เหยื่อแรนซัมแวร์ที่จ่ายเงินโดยหวังว่าจะทำให้ปัญหาจบลง มักจะผิดหวัง การศึกษาระดับโลกที่เพิ่งเผยแพร่ รายงาน AI-Era Ransomware Report ได้สำรวจผู้เชี่ยวชาญด้านความปลอดภัยเกือบ 1,000 คนใน 12 ตลาด และพบว่าการจ่ายค่าไถ่ไม่ใช่ทางออกที่การันตีได้แต่อย่างใด ผลการค้นพบนี้เพิ่มน้ำหนักให้กับคำเตือนที่นักวิจัยด้านความปลอดภัยได้กล่าวซ้ำมาหลายปี: การจ่ายค่าไถ่ซ้ำจากแรนซัมแวร์เป็นความเสี่ยงจริงและกำลังเพิ่มขึ้น ไม่ใช่กรณีขอบที่เกิดขึ้นได้ยาก
สิ่งที่ AI-Era Ransomware Report พบ
การสำรวจนี้แสดงภาพที่น่ากังวลว่าองค์กรตอบสนองอย่างไรเมื่อแรนซัมแวร์โจมตี องค์กรที่ถูกโจมตีเกินครึ่ง หรือ 54% จบลงด้วยการจ่ายค่าไถ่เพื่อพยายามกู้คืนข้อมูลสำคัญของตน ในจำนวนผู้ที่จ่ายเงิน 56% ได้สิทธิ์เข้าถึงไฟล์หรือระบบกลับคืนมา แต่ตัวเลขที่น่ากังวลกว่าคือสิ่งที่เกิดขึ้นตามมา: เหยื่อมากกว่าหนึ่งในสาม หรือ 37% ได้รับการข่มขู่เรียกเงินครั้งที่สองหลังจากจ่ายค่าไถ่ครั้งแรกไปแล้ว
สถิตินี้เพียงอย่างเดียวควรเปลี่ยนวิธีที่องค์กรคิดเกี่ยวกับการตอบสนองต่อแรนซัมแวร์ การจ่ายเงินไม่ใช่ธุรกรรมครั้งเดียวที่จะปิดคดี สำหรับเหยื่อมากกว่าหนึ่งในสามในการศึกษานี้ มันเป็นเพียงการเปิดฉากของวงจรที่ยาวกว่าและแพงกว่า
ทำไมการจ่ายเงินไม่รับประกันความปลอดภัยหรือการกู้คืนข้อมูล
ควรลองคำนวณตัวเลขตรงนี้ดู แม้แต่ในกลุ่มองค์กรที่จ่ายเงิน เกือบครึ่งยังกู้คืนข้อมูลไม่เต็มที่ และส่วนใหญ่ของผู้ที่ได้ไฟล์กลับคืนมาถูกโจมตีซ้ำ ไม่ว่าจะโดยผู้โจมตีรายเดิมที่เรียกเงินเพิ่ม หรือกลุ่มอื่นที่มองว่าการจ่ายเงินเป็นหลักฐานว่าเหยื่อยินดีเจรจา
รูปแบบนี้สอดคล้องกับงานวิจัยล่าสุดอื่นๆ การสำรวจของ Proofpoint ที่ครอบคลุมโดย vpn.social พบในทำนองเดียวกันว่าการจ่ายเงินให้แก๊งแรนซัมแวร์มักจะย้อนกลับมา กับเหยื่อที่จ่ายเงินเป็นสัดส่วนสำคัญต้องเผชิญการข่มขู่เรียกเงินซ้ำ เมื่อองค์กรจ่ายเงินแล้ว มันอาจไปอยู่ในรายชื่อผู้จ่ายเงินที่ยืนยันแล้ว ซึ่งข้อมูลนี้แพร่กระจายในกลุ่มอาชญากร และทำให้องค์กรนั้นตกเป็นเป้าหมายที่น่าดึงดูดสำหรับการโจมตีในอนาคตมากขึ้น ไม่ใช่น้อยลง
นอกจากนี้ยังไม่มีสัญญาที่บังคับใช้ได้ในการเจรจาแรนซัมแวร์ ผู้โจมตีไม่มีแรงจูงใจทางกฎหมายหรือชื่อเสียงที่จะรักษาสัญญาเมื่อเงินโอนไปแล้ว ค่ากุญแจถอดรหัสอาจไม่สมบูรณ์ มีบั๊ก หรือไม่ถูกส่งเลยก็ได้ ข้อมูลที่ถูกขโมยและใช้เป็นเครื่องต่อรองยังสามารถถูกขาย รั่วไหล หรือถูกใช้ข่มขู่รอบที่สองได้ไม่ว่าพวกเขาจะสัญญาอะไรไว้
ทางเลือกในการป้องกัน: การสำรองข้อมูล การเข้ารหัส และการแบ่งส่วนเครือข่าย
เมื่อพิจารณาโอกาสเหล่านั้น กลยุทธ์ที่ยืดหยุ่นกว่าคือการลดโอกาสที่คุณจะต้องตัดสินใจว่าจะจ่ายเงินหรือไม่ตั้งแต่แรก แนวปฏิบัติสองสามอย่างปรากฏชัดว่าเป็นการป้องกันที่มีประสิทธิภาพ:
- รักษาการสำรองข้อมูลออฟไลน์ที่ผ่านการทดสอบ การสำรองข้อมูลที่ตัดขาดจากเครือข่ายหลัก และทดสอบการกู้คืนเป็นประจำ หมายความว่าองค์กรสามารถกู้คืนได้โดยไม่ต้องเจรจากับผู้โจมตีเลย
- เข้ารหัสข้อมูลสำคัญทั้งในสภาวะจัดเก็บและระหว่างการส่งผ่าน แม้ผู้โจมตีจะขโมยไฟล์ไป การเข้ารหัสที่แข็งแกร่งจะจำกัดสิ่งที่พวกเขาสามารถใช้หรือขายได้จริง ลดแรงกดดันเบื้องหลังการข่มขู่ด้วยการรั่วไหลของข้อมูล
- แบ่งส่วนเครือข่าย การแบ่งระบบออกเป็นโซนแยกกันจำกัดขอบเขตการแพร่กระจายของแรนซัมแวร์เมื่อมันเข้าถึงจุดตั้งต้นได้แล้ว ทำให้ความเสียหายจำกัดอยู่ในส่วนเล็กๆ ขององค์กร
- อัปเดตแพตช์และเฝ้าระวังอย่างสม่ำเสมอ การโจมตีแรนซัมแวร์จำนวนมากยังใช้ประโยชน์จากช่องโหว่ที่รู้จักแล้วแต่ยังไม่ได้รับการอัปเดต หรือข้อมูลรับรองการเข้าถึงระยะไกลที่อ่อนแอ ดังนั้นสุขอนามัยพื้นฐานจะปิดช่องทางเข้าจำนวนมาก
มาตรการเหล่านี้ไม่มีข้อใดทำให้องค์กรปลอดภัยจากการโจมตี 100% แต่เมื่อรวมกันแล้วจะลดทั้งโอกาสที่การบุกรุกจะสำเร็จและแรงกดดันให้ต้องจ่ายเงินหากเกิดการบุกรุก
การสร้างแผนตอบสนองเหตุการณ์ก่อนการโจมตีจะเกิดขึ้น
องค์กรที่รับมือได้ดีที่สุดหลังเหตุการณ์แรนซัมแวร์มักเป็นองค์กรที่ได้ซักซ้อมการตอบสนองไว้ก่อนที่การโจมตีจะเกิดขึ้น นั่นหมายถึงการมีแผนที่บันทึกไว้เป็นลายลักษณ์อักษรซึ่งระบุว่าใครเป็นผู้ตัดสินใจว่าจะจ่ายเงินหรือไม่ ต้องแจ้งหน่วยงานกฎหมายและการบังคับใช้กฎหมายรายใดบ้าง จัดการการสื่อสารกับพนักงานและลูกค้าอย่างไร และระบบจะถูกแยกและกู้คืนอย่างไร
การฝึกซ้อมแบบ tabletop exercises ที่พนักงานจำลองสถานการณ์การโจมตี ช่วยเผยให้เห็นช่องโหว่ในแผนในขณะที่ยังไม่มีแรงกดดันจริง และยังเร่งการตอบสนองจริงเมื่อเกิดเหตุการณ์ขึ้น ลดระยะเวลาการเปิดเผยและลดสิ่งล่อใจให้จ่ายเงินเพียงเพราะไม่มีทางเลือกอื่นพร้อมใช้
สิ่งนี้หมายความต่อคุณอย่างไร
สำหรับผู้นำด้านไอทีและทีมรักษาความปลอดภัย รายงานนี้เป็นเครื่องเตือนใจว่าการจ่ายค่าไถ่ซ้ำจากแรนซัมแวร์เกิดขึ้นบ่อยพอที่จะต้องนำมาใส่ในแผน ไม่ใช่กรณีเลวร้ายที่สุดที่อยู่นอกเหนือความคาดหมาย มองการจ่ายค่าไถ่เป็นทางเลือกสุดท้ายที่มีโอกาสล้มเหลวจริง ไม่ใช่กรมธรรม์ประกันที่เชื่อถือได้ จัดงบประมาณสำหรับการป้องกัน (การสำรองข้อมูล การแบ่งส่วนเครือข่าย การเฝ้าระวัง) เช่นเดียวกับที่คุณจัดงบประมาณสำหรับค่าใช้จ่ายโครงสร้างพื้นฐานหลักอื่นๆ เพราะตัวเลขชี้ให้เห็นว่าถูกกว่าในระยะยาวเมื่อเทียบกับการเจรจาซ้ำกับผู้โจมตี
สำหรับผู้ใช้รายบุคคลและองค์กรขนาดเล็กที่ไม่มีทีมรักษาความปลอดภัยเฉพาะ หลักการเดียวกันปรับลดขนาดลงได้: เก็บสำเนาออฟไลน์ของสิ่งที่ไม่สามารถทดแทนได้ ใช้การเข้ารหัสในที่ที่มีให้ และรู้ล่วงหน้าว่าจะโทรหาใครหากระบบของคุณถูกล็อก
ประเด็นสำคัญ
- 54% ขององค์กรที่ถูกสำรวจซึ่งถูกโจมตีด้วยแรนซัมแวร์จ่ายค่าไถ่ แต่มีเพียง 56% ของผู้จ่ายเงินที่ได้สิทธิ์เข้าถึงข้อมูลกลับคืนมาอย่างเต็มที่
- 37% ขององค์กรที่จ่ายเงินถูกข่มขู่เรียกเงินครั้งที่สอง แสดงให้เห็นว่าการจ่ายเงินไม่ได้ยุติความเสี่ยง
- การสำรองข้อมูลออฟไลน์ การเข้ารหัส และการแบ่งส่วนเครือข่ายลดทั้งโอกาสการโจมตีที่สำเร็จและแรงกดดันให้ต้องจ่ายเงิน
- แผนตอบสนองเหตุการณ์ที่ผ่านการทดสอบ สร้างขึ้นก่อนการโจมตีจะเกิด ช่วยลดเวลาการกู้คืนและลดการพึ่งพาการจ่ายค่าไถ่
- ผู้อ่านสามารถทบทวน ผลการสำรวจของ Proofpoint สำหรับข้อมูลเพิ่มเติมที่สนับสนุนว่าการจ่ายค่าไถ่ล้มเหลวในการแก้ไขการโจมตีบ่อยเพียงใด
