การโจมตีด้วยแรนซัมแวร์ไม่ใช่ปัญหาสำหรับองค์กรขนาดใหญ่ที่มีงบประมาณมหาศาลและทีมรักษาความปลอดภัยโดยเฉพาะอีกต่อไป ตามที่ Michael Sjøberg และ Peter Skovbo จาก Delta Crisis กล่าว กิจการขนาดกลางซึ่งเป็นกระดูกสันหลังของเศรษฐกิจหลายประเทศ กำลังเผชิญกับสถานการณ์ที่ผู้โจมตีเข้ารหัสระบบสำคัญและเรียกค่าไถ่เพื่อคืนการเข้าถึงมากขึ้นเรื่อย ๆ คำแนะนำของพวกเขาที่เผยแพร่ผ่าน Handelsblatt นำเสนอมุมมองจากภายในที่หาได้ยากว่าบริษัทต่าง ๆ เจรจากับผู้กรรโชกทางไซเบอร์อย่างไร และขั้นตอนใดบ้างที่สามารถลดความเสียหายได้ก่อนที่การโจมตีจะเกิดขึ้นด้วยซ้ำ

เหตุใดกิจการขนาดกลางจึงเป็นเป้าหมายใหม่

เป็นเวลาหลายปีที่พาดหัวข่าวเกี่ยวกับแรนซัมแวร์มุ่งเน้นไปที่โรงพยาบาล หน่วยงานรัฐบาล และบริษัทข้ามชาติ ภาพนั้นกำลังเปลี่ยนไป ผู้โจมตีตระหนักได้ว่าบริษัทขนาดเล็กและขนาดกลางมักขาดระบบป้องกันหลายชั้นเหมือนองค์กรขนาดใหญ่ แต่ยังคงถือครองข้อมูลที่มีค่าและไม่สามารถทนต่อการหยุดชะงักเป็นเวลานานได้ การเปลี่ยนแปลงนี้สะท้อนแนวโน้มในวงกว้างที่ถูกบันทึกไว้ในระบบนิเวศแรนซัมแวร์ที่อื่น ซึ่งบางกลุ่มได้เคลื่อนไปสู่สิ่งที่นักวิจัยเรียกว่า การปราบปรามเครือข่าย SME ในพื้นที่ โดยมุ่งเป้าไปที่กลุ่มองค์กรขนาดเล็กทั้งหมดแทนที่จะเลือกเหยื่อมูลค่าสูงรายเดียวอย่างพิถีพิถัน ตรรกะนั้นง่าย: ปริมาณเข้ามาแทนที่ความแม่นยำ และแม้แต่ค่าไถ่เพียงเล็กน้อยก็รวมกันเป็นจำนวนมากเมื่อคูณกับเหยื่อหลายสิบราย

ประสบการณ์ของ Delta Crisis ชี้ให้เห็นว่าเมื่อการโจมตีเกิดขึ้นแล้ว ความแตกต่างระหว่างบริษัทที่ฟื้นตัวได้ด้วยความเสียหายจำกัดกับบริษัทที่ได้รับความเสียหายระยะยาวมักขึ้นอยู่กับการเตรียมพร้อมและวิธีจัดการเจรจาในชั่วโมงและวันแรก

ภายในห้องเจรจาแรนซัมแวร์

ตามที่ Sjøberg และ Skovbo กล่าว การเจรจากับอาชญากรไซเบอร์ไม่ใช่แค่การตัดสินใจว่าจะจ่ายเงินหรือไม่เท่านั้น แต่ต้องเข้าใจโมเดลธุรกิจของผู้โจมตี ตรวจสอบว่าข้อมูลใดถูกขโมยหรือเข้ารหัสจริง และจัดการการสื่อสารในลักษณะที่ไม่ยั่วยุให้กลุ่มทำลายข้อมูลหรือส่งสัญญาณความสิ้นหวังที่จะผลักดันให้ค่าไถ่สูงขึ้น นี่คืองานที่ละเอียดอ่อน และมีลักษณะคล้ายกับอุตสาหกรรมบริการมืออาชีพมากขึ้นทั้งสองฝั่งของโต๊ะเจรจา ความเป็นมืออาชีพนี้ปรากฏให้เห็นในวงกว้างทั่วภูมิทัศน์แรนซัมแวร์ กลุ่มต่าง ๆ ได้นำโมเดลแรนซัมแวร์แบบบริการ (RaaS) ที่เป็นระบบมาใช้ ซึ่งเป็นรูปแบบที่เห็นได้ในคำเตือนเกี่ยวกับ การขยายตัวของ Gunra ransomware เป็นโมเดล RaaS โดยที่พันธมิตรดำเนินการโจมตีโดยใช้เครื่องมือที่สร้างโดยกลุ่มแกนหลักเพื่อแลกกับส่วนแบ่งรายได้ ผลลัพธ์คือกระบวนการกรรโชกที่ปรับขนาดได้และทำซ้ำได้มากขึ้น ซึ่งเป็นเหตุผลว่าทำไมกลยุทธ์การเจรจาจึงสำคัญมากสำหรับเหยื่อ

จุดเริ่มต้นของการโจมตีหลายครั้งเหล่านี้ก็ควรได้รับความสนใจเช่นกัน ผู้โจมตีมักเข้าถึงระบบครั้งแรกผ่านวิศวกรรมสังคมมากกว่าการใช้ประโยชน์จากช่องโหว่ทางเทคนิคที่ซับซ้อน แคมเปญที่ใช้เครื่องมือเช่น Microsoft Teams เพื่อปลอมตัวเป็น เจ้าหน้าที่ฝ่ายไอทีปลอม แสดงให้เห็นว่าสายโทรศัพท์หรือข้อความแชทที่น่าเชื่อถือเพียงครั้งเดียวสามารถเปิดประตูสู่การบุกรุกเครือข่ายทั้งหมดได้นานก่อนที่ข้อความเรียกค่าไถ่จะปรากฏขึ้น

ประเด็นด้านความเป็นส่วนตัวและการเปิดเผยข้อมูล

การเจรจาแรนซัมแวร์ไม่ใช่แค่การคืนการเข้าถึงไฟล์ที่เข้ารหัสเท่านั้น กลุ่มแรนซัมแวร์สมัยใหม่มักขโมยข้อมูลก่อนเข้ารหัส จากนั้นขู่ว่าจะเผยแพร่หรือขายข้อมูลนั้นหากไม่ได้รับการชำระเงิน โมเดลการกรรโชกสองชั้นนี้เพิ่มความเสี่ยงด้านความเป็นส่วนตัวอย่างมาก ข้อมูลลูกค้า ข้อมูลพนักงาน และข้อมูลทางธุรกิจที่เป็นความลับอาจถูกเปิดเผยไม่ว่าบริษัทจะจ่ายเงินหรือไม่ก็ตาม ผู้โจมตียังมีความซับซ้อนมากขึ้นในการหลบเลี่ยงการตรวจจับในช่วงบุกเข้าสู่ระบบ รวมถึงเทคนิคที่ปิดการทำงานเครื่องมือรักษาความปลอดภัยโดยตรง ดังที่เห็นในรายงานเกี่ยวกับ GodDamn ransomware ที่ใช้ไดรเวอร์ที่ลงนามแล้วเพื่อปิดการทำงานซอฟต์แวร์ป้องกันไวรัส ความลับแบบนั้นหมายความว่าการบุกรุกอาจไม่มีใครสังเกตเห็นเป็นเวลานานกว่ามาก ทำให้ผู้โจมตีมีเวลามากขึ้นในการขโมยข้อมูลที่ละเอียดอ่อนก่อนที่ใครจะรู้ว่ามีสิ่งผิดปกติเกิดขึ้น

สิ่งนี้หมายความถึงคุณอย่างไร

หากคุณดำเนินธุรกิจหรือทำงานที่บริษัทขนาดกลาง ข้อความจาก Delta Crisis ชัดเจน: ความพร้อมรับมือแรนซัมแวร์ไม่ใช่เรื่องทางเลือกอีกต่อไป และเริ่มต้นก่อนที่การโจมตีจะเกิดขึ้น สุขอนามัยพื้นฐาน การสำรองข้อมูลแบบออฟไลน์ แผนรับมือเหตุการณ์ที่ผ่านการทดสอบ และการฝึกอบรมพนักงานเกี่ยวกับวิศวกรรมสังคม ยังคงเป็นการป้องกันที่แข็งแกร่งที่สุด หากการโจมตีเกิดขึ้นจริง การตัดสินใจว่าจะเจรจาหรือไม่และอย่างไรไม่ควรทำอย่างเดียวดายหรือภายใต้ความตื่นตระหนก นักเจรจาที่มีประสบการณ์เข้าใจจิตวิทยาของผู้โจมตี ตรวจสอบข้อกล่าวอ้างก่อนเชื่อ และรู้วิธีถ่วงเวลาโดยไม่เพิ่มภัยคุกคามต่อข้อมูลที่ถูกขโมย

สำหรับบุคคลทั่วไปที่ข้อมูลอาจอยู่ในระบบของบริษัท สิ่งนี้เน้นย้ำว่าทำไมองค์กรจึงต้องมีความโปร่งใสกับลูกค้าเมื่อเกิดการบุกรุก เนื่องจากการเจรจาแรนซัมแวร์ส่งผลโดยตรงว่าข้อมูลส่วนบุคคลจะยังคงเป็นความลับหรือรั่วไหลออกไป

ข้อคิดสำคัญ

บริษัททุกขนาดควรปฏิบัติต่อแรนซัมแวร์เป็นสถานการณ์ "เมื่อไร" ไม่ใช่ "ถ้า" จัดทำแผนรับมือเหตุการณ์ก่อนการโจมตี รักษาการสำรองข้อมูลแบบออฟไลน์ที่ผ่านการทดสอบ และระบุล่วงหน้าว่าใครจะเป็นผู้จัดการการสื่อสารหากผู้กรรโชกติดต่อมา ฝึกอบรมพนักงานให้รู้จักความพยายามทางวิศวกรรมสังคม โดยเฉพาะการปลอมตัวผ่านเครื่องมือทำงานร่วมกันในชีวิตประจำวัน หากจำเป็นต้องเจรจา ให้เกี่ยวข้องกับผู้เชี่ยวชาญที่มีประสบการณ์แทนการแก้ปัญหาเฉพาะหน้า เนื่องจากวิธีที่บริษัทตอบสนองในชั่วโมงแรกสามารถกำหนดผลลัพธ์ทางการเงินและปริมาณข้อมูลส่วนบุคคลหรือข้อมูลองค์กรที่ถูกเปิดเผยในท้ายที่สุด