แรนซัมแวร์เคยมีบทเล่นที่เรียบง่าย แม้จะโหดร้าย กล่าวคือ ผู้โจมตีเข้ารหัสไฟล์และเรียกร้องค่าไถ่เพื่อแลกกับคีย์ถอดรหัส จ่ายเงินแล้วเรื่องก็จบ รูปแบบนั้นเปลี่ยนไปแล้ว กลุ่มแรนซัมแวร์สมัยใหม่หันมาขโมยสำเนาข้อมูลของคุณก่อนที่จะเริ่มกระบวนการเข้ารหัสเสียอีก จากนั้นข่มขู่ว่าจะเผยแพร่ข้อมูลไม่ว่าคุณจะจ่ายค่าไถ่หรือไม่ นักวิจัยด้านความปลอดภัยเรียกสิ่งนี้ว่า การกรรโชกซ้ำซ้อน (double extortion) และมันหมายความว่าการกู้คืนไม่ใช่แค่เรื่องของการกู้ไฟล์กลับมาเท่านั้น แต่เป็นการตั้งสมมติฐานว่าข้อมูลของคุณได้ออกไปนอกอาคารแล้ว
ทำไมแรนซัมแวร์สมัยใหม่จึงขโมยข้อมูลก่อนเข้ารหัส
การเข้ารหัสเพียงอย่างเดียวสูญเสียพลังต่อรองไปเมื่อองค์กรต่างๆ จริงจังกับการสำรองข้อมูล หากเหยื่อสามารถกู้คืนจากแบ็กอัปออฟไลน์ได้ง่ายๆ การจ่ายค่าไถ่เพื่อแลกกับคีย์ถอดรหัสก็ไม่สมเหตุสมผลอีกต่อไป ผู้โจมตีจึงปรับตัวโดยเพิ่มจุดกดดันที่สอง นั่นคือการขโมยไฟล์ละเอียดอ่อนออกไปก่อน แม้แต่บริษัทที่มีแบ็กอัปสมบูรณ์แบบก็ยังต้องเผชิญภัยคุกคามที่ข้อมูลลูกค้า เอกสารทางการเงิน หรือข้อมูลสุขภาพที่ถูกขโมยไปจะถูกเผยแพร่ต่อสาธารณะหรือขายให้กลุ่มอาชญากรอื่น
การเปลี่ยนแปลงนี้เห็นได้ชัดเป็นพิเศษในภาคสุขภาพและการเงิน ซึ่งตัวข้อมูลเอง ไม่ใช่แค่ระบบที่ยังทำงานอยู่ คือรางวัลที่แท้จริง เหตุการณ์ที่เกี่ยวข้องกับการเปิดเผยข้อมูลสุขภาพของ ChipSoft, การละเมิดข้อมูลของ DentaQuest ที่กระทบผู้ป่วยหลายล้านคน และการละเมิดข้อมูลของ McKesson ที่เชื่อมโยงกับกลุ่มกรรโชก ShinyHunters ล้วนแสดงให้เห็นว่าผู้โจมตีมองข้อมูลที่ขโมยมาเป็นเครื่องมือต่อรองที่แยกต่างหากจากการเข้ารหัส การจ่ายเงินเพื่อปลดล็อกไฟล์ไม่ได้รับประกันอีกต่อไปว่าข้อมูลจะไม่ปรากฏในภายหลัง
5 ขั้นตอนทางนิติวิทยาศาสตร์ที่ต้องทำในชั่วโมงแรกหลังการโจมตี
เมื่อพบแรนซัมแวร์ หกสิบ minut แรกมีความสำคัญมากกว่าเกือบทุกขั้นตอนของเหตุการณ์ การกระทำที่เกิดจากความตื่นตระหนก เช่น การปิดเครื่องทุกเครื่องทันที สามารถทำลายหลักฐานที่จำเป็นสำหรับการทำความเข้าใจว่าเกิดอะไรขึ้นจริง แทนที่จะทำเช่นนั้น:
- แยกเครื่อง ไม่ใช่ปิดเครื่อง ตัดการเชื่อมต่ออุปกรณ์ที่ได้รับผลกระทบออกจากเครือข่าย (ถอดสายอีเทอร์เน็ต ปิด Wi-Fi) แทนที่จะปิดเครื่อง การปิดเครื่องสามารถลบข้อมูลในหน่วยความจำชั่วคราวที่มีเบาะแสว่าผู้โจมตีเข้ามาได้อย่างไรและเข้าถึงอะไรบ้าง
- เก็บรักษาบันทึกทันที บันทึกไฟร์วอลล์ บันทึกการเข้าถึง VPN และบันทึกการตรวจจับปลายทางมักเป็นสิ่งแรกที่ผู้โจมตีพยายามลบ ส่งออกหรือสำรองบันทึกเหล่านี้ก่อนทำสิ่งอื่นใด
- ระบุจุดเข้า ตรวจหาสัญญาณของอีเมลฟิชชิง พอร์ตรีโมตเดสก์ท็อปที่เปิดเผย หรือข้อมูลรับรองที่ถูกบุกรุก การรู้เวกเตอร์การเข้าถึงเริ่มต้นจะกำหนดทุกการตัดสินใจที่ตามมา
- พิจารณาว่าข้อมูลใดถูกแตะต้อง ไม่ใช่แค่ถูกเข้ารหัส มองหาการถ่ายโอนข้อมูลออกที่ผิดปกติในช่วงหลายชั่วโมงหรือหลายวันก่อนการเข้ารหัสเริ่มต้น การถ่ายโอนไฟล์ขนาดใหญ่ไปยังที่อยู่ IP ภายนอกที่ไม่คุ้นเคยเป็นสัญญาณแรงที่บ่งชี้ว่ามีการขโมยข้อมูลออกไป
- ว่าจ้างผู้เชี่ยวชาญด้านนิติวิทยาศาสตร์หรือทีมตอบสนองเหตุการณ์ตั้งแต่เนิ่นๆ แม้สำหรับธุรกิจขนาดเล็ก ผู้เชี่ยวชาญที่สามารถบันทึกไทม์ไลน์ได้อย่างถูกต้องเป็นสิ่งสำคัญสำหรับวัตถุประสงค์ทางกฎหมาย กฎระเบียบ และการประกันภัย
การดำเนินการอย่างเป็นระบบในช่วงเวลานี้ไม่เพียงช่วยจำกัดวงเท่านั้น แต่ยังกำหนดว่าคุณจะสามารถพิสูจน์ได้ในภายหลังว่าอะไรถูกขโมยและอะไรไม่ถูก ซึ่งมีความสำคัญอย่างมหาศาลต่อพันธะในการแจ้งเตือนและแถลงการณ์ต่อสาธารณะ
วิธีสังเกตว่ามีการขโมยข้อมูลประเภทใดเกิดขึ้น
ไม่ใช่ทุกเหตุการณ์แรนซัมแวร์ที่เกี่ยวข้องกับการขโมยข้อมูล และไม่ใช่ทุกการขโมยข้อมูลที่เกี่ยวข้องกับการเข้ารหัส การแยกแยะระหว่างทั้งสองต้องดูหลักฐานเฉพาะ:
- การโจมตีแบบเข้ารหัสอย่างเดียว ทำให้ไฟล์ถูกล็อกแต่ไม่แสดงสัญญาณของการถ่ายโอนออกขนาดใหญ่ในบันทึกเครือข่าย ข้อความเรียกค่าไถ่มักอ้างถึงเพียงการถอดรหัส ไม่ใช่การเผยแพร่
- การโจมตีแบบกรรโชกซ้ำซ้อน แสดงทั้งไฟล์ที่ถูกเข้ารหัสและหลักฐานของการเตรียมข้อมูล เช่น ไฟล์บีบอัดที่สร้างขึ้นไม่นานก่อนการโจมตี หรือการยืนยันตัวตนที่ผิดปกติจากเครื่องมือขโมยข้อมูล ข้อความเรียกค่าไถ่มักขู่ว่าจะรั่วข้อมูลบนเว็บไซต์เผยแพร่ข้อมูลโดยเฉพาะ
- การขโมยข้อมูลล้วนๆ (ไม่มีการเข้ารหัส) พบมากขึ้นเรื่อยๆ ด้วยตัวเอง โดยเฉพาะต่อฐานข้อมูลคลาวด์และแพลตฟอร์ม SaaS ในกรณีนี้ ระบบยังทำงานปกติ แต่ผู้โจมตีคัดลอกบันทึกอย่างเงียบๆ และภายหลังเรียกร้องเงินเพื่อป้องกันการเผยแพร่ การรั่วไหล 700GB บนดาร์กเว็บที่กระทบ Bank of Baroda และการละเมิดข้อมูลของ Veradigm ที่กลุ่มแรนซัมแวร์ Gentlemen อ้างความรับผิดชอบ ล้วนแสดงให้เห็นว่าข้อเรียกร้องเรื่องการขโมยข้อมูลสามารถเกิดขึ้นได้แม้การหยุดชะงักของการดำเนินงานจะน้อยมาก
การแยกแยะระหว่างสถานการณ์เหล่านี้ตั้งแต่เนิ่นๆ ช่วยให้องค์กรปรับเทียบการตอบสนองได้ ตั้งแต่ไทม์ไลน์การแจ้งเตือนการละเมิดไปจนถึงวิธีสื่อสารกับลูกค้าที่ได้รับผลกระทบ
ชั้นการป้องกันที่ลดความเสี่ยง: การเข้ารหัส VPN และการตรวจสอบ
เมื่อพิจารณาว่าแรนซัมแวร์แบบกรรโชกซ้ำซ้อนตั้งสมมติฐานว่าข้อมูลจะถูกเปิดเผยไม่ว่าอย่างไร การป้องกันที่มีประสิทธิผลที่สุดคือการลดสิ่งที่สามารถถูกเปิดเผยได้ตั้งแต่แรก การเข้ารหัสข้อมูลละเอียดอ่อนที่จัดเก็บไว้หมายความว่าแม้ผู้โจมตีจะขโมยไฟล์ออกไป เนื้อหาก็ยังอ่านไม่ได้หากไม่มีคีย์แยกต่างหาก การใช้ VPN สำหรับการเข้าถึงระยะไกลปิดจุดเข้าที่พบบ่อยที่สุดจุดหนึ่ง นั่นคือรีโมตเดสก์ท็อปและเกตเวย์ VPN ที่เปิดเผยซึ่งมีข้อมูลรับรองที่อ่อนแอหรือใช้ซ้ำ ซึ่งผู้โจมตีสแกนหาและใช้ประโยชน์เป็นประจำ การตรวจสอบเครือข่ายอย่างต่อเนื่องที่ตั้งสัญญาณเตือนปริมาณข้อมูลขาออกที่ผิดปกติยังสามารถจับการขโมยข้อมูลที่กำลังเกิดขึ้นได้ ก่อนที่การเข้ารหัสจะเริ่มต้นเสียอีก
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
หากคุณดำเนินธุรกิจขนาดเล็กหรือดูแลไอทีให้ธุรกิจหนึ่ง การรับมือแรนซัมแวร์แบบกรรโชกซ้ำซ้อนไม่สามารถเริ่มต้นเมื่อข้อความเรียกค่าไถ่ปรากฏขึ้น มันเริ่มต้นด้วยสุขอนามัยพื้นฐาน: แบ็กอัปที่เข้ารหัสและจัดเก็บแบบออฟไลน์ การเข้าถึง VPN ที่ถูกตรวจสอบแทนพอร์ตรีโมตเดสก์ท็อปที่เปิดเผย และแผนเหตุการณ์ที่เป็นลายลักษณ์อักษรที่ระบุว่าใครโทรหาใครในชั่วโมงแรก สำหรับผู้บริโภคที่ข้อมูลอยู่กับผู้ให้บริการสุขภาพ ธนาคาร หรือผู้บริหารผลประโยชน์ สิ่งที่ควรนำไปปฏิบัติคือความระมัดระวังหลังการแจ้งเตือนการละเมิด เนื่องจากข้อมูลที่ถูกขโมยสามารถปรากฏขึ้นได้แม้บริษัทจะยืนยันว่าสถานการณ์ค่าไถ่ได้รับการแก้ไขแล้ว
สิ่งที่ควรนำไปปฏิบัติ
- ตั้งสมมติฐานว่าเหตุการณ์แรนซัมแวร์ใดๆ อาจเกี่ยวข้องกับการขโมยข้อมูล ไม่ใช่แค่การเข้ารหัส จนกว่าหลักฐานทางนิติวิทยาศาสตร์จะพิสูจน์เป็นอย่างอื่น
- ในชั่วโมงแรก แยกระบบโดยไม่ปิดเครื่อง และเก็บรักษาบันทึกก่อนที่จะถูกแก้ไขหรือลบ
- เข้ารหัสข้อมูลละเอียดอ่อนที่จัดเก็บไว้ เพื่อให้ไฟล์ที่ถูกขโมยออกไปมีมูลค่าน้อยลงสำหรับผู้โจมตีแม้ถูกขโมย
- รักษาความปลอดภัยการเข้าถึงระยะไกลด้วย VPN ที่กำหนดค่าอย่างเหมาะสมแทนโปรโตคอลรีโมตเดสก์ท็อปที่เปิดเผย
- จับตาดูการแจ้งเตือนการละเมิดจากผู้ให้บริการที่คุณใช้ และปฏิบัติต่อมันอย่างจริงจังแม้องค์กรจะอ้างว่าสถานการณ์ค่าไถ่ถูกควบคุมแล้ว
การกรรโชกซ้ำซ้อนได้เปลี่ยนความหมายของคำว่า "กู้คืน" จากแรนซัมแวร์ การจ่ายเงินไม่ได้รับประกันว่าข้อมูลของคุณจะเป็นความลับ และการrefuseจ่ายก็ไม่ได้หมายความว่ามันจะหายไป องค์กรและบุคคลที่อยู่ในตำแหน่งที่ดีที่สุดในการรับมือกับการโจมตีเหล่านี้คือผู้ที่ปฏิบัติต่อการปกป้องข้อมูลเป็นนิสัยประจำวันมานานก่อนที่ผู้โจมตีจะเข้ามา
