหวในหลายภาคส่วน Ransom-ISAC และนักวิจัยคนอื่น ๆ เคยบันทึกการอ้างสิทธิ์ของกลุ่มนี้ต่อปฏิบัติการในตุรกีของฮุนได ซึ่งกลุ่มอ้างว่าขโมยข้อมูลที่ละเอียดอ่อนที่เกี่ยวข้องกับธุรกิจระดับภูมิภาคของผู้ผลิตรถยนต์รายนี้ ซึ่งแสดงให้เห็นว่ากลุ่มนี้ไม่ได้จำกัดตัวเองอยู่แค่อุตสาหกรรมใดอุตสาหกรรมหนึ่งหรือโปรไฟล์เหยื่อแบบใดแบบหนึ่ง สำหรับผู้อ่านที่ต้องการทราบกลไกว่าเหตุการณ์นี้เกิดขึ้นได้อย่างไร คำอธิบายเกี่ยวกับวิธีการทำงานของการโจมตีขู่กรรโชกสองชั้นของ CRPx0 ได้แจกแจงแนวทางทั่วไปของกลุ่ม นั่นคือ ขโมยข้อมูลก่อน เข้ารหัสระบบเป็นขั้นที่สอง และใช้ภัยคุกคามจากการเปิดเผยต่อสาธารณะเป็นแรงกดดันแม้ว่าจะไม่มีการจ่ายค่าไถ่ก็ตาม

เหตุใดองค์กรไม่แสวงหาผลกำไรที่ให้บริการประชากรกลุ่มเปราะบางจึงเป็นเป้าหมายมูลค่าสูง

กลุ่มแรนซัมแวร์เลือกเป้าหมายโดยอิงจากการคำนวณง่าย ๆ นั่นคือ สามารถใช้แรงกดดันได้มากเพียงใด และเหยื่อมีแนวโน้มที่จะจ่ายเงินเพื่อหยุดแรงกดดันนั้นมากเพียงใด องค์กรไม่แสวงหาผลกำไรที่ให้บริการผู้รอดชีวิตจากการค้ามนุษย์ตั้งอยู่ที่จุดตัดอันไม่สบายใจของการคำนวณนี้ องค์กรเหล่านี้มักดำเนินงานด้วยงบประมาณด้านไอทีที่จำกัดและทีมความมั่นคงปลอดภัยขนาดเล็ก ทำให้เจาะได้ง่ายกว่าบริษัทที่มีทรัพยากรดี ในขณะเดียวกัน ความละเอียดอ่อนของข้อมูลที่พวกเขาถือครอง และศักยภาพที่จะเกิดอันตรายในโลกแห่งความเป็นจริงหากข้อมูลนั้นรั่วไหล ทำให้ผู้โจมตีมีอำนาจต่อรองที่แข็งแกร่งผิดปกติ

นี่คือรูปแบบที่พบเห็นได้ในพื้นที่องค์กรไม่แสวงหาผลกำไรและบริการสังคมอื่น ๆ ซึ่งองค์กรจัดการบันทึกส่วนบุคคลที่มีความละเอียดอ่อนสูงแต่มักขาดโครงสร้างพื้นฐานด้านความมั่นคงปลอดภัยของสถาบันขนาดใหญ่ สิ่งนี้สะท้อนพลวัตที่พบในภาคส่วนอื่น ๆ ที่จัดการข้อมูลส่วนบุคคลที่ละเอียดอ่อน เช่น การดูแลสุขภาพ ซึ่งการละเมิดที่โรงพยาบาลและผู้ให้บริการดูแลได้เปิดเผยข้อมูลเจ้าหน้าที่และผู้ป่วยซ้ำแล้วซ้ำเล่าผ่านจุดอ่อนในระบบของบุคคลที่สาม จุดร่วมคือผู้โจมตีตระหนักมากขึ้นว่าความละเอียดอ่อนของข้อมูล ไม่ใช่ขนาดขององค์กร คือสิ่งที่ขับเคลื่อนมูลค่าของการขู่กรรโชก

อันตรายสองมิติ: การจ่ายค่าไถ่เทียบกับความเสี่ยงที่ผู้รอดชีวิตจะถูกเปิดเผยอีกครั้ง

สิ่งที่ทำให้เหตุการณ์นี้แตกต่างจากคดีแรนซัมแวร์ขององค์กรทั่วไปคือธรรมชาติสองมิติของอันตรายที่ตกอยู่ในความเสี่ยง ในการละเมิดมาตรฐาน ความกังวลหลักคือเรื่องการเงิน ได้แก่ การฉ้อโกง การโจรกรรมข้อมูลประจำตัว หรือค่าใช้จ่ายในการแก้ไข แต่ที่นี่ การคำนวณรวมถึงมิติที่สองซึ่งเป็นมิติของมนุษย์มากกว่า หาก CRPx0 ทำตามภัยคุกคามในการเผยแพร่ข้อมูลผู้รอดชีวิต การเปิดเผยนั้นจะกลายเป็นอันตรายรองรูปแบบหนึ่ง ซึ่งอาจแจ้งให้ผู้ค้ามนุษย์ทราบถึงที่อยู่ สถานะทางกฎหมาย หรือความร่วมมือกับเจ้าหน้าที่และผู้สืบสวนของผู้รอดชีวิต

โครงสร้างอันตรายสองมิตินี้ทำให้องค์กรไม่แสวงหาผลกำไรอยู่ในตำแหน่งที่ยากลำบากเป็นพิเศษเมื่อต้องตัดสินใจว่าจะตอบสนองต่อข้อเรียกร้องขู่กรรโชกอย่างไร การจ่ายค่าไถ่ไม่มีการรับประกันว่าข้อมูลที่ถูกขโมยจะถูกลบหรือเก็บเป็นความลับ ซึ่งเป็นประเด็นที่ถูกเน้นย้ำตลอดงานวิจัยเกี่ยวกับกลุ่มขู่กรรโชกสองชั้น ในขณะเดียวกัน การไม่จ่ายเงินก็เสี่ยงต่อการเปิดเผยบันทึกต่อสาธารณะซึ่งอาจเป็นอันตรายต่อผู้คนที่องค์กรดำรงอยู่เพื่อปกป้อง

องค์กรที่ขับเคลื่อนด้วยพันธกิจจะเสริมความแข็งแกร่งให้แนวปฏิบัติด้านข้อมูลได้อย่างไร

องค์กรไม่แสวงหาผลกำไรที่จัดการข้อมูลลูกค้าที่ละเอียดอ่อนสามารถดำเนินการที่เป็นรูปธรรมเพื่อลดความเสี่ยงจากการโจมตีประเภทนี้ การจำกัดการเก็บรักษาข้อมูลเป็นหนึ่งในวิธีการที่มีประสิทธิภาพที่สุด นั่นคือ องค์กรควรเก็บเฉพาะข้อมูลส่วนบุคคลที่จำเป็นจริง ๆ เท่านั้น ตราบเท่าที่จำเป็น และกำจัดส่วนที่เหลือ การแบ่งส่วนเครือข่ายเพื่อให้ระบบการจัดการคดีแยกออกจากระบบบริหารทั่วไปสามารถจำกัดขอบเขตที่ผู้บุกรุกจะเคลื่อนที่ได้เมื่อเข้าไปข้างในแล้ว

การยืนยันตัวตนหลายปัจจัยบนบัญชีทั้งหมดที่เข้าถึงบันทึกลูกค้าเป็นการควบคุมพื้นฐานที่หยุดยั้งเทคนิคการเข้าถึงเริ่มต้นหลายอย่างที่กลุ่มแรนซัมแวร์ใช้ การสำรองข้อมูลออฟไลน์ที่สม่ำเสมอและผ่านการทดสอบช่วยลดแรงกดดันในการจ่ายค่าไถ่เพื่อกู้คืนการดำเนินงาน แม้ว่าจะไม่ได้ป้องกันภัยคุกคามจากการรั่วไหลของข้อมูลก็ตาม สุดท้าย องค์กรควรมีแผนตอบสนองต่อเหตุการณ์ที่คำนึงถึงความเป็นไปได้ที่ข้อมูลลูกค้าที่ละเอียดอ่อนจะถูกเปิดเผยโดยเฉพาะ รวมถึงวิธีการและเวลาที่จะแจ้งให้บุคคลที่ได้รับผลกระทบทราบ

ความหมายสำหรับคุณ

หากคุณสนับสนุน เป็นอาสาสมัคร หรือได้รับบริการจากองค์กรไม่แสวงหาผลกำไรที่จัดการข้อมูลส่วนบุคคลที่ละเอียดอ่อน เหตุการณ์นี้เป็นเครื่องเตือนใจว่าแม้แต่องค์กรเล็ก ๆ ที่ขับเคลื่อนด้วยพันธกิจก็ยังเป็นเป้าหมายของการโจมตีด้วยแรนซัมแวร์ต่อองค์กรไม่แสวงหาผลกำไรและข้อมูลผู้รอดชีวิตจากการค้ามนุษย์โดยเฉพาะ หากคุณเคยแบ่งปันข้อมูลส่วนบุคคลกับองค์กรที่ให้บริการผู้รอดชีวิต เป็นเรื่องสมเหตุสมผลที่จะถามว่าพวกเขามีมาตรการปกป้องข้อมูลอะไรบ้างและจะแจ้งให้คุณทราบอย่างไรในกรณีที่เกิดการละเมิด สำหรับองค์กรเอง คดีนี้เป็นสัญญาณให้ทบทวนแนวปฏิบัติการลดปริมาณข้อมูล現在 แทนที่จะรอจนเกิดเหตุการณ์ขึ้น

สรุป

การโจมตีด้วยแรนซัมแวร์ต่อองค์กรไม่แสวงหาผลกำไรที่ให้บริการผู้รอดชีวิตจากการค้ามนุษย์แสดงให้เห็นว่ากลุ่มขู่กรรโชกสองชั้นจะโจมตีองค์กรใดก็ตามที่ถือข้อมูลที่ละเอียดอ่อน โดยไม่คำนึงถึงขนาดหรือพันธกิจ ผู้อ่านและองค์กรสามารถตอบสนองได้ด้วยการผลักดันให้มีการลดปริมาณข้อมูลที่แข็งแกร่งขึ้น การยืนยันตัวตนหลายปัจจัย และการแบ่งส่วนเครือข่ายในองค์กรไม่แสวงหาผลกำไรที่จัดการข้อมูลของประชากรกลุ่มเปราะบาง สำหรับมุมมองที่กว้างขึ้นว่าเหตุการณ์เหล่านี้เกิดขึ้นในทางเทคนิคอย่างไร การแจกแจงการขู่กรรโชกสองชั้นของ CRPx0 ให้ข้อมูลพื้นฐานที่เป็นประโยชน์ ในขณะที่ คดีฮุนไดตุรกี แสดงให้เห็นว่ากลุ่มเดียวกันนี้ปฏิบัติการต่อเป้าหมายองค์กรขนาดใหญ่อย่างไร ซึ่งตอกย้ำว่าไม่มีภาคส่วนใดที่อยู่นอกเหนือขอบเขต