บริษัทยักษ์ใหญ่ด้านพลังงานของรัฐโคลอมเบียยืนยันการโจรกรรมข้อมูล

เอโคเปโตรล บริษัทพลังงานรายใหญ่ที่สุดของโคลอมเบียและบริษัทจดทะเบียนในตลาดหลักทรัพย์นิวยอร์ก (NYSE: EC) ได้ยืนยันว่าตกเป็นเป้าหมายของความพยายามโจมตีด้วยแรนซัมแวร์ ซึ่งส่งผลให้ข้อมูลที่เชื่อมโยงกับบัญชีผู้ใช้ประมาณ 3,300 บัญชีถูกโจรกรรมไป ตามรายงานข่าว ผู้ไม่ประสงค์ดีที่ไม่สามารถระบุตัวตนได้เข้าถึงโครงสร้างพื้นฐานด้านไอทีของบริษัทและดูดข้อมูลที่ใช้นามแฝงออกไปก่อนที่การโจมตีจะถูกยับยั้งไว้ได้

มีรายงานว่าการบุกรุกเข้าถึงระบบจัดเก็บข้อมูลบนคลาวด์ที่เชื่อมต่อกับบริษัทย่อยของเอโคเปโตรลประมาณ 15 แห่ง ซึ่งบ่งชี้ว่าผู้โจมตีได้เคลื่อนย้ายออกนอกจุดเข้าถึงเพียงจุดเดียวก่อนที่จะถูกตรวจพบ ที่น่าสังเกตคือ แม้ผู้โจมตีจะพยายามปล่อยตัวเข้ารหัสของแรนซัมแวร์ แต่มาตรการรักษาความปลอดภัยของบริษัทดูเหมือนจะสามารถป้องกันไม่ให้ขั้นตอนสุดท้ายของการโจมตีนั้นสำเร็จได้ อย่างไรก็ตาม การโจรกรรมข้อมูลได้เกิดขึ้นไปแล้วก่อนหน้านั้น

ความหมายที่แท้จริงของข้อมูลแบบ 'นามแฝง'

รายละเอียดหนึ่งที่สมควรขยายความให้ผู้อ่านเข้าใจคือคำว่า "นามแฝง" (pseudonymous) ซึ่งแตกต่างจากข้อมูลที่ทำให้ไม่สามารถระบุตัวตนได้ (anonymized data) ซึ่งจะลบรายละเอียดที่ใช้ระบุตัวตนออกไปทั้งหมด ข้อมูลแบบนามแฝงจะแทนที่สิ่งบ่งชี้โดยตรง (เช่น ชื่อหรือหมายเลขบัญชี) ด้วยค่าทดแทนหรือโทเค็น ข้อเสียคือข้อมูลแบบนามแฝงมักจะสามารถเชื่อมโยงกลับไปยังบุคคลจริงได้ หากผู้โจมตีได้รับหรือมีคีย์อ้างอิงหรือข้อมูลเสริมที่เพียงพออยู่แล้ว

เรื่องนี้สำคัญเพราะการรั่วไหลที่เกี่ยวข้องกับบันทึกข้อมูลแบบ "นามแฝง" ไม่ใช่เหตุการณ์ที่มีความเสี่ยงต่ำโดยอัตโนมัติ มันขึ้นอยู่กับอย่างมากว่าผู้ไม่ประสงค์ดีเข้าถึงสิ่งอื่นใดได้อีก และข้อเรียกร้องในการกรรโชกทรัพย์มีพื้นฐานมาจากความสามารถที่แท้จริงในการเปิดเผยตัวตนจริงหรือไม่ มีรายงานว่าเอโคเปโตรลได้รับข้อเรียกร้องในการกรรโชกทรัพย์ที่เชื่อมโยงกับเหตุการณ์นี้ ซึ่งเป็นกลยุทธ์ที่พบบ่อย แม้ว่าข้อมูลที่ถูกโจรกรรมไปนั้นอาจไม่สามารถระบุตัวตนได้โดยบุคคลภายนอกในทันทีก็ตาม

กลุ่มแรนซัมแวร์พึ่งพาแรงกดดันแบบสองทางนี้มากขึ้นเรื่อย ๆ: เข้ารหัสทุกอย่างที่ทำได้ และโจรกรรมข้อมูลเพื่อใช้เป็นอำนาจต่อรอง แม้ว่าการเข้ารหัสจะล้มเหลวก็ตาม ซึ่งสอดคล้องกับสิ่งที่กำลังถูกอธิบายไว้ที่นี่ ผู้โจมตีไม่สามารถล็อคระบบของเอโคเปโตรลได้ แต่พวกเขาก็ยังเดินออกไปพร้อมกับบางสิ่งที่ใช้ข่มขู่บริษัทได้

เหตุใดความเร็วและการตรวจจับจึงสำคัญกว่าที่เคย

ข้อเท็จจริงที่ว่าการป้องกันของเอโคเปโตรลหยุดการปล่อยเพย์โหลดของแรนซัมแวร์ได้นั้นเป็นรายละเอียดที่มีความหมาย ไม่ใช่แค่หมายเหตุท้ายเรื่อง มันบ่งชี้ถึงการผสมผสานบางอย่างระหว่างการป้องกันปลายทาง การแบ่งส่วนเครือข่าย หรือการเฝ้าติดตามที่ตรวจพบกิจกรรมก่อนที่การเข้ารหัสจะแพร่กระจายได้ นั่นเป็นผลลัพธ์ที่แตกต่างอย่างแท้จริงจากเหตุการณ์ที่ผู้โจมตีสามารถเข้ารหัสได้อย่างสมบูรณ์ภายในไม่กี่ชั่วโมงหลังจากเข้าถึงครั้งแรก ซึ่งเป็นรูปแบบที่พบในแคมเปญแรนซัมแวร์อื่น ๆ ที่เกิดขึ้นเมื่อไม่นานมานี้ สำหรับบริบทเพิ่มเติม แรนซัมแวร์ Spirals ได้รับความสนใจจากการเข้ารหัสเหยื่อภายในเวลาไม่ถึง 24 ชั่วโมง ซึ่งแสดงให้เห็นว่าบางครั้งฝ่ายป้องกันมีเวลาน้อยเพียงใดระหว่างการบุกรุกครั้งแรกและวิกฤตการณ์เต็มรูปแบบ

กรณีของเอโคเปโตรลเป็นเครื่องเตือนใจว่าแม้จะหลีกเลี่ยงสถานการณ์ที่เลวร้ายที่สุด (การเข้ารหัสสมบูรณ์, การหยุดดำเนินงาน) ได้ การดูดข้อมูลออกไปเพียงอย่างเดียวก็ยังสามารถก่อให้เกิดการตรวจสอบจากหน่วยงานกำกับดูแล ข้อเรียกร้องในการกรรโชกทรัพย์ และผลกระทบด้านชื่อเสียงได้ ในฐานะผู้ดำเนินการโครงสร้างพื้นฐานที่สำคัญในภาคพลังงาน เหตุการณ์ของเอโคเปโตรลยังตอกย้ำว่าเหตุใดบริษัทพลังงานจึงยังคงเป็นเป้าหมายที่มีมูลค่าสูง: พวกเขามีฐานผู้ใช้ขนาดใหญ่ ข้อมูลการดำเนินงานที่มีค่า และภาพลักษณ์สาธารณะที่ทำให้ภัยคุกคามในการกรรโชกทรัพย์มีความน่าเชื่อถือในการใช้เป็นอำนาจต่อรองมากขึ้น

สิ่งที่เหตุการณ์นี้หมายถึงสำหรับคุณ

หากคุณเป็นลูกค้า พนักงาน ผู้รับเหมา หรือหุ้นส่วนที่มีบัญชีกับเอโคเปโตรล เหตุการณ์นี้ควรค่าแก่การให้ความสำคัญอย่างจริงจัง แม้ว่ารายละเอียดทั้งหมดเกี่ยวกับฟิลด์ข้อมูลเฉพาะที่ถูกเปิดเผยจะยังไม่ได้รับการยืนยันก็ตาม นามแฝงไม่ได้หมายความว่ามองไม่เห็น และความพยายามในการกรรโชกทรัพย์ที่เชื่อมโยงกับข้อมูลที่ถูกโจรกรรมสามารถบานปลายได้หากผู้โจมตีเผยแพร่ตัวอย่างหรือชุดข้อมูลทั้งหมดเพื่อกดดันให้จ่ายเงิน

ในมุมกว้างกว่านั้น เหตุการณ์นี้เป็นกรณีศึกษาที่มีประโยชน์สำหรับทุกคนที่จัดการบัญชีกับองค์กรขนาดใหญ่ ไม่ว่าจะเป็นผู้ให้บริการพลังงาน ธนาคาร หรือแพลตฟอร์มบริการต่าง ๆ การรั่วไหลที่เกี่ยวข้องกับข้อมูลแบบ "นามแฝง" หรือข้อมูลที่ถูกทำให้ไม่สามารถระบุตัวตนได้บางส่วนกำลังกลายเป็นเรื่องปกติมากขึ้นในขณะที่บริษัทต่าง ๆ นำแนวปฏิบัติด้านสุขอนามัยข้อมูลที่ดีขึ้นมาใช้ แต่นั่นไม่ได้ขจัดความเสี่ยง มันเพียงเปลี่ยนการคำนวณความเสี่ยงแทนที่จะขจัดมันออกไป

ข้อปฏิบัติที่นำไปใช้ได้

หากคุณมีความสัมพันธ์ใด ๆ กับเอโคเปโตรลหรือบริษัทย่อยของบริษัท โปรดพิจารณาขั้นตอนต่อไปนี้:

  • จับตาดูการสื่อสารอย่างเป็นทางการจากเอโคเปโตรลว่าบัญชีของคุณอยู่ในกลุ่ม 3,300 บัญชีที่ได้รับผลกระทบหรือไม่ และปฏิบัติตามคำแนะนำใด ๆ ที่พวกเขาออกมา
  • เปลี่ยนรหัสผ่านที่เชื่อมโยงกับบัญชีเอโคเปโตรล โดยเฉพาะอย่างยิ่งหากรหัสผ่านนั้นถูกนำกลับมาใช้ซ้ำที่อื่น และเปิดใช้งานการยืนยันตัวตนหลายปัจจัยเมื่อมีให้บริการ
  • ระมัดระวังความพยายามในการฟิชชิ่งที่อาจตามมา เนื่องจากข้อมูลบัญชีที่ถูกโจรกรรมมักถูกใช้เพื่อสร้างอีเมลหรือการโทรศัพท์หลอกลวงที่น่าเชื่อถือซึ่งอ้างอิงรายละเอียดบัญชีจริง
  • เฝ้าติดตามกิจกรรมที่ผิดปกติในบัญชีทางการเงินหรือสาธารณูปโภคใด ๆ ที่เชื่อมโยงกับข้อมูลประจำตัวที่ได้รับผลกระทบ

การยืนยันของเอโคเปโตรลว่าการปล่อยแรนซัมแวร์ล้มเหลวนั้นเป็นข้อดีเล็กน้อย แต่การโจรกรรมข้อมูลเองคือส่วนที่ลูกค้าและหน่วยงานกำกับดูแลจะจับตามองอย่างใกล้ชิดในอีกไม่กี่สัปดาห์ข้างหน้า ในขณะที่มีรายละเอียดเพิ่มเติมเกี่ยวกับขอบเขตของข้อมูลที่ถูกดูดออกไปปรากฏออกมา การติดตามการอัปเดตอย่างเป็นทางการยังคงเป็นขั้นตอนที่นำไปใช้ได้จริงที่สุดที่ใครก็ตามที่เชื่อมโยงกับบริษัทสามารถทำได้ในตอนนี้