แจ็ค เฮนรี่ ปฏิเสธข้อเรียกร้องขู่กรรโชก

แจ็ค เฮนรี่ (Jack Henry) ผู้ให้บริการเทคโนโลยีทางการเงิน ยืนยันว่าตกเป็นเป้าหมายของการพยายามขู่กรรโชกหลังจากเหตุการณ์ข้อมูลถูกขโมย และบริษัทระบุว่าจะไม่จ่ายเงินให้กับผู้โจมตี ตามรายงานจากอเมริกันแบงเกอร์ (American Banker) กลุ่มแฮกเกอร์ได้กำหนดเส้นตายสำหรับการชำระเงิน ซึ่งเส้นตายนั้นได้ผ่านพ้นไปแล้ว และข้อมูลที่ถูกขโมยยังไม่ปรากฏต่อสาธารณะ อย่างน้อยก็ในตอนนี้

การตัดสินใจของแจ็ค เฮนรี่ ทำให้บริษัทขัดแย้งกับแนวโน้มที่น่ากังวล แม้จะมีการเตือนจากรัฐบาลกลางมาหลายปีเกี่ยวกับการจ่ายค่าไถ่ตามข้อเรียกร้องของแรนซัมแวร์ แต่บริษัทบริการทางการเงินยังคงจ่ายเงินให้กับผู้ขู่กรรโชกเป็นจำนวนมาก ตามคำแนะนำของกรมธรรษการ (Treasury Department) ที่อ้างอิงในรายงาน การปฏิเสธของแจ็ค เฮนรี่ เป็นสิ่งที่น่าสังเกตเป็นพิเศษ เพราะองค์กรจำนวนมากในภาคส่วนเดียวกันเลือกเส้นทางที่ตรงกันข้าม

ทำไมหน่วยงานรัฐบาลกลางจึงเตือนไม่ให้จ่ายเงิน

แรงกดดันให้จ่ายค่าไถ่นั้นเป็นสิ่งที่เข้าใจได้ เมื่อข้อมูลลูกค้า ระบบภายใน หรือการดำเนินธุรกิจตกอยู่ในความเสี่ยง การเขียนเช็คอาจให้ความรู้สึกเหมือนเป็นวิธีที่เร็วที่สุดที่จะทำให้ปัญหาหายไป แต่คำแนะนำที่ออกร่วมกันในปี 2023 โดยเอฟบีไอและหน่วยงานรัฐบาลกลางอีกสองแห่ง ทำให้ชัดเจนว่าการจ่ายเงินไม่ค่อยให้สิ่งที่ผู้เสียหายหวังไว้ คำแนะนำดังกล่าวระบุอย่างตรงไปตรงมาว่าการจ่ายค่าไถ่ "จะไม่รับประกันว่าข้อมูลของคุณจะถูกถอดรหัส ระบบหรือข้อมูลของคุณจะไม่ถูกบุกรุกอีก หรือข้อมูลของคุณจะไม่ถูกเผยแพร่"

กล่าวอีกนัยหนึ่ง การจ่ายเงินคือการเดิมพันที่มีโอกาสชนะต่ำ กลุ่มอาชญากรไม่มีข้อผูกพันทางกฎหมายที่จะต้องรักษาสัญญา และไม่มีกลไกบังคับใช้ใดๆ ที่จะบังคับให้พวกเขาลบไฟล์ที่ถูกขโมยหรืองดเว้นจากการขายข้อมูลข้างเคียงแม้หลังจากได้รับเงินแล้ว ผู้เสียหายบางรายที่จ่ายเงินกลับตกเป็นเป้าหมายซ้ำอีก ไม่ว่าจะโดยกลุ่มเดียวกันหรือกลุ่มอื่นที่รู้ว่าองค์กรนั้นยินดีจ่ายเงิน

นอกจากนี้ยังมีผลกระทบในวงกว้าง: การจ่ายเงินที่สำเร็จทุกครั้งเป็นการตอกย้ำโมเดลธุรกิจ กลุ่มแรนซัมแวร์และขู่กรรโชกดำเนินงานเพราะเศรษฐกิจของพวกเขาได้ผลดี การจ่ายเงินแต่ละครั้ง แม้จะเต็มไปด้วยความไม่เต็มใจ ก็ช่วยสนับสนุนการโจมตีครั้งต่อไปต่อบริษัทอื่น ซึ่งอาจเป็นในอุตสาหกรรมเดียวกัน

ภาวะกลืนไม่เข้าคายไม่ออกของภาคการเงินกับแรนซัมแวร์

สถานการณ์ของแจ็ค เฮนรี่ แสดงให้เห็นว่าทำไมคำแนะนำนี้จึงมักถูกละเลยในทางปฏิบัติ บริษัทให้โครงสร้างพื้นฐานด้านเทคโนโลยีที่ใช้โดยธนาคารและสหกรณ์เครดิต หมายความว่าการเปิดเผยข้อมูลใดๆ จะส่งผลกระทบเป็นวงกว้างเกินกว่ากำแพงของบริษัทเอง ดังที่ครอบคลุมในรายงานก่อนหน้าของเราเกี่ยวกับ การโจมตีด้วยแรนซัมแวร์ต่อแจ็ค เฮนรี่ เหตุการณ์นี้ไม่ได้เริ่มต้นจากการใช้ประโยชน์จากช่องโหว่ทางเทคนิคที่ซับซ้อน มันเริ่มต้นจากสายโทรศัพท์ ซึ่งเป็นเครื่องเตือนใจว่าผู้โจมตีให้ความสำคัญกับการโจมตีความไว้วางใจของมนุษย์มากกว่าช่องโหว่ของซอฟต์แวร์

รายละเอียดนั้นสำคัญที่นี่ กลยุทธ์การฟิชชิงทางเสียง (voice phishing) และวิศวกรรมสังคมถูกออกแบบมาเพื่อเลี่ยงการป้องกันทางเทคนิคโดยตรง ด้วยการโน้มน้าวให้พนักงานมอบการเข้าถึงด้วยความสมัครใจ เมื่อได้รับการเข้าถึงนั้นแล้ว การขโมยข้อมูลที่เกิดขึ้นอาจไม่เพียงส่งผลต่อบันทึกของบริษัทเพียงแห่งเดียว แต่ยังรวมถึงข้อมูลลูกค้าของทุกสถาบันที่พึ่งพาบริการของบริษัทด้วย นั่นเป็นส่วนหนึ่งที่ทำให้การตัดสินใจไม่จ่ายเงินมีความสำคัญอย่างยิ่ง: เป็นการแสดงจุดยืนในนามของเครือข่ายที่กว้างขึ้นของลูกค้าปลายทางและสถาบันการเงิน ไม่ใช่เพียงแค่แจ็ค เฮนรี่ เองเท่านั้น

การที่บริษัทการเงินจ่ายเงินให้กับผู้ขู่กรรโชกแรนซัมแวร์แม้จะมีคำแนะนำอย่างเป็นทางการ แสดงให้เห็นว่าการคำนวณนี้ยากเพียงใดในโลกแห่งความเป็นจริง คณะกรรมการและผู้บริหารต้องชั่งน้ำหนักความเสียหายต่อชื่อเสียง ความเสี่ยงด้านกฎระเบียบ และการหยุดชะงักในการดำเนินงาน เทียบกับโอกาสที่ไม่แน่นอนแต่ไม่ใช่ศูนย์ที่การจ่ายเงินอาจจำกัดความเสียหายได้ แจ็ค เฮนรี่ เลือกที่จะยืนหยัดตามแนวทาง และจนถึงตอนนี้ การที่เส้นตายผ่านพ้นไปโดยไม่มีการรั่วไหลของข้อมูลบ่งชี้ว่าการตัดสินใจนั้นไม่ได้ส่งผลย้อนกลับในทันที แม้สถานการณ์อาจยังพัฒนาไปได้อีก

สิ่งนี้หมายความต่อคุณอย่างไร

หากคุณเป็นลูกค้าของธนาคารหรือสหกรณ์เครดิตที่พึ่งพาโครงสร้างพื้นฐานของแจ็ค เฮนรี่ เหตุการณ์นี้เป็นเครื่องเตือนใจว่าความปลอดภัยของข้อมูลของคุณมักขึ้นอยู่กับผู้ให้บริการที่คุณไม่เคยโต้ตอบโดยตรง การโจมตีด้วยแรนซัมแวร์หรือการขโมยข้อมูลจากผู้ให้บริการอาจส่งผลต่อคุณแม้ว่าธนาคารของคุณจะไม่ถูกบุกรุกทางเทคนิคก็ตาม นั่นคือความเป็นจริงเชิงโครงสร้างของวิธีที่บริการทางการเงินสมัยใหม่ถูกสร้างขึ้นบนแพลตฟอร์มเทคโนโลยีที่ใช้ร่วมกัน

กรณีนี้ยังเสนอบทเรียนที่มีประโยชน์เกี่ยวกับวิธีที่องค์กรควรตอบสนองต่อการพยายามขู่กรรโชก คำแนะนำของรัฐบาลกลางสนับสนุนการไม่จ่ายเงินอย่างสม่ำเสมอ และจุดยืนต่อสาธารณะของแจ็ค เฮนรี่ สอดคล้องกับคำแนะนำนั้น มากกว่าแนวทางปฏิบัติทั่วไปในอุตสาหกรรมที่มักจ่ายเงินอย่างเงียบๆ

ข้อควรปฏิบัติเชิงปฏิบัติ

นี่คือสิ่งที่คุณสามารถทำได้เพื่อตอบสนองต่อข่าวลักษณะนี้:

  • สังเกตการแจ้งเตือนการละเมิดข้อมูลจากสถาบันการเงินของคุณ แม้ว่าเหตุการณ์ต้นทางจะเกิดขึ้นที่ผู้ให้บริการ而不是ที่ตัวธนาคารเองก็ตาม
  • ติดตามบัญชีและรายงานเครดิตของคุณสำหรับกิจกรรมที่ผิดปกติในสัปดาห์หลังจากการขโมยข้อมูลในภาคการเงินที่ถูกรายงาน
  • พิจารณาการอายัดเครดิต (credit freeze) หรือการแจ้งเตือนการฉ้อโกง หากคุณได้รับแจ้งว่าข้อมูลของคุณอาจรวมอยู่ในการละเมิด
  • ระวังการโทรศัพท์ที่ไม่ได้รับการร้องขอซึ่งขอให้ยืนยันบัญชีหรือข้อมูลประจำตัวสำหรับการเข้าสู่ระบบ เนื่องจากวิศวกรรมสังคมยังคงเป็นหนึ่งในช่องทางเข้าที่พบได้บ่อยที่สุดสำหรับการโจมตีเหล่านี้

การปฏิเสธของแจ็ค เฮนรี่ ที่จะจ่ายเงินให้ผู้ขู่กรรโชกจะไม่ใช่การทดสอบจุดยืนเชิงนโยบายครั้งสุดท้ายที่โด่งดัง แต่มันแสดงให้เห็นว่าการปฏิบัติตามคำแนะนำของรัฐบาลกลางเป็นไปได้ แม้อยู่ภายใต้แรงกดดัน สำหรับผู้บริโภค การป้องกันที่ดีที่สุดยังคงเป็นการเฝ้าระวัง: ติดตามบัญชี ตรวจสอบคำขอที่ไม่คาดคิด และติดตามข้อมูลอย่างต่อเนื่องในขณะที่เหตุการณ์เหล่านี้ยังคงเกิดขึ้นทั่วภาคการเงิน