การเจรจาเรียกค่าไถ่ในอดีตเคยทำให้เรานึกภาพผู้ปฏิบัติการเพียงคนเดียวที่นั่งอยู่หลังคีย์บอร์ด รอให้เหยื่อติดต่อเข้ามา แต่จากผลการวิจัยใหม่ของบริษัทข่าวกรองภัยคุกคาม Intel 471 ภาพนั้นล้าสมัยแล้ว แก๊งเรียกค่าไถ่ในปัจจุบันปฏิบัติต่อการเจรจาเสมือนกระบวนการทางธุรกิจที่มีบุคลากรประจำ พร้อมกับการวิจัยรายได้และความคุ้มครองinsuranceของเหยื่อก่อนที่จะตั้งตัวเลขค่าไถ่ใดๆ สำหรับองค์กรขนาดกลางถึงเล็ก ผลกระทบนั้นไปไกลเกินกว่าขนาดของหนังสือเรียกค่าไถ่

การเจรจาเรียกค่าไถ่กลายเป็นฟังก์ชันที่มีโครงสร้างชัดเจน

งานวิจัยของ Intel 471 อธิบายถึงการเปลี่ยนแปลงที่ตัวเลขค่าไถ่ไม่ใช่ตัวเลขที่สุ่มขึ้นมาจากลิสต์เป้าหมาย "บริษัทใหญ่" อีกต่อไป แต่ผู้โจมตีกลับดำเนินการตรวจสอบสถานะอย่างรอบคอบ รวบรวมข่าวกรองเกี่ยวกับฐานะการเงินและกรมธรรม์ประกันภัยไซเบอร์ของเหยื่อก่อนกำหนดราคา ซึ่งสะท้อนแนวโน้มกว้างๆ ที่ถูกบันทึกไว้ทั่วระบบนิเวศแรนซัมแวร์ โดยที่ปฏิบัติการต่างๆ มีลักษณะคล้ายองค์กรเชิงพาณิชย์มากขึ้นเรื่อยๆ พร้อมบทบาทที่ชัดเจน ตั้งแต่โบรกเกอร์การเข้าถึงไปจนถึงนักเจรจา รายงานเกี่ยวกับ แรนซัมแวร์ในฐานะโมเดลธุรกิจ ได้ติดตามแล้วว่ากลุ่มแรนซัมแวร์แบบบริการ (RaaS) ทำให้แทบทุกขั้นตอนของการโจมตีเป็นมืออาชีพ และการเจรจาก็ดูเหมือนจะเป็นฟังก์ชันล่าสุดที่ได้รับการปฏิบัติเช่นนั้น

ผลในทางปฏิบัติคือ จำนวนค่าไถ่สามารถปรับเทียบได้กับสิ่งที่องค์กรหนึ่งๆ มีแนวโน้มจะจ่ายได้จริง แทนที่จะเป็นอัตรามาตรฐานอุตสาหกรรม บริษัทที่มีวงเงินชดใช้insuranceจำนวนมากอาจเจอตัวเลขเปิดสูงกว่าบริษัทที่ไม่มี coverage การปรับเทียบเช่นนี้ต้องอาศัยการวิจัย และการวิจัยต้องอาศัยข้อมูล ซึ่งนั่นคือจุดที่ข้อกังวลด้านความเป็นส่วนตัวเข้ามาเกี่ยวข้อง

ทำไมเรื่องนี้สำคัญต่อความเป็นส่วนตัว ไม่ใช่แค่การเงิน

เมื่อมองผิวเผิน นี่ดูเหมือนเรื่องราวทางการเงินและการดำเนินงาน: แก๊งเรียกค่าไถ่ใช้ประโยชน์สูงสุดโดยการเข้าใจความสามารถในการจ่ายของเหยื่อ แต่กลไกเบื้องหลังนั้นมีนัยยะด้านความเป็นส่วนตัวที่แท้จริง ในการประเมินรายได้และสถานะประกันภัย ผู้โจมตีจำเป็นต้องรวบรวมข้อมูลเกี่ยวกับบริษัทก่อนหรือระหว่างการบุกรุก ซึ่งมักมาจากระบบและไฟล์ที่พวกเขาเจาะเข้าไปเสียเอง นั่นหมายความว่า เอกสารทางการเงิน จดหมายโต้ตอบเกี่ยวกับประกันภัย และการสื่อสารภายในกลายเป็นส่วนหนึ่งของการลาดตระเวนที่ผู้โจมตีใช้ต่อต้านองค์กร ไม่ใช่แค่ข้อมูลที่อาจถูกเปิดเผยในภายหลัง

เรื่องนี้ยังเชื่อมโยงกับกลยุทธ์ที่ reshaping ภูมิทัศน์การข่มขู่กรรโชกอยู่แล้ว กลุ่มต่างๆ ถูกบันทึกว่าให้กรอบเวลาตอบสนองที่สั้นลงเรื่อยๆ แก่เหยื่อ ซึ่งเป็นกลวิธีกดดันที่ถูกตรวจสอบในรายงานว่าเหตุใด แก๊งแรนซัมแวร์จึงให้เวลาเหยื่อเพียงเจ็ดวัน ในการตัดสินใจ เมื่อทีมเจรจารู้อยู่แล้วว่าเหยื่อจ่ายได้เท่าไรและต้องแก้ไขเหตุการณ์เร็วแค่ไหน ไทม์ไลน์ที่บีบรัดนั้นจึงกลายเป็นเครื่องมือในการรีดเงินสูงสุด ไม่ใช่ผลพลอยได้จากความใจร้อนของอาชญากร ในทำนองเดียวกัน รายงานเกี่ยวกับ ต้นทุนแฝงของการข่มขู่ที่ขับเคลื่อนด้วย AI แสดงให้เห็นว่าตัวเลขค่าไถ่เองมักเป็นเพียงหนึ่งรายการในความเสียหายทั้งหมดที่เหยื่อต้องแบกรับ ควบคู่ไปกับความเสี่ยงทางกฎหมาย การแจ้งหน่วยงานกำกับดูแล และความเสียหายต่อชื่อเสียง

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

สำหรับองค์กรขนาดกลางถึงเล็กโดยเฉพาะ โมเดลการเจรจาที่มีการวิจัยล่วงหน้าเปลี่ยนสมการในการเตรียมความพร้อมรับมือเหตุการณ์ หลายบริษัทขนาดกลางสันนิษฐานว่ากลุ่มแรนซัมแวร์เล็งเป้าหมายพวกเขาแบบฉวยโอกาสและปฏิบัติต่อเหยื่อทุกคนเหมือนกัน ข้อค้นพบของ Intel 471 บอกเป็นอย่างอื่น: หากผู้โจมตีทำโปรไฟล์รายได้และสถานะประกันภัยก่อนตั้งราคา บริษัทขนาดกลางที่มีความคุ้มครองประกันภัยที่มองเห็นได้หรือมีการเปิดเผยข้อมูลทางการเงินต่อสาธารณะอาจถูกประเมินอย่างรอบคอบพอๆ กับองค์กรขนาดใหญ่ แม้จำนวนค่าไถ่สุดท้ายจะถูกลดขนาดลง

เรื่องนี้ยังมีนัยยะเชิงนโยบายด้วย ในขณะที่การเจรจามีการคำนวณมากขึ้นในฝั่งผู้โจมตี รัฐบาลบางแห่งเริ่มพิจารณาว่าเหยื่อควรได้รับอนุญาตให้เจรจาหรือจ่ายค่าไถ่เลยหรือไม่ การอภิปรายที่กำลังดำเนินอยู่ซึ่งครอบคลุมในรายงานเกี่ยวกับ รัฐบาลที่พิจารณาห้ามจ่ายค่าไถ่แรนซัมแวร์ สะท้อนถึงการยอมรับที่เพิ่มขึ้นว่ากระบวนการเจรจาเองนั้นซับซ้อนพอที่จะสมควรได้รับความสนใจด้านกฎระเบียบ ไม่ใช่แค่การป้องกันทางเทคนิค

บทสรุปเชิงปฏิบัติที่นำไปใช้ได้

องค์กรต่างๆ โดยเฉพาะบริษัทขนาดกลางที่อาจเชื่อว่าตัวเองไม่เป็นเป้าสายตา ควรถือว่าการเปลี่ยนแปลงนี้เป็นเหตุผลในการทบทวนแผนรับมือเหตุการณ์ตั้งแต่วันนี้ ก่อนที่เหตุการณ์จะเกิดขึ้น หลายขั้นตอนที่เป็นรูปธรรมสามารถช่วยได้:

  • ทบทวนว่าใครบ้างที่เข้าถึงเอกสารทางการเงินและเอกสารประกันภัยภายในองค์กร และจำกัดการเปิดเผยข้อมูลนั้นบนไดรฟ์ที่ใช้ร่วมกันหรือระบบที่เข้าถึงได้ง่าย
  • เตรียมความพร้อมด้านการเจรจาเรียกค่าไถ่ไว้ล่วงหน้า
  • ยืนยันว่ารายละเอียดประกันภัยไซเบอร์ถูกจัดเก็บอย่างปลอดภัยและไม่ถูกค้นพบได้ง่ายโดยผู้บุกรุกในช่วงแรกของการละเมิด
  • ซ้อมสถานการณ์จำลอง (tabletop exercises) ที่สมมติว่าผู้โจมตีรู้รายได้และวงเงินความคุ้มครองของคุณแล้ว ไม่ใช่แค่สมมติว่าพวกเขาเข้ารหัสไฟล์ของคุณ
  • ติดตามข้อมูลเกี่ยวกับแนวปฏิบัติการเจรจาเรียกค่าไถ่ที่เปลี่ยนแปลงตลอดเวลา เพราะกลยุทธ์ยังคงพัฒนาต่อไปเมื่อผู้โจมตีทำให้ปฏิบัติการของพวกเขาเป็นมืออาชีพมากขึ้น

การเจรจาเรียกค่าไถ่ไม่ใช่บทสนทนาที่ไม่ได้เตรียมตัวระหว่างเหยื่อกับผู้โจมตีนิรนามอีกต่อไป มันคือกระบวนการทางธุรกิจที่มีบุคลากรประจำและมีการวิจัย และองค์กรที่เข้าใจการเปลี่ยนแปลงนี้จะอยู่ในตำแหน่งที่ดีกว่าในการตอบสนองอย่างใจเย็นและมีประสิทธิภาพเมื่อพวกเขาพบว่าตัวเองอยู่อีกฝั่งของโต๊ะเจรจา