บทนำ
DarkSide ransomware กลายเป็นหนึ่งในชื่อที่ส่งผลกระทบมากที่สุดในประวัติศาสตร์อาชญากรรมไซเบอร์ เมื่อมันทำให้ Colonial Pipeline ผู้จัดจำหน่ายเชื้อเพลิงรายใหญ่ต้องปิดระบบ และเรียกค่าไถ่เป็น Bitcoin หลายล้านดอลลาร์จากบริษัท สิ่งที่ทำให้ DarkSide แตกต่างจากการโจมตีด้วย ransomware ในยุคก่อนไม่ใช่เพียงขนาดของความเสียหาย แต่เป็นโมเดลธุรกิจที่อยู่เบื้องหลัง นั่นคืออาณาจักร ransomware-as-a-service (RaaS) ที่เป็นมืออาชีพ ซึ่งปฏิบัติต่ออาชญากรรมไซเบอร์เหมือนแฟรนไชส์องค์กร การทำความเข้าใจว่า DarkSide ดำเนินงานอย่างไรช่วยอธิบายว่าทำไม ransomware ในปัจจุบันจึงดูไม่เหมือนเหตุการณ์แฮ็กแบบแยกส่วนอีกต่อไป แต่ดูเหมือนธุรกิจข่มขู่เรียกทรัพย์จากข้อมูลที่เป็นระบบ ซึ่งส่งผลกระทบต่อความเป็นส่วนตัวที่แท้จริงของคนทั่วไปที่ตกอยู่ในวงล้อม
DarkSide สร้างอาณาจักร Ransomware-as-a-Service ได้อย่างไร
DarkSide ไม่ได้พึ่งพาทีมแฮ็กเกอร์กลุ่มเล็กที่เจาะเครือข่ายทีละแห่ง แต่ดำเนินงานเป็นแพลตฟอร์ม RaaS โดยพัฒนาเครื่องมือและโครงสร้างพื้นฐานของ ransomware แล้วให้เช่าแก่พันธมิตร (affiliates) ที่ลงมือบุกรุกจริง พันธมิตรจัดการงานยุ่งยากในการเจาะเครือข่ายองค์กร ขณะที่ทีมปฏิบัติการหลักของ DarkSide จัดหา malware การสนับสนุนการเจรจา และโครงสร้างพื้นฐานการชำระเงิน โดยรับส่วนแบ่งจากกำไรเป็นการตอบแทน
โครงสร้างแบบแฟรนไชส์นี้มีความสำคัญต่อความเป็นส่วนตัว เพราะมันเพิ่มจำนวนผู้โจมตีที่สามารถเข้าถึงข้อมูลที่ถูกขโมย แทนที่กลุ่มเดียวจะตัดสินใจว่าจะทำอะไรกับไฟล์ของเหยื่อ พันธมิตรหลายสิบรายที่ทำงานภายใต้แบรนด์ DarkSide ต่างก็สามารถขโมยข้อมูลอ่อนไหวออกไปได้ ทั้งบันทึกพนักงาน ข้อมูลลูกค้า เอกสารทางการเงิน และการสื่อสารภายใน DarkSide เช่นเดียวกับการดำเนินการ ransomware สมัยใหม่หลายแห่ง ใช้การข่มขู่สองชั้น (double extortion) คือเข้ารหัสระบบของเหยื่อพร้อมกับขู่ว่าจะเผยแพร่ข้อมูลที่ขโมยมาหากไม่จ่ายค่าไถ่ ชั้นที่สองนี้เปลี่ยนการโจมตี ransomware ให้กลายเป็นการรั่วไหลของข้อมูล เผยแพร่ข้อมูลส่วนบุคคลและข้อมูลองค์กรไม่ว่าเหยื่อจะจ่ายค่าไถ่หรือไม่ก็ตาม
การโจมตี Colonial Pipeline และผลที่ตามมา
การดำเนินงานของ Colonial Pipeline หยุดชะงักหลังจากพันธมิตรของ DarkSide เข้าถึงเครือข่ายของบริษัทได้ สุดท้ายทำให้บริษัทต้องปิดระบบท่อส่งน้ำมันเพื่อความปลอดภัย เหตุการณ์นี้ตัดขาดสายส่งเชื้อเพลิงหลัก นำไปสู่ผลกระทบในโลกจริงที่ไกลเกินกว่าการรั่วไหลของข้อมูลทั่วไป ทั้งการขาดแคลนเชื้อเพลิง ราคาพุ่งสูง และความวิตกกังวลของสาธารณชนต่อความปลอดภัยของโครงสร้างพื้นฐาน มีรายงานว่า Colonial Pipeline จ่ายค่าไถ่เป็น Bitcoin มูลค่าหลายล้านดอลลาร์เพื่อกลับเข้าถึงระบบของตน ซึ่งเป็นการตัดสินใจที่ถูกตรวจสอบอย่างหนักจากทั้งสมาชิกสภานิติบัญญัติและนักวิจัยด้านความปลอดภัย
การโจมตีนี้แสดงให้เห็นสิ่งที่กลุ่ม ransomware กำลังมุ่งไปสู่มาหลายปี นั่นคือโครงสร้างพื้นฐานสำคัญ ไม่ใช่แค่โรงพยาบาลหรือร้านค้าปลีก เป็นเป้าหมายที่ได้ผลและทำกำไรได้ นอกจากนี้ยังแสดงให้เห็นว่าการชำระเงินด้วย cryptocurrency ทำให้ผู้ปฏิบัติการ ransomware สามารถเก็บเงินจำนวนมากได้ด้วยการไม่เปิดเผยตัวตนในระดับหนึ่ง ซึ่งทำให้เจ้าหน้าที่บังคับใช้กฎหมายติดตามและกู้คืนเงินได้ยากขึ้น ปฏิกิริ้าตอบโต้จากสาธารณชนหลังเหตุการณ์ Colonial Pipeline รุนแรงพอที่ทีมปฏิบัติการของ DarkSide เองอ้างว่าปิดการดำเนินงานลง แม้ว่าเครื่องมือ ยุทธวิธี และแม้แต่เครือข่ายพันธมิตรที่เกี่ยวข้องกับกลุ่มอย่าง DarkSide ยังคงมีอิทธิพลต่อการพัฒนา ransomware นับตั้งแต่นั้นเป็นต้นมา
ทำไมกรณีนี้ยังคงสำคัญต่อความเป็นส่วนตัวในปัจจุบัน
กรณี DarkSide และ Colonial Pipeline ไม่ใช่เหตุการณ์ครั้งเดียว แต่เป็นการพิสูจน์แนวคิดที่กลุ่ม ransomware อื่นๆ ได้นำไปปรับปรุงต่อ โมเดล RaaS ที่ DarkSide ทำให้เป็นที่นิยม ซึ่งจับคู่นักพัฒนา malware ที่มีทักษะกับพันธมิตรที่หมุนเวียนเปลี่ยนไป ยังคงเป็นโครงสร้างมาตรฐานของปฏิบัติการ ransomware หลายแห่งในปัจจุบัน กลุ่มต่างๆ ยังคงผสมผสานการเข้ารหัสกับการขโมยข้อมูลและเว็บไซต์เผยแพร่ข้อมูลสาธารณะเพื่อกดดันเหยื่อให้จ่ายเงิน ยุทธวิธีที่ทำให้ข้อมูลส่วนบุคคลและข้อมูลองค์กรตกอยู่ในความเสี่ยงแม้จะจ่ายค่าไถ่ในที่สุดก็ตาม
เหตุการณ์ล่าสุดแสดงให้เห็นว่ารูปแบบนี้ยังไม่หายไป ตัวอย่างเช่น กลุ่มที่อยู่เบื้องหลังข้อกล่าวหาของ DireWolf ransomware ต่อ THQ Nordic ใช้วิธีการข่มขู่ผ่านเว็บไซต์เผยแพร่ข้อมูลที่คล้ายกัน โดยอ้างต่อสาธารณะว่าขโมยข้อมูลปริมาณมากออกไปเป็นเครื่องต่อรอง ไม่ว่าเป้าหมายจะเป็นโครงสร้างพื้นฐานสำคัญหรือผู้เผยแพร่เกม ความเสี่ยงต่อความเป็นส่วนตัวที่แท้จริงก็เหมือนกัน เมื่อผู้โจมตีได้ข้อมูลของคุณไปแล้ว พวกเขาควบคุมว่าข้อมูลจะถูกเปิดเผยอย่างไรและเมื่อใด
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
คนส่วนใหญ่จะไม่มีวันทำงานให้บริษัทที่ดำเนินการท่อส่งเชื้อเพลิง แต่ตำราเล่นของ DarkSide ส่งผลกระทบต่อทุกคนที่มีข้อมูลส่วนบุคคลอยู่ในฐานข้อมูลของบริษัท เมื่อธุรกิจถูกโจมตีด้วย ransomware บันทึกของพนักงานและลูกค้ามักเป็นส่วนหนึ่งของสิ่งที่ถูกขโมยและอาจถูกเผยแพร่ แม้ว่าบริษัทจะจ่ายเงินเพื่อป้องกันก็ตาม นั่นหมายความว่าชื่อ ที่อยู่ รายละเอียดทางการเงิน หรือข้อมูลสุขภาพของคุณอาจถูกเปิดเผยเป็นผลข้างเคียงจากการโจมตีองค์กรที่คุณไว้ใจ ไม่ใช่สิ่งที่คุณทำผิดเอง
การเพิ่มขึ้นของ RaaS ยังหมายความว่าการโจมตี ransomware เกิดขึ้นบ่อยขึ้นและเป็นมืออาชีพมากขึ้นกว่าที่เคย เนื่องจากอุปสรรคในการเริ่มต้นโจมตีลดลง บุคคลไม่สามารถหยุดบริษัทจากการถูกเลือกเป็นเป้าหมายได้ แต่สามารถลดความเสียหายได้ โดยใช้รหัสผ่านที่ไม่ซ้ำกันสำหรับทุกบัญชี เปิดใช้งานการยืนยันตัวตนหลายปัจจัยทุกที่ที่เป็นไปได้ และติดตามการแจ้งเตือนเกี่ยวกับการรั่วไหลของข้อมูลที่เกี่ยวข้องกับบริการที่คุณใช้
บทสรุป
การโจมตีของ DarkSide ransomware ต่อ Colonial Pipeline ได้เปลี่ยนวิธีที่รัฐบาล ธุรกิจ และนักวิจัยด้านความปลอดภัยคิดเกี่ยวกับ ransomware โดยพิสูจน์ว่าปฏิบัติการอาชญากรรมไซเบอร์ที่จัดตั้งดีสามารถก่อกวนโครงสร้างพื้นฐานสำคัญและเก็บเงินหลายล้านใน Bitcoin ขณะดำเนินงานเหมือนผู้ให้บริการที่ถูกกฎหมาย โมเดล RaaS ที่มันทำให้เป็นที่นิยมยังคงกำหนดรูปแบบการโจมตี ransomware ในปัจจุบัน และด้วยกันกับความเสี่ยงต่อเนื่องที่ข้อมูลส่วนบุคคลจะถูกกวาดเก็บเป็นเครื่องต่อรอง การติดตามข้อมูลว่ากลุ่มเหล่านี้ดำเนินงานอย่างไร และการดำเนินการขั้นพื้นฐานเช่นการยืนยันตัวตนที่แข็งแกร่งและการเฝ้าระวังการรั่วไหลของข้อมูล ยังคงเป็นวิธีปฏิบัติที่สุดวิธีหนึ่งในการปกป้องความเป็นส่วนตัวของคุณในสภาพแวดล้อมที่ ransomware-as-a-service ไม่มีสัญญาณว่าจะชะลอตัวลง
