การโจมตีด้วยแรนซัมแวร์ลดลง แต่ภัยคุกคามกลับคมกริบยิ่งขึ้น

รายงานรายไตรมาสฉบับใหม่จากบริษัทความปลอดภัย Halcyon ส่งสารที่หลากหลายสำหรับผู้ที่ติดตามแนวโน้มแรนซัมแวร์: ปริมาณการโจมตีโดยรวมกำลังลดลง แต่เทคนิคเบื้องหลังการโจมตีที่ประสบความสำเร็จนั้นยากต่อการตรวจจับและหยุดยั้งมากขึ้นอย่างมีนัยสำคัญ ข้อค้นพบสำคัญคือกลุ่มแรนซัมแวร์หันมาใช้เทคนิคที่เรียกว่า 'EDR kill' มากขึ้น ซึ่งเป็นวิธีการปิดการใช้งานซอฟต์แวร์ตรวจจับและตอบสนองบนอุปกรณ์ปลายทาง (EDR) ก่อนที่จะปล่อยมัลแวร์เข้ารหัสไฟล์

เครื่องมือ EDR คือซอฟต์แวร์ความปลอดภัยที่หลายองค์กรพึ่งพาในการตรวจจับพฤติกรรมน่าสงสัยบนแล็ปท็อป เซิร์ฟเวอร์ และเวิร์กสเตชัน ก่อนที่มันจะลุกลามกลายเป็นการละเมิดเต็มรูปแบบ เมื่อผู้โจมตีสามารถปิดหรือทำให้ซอฟต์แวร์นั้นมองไม่เห็นก่อน พวกเขาจะมีเวลามากขึ้นในการเคลื่อนที่ผ่านเครือข่าย ขโมยข้อมูล และเข้ารหัสระบบ โดยมีโอกาสถูกจับได้ระหว่างการโจมตีน้อยลงมาก

จากเทคนิคเฉพาะทางสู่แนวปฏิบัติมาตรฐาน

จากข้อมูลไตรมาส 2 ปี 2026 ของ Halcyon สิ่งที่เคยถูกมองว่าเป็นความสามารถเฉพาะทางและใช้ได้เฉพาะกลุ่มแรนซัมแวร์ที่มีความซับซ้อนสูงสุด กลายเป็นขั้นตอนปกติในห่วงโซ่การโจมตีไปแล้ว การปิดหรือเลี่ยงระบบความปลอดภัยปลายทางไม่ใช่ข้อยกเว้นอีกต่อไป แต่กลายเป็นสิ่งที่คาดหวังได้สำหรับกลุ่มที่ดำเนินปฏิบัติการแรนซัมแวร์สมัยใหม่

การเปลี่ยนแปลงนี้สำคัญเพราะ EDR เป็นหนึ่งในชั้นป้องกันหลักที่องค์กรลงทุนเพื่อตรวจจับการบุกรุกตั้งแต่เนิ่นๆ หากการปิดชั้นป้องกันนั้นกลายเป็นขั้นตอนมาตรฐานที่ทำซ้ำได้ แทนที่จะเป็นเทคนิคเฉพาะที่หายาก มันจะลดอุปสรรคด้านทักษะให้กลุ่มที่มีความซับซ้อนน้อยกว่าสามารถบรรลุผลลัพธ์เดียวกันกับผู้ปฏิบัติการระดับสูง นั่นยังหมายความว่าสัญญาณการบุกรุกแบบดั้งเดิม เช่น การแจ้งเตือนจาก EDR อาจไม่ปรากฏขึ้นเลย ปล่อยให้ทีมความปลอดภัยมีคำเตือนน้อยลงก่อนที่ข้อมูลจะถูกขโมยหรือระบบถูกล็อก

ความย้อนแย้งที่รายงานของ Halcyon เน้นคือสิ่งนี้กำลังเกิดขึ้นแม้จำนวนการโจมตีด้วยแรนซัมแวร์ดิบๆ จะลดลง เหตุการณ์ที่น้อยลงไม่ได้หมายความว่าความเสี่ยงน้อยลงเสมอไป แต่อาจหมายความว่าการโจมตีที่ยังคงเกิดขึ้นนั้นมีการกำหนดเป้าหมายมากขึ้น มีทรัพยากรดีขึ้น และหยุดยั้งได้ยากขึ้นเมื่อเริ่มต้นแล้ว เนื่องจากผู้โจมตีเบื้องหลังได้ปรับเปลี่ยนฝีมือของตนเพื่อเอาชนะเครื่องมือที่ผู้ป้องกันพึ่งพามากที่สุดโดยเฉพาะ

ทำไมสิ่งนี้จึงสำคัญต่อความเป็นส่วนตัว ไม่ใช่แค่ความปลอดภัยไอที

เราอาจมองว่าเทคนิค EDR kill เป็นเรื่องทางเทคนิคเฉพาะของฝ่ายไอทีเบื้องหลัง แต่ผลกระทบนั้นตกอยู่กับบุคคลทั่วไปที่มีข้อมูลอยู่ในองค์กรที่ถูกโจมตี การโจมตีด้วยแรนซัมแวร์ในปัจจุบันแทบไม่หยุดอยู่แค่การเข้ารหัส กลุ่มผู้โจมตีมักจะขโมยไฟล์สำคัญออกไปก่อนและขู่ว่าจะเผยแพร่หากไม่จ่ายค่าไถ่ เมื่อผู้โจมตีสามารถปิดเครื่องมือตรวจจับและทำงานได้นานขึ้นโดยไม่ถูกรบกวน พวกเขามีเวลามากขึ้นในการค้นหาและคัดลอกข้อมูลที่สำคัญที่สุด เช่น บันทึกลูกค้า ไฟล์พนักงาน เอกสารทางการเงิน และข้อมูลธุรกิจที่เป็นกรรมสิทธิ์

กรณีล่าสุดของ Gentlemen Ransomware โจมตี Soja de Portugal ซึ่งส่งผลให้ข้อมูลองค์กรที่ละเอียดอ่อน 491GB ถูกเผยแพร่ เป็นภาพประกอบที่ชัดเจนว่าการโจมตีเหล่านี้แปลเป็นการเปิดเผยข้อมูลจริงสำหรับบุคคลและบริษัทได้อย่างไร ไม่ว่ากรณีนั้นจะเกี่ยวข้องกับการหลบเลี่ยง EDR หรือไม่ มันแสดงให้เห็นถึงขนาดของข้อมูลที่สามารถถูกกวาดไปได้เมื่อผู้โจมตีเข้ามาตั้งหลักได้และสามารถทำงานโดยมีการรบกวนน้อยที่สุด

สิ่งนี้หมายถึงอะไรสำหรับคุณ

สำหรับผู้อ่านส่วนใหญ่ นี่ไม่ใช่การเรียกร้องให้ตื่นตระหนก แต่เป็นเครื่องเตือนว่าสมมติฐานด้านความปลอดภัยที่หลายองค์กรยึดถือกำลังเปลี่ยนไป หากคุณทำงานด้านไอทีหรือความปลอดภัย ข้อค้นพบของ Halcyon เน้นย้ำว่า EDR เพียงอย่างเดียวไม่สามารถถูกมองเป็นระบบเตือนภัยล่วงหน้าที่รับประกันได้อีกต่อไป การป้องกันหลายชั้น การตรวจสอบเครือข่าย และการวางแผนตอบสนองอย่างรวดเร็วมีความสำคัญมากกว่าที่เคย หากคุณเป็นบุคคลที่ข้อมูลส่วนตัวถูกเก็บไว้โดยบริษัท โรงเรียน ผู้ให้บริการด้านสุขภาพ หรือแพลตฟอร์มบริการ แนวโน้มนี้เป็นเครื่องเตือนว่าการละเมิดที่องค์กรเหล่านั้นอาจเปิดเผยข้อมูลของคุณโดยมีการเตือนล่วงหน้าน้อยลงกว่าในอดีต เนื่องจากผู้โจมตีเก่งขึ้นในการทำงานอย่างเงียบเชียบ

ข้อปฏิบัติที่นำไปใช้ได้

ขั้นตอนปฏิบัติสองสามข้อสามารถช่วยได้ไม่ว่าคุณจะมีบทบาทใด:

  • หากคุณจัดการโครงสร้างพื้นฐานความปลอดภัย อย่าพึ่งพาเฉพาะการแจ้งเตือนจาก EDR แต่ให้รวมเข้ากับการตรวจสอบระดับเครือข่ายและการฝึกซ้อมบนโต๊ะเป็นประจำที่สมมติว่าเครื่องมือตรวจจับอาจถูกปิดใช้งาน
  • ผลักดันและสนับสนุนนโยบายความปลอดภัยที่มีการสำรองข้อมูลแบบออฟไลน์ เนื่องจากกลุ่มแรนซัมแวร์ที่ปิด EDR ได้สำเร็จมักมีเวลามากขึ้นในการโจมตีระบบสำรองข้อมูลด้วย
  • ในฐานะบุคคล ใช้รหัสผ่านที่ไม่ซ้ำกันและเปิดใช้การยืนยันตัวตนหลายปัจจัยทุกที่ที่ข้อมูลของคุณถูกเก็บไว้ เพื่อให้แม้บริษัทที่คุณพึ่งพาถูกละเมิด บัญชีอื่นๆ ของคุณก็ยังปลอดภัย
  • จับตาดูการแจ้งเตือนการละเมิดจากบริษัทที่คุณทำธุรกิจด้วย และดำเนินการอย่างรวดเร็วตามคำแนะนำการเปลี่ยนรหัสผ่านหรือข้อเสนอการตรวจสอบเครดิต

จำนวนแรนซัมแวร์อาจลดลงในแง่ตัวเลขดิบ แต่ความซับซ้อนของเทคนิค EDR kill หมายความว่าการโจมตีที่เกิดขึ้นนั้นมีความเสี่ยงมากขึ้นสำหรับข้อมูลที่ถูกแตะต้อง การรับรู้ว่าภัยคุกคามเหล่านี้พัฒนาไปอย่างไรเป็นหนึ่งในวิธีที่ง่ายที่สุดในการก้าวนำหน้าหนึ่งก้าว