สายลับภายในปฏิบัติการแฮกซัพพลายเชนที่เลวร้ายที่สุดเท่าที่เคยบันทึกไว้
กลุ่มข่าวกรองภัยคุกคามของ Google เปิดเผยว่านักวิเคราะห์คนหนึ่งของบริษัทแฝงตัวเข้าไปใน TeamPCP กลุ่มแฮกเกอร์ที่ถูกกล่าวโทษว่าเป็นผู้ก่อเหตุสิ่งที่นักวิจัยเรียกว่าการโจมตีซัพพลายเชนซอฟต์แวร์ครั้งเลวร้ายที่สุดเท่าที่เคยมีการบันทึกไว้ ตามรายงานของ Wired นั้น TeamPCP เจาะระบบบริษัทหลายพันแห่งโดยการCompromiseตัวซัพพลายเชนซอฟต์แวร์เอง ซึ่งเป็นกลยุทธ์ที่ช่วยให้ผู้โจมตีแอบฝังโค้ดอันตรายไว้ในโปรแกรมที่เชื่อถือได้ก่อนที่มันจะไปถึงอุปกรณ์ของผู้ใช้ปลายทางด้วยซ้ำ
รายละเอียดว่านักวิเคราะห์ของ Google เข้าถึงวงในของกลุ่มได้อย่างไรนั้นยังมีอยู่อย่างจำกัด แต่การเปิดเผยครั้งนี้ถือเป็นช่วงเวลาที่หาได้ยากและน่าสนใจ นั่นคือบริษัทเทคโนโลยีรายใหญ่ยืนยันต่อสาธารณะว่าตนได้ดำเนินปฏิบัติการข่าวกรองจากมนุษย์เพื่อต่อต้านกลุ่มอาชญากรไซเบอร์ที่ยังเคลื่อนไหวอยู่ แทนที่จะพึ่งพาเพียงการตรวจจับอัตโนมัติหรือการวิเคราะห์ทางนิติวิทยาศาสตร์ย้อนหลังเท่านั้น
ทำไมการโจมตีซัพพลายเชนจึงอันตรายถึงเพียงนั้น
การแฮกซัพพลายเชนสร้างความเสียหายเป็นพิเศษเพราะมันใช้ประโยชน์จากความไว้วางใจ แทนที่จะโจมตีทีละบริษัท แฮกเกอร์กลับมุ่งเป้าไปที่ผู้จำหน่ายซอฟต์แวร์ ไลบรารีโค้ด หรือกลไกการอัปเดตที่หลายองค์กรต้องพึ่งพาพร้อมกัน การCompromiseสำเร็จเพียงครั้งเดียวสามารถลุกลามออกไปได้อย่างเงียบ ๆ ติดเชื้อทุกธุรกิจ หน่วยงานรัฐ หรือบุคคลที่ดาวน์โหลดหรืออัปเดตซอฟต์แวร์ที่ได้รับผลกระทบ
ขอบเขตขนาดนั้นคือสิ่งที่ทำให้แคมเปญของ TeamPCP น่าตกใจ การเจาะระบบบริษัทหลายพันแห่งผ่านจุดล้มเหลวร่วมกันหมายความว่าความเสียหายไม่ได้จำกัดอยู่แค่ในอุตสาหกรรมหรือภูมิภาคใดภูมิภาคหนึ่ง มันสามารถแตะต้องสถาบันการเงิน ผู้ให้บริการด้านสุขภาพ ผู้รับเหมาภาครัฐ และผู้บริโภคทั่วไปที่ไม่เคยมีปฏิสัมพันธ์โดยตรงกับแฮกเกอร์ หรือแม้แต่ไม่รู้เลยว่าซอฟต์แวร์ที่ถูกCompromiseนั้นมีอยู่ในระบบของตน
รูปแบบนี้สะท้อนแนวโน้มที่กว้างขึ้นของเหตุการณ์ข้อมูลรั่วไหลขนาดใหญ่ที่ทำให้ข้อมูลส่วนบุคคลและข้อมูลสถาบันตกอยู่ในความเสี่ยงเกินกว่าเป้าหมายเดิมมาก ตัวอย่างเช่น กรณีล่าสุดที่ ข้อมูลตำรวจสหราชอาณาจักร 100,000 นายรั่วไหลบนดาร์กเว็บ แสดงให้เห็นว่าการเจาะระบบครั้งเดียวสามารถลุกลามออกไปได้อย่างไร เผยข้อมูลอ่อนไหวที่ผูกกับผู้คนซึ่งไม่มีบทบาทโดยตรงในเหตุการณ์ที่ก่อให้เกิดมัน การโจมตีซัพพลายเชนอย่างกรณีที่ถูกกล่าวโทษว่าเป็นฝีมือ TeamPCP ทำงานบนหลักการคล้ายกัน เพียงแต่ในระดับที่ใหญ่กว่ามากและเป็นระบบมากกว่า
ปฏิบัติการข่าวกรองภัยคุกคามแบบแฝงตัวส่งสัญญาณอะไร
การตัดสินใจของ Google ที่จะดำเนินปฏิบัติการแฝงตัว แทนที่จะเพียงเฝ้าระวัง TeamPCP จากภายนอก บ่งชี้ว่าวิธีตรวจจับแบบเดิมไม่เพียงพอที่จะทำแผนที่การดำเนินงาน สมาชิก หรือกลยุทธ์ของกลุ่มได้อย่างครบถ้วน ทีมข่าวกรองภัยคุกคามมักประกอบภาพพฤติกรรมผู้โจมตีขึ้นจากแชตในฟอรัมที่รั่วไหล ตัวอย่างมัลแวร์ และทราฟฟิกเครือข่าย การส่งนักวิเคราะห์จริงเข้าไปในวงในที่กลุ่มไว้วางใจนั้นเป็นก้าวที่รุกหนักกว่าและใช้ทรัพยากรมากกว่าอย่างมีนัยสำคัญ และมันบ่งชี้ว่าเดิมพันสูงพอที่จะ justifiesได้
สำหรับอุตสาหกรรมความมั่นคงปลอดภัยไซเบอร์ในวงกว้าง การเปิดเผยครั้งนี้ตอกย้ำบางสิ่ง ประการแรก กลุ่มผู้ก่อภัยคุกคามที่ดำเนินงานในระดับนี้มักมีลำดับชั้นที่ระบุได้ ช่องทางสื่อสาร และแม้กระทั่งกระบวนการตรวจสอบความไว้วางใจภายในที่สามารถถูกเจาะได้ภายใต้สถานการณ์ที่เหมาะสม ประการที่สอง บริษัทเอกชนอย่าง Google กำลังรับบทบาทการเก็บรวบรวมข่าวกรองที่เคยตกเป็นหน้าที่หลักของหน่วยงานรัฐมากขึ้นเรื่อย ๆ การเปลี่ยนแปลงนี้ก่อให้เกิดคำถามของตัวเองเกี่ยวกับการกำกับดูแลและการประสานงาน แม้จะแสดงให้เห็นถึงทรัพยากรที่บริษัทเทคโนโลยียักษ์ใหญ่ยินดีทุ่มเทเพื่อขัดขวางปฏิบัติการแฮกที่คุกคามลูกค้าของตนและระบบนิเวศอินเทอร์เน็ตในวงกว้าง
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
คนส่วนใหญ่จะไม่ปฏิสัมพันธ์โดยตรงกับกลุ่มอย่าง TeamPCP แต่การแฮกซัพพลายเชนระบาดนั้นส่งผลกระทบต่อผู้ใช้ทั่วไปทางอ้อมและมักมองไม่เห็น หากบริษัทที่คุณพึ่งพาสำหรับซอฟต์แวร์ ที่เก็บข้อมูลบนคลาวด์ หรือบริการออนไลน์ อยู่ในกลุ่มหลายพันแห่งที่ถูกรายงานว่าโดนเจาะระบบ ข้อมูลของคุณอาจถูกเปิดเผยโดยไม่มีสัญญาณเตือนใด ๆ ที่มองเห็นได้จากฝั่งคุณ
การตอบสนองในทางปฏิบัติไม่ใช่การตื่นตระหนก แต่คือสุขอนามัยดิจิทัลที่ดี อัปเดตซอฟต์แวร์ผ่านช่องทางทางการ ใช้รหัสผ่านที่ไม่ซ้ำกันสำหรับทุกบัญชี และเปิดใช้การยืนยันตัวตนหลายปัจจัยทุกที่ที่มีให้ ขั้นตอนเหล่านี้จะไม่หยุดการCompromiseซัพพลายเชนไม่ให้เกิดขึ้น แต่จะจำกัดความเสียหายที่ข้อมูลรับรองหรือบัญชีที่ถูกCompromiseเพียงรายการเดียวสามารถก่อได้ หากข้อมูลของคุณกลายเป็นส่วนหนึ่งของการรั่วไหลครั้งใหญ่
นอกจากนี้ยังควรให้ความสนใจกับการแจ้งเตือนการรั่วไหลจากบริษัทที่คุณทำธุรกิจด้วย การโจมตีซัพพลายเชนมักใช้เวลาหลายเดือนในการสอบสวนและเปิดเผยอย่างครบถ้วน ดังนั้นการเฝ้าระวังอัปเดตจากผู้จำหน่ายและผู้ให้บริการจึงเป็นหนึ่งในไม่กี่เครื่องมือที่ผู้บริโภคมี
ประเด็นสำคัญ
กรณี TeamPCP เป็นเครื่องเตือนใจว่าการแฮกซัพพลายเชนยังคงเป็นหนึ่งในกลยุทธ์การโจมตีที่มีประสิทธิผลและครอบคลุมกว้างไกลที่สุดที่อาชญากรไซเบอร์มี สามารถเจาะระบบองค์กรหลายพันแห่งผ่านจุดCompromiseเพียงจุดเดียว ความยินดีของ Google ที่จะดำเนินปฏิบัติการแฝงตัวต่อต้านกลุ่มนี้ยังส่งสัญญาณว่าบริษัทเทคโนโลยีรายใหญ่ให้ความสำคัญกับภัยคุกคามประเภทนี้อย่างจริงจังเพียงใด สำหรับผู้ใช้ทั่วไป การป้องกันที่ดีที่สุดคือสุขอนามัยความปลอดภัยพื้นฐานที่สม่ำเสมอ อัปเดตซอฟต์แวร์อย่างรวดเร็ว ใช้รหัสผ่านที่หลากหลาย เปิดใช้การยืนยันตัวตนหลายปัจจัย และติดตามข้อมูลเกี่ยวกับการเปิดเผยการรั่วไหลที่เกี่ยวข้องกับบริการที่คุณใช้ การโจมตีซัพพลายเชนอาจมีต้นกำเนิดไกลจากอุปกรณ์ของคุณ แต่ขั้นตอนที่คุณทำเพื่อปกป้องบัญชีของคุณยังคงมีความสำคัญ
