อะไรที่ทำให้แรนซัมแวร์แบบขู่กรรโชกหลายทางแตกต่างออกไป

เป็นเวลาหลายปีมาแล้วที่กลยุทธ์มาตรฐานของแรนซัมแวร์นั้นเรียบง่าย: เข้ารหัสไฟล์ของเหยื่อ เรียกร้องค่าไถ่เพื่อแลกกับคีย์ถอดรหัส และหวังว่าองค์กรนั้นจะไม่มีระบบสำรองข้อมูลที่เชื่อถือได้ รูปแบบดังกล่าวได้สร้างอุตสาหกรรมทั้งหมดขึ้นรอบ ๆ ความสามารถในการฟื้นฟูระบบ หากคุณสามารถกู้คืนระบบจากข้อมูลสำรองที่สะอาดได้ อำนาจต่อรองของผู้โจมตีก็จะหมดไป

แรนซัมแวร์แบบขู่กรรโชกหลายทางทำลายสมการนั้น แทนที่จะพึ่งพาการเข้ารหัสเพียงอย่างเดียว ปัจจุบันผู้โจมตีจะลอบคัดลอกข้อมูลสำคัญออกไปก่อนที่จะปล่อยชุดเข้ารหัส ข้อเรียกร้องค่าไถ่จึงกลายเป็นภัยคุกคามที่สองซึ่งแยกออกมาต่างหาก: จ่ายเงิน หรือไม่เช่นนั้นเราจะเผยแพร่หรือขายสิ่งที่เราขโมยไป แม้ว่าเหยื่อจะกู้คืนทุกระบบจากข้อมูลสำรองภายในไม่กี่ชั่วโมง ข้อมูลที่ถูกขโมยไปก็ยังคงอยู่บนเซิร์ฟเวอร์ของผู้โจมตี และภัยคุกคามที่จะถูกเปิดเผยก็ยังคงสมบูรณ์อยู่ดี

การเปลี่ยนแปลงนี้สะท้อนให้เห็นถึงวิธีคิดที่ต่างออกไปของผู้ดำเนินการแรนซัมแวร์ที่มีต่อธุรกิจของตน ดังที่รายงานเกี่ยวกับ การวิเคราะห์ของ Group-IB ว่าด้วยรูปแบบธุรกิจที่เปลี่ยนแปลงไปของแรนซัมแวร์ ได้แสดงให้เห็น เศรษฐกิจของแรนซัมแวร์ในปี 2026 นั้นให้ความสำคัญกับจุดล้มเหลวจุดเดียวน้อยลง และมุ่งเน้นไปที่การสร้างช่องทางกดดันเหยื่อให้ได้มากที่สุดเท่าที่จะเป็นไปได้ การขโมยข้อมูลกลายเป็นช่องทางสร้างรายได้ที่แยกออกมาต่างหาก ไม่ใช่แค่ส่วนเสริมของการเข้ารหัสอีกต่อไป

เหตุใดการสำรองข้อมูลเพียงอย่างเดียวจึงไม่รับประกันการกู้คืนอีกต่อไป

คำแนะนำเก่าที่ว่าให้รักษาระบบสำรองข้อมูลที่ดีและทดสอบการกู้คืนเป็นประจำยังคงมีความสำคัญ การกู้คืนระบบในทางปฏิบัติต้องพึ่งพาสิ่งนี้ แต่การสำรองข้อมูลนั้นแก้ปัญหาได้เพียงครึ่งเดียวของสิ่งที่แรนซัมแวร์แบบขู่กรรโชกหลายทางสร้างขึ้น ข้อมูลสำรองที่แยกออกจากเครือข่าย (air-gapped) ที่ผ่านการทดสอบแล้วสามารถทำให้โรงพยาบาล หน่วยงานรัฐบาลท้องถิ่น หรือธุรกิจของคุณกลับมาออนไลน์ได้อย่างรวดเร็ว แต่ไม่สามารถหยุดยั้งไม่ให้ข้อมูลลูกค้า ข้อมูลพนักงาน หรือสัญญาลับปรากฏบนเว็บไซต์เผยแพร่ข้อมูลรั่วไหลได้

นี่คือแนวโน้มที่ถูกชี้ให้เห็นโดย งานวิจัยของ Quorum Cyber ว่าด้วยการเปลี่ยนไปสู่การขู่กรรโชกด้วยการขโมยข้อมูล ซึ่งพบว่าผู้โจมตีหันมาเจาะระบบองค์กรเพื่อตัวข้อมูลมากขึ้นเรื่อย ๆ แทนที่จะใช้การเข้ารหัสเป็นอาวุธหลัก เมื่อผลตอบแทนมาจากข้อมูลที่ถูกขโมย ความเร็วในการบุกรุกก็เปลี่ยนไปด้วย รายงานล่าสุดเกี่ยวกับ สาเหตุที่ความเร็วเป็นตัวตัดสินการกู้คืนจากแรนซัมแวร์ในตอนนี้ ชี้ว่าผู้โจมตีเคลื่อนที่จากการเข้าถึงครั้งแรกไปจนถึงการนำข้อมูลออกไปได้เร็วกว่าที่ฝ่ายป้องกันมักจะตรวจจับและตอบสนองได้ทัน เมื่อถึงเวลาที่การเข้ารหัสเริ่มต้นขึ้น ข้อมูลอาจถูกขโมยออกไปแล้วก็เป็นได้

การแบ่งเครือข่ายเป็นส่วนย่อยและการควบคุมการเข้าถึงผ่าน VPN เข้ามามีบทบาทตรงจุดไหน

หากการสำรองข้อมูลไม่สามารถลบล้างภัยคุกคามได้ด้วยตัวเองอีกต่อไป การป้องกันที่มีประสิทธิภาพมากกว่าคือการป้องกันไม่ให้ผู้โจมตีเข้าถึงข้อมูลสำคัญได้ตั้งแต่แรก หรืออย่างน้อยก็จำกัดว่าพวกเขาจะเข้าถึงได้มากเพียงใดในการบุกรุกครั้งเดียว นี่คือจุดที่การแบ่งเครือข่ายออกเป็นโซนย่อย (network segmentation) และการควบคุมการเข้าถึงระยะไกลกลายเป็นสิ่งสำคัญแทนที่จะเป็นแค่ทางเลือก

การแบ่งเครือข่ายย่อยแบ่งระบบขององค์กรออกเป็นโซนที่แยกจากกัน เพื่อไม่ให้เครื่องเวิร์กสเตชันหรือเซิร์ฟเวอร์ที่ถูกบุกรุกเครื่องหนึ่งเปิดทางให้เข้าถึงไฟล์แชร์ ฐานข้อมูล หรือคลังสำรองข้อมูลทั้งหมดบนเครือข่ายได้โดยอัตโนมัติ หากผู้โจมตีเจาะเข้าไปในส่วนหนึ่งได้ การแบ่งส่วนจะจำกัดว่าพวกเขาจะเคลื่อนที่ไปด้านข้างได้ไกลแค่ไหน ก่อนที่จะไปกระตุ้นสัญญาณเตือนหรือถึงทางตัน การจำกัดขอบเขตแบบนั้นจะลดปริมาณข้อมูลที่ถูกขโมยไปได้โดยตรง

การควบคุมการเข้าถึงผ่าน VPN มีบทบาทเสริมกัน การบังคับให้ใช้การเชื่อมต่อ VPN ที่ผ่านการยืนยันตัวตนและเข้ารหัสสำหรับการเข้าถึงระบบสำคัญจากระยะไกล ร่วมกับหลักการให้สิทธิ์น้อยที่สุด (least privilege) หมายความว่าแม้แต่ข้อมูลประจำตัวที่ดูถูกต้องก็ไม่ได้ให้สิทธิ์การเข้าถึงแบบกว้าง ๆ โดยไม่จำกัด สิทธิ์การเข้าถึงควรถูกกำหนดให้แคบลงตามสิ่งที่ผู้ใช้หรือบริการนั้น ๆ จำเป็นต้องใช้จริง ๆ การยืนยันตัวตนหลายปัจจัย (MFA) บนการเข้าสู่ระบบ VPN การเฝ้าติดตามเซสชัน และการเพิกถอนบัญชีที่ไม่ได้ใช้งานหรือบัญชีที่ไร้เจ้าของอย่างทันท่วงที ทั้งหมดนี้ช่วยลดจำนวนจุดเข้าที่ผู้โจมตีจะใช้ประโยชน์เพื่อเข้าถึงข้อมูลที่ควรค่าแก่การขโมยออกไป

การสร้างกลยุทธ์ป้องกันแบบหลายชั้น

ไม่มีระบบควบคุมตัวไหนที่จะหยุดแรนซัมแวร์แบบขู่กรรโชกหลายทางได้ด้วยตัวเอง เป้าหมายที่สมจริงคือการวางระบบหลายชั้นซ้อนกัน: การสำรองข้อมูลที่เข้ารหัสและเปลี่ยนแปลงไม่ได้ (immutable) สำหรับการกู้คืนระบบปฏิบัติการ; การแบ่งเครือข่ายย่อยเพื่อจำกัดการเคลื่อนที่ด้านข้าง; การควบคุมการเข้าถึงที่เข้มงวด (รวมถึงเกตเวย์ VPN ที่มี MFA) เพื่อจำกัดว่าข้อมูลประจำตัวที่ถูกบุกรุกมาหนึ่งชุดจะเข้าถึงอะไรได้บ้าง; และแผนตอบสนองต่อเหตุการณ์ที่ผ่านการซักซ้อมแล้ว ซึ่งครอบคลุมถึงการรั่วไหลของข้อมูล ไม่ใช่แค่การหยุดทำงานของระบบ

สิ่งสุดท้ายนี้มีความสำคัญมากกว่าที่หลายองค์กรตระหนัก ดังที่เห็นในเหตุการณ์อย่าง การโจมตีด้วยแรนซัมแวร์ต่อกระทรวงยุติธรรมของโคลอมเบีย การหยุดชะงักของการดำเนินงานและคำถามเกี่ยวกับข้อมูลที่ถูกบุกรุกมักมาถึงพร้อมกัน และองค์กรต่าง ๆ จำเป็นต้องมีแผนรับมือที่ตอบโจทย์ทั้งสองสิ่งไปพร้อม ๆ กัน ไม่ใช่ทำทีละอย่างตามลำดับ

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

สำหรับทีมไอทีและทีมความปลอดภัย ข้อสรุปคือการป้องกันแรนซัมแวร์แบบขู่กรรโชกหลายทางไม่สามารถหยุดอยู่แค่กลยุทธ์การสำรองข้อมูลได้อีกต่อไป งบประมาณและความสนใจต้องเปลี่ยนไปสู่การจำกัดการเปิดเผยข้อมูลก่อนที่ผู้โจมตีจะไปถึงขั้นตอนการเข้ารหัส สำหรับพนักงานแต่ละคน แนวโน้มนี้เป็นเครื่องเตือนใจว่าฟิชชิงยังคงเป็นจุดเข้ามาชั้นนำ งานวิจัยเกี่ยวกับ บทบาทของฟิชชิงในการโจมตีด้วยแรนซัมแวร์ เน้นย้ำว่าความเสี่ยงจำนวนมหาศาลนั้นเริ่มต้นจากลิงก์เดียวที่ถูกคลิก หรือข้อมูลประจำตัวที่ถูกกรอกลงในหน้าเข้าสู่ระบบปลอม

ข้อปฏิบัติที่นำไปใช้ได้จริง

องค์กรที่เผชิญกับความท้าทายในการป้องกันแรนซัมแวร์แบบขู่กรรโชกหลายทางควรให้ความสำคัญกับขั้นตอนที่เป็นรูปธรรมสองสามประการ: แบ่งเครือข่ายย่อยเพื่อไม่ให้การบุกรุกจุดเดียวเปิดทางให้เข้าถึงทุกอย่าง, บังคับใช้การเข้าถึงตามสิทธิ์น้อยที่สุดผ่านเกตเวย์ VPN ที่มีการยืนยันตัวตนหลายปัจจัย, เข้ารหัสข้อมูลสำรองและทดสอบการกู้คืนอย่างสม่ำเสมอ, และสร้างแผนตอบสนองต่อเหตุการณ์ที่ระบุถึงการขโมยข้อมูลควบคู่ไปกับการหยุดทำงานของระบบอย่างชัดเจน ไม่มีขั้นตอนไหนที่จะขจัดความเสี่ยงได้ทั้งหมด แต่เมื่อรวมกันแล้วจะช่วยลดช่วงเวลาที่ผู้โจมตีมีสำหรับการขโมยข้อมูล และลดอำนาจต่อรองที่พวกเขามีเมื่อขโมยข้อมูลไปแล้ว