แรนซัมแวร์ไม่ใช่แค่เรื่องการเข้ารหัสข้อมูลอีกต่อไป

เป็นเวลาหลายปีที่คำแนะนำมาตรฐานสำหรับการต่อสู้กับแรนซัมแวร์มุ่งเน้นไปที่สิ่งเดียว นั่นคือการสำรองข้อมูลของคุณเพื่อไม่ต้องจ่ายค่าไถ่ คำแนะนำนั้นยังคงมีความสำคัญ แต่จากการวิเคราะห์ล่าสุดจาก KnowBe4 บริษัทฝึกอบรมการตระหนักรู้ด้านความปลอดภัย เปิดเผยว่าคำแนะนำดังกล่าวไม่ครอบคลุมภาพรวมทั้งหมดของการทำงานของแรนซัมแวร์สมัยใหม่อีกต่อไป

แรนซัมแวร์ได้พัฒนาไปสู่สิ่งที่ KnowBe4 อธิบายว่าเป็นรูปแบบการก่อกวนธุรกิจ (business disruption model) ซึ่งสร้างขึ้นจากการขโมยตัวตนและการวิศวกรรมสังคมมากกว่ามัลแวร์แบบบุกโจมตีโดยตรง แทนที่จะเพียงแค่ล็อกไฟล์และเรียกร้องเงินเพื่อแลกกับคีย์ถอดรหัส ผู้โจมตีกลับให้ความสำคัญกับการเจาะเข้าไปในองค์กรโดยใช้ข้อมูลประจำตัวที่ถูกต้องที่ถูกขโมยมา จากนั้นใช้สิทธิ์การเข้าถึงที่ได้รับความไว้วางใจนั้นก่อความเสียหายต่อการดำเนินงานอย่างสูงสุดก่อนที่ใครจะสังเกตเห็น

การเปลี่ยนแปลงนี้มีความสำคัญต่อความเป็นส่วนตัวพอๆ กับความสำคัญต่อความปลอดภัยด้านไอที เมื่อกลุ่มแรนซัมแวร์ขโมยตัวตนเพื่อเจาะเข้าไป ข้อมูลส่วนบุคคลที่เชื่อมโยงกับตัวตนเหล่านั้น ไม่ว่าจะเป็นข้อมูลเข้าสู่ระบบของพนักงาน บันทึกลูกค้า การสื่อสารภายใน กลายเป็นส่วนหนึ่งของพื้นที่การโจมตี เหตุการณ์แรนซัมแวร์ในปัจจุบันแทบไม่ใช่แค่เหตุการณ์การเข้ารหัสข้อมูล แต่บ่อยครั้งเป็นเหตุการณ์การเปิดเผยข้อมูลด้วย

ทำไมตัวตนที่ถูกขโมยจึงเป็นจุดเข้าสู่ระบบใหม่

ภาพลักษณ์ดั้งเดิมของการโจมตีด้วยแรนซัมแวร์เกี่ยวข้องกับไฟล์แนบอีเมลที่เป็นอันตรายหรือเซิร์ฟเวอร์ที่มีช่องโหว่ที่ไม่ได้อัปเดต ช่องทางเหล่านั้นยังไม่หายไป แต่กลับถูกเสริมหรือแทนที่ด้วยกลยุทธ์ที่ง่ายกว่า เช่น การฟิชชิ่งเพื่อขโมยข้อมูลประจำตัว การหลอกฝ่ายช่วยเหลือด้านไอทีให้รีเซ็ตรหัสผ่าน หรือการใช้ประโยชน์จากระบบยืนยันตัวตนหลายขั้นตอน (MFA) ที่อ่อนแอเพื่อเข้าถึงในฐานะผู้ใช้ที่ได้รับความไว้วางใจ

เมื่อเข้าไปข้างในแล้ว ผู้โจมตีไม่จำเป็นต้อง "แฮ็ก" อะไรในความหมายดั้งเดิม พวกเขาเข้าสู่ระบบเหมือนพนักงานคนอื่นๆ เคลื่อนที่ผ่านเครือข่ายอย่างเงียบๆ และระบุระบบและข้อมูลที่การก่อกวนจะสร้างความเจ็บปวดสูงสุด และจึงสร้างอำนาจต่อรองสูงสุดสำหรับการเรียกค่าไถ่ นี่คือสิ่งที่ KnowBe4 หมายถึงเมื่ออธิบายว่าแรนซัมแวร์เป็นรูปแบบการก่อกวนธุรกิจ เป้าหมายไม่ใช่แค่การเข้ารหัสข้อมูล แต่คือการทำให้การดำเนินงานขององค์กรหยุดชะงักจนกว่าจะมีการจ่ายเงิน

แนวทางนี้สะท้อนสิ่งที่ถูกสังเกตเห็นในระบบนิเวศแรนซัมแวร์แบบบริการ (Ransomware-as-a-Service) ในวงกว้าง กลุ่มต่างๆ เช่น ปฏิบัติการที่เราลงรายละเอียดไว้ในบทความเกี่ยวกับ LockBit 5.0 และชีวิตหลังปฏิบัติการ Cronos แสดงให้เห็นว่าพันธมิตรแรนซัมแวร์ได้ทำให้การดำเนินงานเป็นมืออาชีพ ปฏิบัติต่อการโจมตีแต่ละครั้งเหมือนการเจรจาทางธุรกิจที่คำนวณมาอย่างดี ไม่ใช่การโจรกรรมแบบฉวยโอกาส พร้อมด้วยกลยุทธ์กดดันและการข่มขู่ด้านชื่อเสียง

ทบทวนการป้องกันแรนซัมแวร์สำหรับภัยคุกคามที่ให้ความสำคัญกับตัวตนเป็นหลัก

หากการขโมยตัวตนและการวิศวกรรมสังคมเป็นหนทางหลักที่แรนซัมแวร์ใช้ตั้งหลักได้ การป้องกันที่สร้างขึ้นเพียงรอบความปลอดภัยขอบเขตเครือข่ายและเครื่องมือแอนตี้ไวรัสก็กำลังแก้ปัญหาของเมื่อวาน กรอบคิดของ KnowBe4 ชี้ให้เห็นว่าองค์กรต้องปฏิบัติต่อการยืนยันตัวตนและพฤติกรรมมนุษย์เป็นส่วนหลักของการป้องกันแรนซัมแวร์ ไม่ใช่สิ่งที่คิดทีหลัง

ในทางปฏิบัติ นั่นหมายถึงกระบวนการยืนยันตัวตนที่แข็งแกร่งขึ้นสำหรับการรีเซ็ตรหัสผ่านและการกู้คืนบัญชี การยืนยันตัวตนหลายขั้นตอนที่ต้านทานการฟิชชิ่งแทนที่จะใช้รหัส SMS ที่ถูกเลี่ยงได้ง่าย และการฝึกอบรมพนักงานอย่างต่อเนื่องที่ปฏิบัติต่อวิศวกรรมสังคมเป็นภัยคุกคามที่มีการพัฒนาอยู่ตลอด ไม่ใช่การปฏิบัติตามข้อกำหนดครั้งเดียวจบ การสำรองข้อมูลและการแบ่งส่วนเครือข่ายยังคงจำเป็น แต่ตอนนี้เป็นแนวป้องกันที่สองแทนที่จะเป็นแนวแรก

เดิมพันที่เกี่ยวข้องกับการเปลี่ยนแปลงนี้ยังดึงดูดความสนใจในระดับนโยบายอีกด้วย ดังที่เรารายงานไว้ รัฐบาลกำลังพิจารณาการห้ามจ่ายค่าไถ่แรนซัมแวร์ท่ามกลางการโจมตีที่ขับเคลื่อนด้วย AI ซึ่งเป็นสัญญาณว่าผู้กำกับดูแลตระหนักว่าโมเดลการป้องกันปัจจุบัน กล่าวคือ จ่ายเงินเพื่อให้ปัญหาไปพ้นตัว ไม่ยั่งยืนอีกต่อไปเมื่อการโจมตีเร็วขึ้นและน่าเชื่อถือมากขึ้น

สิ่งนี้หมายความต่อคุณอย่างไร

ไม่ว่าคุณจะเป็นผู้ตัดสินใจด้านไอทีหรือเพียงบุคคลธรรมดาที่นายจ้างถือครองข้อมูลส่วนบุคคลของคุณ การพัฒนากลยุทธ์แรนซัมแวร์ครั้งนี้มีผลกระทบจริง หากผู้โจมตีเจาะเข้ามาโดยการขโมยตัวตนแทนที่จะใช้ประโยชน์จากข้อบกพร่องของซอฟต์แวร์ ความปลอดภัยของข้อมูลประจำตัวการเข้าสู่ระบบของคุณเอง และความรอบคอบที่องค์กรของคุณใช้ในการยืนยันตัวตนก่อนให้สิทธิ์เข้าถึง ส่งผลโดยตรงต่อความเปราะบางขององค์กรนั้นต่อการก่อกวนที่เสียค่าใช้จ่ายสูง

สำหรับบุคคลทั่วไป สิ่งนี้ตอกย้ำประเด็นที่คุ้นเคยแต่เร่งด่วนมากขึ้นเรื่อยๆ นั่นคือ รหัสผ่านที่ใช้ซ้ำ MFA ที่อ่อนแอ และการตอบสนองอย่างไม่ระมัดระวังต่อคำขอรีเซ็ตรหัสผ่านที่ไม่คาดคิด ไม่ใช่แค่ความเสี่ยงส่วนบุคคล แต่เป็นจุดเข้าที่อาจนำไปสู่การโจมตีที่ส่งผลกระทบเป็นลูกโซ่ต่อข้อมูลของผู้คนหลายพันคน สำหรับธุรกิจ นั่นหมายความว่าการป้องกันแรนซัมแวร์ต้องถูกเข้าใจว่าเป็นปัญหาด้านตัวตนและพฤติกรรมมนุษย์พอๆ กับปัญหาเชิงเทคนิค

ข้อปฏิบัติที่นำไปใช้ได้จริง

  • เปิดใช้งานการยืนยันตัวตนหลายขั้นตอนที่ต้านทานการฟิชชิ่งทุกที่ที่ทำได้ และหลีกเลี่ยงการพึ่งพารหัส SMS เพียงอย่างเดียว
  • จงระแวงคำขอรีเซ็ตรหัสผ่านหรือยืนยันบัญชีที่ไม่คาดคิด แม้กระทั่งคำขอที่ดูเหมือนมาจากฝ่ายช่วยเหลือภายใน
  • องค์กรควรตรวจสอบว่าการยืนยันตัวตนสำหรับการกู้คืนบัญชีทำงานอย่างไร เนื่องจากนี่เป็นจุดเข้าของแรนซัมแวร์ที่พบได้บ่อยขึ้นเรื่อยๆ
  • ปฏิบัติต่อการฝึกอบรมการตระหนักรู้ด้านความปลอดภัยเป็นประจำว่าเป็นความจำเป็นที่ต่อเนื่อง ไม่ใช่การทำเครื่องหมายครั้งเดียวจบ เนื่องจากกลยุทธ์วิศวกรรมสังคมมีการพัฒนาอย่างรวดเร็ว
  • เก็บรักษาการสำรองข้อมูลแบบออฟไลน์ที่ผ่านการทดสอบเป็นแนวป้องกันที่สอง โดยเข้าใจว่าการหยุดการบุกรุกที่ใช้ตัวตนมีความสำคัญพอๆ กับการกู้คืนจากการเข้ารหัส

การวิวัฒนาการของแรนซัมแวร์ไปสู่รูปแบบการก่อกวนธุรกิจที่ขับเคลื่อนด้วยตัวตนไม่ได้หมายความว่าการต่อสู้นี้ชนะไม่ได้ มันหมายความว่าการต่อสู้ได้ย้ายไปที่อื่นแล้ว แนวป้องกันที่เคยมุ่งเน้นแคบๆ ที่มัลแวร์และการสำรองข้อมูลตอนนี้ต้องคำนึงถึงว่าตัวตนที่ถูกขโมยเพียงหนึ่งเดียวสามารถเปิดประตูสู่ทั้งเครือข่ายได้ง่ายเพียงใด และนั่นเริ่มต้นจากการปฏิบัติต่อความปลอดภัยของตัวตนว่าแยกไม่ออกจากการป้องกันแรนซัมแวร์เอง