การขู่กรรโชกครั้งที่สองที่ซ่อนอยู่ในครั้งแรก

เหยื่อแรนซัมแวร์ต้องเผชิญกับทางเลือกที่ยากจะตัดสินใจอยู่แล้ว: จ่ายเงินให้กลุ่มอาชญากรหรือเสี่ยงที่ข้อมูลที่ถูกขโมยจะรั่วไหล ตอนนี้ ตามที่นักวิจัยจาก GuidePoint Security ระบุ เหยื่อบางรายกำลังเผชิญกับทางเลือกที่สามที่พวกเขาไม่เคยขอ กลุ่มที่เรียกตัวเองว่า "Ransom Busters" ได้ติดต่อบริษัทที่เพิ่งถูกโจมตีด้วยแรนซัมแวร์ ก่อนที่การโจมตีจะถูกเปิดเผยต่อสาธารณะ และเสนอที่จะกู้คืนไฟล์ที่เข้ารหัสและลบข้อมูลที่ถูกขโมยในราคาที่ต่ำกว่าค่าไถ่เดิม

ในทางกระดาษ ข้อเสนอนั้นฟังดูเหมือนเส้นชูชีพ แต่ในทางปฏิบัติ ข้อค้นพบของ GuidePoint ชี้ให้เห็นว่ามันเป็นการหลอกลวงที่ซ้อนอยู่บนอาชญากรรมที่สร้างความเสียหายอย่างรุนแรงอยู่แล้ว คนที่อยู่เบื้องหลัง Ransom Busters ดูเหมือนจะรู้ว่าเหยื่อถูกโจมตีไปแล้ว ซึ่ง strongly บ่งบอกถึงความเชื่อมโยงกับปฏิบัติการแรนซัมแวร์เอง หรืออย่างน้อยก็การเข้าถึงรายชื่อเหยื่ออย่างมีสิทธิพิเศษ จังหวะเวลานั้นคือกลโกงทั้งหมด: มันได้ผลเพราะเป้าหมายกำลังหวาดกลัว สับสน และสิ้นหวังที่จะหาทางออกใดๆ ที่มีค่าใช้จ่ายน้อยกว่าค่าไถ่เดิมของผู้โจมตี

กลไกที่ใช้ประโยชน์จากความโกลาหลของการโจมตี

การเจรจาเรื่องแรนซัมแวร์นั้นคลุมเครืออยู่แล้ว เหยื่อไม่ค่อยรู้แน่ชัดว่ากำลังติดต่อกับใคร ไฟล์ที่ถูกขโมยถูกลบจริงหรือไม่หลังการจ่ายเงิน หรือการจ่ายเงินจะเชิญชวนให้ถูกโจมตีซ้ำหรือไม่ ความไม่แน่นอนนั้นคือดินที่ Ransom Busters กำลังใช้ปลูกตัวเองอยู่พอดี ด้วยการแสร้งทำเป็นบริษัทกู้คืนอิสระแทนที่จะเป็นผู้ขู่กรรโชก กลโกงนี้ทำให้เหยื่อรู้สึกผิดๆ ว่ากำลังติดต่อกับบุคคลที่สามที่เป็นกลางแทนที่จะต่อรองกับอาชญากรโดยตรง

นี่ไม่ใช่ครั้งแรกที่นักวิจัยชี้ให้เห็นถึงกลุ่มเฉพาะนี้ รายงานก่อนหน้านี้เกี่ยวกับ กลโกง Ransom Busters ที่หลอกเหยื่อแรนซัมแวร์ และบทความแยกต่างหากเกี่ยวกับ กลุ่ม Ransom Busters ปลอมที่หลอกลวงเหยื่อแรนซัมแวร์ ต่างก็อธิบายรูปแบบเดียวกัน: การติดต่อก่อนการเปิดเผยต่อสาธารณะ ราคาที่ลดลง และคำสัญญาเรื่องการลบข้อมูลที่ไม่สามารถตรวจสอบได้จริง การวิจัยล่าสุดของ GuidePoint ยืนยันว่านี่ไม่ใช่ความพยายามฟิชชิ่งครั้งเดียว แต่เป็นขบวนการที่ดำเนินอยู่และดูเหมือนจะทำกำไรได้ ซึ่งเกาะอยู่บนหลังการโจมตีแรนซัมแวร์ที่ถูกต้องตามกฎหมาย

ความประชดประชันที่อึดอัดคือกลโกงนี้ได้ผลก็เพราะการจ่ายค่าไถ่แรนซัมแวร์กลายเป็นเรื่องปกติมากพอที่เหยื่อจะพิจารณาคำขอจ่ายเงินครั้งที่สองที่ไม่ได้รับการร้องขอว่าเป็นไปได้ งานวิจัยจาก Proofpoint แสดงให้เห็นแล้วว่า 1 ใน 3 ของผู้จ่ายค่าไถ่แรนซัมแวร์ถูกโจมตีซ้ำ หมายความว่าองค์กรที่จ่ายเงินครั้งหนึ่งมีแนวโน้มทางสถิติที่จะถูกกำหนดเป้าหมายเป็นครั้งที่สอง Ransom Busters ดูเหมือนจะใช้ประโยชน์จากวงจรเดียวกันนี้ เพียงแต่จากมุมที่ต่างออกไป

ทำไมเรื่องนี้จึงสำคัญเกินกว่าข้อความเรียกค่าไถ่

ความเสี่ยงด้านความเป็นส่วนตัวที่นี่ไปไกลกว่าการจ่ายเงินที่สูญเปล่า เหยื่อที่ติดต่อกับ Ransom Busters โดยนิยามแล้วคือองค์กรที่ข้อมูลที่ละเอียดอ่อนถูกขโมยไปแล้ว ทุกช่องทางการสื่อสารเพิ่มเติมที่เหยื่อเปิดขึ้น โดยเฉพาะช่องทางที่เริ่มต้นโดยบุคคลที่ไม่ได้รับการยืนยันซึ่งอ้างว่ารู้ข้อมูลภายในเกี่ยวกับการละเมิด เป็นอีกโอกาสหนึ่งที่ข้อมูลจะถูกจัดการอย่างผิดพลาด ถูกเปิดเผยเพิ่มเติม หรือถูกใช้เป็นเครื่องมือต่อรอง หากเหยื่อจ่ายเงินให้ Ransom Busters โดยเชื่อว่าไฟล์ที่ถูกขโมยจะถูกลบ พวกเขาก็ไม่มีการรับประกันจริงๆ ว่าอะไรจะถูกลบเลย ข้อมูลอาจยังถูกขาย รั่วไหล หรือถูกยึดไว้เพื่อขู่กรรโชกในอนาคต

สิ่งนี้เข้ากับรูปแบบที่กว้างขึ้นที่บันทึกไว้ในการรายงานข่าวเกี่ยวกับ เหตุใดเศรษฐกิจการขู่กรรโชกแรนซัมแวร์ยังคงดำเนินต่อไปจนถึงปี 2026: ตราบใดที่การจ่ายเงินยังเป็นเรื่องปกติและการตรวจสอบยังแทบเป็นไปไม่ได้ อาชญากรก็จะยังคงหาวิธีใหม่ๆ ในการแทรกตัวเข้าไปในกระบวนการชำระเงิน Ransom Busters เป็นเพียงรูปแบบล่าสุด ที่ใช้ประโยชน์จากช่องว่างความไว้วางใจเดียวกันที่ทำให้แรนซัมแวร์ทำกำไรได้ตั้งแต่แรก

สิ่งนี้หมายถึงอะไรสำหรับคุณ

หากองค์กรของคุณถูกโจมตีด้วยแรนซัมแวร์ ให้ปฏิบัติต่อข้อเสนอความช่วยเหลือในการกู้คืนที่ไม่ได้รับการร้องขอด้วยความกังขาแบบเดียวกับที่คุณจะใช้กับข้อเรียกร้องค่าไถ่เอง บริษัทรับมือเหตุการณ์ที่ถูกต้องตามกฎหมายถูกว่าจ้างโดยคุณ ไม่ใช่ในทางกลับกัน และพวกเขาไม่通常会ติดต่อเชิงรุกก่อนที่การโจมตีจะถูกเปิดเผยต่อสาธารณะ ข้อความที่อ้างว่ามีข้อมูลภายในเกี่ยวกับรายละเอียดการละเมิดของคุณ ซึ่งมาถึงอย่างรวดเร็วจนน่าสงสัย เป็นสัญญาณเตือนสำคัญ ไม่ใช่ทางลัด

องค์กรควรส่งต่อเหตุการณ์แรนซัมแวร์ใดๆ ผ่านผู้ให้บริการรับมือเหตุการณ์ที่รู้จักและผ่านการตรวจสอบแล้ว หรือผู้ติดต่อหน่วยงานบังคับใช้กฎหมาย แทนที่จะติดต่อโดยตรงกับใครก็ตามที่เข้ามาหาคุณก่อน การตรวจสอบตัวตน การบันทึกการสื่อสารทั้งหมด และการต้านทานแรงกดดันให้ดำเนินการอย่างรวดเร็ว เป็นการป้องกันที่ดีที่สุดต่อกลโกงที่ออกแบบมาเพื่อใช้ประโยชน์จากความตื่นตระหนก

ประเด็นสำคัญ

  • ระวังใครก็ตามที่เสนอบริการ "กู้คืน" แรนซัมแวร์ซึ่งติดต่อคุณก่อนที่การละเมิดของคุณจะถูกเปิดเผยต่อสาธารณะ
  • อย่าคิดว่าการจ่ายเงินที่ลดลงรับประกันการลบข้อมูล; ไม่มีวิธีที่เชื่อถือได้ในการตรวจสอบคำสัญญานั้น
  • ทำงานกับบริษัทรับมือเหตุการณ์ที่คุณหรือที่ปรึกษากฎหมายของคุณตรวจสอบอย่างอิสระเท่านั้น
  • รายงานข้อเสนอการกู้คืนที่น่าสงสัยต่อหน่วยงานบังคับใช้กฎหมาย เนื่องจากอาจชี้ไปที่ความรู้ภายในเกี่ยวกับการโจมตีเดิม
  • เข้าใจว่าการจ่ายเงินให้ฝ่ายใดฝ่ายหนึ่งในเหตุการณ์แรนซัมแวร์ ไม่ว่าจะเป็นผู้โจมตีเดิมหรือไม่ก็ตาม มีความเสี่ยงและไม่รับประกันความปลอดภัยของข้อมูลของคุณ