ข้อมูลใหม่: การจ่ายค่าไถ่แรนซัมแวร์แทบไม่เคยหยุดการโจมตีซ้ำ

ข้อมูลใหม่ยืนยันว่า การจ่ายค่าไถ่แรนซัมแวร์ไม่ได้ซื้อความปลอดภัยที่ยั่งยืน

รายงานใหม่ที่เน้นโดย The Register และนำเสนอในสรุปข่าวจาก SC Media ตอกย้ำหลักฐานที่เพิ่มมากขึ้นว่า การจ่ายค่าไถ่แรนซัมแวร์ไม่ได้หยุดยั้งการโจมตีซ้ำในอนาคตได้อย่างน่าเชื่อถือ องค์กรที่จ่ายเงินเพื่อกู้คืนข้อมูลหรือหยุดการขู่กรรโชก มักถูกโจมตีซ้ำอีก บางครั้งโดยกลุ่มอาชญากรเดิม และบางครั้งโดยกลุ่มที่แตกต่างไปโดยสิ้นเชิงซึ่งรู้ว่าเหยื่อยินดีจ่าย รูปแบบนี้เกิดขึ้นแม้ในขณะที่ความพยายามในการบังคับใช้กฎหมายที่ประสานงานกัน เช่น ปฏิบัติการโครนอส กำลังทำงานเพื่อรื้อถอนปฏิบัติการแรนซัมแวร์รายใหญ่จากภายใน

ข้อสรุปนั้นตรงไปตรงมาแต่อาจไม่สบายใจสำหรับหลายองค์กร: การจ่ายค่าไถ่แรนซัมแวร์และการโจมตีซ้ำมีความเชื่อมโยงกันอย่างใกล้ชิด ไม่ใช่เพราะการจ่ายเงินรับประกันความปลอดภัย แต่เพราะมันมักส่งสัญญาณให้ผู้โจมตีรู้ว่าเป้าหมายนั้นทำกำไรได้และไม่มีความพร้อม

ทำไมการจ่ายเงินจึงสร้างความรู้สึกปลอดภัยที่ลวง

เมื่อธุรกิจถูกปิดกั้นออกจากระบบของตนเอง หรือถูกขู่จะเปิดเผยข้อมูลสู่สาธารณะ การจ่ายค่าไถ่อาจรู้สึกเหมือนเป็นทางที่เร็วที่สุดสู่การดำเนินงานตามปกติ แต่ข้อมูลใหม่นี้ตอกย้ำสิ่งที่นักวิจัยด้านความปลอดภัยได้กล่าวไว้เป็นเวลาหลายปี: การจ่ายเงินเป็นแค่ธุรกรรม ไม่ใช่การรับประกัน แก๊งแรนซัมแวร์คือองค์กรอาชญากรรม และไม่มีข้อตกลงที่บังคับใช้ได้ว่าข้อมูลจะถูกลบ คีย์ถอดรหัสจะใช้งานได้จริง หรือช่องโหว่เดิมจะไม่ถูกนำมาใช้ประโยชน์อีก

องค์กรที่จ่ายเงินมักทำเช่นนั้นเพราะขาดการสำรองข้อมูลที่เหมาะสม แผนรับมือเหตุการณ์ หรือความเชี่ยวชาญภายในเพื่อสร้างระบบขึ้นมาใหม่อย่างรวดเร็ว จุดอ่อนพื้นฐานเหล่านั้นมักยังคงอยู่หลังจากจ่ายค่าไถ่แล้ว ซึ่งหมายถึงประตูที่ทำให้ผู้โจมตีเข้ามาในครั้งแรก มักยังคงเปิดอยู่ การจ่ายเงินจัดการกับวิกฤตเฉพาะหน้า ไม่ใช่ที่ต้นเหตุ

นี่คือเหตุผลที่ การสำรวจของ Proofpoint พบว่าการจ่ายเงินให้แก๊งแรนซัมแวร์มักย้อนกลับมาทำร้าย บ่อยกว่าที่เหยื่อคาดคิดไว้มาก การสำรวจดังกล่าวมีตัวเลขที่ชัดเจนหนุนหลังคำเตือน แสดงให้เห็นว่าองค์กรที่จ่ายเงินส่วนใหญ่ยังคงประสบกับการสูญหายของข้อมูล ความพยายามขู่กรรโชกเพิ่มเติม หรือการรั่วไหลซ้ำอยู่ดี

แก๊งแรนซัมแวร์ระบุและกลับมาเล่นงานผู้ที่เคยจ่ายเงินอย่างไร

ปฏิบัติการแรนซัมแวร์ดำเนินงานเหมือนธุรกิจมากขึ้นเรื่อยๆ พร้อมด้วยเครือข่ายพันธมิตร ฝ่ายสนับสนุนเหยื่อ และการแบ่งปันข่าวกรองว่าเป้าหมายไหนคุ้มค่าแก่การโจมตี เมื่อองค์กรหนึ่งจ่ายเงิน ข้อมูลนั้นสามารถแพร่กระจายในหมู่กลุ่มอาชญากรได้ ไม่ว่าจะผ่านการแชร์ข้อมูลโดยตรง การขายสิทธิ์การเข้าถึงเครือข่าย หรือเพียงแค่ชื่อเสียงในฟอรั่มใต้ดิน

เหยื่อที่จ่ายเงินอย่างรวดเร็วและไม่ขัดขืนมากนัก กลายเป็นที่รู้จัก: เป้าหมายอ่อนที่มีความเต็มใจจะจ่ายเงินให้เห็น แม้ว่าปฏิบัติการบังคับใช้กฎหมายอย่างปฏิบัติการโครนอสจะประสบความสำเร็จในการขัดขวางโครงสร้างพื้นฐานของแรนซัมแวร์บางกลุ่ม แต่ระบบนิเวศของนายหน้าขายสิทธิ์การเข้าถึง ข้อมูลรับรองที่ถูกขโมย และช่องโหว่ที่ยังไม่ถูกแก้ไข ซึ่งนำไปสู่การเจาะระบบครั้งแรก มักยังคงอยู่ให้ผู้ไม่หวังดีรายอื่น การรื้อถอนแก๊งหนึ่งไม่ได้ปกป้องเหยื่อรายเดิมจากแก๊งอื่นที่ใช้ประโยชน์จากจุดอ่อนเดียวกันเสมอไป

การป้องกันเชิงปฏิบัติ: การสำรองข้อมูล การแบ่งส่วนเครือข่าย และการเสริมความปลอดภัย VPN

บทเรียนที่ชัดเจนที่สุดจากข้อมูลนี้คือ การป้องกันและความสามารถในการฟื้นตัวสำคัญกว่าการเจรจา มาตรการเชิงปฏิบัติไม่กี่ข้อสามารถสร้างความแตกต่างที่วัดผลได้:

• สำรองข้อมูลแบบออฟไลน์ที่ผ่านการทดสอบแล้ว การสำรองข้อมูลที่ตัดการเชื่อมต่อจากเครือข่ายหลักและมีการทดสอบการกู้คืนอย่างสม่ำเสมอ เป็นวิธีที่มีประสิทธิภาพสูงสุดในการหลีกเลี่ยงความจำเป็นต้องจ่ายเงินเลย
• แบ่งส่วนเครือข่าย การจำกัดว่าผู้โจมตีสามารถเคลื่อนที่ไปได้ไกลแค่ไหนเมื่อเข้ามาแล้ว จะลดรัศมีความเสียหายจากบัญชีหรืออุปกรณ์ที่ถูกโจมตีเพียงรายการเดียว
• เสริมความแข็งแกร่งการเข้าถึงระยะไกล VPN และเครื่องมือเดสก์ท็อประยะไกลเป็นจุดเริ่มต้นทั่วไปสำหรับแรนซัมแวร์ การบังคับใช้การยืนยันตัวตนหลายปัจจัย การแพตช์ซอฟต์แวร์ VPN ทันที และการปิดจุดเชื่อมต่อระยะไกลที่ไม่ได้ใช้ ล้วนกำจัดฐานที่ตั้งต้นง่ายสำหรับผู้โจมตี
• สร้างแผนรับมือเหตุการณ์ก่อนการโจมตีเกิดขึ้น การรู้ว่าใครควรติดต่อ วิธีการแยกระบบที่ได้รับผลกระทบ และการสื่อสารกับผู้มีส่วนเกี่ยวข้อง จะลดแรงกดดันที่ต้องจ่ายเงินเพียงเพื่อให้ปัญหาหายไปอย่างรวดเร็ว

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

ไม่ว่าคุณจะดูแลระบบไอทีให้ธุรกิจขนาดเล็กหรือแค่จัดการอุปกรณ์ของคุณเอง ข้อความจากข้อมูลนี้ก็เหมือนกัน: อย่าคิดว่าการจ่ายเงินคือตาข่ายนิรภัย หากองค์กรของคุณถูกโจมตีด้วยข้อเรียกร้องค่าไถ่แรนซัมแวร์ ให้มองเหตุการณ์นั้นเป็นสัญญาณว่ามีช่องว่างด้านความปลอดภัยอยู่ ไม่ใช่เป็นการเจรจาเพื่อให้จบๆ ไปแล้วลืม องค์กรที่พร้อมฟื้นตัวได้เร็วที่สุดและหลีกเลี่ยงการตกเป็นเหยื่อซ้ำ คือองค์กรที่ลงทุนในการสำรองข้อมูล การเฝ้าระวังเครือข่าย และการควบคุมการเข้าถึงก่อนที่จะเกิดการโจมตี แทนที่จะรีบเร่งรับมือทีหลัง

ประเด็นสำคัญ

• ข้อมูลใหม่แสดงให้เห็นว่า การจ่ายค่าไถ่แรนซัมแวร์กับการโจมตีซ้ำมักจะมาคู่กัน ทำลายสมมติฐานที่ว่าการจ่ายเงินจะยุติภัยคุกคาม
• การดำเนินการบังคับใช้กฎหมายต่อแก๊งเฉพาะกลุ่ม ไม่ได้ขจัดระบบนิเวศของช่องโหว่ที่กว้างขวางซึ่งนำไปสู่การโจมตีครั้งแรก
• การสำรองข้อมูลแบบออฟไลน์ การแบ่งส่วนเครือข่าย และการเข้าถึงระยะไกลที่แข็งแกร่งขึ้น เป็นการป้องกันที่เชื่อถือได้มากกว่าการเจรจาใดๆ
• องค์กรควรสร้างแผนรับมือเหตุการณ์ตอนนี้ แทนที่จะตัดสินใจว่าจะตอบสนองอย่างไรระหว่างการโจมตีที่กำลังดำเนินอยู่

แรนซัมแวร์ไม่ได้หายไปไหน แต่การตัดสินใจจ่ายไม่ควรถูกมองว่าเป็นการแก้ปัญหาแบบเร่งด่วน การให้ความสำคัญกับการป้องกัน การสำรองข้อมูลที่พร้อมกู้คืน และการเข้าถึงระยะไกลที่ปลอดภัย ยังคงเป็นวิธีที่มีประสิทธิภาพที่สุดในการรักษาข้อมูลและองค์กรของคุณให้พ้นจากเป้าเล็งของผู้โจมตี