เกิดอะไรขึ้นที่ไมโคร-คอมม์ และเหตุใดจึงสำคัญ
หน่วยงานบังคับใช้กฎหมายของรัฐบาลกลางและหน่วยงานความมั่นคงทางไซเบอร์กำลังสอบสวนเหตุโจมตีด้วยแรนซัมแวร์และการขโมยข้อมูลที่ไมโคร-คอมม์ ผู้ผลิตโปรแกรมเมเบิลลอจิกคอนโทรลเลอร์ (PLC) และเทคโนโลยีระบบอัตโนมัติทางอุตสาหกรรมในเมืองโอเลเธ รัฐแคนซัส ซึ่งใช้ในโรงงานน้ำและน้ำเสีย เอฟบีไอได้เปิดการสอบสวนเหตุการณ์การละเมิดครั้งนี้ ซึ่งผู้โจมตีไม่เพียงแต่เข้ารหัสระบบเท่านั้น แต่ยังขโมยข้อมูลจากเครือข่ายของบริษัทอีกด้วย
การที่หน่วยงานสอบสวนของรัฐบาลกลางเข้ามาเกี่ยวข้องสะท้อนให้เห็นว่าเจ้าหน้าที่ให้ความสำคัญกับเหตุการณ์ใดก็ตามที่กระทบต่อห่วงโซ่อุปทานของภาคส่วนน้ำอย่างจริงจังเพียงใด ไมโคร-คอมม์ไม่ได้ดำเนินการโรงบำบัดหรือระบบจ่ายน้ำเอง แต่ผลิตภัณฑ์ PLC และระบบอัตโนมัติของบริษัทถูกฝังอยู่ในเทคโนโลยีการปฏิบัติการ (OT) ที่สาธารณูปโภคด้านน้ำพึ่งพาเพื่อจัดการปั๊ม วาล์ว และกระบวนการบำบัด การโจมตีด้วยแรนซัมแวร์ต่อผู้จำหน่ายเช่นนี้ทำให้เกิดคำถามว่าข้อมูลที่ถูกขโมย ข้อมูลประจำตัว หรือข้อมูลผลิตภัณฑ์อาจถูกนำไปใช้โจมตีสาธารณูปโภคที่พึ่งพาอุปกรณ์เหล่านั้นได้หรือไม่
นี่คือเหตุผลที่การโจมตีด้วยแรนซัมแวร์ในภาคส่วนน้ำต่อผู้จำหน่ายจึงมีความสำคัญเท่าเทียมหรือมากกว่าการโจมตีสาธารณูปโภคโดยตรง ผู้จำหน่ายรายเดียวที่ถูกโจมตีอยู่เหนือลูกค้าปลายทางที่อาจมีจำนวนหลายสิบหรือหลายร้อยราย
ผู้จำหน่าย ICS/SCADA บุคคลที่สามกลายเป็นช่องทางโจมตีโครงสร้างพื้นฐานสำคัญได้อย่างไร
ผู้จำหน่ายระบบควบคุมอุตสาหกรรม (ICS) และ SCADA อยู่ในตำแหน่งที่อ่อนไหวเป็นพิเศษในระบบนิเวศโครงสร้างพื้นฐานสำคัญ บริษัทเหล่านี้มักเก็บเครื่องมือการเข้าถึงระยะไกล ไฟล์คอนฟิกูเรชัน แผนภาพเครือข่าย และข้อมูลประจำตัวสำหรับการสนับสนุนที่เชื่อมโยงกับระบบปฏิบัติการของลูกค้า เมื่อสภาพแวดล้อม IT ของผู้จำหน่ายเองถูกเจาะ ข้อมูลจำนวนมหาศาลนั้นอาจกลายเป็นแผนที่นำทางสำหรับผู้โจมตีที่ต้องการเคลื่อนเข้าสู่เครือข่ายของลูกค้า
กรณีไมโคร-คอมม์สอดคล้องกับรูปแบบกว้างๆ ที่นักวิจัยด้านความปลอดภัยและหน่วยงานเช่น CISA เตือนซ้ำแล้วซ้ำเล่า: ระบบน้ำและน้ำเสียมักเป็นสาธารณูปโภคขนาดเล็กที่มีทรัพยากรจำกัด ซึ่งพึ่งพาผู้จำหน่ายบุคคลที่สามเป็นอย่างมากสำหรับงานวิศวกรรม การบำรุงรักษา และการสนับสนุนระยะไกล การพึ่งพานี้เป็นเรื่องที่ปฏิบัติได้จริงและจำเป็น แต่ก็หมายความว่าความมั่นคงของสาธารณูปโภคนั้นแข็งแกร่งเท่ากับผู้จำหน่ายที่อ่อนแอที่สุดในห่วงโซ่อุปทานเท่านั้น กลุ่มแรนซัมแวร์ไม่จำเป็นต้องเจาะโรงบำบัดน้ำโดยตรง หากสามารถโจมตีบริษัทที่สร้างหรือบำรุงรักษาคอนโทรลเลอร์ของโรงงานได้
รูปแบบห่วงโซ่อุปทานแรนซัมแวร์: จากสำนักงานกฎหมายถึงสาธารณูปโภคด้านน้ำ
ไมโคร-คอมม์ไม่ใช่ตัวอย่างที่โดดเดี่ยวของการที่ผู้โจมตีกำหนดเป้าหมายไปที่โครงสร้างพื้นฐานสนับสนุนของภาคส่วนแทนที่จะเป็นผู้เล่นที่มองเห็นได้ชัดเจนที่สุด กลุ่มแรนซัมแวร์และกรรโชกทรัพย์ให้ความสำคัญมากขึ้นกับองค์กรที่ถือครองข้อมูลอ่อนไหวหรือสิทธิ์เข้าถึงพิเศษในนามของผู้อื่น เนื่องจากการโจมตีองค์กรหนึ่งสามารถสร้างอำนาจต่อรองเหนือเหยื่อปลายทางจำนวนมากได้ในคราวเดียว ในอุตสาหกรรมกฎหมาย ตัวอย่างเช่น การโจมตีกรรโชกทรัพย์แบบเงียบมากกว่า 200 ครั้งเกิดขึ้นกับสำนักงานกฎหมายในปี 2568 และต้นปี 2569 ซึ่งเป็นแนวโน้มที่เกิดจากข้อเท็จจริงที่ว่าสำนักงานกฎหมายมักถือครองข้อมูลลับของลูกค้าที่มีคุณค่าในการขโมยและง่ายต่อการนำไปสร้างรายได้ผ่านการกรรโชก
ตรรกะพื้นฐานเดียวกันนี้ใช้ได้กับผู้จำหน่ายอุตสาหกรรมที่ให้บริการโครงสร้างพื้นฐานสำคัญ ไม่ว่าเป้าหมายจะเป็นสำนักงานกฎหมายที่ถือครองบันทึกของลูกค้าหรือผู้ผลิต PLC ที่ถือครองคอนฟิกูเรชันเครือข่ายสำหรับสาธารณูปโภคด้านน้ำ การคำนวณของผู้โจมตีเหมือนกัน: หาองค์กรที่การเจาะเข้าไปจะสร้างรัศมีการระเบิดที่กว้างที่สุด การมองเหตุการณ์ไมโคร-คอมม์ผ่านมุมมองนี้ทำให้ชัดเจนว่าเหตุการณ์นี้เป็นส่วนหนึ่งของรูปแบบการกำหนดเป้าหมายห่วงโซ่อุปทานที่เป็นระบบ ไม่ใช่เหตุการณ์ที่เกิดขึ้นครั้งเดียวจำกัดอยู่ในภาคส่วนน้ำ
บทเรียนด้านความมั่นคง: การเข้าถึงระยะไกล VPN และการแบ่งส่วนเครือข่ายสำหรับระบบอุตสาหกรรม
สำหรับสาธารณูปโภคด้านน้ำและผู้ปฏิบัติการโครงสร้างพื้นฐานสำคัญอื่นๆ เหตุการณ์เช่นนี้ตอกย้ำแนวปฏิบัติด้านความมั่นคงพื้นฐานบางประการ การเข้าถึงสภาพแวดล้อม OT ระยะไกลควรถูกควบคุมอย่างเข้มงวด ควรใช้การเชื่อมต่อเฉพาะที่ได้รับการตรวจสอบแทนเครื่องมือการเข้าถึงระยะไกลที่ใช้ร่วมกันหรือทั่วไปซึ่งผู้จำหน่ายอาจใช้กับลูกค้ารายอื่น การแบ่งส่วนเครือข่ายระหว่างระบบ IT และ OT ยังคงเป็นหนึ่งในวิธีที่มีประสิทธิภาพที่สุดในการจำกัดการแพร่กระจายของการละเมิด เพื่อให้แน่ใจว่าการติดเชื้อแรนซัมแวร์บนเครือข่ายธุรกิจไม่สามารถเข้าถึงคอนโทรลเลอร์ที่ควบคุมกระบวนการทางกายภาพได้ง่าย
สาธารณูปโภคควรถือว่าการบริหารความเสี่ยงจากผู้จำหน่ายเป็นความรับผิดชอบต่อเนื่อง ไม่ใช่การตรวจสอบครั้งเดียว ซึ่งหมายถึงการเข้าใจว่าผู้จำหน่ายถือครองข้อมูลใดเกี่ยวกับระบบของคุณ ผู้จำหน่ายรักษาความมั่นคงของเครือข่ายตนเองอย่างไร และภาระผูกพันในการแจ้งเหตุการณ์มีอะไรบ้างในสัญญาของคุณ VPN และช่องทางการเข้าถึงระยะไกลที่เข้ารหัสเป็นเครื่องมือที่มีประโยชน์ในบริบทนี้ แต่จะแข็งแกร่งเท่ากับสุขอนามัยของข้อมูลประจำตัวและการแบ่งส่วนเครือข่ายรอบๆ เท่านั้น
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
หากองค์กรของคุณพึ่งพาผลิตภัณฑ์ไมโคร-คอมม์หรือทำงานร่วมกับผู้จำหน่ายในห่วงโซ่อุปทานน้ำและน้ำเสีย ลำดับความสำคัญทันทีคือการพิจารณาว่าข้อมูลประจำตัว รายละเอียดเครือข่าย หรือข้อมูลคอนฟิกูเรชันใดของคุณอาจถูกเปิดเผยหรือไม่ ติดต่อผู้จำหน่ายโดยตรงเพื่อขอรายละเอียดเฉพาะเกี่ยวกับขอบเขตของการละเมิด และปฏิบัติตามคำแนะนำจากหน่วยงานความมั่นคงทางไซเบอร์ของรัฐบาลกลางเมื่อการสอบสวนดำเนินไป สำหรับผู้ปฏิบัติการสาธารณูปโภคโดยทั่วไป นี่เป็นช่วงเวลาที่เหมาะสมในการตรวจสอบว่าผู้จำหน่ายบุคคลที่สามรายใดบ้างที่มีการเข้าถึงระยะไกลไปยังระบบ OT และยืนยันว่าการแบ่งส่วนและการควบคุมการตรวจสอบถูกบังคับใช้จริง ไม่ใช่เพียงแค่บันทึกไว้บนกระดาษ
แม้แต่สำหรับผู้อ่านนอกภาคส่วนน้ำ การละเมิดที่ไมโคร-คอมม์เป็นเครื่องเตือนใจว่าการโจมตีด้วยแรนซัมแวร์ในภาคส่วนน้ำแทบจะไม่จำกัดอยู่เพียงบริษัทเดียว ห่วงโซ่อุปทานเชื่อมโยงผู้จำหน่าย สาธารณูปโภค และท้ายที่สุดคือประชาชนที่พึ่งพาบริการน้ำที่เชื่อถือได้ ซึ่งเป็นเหตุผลว่าทำไมความมั่นคงของผู้จำหน่ายจึงสมควรได้รับการตรวจสอบอย่างเดียวกันกับโครงสร้างพื้นฐานที่ผู้จำหน่ายสนับสนุน
ติดตามข่าวสารในขณะที่การสอบสวนนี้ดำเนินไป ทบทวนนโยบายการเข้าถึงของบุคคลที่สามขององค์กรคุณ และถือว่าการละเมิดที่ผู้จำหน่ายเป็นสัญญาณให้ประเมินการแบ่งส่วนเครือข่ายของคุณเองใหม่ แทนที่จะมองว่าเป็นปัญหาของคนอื่น
