แฮกเกอร์อิหร่านเล่นเกมระยะยาว

รายงานฉบับล่าสุดที่ The Greanville Post เน้นย้ำได้บรรยายถึงรูปแบบการโจมตีทางไซเบอร์ที่เงียบเชียบและอดทนมากกว่าที่คนส่วนใหญ่คิดเกี่ยวกับการแฮ็กโดยรัฐที่ให้การสนับสนุน แทนที่จะบุกทะลวงไฟร์วอลล์ด้วยมัลแวร์ที่ชัดเจน แฮกเกอร์อิหร่านที่เชื่อมโยงกับกองกำลังพิทักษ์การปฏิวัติอิสลาม (IRGC) reportedly ใช้เวลาหลายปีในการฝังตัวอยู่ในเครือข่ายของอเมริกา คอยเฝ้าดูและรอคอยแทนที่จะประกาศการปรากฏตัวของพวกเขา

กลุ่มที่ถูกระบุชื่อในรายงาน ได้แก่ Cyber Av3ngers และ Mint Sandstorm ถูกบรรยายว่าเป็นผู้เชี่ยวชาญในเทคนิคที่นักวิจัยด้านความมั่นคงปลอดภัยมักเรียกว่า 'living off the land' แทนที่จะเขียนโค้ดมัลแวร์ที่กำหนดเองซึ่งซอฟต์แวร์แอนตี้ไวรัสอาจตรวจพบได้ กลุ่มเหล่านี้ reportedly อาศัยเครื่องมือบริหารเครือข่ายที่ถูกต้องตามกฎหมายและติดตั้งมาล่วงหน้าซึ่งมีอยู่แล้วในระบบที่พวกเขาโจมตี วิธีการนี้ทำให้กิจกรรมของพวกเขาแยกแยะได้ยากกว่าการทำงานไอทีปกติ ซึ่งนั่นคือประเด็นสำคัญ

ทำไมความเงียบจึงเป็นภัยคุกคามที่แท้จริง

การละเมิดที่พาดหัวข่าวส่วนใหญ่เกี่ยวข้องกับบันทึกเรียกค่าไถ่ ฐานข้อมูลที่รั่วไหล หรือการข่มขู่กรรโชกต่อสาธารณะ เหตุการณ์เหล่านั้นสร้างความเสียหาย แต่ก็มองเห็นได้เกือบจะในทันที รูปแบบที่บรรยายในรายงานนี้แตกต่างออกไป กลุ่มไซเบอร์ที่เชื่อมโยงกับ IRGC ถูกกล่าวว่าจัดลำดับความสำคัญในการซ่อนตัว บางครั้งเป็นเวลานาน เพื่อที่พวกเขาจะคงการเข้าถึง รวบรวมข้อมูล หรือวางตำแหน่งตัวเองสำหรับการดำเนินการในอนาคต แทนที่จะก่อให้เกิดความเสียหายในทันที

เรื่องนี้สำคัญเพราะเครื่องมือตรวจจับที่สร้างขึ้นเพื่อค้นหาซอฟต์แวร์ที่ผิดปกติหรือมัลแวร์นั้นมีประสิทธิภาพน้อยกว่ามากในการรับมือกับผู้บุกรุกที่ใช้เครื่องมือซึ่งควรจะอยู่ตรงนั้นอยู่แล้ว ผู้ดูแลระบบที่รันการวินิจฉัยตามปกติ หรือสคริปต์อัตโนมัติที่ทำงานบำรุงรักษาตามกำหนดเวลา อาจดูเหมือนกับผู้โจมตีที่เคลื่อนที่ผ่านเครือข่าย หากผู้โจมตีเรียนรู้ที่จะใช้ยูทิลิตี้ในตัวแบบเดียวกัน การไม่มีสัญญาณเตือนที่ชัดเจนก็เป็นส่วนหนึ่งของกลยุทธ์นั้นเอง

โลกความมั่นคงปลอดภัยทางไซเบอร์ในวงกว้างได้เห็นแล้วว่าความเสียหายมากเพียงใดที่เกิดจากโครงสร้างพื้นฐานที่ไม่มีใครสังเกตเห็นนานเกินไป การสืบสวนเกี่ยวกับการดำเนินการโฮสติ้งทางอาชญากรรม เช่น การ ยึดเซิร์ฟเวอร์ 800 เครื่องในเนเธอร์แลนด์ที่เชื่อมโยงกับการดำเนินการโฮสติ้งกันกระสุน ล่าสุด แสดงให้เห็นว่าผู้โจมตีทุกรูปแบบได้รับประโยชน์จากโครงสร้างพื้นฐานที่กลมกลืนไปกับการรับส่งข้อมูลอินเทอร์เน็ตปกติ ไม่ว่าเป้าหมายจะเป็นการฉ้อโกงทางการเงินหรือการจารกรรมระดับรัฐ บทเรียนพื้นฐานก็เหมือนกัน นั่นคือ การแทรกซึมที่เงียบและอดทนมักอันตรายกว่าการโจมตีที่ดังและชัดเจน

ผลกระทบด้านความเป็นส่วนตัวสำหรับผู้ใช้ทั่วไป

เป็นเรื่องน่าดึงดูดที่จะมองว่ารายงานแบบนี้เกี่ยวข้องเฉพาะกับหน่วยงานรัฐบาลหรือบริษัทขนาดใหญ่เท่านั้น แต่ผลกระทบด้านความเป็นส่วนตัวนั้นขยายวงกว้างออกไปอีก เครือข่ายที่ถูกบุกรุกอย่างเงียบ ๆ เป็นเวลานานสามารถเปิดเผยข้อมูลส่วนบุคคล การสื่อสารภายใน และข้อมูลประจำตัวบัญชีได้นานก่อนที่ใครจะรู้ว่ามีบางอย่างผิดปกติ แตกต่างจากการละเมิดแบบฉกฉวยแล้วหนีที่กระตุ้นการแจ้งเตือนทันที การแทรกซึมที่ช้าและจงใจสามารถซ่อนตัวไม่ถูกตรวจพบในขณะที่ผู้โจมตีตัดสินใจว่าอะไรคุ้มค่าที่จะนำไป

นี่เป็นส่วนหนึ่งว่าทำไมการละเมิดขนาดใหญ่ เช่น เหตุการณ์ที่กระทบลูกค้าประมาณ 6 ล้านคนในการละเมิดข้อมูล Carnival Corporation มักสืบย้อนไปถึงการเข้าถึงที่มีอยู่ก่อนการเปิดเผยต่อสาธารณะเป็นเวลานาน ช่องว่างระหว่างการบุกรุกครั้งแรกและการรับรู้ของสาธารณะคือจุดที่ความเสียหายด้านความเป็นส่วนตัวที่แท้จริงมักจะสะสม เพราะข้อมูลส่วนบุคคลสามารถถูกคัดลอก ขาย หรือใช้ในทางที่ผิดได้นานก่อนที่ผู้ได้รับผลกระทบจะได้รับแจ้ง

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

คุณไม่ใช่เป้าหมายหลักของการปฏิบัติการไซเบอร์ของ IRGC แต่โครงสร้างพื้นฐานที่คุณพึ่งพา ตั้งแต่สาธารณูปโภคไปจนถึงผู้ให้บริการด้านสุขภาพและสถาบันการเงิน อาจเป็นได้ เมื่อแฮกเกอร์อิหร่านหรือกลุ่มที่เชื่อมโยงกับรัฐที่คล้ายกันประสบความสำเร็จในการฝังตัวภายในเครือข่ายขององค์กร ข้อมูลส่วนบุคคลที่องค์กรนั้นถือครองเกี่ยวกับคุณจะกลายเป็นส่วนหนึ่งของการเปิดเผย แม้ว่าคุณจะไม่เคยโต้ตอบกับผู้โจมตีโดยตรงก็ตาม

ข้อสรุปเชิงปฏิบัติไม่ใช่การตื่นตระหนก แต่เป็นการตระหนักว่าความอดทนและความลับเป็นคุณลักษณะสำคัญของแฮ็กสมัยใหม่ ไม่ใช่ข้อยกเว้น องค์กรต่าง ๆ ถูกกระตุ้นมากขึ้นให้เฝ้าติดตามรูปแบบที่ผิดปกติของการใช้เครื่องมือที่ถูกต้องตามกฎหมาย ไม่ใช่แค่ลายเซ็นมัลแวร์ สำหรับบุคคลทั่วไป การเปลี่ยนแปลงนี้ตอกย้ำคุณค่าของการสมมติว่าบัญชีหรือบริการใด ๆ ที่คุณใช้อาจได้รับผลกระทบจากการละเมิดที่คุณไม่เคยเห็นมาก่อนจนกว่าจะเปิดเผยต่อสาธารณะ

ข้อสรุปสำหรับผู้อ่าน

  • สมมติว่าองค์กรใด ๆ ที่ถือข้อมูลของคุณ ตั้งแต่การดูแลสุขภาพไปจนถึงการเดินทางและการบริการ อาจได้รับผลกระทบจากการบุกรุกเครือข่ายระยะยาวที่ตรวจไม่พบ แทนที่จะเป็นการโจมตีที่ชัดเจน
  • เปิดใช้งานการยืนยันตัวตนแบบหลายขั้นตอนทุกที่ที่มีให้ เพราะข้อมูลประจำตัวที่ถูกขโมยจากการละเมิดที่เงียบเชียวมักถูกใช้ก่อนการเปิดเผยเป็นเวลานาน
  • เฝ้าติดตามกิจกรรมบัญชีและรายงานเครดิตเป็นระยะ ๆ แทนที่จะรอการแจ้งเตือนการละเมิด เพราะการแทรกซึมอย่างเงียบ ๆ อาจ precede การเปิดเผยต่อสาธารณะเป็นเดือนหรือปี
  • ติดตามข่าวสารเกี่ยวกับกลุ่มแฮ็กเกอร์ที่เชื่อมโยงกับรัฐ เพราะการเข้าใจวิธีการของพวกเขาช่วยอธิบายว่าทำไมการละเมิดบางอย่างจึงใช้เวลานานมากในการเผยผิว

เรื่องราวของแฮกเกอร์อิหร่านที่ทำงานเงียบ ๆ ภายในเครือข่ายสหรัฐฯ เป็นเครื่องเตือนใจว่าการบุกรุกที่อันตรายที่สุดมักเป็นสิ่งที่ไม่มีใครสังเกตเห็นในทันที การติดตามรูปแบบเหล่านี้อย่างต่อเนื่อง และให้ความสำคัญกับมาตรการรักษาความปลอดภัยส่วนบุคคลขั้นพื้นฐาน ยังคงเป็นหนึ่งในวิธีที่มีประสิทธิภาพมากที่สุดในการจำกัดผลกระทบเมื่อความเงียบสิ้นสุดลงในที่สุด