เจ้าหน้าที่ความมั่นคงทางไซเบอร์ของรัฐบาลกลางยืนยันว่ากลุ่มแรนซัมแวร์ Medusa ได้เข้าประนีประนอมองค์กรกว่า 500 แห่งแล้ว ซึ่งเป็นเหตุการณ์สำคัญที่ตอกย้ำว่าปฏิบัติการแรนซัมแวร์แบบบริการนี้ขยายการโจมตีได้อย่างรุนแรงเพียงใด การอัปเดตที่เชื่อมโยงกับคำแนะนำร่วมนี้ยังชี้ให้เห็นถึงความผิดปกติที่น่าสนใจ นั่นคือสัญญาณว่าผู้ตกเป็นเหยื่อบางรายอาจเผชิญกับการขู่กรรโชกสามชั้น (triple extortion) ซึ่งเป็นกลยุทธ์ที่เพิ่มแรงกดดันซ้ำซ้อนให้กับองค์กรที่พยายามรับมือกับการละเมิดความปลอดภัยอยู่แล้ว

ข้อเรียกร้องค่าไถ่ของ Medusa เริ่มเป็นเรื่องส่วนตัวมากขึ้น

สิ่งที่ทำให้คลื่นการโจมตีล่าสุดของ Medusa แตกต่างออกไปไม่ใช่แค่จำนวนเหยื่อ แต่เป็นวิธีที่กลุ่มนี้ดูเหมือนจะปรับแต่งข้อเรียกร้องของตน ตามรายงานที่เกี่ยวกับคำแนะนำดังกล่าว จำนวนค่าไถ่บางครั้งถูกปรับให้เข้ากับข้อมูลทางการเงินที่เปิดเผยต่อสาธารณะของเป้าหมาย ซึ่งหมายความว่าผู้โจมตีอาจสำรวจรายได้ รอบการระดมทุน หรือการเปิดเผยข้อมูลทางการเงินของบริษัท ก่อนที่จะตัดสินใจว่าจะเรียกร้องเท่าใด องค์กรที่จ่ายเงินเร็วกว่าก็ถูกรายงานว่าได้รับส่วนลด ซึ่งเป็นกลยุทธ์ทางจิตวิทยาที่ออกแบบมาเพื่อผลักดันให้เหยื่อจ่ายเงินอย่างรวดเร็วก่อนที่จะมีเวลาประเมินทางเลือกหรือปรึกษาทีมรับมือเหตุการณ์ได้อย่างเต็มที่

การกำหนดราคาแบบเจาะจงเป้าหมายเช่นนี้ไม่ใช่เรื่องใหม่ในโลกแรนซัมแวร์ แต่มันสะท้อนถึงระดับการสอดแนมที่ควรสร้างความกังวลให้กับองค์กรใดก็ตามที่ดูแลข้อมูลลูกค้าหรือผู้ป่วยที่ละเอียดอ่อน หากผู้โจมตีค้นคว้าข้อมูลการเงินของบริษัทก่อนที่จะลงมือ นั่นเป็นเครื่องเตือนใจว่าข้อมูลทางธุรกิจที่เปิดเผยต่อสาธารณะสามารถถูกใช้เป็นอาวุธในวิธีที่เกินกว่าการขโมยข้อมูลแบบดั้งเดิม สำหรับข้อมูลเพิ่มเติมเกี่ยวกับวิวัฒนาการของ Medusa นับตั้งแต่คำแนะนำฉบับแรกเริ่ม ครอบคลุมก่อนหน้านี้ของเราเกี่ยวกับ การอัปเดตแรนซัมแวร์ Medusa ที่มีองค์กรกว่า 500 แห่งถูกละเมิด จะอธิบายว่า CISA, FBI และ HHS ติดตามการขยายอาณาเขตของกลุ่มนี้เมื่อเวลาผ่านไปอย่างไร

คำถามเกี่ยวกับการขู่กรรโชกสามชั้น

หนึ่งในรายละเอียดที่โดดเด่นที่สุดในเหตุการณ์ล่าสุดนี้คือความเป็นไปได้ของการขู่กรรโชกสามชั้น การโจมตีด้วยแรนซัมแวร์แบบดั้งเดิมมักเกี่ยวข้องกับจุดกดดันสองจุด ได้แก่ การเข้ารหัสไฟล์ของเหยื่อ และการขู่ว่าจะรั่วไหลข้อมูลที่ถูกขโมยหากไม่จ่ายค่าไถ่ การขู่กรรโชกสามชั้นเพิ่มชั้นที่สาม ซึ่งมักเกี่ยวข้องกับภัยคุกคามเพิ่มเติม เช่น การติดต่อลูกค้า คู่ค้า หรือหน่วยงานกำกับดูแลของเหยื่อโดยตรง หรือการเปิดฉากโจมตีเพิ่มเติม เช่น การโจมตีแบบปฏิเสธการให้บริการแบบกระจาย (DDoS) เพื่อเพิ่มความเสียหายให้มากขึ้น

สิ่งสำคัญคือ รายงานระบุว่านี่ไม่จำเป็นต้องเป็นการยืนยันกลยุทธ์การขู่กรรโชกสามชั้นที่ประสานงานกัน ข้อพิพาทภายในหรือการประสานงานที่ไม่ดีภายในเครือข่ายแรนซัมแวร์เองก็อาจอธิบายข้อเรียกร้องที่ผิดปกติหรือเพิ่มสูงขึ้นได้ กลุ่มแรนซัมแวร์แบบบริการอย่าง Medusa มักดำเนินการกับผู้ที่เกี่ยวข้องแบบหลวมๆ ซึ่งได้รับอนุญาตให้ใช้มัลแวร์และดำเนินการโจมตีอย่างอิสระ ซึ่งอาจนำไปสู่พฤติกรรมที่ไม่สอดคล้องกัน ข้อเรียกร้องที่ขัดแย้งกัน หรือพันธมิตรที่ปฏิบัติการนอกเหนือจากแผนปกติของกลุ่ม คำอธิบายทั้งสองแบบชี้ไปที่ความเป็นจริงเชิงปฏิบัติเดียวกันสำหรับเหยื่อ นั่นคือ ความไม่แน่นอนกำลังกลายเป็นคุณลักษณะที่กำหนดของการเจรจาแรนซัมแวร์สมัยใหม่ ทำให้องค์กรคาดเดาได้ยากขึ้นว่าสิ่งใดจะเกิดขึ้นเมื่อถูกประนีประนอมแล้ว

สิ่งนี้หมายถึงอะไรสำหรับคุณ

หากคุณไม่ได้ดูแลระบบไอทีให้กับโรงพยาบาล สาธารณูปโภค หรือบริษัทผู้ผลิต คุณอาจคิดว่านี่เป็นปัญหาของคนอื่น แต่เป้าหมายของ Medusa มักเป็นองค์กรที่ถือครองข้อมูลส่วนบุคคลของคนทั่วไป รวมถึงผู้ป่วย ลูกค้า และพนักงาน เมื่อกลุ่มแรนซัมแวร์บุกโจมตีโครงสร้างพื้นฐานที่สำคัญหรือผู้ให้บริการ ผลกระทบมักส่งถึงบุคคลทั่วไปผ่านการดูแลทางการแพทย์ที่ล่าช้า ข้อมูลส่วนบุคคลที่ถูกเปิดเผย หรือบัญชีที่ถูกประนีประนอมซึ่งเชื่อมโยงกับองค์กรที่ถูกละเมิด

ขนาดการดำเนินงานที่ growing ของ Medusa ซึ่งปัจจุบันมีเหยื่อที่ได้รับการยืนยันกว่า 500 ราย ยังส่งสัญญาณว่ากลุ่มแรนซัมแวร์แบบบริการกำลังมีประสิทธิภาพมากขึ้นในการระบุและหาประโยชน์จากเป้าหมายที่เปราะบาง สำหรับผู้บริโภค สิ่งนี้ตอกย้ำบทเรียนที่คุ้นเคยแต่สำคัญ นั่นคือ จงสันนิษฐานว่าองค์กรใดก็ตามที่คุณแบ่งปันข้อมูลด้วยอาจถูกบุกรุกในที่สุด และดำเนินขั้นตอนเพื่อจำกัดความเสี่ยงของคุณตามนั้น

ข้อควรปฏิบัติที่นำไปใช้ได้จริง

แม้ว่าบุคคลทั่วไปจะไม่สามารถหยุดกลุ่มแรนซัมแวร์จากการกำหนดเป้าหมายโรงพยาบาลหรือผู้ให้บริการโครงสร้างพื้นฐานได้ แต่ก็มีขั้นตอนที่เป็นรูปธรรมที่ควรทำ ติดตามบัญชีที่เชื่อมโยงกับองค์กรใดก็ตามที่เปิดเผยการละเมิด และเปิดใช้การยืนยันตัวตนแบบหลายปัจจัยทุกที่ที่มีให้ โดยเฉพาะบนพอร์ทัลทางการเงินและสุขภาพ ระวังการสื่อสารที่ไม่คาดคิดซึ่งอ้างว่ามาจากบริษัทที่ถูกละเมิด เนื่องจากกลยุทธ์การขู่กรรโชกบางครั้งขยายไปถึงการติดต่อลูกค้าโดยตรง ในขณะเดียวกัน ธุรกิจต่างๆ ควรปฏิบัติต่อข้อมูลทางการเงินที่เปิดเผยต่อสาธารณะเสมือนเป็นพื้นผิวการโจมตีที่อาจเกิดขึ้น และตรวจสอบให้แน่ใจว่าแผนรับมือเหตุการณ์รองรับการขู่กรรโชกหลายชั้นที่คาดเดาไม่ได้ แทนที่จะสมมติว่าข้อเรียกร้องค่าไถ่เพียงครั้งเดียวจะครอบคลุมแรงกดดันทั้งหมด

ในขณะที่จำนวนเหยื่อของ Medusa ยังคงเพิ่มขึ้นอย่างต่อเนื่อง การรับทราบข้อมูลเกี่ยวกับวิธีการทำงานของกลุ่มเหล่านี้ยังคงเป็นวิธีที่ง่ายที่สุดวิธีหนึ่งในการเตรียมพร้อม ไม่ว่าคุณจะปกป้องเครือข่ายธุรกิจหรือข้อมูลส่วนตัวของคุณเองก็ตาม