สิ่งที่ Everest Ransomware อ้างเกี่ยวกับ Capgemini Engineering

กลุ่มแรนซัมแวร์ Everest เพิ่มชื่อ Capgemini Engineering ลงในเว็บไซต์เผยแพร่ข้อมูลที่ขโมยมา โดยเปิดเผยต่อสาธารณะว่าผู้ให้บริการด้านวิศวกรรมและเทคโนโลยีรายนี้ตกเป็นเหยื่อ ตามปกติของการประกาศลักษณะนี้ ข้อมูลดังกล่าวถูกโพสต์โดยไม่มีหลักฐานที่สามารถตรวจสอบได้โดยอิสระ ไม่มีตัวอย่างไฟล์ที่ถูกขโมยที่ได้รับการยืนยัน ไม่มีหลักฐานว่าระบบภายในถูกเข้ารหัส และไม่มีการยอมรับจาก Capgemini Engineering เองในขณะที่รายงาน

นี่คือวิธีการทำงานของการประกาศรายชื่อของกลุ่มแรนซัมแวร์ส่วนใหญ่ ชื่อของบริษัทปรากฏบนเว็บไซต์เผยแพร่ข้อมูลบนดาร์กเว็บ บางครั้งมีตัวจับเวลาถอยหลังหรือคำอธิบายคลุมเครือเกี่ยวกับ "ข้อมูลที่ถูกขโมย" และเรื่องราวที่เหลือก็ปล่อยให้เป็นการคาดเดาจนกว่าบริษัทจะยืนยันเหตุการณ์หรือกลุ่มจะเผยแพร่หลักฐานเพื่อสนับสนุนการอ้างสิทธิ์ ในกรณีนี้ หลักฐานดังกล่าวยังไม่ปรากฏออกมา

ทำไมการอ้างสิทธิ์ดังกล่าวยังไม่ได้รับการยืนยัน

นักวิจัยด้านความมั่นคงปลอดภัยที่เฝ้าติดตามประกาศดังกล่าวไม่พบสัญญาณที่สนับสนุนว่าระบบของ Capgemini Engineering ถูกบุกรุก ไม่มีเหตุการณ์การเข้ารหัสที่ได้รับการยืนยัน ไม่มีตัวอย่างข้อมูลที่ตรวจสอบแล้ว และไม่มีแถลงการณ์จากบริษัทที่ยอมรับการละเมิด เครื่องมือติดตามภัยคุกคามที่บันทึกการอ้างสิทธิ์ของแรนซัมแวร์ได้ระบุว่ากรณีนี้มีแหล่งข้อมูลเดียว หมายความว่าข้อมูลทั้งหมดมาจากโพสต์บนเว็บไซต์เผยแพร่ข้อมูลของ Everest เอง ไม่ใช่จากการยืนยันโดยอิสระใดๆ

ความแตกต่างนี้มีความสำคัญ กลุ่มแรนซัมแวร์มักจะประกาศรายชื่อองค์กรเป็นกลยุทธ์กดดัน บางครั้งก่อนที่การบุกรุกจริงจะดำเนินการเสร็จสิ้น และบางครั้งก็ไม่เคยเจาะระบบบริษัทนั้นเลยแม้แต่น้อย การประกาศรายชื่อคือการอ้างสิทธิ์ ไม่ใช่เหตุการณ์ที่ได้รับการยืนยัน จนกว่า Capgemini Engineering หรือบุคคลที่สามที่เชื่อถือได้จะตรวจสอบรายละเอียด ท่าทีที่เหมาะสมคือการตั้งข้อสังเกตอย่างระมัดระวังมากกว่าการตื่นตระหนก

กลุ่มแรนซัมแวร์ใช้การรั่วไหลที่ไม่ได้รับการยืนยันเป็นกลยุทธ์กดดันอย่างไร

Everest ไม่ใช่กลุ่มเดียวที่พึ่งพาการประจานต่อสาธารณะเป็นเครื่องมือต่อรอง การประกาศชื่อบริษัทบนเว็บไซต์เผยแพร่ข้อมูลสร้างพาดหัวข่าว การรายงานข่าวของสื่อ และความกังวลด้านชื่อเสียงเป็นเวลานานก่อนที่ข้อมูลใดๆ จะได้รับการยืนยันหรือถูกเผยแพร่จริง ความสนใจนั้นเองอาจมีคุณค่าต่อผู้โจมตี เพราะเพิ่มแรงกดดันให้องค์กรที่ถูกประกาศชื่อจ่ายค่าไถ่อย่างเงียบๆ แทนที่จะเสี่ยงต่อการถูกตรวจสอบเป็นเวลานาน

รูปแบบนี้ปรากฏในกรณีอื่นๆ ที่เกี่ยวข้องกับกลุ่มเดียวกันเมื่อไม่นานมานี้ ก่อนหน้านี้ Everest เคยกำหนดเป้าหมายบริษัทเทคโนโลยีอินเดีย Greenbotz โดยขู่ว่าจะเผยแพร่ข้อมูลที่ถูกขโมยหากไม่ปฏิบัติตามข้อเรียกร้อง ซึ่งเป็นการประกาศที่ใช้แผนการเดียวกันคือการกล่าวอ้างต่อสาธารณะก่อนการยืนยันอย่างครบถ้วน กลุ่มแรนซัมแวร์และกลุ่มเรียกค่าไถ่อื่นๆ ใช้กลวิธีที่เทียบเคียงได้ เช่น การอ้างโจมตี Statista GmbH ของกลุ่ม Direwolf ใช้โครงสร้างพื้นฐานเดียวกัน: การอ้างสิทธิ์ต่อสาธารณะ หลักฐานเริ่มแรกที่จำกัด และบริษัทที่ต้องตอบสนองภายใต้การตรวจสอบของสาธารณะ

บทเรียนที่ได้ไม่ใช่การบอกว่าควรปัดตกการอ้างสิทธิ์เหล่านี้ทิ้งทั้งหมด แต่ควรปฏิบัติต่อการอ้างสิทธิ์เหล่านั้นว่าไม่ได้รับการยืนยันจนกว่าจะพิสูจน์ได้เป็นอย่างอื่น การตอบสนองด้วยความตื่นตระหนกก่อนที่ข้อเท็จจริงจะได้รับการยืนยันเพียงแต่ทำให้กลยุทธ์การข่มขู่ยิ่งทวีความรุนแรงขึ้น

ธุรกิจและลูกค้าควรตรวจสอบความมั่นคงปลอดภัยของผู้ให้บริการอย่างไร

สำหรับบริษัทที่ทำงานร่วมกับองค์กรด้านวิศวกรรม ไอที หรือที่ปรึกษาขนาดใหญ่เช่น Capgemini Engineering การอ้างสิทธิ์แรนซัมแวร์ที่ไม่ได้รับการยืนยันยังคงเป็นสิ่งกระตุ้นที่มีประโยชน์ในการทบทวนแนวปฏิบัติด้านความมั่นคงปลอดภัยของผู้ให้บริการ แม้ว่าการประกาศรายชื่อเฉพาะกรณีนี้จะกลายเป็นข้อมูลเท็จก็ตาม ขั้นตอนปฏิบัติที่เป็นประโยชน์สองสามข้อเหมาะสมไม่ว่ากรณีเฉพาะนี้จะจบลงอย่างไร:

  • ถามผู้ให้บริการโดยตรงเกี่ยวกับกระบวนการจัดการเหตุการณ์และการสื่อสารระหว่างการละเมิดที่ได้รับการยืนยันกับการอ้างสิทธิ์ที่ไม่ได้รับการยืนยัน
  • ทบทวนภาษาตามสัญญาเกี่ยวกับกรอบเวลาในการแจ้งการละเมิดข้อมูลและข้อกำหนดด้านหลักฐาน
  • ยืนยันว่าผู้ให้บริการจัดเก็บหรือเข้าถึงข้อมูลประเภทใดของคุณจริง เพื่อให้คุณสามารถประเมินความเสี่ยงที่แท้จริงได้หากการอ้างสิทธิ์ได้รับการยืนยันในภายหลัง
  • ติดตามแหล่งข้อมูลข่าวกรองภัยคุกคามและตัวติดตามเว็บไซต์เผยแพร่ข้อมูลของแรนซัมแวร์เพื่อรับข้อมูลอัปเดต แทนที่จะพึ่งพาเพียงพาดหัวข่าว

ความหมายสำหรับคุณ

หากองค์กรของคุณทำงานร่วมกับ Capgemini Engineering หรือผู้ให้บริการรายใหญ่ที่คล้ายกัน ไม่จำเป็นต้องดำเนินการที่รุนแรงโดยอิงจากการประกาศรายชื่อนี้เพียงอย่างเดียว ยังไม่มีการยืนยันการเข้ารหัส การขโมยข้อมูล หรือการเปิดเผยข้อมูล อย่างไรก็ตาม นี่เป็นช่วงเวลาที่ดีในการตรวจสอบกระบวนการจัดการความเสี่ยงด้านผู้ให้บริการของคุณอีกครั้ง: คุณรู้หรือไม่ว่าหุ้นส่วนจะแจ้งให้คุณทราบได้เร็วเพียงใดหากมีการยืนยันการละเมิด และคุณมองเห็นข้อมูลที่พวกเขาจัดเก็บในนามของคุณหรือไม่

บทเรียนกว้างๆ จากการอ้างสิทธิ์แรนซัมแวร์ต่อ Capgemini Engineering เกี่ยวข้องกับวิธีที่กลุ่มแรนซัมแวร์ดำเนินงานมากกว่าเหตุการณ์แต่ละเหตุการณ์ การประกาศรายชื่อบนเว็บไซต์เผยแพร่ข้อมูลถูกออกแบบมาเพื่อสร้างความเร่งด่วนและแรงกดดันด้านชื่อเสียง ไม่ว่าการละเมิดจริงจะเกิดขึ้นหรือไม่ก็ตาม การปฏิบัติต่อทุกการอ้างสิทธิ์ว่าเป็นข้อเท็จจริงที่ยืนยันแล้วเป็นการสนับสนุนกลยุทธ์นั้น การปฏิบัติต่อทุกการอ้างสิทธิ์ว่าเป็นเท็จโดยอัตโนมัติเป็นการมองข้ามความเสี่ยงที่แท้จริง จุดกึ่งกลางที่รับผิดชอบคือการตรวจสอบก่อนการตอบสนอง

ข้อสรุปสำคัญ

  • แรนซัมแวร์ Everest ประกาศรายชื่อ Capgemini Engineering เป็นเหยื่อ แต่ไม่มีหลักฐานอิสระยืนยันการเข้ารหัสหรือการขโมยข้อมูล
  • การอ้างสิทธิ์ปัจจุบันมีแหล่งข้อมูลเดียวจากเว็บไซต์เผยแพร่ข้อมูลของกลุ่มเอง ซึ่งเป็นรูปแบบทั่วไปในกลยุทธ์การข่มขู่ของแรนซัมแวร์
  • การอ้างสิทธิ์ที่ไม่ได้รับการยืนยันหรืออยู่ในระยะเริ่มต้นที่คล้ายกันปรากฏต่อบริษัทอื่น รวมถึง Greenbotz และ Statista GmbH ตามแผนการที่เทียบเคียงได้
  • ธุรกิจควรใช้ช่วงเวลาเช่นนี้ในการทบทวนข้อผูกพันด้านการจัดการเหตุการณ์ของผู้ให้บริการและขอบเขตการเข้าถึงข้อมูล แทนที่จะรอให้มีการยืนยันการละเมิดแล้วค่อยตั้งคำถามยากๆ
  • ติดตามข้อมูลผ่านแหล่งข่าวกรองภัยคุกคามที่น่าเชื่อถือ แทนที่จะตอบสนองต่อโพสต์บนเว็บไซต์เผยแพร่ข้อมูลเพียงอย่างเดียว