สายโทรศัพท์ ไม่ใช่ไวรัส: วิธีปฏิบัติการของลูน่ามอธ

คนส่วนใหญ่มักนึกถึงการโจมตีด้วยแรนซัมแวร์ว่าเป็นการล็อกระบบกะทันหัน: ไฟล์ถูกเข้ารหัส หน้าจอแดงขึ้นเรียกร้องเงิน ระบบหยุดทำงานทั้งหมด ลูน่ามอธข้ามขั้นตอนนั้นไปโดยสิ้นเชิง กลุ่มนี้ซึ่งถูกติดตามภายใต้ชื่อ Silent Ransom Group และ Chatty Spider ด้วย ได้สร้างธุรกิจขู่กรรโชกบนแนวคิดที่เรียบง่ายกว่า: ขโมยข้อมูล ข่มขู่จะเผยแพร่ และไม่แตะต้องระบบจริงของเหยื่อเลย

ตามรายงานของ Aardwolf Security วิธีการของลูน่ามอธโดยทั่วไปเริ่มต้นจากวิศวกรรมสังคมมากกว่ามัลแวร์ โต๊ะต้อนรับ แผนกช่วยเหลือ และพนักงานที่รับสายประจำวันคือจุดเข้าถึง เมื่อกลุ่มได้จุดยืนและขโมยไฟล์ออกไปแล้ว ก็จะขู่ตรงไปที่ประเด็น: จ่ายเงิน หรือเอกสารที่ถูกขโมยจะถูกเปิดเผยสู่สาธารณะ ไม่มีการเข้ารหัส ไม่มีเพย์โหลดแรนซัมแวร์ในความหมายดั้งเดิม แค่กำหนดเส้นตายและป้ายราคา

แนวทางนี้สำคัญเพราะมันเลี่ยงการป้องกันหลายชั้นที่องค์กรใช้เวลาหลายปีสร้างขึ้น การสำรองข้อมูลป้องกันการเข้ารหัสและแผนการกู้คืนระบบหลังภัยพิบัติไม่สามารถหยุดการรั่วไหลของไฟล์ที่ถูกคัดลอกออกไปแล้วได้ จุดล้มเหลวเพียงจุดเดียวที่ลูน่ามอธใช้ประโยชน์คือการตัดสินใจของมนุษย์ระหว่างสายโทรศัพท์ ซึ่งเป็นเหตุผลว่าทำไมมันถึงได้ผลอย่างมากกับองค์กรที่คิดว่าตนเองมีการป้องกันที่ดี

ทำไมสำนักงานกฎหมายจึงเป็นเป้าหมายระดับพรีเมียม

สำนักงานกฎหมายชั้นนำรวบรวมข้อมูลอ่อนไหวมหาศาลไว้ในที่เดียว: รายละเอียดการควบรวมกิจการก่อนเปิดเผยต่อสาธารณะ กลยุทธ์การดำเนินคดี การสื่อสารที่มีสิทธิพิเศษทางกฎหมาย ข้อมูลส่วนบุคคลของลูกค้าระดับสูง และข้อมูลทางการเงินของบริษัทที่ยอมจ่ายเงินเงียบๆ ดีกว่าเห็นข้อมูลเหล่านั้นหลุดออกมา การรวมกันของพันธกรณีด้านการรักษาความลับและฐานะการเงินที่ลึกของลูกค้าทำให้สำนักงานกฎหมายเป็นเป้าหมายที่น่าดึงดูดเป็นพิเศษสำหรับกลุ่มที่โมเดลธุรกิจทั้งหมดขึ้นอยู่กับความสิ้นหวังของเหยื่อที่จะหลีกเลี่ยงการเปิดเผยข้อมูล

ต่างจากร้านค้าปลีกหรือโรงพยาบาล ผลิตภัณฑ์หลักของสำนักงานกฎหมายคือความไว้วางใจและความรอบคอบ การรั่วไหลไม่เพียงสร้างความเสียหายทางการเงิน แต่ยังอาจก่อให้เกิดความเสี่ยงด้านการประพฤติมิชอบทางวิชาชีพ ทำลายความสัมพันธ์กับลูกค้าที่สร้างมานานหลายทศวรรษ และในบางกรณีทำให้สำนักงานต้องเผชิญกับการตรวจสอบจากหน่วยงานกำกับดูแลหรือสมาคมทนายความ ผู้โจมตีเข้าใจจุดกดดันนี้ ซึ่งเป็นส่วนหนึ่งที่ทำให้แคมเปญขู่กรรโชกด้วยการขโมยข้อมูลพุ่งเป้าไปที่ภาคกฎหมายมากขึ้นเรื่อยๆ แทนที่จะกระจายความพยายามไปทั่วทุกอุตสาหกรรม เป็นรูปแบบที่สะท้อนสิ่งที่ปรากฏที่อื่นเช่นกัน: แรนซัมแวร์ไม่ได้ลดลงในปี 2025 แค่เปลี่ยนรูปแบบ ไปสู่กลยุทธ์แบบนี้ ซึ่งผลตอบแทนมาจากความเสี่ยงในการเปิดเผยข้อมูลมากกว่าการหยุดชะงักของการดำเนินงาน

จ่ายกับปฏิเสธ: สามผลลัพธ์ที่แตกต่าง

คลื่นกิจกรรมล่าสุดของลูน่ามอธต่อสำนักงานกฎหมายใหญ่ๆ เสนอบทเรียนเชิงเปรียบเทียบจากโลกจริงว่าเรื่องนี้เป็นอย่างไร รายงานระบุว่าโจนส์เดย์เผชิญคำเรียกร้อง 13 ล้านดอลลาร์ในเดือนเมษายนและดูเหมือนจะปฏิเสธที่จะจ่าย ในทางกลับกัน วิลเมอร์เฮลและกูดวินพรอกเตอร์据报道 ถูกกล่าวหาว่าจ่ายเงินหลายล้านให้กลุ่มนี้ จริงๆ แล้ว การจ่ายเงินของกูดวินพรอกเตอร์ ซึ่งประมาณ 10 ล้านดอลลาร์ตามรายงานแยกต่างหาก ถูกกล่าวถึงในรายละเอียดใน การจ่ายเงิน 10 ล้านดอลลาร์ของกูดวินพรอกเตอร์ให้ลูน่ามอธ ซึ่งอธิบายว่าสำนักงานตัดสินใจอย่างไรหลังการเปิดเผยการรั่วไหล

ไม่มีหลักฐานที่ชัดเจนว่าการจ่ายเงินแก้ปัญหาที่แท้จริงได้จริง นักวิจัยด้านความปลอดภัยเตือนมานานว่าการส่งเงินให้กลุ่มขู่กรรโชกไม่รับประกันการลบข้อมูล ไม่ได้ลบล้างความจริงที่ว่าสำเนาอาจมีอยู่ที่อื่นแล้ว และไม่ได้หยุดกลุ่มเดียวกันจากการกลับมา คำเตือนนี้ไม่ใช่เรื่องทฤษฎี: แบบสำรวจอุตสาหกรรมล่าสุดเกี่ยวกับการจ่ายค่าไถ่ พบว่าการจ่ายเงินมักจะกระตุ้นให้เกิดการขู่กรรโชกซ้ำแทนที่จะยุติลง เพราะมันยืนยันกับผู้โจมตีว่าเป้าหมายยินดีเจรจาภายใต้ความกดดัน

นี่หมายถึงอะไรสำหรับคุณ

หากคุณเป็นลูกค้าของสำนักงานกฎหมาย หรือองค์กรใดก็ตามที่เก็บข้อมูลส่วนบุคคลหรือการเงินที่อ่อนไหวของคุณ เรื่องนี้เป็นเครื่องเตือนใจว่าการปกป้องข้อมูลไม่ใช่แค่ปัญหาของแผนกไอที เหตุการณ์ขู่กรรโชกด้วยข้อมูลของสำนักงานกฎหมายแบบนี้แสดงให้เห็นว่าข้อมูลของคุณอาจถูกดึงเข้าไปในเหตุการณ์รั่วไหลแม้คุณไม่ได้ทำอะไรผิดและไม่มีความสัมพันธ์โดยตรงกับผู้โจมตี การตัดสินใจของสำนักงานว่าจะจ่ายหรือไม่ส่งผลต่อว่าข้อมูลของคุณจะถูกเผยแพร่ ถูกขาย หรือถูกลบ และการตัดสินใจนั้นมักเกิดขึ้นภายใต้แรงกดดันด้านเวลาอย่างมาก

เป็นเรื่องสมเหตุสมผลที่จะถามผู้ให้บริการวิชาชีพที่ดูแลบันทึกอ่อนไหวของคุณสองสามคำถามตรงๆ: ข้อมูลลูกค้าถูกแบ่งส่วนและเข้ารหัสขณะจัดเก็บอย่างไร? นโยบายการตอบสนองต่อเหตุการณ์และการแจ้งเตือนของสำนักงานคืออะไร? สำนักงานเคยมีเหตุการณ์ความปลอดภัยมาก่อนหรือไม่ และเปิดเผยอย่างไร? สำนักงานที่ให้ความสำคัญกับคำถามเหล่านี้และตอบได้อย่างชัดเจนมักอยู่ในตำแหน่งที่ดีกว่าในการจำกัดความเสียหายหากการโจมตีแบบลูน่ามอธมาถึงระบบของพวกเขา

ข้อสรุปที่คุณนำไปปฏิบัติได้

รูปแบบการขู่กรรโชกด้วยข้อมูลของสำนักงานกฎหมายเช่นนี้มีแนวโน้มจะดำเนินต่อไปตราบใดที่บริการทางกฎหมายและการเงินยังรวมข้อมูลมูลค่าสูงและความอ่อนไหวสูงไว้ในที่เดียว ขั้นตอนปฏิบัติง่ายๆ สำหรับผู้อ่าน: ถามสำนักงานกฎหมายหรือที่ปรึกษาทางการเงินโดยตรงเกี่ยวกับแนวปฏิบัติการจัดการข้อมูลและการแจ้งเตือนการรั่วไหล ระวังสายโทรศัพท์ที่ไม่คาดคิดซึ่งขอเข้าถึงบัญชีหรือระบบแม้จะฟังดูเป็นเรื่องปกติ และให้ความสนใจกับการแจ้งเตือนการรั่วไหลที่คุณได้รับ เนื่องจากมักมาถึงนานหลังจากการขโมยครั้งแรกเกิดขึ้นแล้ว การติดตามข้อมูลว่าการขู่กรรโชกเหล่านี้ทำงานอย่างไรเป็นวิธีที่ง่ายที่สุดวิธีหนึ่งในการปกป้องข้อมูลของคุณเอง แม้เหตุการณ์รั่วไหลจะอยู่นอกเหนือการควบคุมของคุณโดยสิ้นเชิง