รายงาน Cost of a Data Breach 2025 ของ IBM ได้ระบุตัวเลขที่ชัดเจนสำหรับสิ่งที่ผู้เชี่ยวชาญด้านความปลอดภัยเตือนมานานหลายปี: ค่าไถ่ไม่ใช่ต้นทุนที่แท้จริงของการโจมตีด้วยแรนซัมแวร์ ตามรายงานระบุว่า ต้นทุนเฉลี่ยรวมของเหตุการณ์แรนซัมแวร์อยู่ที่ 4.4 ล้านดอลลาร์ ซึ่งสูงกว่าค่าไถ่เฉลี่ย 115,000 ดอลลาร์ ถึง 38 เท่า เมื่อวิเคราะห์เฉพาะกรณีการรั่วไหลของข้อมูลที่เกี่ยวข้องกับแรนซัมแวร์หรือการกรรโชก ต้นทุนเฉลี่ยยิ่งสูงขึ้นไปอีกเป็น 5.08 ล้านดอลลาร์

สำหรับวิสาหกิจขนาดกลางและขนาดย่อม (SME) ตัวเลขเหล่านี้ไม่ใช่เรื่องนามธรรม แต่แสดงให้เห็นช่องว่างระหว่างสิ่งที่ธุรกิจตั้งงบประมาณไว้ (ค่าไถ่ที่พวกเขาหวังว่าจะไม่มีวันต้องจ่าย) กับสิ่งที่การโจมตีดูดออกไปจากองค์กรจริง ๆ เมื่อรวมถึงการกู้คืน ระยะเวลาหยุดทำงาน ความเสี่ยงทางกฎหมาย และความเสียหายต่อชื่อเสียง

ตัวเลขที่อยู่เบื้องหลังพาดหัวข่าว

ตัวคูณ 38 เท่าระหว่างค่าไถ่กับต้นทุนรวมของเหตุการณ์คือตัวเลขที่สำคัญที่สุดในรายงานของ IBM และควรได้รับความสนใจมากกว่าที่เป็นอยู่ โดยทั่วไป บทสนทนาเกี่ยวกับแรนซัมแวร์มักมุ่งไปที่ค่าไถ่เอง เช่น ผู้โจมตีเรียกเท่าไหร่ ควรจ่ายหรือไม่ และจะเจรจาอย่างไร แต่ข้อมูลของ IBM ชี้ให้เห็นว่าการจดจ่ออยู่กับตัวเลขค่าไถ่เพียงอย่างเดียวบดบังภัยคุกคามทางการเงินที่แท้จริง

ค่าไถ่ 115,000 ดอลลาร์อาจฟังดูเหมือนค่าใช้จ่ายทางธุรกิจที่รับมือได้ แม้จะเจ็บปวดบ้าง แต่ต้นทุนรวม 4.4 ล้านดอลลาร์เป็นอีกเรื่องหนึ่งโดยสิ้นเชิง ซึ่งส่งผลกระทบถึงเงินเดือน สัญญากับผู้ขาย ความเชื่อมั่นของลูกค้า และในบางกรณีก็ส่งผลถึงการอยู่รอดของธุรกิจเอง ตัวเลข 5.08 ล้านดอลลาร์สำหรับการรั่วไหลของข้อมูลจากแรนซัมแวร์และการกรรโชกโดยเฉพาะยืนยันว่าเหตุการณ์ประเภทนี้เป็นหนึ่งในประเภทการรั่วไหลของข้อมูลที่แพงที่สุดที่องค์กรสามารถเผชิญได้อย่างต่อเนื่อง

เหตุใดค่าไถ่จึงเป็นส่วนที่เล็กที่สุดของค่าใช้จ่าย

ช่องว่างระหว่างค่าไถ่กับต้นทุนรวมเกิดขึ้นเพราะแรนซัมแวร์ไม่ได้เพียงแค่เข้ารหัสไฟล์ แต่มันขัดขวางการดำเนินงาน ระบบล่ม พนักงานไม่สามารถเข้าถึงเครื่องมือที่จำเป็นต่อการทำงาน บริการที่หันหน้าเข้าหาลูกค้าหยุดชะงัก ทีมกู้คืนต้องถูกเรียกเข้ามา ซึ่งมักจะเป็นกรณีฉุกเฉิน เพื่อสร้างโครงสร้างพื้นฐานขึ้นใหม่ตั้งแต่ต้น แทนที่จะพึ่งพากุญแจถอดรหัสจากผู้โจมตีเพียงอย่างเดียว

นอกจากความขัดข้องในการดำเนินงานแล้ว ยังมีต้นทุนที่สะสมหลังจากระบบกลับมาทำงานอีกนาน เช่น การแจ้งเตือนหน่วยงานกำกับดูแล ค่าปรับที่อาจเกิดขึ้น การสูญเสียลูกค้า ค่าธรรมเนียมทางกฎหมาย และผลกระทบต่อชื่อเสียงจากการเปิดเผยการรั่วไหลของข้อมูลต่อสาธารณะ งานวิจัย Cost of a Data Breach ที่กว้างขึ้นของ IBM แสดงให้เห็นอย่างต่อเนื่องว่าต้นทุนที่ตามมาทีหลังเหล่านี้ ไม่ใช่ค่าไถ่เริ่มแรก คือส่วนใหญ่ของค่าใช้จ่ายที่องค์กรจ่ายไปในที่สุด แรนซัมแวร์แค่รวมเอาต้นทุนเหล่านี้ทั้งหมดไว้ในช่วงเวลาที่สั้นและวุ่นวายกว่า

เหตุใดธุรกิจขนาดกลางและขนาดย่อมจึงเป็นเป้าหมายอันดับหนึ่ง

SME เป็นเป้าหมายที่น่าดึงดูดเพราะมักมีงบประมาณด้านความปลอดภัยน้อยและทีมไอทีที่บางกว่าองค์กรขนาดใหญ่ ขณะเดียวกันก็มักเก็บข้อมูลลูกค้าหรือข้อมูลทางการเงินที่มีค่า ผู้โจมตีรู้ว่าองค์กรขนาดเล็กมีแนวโน้มน้อยกว่าที่จะมีระบบสำรอง พนักงานตอบสนองต่อเหตุการณ์โดยเฉพาะ หรือมีเงินสดสำรองเพื่อดูดซับระยะเวลาหยุดทำงานที่ยาวนานโดยปราศจากผลกระทบร้ายแรง

พลวัตนี้ปรากฏให้เห็นชัดในแคมเปญแรนซัมแวร์ที่ผ่านมา แก๊งเช่น Qilin และ The Gentlemen ได้เร่งการโจมตีโดยมุ่งเป้าไปที่ธุรกิจขนาดกลางและขนาดย่อมโดยเฉพาะ เพื่อแย่งชิงความเป็นใหญ่ในตลาด Ransomware-as-a-Service ด้วยการเพ่งเล็งองค์กรที่มีความพร้อมสู้กลับน้อยกว่า ตัวเลขต้นทุนของ IBM ช่วยอธิบายได้ว่าทำไม: สำหรับผู้โจมตี SME แสดงถึงการผสมผสานระหว่างศักยภาพการจ่ายเงินจริงกับการป้องกันที่ค่อนข้างอ่อนแอ การผสมผสานที่ทำให้กลุ่มนี้ยังคงเป็นเป้าโจมตีอยู่เสมอ

สิ่งนี้หมายความอย่างไรสำหรับคุณ

หากคุณบริหารหรือทำงานในธุรกิจขนาดกลางหรือขนาดย่อม ตัวเลขเหล่านี้ควรเปลี่ยนกรอบความคิดของคุณเกี่ยวกับความเสี่ยงจากแรนซัมแวร์ คำถามที่เกี่ยวข้องไม่ใช่ "เราสามารถจ่ายค่าไถ่ได้หรือไม่ถ้าจำเป็น" แต่เป็น "เราสามารถอยู่รอดจากต้นทุนรวมของเหตุการณ์ ซึ่งรวมถึงระยะเวลาหยุดทำงานหลายสัปดาห์ ค่าใช้จ่ายในการกู้คืน และผลกระทบที่ตามมา ได้หรือไม่" ต้นทุนรวมนั้น จากข้อมูลของ IBM วัดกันเป็นล้าน ไม่ใช่แค่หลักหมื่น

สิ่งนี้ยังมีผลโดยตรงต่อความเป็นส่วนตัวอีกด้วย เหตุการณ์แรนซัมแวร์มักมีการขโมยข้อมูลควบคู่ไปกับการเข้ารหัสเสมอ หมายความว่าข้อมูลส่วนบุคคลของลูกค้าและพนักงานอาจถูกเปิดเผยแม้ว่าจะจ่ายค่าไถ่แล้วก็ตาม ธุรกิจที่มองแรนซัมแวร์เพียงว่าเป็นความเสี่ยงที่ระบบไอทีล่มกำลังประเมินภาระด้านความเป็นส่วนตัวและการปฏิบัติตามกฎระเบียบที่ตามมาหลังการรั่วไหลของข้อมูลที่ถูกขโมยต่ำเกินไป

ข้อคิดที่นำไปปฏิบัติได้

เมื่อพิจารณาถึงขนาดของต้นทุนเหล่านี้ การป้องกันและความพร้อมมีความสำคัญมากกว่ากลยุทธ์การเจรจามาก นี่คือขั้นตอนที่เป็นรูปธรรมบางประการที่ควรให้ความสำคัญ:

  • ดูแลรักษาสำเนาสำรองข้อมูลที่ทดสอบแล้วเป็นประจำ โดยเก็บไว้แบบออฟไลน์หรือในรูปแบบที่ผู้โจมตีไม่สามารถเข้าถึงและเข้ารหัสไปพร้อมกับระบบหลักของคุณได้
  • จัดทำแผนรับมือเหตุการณ์ก่อนที่การโจมตีจะเกิดขึ้น ไม่ใช่ระหว่างถูกโจมตี รวมถึงบทบาทที่ชัดเจนว่าใครเป็นผู้ตัดสินใจเกี่ยวกับระยะเวลาหยุดทำงาน การเปิดเผยข้อมูล และการติดต่อหน่วยงานบังคับใช้กฎหมาย
  • ลงทุนในสุขอนามัยความปลอดภัยขั้นพื้นฐาน: การยืนยันตัวตนแบบหลายปัจจัย การอัปเดตแพตช์ตามกำหนด และการสร้างความตระหนักรู้เกี่ยวกับฟิชชิ่งแก่พนักงาน เนื่องจากการแพร่ระบาดของแรนซัมแวร์จำนวนมากเริ่มต้นจากข้อมูลรับรองที่ถูกขโมยหรือการคลิกอีเมลเพียงครั้งเดียว
  • ทำความเข้าใจภาระหน้าที่ในการแจ้งเตือนการรั่วไหลของข้อมูลของคุณล่วงหน้า เนื่องจากแรนซัมแวร์ที่เกี่ยวข้องกับการขโมยข้อมูลสามารถเรียกใช้ข้อกำหนดทางกฎหมายได้ไม่ว่าจะจ่ายค่าไถ่หรือไม่ก็ตาม

ข้อค้นพบของ IBM ในปี 2025 ทำให้สิ่งหนึ่งชัดเจน: ค่าไถ่คือสิ่งที่เบี่ยงเบนความสนใจจากภัยคุกคามทางการเงินที่แท้จริงจากแรนซัมแวร์ สำหรับ SME การปิดช่องว่างระหว่างค่าไถ่ 115,000 ดอลลาร์กับค่าใช้จ่าย 4.4 ล้านดอลลาร์เริ่มต้นตั้งแต่ก่อนที่ผู้โจมตีจะส่งข้อความแรกเสียอีก