กลุ่มแรนซัมแวร์ Helix เล็งเป้า Uber Freight

กลุ่มแรนซัมแวร์ที่เรียกตัวเองว่า Helix ได้อ้างความรับผิดชอบต่อการโจมตีทางไซเบอร์ต่อ Uber Freight ซึ่งเป็นแผนกโลจิสติกส์ของยักษ์ใหญ่บริการเรียกรถ โดยได้โพสต์รายละเอียดของการรั่วไหลที่ถูกกล่าวหาในช่วงต้นเดือนสิงหาคม ตามรายงานข่าวกรองด้านภัยคุกคามเกี่ยวกับเหตุการณ์นี้ กลุ่มดังกล่าวอ้างว่าได้เข้าถึงระบบ SharePoint ภายในและขโมยไฟล์จำนวนมาก โดยบางรายงานระบุตัวเลขว่ามีเกือบหนึ่งล้านเอกสาร Uber Freight ได้ยอมรับว่ากำลังตรวจสอบเหตุการณ์นี้ แต่บริษัทยังไม่ได้ยืนยันขอบเขตหรือความแท้จริงของทุกสิ่งที่ผู้โจมตีอ้างว่าถือครองอยู่

เป็นที่น่าสังเกตว่าขณะนี้มีคำว่า "Helix" อีกอันหนึ่งที่ไม่เกี่ยวข้องกันปรากฏในการสนทนาเรื่องความปลอดภัย: ระบบเฝ้าระวังของหน่วยสืบราชการลับสหรัฐฯ ที่รวมการจดจำใบหน้าและข้อมูลป้ายทะเบียน ซึ่งได้ดึงดูด การตรวจสอบด้านความเป็นส่วนตัว ในตัวของมันเอง ความบังเอิญของชื่อนั้นเป็นเรื่องบังเอิญ แต่ก็เป็นเครื่องเตือนใจที่ดีให้ตรวจสอบว่าพาดหัวข่าวกล่าวถึง "Helix" ตัวไหนก่อนที่จะด่วนสรุป

กลยุทธ์การรีดไถสองต่อและโมเดลธุรกิจแบบ RaaS

สิ่งที่ทำให้เหตุการณ์นี้น่าสนใจไม่ใช่แค่เป้าหมาย แต่อยู่ที่กลยุทธ์ ข่าวกรองด้านภัยคุกคามเกี่ยวกับกลุ่ม Helix อธิบายถึงรูปแบบที่สอดคล้องกับการปฏิบัติการแรนซัมแวร์ในรูปแบบบริการ (Ransomware-as-a-Service: RaaS) สมัยใหม่: เข้ารหัสระบบปฏิบัติการ เรียกค่าไถ่ และขู่ว่าจะเผยแพร่ข้อมูลที่ถูกขโมยต่อสาธารณะหากเหยื่อไม่จ่ายเงิน โมเดล "รีดไถสองต่อ" นี้ได้กลายเป็นคู่มือเริ่มต้นของแก๊งแรนซัมแวร์ในช่วงหลายปีที่ผ่านมา เพราะมันทำให้ผู้โจมตีมีอำนาจต่อรองแม้ว่าเหยื่อจะมีข้อมูลสำรองที่ดีและสามารถกู้คืนการดำเนินงานได้โดยไม่ต้องจ่ายเงิน

กลุ่ม RaaS ยังมีแนวโน้มที่จะเคลื่อนไหวอย่างรวดเร็วเมื่อสร้างการเข้าถึงได้แล้ว นักวิจัยด้านภัยคุกคามที่ติดตามกิจกรรมที่กว้างขึ้นของ Helix สังเกตว่าเมื่อรายละเอียดทางเทคนิคที่สามารถใช้ประโยชน์ได้หรือโค้ดพิสูจน์แนวคิดปรากฏขึ้น การโจมตีที่ใช้เป็นอาวุธอาจตามมาภายในไม่กี่วัน บางครั้งเพียง 24 ถึง 72 ชั่วโมง กรอบเวลาที่บีบอัดนี้เป็นส่วนหนึ่งของสาเหตุที่แรนซัมแวร์ยังคงเป็นปัญหาที่เกิดขึ้นอย่างต่อเนื่องสำหรับองค์กรขนาดใหญ่: ทีมรักษาความปลอดภัยมักมีหน้าต่างที่แคบมากระหว่างการเปิดเผยช่องโหว่กับการใช้ประโยชน์ในเชิงรุกเพื่อแพตช์ แยกส่วน หรือลดความเสี่ยงในการถูกโจมตี

ข้อมูลอะไรบ้างที่อาจเสี่ยง

เนื่องจากการบุกรุกที่ถูกกล่าวอ้างรายงานว่าแตะต้องเครื่องมือการทำงานร่วมกันภายในอย่าง SharePoint ความเสี่ยงในการรั่วไหลนี้จึงเอนเอียงไปทางเอกสารขององค์กรและการดำเนินงานมากกว่าข้อมูลบัญชีผู้บริโภคที่ได้รับการยืนยัน อย่างไรก็ตาม แพลตฟอร์มโลจิสติกส์อย่าง Uber Freight มักจัดการบันทึกทางธุรกิจที่ละเอียดอ่อนเป็นประจำ: ใบแจ้งรายการขนส่ง สัญญากับผู้ให้บริการขนส่ง รายละเอียดการเรียกเก็บเงิน และการสื่อสารภายใน ซึ่งบางส่วนอาจรวมถึงข้อมูลส่วนบุคคลหรือข้อมูลทางการเงินของพนักงาน พนักงานขับรถ และคู่ค้าทางธุรกิจ จนกว่าการสอบสวนของ Uber Freight จะเสร็จสิ้น ขอบเขตทั้งหมดของสิ่งที่ถูกเข้าถึง และรวมไปถึงว่ามันขยายไปถึงระบบที่ติดต่อกับลูกค้าหรือไม่ ยังคงไม่ได้รับการยืนยัน

ความไม่แน่นอนนี้เป็นบทเรียนในตัวเอง ในกรณีการรีดไถสองต่อ เหยื่อมักไม่ทราบขอบเขตที่แท้จริงของการรั่วไหลจนกว่าข้อมูลที่ถูกขโมยจะปรากฏขึ้นจริงบนฟอรัมดาร์กเว็บหรือไซต์รั่วไหล ซึ่งอาจเกิดขึ้นหลายสัปดาห์หรือหลายเดือนหลังจากการอ้างสิทธิ์ครั้งแรก

สิ่งที่คุณควรทำ

หากคุณใช้บริการของ Uber หรือ Uber Freight ในทุกความสามารถ ไม่ว่าจะเป็นผู้โดยสาร พนักงานขับรถ หรือคู่ค้าทางธุรกิจ การตอบสนองในทางปฏิบัติก็เหมือนกับที่ใช้กับการอ้างสิทธิ์การรั่วไหลขององค์กรส่วนใหญ่: ให้สันนิษฐานว่ามีความเสี่ยงจากการถูกเปิดเผยข้อมูลบางส่วนจนกว่าจะพิสูจน์ได้ว่าไม่เป็นเช่นนั้น และใช้มาตรการป้องกันที่ใช้ความพยายามน้อย แทนที่จะรอการยืนยันอย่างเป็นทางการ

เริ่มต้นด้วยการตรวจสอบกิจกรรมในบัญชีของคุณเพื่อหาสิ่งผิดปกติ และเปลี่ยนรหัสผ่านหากคุณยังไม่ได้อัปเดตเมื่อเร็วๆ นี้ โดยเฉพาะอย่างยิ่งหากคุณใช้รหัสผ่านนั้นซ้ำที่อื่น เปิดใช้งานการยืนยันตัวตนแบบหลายปัจจัยหากคุณยังไม่ได้ทำ หากคุณเป็นคู่ค้าทางธุรกิจหรือพนักงานขับรถที่ข้อมูลทางการเงินหรือภาษีอาจถูกจัดเก็บไว้ในระบบที่ได้รับผลกระทบ ให้จับตาดูใบแจ้งยอดธนาคารและเครดิตของคุณเพื่อดูกิจกรรมที่ไม่คุ้นเคยในช่วงหลายสัปดาห์ข้างหน้า

ในด้านเทคนิค เหตุการณ์นี้เป็นเครื่องเตือนใจที่มีประโยชน์ว่าทำไมการป้องกันเชิงชั้นจึงมีความสำคัญสำหรับองค์กรทุกขนาด เครื่องมือตรวจจับปลายทางสามารถจับพฤติกรรมของแรนซัมแวร์ได้ก่อนที่การเข้ารหัสจะแพร่กระจาย การแบ่งส่วนเครือข่ายจำกัดว่าผู้บุกรุกสามารถเคลื่อนที่ไปได้ไกลแค่ไหนเมื่ออยู่ภายในแล้ว และ VPN ที่มีการควบคุมการยืนยันตัวตนที่แข็งแกร่งจะลดโอกาสที่การเข้าถึงด้วยข้อมูลประจำตัวจะเป็นจุดเริ่มต้นในการเข้าสู่ระบบตั้งแต่แรก มาตรการเหล่านี้ไม่มีอะไรที่ทำให้องค์กรปลอดภัยจากแรนซัมแวร์ได้อย่างสมบูรณ์ แต่เมื่อรวมกันแล้วจะลดพื้นที่การโจมตีและซื้อเวลาให้ผู้ป้องกันในการตอบสนองมากขึ้น

แนวทางปฏิบัติที่นำไปใช้ได้

  • เปลี่ยนรหัสผ่านที่เชื่อมโยงกับบัญชี Uber หรือ Uber Freight ใดๆ และหลีกเลี่ยงการใช้ซ้ำในบริการต่างๆ
  • เปิดใช้การยืนยันตัวตนแบบหลายปัจจัยทุกที่ที่มีให้ใช้
  • ติดตามใบแจ้งยอดธนาคารและรายงานเครดิตหากคุณเป็นพนักงานขับรถ พนักงาน หรือคู่ค้าทางธุรกิจที่ข้อมูลทางการเงินอาจถูกจัดเก็บไว้ในระบบที่ได้รับผลกระทบ
  • ปฏิบัติต่อข้อกล่าวอ้างที่ไม่ได้รับการยืนยันจากไซต์รั่วไหลของแรนซัมแวร์ด้วยความระมัดระวัง แต่อย่าเพิกเฉย ยืนยันการอัปเดตโดยตรงจาก Uber Freight ในขณะที่การสอบสวนดำเนินไป
  • สำหรับองค์กร ให้จัดลำดับความสำคัญในการแพตช์ช่องโหว่ที่ทราบอย่างรวดเร็ว เนื่องจากกลุ่ม RaaS อย่าง Helix สามารถเปลี่ยนข้อบกพร่องที่ถูกเปิดเผยให้เป็นอาวุธได้ภายในไม่กี่วัน

ข้อกล่าวอ้างของแรนซัมแวร์ Helix ต่อ Uber Freight ยังคงคลี่คลายอยู่ และรายละเอียดสำคัญ รวมถึงว่ามีการจ่ายค่าไถ่หรือไม่หรือข้อมูลใดที่ถูกขโมยไปจริง ยังคงไม่ได้รับการยืนยัน เช่นเดียวกับเรื่องราวของแรนซัมแวร์ส่วนใหญ่ การดำเนินการที่รับผิดชอบคือการติดตามข้อมูลอย่างใกล้ชิด กระชับความปลอดภัยของบัญชีของคุณเองตอนนี้ และรอการอัปเดตอย่างเป็นทางการ แทนที่จะตอบสนองต่อข้อกล่าวอ้างที่ไม่ได้รับการยืนยันเพียงอย่างเดียว