เมื่อหน่วยงานบังคับใช้กฎหมายแอบดูเบื้องหลังม่าน

ในเดือนกุมภาพันธ์ 2024 กลุ่มพันธมิตรหน่วยงานบังคับใช้กฎหมายระหว่างประเทศได้ทำลายโครงสร้างพื้นฐานเบื้องหลัง LockBit หนึ่งในปฏิบัติการแรนซัมแวร์ที่แพร่ระบาดมากที่สุดในความทรงจำเมื่อไม่นานมานี้ สิ่งที่ผู้สืบสวนพบเมื่อพวกเขาเข้าถึงระบบของ LockBit ไม่ได้เป็นเพียงหลักฐานของกิจกรรมทางอาชญากรรมเท่านั้น พวกเขาค้นพบว่ากลุ่มนี้ได้เก็บสำเนาข้อมูลของเหยื่อที่ถูกขโมยไว้ แม้หลังจากบอกเหยื่อเหล่านั้น (ซึ่งมักแลกกับการจ่ายเงิน) ว่าข้อมูลถูกลบไปแล้วก็ตาม

รายละเอียดปลีกย่อยนี้มีความสำคัญยิ่งกว่าที่เห็นในครั้งแรก เป็นเวลาหลายปี แผนมาตรฐานสำหรับองค์กรที่ถูกแรนซัมแวร์โจมตีมักมีทางเลือกที่ไม่สะดวกและเงียบเชียบอยู่หนึ่งทาง นั่นคือ จ่ายค่าไถ่ รับคำสัญญาในการลบข้อมูลจากผู้โจมตี แล้วก็เดินหน้าต่อไป การเปิดโปงของ LockBit ยืนยันสิ่งที่นักวิจัยด้านความปลอดภัยหลายคนสงสัยมานาน คำสัญญานั้นมักไร้ค่า และเหยื่อมักไม่มีทางรู้เลย

ช่องว่างระหว่างสิ่งที่เหยื่อถูกบอกกับสิ่งที่เกิดขึ้นจริง

การเจรจาต่อรองกับแรนซัมแวร์มักเกิดขึ้นนอกสายตาประชาชน โดยมีบริษัทตอบสนองต่อเหตุ ภัยทางไซเบอร์ ผู้รับประกัน หรือตัวองค์กรเหยื่อเป็นตัวกลาง เมื่อกลุ่มอาชญากรอ้างว่าได้ลบไฟล์ที่ขโมยไปแล้ว แทบไม่มีทางใดที่จะตรวจสอบคำกล่าวอ้างนั้นได้โดยอิสระ เหยื่อแทบจะถูกขอให้เชื่อคำพูดของคนร้ายกลุ่มเดียวกับที่บุกเข้ามาในระบบของพวกเขาและขโมยข้อมูลไปตั้งแต่แรก

กรณีของ LockBit แสดงให้เห็นว่าเหตุใดความเชื่อใจนั้นจึงถูกวางไว้ผิดที่ แม้ว่าองค์กรอาชญากรรมจะซับซ้อนพอที่จะดำเนินการ "บริการลูกค้า" สำหรับเหยื่อได้อย่างเป็นระบบ พร้อมด้วยพอร์ทัลการเจรจาและใบรับรองการลบข้อมูล แรงจูงใจพื้นฐานที่จะทำลายข้อมูลที่ขโมยมาอันมีค่าราคาเลยนั้นไม่มีอยู่จริง ข้อมูลมีมูลค่าในการขายต่อ มีค่าในการเป็นเครื่องมือต่อรอง และมีค่าในการขู่กรรโชกในอนาคต การลบข้อมูลนั้นขัดกับผลประโยชน์ของตัวผู้โจมตีเอง

ความไม่สอดคล้องนี้แทบไม่ได้เป็นข่าวใหญ่เหมือนกับการประกาศการรั่วไหลของข้อมูล บริษัทที่จ่ายเงินอย่างเงียบๆ เพื่อให้ปัญหาหมดไป มีเหตุผลน้อยมากที่จะเผยแพร่ว่าสัญญาลบข้อมูลไม่ได้รับการทำตาม โดยเฉพาะอย่างยิ่งหากพวกเขาไม่เคยรู้เลย ความเงียบนั้นเป็นส่วนหนึ่งของสาเหตุที่ผลลัพธ์เชิงลบเกิดขึ้นบ่อยกว่าที่บันทึกสาธารณะแนะนำ การยึดโครงสร้างพื้นฐานของ LockBit เป็นหนึ่งในไม่กี่กรณีที่ช่องว่างระหว่างคำสัญญาและความเป็นจริงปรากฏให้เห็นเลย คล้ายคลึงกับที่ การขัดขวางเครือข่ายแฮ็กเกอร์ที่เชื่อมโยงกับ CCP ของ Google เปิดม่านกิจกรรมที่หากไม่เช่นนั้นก็จะยังคงถูกซ่อนไว้จากองค์กรที่ได้รับผลกระทบ

เหตุใดสิ่งนี้จึงควรเปลี่ยนวิธีที่องค์กรคิดเกี่ยวกับแรนซัมแวร์

ข้อคิดที่ใช้ได้จริงไม่ใช่ว่าการจ่ายค่าไถ่เป็นทางเลือกที่ผิดเสมอไป ทุกเหตุการณ์มีความกดดันทางกฎหมาย การดำเนินงาน และการเงินของตัวเอง และบางองค์กรอาจยังตัดสินใจว่าการจ่ายเป็นทางเลือกที่แย่น้อยที่สุด ข้อคิดคือไม่ควรปฏิบัติต่อการจ่ายเงินเสมือนเป็นการแก้ปัญหาการเปิดเผยข้อมูล

เมื่อข้อมูลออกจากการควบคุมขององค์กรแล้ว ควรถือว่าข้อมูลนั้นถูกบุกรุกอย่างถาวร ไม่ว่าจะมีการรับประกันใดๆ ตามมาก็ตาม นั่นหมายความว่าพันธะในการแจ้งเตือนภัย การสื่อสารกับลูกค้า และการประเมินความเสี่ยงต้องดำเนินต่อไปเสมือนข้อมูลที่ถูกขโมยยังคงไหลเวียนอยู่ เพราะมันอาจเป็นเช่นนั้นจริงๆ กรมธรรม์ไซเบอร์ประกันภัยและแผนการตอบสนองต่อเหตุที่สันนิษฐานว่าจะมีการแก้ไขที่สะอาดหลังการจ่ายเงินนั้น สร้างขึ้นบนสมมติฐานที่ล้าสมัยและถูกทำให้เสื่อมความน่าเชื่อถือมากขึ้นเรื่อยๆ

สิ่งนี้หมายถึงอะไรสำหรับคุณ

สำหรับบุคคลซึ่งข้อมูลอาจถูกกวาดไปในการรั่วไหลที่เชื่อมโยงกับการโจมตีของแรนซัมแวร์ การเปิดโปงของ LockBit เป็นสิ่งเตือนใจว่าอย่าได้ลดความระมัดระวังไปเพียงเพราะบริษัทประกาศว่าเหตุการณ์ "ได้รับการแก้ไขแล้ว" คำสัญญาลบข้อมูลจากอาชญากรไม่ใช่การรับประกัน และข้อมูลของคุณอาจยังคงถูกเปิดเผยอยู่นานหลังจากพาดหัวข่าวจางหายไป

สำหรับธุรกิจ โดยเฉพาะขนาดเล็กและขนาดกลางที่ไม่มีทีมความปลอดภัยเฉพาะทาง นี่เป็นกรณีของการป้องกันมากกว่าการเจรจา แนวปฏิบัติในการสำรองข้อมูลที่แข็งแกร่ง การแบ่งส่วนเครือข่าย และสุขอนามัยพื้นฐานของอุปกรณ์ปลายทางช่วยลดโอกาสที่คุณจะต้องตกอยู่ในสถานการณ์ที่ต้องพึ่งพาคำพูดของนักขู่กรรโชก การทบทวนว่าบัญชีส่วนตัวและบัญชีมืออาชีพได้รับการปกป้องอย่างไร รวมถึงว่าทราฟฟิกที่สำคัญถูกลำเลียงผ่านการเชื่อมต่อที่ปลอดภัยหรือไม่ เป็นจุดเริ่มต้นที่สมเหตุสมผล บางองค์กรมองหาตัวเลือกเช่นที่พบในหน้าเปรียบเทียบผู้ให้บริการ เช่น IVPN หรือ Mozilla VPN ซึ่งเป็นส่วนหนึ่งของความพยายามที่กว้างขึ้นเพื่อลดการเปิดรับความเสี่ยง แม้ว่าจะไม่มีเครื่องมือใดเครื่องมือหนึ่งมาแทนที่กลยุทธ์ความปลอดภัยอย่างเต็มรูปแบบได้ก็ตาม

ข้อคิดที่นำไปปฏิบัติได้

  • จงสันนิษฐานว่าข้อมูลใดๆ ที่ถูกขโมยไปในเหตุการณ์แรนซัมแวร์ยังคงมีความเสี่ยงอย่างไม่มีกำหนด แม้ว่าจะมีคำสัญญาลบข้อมูลก็ตาม
  • อย่าให้การจ่ายค่าไถ่มาแทนการแจ้งเตือนภัยการละเมิดข้อมูลและการคุ้มครองลูกค้าอย่างเต็มรูปแบบ
  • จัดลำดับความสำคัญของการสำรองข้อมูลและการแบ่งส่วนเครือข่าย เพื่อให้การจ่ายเงินให้ผู้โจมตีไม่ใช่ทางเลือกเดียวบนโต๊ะ
  • หากคุณได้รับแจ้งว่าข้อมูลของคุณเกี่ยวข้องกับการละเมิด จงตรวจสอบบัญชีและรายงานเครดิตของคุณให้ดีต่อเนื่องไปอีกนานหลังจากประกาศครั้งแรก
  • ผลักดันให้องค์กรใดก็ตามที่จัดการข้อมูลของคุณมีความโปร่งใสเกี่ยวกับวิธีที่พวกเขาตอบสนองต่อเหตุการณ์แรนซัมแวร์ ไม่ใช่เพียงแค่ว่าพวกเขาจ่ายหรือไม่

การล่มสลายของ LockBit ทำให้ได้เห็นอย่างหายากและไม่มีการกรองว่าไซเบอร์ขู่กรรโชกดำเนินไปอย่างไรเมื่อเหล่าอาชญากรไม่อยู่ในฐานะผู้ควบคุมเรื่องราวอีกต่อไป การทำเป็นว่าคำสัญญาลบข้อมูลเป็นความจริง แทนที่จะเป็นข้ออ้างที่ไม่ได้ผ่านการตรวจสอบจากผู้ไม่หวังดี ได้ทิ้งเหยื่อจำนวนมากเกินไปไว้กับความรู้สึกว่าปิดฉากได้อย่างผิดๆ การคงไว้ซึ่งความสงสัย และการเตรียมตัวให้พร้อม ยังคงเป็นกลยุทธ์ระยะยาวที่ดีกว่า