Goodwin Procter หนึ่งในสำนักงานกฎหมายที่ใหญ่ที่สุดในสหรัฐอเมริกา ได้จ่ายเงินประมาณ 10 ล้านดอลลาร์ให้แก่กลุ่มกรรโชกทรัพย์ที่รู้จักกันในชื่อ Luna Moth ภายหลังการละเมิดความปลอดภัยของข้อมูลที่บริษัทได้เปิดเผยไปเมื่อต้นปีนี้ ตามข้อมูลจากบุคคลที่คุ้นเคยกับเรื่องนี้ การจ่ายเงินครั้งนี้ซึ่งมีรายงานว่า Brit ได้รับบทบาทนำในการตอบสนองต่อเหตุการณ์ นับเป็นหนึ่งในจำนวนเงินค่าไถ่ที่สูงที่สุดที่ทราบกันโดยสาธารณะซึ่งเชื่อมโยงกับการละเมิดข้อมูลของสำนักงานกฎหมายเพียงแห่งเดียว และส่องสปอตไลท์ไปที่วิธีที่สถาบันทางกฎหมายจัดการกับข้อมูลลูกค้าเมื่อผู้โจมตีเข้ามาเรียกค่าไถ่

เกิดอะไรขึ้นที่ Goodwin Procter

รายละเอียดยังมีอยู่จำกัด แต่ข้อเท็จจริงหลักนั้นตรงไปตรงมา Goodwin Procter ประสบกับการละเมิดความปลอดภัยของข้อมูลเมื่อต้นปี มีการเปิดเผยเหตุการณ์ดังกล่าว และท้ายที่สุดบริษัทได้จ่ายเงินประมาณ 10 ล้านดอลลาร์ให้แก่กลุ่มกรรโชกทรัพย์ แทนที่จะปล่อยให้ข้อมูลที่ถูกขโมยรั่วไหลหรือถูกขาย Luna Moth กลุ่มที่อยู่เบื้องหลังการกรรโชกทรัพย์นี้ ไม่ใช่ชื่อที่รู้จักกันแพร่หลายเหมือนแก๊งแรนซัมแวร์บางกลุ่ม แต่กิจกรรมของมันสอดคล้องกับรูปแบบที่กำลังเป็นเรื่องปกติมากขึ้นเรื่อยๆ นั่นคือ ผู้โจมตีเข้าถึงไฟล์ที่ละเอียดอ่อน ถ่ายโอนข้อมูลออกไป จากนั้นจึงเรียกร้องเงินเพื่อป้องกันการเปิดเผยต่อสาธารณะ มากกว่าที่จะเข้ารหัสระบบทั้งหมด

ขนาดของการจ่ายเงินครั้งนี้นั้นน่าสนใจ ค่าไถ่หลักหลายสิบล้านดอลลาร์ในอดีตมักเกี่ยวข้องกับระบบโรงพยาบาลขนาดใหญ่ ผู้ผลิต หรือสถาบันการเงิน การที่สำนักงานกฎหมายมีมูลค่าสูงถึงระดับนั้นส่งสัญญาณว่าไฟล์คดีความทางกฎหมาย การสื่อสารของลูกค้า และข้อมูลที่ได้รับความคุ้มครองทางกฎหมาย มีคุณค่าเพียงใดสำหรับผู้ดำเนินการกรรโชกทรัพย์ และบริษัทยินดีจ่ายเงินมากน้อยเพียงใดเพื่อป้องกันไม่ให้ข้อมูลเหล่านั้นไปปรากฏต่อสาธารณะ

เหตุใดสำนักงานกฎหมายจึงเป็นเป้าหมายที่น่าสนใจ

สำนักงานกฎหมายเป็นแหล่งรวมของข้อมูลที่ละเอียดอ่อนอย่างไม่ธรรมดา ไฟล์คดีความ เอกสารการควบรวมกิจการ ข้อมูลส่วนบุคคลที่เกี่ยวข้องกับครอบครัวและมรดก และการสื่อสารของลูกค้าที่ได้รับความคุ้มครองทางกฎหมาย ล้วนส่งผ่านเซิร์ฟเวอร์ของบริษัท สำนักงานกฎหมายแตกต่างจากร้านค้าปลีกหรือผู้ให้บริการด้านสุขภาพ เพราะข้อมูลของสำนักงานกฎหมายมักจะเกี่ยวข้องกับบุคคลภายนอกหลายรายในคราวเดียว ได้แก่ ลูกค้า ทนายความฝ่ายตรงข้าม ศาล และหน่วยงานกำกับดูแล เครือข่ายของการเปิดเผยข้อมูลนี้ทำให้กลุ่มกรรโชกทรัพย์มีอำนาจต่อรองอย่างมาก เนื่องจากการรั่วไหลของข้อมูลไม่เพียงแต่สร้างความเสียหายให้กับบริษัทเท่านั้น แต่ยังอาจส่งผลกระทบต่อภาระผูกพันในการรักษาความลับที่บริษัทมีต่อลูกค้าทุกรายที่ข้อมูลของพวกเขาถูกแตะต้อง

พลวัตนี้สะท้อนให้เห็นถึงสิ่งที่เกิดขึ้นในภาคส่วนอื่นๆ เมื่อเร็วๆ นี้ การโจมตีแบบ Vishing ต่อ Cushman & Wakefield แสดงให้เห็นว่าผู้โจมตีสามารถใช้วิศวกรรมสังคมเพื่อเข้าถึงข้อมูลเชิงลึกขององค์กรได้อย่างไร ในขณะที่เหตุการณ์อย่างเช่น การละเมิดข้อมูลของ Napoleon Perdis แสดงให้เห็นว่าข้อมูลลูกค้าที่รั่วไหลถูกแพร่สะพัดสู่สาธารณะได้รวดเร็วเพียงใดเมื่อภัยคุกคามตัดสินใจที่จะสร้างรายได้จากมัน ในทั้งสองกรณี และตอนนี้ในกรณีของ Goodwin Procter การคำนวณพื้นฐานสำหรับเหยื่อก็เหมือนกัน ซึ่งก็คือการชั่งน้ำหนักระหว่างค่าใช้จ่ายในการจ่ายค่าไถ่กับค่าใช้จ่ายและผลกระทบด้านชื่อเสียงจากการรั่วไหลของข้อมูลต่อสาธารณะ

สิ่งนี้มีความหมายต่อคุณอย่างไร

สำหรับบุคคลทั่วไป การจ่ายค่าไถ่ของสำนักงานกฎหมายอาจดูห่างไกลจากข้อกังวลเรื่องความเป็นส่วนตัวในชีวิตประจำวัน แต่ผลกระทบเป็นระลอกนั้นมีอยู่จริง หากคุณเป็นลูกค้าปัจจุบันหรืออดีตลูกค้าของบริษัทที่ได้รับผลกระทบจากการละเมิดข้อมูลเช่นนี้ ข้อมูลส่วนบุคคล รายละเอียดทางการเงิน หรือประวัติคดีความของคุณอาจเป็นส่วนหนึ่งของข้อมูลที่ถูกขโมยไป โดยไม่คำนึงว่าท้ายที่สุดแล้วจะมีการจ่ายค่าไถ่หรือไม่ การจ่ายค่าไถ่ไม่ได้เป็นการรับประกันว่าข้อมูลจะถูกทำลายหรือไม่ถูกคัดลอกไปที่อื่นมาก่อน

นี่เป็นส่วนหนึ่งของแนวโน้มที่กว้างขึ้นซึ่งข้อมูลส่วนบุคคลที่ละเอียดอ่อน ไม่ว่าจะเป็นบันทึกทางกฎหมาย ไฟล์ข้อมูลผู้ลงคะแนนเสียง หรือฐานข้อมูลลูกค้า ถูกปฏิบัติเสมือนเป็นสินค้าโภคภัณฑ์โดยกลุ่มกรรโชกทรัพย์ ข้อถกเถียงเกี่ยวกับการจัดการข้อมูลไม่ได้จำกัดอยู่แค่สำนักงานกฎหมายเท่านั้น มันยังสะท้อนข้อกังวลที่ถูกหยิบยกขึ้นมาในการอภิปรายเกี่ยวกับ การแบ่งปันข้อมูลผู้มีสิทธิเลือกตั้งและสิทธิความเป็นส่วนตัว ซึ่งสถาบันต่างๆ ที่ถือครองข้อมูลส่วนบุคคลจำนวนมากกำลังเผชิญกับการตรวจสอบที่เพิ่มขึ้นว่าข้อมูลเหล่านั้นได้รับการคุ้มครองและเปิดเผยอย่างไร

หากคุณได้รับการแจ้งเตือนการละเมิดข้อมูลจากองค์กรใดๆ รวมถึงสำนักงานกฎหมาย ควรถือเป็นเรื่องจริงจัง แม้ว่าประกาศจะระบุว่าได้จ่ายค่าไถ่แล้วหรือสถานการณ์ได้รับการแก้ไขแล้วก็ตาม การจ่ายเงินให้กลุ่มกรรโชกทรัพย์เป็นการซื้อความเงียบได้เพียงในระยะสั้น ไม่ใช่การรับประกันว่าข้อมูลของคุณจะไม่ถูกคัดลอก ขาย หรือเก็บรักษาไว้โดยผู้ไม่หวังดีลำดับต่อไป

ข้อคิดสำหรับผู้อ่าน

สิ่งที่คุณสามารถทำได้หากคุณกังวลเกี่ยวกับการเปิดเผยข้อมูลจากเหตุการณ์เช่นนี้:

  • ติดตามการแจ้งเตือนการละเมิดข้อมูลทุกฉบับอย่างใกล้ชิด และอย่าทึกทักว่าเหตุการณ์ที่ได้รับการแก้ไขแล้วหมายความว่าข้อมูลของคุณปลอดภัย
  • ใช้บริการตรวจสอบเครดิตหรือการคุ้มครองการโจรกรรมข้อมูลส่วนบุคคล หากคุณได้รับแจ้งว่ามีบันทึกทางการเงินหรือข้อมูลส่วนบุคคลเกี่ยวข้อง
  • เปลี่ยนรหัสผ่านและเปิดใช้การยืนยันตัวตนหลายปัจจัยในทุกบัญชีที่เชื่อมโยงกับองค์กรที่ได้รับผลกระทบ
  • ระมัดระวังอีเมลหรือโทรศัพท์ที่อ้างอิงถึงการละเมิดข้อมูลที่ติดตามมา เนื่องจากบางครั้งผู้โจมตีจะใช้รายละเอียดที่รั่วไหลเพื่อพยายามฟิชชิ่งซ้ำอีก

กรณีของ Goodwin Procter เป็นเครื่องเตือนใจว่าการจ่ายค่าไถ่ แม้จะเป็นจำนวนเงินมหาศาล ก็ไม่ได้ลบล้างความเสี่ยงด้านความเป็นส่วนตัวที่แฝงอยู่ของผู้ที่ข้อมูลถูกขโมยไป ในขณะที่กลุ่มกรรโชกทรัพย์ยังคงมุ่งเป้าไปที่องค์กรที่เก็บรักษาข้อมูลที่ละเอียดอ่อน การเฝ้าระวังการแจ้งเตือนการละเมิดข้อมูลและการปฏิบัติตามขั้นตอนการป้องกันขั้นพื้นฐานยังคงเป็นการป้องกันที่น่าเชื่อถือที่สุดสำหรับบุคคลทั่วไป