เมื่อการจ่ายค่าไถ่ไม่ใช่จุดจบของเรื่องราว

บทสรุปล่าสุดจาก ForkLog ที่ให้รายละเอียดเกี่ยวกับกิจกรรมของแรนซัมแวร์ DeadLock และการที่ยูเครนโค่นล้มเครือข่ายเว็บเทรดคริปโทเคอร์เรนซีปลอม Money 24/7 ชี้ให้เห็นรูปแบบที่ควรได้รับความสนใจมากกว่าที่ผ่านมา นั่นคือ การขู่กรรโชกด้วยข้อมูลส่วนตัวที่ถูกขโมยโดยแรนซัมแวร์ไม่ได้จบลงเมื่อเหยื่อจ่ายเงิน ตามรายงาน ผู้ปฏิบัติการของ DeadLock ได้กำหนดเป้าหมายไปที่บุคคลโดยการค้นหาเนื้อหาที่ไม่เหมาะสมบนอุปกรณ์ที่ถูกบุกรุก จากนั้นขู่ว่าจะส่งเนื้อหานั้นให้ครอบครัวและเพื่อนฝูงหรือเผยแพร่ต่อสาธารณะเว้นแต่จะจ่ายค่าไถ่ จุดพลิกผันคือการจ่ายเงินมักไม่ใช่ทางออกที่เหยื่อคาดหวัง แม้หลังจากเงินจะเปลี่ยนมือ อาชญากรก็มักจะขายเนื้อหาที่ถูกขโมยและข้อมูลส่วนตัวบนดาร์กเว็บอยู่ดี ทำให้วงจรเริ่มต้นใหม่กับกลุ่มผู้ไม่หวังดีชุดใหม่

กลไกการขู่กรรโชกของ DeadLock จริงๆ แล้วทำอะไร

กลไกที่อธิบายในรายงานนั้นตรงไปตรงมาและน่ากังวลเพราะความเรียบง่ายนี้เอง DeadLock บุกรุกอุปกรณ์ ค้นหาเนื้อหาที่ละเอียดอ่อน และจับคู่กับข้อมูลระบุตัวตน เช่น ชื่อ วันเกิด ที่อยู่อีเมล และหมายเลขโทรศัพท์ การรวมกันของเนื้อหาที่ไม่เหมาะสมกับตัวตนส่วนบุคคลที่ยืนยันได้นี้คือสิ่งที่ทำให้การขู่กรรโชกมีประสิทธิภาพ มันไม่ใช่การข่มขู่แบบไม่เปิดเผยตัว มันผูกติดกับบุคคลจริงที่มีผู้ติดต่อจริงซึ่งอาจตกเป็นเป้าหมายต่อไป

รายงานระบุว่าข้อมูลนี้ไม่ได้หายไปเพียงเพราะจ่ายค่าไถ่แล้ว แต่กลับมักถูกนำไปขายบนตลาดดาร์กเว็บ โดยถูกบรรจุเป็นชุดข้อมูลที่อาชญากรคนอื่นๆ สามารถซื้อและนำไปใช้ในการคุกคามหรือพยายามขู่กรรโชกของตนเอง นี่คือปัญหาหลักของการมองแรนซัมแวร์เป็นธุรกรรมครั้งเดียว: เหยื่ออาจเชื่อว่าตนได้แก้ไขสถานการณ์แล้ว แต่ข้อมูลพื้นฐานได้ถูกทำให้เป็นสินค้าและกระจายออกไปเกินกว่าการควบคุมของผู้โจมตีรายแรกแล้ว

ทำไมการขาย PII จึงก่อให้เกิดวงจรการคุกคามซ้ำแล้วซ้ำเล่า

กลไกการขายต่อนี้เองที่เปลี่ยนเหตุการณ์แรนซัมแวร์ครั้งเดียวให้กลายเป็นท่อส่งการคุกคามที่เกิดขึ้นซ้ำๆ แทนที่จะเป็นเหตุการณ์โดดเดี่ยว เมื่อข้อมูลส่วนบุคคลและเนื้อหาที่สร้างความเสียหายถูกประกาศขายบนฟอรัมดาร์กเว็บ ผู้ซื้อหลายรายสามารถดำเนินการได้อย่างอิสระและในเวลาที่ต่างกัน เหยื่ออาจจัดการกับภัยคุกคามจาก DeadLock ดั้งเดิมได้แล้ว แต่กลับถูกติดต่ออีกครั้งในหลายเดือนต่อมาโดยบุคคลที่ไม่เกี่ยวข้องซึ่งซื้อชุดข้อมูลเดียวกัน การติดต่อใหม่แต่ละครั้งจะปลุกความกลัวและแรงกดดันทางการเงินขึ้นมาอีกครั้ง แม้ว่าเหยื่อจะไม่มีทางรู้ว่ามีกี่ฝ่ายที่ถือครองข้อมูลของตนอยู่

รูปแบบนี้สอดคล้องกับการเปลี่ยนแปลงในวงกว้างที่นักวิจัยด้านความมั่นคงปลอดภัยทางไซเบอร์หลายคนได้ชี้ให้เห็นแล้ว: กลุ่มแรนซัมแวร์พึ่งพาการขโมยข้อมูลและการขู่เปิดเผยข้อมูลมากขึ้นแทนที่จะเข้ารหัสไฟล์เพียงอย่างเดียวเพื่อกดดันเหยื่อ กลวิธีของ DeadLock สอดคล้องกับแนวโน้มนี้อย่างชัดเจน โดยใช้ข้อมูลส่วนบุคคลที่ลึกซึ้งเป็นเครื่องต่อรองแทนที่จะเพียงแค่ล็อกระบบ

ที่น่าสนใจคือ กลุ่มอย่าง DeadLock ยังแสดงให้เห็นว่าพวกเขาปรับเปลี่ยนโครงสร้างพื้นฐานเพื่อให้ยังคงปฏิบัติการได้แม้นักวิจัยและแพลตฟอร์มต่างๆ จะตอบสนอง การเคลื่อนไหวก่อนหน้านี้ของแก๊งในการสร้าง เทคนิคหลบเลี่ยงในแอป Session แสดงให้เห็นว่านี่ไม่ใช่ปฏิบัติการแบบคงที่หรือเกิดขึ้นครั้งเดียว มันคือกลุ่มที่ทำงานอย่างแข็งขันเพื่อให้ท่อส่งการขู่กรรโชกของตนยังดำเนินต่อไปแม้จะมีความพยายามโค่นล้ม

การโค่นล้มของหน่วยงานบังคับใช้กฎหมายเข้ากับภาพใหญ่อย่างไร

รายงาน ForkLog ฉบับเดียวกันยังครอบคลุมถึงการที่ยูเครนปิดเครือข่ายเว็บเทรดคริปโทเคอร์เรนซีปลอม Money 24/7 ซึ่งเป็นการพัฒนาแยกต่างหากแต่เกี่ยวข้องกันในการต่อสู้ในวงกว้างกับอาชญากรรมไซเบอร์แบบองค์กร การดำเนินการของหน่วยงานบังคับใช้กฎหมายเช่นนี้มีความสำคัญเพราะมันทำลายโครงสร้างพื้นฐานทางการเงินที่กลุ่มแรนซัมแวร์และเครือข่ายฉ้อโกงพึ่งพาเพื่อฟอกเงินหรือล่อเหยื่อเข้าสู่การหลอกลวงเพิ่มเติม แม้การโค่นล้มครั้งเดียวจะไม่สามารถทำลายระบบนิเวศอาชญากรรมทั้งหมดได้ แต่การกระทำเหล่านี้เพิ่มต้นทุนการปฏิบัติการให้กลุ่มอาชญากรและสามารถชะลอความเร็วที่ข้อมูลที่ถูกขโมยและเงินผิดกฎหมายเคลื่อนผ่านระบบ

สิ่งนี้หมายถึงอะไรสำหรับคุณ

หากข้อมูลของคุณเคยเป็นส่วนหนึ่งของการรั่วไหล และในเชิงสถิติแล้วมีโอกาสสูงที่เคยเกิดขึ้น โครงการ DeadLock เป็นเครื่องเตือนใจว่าความเสี่ยงไม่ได้จบลงเมื่อมีการตัดสินใจเรื่องค่าไถ่หรือเมื่อพาดหัวข่าวจางหายไป ข้อมูลส่วนบุคคลที่ถูกขโมยสามารถกลับมาปรากฏบนตลาดดาร์กเว็บได้นานหลังจากเหตุการณ์ครั้งแรก โดยผูกติดกับภัยคุกคามใหม่จากบุคคลที่คุณไม่เคยติดต่อด้วย การมองการเปิดเผยข้อมูลจากการรั่วไหลเป็นเหตุการณ์ครั้งเดียวที่ต้องเอาชีวิตรอด แทนที่จะเป็นเงื่อนไขต่อเนื่องที่ต้องจัดการ ทำให้คุณเสี่ยงต่อการตกเป็นเป้าหมายซ้ำแบบนี้

ขั้นตอนปฏิบัติเพื่อจำกัดความเสี่ยง

นิสัยที่เป็นรูปธรรมไม่กี่อย่างสามารถลดอำนาจต่อรองที่อาชญากรมีได้หากข้อมูลของคุณถูกจับได้ในการรั่วไหลเช่นนี้:

  • หลีกเลี่ยงการจัดเก็บภาพหรือเอกสารส่วนบุคคลที่ละเอียดอ่อนบนอุปกรณ์ที่เชื่อมต่ออินเทอร์เน็ตโดยไม่มีการเข้ารหัส
  • ใช้รหัสผ่านที่ไม่ซ้ำใครและแข็งแกร่ง และเปิดใช้งานการยืนยันตัวตนสองขั้นตอนเพื่อให้อุปกรณ์ที่ถูกบุกรุกเครื่องเดียวไม่นำไปสู่การยึดบัญชีต่อเนื่อง
  • ติดตามว่าอีเมลหรือหมายเลขโทรศัพท์ของคุณปรากฏในฐานข้อมูลการรั่วไหลที่รู้จักหรือไม่ และถือว่าการพบรายการใดๆ เป็นสัญญาณให้เปลี่ยนข้อมูลประจำตัวที่เกี่ยวข้องทันที
  • หากมีผู้ติดต่อคุณพร้อมข้อเรียกร้องขู่กรรโชก หลีกเลี่ยงการตอบโต้โดยตรง และบันทึกภัยคุกคามนั้นและแจ้งต่อหน่วยงานบังคับใช้กฎหมายในพื้นที่หรือหน่วยงานรายงานอาชญากรรมไซเบอร์

โครงการ DeadLock ตอกย้ำความจริงง่ายๆ: การขู่กรรโชกด้วยข้อมูลส่วนตัวที่ถูกขโมยโดยแรนซัมแวร์แทบไม่เคยเป็นบทที่ปิดลงเมื่อจ่ายค่าไถ่แล้ว การตื่นตัวต่อการที่ข้อมูลของคุณอาจหมุนเวียนหลังการรั่วไหล และการดำเนินมาตรการป้องกันตั้งแต่วันนี้ เป็นวิธีที่เชื่อถือได้ที่สุดในการหลีกเลี่ยงการเป็นส่วนหนึ่งของคลื่นการคุกคามรอบถัดไป