ปฏิบัติการร่วมสกัดกั้นราชาแรนซัมแวร์

สหภาพยุโรปได้ออกมาตรการคว่ำบาตรอย่างเป็นทางการต่อบุคคลที่รู้จักในโลกออนไลน์ในชื่อ "สเติร์น" ซึ่งถูกระบุว่าเป็นผู้ดูแลระบบเบื้องหลังปฏิบัติการแรนซัมแวร์ Trickbot จากข้อมูลของบริษัทวิเคราะห์บล็อกเชน Chainalysis เครือข่ายของสเติร์นได้รวบรวมค่าไถ่มากกว่า 300 ล้านดอลลาร์สหรัฐ ทำให้การคว่ำบาตรครั้งนี้เป็นหนึ่งในปฏิบัติการคว่ำบาตรอาชญากรรมไซเบอร์ที่สำคัญที่สุดในช่วงที่ผ่านมา การเคลื่อนไหวดังกล่าวเกิดขึ้นพร้อมกับการคว่ำบาตรคู่ขนานจากสหรัฐอเมริกาและสหราชอาณาจักร ซึ่งเป็นส่วนหนึ่งของความพยายามประสานงานในวงกว้างเพื่อเป้าหมายโครงสร้างพื้นฐานที่ทำให้แรนซัมแวร์ยังคงทำกำไรได้

บทบาทของสเติร์นไม่ใช่มือแฮ็กเดี่ยวที่เจาะระบบเครือข่าย แต่รายงานข่าวระบุว่าบุคคลนี้ปฏิบัติตัวเสมือนผู้บริหาร ที่จัดการองค์กรอาชญากรรมซึ่งสร้างและขายไลเซนส์มัลแวร์ Trickbot ที่ใช้โจมตีเหยื่อทั่วโลก ตัว Trickbot มีประวัติยาวนานในฐานะเครื่องมือฐานรากในระบบนิเวศของแรนซัมแวร์ โดยมักทำหน้าที่เป็นจุดเริ่มต้นการเข้าถึงครั้งแรกที่เปิดทางให้มีการปล่อยแรนซัมแวร์ที่ทำลายล้างรุนแรงขึ้นในภายหลัง ต่อโรงพยาบาล ธุรกิจ และหน่วยงานรัฐ

เหตุใดการคว่ำบาตรจึงสำคัญต่อการบังคับใช้มาตรการคว่ำบาตรแรนซัมแวร์

การคว่ำบาตรทำงานแตกต่างจากการจับกุมหรือการฟ้องร้อง แทนที่จะมุ่งเน้นการส่งผู้ร้ายข้ามแดน (ซึ่งมักเป็นไปไม่ได้เมื่อผู้ต้องสงสัยปฏิบัติการจากประเทศที่ไม่มีข้อตกลงความร่วมมือทางกฎหมาย) การคว่ำบาตรจะอายัดการเข้าถึงทางการเงินและทำให้ธุรกรรมใดๆ กับบุคคลที่ถูกขึ้นบัญชีหรือกระเป๋าสกุลเงินดิจิทัลที่เกี่ยวข้องเป็นสิ่งผิดกฎหมาย สำหรับบุคคลอย่างสเติร์น อาณาจักรของเขาพึ่งพาการไหลเวียนของเงินคริปโทเคอร์เรนซี่ผ่านตลาดแลกเปลี่ยนและบริการมิกเซอร์ สิ่งนี้สามารถขัดขวางกระแสเงินสดได้อย่างมีนัยสำคัญแม้จะไม่มีการตัดสินโทษในศาล

การดำเนินการคว่ำบาตรแรนซัมแวร์ในลักษณะนี้ยังส่งสัญญาณไปยังธุรกิจที่อำนวยความสะดวกในการจ่ายค่าไถ่ บริษัทประกันไซเบอร์ บริษัทตอบสนองต่อเหตุการณ์ และผู้เจรจาที่องค์กรว่าจ้างระหว่างถูกโจมตี ขณะนี้ต้องเผชิญกับความเสี่ยงทางกฎหมายหากพวกเขาส่งต่อเงินไปยังนิติบุคคลที่ถูกคว่ำบาตรโดยรู้เท่าทัน ความจริงข้อนี้ได้เปลี่ยนโฉมการเจรจาค่าไถ่ที่เกิดขึ้นเบื้องหลังแล้ว ดังที่เราได้รายงานโดยละเอียดในบทความเรื่อง ผู้เจรจาค่าไถ่ของ BlackCat ที่ทรยศลูกค้าตัวเอง ซึ่งแรงจูงใจเกี่ยวกับการจ่ายค่าไถ่มีความคลุมเครือเกินกว่าที่เหยื่อคาดไว้

กรณีของ Trickbot ยังชี้ให้เห็นว่าแรนซัมแวร์ได้พัฒนาเป็นโมเดลธุรกิจซ้อนชั้นอย่างไร กลุ่มอย่าง Stormous ซึ่งเพิ่งอ้างความรับผิดชอบกรณี รั่วไหลข้อมูล 10GB จากเครือข่ายโบสถ์ในเนเธอร์แลนด์ มักพึ่งพานายหน้าขายสิทธิ์การเข้าถึงและโครงสร้างพื้นฐานมัลแวร์แบบบริการ คล้ายกับสิ่งที่ Trickbot เคยให้บริการ การคว่ำบาตรผู้ดำเนินการโครงสร้างพื้นฐาน ไม่ใช่เพียงชื่อแบรนด์แรนซัมแวร์ จึงเป็นความพยายามในการตัดห่วงโซ่อุปทานที่กลุ่มเล็กๆ เหล่านี้พึ่งพา

ผลกระทบด้านความเป็นส่วนตัวต่อผู้ใช้ทั่วไป

ในขณะที่มาตรการคว่ำบาตรมุ่งเป้าไปที่บุคคลใดบุคคลหนึ่ง ผลกระทบด้านความเป็นส่วนตัวกลับกระจายออกไปถึงใครก็ตามที่ข้อมูลส่วนบุคคลเคยผ่านเครือข่ายที่ Trickbot ช่วยเจาะระบบ ปฏิบัติการแรนซัมแวร์มักขโมยข้อมูลสำคัญออกมาก่อนเข้ารหัสระบบ และข้อมูลที่ถูกขโมยเหล่านั้นไม่ได้หายไปเมื่อมีการประกาศคว่ำบาตร ผู้ให้บริการด้านการดูแลสุขภาพได้รับผลกระทบอย่างหนักจากรูปแบบนี้ ดังที่เห็นเมื่อ HSE ของไอร์แลนด์ถูกปรับ 300,000 ยูโร หลังจากแรนซัมแวร์โจมตีโรงพยาบาล Tullamore ซึ่งทำให้ข้อมูลผู้ป่วยรั่วไหลออกมาในกระบวนการ

ผู้ดำเนินการแรนซัมแวร์ยังพึ่งพาเครื่องมือปกปิดตัวตนที่สร้างขึ้นสำหรับการใช้งานทางอาญาโดยเฉพาะ ซึ่งแตกต่างจากบริการ VPN สำหรับผู้บริโภคที่ถูกกฎหมาย หน่วยงานบังคับใช้กฎหมายได้เริ่มมุ่งเป้าไปที่โครงสร้างพื้นฐานเหล่านั้นโดยตรง ดังที่เห็นในการปิดเซิร์ฟเวอร์ซึ่งเรารายงานไว้ในบทความ Europol ยึดเซิร์ฟเวอร์ 33 เครื่องที่เชื่อมโยงกับบริการ VPN อาชญากรรม ปฏิบัติการเหล่านี้เน้นย้ำความแตกต่างที่สำคัญ: เครื่องมือความเป็นส่วนตัวที่ออกแบบมาสำหรับผู้ใช้ทั่วไปนั้นไม่เหมือนกับโครงสร้างพื้นฐานทางอาญาที่สร้างขึ้นเพื่อจุดประสงค์เฉพาะ และหน่วยงานกำกับดูแลก็เริ่มขีดเส้นแบ่งนั้นอย่างชัดเจนมากขึ้น

สิ่งนี้มีความหมายต่อคุณอย่างไร

สำหรับผู้อ่านส่วนใหญ่ การคว่ำบาตรสเติร์นจะไม่เปลี่ยนแปลงชีวิตประจำวันโดยตรง แต่มันสะท้อนความจริงที่ใหญ่กว่า: แรนซัมแวร์ไม่ใช่ภัยคุกคามนามธรรมที่ไกลตัว มันเป็นอุตสาหกรรมที่แสวงหากำไร มีผู้บริหาร ห่วงโซ่อุปทาน และแรงจูงใจทางการเงิน เช่นเดียวกับธุรกิจอื่นๆ เมื่อธุรกิจนั้นสัมผัสกับโรงพยาบาล โรงเรียน หรือบริษัทที่เก็บรักษาบันทึกส่วนตัวของคุณ ผลลัพธ์ก็ตกอยู่กับคนทั่วไป ไม่ใช่แค่แผนกไอที

หากคุณได้รับจดหมายแจ้งเตือนการละเมิดข้อมูลในช่วงไม่กี่ปีที่ผ่านมา โดยเฉพาะจากผู้ให้บริการด้านสุขภาพ สถาบันการเงิน หรือหน่วยงานรัฐ ก็มีความเป็นไปได้จริงว่าการโจมตีต้นตอโยงกลับไปหาโครงสร้างพื้นฐานที่คล้ายกับสิ่งที่สเติร์นถูกกล่าวหาว่าสร้างขึ้น นั่นเป็นเหตุผลที่ดีที่จะเฝ้าระวังว่าข้อมูลของคุณอยู่ที่ไหนและได้รับการปกป้องอย่างไร

ข้อปฏิบัติที่นำไปปรับใช้ได้

  • ติดตามจดหมายแจ้งเตือนการละเมิดข้อมูลอย่างใกล้ชิด โดยเฉพาะจากผู้ให้บริการด้านสุขภาพและการเงิน และลงทะเบียนรับบริการตรวจสอบเครดิตใดๆ ที่เสนอ
  • ใช้รหัสผ่านที่คาดเดายากและไม่ซ้ำกัน และเปิดใช้งานการยืนยันตัวตนหลายปัจจัยในทุกที่ที่ทำได้ เนื่องจากการขโมยข้อมูลประจำตัวมักเป็นขั้นตอนแรกในการบุกรุกแรนซัมแวร์
  • จงระแวงต่ออีเมลและไฟล์แนบที่ไม่ได้ร้องขอ เนื่องจาก Trickbot และตระกูลมัลแวร์ที่คล้ายคลึงกันในอดีตมักแพร่กระจายผ่านแคมเปญฟิชชิง
  • เข้าใจความแตกต่างระหว่างเครื่องมือความเป็นส่วนตัวที่มีชื่อเสียงและบริการปกปิดตัวตนระดับอาชญากรรม เมื่อค้นคว้าผลิตภัณฑ์ VPN หรือความปลอดภัย

มาตรการคว่ำบาตรสเติร์นจะไม่ยุติแรนซัมแวร์ในชั่วข้ามคืน แต่มันเป็นเครื่องหมายของการยกระดับที่มีความหมายในวิธีที่รัฐบาลต่างๆ กำลังตัดเส้นเลือดทางการเงินที่ทำให้ปฏิบัติการเหล่านี้ทำกำไรได้ตั้งแต่แรก