หน่วยงานรัฐบาลกลางได้อัปเดตแนวทางร่วมเกี่ยวกับแรนซัมแวร์ Medusa หลังเกิดการโจมตีต่อเนื่องต่อองค์กรด้านสาธารณสุข คำแนะนำดังกล่าวระบุรายละเอียดว่ากลุ่มนี้ดำเนินงานอย่างไร รวมถึงข้อความเรียกค่าไถ่ที่ให้เวลาผู้ตกเป็นเหยื่อเพียง 48 ชั่วโมงในการตอบสนอง และตัวเลือกการจ่ายเงิน 10,000 ดอลลาร์เป็นคริปโทเคอร์เรนซีเพื่อซื้อเวลาเพิ่มอีกหนึ่งวันก่อนที่ข้อมูลที่ถูกขโมยจะถูกเผยแพร่ สำหรับผู้ป่วยที่ข้อมูลอยู่ในโรงพยาบาล คลินิก และระบบสาธารณสุขที่ตกเป็นเป้าหมาย นี่ไม่ใช่แค่ปัญหาไอที แต่คือนาฬิกานับถอยหลังที่ทับอยู่บนข้อมูลส่วนบุคคลของพวกเขา

การโจมตีแรนซัมแวร์ Medusa ต่อเป้าหมายด้านสาธารณสุขที่เกิดขึ้นจริง

Medusa ดำเนินงานในรูปแบบแรนซัมแวร์แบบบริการ (ransomware-as-a-service) หมายความว่ากลุ่มแกนกลางเป็นผู้สร้างและดูแลมัลแวร์ จากนั้นให้สิทธิ์การใช้งานแก่พันธมิตร (affiliates) ที่ดำเนินการเจาะระบบจริง พันธมิตรเหล่านั้นจะได้รับส่วนแบ่งจากค่าไถ่ที่จ่าย ในขณะที่นักพัฒนารับส่วนที่เหลือ โครงสร้างนี้ทำให้ Medusa ขยายขีดความสามารถได้ไกลเกินกว่าที่ทีมแฮกเกอร์กลุ่มเดียวจะจัดการได้ด้วยตัวเอง เนื่องจากพันธมิตรอิสระหลายสิบรายสามารถโจมตีเป้าหมายต่าง ๆ พร้อมกันได้

ภาคสาธารณสุขกลายเป็นเป้าหมายบ่อยครั้งเพราะโรงพยาบาลและคลินิกมีข้อมูลอ่อนไหวจำนวนมาก และมักไม่สามารถทนต่อการหยุดชะงักเป็นเวลานานได้ เมื่อระบบดับ ผู้ป่วยได้รับผลกระทบโดยตรง ซึ่งสร้างแรงกดดันมหาศาลให้แก้ไขเหตุการณ์โดยเร็ว บางครั้งด้วยการจ่ายเงิน แนวทางจากรัฐบาลกลางที่อัปเดตล่าสุดสะท้อนความกังวลที่เพิ่มขึ้นว่าจุดกดดันนี้ถูกใช้ประโยชน์อย่างรุนแรงมากขึ้นต่อภาคส่วนนี้

การขู่กรรโชกสองชั้นเปลี่ยนการรั่วไหลของข้อมูลให้กลายเป็นความเสี่ยงส่วนบุคคลได้อย่างไร

Medusa ใช้การขู่กรรโชกสองชั้น (double extortion) กลยุทธ์ที่ผู้โจมตีไม่เพียงแต่เข้ารหัสไฟล์ขององค์กร แต่ยังขโมยสำเนาข้อมูลก่อนที่จะล็อกทุกอย่างด้วย ทำให้พวกเขามีคานสองอันแยกจากกัน ประการแรก พวกเขาเรียกร้องเงินเพื่อปลดล็อกระบบที่ถูกเข้ารหัส ประการที่สอง ต่อให้องค์กรผู้ตกเป็นเหยื่อกู้คืนระบบจากข้อมูลสำรองของตัวเองและไม่จ่ายค่าไถ่เลย ผู้โจมตียังคงถือสำเนาข้อมูลที่ขโมยมา และสามารถข่มขู่จะเผยแพร่เว้นแต่จะได้รับเงินอีกครั้ง

นี่คือจุดที่ความเสี่ยงเปลี่ยนจากสถาบันไปสู่ปัจเจกบุคคล โรงพยาบาลสามารถสร้างเครือข่ายขึ้นใหม่จากข้อมูลสำรองได้ แต่ไม่สามารถนำข้อมูลผู้ป่วยที่ถูกคัดลอกไปแล้วกลับคืนมาได้ ประวัติการรักษา รายละเอียดประกัน เลขประจำตัวประชาชน และข้อมูลการวินิจฉัยสามารถไปจบลงบนเว็บไซต์เผยแพร่ข้อมูลรั่วพร้อมตัวนับเวลาถอยหลังแบบสาธารณะ และเมื่อข้อมูลถูกเปิดเผยแล้ว ผู้ป่วยไม่มีทางนำกลับคืนมาได้ หน้าต่าง 48 ชั่วโมงและตัวเลือกจ่ายเงินเพื่อเลื่อนเวลาที่ฝังอยู่ในข้อความเรียกค่าไถ่ของ Medusa ไม่ใช่แค่กลวิธีข่มขู่ที่มุ่งเป้าไปที่โรงพยาบาล แต่คือช่วงเวลาที่เหตุการณ์ความมั่นคงปลอดภัยขององค์กรกลายเป็นปัญหาความเป็นส่วนตัวส่วนบุคคลสำหรับทุกคนที่ข้อมูลอยู่ในระบบนั้น

ทำไมโมเดล Ransomware-as-a-Service และการชำระเงินด้วยคริปโทช่วยให้ภัยคุกคามนี้ขยายตัวต่อเนื่อง

โมเดล ransomware-as-a-service และการชำระเงินด้วยคริปโทเคอร์เรนซีทำงานร่วมกันเพื่อทำให้ปฏิบัติการอย่าง Medusa ยังคงทำกำไรและยากต่อการหยุดยั้ง การให้สิทธิ์ใช้งานมัลแวร์แก่พันธมิตรหมายความว่านักพัฒนาหลักไม่ต้องลงมือโจมตีทุกครั้งด้วยตัวเอง พวกเขาแค่ต้องพัฒนาเครื่องมือให้ดีขึ้นและรับส่วนแบ่งจากสิ่งที่เข้ามา การชำระเงินด้วยคริปโทเคอร์เรนซีทำให้การย้ายเงินค่าไถ่ข้ามพรมแดนง่ายขึ้น โดยไม่ต้องผ่านช่องทางธนาคารแบบดั้งเดิมที่อาจถูกตรวจสอบหรืออายัดธุรกรรม

การรวมกันนี้เป็นส่วนหนึ่งที่ทำให้หน่วยงานรัฐบาลกลางยังคงออกและปรับปรุงแนวทางเรื่อย ๆ แทนที่จะถือว่าคำแนะนำฉบับเดียวเป็นบทสรุปสุดท้าย เมื่อฝ่ายป้องกันปรับตัว พันธมิตรก็ปรับเทคนิคของพวกเขา และโมเดลธุรกิจพื้นฐานก็ยังสร้างรูปแบบใหม่ ๆ ของภัยคุกคามแกนเดิมอย่างต่อเนื่อง สำหรับผู้ป่วย นี่หมายความว่าการรั่วไหลของข้อมูลด้านสาธารณสุขที่เชื่อมโยงกับกลุ่มอย่าง Medusa ไม่ใช่เหตุการณ์ครั้งเดียวที่ต้องกังวล แต่เป็นความเสี่ยงประเภทหนึ่งที่ดำเนินไปอย่างต่อเนื่องและจะไม่หายไปในเร็ว ๆ นี้

ขั้นตอนปฏิบัติเพื่อปกป้องตัวเองหลังการรั่วไหลของข้อมูลด้านสาธารณสุข

ผู้ป่วยส่วนใหญ่จะไม่รู้ว่าข้อมูลของตนถูกเปิดเผยจนกว่าองค์กรจะส่งหนังสือแจ้งการรั่วไหล และต่อให้ได้รับแจ้ง รายละเอียดก็อาจมีจำกัด การนั่งรอจดหมายนั้นเฉย ๆ ไม่ใช่กลยุทธ์ที่ดีนักเมื่อพิจารณาว่าการขู่กรรโชกสองชั้นทำงานอย่างไร ขั้นตอนที่เป็นรูปธรรมสองสามขั้นตอนสามารถสร้างความแตกต่างได้จริง:

  • วางคำสั่งอายัดเครดิต (credit freeze) กับบริษัทเครดิตบูโรรายใหญ่หากผู้ให้บริการด้านสุขภาพของคุณแจ้งการรั่วไหล เนื่องจากเวชระเบียนมักมีข้อมูลระบุตัวตนที่จำเป็นต่อการโจรกรรมอัตลักษณ์
  • ตรวจสอบใบแจ้งประกันและค่าใช้จ่ายทางการแพทย์สำหรับบริการที่คุณไม่ได้รับ ซึ่งเป็นสัญญาณทั่วไปของการฉ้อโกงอัตลักษณ์ทางการแพทย์
  • ใช้รหัสผ่านที่ไม่ซ้ำใครและแข็งแกร่งสำหรับพอร์ทัลผู้ป่วย และเปิดใช้งานการยืนยันตัวตนหลายขั้นตอนทุกที่ที่มีให้
  • ให้ความสนใจกับหน้าประกาศการรั่วไหลอย่างเป็นทางการและคำแนะนำด้านความมั่นคงปลอดภัยที่เชื่อถือได้ แทนที่จะพึ่งพาข่าวลือเกี่ยวกับสิ่งที่ถูกขโมยหรือไม่ถูกขโมย

สิ่งนี้หมายถึงอะไรสำหรับคุณ

ความจริงอันไม่สบายใจของการขู่กรรโชกสองชั้นของแรนซัมแวร์ Medusa คือผู้ป่วยมักไม่มีความสัมพันธ์โดยตรงกับผู้โจมตี และไม่มีทางเจรจาในนามของตัวเองได้ ชะตากรรมของข้อมูลของพวกเขาขึ้นอยู่กับการตัดสินใจของทีมความมั่นคงปลอดภัยขององค์กรด้านสาธารณสุขทั้งหมด และในกรณีเลวร้ายที่สุด คือการเจรจาค่าไถ่ที่พวกเขาจะไม่มีวันได้เห็น นี่คือข้อโต้แย้งที่หนักแน่นสำหรับการไม่รอให้สถาบันเพียงลำพังเป็นผู้แจ้งเมื่อข้อมูลของคุณถูกบุกรุก ระบบแจ้งเตือนภัยคุกคามเชิงรุก เช่น แนวทางที่ Apple ได้อธิบายสำหรับการแจ้งเตือนผู้ใช้ที่ตกเป็นเป้าหมายของสปายแวร์รับจ้าง แสดงให้เห็นว่าองค์กรควรทำอย่างไรเมื่อต้องรับผิดชอบในการแจ้งให้บุคคลทราบอย่างรวดเร็วและโปร่งใส แทนที่จะปล่อยให้พวกเขารู้ผ่านจดหมายแจ้งการรั่วไหลหลายเดือนต่อมา ผู้ให้บริการด้านสุขภาพและหน่วยงานกำกับดูแลยังตามไม่ทันมาตรฐานนั้น

ข้อสรุป

โมเดลการขู่กรรโชกสองชั้นของแรนซัมแวร์ Medusa หมายความว่าการโจมตีโรงพยาบาลหรือคลินิกสำเร็จเพียงครั้งเดียวสามารถกลายเป็นเหตุการณ์เปิดเผยข้อมูลส่วนบุคคลของผู้ป่วยหลายพันคนได้ ไม่ว่าค่าไถ่จะถูกจ่ายหรือไม่ก็ตาม โครงสร้าง ransomware-as-a-service ที่อยู่เบื้องหลัง Medusa ประกอบกับการชำระเงินด้วยคริปโทเคอร์เรนซี ทำให้ภัยคุกคามนี้คงอยู่ยาวนาน ไม่ใช่แค่พาดหัวข่าวชั่วคราว หากคุณได้รับหนังสือแจ้งการรั่วไหลจากผู้ให้บริการด้านสุขภาพ จงจริงจังกับมัน: อายัดเครดิตของคุณ ตรวจสอบใบแจ้งทางการแพทย์ และเพิ่มความแข็งแกร่งให้การยืนยันตัวตนบนพอร์ทัลผู้ป่วยที่คุณใช้ อย่ารอให้สถาบันบอกคุณว่ามีบางอย่างผิดปกติก่อนที่คุณจะเริ่มตรวจสอบสัญญาณด้วยตัวเอง