การโจมตีสองครั้งที่สั่นสะเทือนภาคการเงินของฮ่องกง

สองเรื่องราวด้านความปลอดภัยไซเบอร์มาบรรจบกันในฮ่องกงภายในราว 24 ชั่วโมง: กลุ่มแรนซัมแวร์ที่เรียกตัวเองว่า Orova อ้างว่าได้เจาะระบบบริษัทห้าแห่งในฮ่องกง รวมถึงผู้จัดการสินทรัพย์ที่อยู่ภายใต้การกำกับดูแลอย่างน้อยหนึ่งแห่ง และสำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ (ก.ล.ต.) ได้ดำเนินการบังคับใช้กฎหมายที่เกี่ยวข้องกับแรนซัมแวร์เป็นครั้งแรก รายงานระบุว่า ก.ล.ต. ได้ตำหนิและปรับบริษัทที่ได้รับใบอนุญาตแห่งหนึ่งเป็นเงิน 2.1 ล้านดอลลาร์ฮ่องกง จากความล้มเหลวด้านความปลอดภัยไซเบอร์ที่เกี่ยวข้องกับการโจมตีด้วยแรนซัมแวร์ ซึ่งเป็นบทลงโทษที่ผู้กำกับดูแลกำหนดให้เป็นสัญญาณว่าผู้บริหารระดับสูง ไม่ใช่แค่ฝ่ายไอที ต้องรับผิดชอบต่อความสามารถในการรับมือภัยไซเบอร์

จังหวะเวลาที่เกิดขึ้นไม่ใช่เรื่องบังเอิญเสียทีเดียว หากแต่เป็นการบรรจบกันพอดี กลุ่มแรนซัมแวร์พุ่งเป้าไปที่บริษัทผู้ให้บริการทางการเงินมากขึ้น เพราะบริษัทเหล่านี้มีข้อมูลลูกค้าที่อ่อนไหวชนิดที่ทำให้การขู่กรรโชกได้ผล และผู้กำกับดูแลอย่าง ก.ล.ต. ก็ส่งสัญญาณมาหลายเดือนแล้วว่าพวกเขาตั้งใจจะให้บริษัทที่ได้รับใบอนุญาตต้องรับผิดชอบ เมื่อมาตรการป้องกันเหล่านั้นล้มเหลว

การขู่กรรโชกสองทางเปลี่ยนกลยุทธ์ของแรนซัมแวร์ไปอย่างไร

แรนซัมแวร์แบบดั้งเดิมนั้น กล่าวในแง่หนึ่งแล้ว เป็นปัญหาที่เรียบง่ายกว่า ผู้โจมตีเข้ารหัสไฟล์ของเหยื่อและเรียกร้องค่าไถ่เพื่อแลกกับคีย์ถอดรหัส องค์กรที่มีการสำรองข้อมูลแบบออฟไลน์ที่น่าเชื่อถือ มักจะสามารถกู้คืนระบบได้โดยไม่ต้องจ่ายเงินแม้แต่สตางค์เดียว ซึ่งทำให้อำนาจต่อรองของผู้โจมตีหมดไป

การขู่กรรโชกสองทาง ซึ่งเป็นกลยุทธ์ที่ริเริ่มโดยกลุ่มแรนซัมแวร์ Maze เมื่อปลายปี 2019 เป็นการปิดช่องโหว่นั้น แทนที่จะเพียงแค่เข้ารหัสไฟล์ ผู้โจมตีจะขโมยสำเนาข้อมูลอ่อนไหวของเหยื่อไปก่อน ต่อให้องค์กรสามารถกู้คืนจากข้อมูลสำรองและปฏิเสธที่จะจ่ายค่าไถ่เพื่อการถอดรหัส ผู้โจมตีก็ยังถือไพ่ใบที่สองอยู่: พวกเขาขู่ว่าจะเผยแพร่ข้อมูลที่ขโมยมาบนพอร์ทัลรั่วไหลในดาร์กเว็บ เว้นแต่จะจ่ายค่าไถ่ นี่เป็นการเปลี่ยนสมการของการตัดสินใจไปอย่างสิ้นเชิง การสำรองข้อมูลป้องกันการหยุดชะงักของการดำเนินงาน แต่ไม่ได้ช่วยหยุดการรั่วไหลของข้อมูลเลย นั่นเป็นแรงกดดันแบบเดียวกับที่ Orova ดูเหมือนจะใช้กับเหยื่อห้ารายในฮ่องกง

รูปแบบนี้ไม่ได้เกิดขึ้นเฉพาะในฮ่องกงหรือกับ Orova เท่านั้น หน่วยงานที่ถูกกำกับดูแลทางการเงินทุกแห่งในโลกมีบันทึกข้อมูลลูกค้า ประวัติการทำธุรกรรม และเอกสารประจำตัวซึ่งมีคุณค่าทั้งต่ออาชญากร และเมื่อถูกเปิดเผยก็สร้างความเสียหายอย่างหนักให้กับบุคคลที่ข้อมูลไปปรากฏอยู่บนเว็บไซต์รั่วไหล มันเป็นความเสี่ยงพื้นฐานเช่นเดียวกับที่ปรากฏขึ้นเมื่อ หน่วยงานการลงทุนของรัฐสหราชอาณาจักรเปิดเผยข้อมูลอ่อนไหวของเจ้าหน้าที่รัฐ 51 คน เป็นเวลาประมาณ 40 ชั่วโมง: เมื่อข้อมูลหลุดออกไปแล้ว จังหวะเวลาและการจำกัดขอบเขตการรั่วไหลมีความสำคัญอย่างยิ่ง แต่การเปิดเผยตัวมันเองนั้นไม่สามารถเรียกกลับคืนได้

เหตุใดค่าปรับของ ก.ล.ต. จึงมีความหมายเกินกว่าฮ่องกง

สิ่งที่ทำให้ช่วงเวลานี้น่าสนใจไม่ใช่แค่การที่มีกลุ่มแรนซัมแวร์อ้างว่าโจมตีเหยื่อได้อีกแล้ว แต่เป็นเพราะผู้กำกับดูแลทางการเงินได้ขยับจากการออกแนวทางไปสู่การบังคับใช้กฎหมาย ค่าปรับของ ก.ล.ต. ซึ่งตามรายงานระบุว่าเป็นครั้งแรกที่ผูกติดกับเหตุการณ์แรนซัมแวร์อย่างเฉพาะเจาะจง ได้ส่งสารที่กำลังก่อตัวขึ้นทั่วโลกในวงการกำกับดูแลทางการเงินว่า: ความล้มเหลวด้านความปลอดภัยไซเบอร์จะไม่ถูกมองว่าเป็นเพียงเหตุการณ์ทางเทคนิคอีกต่อไปแล้ว แต่มันคือความล้มเหลวในการปฏิบัติตามกฎระเบียบ ซึ่งส่งผลกระทบทางการเงินและชื่อเสียงอย่างแท้จริงต่อบริษัท และที่มากขึ้นเรื่อยๆ คือต่อผู้บริหารระดับสูงที่ลงนามรับรองการบริหารความเสี่ยง

กลุ่มแรนซัมแวร์ไม่จำเป็นต้องหาช่องโหว่ซีโรเดย์ใหม่ๆ เพื่อเจาะเข้ามา การโจมตีจำนวนมากเริ่มต้นจากความล้มเหลวที่ธรรมดากว่ามาก: ซอฟต์แวร์ที่ไม่ถูกแพตช์ การควบคุมการเข้าถึงที่อ่อนแอ หรือพนักงานที่หลงกลฟิชชิ่ง นั่นเป็นส่วนหนึ่งของเหตุผลที่ช่องโหว่ที่ยังไม่ถูกแพตช์ยังคงเป็นจุดเริ่มต้นที่เกิดขึ้นอย่างต่อเนื่อง แม้แต่บั๊กที่มีชื่อเสียงอย่างที่ให้รายละเอียดใน รายงานล่าสุดเกี่ยวกับช่องโหว่ซีโรเดย์ของ Windows ที่ยังไม่มีแพตช์ ก็แสดงให้เห็นว่าผู้โจมตีสามารถใช้ประโยชน์จากช่องว่างที่มีอยู่นานแล้วก่อนที่จะมีแพตช์ได้อย่างไร ตอนนี้บริษัทที่อยู่ภายใต้การกำกับดูแลถูกคาดหวังให้ปฏิบัติต่อความเสี่ยงในลักษณะนี้ในฐานะปัญหาด้านการกำกับดูแลกิจการ ไม่ใช่แค่ใบงานของแผนกไอที

สิ่งที่คุณควรรู้

หากคุณเป็นลูกค้า พนักงาน หรือหุ้นส่วนของบริษัทผู้ให้บริการทางการเงิน เหตุการณ์เช่นนี้เป็นเครื่องเตือนใจว่าความปลอดภัยของข้อมูลของคุณขึ้นอยู่กับการตัดสินใจที่เกิดขึ้นในระดับสูงกว่าฝ่ายไอทีเป็นอย่างมาก ขณะนี้คณะกรรมการและผู้บริหารระดับสูงต้องรับผิดชอบอย่างชัดแจ้งต่อความสามารถในการรับมือภัยไซเบอร์ในเขตอำนาจศาลอย่างฮ่องกง ซึ่งเมื่อเวลาผ่านไป ควรจะผลักดันให้บริษัทต่างๆ มุ่งไปสู่มาตรการป้องกันพื้นฐานที่แข็งแกร่งขึ้น เช่น สุขอนามัยในการสำรองข้อมูลที่ดีขึ้น การแพตช์ที่รวดเร็วขึ้น และการควบคุมการเข้าถึงที่เข้มงวดขึ้น

สำหรับบุคคลทั่วไป คำแนะนำเชิงปฏิบัติไม่ได้เปลี่ยนแปลงไปมากนัก แต่มันสำคัญยิ่งกว่าเดิม ตรวจสอบบัญชีที่ถืออยู่กับบริษัทใดๆ ที่เปิดเผยว่าถูกโจมตี จงตั้งข้อสงสัยต่อการสื่อสารที่ไม่คาดคิดซึ่งอ้างอิงรายละเอียดบัญชี และพิจารณาใช้บริการตรวจสอบเครดิตหากบริษัทยืนยันว่าข้อมูลของคุณเป็นส่วนหนึ่งของการรั่วไหล การขู่กรรโชกสองทางหมายความว่าแม้แต่บริษัทที่กู้คืนระบบได้อย่างรวดเร็ว ก็อาจยังมีข้อมูลของคุณหมุนเวียนอยู่ในโลกออนไลน์ ดังนั้นอย่าทึกทักว่าเหตุการณ์แรนซัมแวร์ที่ได้รับการแก้ไขแล้วหมายความว่าข้อมูลของคุณปลอดภัย

ประเด็นสำคัญ

การโจมตีของ Orova และค่าปรับของ ก.ล.ต. ร่วมกันแสดงให้เห็นถึงทิศทางของความรับผิดชอบต่อแรนซัมแวร์ที่กำลังจะมาถึง: ผู้กำกับดูแลไม่พึงพอใจอีกต่อไปแล้วที่บริษัทเพียงแค่กู้คืนจากการโจมตี พวกเขาต้องการหลักฐานว่าบริษัทได้ดำเนินการตามขั้นตอนที่เหมาะสมเพื่อป้องกันการโจมตีตั้งแต่แรก สำหรับผู้อ่าน ขั้นตอนเชิงปฏิบัติยังคงเหมือนเดิมไม่ว่าจะอยู่ในเขตอำนาจศาลใด: ถามสถาบันการเงินใดก็ตามที่คุณทำธุรกรรมด้วยเกี่ยวกับนโยบายแจ้งเตือนการโจมตีข้อมูล เปิดใช้การยืนยันตัวตนหลายปัจจัยทุกที่ที่มีให้ และถือว่าการแจ้งเตือนการรั่วไหลของข้อมูลใดๆ เป็นสัญญาณให้คุณตรวจสอบกิจกรรมในบัญชีของตัวเอง มากกว่าที่จะมองว่าเป็นเพียงพิธีการตามปกติ