อธิบายการขู่กรรโชกสองต่อ: วงจรชีวิตการโจมตีของแรนซัมแวร์

แรนซัมแวร์มีวิวัฒนาการไปไกลเกินกว่าการเข้ารหัสไฟล์แบบง่าย ๆ ในปัจจุบันการโจมตีที่สร้างความเสียหายมากที่สุดดำเนินตามวงจรชีวิตที่คาดการณ์ได้ ซึ่งสิ้นสุดลงไม่ใช่ด้วยการเรียกค่าไถ่ครั้งเดียว แต่เป็นสองครั้ง การทำความเข้าใจว่ากระบวนการนี้ดำเนินไปอย่างไร และจุดที่ระบบป้องกันทั่วไปอย่าง VPN ไม่สามารถรับมือได้ ถือเป็นก้าวแรกสู่การสร้างมาตรการรักษาความปลอดภัยที่สามารถต้านทานการโจมตีได้จริง

วงจรชีวิตการโจมตีของแรนซัมแวร์ ทีละขั้นตอน

แคมเปญแรนซัมแวร์สมัยใหม่แทบไม่เคยเริ่มต้นด้วยการเข้ารหัส นั่นคือฉากสุดท้าย ไม่ใช่การเปิดเกม ในกรณีขั้นสูง ผู้โจมตีจะเข้าถึงเครือข่ายก่อน ซึ่งมักมาจากข้อมูลประจำตัวที่ถูกขโมย ฟิชชิง หรือช่องโหว่ที่ถูกเปิดเผย เมื่อเข้าไปได้แล้ว พวกเขาจะสำรวจสภาพแวดล้อมอย่างเงียบ ๆ ยกระดับสิทธิ์ และระบุข้อมูลที่ละเอียดอ่อนหรือมีค่าที่สุดเท่าที่จะหาได้

จุดสำคัญคือ: ก่อนที่ไฟล์ใด ๆ จะถูกล็อก ผู้โจมตีจะถ่ายโอนข้อมูลละเอียดอ่อนนั้นออกไปยังเซิร์ฟเวอร์ที่พวกเขาควบคุม ขั้นตอนนี้ ซึ่งบางครั้งถูกมองข้ามในคำอธิบายแรนซัมแวร์แบบเก่า ปัจจุบันกลายเป็นแนวปฏิบัติมาตรฐานในกลุ่มที่ซับซ้อน หลังจากที่ข้อมูลถูกคัดลอกออกไปแล้วเท่านั้น มัลแวร์จึงจะเริ่มเข้ารหัสไฟล์ทั่วทั้งระบบของเหยื่อ ทำให้ไม่สามารถเข้าถึงได้อย่างรวดเร็วและเป็นอัตโนมัติ

เมื่อมีอำนาจต่อรองจากทั้งสองทาง คือระบบที่ถูกเข้ารหัสและข้อมูลที่ถูกขโมย ผู้โจมตีก็จะนำเสนอข้อเรียกร้องค่าไถ่ นี่คือที่มาของ "การขู่กรรโชกสองต่อ" เหยื่อถูกกดดันให้จ่ายไม่เพียงเพื่อขอคีย์ถอดรหัสที่จะกู้ระบบคืนมา แต่ยังเพื่อป้องกันการเปิดเผยหรือขายข้อมูลลับสู่สาธารณะ การปฏิเสธที่จะจ่ายไม่ได้เสี่ยงแค่การสูญหายของข้อมูลอย่างถาวรอีกต่อไป แต่ยังเสี่ยงต่อการรั่วไหลของบันทึกลูกค้า รายละเอียดทางการเงิน หรือทรัพย์สินทางปัญญา

แคมเปญกดดันแบบสองทางนี้กลายเป็นเรื่องปกติธรรมดาเสียจนภัยคุกคามบางกลุ่ม ณ ขณะนี้ข้ามขั้นตอนการเข้ารหัสไปเลย และพึ่งพาการข่มขู่ด้วยการเปิดเผยข้อมูลเพียงอย่างเดียว แคมเปญการขู่กรรโชกเมื่อเร็ว ๆ นี้ที่เชื่อมโยงกับกลุ่มอย่าง Clop แสดงให้เห็นการเปลี่ยนผ่านนี้อย่างชัดเจน ดังที่เห็นใน คลื่นการขู่กรรโชก PLM โดย Clop ที่โจมตีระบบ PTC Windchill และ แคมเปญแรนซัมแวร์ Clop ที่พุ่งเป้าไปยัง PTC Windchill และ FlexPLM ซึ่งข้อมูลที่ถูกขโมยเองกลายเป็นเครื่องมือต่อรองหลัก

เหตุใด VPN จึงปกป้องคุณได้ไม่เต็มที่

VPN เข้ารหัสการเชื่อมต่ออินเทอร์เน็ตของคุณและสามารถป้องกันไม่ให้ทราฟฟิกถูกดักจับหรือตำแหน่งของคุณถูกติดตามได้ นั่นมีคุณค่า แต่มันจัดการกับพื้นผิวความเสี่ยงได้เพียงเสี้ยวเดียว VPN ไม่สามารถหยุดผู้โจมตีที่มีข้อมูลประจำตัวที่ถูกต้องอยู่แล้ว ใช้ประโยชน์จากช่องโหว่ซอฟต์แวร์ หรือหลอกให้พนักงานคลิกลิงก์อันตรายได้ เมื่อเข้าไปอยู่ในเครือข่ายแล้ว ผู้ดำเนินการแรนซัมแวร์จะเคลื่อนที่แนวข้างผ่านระบบภายใน ถ่ายโอนข้อมูลออก และปล่อยเพย์โหลดเข้ารหัสโดยไม่ต้องสนใจว่าใครเชื่อมต่ออินเทอร์เน็ตตั้งแต่แรกอย่างไร

พูดอีกอย่างก็คือ VPN ปกป้องอุโมงค์ ไม่ใช่ปลายทาง มันไม่สามารถตรวจสอบสิ่งที่เกิดขึ้นภายในเครือข่ายของคุณ ตรวจจับการถ่ายโอนข้อมูลที่ผิดปกติ หรือหยุดมัลแวร์ไม่ให้ทำงานเมื่อมีฐานที่มั่นแล้ว การมองว่า VPN เป็นเกราะป้องกันแรนซัมแวร์ที่สมบูรณ์จะสร้างจุดบอดอันตราย โดยเฉพาะเมื่อการโจมตีเริ่มทำงานอัตโนมัติมากขึ้น นักวิจัยด้านความปลอดภัยถึงกับบันทึกกรณีของ การโจมตีแรนซัมแวร์ที่ขับเคลื่อนด้วย AI อัตโนมัติเต็มรูปแบบ ซึ่งเอไอเอเจนต์จัดการการลาดตระเวน การใช้ประโยชน์ และการขู่กรรโชก โดยไม่มีผู้ปฏิบัติการคอยกำกับในแต่ละขั้นตอน ภัยคุกคามเช่นนี้เคลื่อนที่เร็วกว่าขอบเขตที่ VPN ถูกออกแบบมาให้รับมือ

เหตุใดการจ่ายเงินจึงไม่การันตีความปลอดภัย

แม้องค์กรที่จ่ายค่าไถ่ก็มักพบว่าปัญหายังไม่จบ งานวิจัยล่าสุดเกี่ยวกับเหยื่อแรนซัมแวร์ในสหราชอาณาจักรพบว่า องค์กรที่จ่ายเงินส่วนหนึ่งยังต้องเผชิญกับการขู่กรรโชกรอบสอง ไม่ว่าจะเป็นข้อเรียกร้องใหม่ การรั่วไหลเพิ่มเติม หรือการโจมตีครั้งใหม่ทั้งหมด ข้อมูลดังกล่าวตอกย้ำความจริงอันขมขื่นว่า การขู่กรรโชกสองต่อไม่ได้สิ้นสุดลงหลังจากที่เหยื่อจ่ายเงิน การจ่ายอาจซื้อเวลาได้ แต่มันไม่ได้ลบล้างความจริงที่ว่าข้อมูลคุณถูกขโมย หรือเรียกความไว้วางใจว่าการรั่วไหลถูกควบคุมไว้ได้ทั้งหมดกลับคืนมา

สิ่งนี้มีความหมายอย่างไรสำหรับคุณ

ไม่ว่าคุณจะบริหารเครือข่ายธุรกิจขนาดเล็กหรือเพียงแค่ต้องการเข้าใจความเสี่ยงที่เชื่อมโยงกับระบบที่คุณพึ่งพา วงจรชีวิตการโจมตีของแรนซัมแวร์ควรเปลี่ยนวิธีคิดเกี่ยวกับการป้องกันของคุณ การป้องกันต้องเกิดขึ้นก่อนที่จะเกิดการเข้ารหัส เพราะเมื่อถึงเวลาที่ไฟล์ถูกล็อก โดยปกติข้อมูลละเอียดอ่อนก็ออกไปนอกอาคารเรียบร้อยแล้ว

นี่หมายความว่าการป้องกันแบบหลายชั้นสำคัญกว่าเครื่องมือใด ๆ เพียงตัวเดียว การสำรองข้อมูลสม่ำเสมอและผ่านการทดสอบแล้ว โดยเก็บไว้แบบออฟไลน์หรือในสภาพแวดล้อมที่แยกออกมา จะลดอำนาจต่อรองที่การเข้ารหัสให้กับผู้โจมตี การแบ่งส่วนเครือข่ายจำกัดว่าผู้บุกรุกจะเคลื่อนที่ไปได้ไกลแค่ไหนเมื่อเข้าถึงครั้งแรกได้แล้ว การเฝ้าติดตามการถ่ายโอนข้อมูลที่ผิดปกติอย่างต่อเนื่องสามารถจับการถ่ายโอนข้อมูลออกได้ก่อนจะกลายเป็นเหตุการณ์ขู่กรรโชกเต็มรูปแบบ การยืนยันตัวตนหลายปัจจัยและการแพตช์อย่างทันท่วงที ปิดจุดเข้าถึงเริ่มต้นจำนวนมากที่ผู้โจมตีพึ่งพา

ข้อปฏิบัติที่นำไปใช้ได้จริง

เริ่มต้นด้วยสมมติฐานว่าระบบความปลอดภัยชั้นเดียวใด ๆ รวมถึง VPN สามารถถูกเลี่ยงได้ สำรองข้อมูลสำคัญตามกำหนดการที่คุณทดสอบจริง ๆ ไม่ใช่แค่คิดว่ามันใช้ได้ แบ่งส่วนเครือข่ายของคุณเพื่อไม่ให้บัญชีที่ถูกบุกรุกเพียงบัญชีเดียวเข้าถึงทุกอย่างได้ เฝ้าติดตามการไหลของข้อมูลขาออกเพื่อหาความผิดปกติ เนื่องจากการถ่ายโอนข้อมูลออกมักเกิดขึ้นก่อนการเข้ารหัสเป็นชั่วโมงหรือเป็นวัน และสร้างแผนรับมือเหตุการณ์ตอนนี้ ก่อนที่คุณจะต้องใช้มัน เพื่อที่การตัดสินใจเกี่ยวกับข้อเรียกร้องค่าไถ่จะไม่ถูกกระทำภายใต้ความกดดัน การทำความเข้าใจวงจรชีวิตการโจมตีของแรนซัมแวร์อย่างครบถ้วน ไม่ใช่แค่ช่วงเวลาที่ไฟล์ถูกล็อก คือสิ่งที่แยกองค์กรที่กู้คืนได้รวดเร็วออกจากองค์กรที่ทำไม่ได้