แรนซัมแวร์ขู่กรรโชกสองชั้น (Double Extortion Ransomware): ทำไมการสำรองข้อมูลจึงไม่เพียงพอ

แรนซัมแวร์ขู่กรรโชกสองชั้นขโมยอะไรจริงๆ

เป็นเวลาหลายปีที่คำแนะนำมาตรฐานสำหรับการเอาตัวรอดจากการโจมตีของแรนซัมแวร์นั้นง่ายมาก: เก็บสำรองข้อมูลที่ดีไว้ แล้วคุณจะสามารถกู้คืนระบบได้โดยไม่ต้องจ่ายเงิน คำแนะนำนั้นไม่เพียงพออีกต่อไปแล้ว แก๊งแรนซัมแวร์สมัยใหม่ไม่ได้แค่เข้ารหัสข้อมูลของคุณเท่านั้น แต่พวกเขายังขโมย (exfiltrate) ข้อมูลนั้นก่อนด้วย วิธีการนี้เรียกว่าการขู่กรรโชกสองชั้น (double extortion) และมันเปลี่ยนการคำนวณพื้นฐานสำหรับเหยื่อและผู้ป้องกันอย่างสิ้นเชิง

นี่คือวิธีการทำงาน ก่อนที่ผู้โจมตีจะกระตุ้นการเข้ารหัสที่ล็อกคุณออกจากไฟล์ของคุณ พวกเขาจะคัดลอกข้อมูลที่ละเอียดอ่อนออกจากเครือข่ายของคุณอย่างเงียบ ๆ ได้แก่ บันทึกลูกค้า เอกสารทางการเงิน ข้อมูลพนักงาน ทรัพย์สินทางปัญญา หรืออะไรก็ตามที่พวกเขาหาได้ หลังจากที่ข้อมูลถูกสูบออกไปแล้วเท่านั้น การโจมตีที่มองเห็นได้จึงจะเริ่มต้นขึ้น ซึ่งหมายความว่าเมื่อถึงเวลาที่คุณสังเกตเห็นข้อความเรียกค่าไถ่หรือไฟล์ที่ถูกล็อก การขโมยได้เกิดขึ้นแล้ว การกู้คืนจากการสำรองข้อมูลจะแก้ปัญหาการเข้ารหัสได้ แต่ไม่ได้หยุดผู้โจมตีจากการข่มขู่ว่าจะรั่วไหลหรือขายข้อมูลที่ถูกขโมยไป

การเปลี่ยนแปลงนี้สำคัญเพราะมันทำให้ทุกเหตุการณ์แรนซัมแวร์กลายเป็นเหตุการณ์ละเมิดข้อมูลที่อาจเกิดขึ้นได้ ไม่ว่าคุณจะมีการสำรองข้อมูลที่สมบูรณ์แบบเก็บไว้ที่ไหนก็ตาม การป้องกันแรนซัมแวร์ขู่กรรโชกสองชั้นจึงต้องเริ่มต้นก่อนที่ผู้โจมตีจะเข้าใกล้คีย์การเข้ารหัสของคุณเสียอีก

ทำไมการจ่ายค่าไถ่จึงไม่รับประกันว่าคุณจะได้ข้อมูลคืน

ประเด็นที่ควรย้ำสำหรับองค์กรใด ๆ ที่กำลังชั่งน้ำหนักทางเลือกของตนระหว่างการโจมตี: ไม่มีสัญญาทางกฎหมายใดผูกมัดแก๊งแรนซัมแวร์ให้ลบข้อมูลที่ถูกขโมยหลังการชำระเงิน พวกเขาเป็นองค์กรอาชญากรรมที่ดำเนินงานนอกเหนือข้อตกลงใด ๆ ที่บังคับใช้ได้ การจ่ายเงินไม่ได้บังคับให้พวกเขาทำลายสำเนาไฟล์ของคุณ และไม่ได้หยุดพวกเขาจากการขายข้อมูลต่อให้อาชญากรอื่นหรือรั่วไหลในภายหลัง

สถิติของธุรกิจที่จ่ายเงินก็ไม่น่าไว้วางใจเช่นกัน แม้หลังจากจ่ายค่าไถ่แล้ว ก็ไม่มีการรับประกันว่าจะได้ข้อมูลที่ใช้งานได้คืน และไม่มีการรับประกันว่าข้อมูลเดียวกันจะไม่ปรากฏขึ้นอีกในการขู่กรรโชกครั้งอนาคต ผู้โจมตีมีแรงจูงใจทุกอย่างที่จะเก็บสำเนาไว้เป็นเครื่องต่อรอง เนื่องจากเหยื่อที่จ่ายเงินครั้งหนึ่งเพื่อหลีกเลี่ยงความอับอายหรือการตรวจสอบจากหน่วยงานกำกับดูแลอาจจ่ายอีกครั้งภายใต้แรงกดดันใหม่

พลวัตนี้ทวีความรุนแรงขึ้นเมื่อกลวิธีขู่กรรโชกพัฒนาไป บางแก๊งใช้เครื่องมืออัตโนมัติเพื่อเร่งและปรับแต่งการรณรงค์กดดันเหยื่อให้เป็นรายบุคคล ซึ่งเป็นแนวโน้มที่กล่าวถึงในรายละเอียดใน วิธีที่แก๊งแรนซัมแวร์ใช้ AI กดดันเหยื่อหนักขึ้น บทเรียนที่ได้คือการป้องกันและการจำกัดความเสียหายสำคัญกว่าการหวังว่าแก๊งอาชญากรจะให้เกียรติข้อตกลงในการทำธุรกรรมที่ผิดกฎหมาย

การแบ่งส่วนเครือข่ายและการใช้ VPN เป็นแนวป้องกันแรก

เนื่องจากการขโมยข้อมูลเกิดขึ้นก่อนการโจมตีที่มองเห็นได้ การป้องกันที่มีประสิทธิภาพที่สุดคือสิ่งที่จำกัดสิ่งที่ผู้บุกรุกสามารถเข้าถึงได้ตั้งแต่แรก ไม่ใช่แค่สิ่งที่เกิดขึ้นหลังการระเบิด

การแบ่งส่วนเครือข่ายเป็นหัวใจสำคัญของเรื่องนี้ เมื่ออุปกรณ์และเซิร์ฟเวอร์ทุกตัวอยู่บนเครือข่ายแบบแบนเดียว ผู้โจมตีที่บุกรุกเวิร์กสเตชันเครื่องเดียวมักจะเคลื่อนที่ในแนวนอนเพื่อเข้าถึงไฟล์เซิร์ฟเวอร์ ระบบสำรองข้อมูล และฐานข้อมูลที่มีบันทึกที่ละเอียดอ่อน การแบ่งส่วนเครือข่ายออกเป็นโซนที่แยกจากกัน แยกระบบการเงินออกจากการเข้าถึงของพนักงานทั่วไป แยกโครงสร้างพื้นฐานการสำรองข้อมูลออกจากระบบการผลิต และจำกัดการเข้าถึงด้านการดูแลระบบ หมายความว่าบัญชีหรืออุปกรณ์เดียวที่ถูกบุกรุกจะไม่เปิดประตูสู่ทุกอย่างในคราวเดียว

การเข้าถึงระยะไกลที่ปลอดภัยก็สำคัญไม่แพ้กัน พนักงานและผู้รับเหมาที่เชื่อมต่อจากนอกสำนักงานเป็นจุดเข้าที่พบได้บ่อยสำหรับผู้โจมตี โดยเฉพาะเมื่อการเข้าถึงระยะไกลอาศัยโปรโตคอลที่เปิดเผยหรือการยืนยันตัวตนที่อ่อนแอ การใช้ VPN ที่กำหนดค่าอย่างถูกต้องพร้อมการยืนยันตัวตนที่แข็งแกร่ง แทนที่จะปล่อยให้รีโมทเดสก์ท็อปหรือพอร์ตการดูแลระบบเข้าถึงได้โดยตรงจากอินเทอร์เน็ต จะปิดหนึ่งในเส้นทางที่ถูกใช้ประโยชน์มากที่สุดเข้าสู่เครือข่าย เมื่อรวมกับการยืนยันตัวตนแบบหลายปัจจัยและหลักการสิทธิ์น้อยที่สุด (การให้ผู้ใช้และระบบเข้าถึงเฉพาะสิ่งที่จำเป็นจริง ๆ) มาตรการเหล่านี้จะลดปริมาณข้อมูลที่การรั่วไหลครั้งเดียวจะเปิดเผยได้

สุขอนามัยด้านข้อมูลช่วยเสริมแนวป้องกันแรกนี้ องค์กรที่ไม่รู้ว่าตนจัดเก็บข้อมูลที่ละเอียดอ่อนอะไร ที่ไหน หรือใครเข้าถึงได้บ้าง จะไม่มีทางจำกัดสิ่งที่ผู้โจมตีจะขโมยได้ การตรวจสอบและลดข้อมูลที่ละเอียดอ่อนที่จัดเก็บเป็นประจำ การเข้ารหัสข้อมูลที่อยู่นิ่ง และการลบสิ่งที่ไม่ได้ใช้แล้ว จะทำให้เป้าหมายเล็กลงแม้ว่าผู้โจมตีจะเข้ามาได้

การสร้างแผนรับมือเหตุการณ์ก่อนที่คุณจะถูกโจมตี

แม้มาตรการป้องกันที่แข็งแกร่งก็อาจล้มเหลวต่อผู้โจมตีที่มุ่งมั่น ซึ่งเป็นเหตุผลว่าทำไมแผนรับมือเหตุการณ์จึงต้องมีอยู่ก่อนเกิดวิกฤต ไม่ใช่ระหว่างเกิดวิกฤต แผนที่สร้างขึ้นกลางการโจมตีที่กำลังดำเนินอยู่ ภายใต้ความกดดันและมีนาฬิกานับถอยหลังจากผู้โจมตี มักนำไปสู่ความผิดพลาดที่มีค่าใช้จ่ายสูง

แผนที่มีประสิทธิภาพระบุว่าใครมีอำนาจตัดสินใจ รวมถึงการตัดสินใจว่าจะติดต่อหน่วยงานบังคับใช้กฎหมายหรือผู้เชี่ยวชาญรับมือเหตุการณ์ภายนอกหรือไม่ ก่อนที่สถานการณ์จะบานปลาย แผนกำหนดว่าระบบจะถูกแยกเพื่อหยุดการเคลื่อนที่ในแนวนอนทันทีที่ตรวจพบกิจกรรมที่น่าสงสัย และกำหนดโปรโตคอลการสื่อสารเพื่อให้ทีมกฎหมาย เทคนิค และผู้บริหารไม่ได้ทำงานจากข้อมูลคนละชุด แผนยังคำนึงถึงความเป็นจริงของการขู่กรรโชกสองชั้นโดยเฉพาะ: เนื่องจากข้อมูลอาจถูกขโมยไปแล้วแม้การเข้ารหัสจะถูกจับได้เร็ว แผนจึงควรมีขั้นตอนในการประเมินว่าข้อมูลใดอาจถูกเปิดเผยและแจ้งผู้ที่เกี่ยวข้องตามที่กฎหมายกำหนด

ความหมายสำหรับคุณ

สำหรับองค์กรส่วนใหญ่ การเปลี่ยนแปลงเชิงปฏิบัติคือ: การป้องกันแรนซัมแวร์ไม่สามารถมองเป็นเพียงปัญหาการสำรองข้อมูลและการกู้คืนได้อีกต่อไป การขู่กรรโชกสองชั้นหมายความว่าความเสียหายมักเกิดขึ้นก่อนที่คุณจะรู้ว่าการโจมตีกำลังดำเนินอยู่ ดังนั้นการควบคุมการเข้าถึง การแบ่งส่วนเครือข่าย และการเชื่อมต่อระยะไกลที่ปลอดภัยจึงสำคัญพอ ๆ กับการวางแผนกู้คืน หากองค์กรหรือการตั้งค่าส่วนตัวของคุณอาศัยการเข้าถึงระยะไกลไปยังระบบที่ละเอียดอ่อน การใช้ VPN ที่มีชื่อเสียงพร้อมการยืนยันตัวตนที่แข็งแกร่งเป็นขั้นตอนพื้นฐาน ไม่ใช่สิ่งเสริม ผู้โจมตียังมีความซับซ้อนมากขึ้นในการกดดันเหยื่อหลังการละเมิด ซึ่งควรทำความเข้าใจในบริบทของมันเอง

ข้อสรุปที่นำไปปฏิบัติได้

• สมมติว่าเหตุการณ์แรนซัมแวร์ใด ๆ อาจเป็นการละเมิดข้อมูลด้วย และวางแผนการตอบสนองตามนั้น ไม่ใช่แค่รอบการกู้คืนไฟล์
• แบ่งส่วนเครือข่ายของคุณเพื่อให้อุปกรณ์หรือบัญชีเดียวที่ถูกบุกรุกไม่สามารถเข้าถึงทุกอย่างได้ โดยเฉพาะระบบสำรองข้อมูล
• กำหนดให้ใช้ VPN พร้อมการยืนยันตัวตนแบบหลายปัจจัยสำหรับการเชื่อมต่อระยะไกลใด ๆ ไปยังระบบภายใน และหลีกเลี่ยงการเปิดเผยโปรโตคอลการเข้าถึงระยะไกลโดยตรงสู่อินเทอร์เน็ต
• ตรวจสอบว่าคุณจัดเก็บข้อมูลที่ละเอียดอ่อนอะไรและที่ไหน และลบหรือเข้ารหัสสิ่งที่คุณไม่จำเป็นต้องใช้
• สร้างและซักซ้อมแผนรับมือเหตุการณ์ตอนนี้ รวมถึงอำนาจการตัดสินใจและขั้นตอนการสื่อสาร เพื่อที่คุณจะได้ไม่ต้องแก้ปัญหาเฉพาะหน้าระหว่างการโจมตีที่กำลังดำเนินอยู่
• อย่าถือว่าการจ่ายค่าไถ่เป็นเส้นทางการกู้คืนที่เชื่อถือได้ ไม่มีสัญญาที่บังคับให้ผู้โจมตีลบข้อมูลที่ถูกขโมยหรือให้การถอดรหัสที่ใช้งานได้ และการจ่ายเงินไม่รับประกันว่าข้อมูลของคุณจะไม่ปรากฏขึ้นอีกในภายหลัง