การช่วยเหลือปลอมที่ทำให้เรื่องแย่ลง
เมื่อบริษัทถูกโจมตีด้วยแรนซัมแวร์ สัญชาตญาณแรกคือการหาความช่วยเหลืออย่างเร่งด่วน และความเร่งด่วนนั้นคือสิ่งที่กลุ่มที่เรียกตัวเองว่า "Ransom Busters" ดูเหมือนจะใช้ประโยชน์ จากการวิจัยของบริษัทความมั่นคงปลอดภัย GuidePoint กลุ่มนี้ได้แทรกตัวเข้าไปในเหตุการณ์แรนซัมแวร์ที่กำลังเกิดขึ้นจริง โดยนำเสนอตัวเองเป็นบริการกู้คืนอิสระที่สามารถถอดรหัสและเรียกคืนไฟล์ที่ถูกขโมยไปได้
ปัญหาคือ: Ransom Busters ไม่ใช่บริษัทกู้คืนที่ถูกกฎหมายเลย นักวิจัยเชื่อว่ากลุ่มนี้เกี่ยวข้องกับการดำเนินการแรนซัมแวร์โดยตรง หรืออย่างน้อยก็ทำงานร่วมกับมัน กลุ่มนี้อ้างว่าได้เจาะเข้าไปในแผงควบคุมของการดำเนินการแรนซัมแวร์แบบบริการ (RaaS) โดยบอกเหยื่อว่าสามารถเสนอคีย์ถอดรหัสได้ในเงื่อนไขของตัวเอง ในความเป็นจริง กลไกนี้ดูเหมือนถูกออกแบบมาเพื่อสกัดกั้นหรือเปลี่ยนเส้นทางการจ่ายค่าไถ่ หมายความว่าเหยื่อที่คิดว่ากำลังติดต่อกับบริการกู้ภัยอาจจ่ายเงินให้อาชญากรกลุ่มเดียวกันถึงสองครั้ง หรือจ่ายให้คนกลางที่ไม่มีเจตนาจะคืนอะไรให้เลย
ทำไมกลโกงนี้ถึงได้ผลขนาดนี้
การกู้คืนจากแรนซัมแวร์เป็นพื้นที่ที่คลุมเครือจริง ๆ บริษัทตอบสนองเหตุการณ์ด้านความมั่นคงปลอดภัยที่ถูกกฎหมาย ผู้ให้บริการประกันภัยไซเบอร์ และนักเจรจา มีอยู่จริง และเหยื่อมักได้รับคำแนะนำจากที่ปรึกษาที่หวังดีให้นำผู้เชี่ยวชาญเข้ามาช่วยแทนที่จะเจรจาด้วยตัวเอง ระบบนิเวศที่ถูกกฎหมายนี้เองที่ทำให้กลโกงอย่าง Ransom Busters มีประสิทธิภาพ ทีมไอทีที่ตื่นตระหนก ซึ่งกำลังเผชิญกับระบบที่ถูกล็อกและนับถอยหลังจากผู้โจมตีเดิมอยู่แล้ว แทบจะไม่มี能力ที่จะตรวจสอบได้ว่าคนที่อยู่ปลายทางของอีเมลหรือแชทที่เสนอความช่วยเหลือนั้นเป็นใคร
นี่ไม่ใช่ครั้งแรกที่อาชญากรใช้ประโยชน์จากความสิ้นหวังของเหยื่อหลังการละเมิดข้อมูล บริการ "กู้คืนข้อมูล" และ "ทำความสะอาดหลังการละเมิด" ปลอม ๆ ได้วนเวียนอยู่รอบบริษัทและบุคคลมานานหลายปี มักจะสัญญาว่าจะลบข้อมูลที่รั่วไหลออกจากอินเทอร์เน็ตหรือเจรจาค่าไถ่ให้ลดลง เพียงเพื่อจะหายไปพร้อมกับค่าธรรมเนียมล่วงหน้า หรือในกรณีเช่นนี้ ส่งเงินกลับไปให้ผู้โจมตีโดยตรง สิ่งที่ทำให้ Ransom Busters แตกต่างคือความเชื่อมโยงโดยตรงกับปฏิบัติการแรนซัมแวร์เอง ซึ่ง effectively สร้างชั้นการทำเงินที่สองบนพื้นฐานของการขู่กรรโชกครั้งแรก
ผลกระทบด้านความเป็นส่วนตัวที่เกินกว่าการจ่ายค่าไถ่
มุมมองด้านการเงินได้รับความสนใจมากที่สุด แต่ยังมีมิติด้านความเป็นส่วนตัวที่สำคัญไม่แพ้กัน การโจมตีด้วยแรนซัมแวร์มักเกี่ยวข้องกับการขโมยข้อมูลควบคู่ไปกับการเข้ารหัส หมายความว่าบันทึกลูกค้า ไฟล์พนักงาน หรือเอกสารทางธุรกิจที่ละเอียดอ่อนถูกขโมยออกไปแล้วก่อนที่ข้อความเรียกค่าไถ่จะปรากฏขึ้นด้วยซ้ำ เมื่อกลุ่มกู้คืนปลอมแทรกตัวเข้าไปในการเจรจา มันจะได้ข้อมูลเพิ่มเติมว่าข้อมูลใดถูกขโมยไป องค์กรเหยื่อคือใคร และองค์กรนั้นเต็มใจจ่ายเงินเพื่อให้ปัญหาหายไปแค่ไหน
สำหรับบุคคลที่มีข้อมูลส่วนบุคคลอยู่ในระบบของบริษัทที่ถูกละเมิด กลโกงนี้เพิ่มความไม่แน่นอนอีกชั้นหนึ่ง เป็นเรื่องยากอยู่แล้วที่จะรู้ว่าบริษัทที่ประสบเหตุแรนซัมแวร์จ่ายค่าไถ่หรือไม่ กู้คืนข้อมูลได้อย่างสะอาด หรือเจรจาอย่างเงียบ ๆ กับคนกลางที่เป็นมิจฉาชีพซึ่งไม่มีความสามารถจริง ๆ ในการปกป้องอะไร หากข้อมูลของคุณเป็นส่วนหนึ่งของระบบขององค์กรที่ได้รับผลกระทบ คำแนะนำใน คู่มือการฟื้นตัวสำหรับเหยื่อการละเมิดข้อมูลในปี 2026? นี่คือแผนรับมือของคุณ ยังคงเป็นเส้นทางที่น่าเชื่อถือที่สุด: สมมติว่าข้อมูลของคุณถูกเปิดเผย ติดตามบัญชีของคุณ และดำเนินขั้นตอนเพื่อจำกัดความเสียหายที่ตามมา ไม่ว่าบริษัทจะจัดการกับเหตุการณ์อย่างไรก็ตาม
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
ผู้อ่านส่วนใหญ่จะไม่มีวันเจรจากับแก๊งแรนซัมแวร์โดยตรง แต่บทเรียนจาก Ransom Busters ใช้ได้ในวงกว้าง: ใครก็ตามที่เสนอจะ "แก้ไข" การละเมิดข้อมูลหรือการโจมตีทางไซเบอร์หลังเหตุการณ์สมควรได้รับการตรวจสอบอย่างรอบคอบ โดยเฉพาะอย่างยิ่งหากพวกเขาเข้าหาคุณก่อน ไม่ใช่คุณเข้าหาพวกเขา บริษัทตอบสนองเหตุการณ์ที่ถูกกฎหมายมักถูกนำเข้ามาโดยทีมความมั่นคงปลอดภัยขององค์กรเหยื่อเอง ทนายความ หรือผู้ให้บริการประกันภัยไซเบอร์ ไม่ใช่จากการติดต่อที่ไม่ได้รับการร้องขอซึ่งอ้างว่ามีการเข้าถึงภายในระบบของผู้โจมตี
หากคุณทำงานด้านไอที ความมั่นคงปลอดภัย หรือเป็นผู้นำระดับบริหารในองค์กรที่ประสบเหตุการณ์แรนซัมแวร์ ให้ตรวจสอบผู้จำหน่ายบริการกู้คืนผ่านช่องทางอิสระก่อนที่จะว่าจ้าง และให้หน่วยงานบังคับใช้กฎหมายหรือบริษัทตอบสนองเหตุการณ์ที่รู้จักเข้ามามีส่วนร่วม แทนที่จะยอมรับความช่วยเหลือที่ผุดขึ้นมากลางวิกฤต หากคุณเป็นบุคคลที่กังวลว่าข้อมูลของคุณติดอยู่ในการละเมิดแรนซัมแวร์ที่บริษัทที่คุณใช้บริการ สิ่งสำคัญที่สุดก็เหมือนกับการละเมิดใด ๆ: เปลี่ยนรหัสผ่านที่ใช้ซ้ำ เปิดใช้งานการยืนยันตัวตนหลายขั้นตอน และเฝ้าดูบัญชีการเงินและรายงานเครดิตของคุณเพื่อหากิจกรรมที่ผิดปกติ
ก้าวนำหน้ากลโกงการกู้คืนแรนซัมแวร์
กรณี Ransom Busters เป็นเครื่องเตือนใจว่าการโจมตีด้วยแรนซัมแวร์แทบไม่เคยจบลงด้วยการตัดสินใจจุดเดียว ระยะการขู่กรรโชกอาจตามมาด้วยการแสวงหาประโยชน์ระลอกที่สองที่แต่งตัวเป็นความช่วยเหลือ และการแยกแยะการสนับสนุนการกู้คืนที่แท้จริงจากกลโกงการกู้คืนแรนซัมแวร์ต้องใช้ความระมัดระวังแบบเดียวกับที่คุณใช้กับข้อเสนอที่ไม่ได้รับการร้องขอในระหว่างวิกฤต องค์กรควรสร้างการตรวจสอบผู้จำหน่ายเข้าสู่แผนการตอบสนองเหตุการณ์ก่อนที่การโจมตีจะเกิดขึ้น ไม่ใช่ระหว่างที่กำลังดำเนินอยู่ สำหรับผู้ใช้ทั่วไป การเคลื่อนไหวที่ปลอดภัยที่สุดคือถือว่าการแจ้งเตือนการละเมิดใด ๆ ไม่ว่าจะมาจากบริษัทที่คุณไว้วางใจหรือคนแปลกหน้าที่สัญญาว่าจะแก้ไขความเสียหาย เป็นสัญญาณให้คุณล็อกดาวน์บัญชีของตัวเอง แทนที่จะรอให้คนอื่นมาซ่อมให้
