เอฟบีไอ ซีซา และเอชเอชเอส ออกโรงเตือนภัยแรนซัมแวร์ Medusa อีกครั้ง

กลุ่มแรนซัมแวร์ Medusa ถูกเชื่อมโยงกับการโจมตีองค์กรในสหรัฐฯ มากกว่า 500 แห่งแล้ว ตามคำแนะนำร่วมฉบับอัปเดตจากเอฟบีไอ สำนักงานความมั่นคงไซเบอร์และโครงสร้างพื้นฐาน (ซีซา) และกระทรวงสาธารณสุขและบริการมนุษย์ของสหรัฐฯ (เอชเอชเอส) คำแนะนำฉบับนี้ ซึ่งเป็นการอัปเดตจากคำเตือนก่อนหน้าที่ออกในช่วงแรกของเส้นทางการดำเนินงานของกลุ่ม ระบุรายละเอียดว่าการดำเนินงานแบบแรนซัมแวร์ในรูปแบบการให้บริการ (RaaS) ของ Medusa เติบโตและวิวัฒนาการอย่างไร ทำให้ผู้ป้องกันระบบและผู้ใช้งานทั่วไปเห็นภาพภัยคุกคามชัดเจนยิ่งขึ้น

นี่ไม่ใช่ครั้งแรกที่หน่วยงานรัฐบาลกลางชี้เป้าไปที่ Medusa ตามที่ได้รายงานไปก่อนหน้านี้ในบทความอัปเดตเกี่ยวกับเหตุการณ์ที่ Medusa โจมตีองค์กรครบ 500 แห่ง กลุ่มนี้ได้ขยายรายชื่อเหยื่ออย่างต่อเนื่องนับตั้งแต่ปรากฏตัวครั้งแรก โดยมุ่งเป้าไปที่ภาคส่วนโครงสร้างพื้นฐานสำคัญควบคู่ไปกับธุรกิจเอกชน คำแนะนำล่าสุดเพิ่มรายละเอียดใหม่เกี่ยวกับโครงสร้างตัวแทนของกลุ่ม ช่องโหว่ที่ใช้โจมตี และเครื่องมือที่ผู้ปฏิบัติการใช้เพื่อเข้าถึงและรักษาการเข้าถึงเครือข่ายของเหยื่อ

โมเดลขู่กรรโชกสองชั้นของ Medusa ทำงานอย่างไร

Medusa ใช้กลวิธีที่เรียกว่าการขู่กรรโชกสองชั้นเป็นหลัก แทนที่จะเพียงแค่ล็อกไฟล์ของเหยื่อด้วยการเข้ารหัสแล้วเรียกค่าไถ่เพื่อแลกกับคีย์ถอดรหัส ตัวแทนของ Medusa ยังขโมยข้อมูลสำคัญก่อนที่จะเข้ารหัสระบบด้วย ข้อมูลที่ขโมยได้กลายเป็นจุดกดดันที่สอง: หากเหยื่อปฏิเสธที่จะจ่ายเงิน หรือแม้แต่หลังจากจ่ายเงินแล้ว ผู้โจมตีสามารถขู่ว่าจะเผยแพร่ข้อมูลดังกล่าวต่อสาธารณะ

แนวทางนี้กลายเป็นที่นิยมในกลุ่มปฏิบัติการแรนซัมแวร์เพราะเป็นการเพิ่มแรงกดดันต่อเหยื่อหลายเท่า แม้แต่องค์กรที่มีระบบสำรองข้อมูลที่แข็งแกร่งและสามารถกู้คืนระบบที่ถูกเข้ารหัสได้โดยไม่ต้องจ่ายค่าไถ่ ก็ยังต้องเผชิญกับความเสี่ยงจากการรั่วไหลของข้อมูลที่สร้างความเสียหาย สำหรับองค์กรใดก็ตามที่ถือครองข้อมูลลูกค้า ข้อมูลสุขภาพ หรือข้อมูลพนักงาน ภัยคุกคามดังกล่าวนำมาซึ่งผลกระทบด้านความเป็นส่วนตัวอย่างแท้จริงที่ขยายวงกว้างออกไปไกลเกินกว่าการหยุดชะงักของการปฏิบัติงานอันเกิดจากการโจมตีในทันที

โครงสร้างแบบ RaaS ที่อยู่เบื้องหลัง Medusa หมายความว่าตัวแรนซัมแวร์เองได้รับการพัฒนาและดูแลโดยกลุ่มแกนกลาง ในขณะที่ตัวแทนซึ่งเป็นผู้ปฏิบัติการทางอาชญากรรมอิสระเป็นผู้ดำเนินการโจมตีจริงโดยใช้เครื่องมือและโครงสร้างพื้นฐานร่วมกัน โมเดลนี้ทำให้ Medusa ยากต่อการถอนรากถอนโคนโดยสิ้นเชิง เนื่องจากการล้มตัวแทนรายหนึ่งไม่ได้หมายความว่าการดำเนินงานในวงกว้างจะหยุดลงด้วย

การเรียกเงินเพิ่มครั้งที่สองและสิ่งที่มันส่งสัญญาณ

รายละเอียดหนึ่งในคำแนะนำฉบับดั้งเดิมที่โดดเด่นในแง่ผลกระทบด้านความเป็นส่วนตัวคือ กรณีที่มีการบันทึกไว้ซึ่งผู้กระทำความผิดรายที่สองเรียกร้องเงินเพิ่มเติมจากเหยื่อหลังจากที่จ่ายค่าไถ่ครั้งแรกไปแล้ว นักสืบสวนระบุว่าสิ่งนี้อาจบ่งชี้ถึงการแตกของความไว้วางใจหรือการประสานงานภายในระบบนิเวศของตัวแทน ซึ่งโดยพื้นฐานแล้วคือการขู่กรรโชกซ้ำซ้อนที่ทับซ้อนอยู่บนการขู่กรรโชกครั้งแรก

เรื่องนี้มีความสำคัญสำหรับใครก็ตามที่กำลังคิดถึงความเสี่ยงในทางปฏิบัติของเหตุการณ์แรนซัมแวร์ การจ่ายค่าไถ่ แม้จะทำเพื่อกู้คืนระบบที่สำคัญหรือป้องกันการรั่วไหลของข้อมูล ก็ไม่มีการรับประกันว่าภัยคุกคามจะจบลงเพียงเท่านั้น เมื่อผู้กระทำความผิดหลายรายอาจเข้าถึงข้อมูลที่ถูกขโมยชุดเดียวกัน เหยื่ออาจพบว่าตนเองต้องเผชิญกับการเรียกร้องซ้ำแล้วซ้ำเล่า โดยไม่มีวิธีที่ชัดเจนในการยืนยันว่าใครควบคุมข้อมูลที่รั่วไหลจริง หรือการจ่ายเงินอีกครั้งจะทำให้เกิดความแตกต่างหรือไม่

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

ผู้อ่านส่วนใหญ่จะไม่ตกเป็นเป้าหมายโดยตรงของตัวแทน Medusa แต่ผลกระทบระลอกคลื่นจากการโจมตีเหล่านี้ส่งถึงบุคคลทั่วไปในรูปแบบที่จับต้องได้มาก หาก Medusa บุกรุกระบบโรงพยาบาล ผู้ให้บริการสาธารณูปโภค หรือบริษัทที่ถือครองข้อมูลส่วนบุคคลของคุณ ข้อมูลของคุณอาจกลายเป็นส่วนหนึ่งของการรั่วไหลได้ไม่ว่าคุณจะไม่ได้ทำอะไรผิดเป็นการส่วนตัวก็ตาม

บทเรียนในทางปฏิบัติคือ ความสามารถในการรับมือกับแรนซัมแวร์มากขึ้นเรื่อย ๆ ขึ้นอยู่กับการตั้งสมมติฐานว่าองค์กรใดก็ตามที่ถือครองข้อมูลของคุณอาจถูกโจมตีในที่สุด และวางแผนรับมือตามนั้น นั่นหมายถึงการให้ความสนใจกับการแจ้งเตือนการละเมิดข้อมูล ทำความเข้าใจว่าองค์กรที่ได้รับผลกระทบถือครองข้อมูลประเภทใดจริง และดำเนินขั้นตอนเพื่อจำกัดความเสียหายหากข้อมูลของคุณปรากฏอยู่ในการรั่วไหล

ข้อควรปฏิบัติที่นำไปใช้ได้จริง

  • ติดตามการแจ้งเตือนการละเมิดข้อมูลจากผู้ให้บริการด้านสุขภาพ นายจ้าง และผู้ให้บริการต่าง ๆ และให้ความสำคัญอย่างจริงจังแม้ว่าความเสี่ยงในทันทีจะดูเป็นนามธรรม
  • ใช้รหัสผ่านที่ไม่ซ้ำกันและแข็งแกร่งสำหรับทุกบัญชี เพื่อให้ข้อมูลรับรองที่ถูกเปิดเผยในการโจมตีครั้งหนึ่งไม่สามารถนำไปใช้โจมตีบัญชีอื่น ๆ ได้
  • เปิดใช้การยืนยันตัวตนแบบหลายขั้นตอนในทุกที่ที่มีให้ โดยเฉพาะอย่างยิ่งสำหรับบัญชีการเงิน บัญชีด้านสุขภาพ และบัญชีอีเมล
  • พิจารณาติดตามเครดิตหรือการแจ้งเตือนการฉ้อโกง หากคุณได้รับแจ้งว่าข้อมูลของคุณเป็นส่วนหนึ่งของการละเมิดข้อมูลขององค์กร
  • ติดตามความเคลื่อนไหวล่าสุดของแรนซัมแวร์ Medusa อย่างต่อเนื่อง เนื่องจากโมเดลตัวแทนของกลุ่มหมายความว่าเหยื่อรายใหม่และกลวิธีใหม่ ๆ มีแนวโน้มที่จะเกิดขึ้นอย่างต่อเนื่อง

คำแนะนำฉบับอัปเดตของเอฟบีไอเป็นเครื่องเตือนใจว่ากลุ่มแรนซัมแวร์อย่าง Medusa ยังไม่ชะลอตัวลง และกลวิธีขู่กรรโชกสองชั้นทำให้ความเสี่ยงด้านความเป็นส่วนตัวจากการโจมตีเหล่านี้มีความสำคัญไม่แพ้ความเสี่ยงด้านการปฏิบัติงาน การตื่นตัวต่อการแจ้งเตือนการละเมิดข้อมูลและการปฏิบัติตามสุขอนามัยความปลอดภัยขั้นพื้นฐานยังคงเป็นเครื่องมือที่มีประสิทธิภาพสูงสุดที่บุคคลทั่วไปมีต่อภัยคุกคามที่ท้ายที่สุดแล้วมุ่งเป้าไปที่องค์กรที่เราทุกคนต้องพึ่งพา