บทสนทนาภายในที่รั่วไหลชุดหนึ่งจากกลุ่มกรรโชกทรัพย์ที่ชื่อ Silent Ransom Group กำลังมอบโอกาสหายากให้ผู้ป้องกันภัยได้เห็นเบื้องหลังการจัดองค์กรของกลโกงตู้ช่วยเหลือปลอมตัวเป็นไอที ตามการวิเคราะห์จากทีมวิจัย GRIT ของ GuidePoint Security บทสนทนาเหล่านี้เผยให้เห็นกลยุทธ์การปลอมตัวเป็นไอที การใช้เจ้าหน้าที่ลงพื้นที่จริง และบัญชีการชำระเงินรวมมูลค่า 206.95 ล้านดอลลาร์
บทสรุปที่เผยแพร่นั้นสั้น所以我们จึงยึดตามสิ่งที่ระบุไว้และมุ่งเน้นไปที่สิ่งที่ผู้อ่านสามารถนำไปใช้ได้
สิ่งที่ข้อมูลรั่วไหลของ Silent Ransom Group เผยให้เห็น
ข้อมูลรั่วไหลนี้มีความน่าสนใจเพราะมาจากตัวผู้โจมตีเอง แทนที่จะสร้างภาพแคมเปญขึ้นใหม่จากรายงานของผู้เสียหาย นักวิจัยกลับได้เข้าถึงบทสนทนาของกลุ่มเอง การวิเคราะห์ของ GRIT ตามที่สรุปไว้ ชี้ให้เห็นสามประเด็น:
- กลยุทธ์การปลอมตัวเป็นไอที: กลุ่มนี้สร้างแนวทางของตนจากการแอบอ้างเป็นฝ่ายสนับสนุนด้านเทคนิค
- เจ้าหน้าที่ลงพื้นที่จริง: ปฏิบัติการนี้ไม่ได้เป็นแบบทางไกลเพียงอย่างเดียว
- บัญชีการชำระเงิน 206.95 ล้านดอลลาร์: บันทึกการชำระเงินที่บ่งชี้ถึงขนาดของปฏิบัติการ
เราไม่ได้ตรวจสอบบทสนทนาหรือบัญชีดังกล่าวอย่างเป็นอิสระ และบทสรุปไม่ได้แจกแจงว่าตัวเลขนั้นคำนวณมาอย่างไร ทางที่ดีควรอ่านเป็นสัญญาณว่าการโจมตีรูปแบบนี้ดูจะทำกำไรได้เพียงใด มากกว่าจะเป็นยอดรวมที่ผ่านการตรวจสอบอย่างแม่นยำ
การปลอมตัวเป็นตู้ช่วยเหลือทำงานอย่างไร
แนวคิดหลักเบื้องหลังการปลอมตัวเป็นตู้ช่วยเหลือนั้นเรียบง่าย ผู้โจมตีแอบอ้างเป็นคนที่พนักงานไว้วางใจอยู่แล้วว่าจะแก้ปัญหาให้ พวกเราส่วนใหญ่ถูกปลูกฝังให้ร่วมมือกับฝ่ายไอที หากมีคนบอกว่าพวกเขามาจากฝ่ายสนับสนุนและขอเวลาสักครู่ ปฏิกิริยาโดยธรรมชาติคือการช่วยเหลือ
ความไว้วางใจนั้นคือจุดอ่อนที่ถูกใช้ประโยชน์ แทนที่จะตามหาช่องโหว่ของซอฟต์แวร์ ผู้โจมตีมุ่งเป้าไปที่การตัดสินใจของมนุษย์: การอนุมัติคำขอ การแบ่งปันรหัส หรือการปล่อยให้ใครบางคนเข้ามา เนื่องจาก攻击ต้องอาศัยการโน้มน้าวใจ จึงสามารถได้ผลแม้เครื่องมือความปลอดภัยจะได้รับการตั้งค่าอย่างดี
รูปแบบเดียวกันนี้ปรากฏในแคมเปญอื่นๆ เมื่อเร็วๆ นี้ มีรายงานว่ากลุ่มแฮกเกอร์กลุ่มหนึ่งใช้ Microsoft Teams เพื่อเจาะเครือข่ายองค์กร ดังที่เราได้กล่าวถึงในบทความเรื่องการสนับสนุนไอทีปลอมบน Microsoft Teams ที่จุดชนวนการระบาดของแรนซัมแวร์ อีกปฏิบัติการหนึ่งที่ปรากฏขึ้นเมื่อต้นปี 2026 ข้ามการเข้ารหัสไปโดยสิ้นเชิง ดังที่เราอธิบายไว้ในการกรรโชกทรัพย์และขโมยข้อมูลแบบ vishing ของ BlackFile ในต้นปี 2026 โดยไม่มีมัลแวร์ ช่องทางเปลี่ยนไป (แชท โทรศัพท์ อีเมล) แต่ข้ออ้างที่ว่า "เราคือไอที และเราต้องการให้คุณทำบางอย่าง" ยังคงเหมือนเดิม
ทำไมเจ้าหน้าที่ลงพื้นที่และบัญชี 206.95 ล้านดอลลาร์จึงสำคัญ
มีสองรายละเอียดจากข้อมูลรั่วไหลที่โดดเด่น
ประการแรก เจ้าหน้าที่ลงพื้นที่จริง บทเรียนการตระหนักรู้ด้านความปลอดภัยหลายบทเรียนตั้งสมมติฐานว่าการปลอมตัวเกิดขึ้นผ่านหน้าจอหรือสายโทรศัพท์ ปฏิบัติการที่ใช้คนลงพื้นที่จริงด้วยบ่งชี้ว่าคำกล่าวอ้างของคนที่โทรมา ป้ายชื่อ หรือท่าทีที่มั่นใจไม่ควรถูกถือเป็นหลักฐานยืนยันตัวตน การตรวจสอบต้องใช้กับทุกช่องทาง ไม่ใช่แค่อีเมลและโทรศัพท์
ประการที่สอง บัญชีการชำระเงิน บันทึกการชำระเงิน 206.95 ล้านดอลลาร์ แม้จะพิจารณาอย่างระมัดระวัง ก็บ่งชี้ว่าการกรรโชกทรัพย์ที่สร้างบนวิศวกรรมสังคมสามารถจัดระบบและทำซ้ำได้ ไม่ใช่แค่ opportunistic สิ่งนี้สำคัญโดยเฉพาะกับองค์กรขนาดเล็ก เป็นเรื่องง่ายที่จะคิดว่าอาชญากรไล่ล่าแค่บริษัทขนาดใหญ่ แต่กลุ่มที่ขับเคลื่อนด้วยกระบวนการมีแรงจูงใจเต็มที่ที่จะใช้สูตรเดิมกับใครก็ตามที่รับสาย
สิ่งนี้ยังสะท้อนว่าวิธีการเหล่านี้คงอยู่มานานเพียงใด บทความของเราเกี่ยวกับScattered Spider อ้างเหยื่อรายใหม่ด้วยกลอุบายทางสังคมแบบเก่า ได้กล่าวถึงประเด็นคล้ายกัน: การโน้มน้าวใจที่ผ่านการพิสูจน์แล้วยังคงได้ผลเพราะมันมุ่งเป้าไปที่คน ไม่ใช่โค้ด
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
หากคุณเป็นบุคคลทั่วไป บทเรียนคือการติดต่อจาก "ไอที" ที่ฟังดูชอบด้วยกฎหมายซึ่งคุณไม่ได้เป็นฝ่ายเริ่มต้นสมควรได้รับความสงสัย ไม่ว่ามันจะฟังดูเป็นมืออาชีพเพียงใด หากคุณดำเนินธุรกิจขนาดเล็ก คุณคงไม่มีทีมความปลอดภัยเฉพาะทาง ซึ่งทำให้กระบวนการที่ชัดเจนและเรียบง่ายมีค่ามากกว่าเครื่องมือใดๆ
เป้าหมายในทางปฏิบัติคือการแยกใครคือคนที่ติดต่อคุณออกจากใครที่คุณไว้วางใจ คนที่โทรมา יכולอ้างว่าเป็นใครก็ได้ หมายเลขโทรศัพท์ที่คุณค้นหาเอง หรือระบบตั๋วที่คุณใช้อยู่แล้ว ไม่สามารถถูกปลอมแปลงด้วยสคริปต์ของคนแปลกหน้าได้
วิธีตรวจสอบการติดต่อจากฝ่ายสนับสนุนไอทีที่ไม่คาดคิด
ขั้นตอนเหล่านี้ใช้ได้ไม่ว่าการติดต่อจะมาทางโทรศัพท์ แชท อีเมล หรือพบกันต่อหน้า:
- หยุดคิดเมื่อการติดต่อไม่ได้ถูกขอมา หากคุณไม่ได้เปิดตั๋วหรือขอความช่วยเหลือ ให้ถือว่าการติดต่อนั้นยังไม่ได้รับการยืนยันโดยปริยาย
- สร้างนิสัยการโทรกลับ วางสายหรือจบแชท แล้วติดต่อฝ่ายไอทีผ่านหมายเลขหรือช่องทางที่คุณรู้จักอยู่แล้วจากเอกสารทางการของบริษัท ไม่ใช่หมายเลขที่ผู้ติดต่อให้มา
- อย่าแบ่งปันรหัสหรืออนุมัติพรอมต์ตามคำขอ รหัสหลายปัจจัยและการอนุมัติเข้าสู่ระบบมีไว้สำหรับการลงชื่อเข้าของคุณเอง ไม่ใช่ให้ผู้ช่วยใช้
- ระวังคำขอเข้าถึงระยะไกล อย่าติดตั้งเครื่องมือหรือให้ควบคุมหน้าจอจากการติดต่อที่ไม่คาดคิด
- ตรวจสอบผู้มาเยือน หากมีคนมาถึงและอ้างว่าเป็นไอที ให้ยืนยันกับผู้ให้บริการไอทีจริงหรือผู้จัดการของคุณก่อนให้เข้าถึงอุปกรณ์หรือห้อง
- ตกลงกระบวนการล่วงหน้า ทีมขนาดเล็กควรตัดสินใจว่าคำขอไอทีที่ชอบด้วยกฎหมายจะมีรูปแบบอย่างไร เพื่อให้พนักงานรู้ว่าของจริงเป็นอย่างไร
- รายงาน แจ้งผู้ติดต่อฝ่ายไอทีหรือผู้จัดการของคุณเกี่ยวกับความพยายามที่น่าสงสัย แม้คุณจะไม่ได้หลงกลก็ตาม คนอื่นอาจเป็นเป้าหมายถัดไป
บทสรุป
บทสนทนาที่รั่วไหลของ Silent Ransom Group เน้นย้ำว่ากลโกงตู้ช่วยเหลือปลอมตัวเป็นไอทีเป็นกระบวนการทางธุรกิจสำหรับคนที่ดำเนินการมัน ไม่ใช่กลอุบายครั้งเดียว การป้องกันก็เป็นกระบวนการเช่นกัน: ชะลอลง วางสาย และโทรกลับผ่านช่องทางที่คุณไว้วางใจ ทำให้การตรวจสอบด้วยการโทรกลับเป็นนิสัยสำหรับการติดต่อจากไอทีที่ไม่คาดคิดทุกครั้ง และแบ่งปันสิ่งนี้กับทีมหรือครอบครัวของคุณ สำหรับตัวอย่างเพิ่มเติมของกลยุทธ์เดียวกัน โปรดอ่านบทความของเราเกี่ยวกับการสนับสนุนไอทีปลอมบน Microsoft Teams และการกรรโชกทรัพย์ผ่าน vishing
