กิจกรรมแรนซัมแวร์ทั่วตะวันออกกลางกำลังเพิ่มสูงขึ้น แม้รูปแบบการโจมตีทางไซเบอร์ในภูมิภาคโดยรวมจะเปลี่ยนแปลงไปตามเหตุการณ์ทางภูมิรัฐศาสตร์ รายงานภัยคุกคามฉบับใหม่แสดงให้เห็นว่าผู้ดำเนินการแรนซัมแวร์ไม่ได้เพียงแค่ฉวยประโยชน์จากความไม่มั่นคงในภูมิภาคเท่านั้น แต่พวกเขามีพฤติกรรมเหมือนนักเศรษฐศาสตร์ที่มีเหตุผล คือเลือกเป้าหมาย berdasarkan ความสามารถในการจ่ายค่าไถ่จำนวนมหาศาลและมูลค่าของข้อมูลที่เป้าหมายถือครอง มากกว่าแรงจูงใจทางการเมืองเพียงอย่างเดียว ซ้อนทับบนแนวโน้มนี้คือการใช้งานปัญญาประดิษฐ์ที่เพิ่มขึ้นของเหล่าผู้โจมตี ซึ่งเป็นการพัฒนาที่กำลังเปลี่ยนแปลงทั้งความเร็วและความซับซ้อนของแคมเปญเหล่านี้

สำหรับองค์กรและบุคคลในภูมิภาคนี้และที่อื่น ๆ การเปลี่ยนแปลงนี้มีความสำคัญ การป้องกันแรนซัมแวร์จากการโจมตีด้วย AI ไม่ใช่เรื่องกังวลเชิงทฤษฎีสำหรับทีมความปลอดภัยอีกต่อไป มันกำลังกลายเป็นปัญหาการวางแผนในทางปฏิบัติในระยะใกล้นี้ และเปลี่ยนวิธีที่เราควรคิดเกี่ยวกับเครื่องมืออย่าง VPN การเข้ารหัส และการแบ่งส่วนเครือข่าย

AI กำลังเปลี่ยนกลยุทธ์แรนซัมแวร์ในตะวันออกกลางอย่างไร

ความแตกต่างระหว่างแนวโน้มแรนซัมแวร์กับกิจกรรมไซเบอร์ทางภูมิรัฐศาสตร์ทั่วไปชี้ให้เห็นถึงเศรษฐกิจอาชญากรรมที่กำลังเติบโตเต็มที่ กลุ่มแรนซัมแวร์มีความเลือกมากขึ้น โดยให้ความสำคัญกับองค์กรที่มีเงินหนาและข้อมูลอ่อนไหว มากกว่าเป้าหมายที่เลือกด้วยเหตุผลเชิงสัญลักษณ์หรือการเมืองล้วน ๆ ความเลือกสรรนี้กำลังถูกทำให้คมชัดขึ้นด้วยเครื่องมือ AI ซึ่งช่วยให้ผู้โจมตีautomate การสอดแนม ระบุเป้าหมายที่มีมูลค่าสูงได้เร็วขึ้น และสร้างเหยื่อล่อทางวิศวกรรมสังคมที่น่าเชื่อถือมากขึ้น

นี่คือวิวัฒนาการที่สำคัญจากคลื่นแรนซัมแวร์ในยุคก่อน ซึ่งมักอาศัยแคมเปญฟิชชิ่งแบบกว้างและไม่เลือกหน้า การกำหนดเป้าหมายโดยช่วยจาก AI ทำให้ผู้โจมตีใช้เวลากับการบุกรุกที่ไม่เกิดผลน้อยลง และใช้เวลากับปฏิบัติการที่มีแนวโน้มจะได้ผลตอบแทนมากขึ้น นอกจากนี้ยังลดอุปสรรคทางเทคนิคสำหรับกลุ่มที่มีความซับซ้อนน้อยกว่าในการโจมตีที่น่าเชื่อถือ เนื่องจากเครื่องมือ AI สามารถช่วยสร้างเนื้อหาฟิชชิ่งที่สมจริง เลียนแบบสไตล์การเขียน หรือสแกนหาระบบที่มีช่องโหว่ในวงกว้าง

ผลลัพธ์คือภูมิทัศน์ภัยคุกคามที่ทั้งปริมาณและความแม่นยำของการโจมตีแรนซัมแวร์เพิ่มขึ้นพร้อมกัน ซึ่งเป็นการผสมผสานที่การป้องกันแบบดั้งเดิมตามได้ยากขึ้น

ทำไมการขโมยข้อมูลจึงเป็นภัยคุกคามที่ใหญ่กว่าการล็อกข้อมูลด้วยการเข้ารหัส

ชื่อเสียงของแรนซัมแวร์สร้างขึ้นจากการเข้ารหัส ผู้โจมตีล็อกไฟล์และเรียกค่าไถ่เพื่อแลกกับกุญแจถอดรหัส แต่ตรรกะทางเศรษฐกิจที่ขับเคลื่อนผู้ดำเนินการแรนซัมแวร์ในปัจจุบันได้ผลักดันหลายกลุ่มไปสู่กลยุทธ์ที่แตกต่างและมักสร้างความเสียหายมากกว่า นั่นคือการขโมยข้อมูลก่อน หรือแทนที่จะเข้ารหัสมัน

การขโมยข้อมูลและการกรรโชกให้ข้อได้เปรียบหลายประการแก่ผู้โจมตี แม้ว่าองค์กรเหยื่อจะมีระบบสำรองข้อมูลที่แข็งแกร่งและสามารถกู้คืนระบบที่ถูกเข้ารหัสได้โดยไม่ต้องจ่ายค่าไถ่ ข้อมูลที่ถูกขโมยก็ยังสามารถใช้เป็นเครื่องต่อรองได้ ผู้โจมตีขู่ว่าจะรั่วไหลข้อมูลลูกค้าที่ละเอียดอ่อน ทรัพย์สินทางปัญญา หรือการสื่อสารภายใน เว้นแต่จะมีการจ่ายเงิน ซึ่งเป็นกลยุทธ์ที่หลบเลี่ยงการป้องกันที่หลายองค์กรสร้างขึ้นมาโดยเฉพาะเพื่อรับมือกับการโจมตีที่ใช้การเข้ารหัส

การเปลี่ยนแปลงนี้หมายความว่าองค์กรที่ลงทุนอย่างหนักในระบบสำรองข้อมูลและการกู้คืน แม้จะสำคัญ แต่ก็อาจยังพบว่าตนเองมีความเสี่ยงหากการป้องกันการขโมยข้อมูลล้าหลัง การป้องกันแรนซัมแวร์จากการโจมตีด้วย AI หมายถึงการป้องกันการขโมยข้อมูลอย่างเงียบ ๆ มากขึ้น ไม่ใช่แค่การล็อกระบบ

VPN และการเข้ารหัสปกป้องอะไรได้และไม่ได้ในการโจมตีแรนซัมแวร์

VPN และการเข้ารหัสยังคงเป็นเครื่องมือที่มีคุณค่า แต่สิ่งสำคัญคือต้องเข้าใจข้อจำกัดของมันในสภาพแวดล้อมภัยคุกคามใหม่นี้ VPN เข้ารหัสการรับส่งข้อมูลระหว่างอุปกรณ์และเครือข่าย ซึ่งช่วยปกป้องข้อมูลระหว่างการส่งและสามารถลดความเสี่ยงเมื่อพนักงานเชื่อมต่อจากระยะไกล โดยเฉพาะผ่านเครือข่ายที่ไม่ปลอดภัยหรือสาธารณะ สิ่งนี้ทำให้ VPN เป็นชั้นการป้องกันที่สมเหตุสมผลต่อการดักจับระหว่างการทำงานระยะไกล

อย่างไรก็ตาม VPN ไม่ได้ป้องกันผู้โจมตีที่ได้ compromised อุปกรณ์หรือขโมยข้อมูลรับรองที่ถูกต้องไปแล้วจากการเคลื่อนที่ผ่านเครือข่ายและเข้าถึงไฟล์ที่ละเอียดอ่อน เมื่ออยู่ภายในแล้ว การเชื่อมต่อที่เข้ารหัสไม่สามารถหยุดการเคลื่อนที่ในแนวนอนได้ และข้อมูลที่เข้ารหัสขณะจัดเก็บก็ไม่สามารถหยุดการขโมยข้อมูลได้หากผู้โจมตีมีสิทธิ์เข้าถึงที่ถูกต้องตามกฎหมายในการถอดรหัสหรือดูข้อมูลระหว่างการดำเนินงานปกติ

นี่คือเหตุผลที่การแบ่งส่วนเครือข่ายมีความสำคัญมากในสภาพภูมิอากาศภัยคุกคามปัจจุบัน การแบ่งเครือข่ายออกเป็นโซนย่อยที่แยกจากกันจำกัดระยะที่ผู้โจมตีสามารถเคลื่อนที่ได้หลังจากการบุกรุกครั้งแรก ลดโอกาสที่บัญชีหรืออุปกรณ์ที่ถูก compromise เพียงหนึ่งรายการจะนำไปสู่การขโมยข้อมูลทั่วทั้งองค์กร การเข้ารหัสข้อมูลที่ละเอียดอ่อน ทั้งระหว่างการส่งและขณะจัดเก็บ เพิ่มอีกชั้นหนึ่ง แต่จะทำงานได้ดีที่สุดเมื่อรวมกับการควบคุมการเข้าถึงที่เข้มงวด การตรวจสอบ และการแบ่งส่วน มากกว่าเป็น defenses แบบเดี่ยว

บทเรียนที่กว้างขึ้นคือไม่มีเครื่องมือใดเครื่องมือหนึ่ง รวมถึง VPN ที่เป็นคำตอบสมบูรณ์สำหรับแรนซัมแวร์ที่เสริมด้วย AI เครื่องมือเหล่านี้เป็นองค์ประกอบของกลยุทธ์แบบหลายชั้น ไม่ใช่สิ่งทดแทนซึ่งกันและกัน

สิ่งนี้หมายความว่าอะไรสำหรับคุณ

ไม่ว่าคุณจะจัดการไอทีให้องค์กรหรือเพียงแค่ต้องการปกป้องอุปกรณ์ของคุณเอง ข้อความจากแนวโน้มนี้ก็เหมือนกัน คือให้สันนิษฐานว่าผู้โจมตีอาจมีความสามารถมากกว่าที่ defenses ปัจจุบันของคุณรองรับอยู่แล้ว เครื่องมือ AI กำลังลดต้นทุนและความพยายามที่จำเป็นในการระบุเป้าหมายที่มีมูลค่าและสร้างการโจมตีที่น่าเชื่อถือ และกลุ่มแรนซัมแวร์ก็มุ่งเน้นการขโมยข้อมูลมากขึ้นแทนที่จะเพียงแค่ล็อกมันไว้

การเพิ่มขึ้นของแรนซัมแวร์ในภูมิภาคนี้ไม่ได้เกิดขึ้นโดยลำพัง มันอยู่เคียงข้างภัยคุกคามไซเบอร์อื่น ๆ ที่เชื่อมโยงกับรัฐและอาชญากรรมที่เกิดจากตะวันออกกลาง รวมถึงแคมเปญสปายแวร์บน Telegram ของอิหร่านที่เพิ่งถูกflagged โดยหน่วยงานความปลอดภัยไซเบอร์ของสหรัฐฯ สหราชอาณาจักร และเนเธอร์แลนด์ กรณีนั้นเป็นเครื่องเตือนใจว่าภูมิทัศน์ภัยคุกคามของภูมิภาคนี้ประกอบด้วยทั้งกลุ่มอาชญากรรมที่ขับเคลื่อนด้วยผลประโยชน์ทางการเงินและผู้เล่นที่เชื่อมโยงกับรัฐ และบุคคล โดยเฉพาะนักข่าว ผู้เห็นต่าง และอื่น ๆ ที่อาจตกเป็นเป้าหมาย ควรระมัดระวังเกี่ยวกับแอปและเครื่องมือสื่อสารที่พวกเขาไว้วางใจกับข้อมูลที่ละเอียดอ่อน

ขั้นตอนปฏิบัติเพื่อลดความเสี่ยงจากการขโมยข้อมูลที่ขับเคลื่อนด้วยแรนซัมแวร์

การดำเนินการที่เป็นรูปธรรมบางประการสามารถลดความเสี่ยงได้อย่างมีความหมายในสภาพแวดล้อมนี้:

  • ปฏิบัติต่อการขโมยข้อมูล ไม่ใช่แค่การเข้ารหัส เป็นความเสี่ยงหลักของแรนซัมแวร์เมื่อวางแผน defenses
  • ใช้การแบ่งส่วนเครือข่ายเพื่อจำกัดระยะที่ผู้โจมตีสามารถเคลื่อนที่ได้หลังจากการเข้าถึงครั้งแรก
  • ใช้ VPN ควบคู่กับการควบคุมการเข้าถึงที่แข็งแกร่งและการตรวจสอบ มากกว่าปฏิบัติต่อ VPN เป็นโซลูชันความปลอดภัยที่สมบูรณ์
  • รักษาการสำรองข้อมูลให้เป็นปัจจุบันและผ่านการทดสอบ แต่ตระหนักว่าการสำรองข้อมูลเพียงอย่างเดียวจะไม่หยุดการขโมยข้อมูลหรือการกรรโชกจากการรั่วไหล
  • เฝ้าระวังความพยายามฟิชชิ่งที่สร้างโดย AI ซึ่งอาจดู polished และน่าเชื่อถือมากกว่าความพยายามหลอกลวงในยุคก่อน
  • ตรวจสอบว่าแอปและเครื่องมือสื่อสารของบุคคลที่สามที่คุณหรือองค์กรของคุณพึ่งพามีอะไรบ้าง โดยเฉพาะหากคุณดำเนินงานในหรือสื่อสารกับผู้ติดต่อในภูมิภาคที่มีความเสี่ยงสูงกว่า

เมื่อการป้องกันแรนซัมแวร์จากการโจมตีด้วย AI กลายเป็นลำดับความสำคัญที่เร่งด่วนมากขึ้น องค์กรและบุคคลที่อยู่ในตำแหน่งดีที่สุดในการรับมือกับการเปลี่ยนแปลงนี้คือผู้ที่ปฏิบัติต่อการเข้ารหัส VPN และการแบ่งส่วนเป็นชั้นที่เสริมกัน มากกว่าเป็นวิธีแก้ไขแบบแยกส่วน การติดตามข้อมูลว่าภัยคุกคามเหล่านี้วิวัฒนาการอย่างไร และปรับ defenses accordingly ยังคงเป็นหนึ่งในขั้นตอนที่มีประสิทธิภาพที่สุดที่ใครก็สามารถทำได้ในตอนนี้