กลุ่มแรนซัมแวร์ Medusa ทะลุ 500 เหยื่อนับตั้งแต่ปี 2021

ปฏิบัติการแรนซัมแวร์ที่รู้จักกันในชื่อ Medusa ถูกเชื่อมโยงกับการโจมตีมากกว่า 500 ครั้งนับตั้งแต่ปรากฏตัวครั้งแรกในเดือนมิถุนายน 2021 ตามรายงานฉบับล่าสุด กลุ่มนี้สร้างชื่อเสียงจากรูปแบบการขู่กรรโชกสองชั้น: การเข้ารหัสข้อมูลของเหยื่อพร้อมกับขู่ว่าจะเผยแพร่ไฟล์ที่ถูกขโมยต่อสาธารณะหากไม่จ่ายค่าไถ่ การโจมตีสองเด็ดนี้ทำให้ Medusa กลายเป็นหนึ่งในปฏิบัติการแรนซัมแวร์แบบบริการ (ransomware-as-a-service) ที่คงอยู่ยาวนานที่สุดที่นักวิจัยด้านความมั่นคงปลอดภัยติดตามมาหลายปี

สิ่งที่ทำให้ Medusa โดดเด่นไม่ใช่แค่อายุการใช้งานที่ยาวนาน แต่เป็นช่วงของภาคส่วนที่มันสามารถสร้างความเสียหายได้ ตั้งแต่เครือข่ายองค์กรไปจนถึงบริการสาธารณะที่สำคัญ รวมถึงผลกระทบในโลกแห่งความเป็นจริงที่ตามมาเมื่อการโจมตีประสบความสำเร็จ

การโจมตีโรงพยาบาลที่เผยให้เห็นต้นทุนของมนุษย์

หนึ่งในเหตุการณ์ที่สร้างความเสียหายมากที่สุดของ Medusa คือการโจมตี University of Mississippi Medical Center ในเดือนกุมภาพันธ์ 2026 การเจาะระบบครั้งนี้ทำให้ระบบขัดข้องนานเก้าวัน ส่งผลให้ศูนย์การแพทย์ต้องปิดคลินิกผู้ป่วยนอกและกลับไปใช้การจัดเก็บเวชระเบียนแบบกระดาษระหว่างที่ระบบกำลังถูกกู้คืน ผู้โจมตี reportedly เรียกร้องค่าไถ่ 800,000 ดอลลาร์

เหตุการณ์แบบนี้แสดงให้เห็นว่าทำไมแรนซัมแวร์ที่โจมตีผู้ให้บริการด้านสุขภาพจึงดึงดูดความสนใจจากหน่วยงานกำกับดูแลและหน่วยงานด้านความมั่นคงปลอดภัยเป็นอย่างมาก เมื่อระบบของโรงพยาบาลออฟไลน์ ผลกระทบไม่ได้จำกัดอยู่แค่แผนกไอที การนัดหมายผู้ป่วย การเข้าถึงเวชระเบียน และการดำเนินงานทางคลินิกในแต่ละวันสามารถหยุดชะงักทั้งหมด และเจ้าหน้าที่ต้องแก้ไขเฉพาะหน้าด้วยแบบฟอร์มกระดาษจนกว่าระบบจะกลับมาทำงาน สำหรับผู้ป่วย นั่นหมายถึงการเลื่อนนัดหมาย ระยะเวลารอที่ยาวนานขึ้น และความไม่แน่นอนว่าข้อมูลสุขภาพส่วนบุคคลของพวกเขาถูกเปิดเผยในกระบวนการนี้หรือไม่

กลยุทธ์ขู่กรรโชกสองชั้นเพิ่มความเสี่ยงอีกชั้นหนึ่งนอกเหนือจากการหยุดชะงักของการดำเนินงาน แม้ว่าองค์กรจะสามารถกู้คืนระบบจากข้อมูลสำรองและหลีกเลี่ยงการจ่ายค่าไถ่ได้ ข้อมูลที่ถูกขโมยก็ยังสามารถถูกเผยแพร่หรือขายได้หากข้อเรียกร้องของกลุ่มไม่ได้รับการตอบสนอง นั่นหมายความว่าผู้ป่วย พนักงาน หรือลูกค้าที่เชื่อมโยงกับองค์กรที่ถูกเจาะอาจเผชิญความเสี่ยงจากการโจรกรรมข้อมูลส่วนบุคคลหรือการฉ้อโกงเป็นเวลานานหลังจากที่ข่าวเกี่ยวกับการหยุดชะงักครั้งแรกจางหายไป

ทำไม Medusa ถึงเติบโตอย่างต่อเนื่อง

ความยั่งยืนของ Medusa มาจากโครงสร้างแรนซัมแวร์แบบบริการที่คุ้นเคย แทนที่จะดำเนินการเป็นกลุ่มที่ควบคุมอย่างเข้มงวดเพียงกลุ่มเดียว โมเดลของ Medusa อนุญาตให้พันธมิตร (affiliates) ปรับใช้แรนซัมแวร์เพื่อแลกกับส่วนแบ่งจากค่าไถ่ที่จ่าย วิธีการคล้ายแฟรนไชส์นี้ทำให้ปฏิบัติการขยายตัวอย่างรวดเร็ว โจมตีเป้าหมายใหม่ในหลากหลายอุตสาหกรรมโดยที่กลุ่มหลักไม่ต้องดำเนินการเจาะระบบทุกครั้งด้วยตัวเอง

ตามที่เราได้ให้รายละเอียดในการรายงานก่อนหน้านี้เกี่ยวกับ อัปเดตแรนซัมแวร์ Medusa ติดตามองค์กรที่ถูกเจาะมากกว่า 500 แห่ง หน่วยงานไซเบอร์ของรัฐบาลกลางรวมถึง CISA, FBI และกรมอนามัยและบริการมนุษย์ (Department of Health and Human Services) ได้ออกคำเตือนร่วมกันเกี่ยวกับกลยุทธ์ของกลุ่ม ความสนใจจากรัฐบาลกลางในระดับที่ประสานงานกันแบบนี้มักเป็นสัญญาณว่ากลุ่มแรนซัมแวร์ได้ย้ายจากภัยคุกคามเฉพาะกลุ่มไปสู่ภัยที่สามารถ disrupting ภาคส่วนที่สำคัญต่อความปลอดภัยสาธารณะ รวมถึงการดูแลสุขภาพ การผลิต และโครงสร้างพื้นฐานที่สำคัญอื่น ๆ

ข้อเท็จจริงที่ว่าจำนวนเหยื่อของ Medusa ยังคงเพิ่มขึ้นอย่างต่อเนื่อง แทนที่จะลดลง แสดงให้เห็นว่าหลายองค์กรยังคงเสี่ยงต่อวิธีการเข้าถึงเบื้องต้นที่กลุ่มและพันธมิตรใช้ ไม่ว่าจะเป็นการฟิชชิ่ง การใช้ประโยชน์จากซอฟต์แวร์ที่ไม่ได้อัปเดต หรือการใช้ประโยชน์จากข้อมูลประจำตัวสำหรับการเข้าถึงระยะไกลที่อ่อนแอ

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

คนส่วนใหญ่จะไม่ตกเป็นเป้าหมายโดยตรงจากกลุ่มอย่าง Medusa แต่ผลกระทบต่อเนื่องนั้นเข้าถึงผู้ใช้ทั่วไปบ่อยกว่าที่คิด หากคุณเป็นผู้ป่วย ลูกค้า หรือพนักงานขององค์กรที่ถูกโจมตี ข้อมูลส่วนบุคคลของคุณ (เวชระเบียน รายละเอียดทางการเงิน ข้อมูลประจำตัวสำหรับเข้าสู่ระบบ) อาจถูกเปิดเผยแม้ว่าคุณจะไม่เคยโต้ตอบกับผู้โจมตีโดยตรงก็ตาม

จังหวะการโจมตีที่เพิ่มขึ้นยังเป็นเครื่องเตือนใจว่าแรนซัมแวร์ไม่ใช่ข่าวพาดหัวที่เกิดขึ้นเป็นครั้งคราว แต่มันคือโมเดลธุรกิจอาชญากรรมที่ขยายตัวต่อเนื่อง และผู้ให้บริการด้านสุขภาพโดยเฉพาะยังคงเป็นเป้าหมายที่น่าดึงดูดเพราะการหยุดชะงักที่นั่นสร้างแรงกดดันเร่งด่วนให้ต้องจ่ายเงิน

ข้อควรปฏิบัติที่นำไปใช้ได้จริง

แม้ว่าคุณจะไม่สามารถควบคุมได้ว่าโรงพยาบาล นายจ้าง หรือผู้ให้บริการของคุณจะตกเป็นเป้าหมายหรือไม่ คุณสามารถลดความเสี่ยงของตัวเองได้:

  • ติดตามการแจ้งเตือนการถูกเจาะข้อมูล หากองค์กรที่คุณเกี่ยวข้องรายงานเหตุการณ์ ให้ปฏิบัติตามคำแนะนำของพวกเขาเกี่ยวกับการติดตามเครดิตหรือการเปลี่ยนรหัสผ่านโดยเร็ว
  • ใช้รหัสผ่านที่แข็งแกร่งและไม่ซ้ำกัน สำหรับทุกบัญชี โดยเฉพาะพอร์ทัลด้านสุขภาพและบริการทางการเงิน เพื่อไม่ให้การรั่วไหลจากผู้ให้บริการรายหนึ่งลามไปยังรายอื่น
  • เปิดใช้การยืนยันตัวตนหลายปัจจัย ทุกที่ที่มีให้ เนื่องจากยังคงเป็นหนึ่งในแนวป้องกันที่มีประสิทธิภาพที่สุดต่อการโจมตีที่ใช้ข้อมูลประจำตัวซึ่งมักเป็นช่องทางเริ่มต้นของกลุ่มแรนซัมแวร์
  • อัปเดตและแพตช์อุปกรณ์ส่วนบุคคลอยู่เสมอ เนื่องจากพันธมิตรของแรนซัมแวร์มักใช้ประโยชน์จากช่องโหว่ซอฟต์แวร์ที่รู้จักเพื่อเข้าถึงระบบ

การที่ Medusa ไต่ขึ้นไปเกิน 500 เหยื่อเป็นข้อมูลที่น่าตกใจ แต่มันยังเป็นเสียงเรียกร้องให้เตรียมพร้อมเชิงรุกมากกว่าการตื่นตระหนก กลุ่มแรนซัมแวร์ thrive บนระบบที่ไม่ได้รับการแพตช์และรหัสผ่านที่ถูกนำกลับมาใช้ซ้ำ ซึ่งทั้งสองอย่างนี้บุคคลและองค์กรสามารถแก้ไขได้ตั้งแต่วันนี้