การโจมตีด้านข้อมูลประจำตัวแซงหน้าการใช้ช่องโหว่ เป็นสาเหตุหลักของแรนซัมแวร์

หลายปีที่ผ่านมา แก๊งแรนซัมแวร์เป็นที่รู้จักจากการโจมตีซอฟต์แวร์ที่ไม่ได้อัปเดตแพตช์ ซึ่งเป็นช่องโหว่ที่ทำให้ทีมไอทีต้องเร่งมือติดตั้งอัปเดตความปลอดภัย แต่นั่นไม่ใช่วิธีหลักที่การโจมตีเหล่านี้เริ่มต้นอีกต่อไป จากผลการวิจัยใหม่ที่รายงานโดย Dark Reading ฟิชชิ่งและอีเมลที่เป็นอันตรายคิดเป็นครึ่งหนึ่งของการโจมตีด้วยแรนซัมแวร์ทั้งหมด แซงหน้าช่องโหว่ของซอฟต์แวร์ขึ้นเป็นจุดเริ่มต้นหลักอย่างเป็นทางการ

ที่น่าสังเกตยิ่งกว่า: การยืนยันตัวตนแบบหลายปัจจัย (MFA) ซึ่งถูกมองว่าเป็นหนึ่งในการป้องกันที่แข็งแกร่งที่สุดจากการขโมยข้อมูลประจำตัว ถูกติดตั้งใช้งานอยู่แล้วใน 97% ของการโจมตีที่อาศัยข้อมูลประจำตัวที่ศึกษา กล่าวอีกนัยหนึ่งคือ ผู้โจมตีไม่ได้ประสบความสำเร็จเพราะองค์กรละเลยสุขอนามัยด้านความปลอดภัยพื้นฐาน แต่พวกเขาประสบความสำเร็จเพราะพบวิธีเลี่ยงผ่านมัน

การเปลี่ยนแปลงนี้มีความสำคัญเพราะมันเปลี่ยนตำแหน่งของความเสี่ยงที่แท้จริง การแพตช์เซิร์ฟเวอร์และปิดช่องโหว่ซอฟต์แวร์ยังคงสำคัญ แต่ข้อมูลชี้ว่าผู้โจมตีเปลี่ยนพลังงานไปที่การหลอกคนแทนที่จะเจาะโค้ด อีเมลที่ดูน่าเชื่อถือ หน้าเข้าสู่ระบบปลอม หรือการโทรศัพท์ที่จังหวะเหมาะเจาะ สามารถทำในสิ่งที่ช่องโหว่ซีโร่เดย์เคยทำได้แล้ว

ทำไม MFA เพียงอย่างเดียวถึงหยุดผู้โจมตีไม่ได้

MFA ถูกทำตลาดมาหลายปีเหมือนเป็นเครื่องป้องกันที่เกือบจะไร้ที่ติต่อการขโมยข้อมูลประจำตัว แนวคิดนั้นเรียบง่าย: ถึงแม้รหัสผ่านจะถูกขโมย ผู้โจมตียังต้องใช้ปัจจัยที่สอง เช่น รหัสที่ส่งไปยังโทรศัพท์ หรือแอปยืนยันตัวตน เพื่อเข้าใช้งาน ตรรกะนั้นใช้ได้ดีกับการโจมตีแบบเดารหัสผ่านพื้นฐาน แต่มันใช้ไม่ได้เลยกับชุดเครื่องมือฟิชชิ่งยุคใหม่

ผู้โจมตีปรับตัวด้วยเทคนิคที่ออกแบบมาเพื่อเอาชนะ MFA โดยเฉพาะ ฟิชชิ่งพร็อกซีแบบเรียลไทม์สามารถดักจับทั้งรหัสผ่านและรหัสแบบใช้ครั้งเดียวในทันทีที่เหยื่อป้อนข้อมูล จากนั้นส่งต่อข้อมูลนั้นไปยังระบบเข้าสู่ระบบจริงก่อนที่รหัสจะหมดอายุ วิธีการอื่นมุ่งเป้าไปที่โทเค็นของเซสชันโดยตรง ทำให้ผู้โจมตีสามารถไฮแจ็กเซสชันที่ยืนยันตัวตนแล้วโดยไม่ต้องใช้ปัจจัยที่สองเลยด้วยซ้ำ ข้อเท็จจริงที่ว่า MFA ถูกติดตั้งใช้งานอยู่แล้วใน 97% ของการโจมตีแรนซัมแวร์ที่อาศัยข้อมูลประจำตัวในชุดข้อมูลนี้ แสดงให้เห็นว่าการเปิดใช้ MFA เพียงอย่างเดียวนั้นไม่เพียงพออีกต่อไป วิธีการที่มันถูกนำไปใช้ และการต้านทานฟิชชิ่งโดยเฉพาะ มีความสำคัญพอๆ กับการมีอยู่ของมัน

นี่ไม่ได้หมายความว่า MFA ไร้ค่า มันยังคงบล็อกการโจมตีอัตโนมัติและที่ใช้ความพยายามน้อยจำนวนมาก แต่องค์กรและบุคคลที่พึ่งพามันเหมือนเป็นกระสุนเงินวิเศษเพียงอย่างเดียว กำลังใช้แบบจำลองภัยคุกคามที่ล้าสมัย

แนวโน้มนี้เทียบกับภาพรวมการละเมิดที่กว้างขึ้นอย่างไร

แนวโน้มเฉพาะของแรนซัมแวร์นี้ เกิดขึ้นควบคู่ไปกับการเปลี่ยนแปลงที่เกี่ยวข้องแต่แตกต่าง ซึ่งถูกบันทึกไว้ในอุตสาหกรรม ดังที่กล่าวถึงในบทวิเคราะห์ของ vpn.social เกี่ยวกับ รายงานการสืบสวนการละเมิดข้อมูล Verizon ปี 2026 ช่องโหว่ของซอฟต์แวร์ได้แซงหน้ารหัสผ่านที่ถูกขโมยหรืออ่อนแอ เป็นจุดเริ่มต้นอันดับต้นๆ ของการละเมิดในวงกว้าง เมื่อมองผิวเผินดูเหมือนจะขัดแย้งกับข้อค้นพบเรื่องแรนซัมแวร์ แต่ชุดข้อมูลทั้งสองกำลังวัดสิ่งที่แตกต่างกัน DBIR ดูที่การละเมิดในทุกหมวดหมู่และอุตสาหกรรม ในขณะที่งานวิจัยแรนซัมแวร์นี้มุ่งเน้นไปที่วิธีการที่ผู้ปฏิบัติการแรนซัมแวร์ยึดฐานที่มั่นเริ่มต้น

เมื่อรวมภาพเข้าด้วยกัน สิ่งที่ปรากฏคือภาพของความเชี่ยวชาญเฉพาะทาง ผู้โจมตีบางกลุ่มกำลังปรับแต่งการใช้ช่องโหว่ซอฟต์แวร์อัตโนมัติในวงกว้าง ในขณะที่กลุ่มแรนซัมแวร์โดยเฉพาะกำลังมุ่งเน้นไปที่วิศวกรรมสังคมที่มุ่งเป้าที่มนุษย์ น่าจะเพราะมันเสนอเส้นทางที่รวดเร็วและน่าเชื่อถือกว่าไปสู่การเข้าถึงระดับสูงที่จำเป็นในการติดตั้งแรนซัมแวร์ทั่วทั้งเครือข่าย แนวโน้มทั้งสองเป็นจริงได้พร้อมกัน และทั้งสองชี้ไปที่ความจริงพื้นฐานเดียวกัน: ผู้โจมตีไปทุกที่ที่เส้นทางที่มีแรงต้านน้อยที่สุดนำไป และเส้นทางนั้นเปลี่ยนแปลงอยู่ตลอดเวลา

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากคุณใช้อีเมลเลย ไม่ว่าจะเพื่อทำงานหรือบัญชีส่วนตัว แนวโน้มนี้ส่งผลกระทบต่อคุณโดยตรง แรนซัมแวร์ไม่ได้มุ่งเป้าเฉพาะองค์กรขนาดใหญ่ที่มีแผนกไอทีเฉพาะเท่านั้น ธุรกิจขนาดเล็ก ผู้ให้บริการด้านสุขภาพ โรงเรียน และผู้ประกอบวิชาชีพอิสระต่างก็ถูกมุ่งเป้าเป็นประจำผ่านกลวิธีการฟิชชิ่งแบบเดียวกัน อีเมลที่น่าเชื่อถือเพียงฉบับเดียวที่เปิดในจังหวะที่ไม่ถูกต้อง สามารถเป็นจุดเริ่มต้นสำหรับการโจมตีที่เข้ารหัสไฟล์ของทั้งองค์กร

ข้อสรุปในทางปฏิบัติไม่ใช่การละทิ้ง MFA แต่คือการยอมรับว่า MFA เป็นชั้นหนึ่งในการป้องกันที่กว้างขึ้น ไม่ใช่เส้นชัย วิธีการยืนยันตัวตนที่ต้านทานฟิชชิ่ง การตรวจสอบข้อความแจ้งให้เข้าสู่ระบบที่ไม่คาดคิดอย่างรอบคอบ และความสงสัยพื้นฐานต่ออีเมลที่ฟังดูเร่งด่วน ล้วนยังคงจำเป็น แม้กระทั่งสำหรับบัญชีที่มี MFA ป้องกันอยู่แล้วก็ตาม

ข้อปฏิบัติที่นำไปใช้ได้

  • มองข้อความแจ้ง MFA ที่คุณไม่ได้ร้องขอว่าเป็นธงแดง ไม่ใช่การแจ้งเตือนตามปกติ และอย่าอนุมัติข้อความที่คุณไม่ได้เป็นผู้เริ่ม
  • หากเป็นไปได้ ใช้วิธีการยืนยันตัวตนที่ต้านทานฟิชชิ่ง เช่น กุญแจความปลอดภัยแบบฮาร์ดแวร์ แทนรหัสผ่าน SMS หรือแอปเพียงอย่างเดียว
  • ระวังความเร่งด่วนในอีเมลที่ขอให้คุณเข้าสู่ระบบ รีเซ็ตรหัสผ่าน หรือยืนยันบัญชี นี่คือกลวิธีเริ่มต้นแบบคลาสสิกของแรนซัมแวร์
  • อัปเดตซอฟต์แวร์ให้ทันสมัยอยู่เสมอ แม้ว่าตอนนี้การโจมตีด้านข้อมูลประจำตัวจะเป็นสาเหตุหลักของแรนซัมแวร์ การโจมตีที่อาศัยช่องโหว่ไม่ได้หายไป แค่ถูกแซงหน้าในความถี่
  • หากคุณจัดการทีมหรือองค์กร ลงทุนในการฝึกอบรมการตระหนักรู้เรื่องฟิชชิ่งควบคู่ไปกับการป้องกันทางเทคนิค เพราะข้อมูลแสดงให้เห็นว่าผู้คน ไม่ใช่แค่ระบบ กลายเป็นเป้าหมายหลักแล้ว

ในขณะที่กลยุทธ์แรนซัมแวร์ยังคงเปลี่ยนไปสู่ข้อมูลประจำตัวและวิศวกรรมสังคม การรับทราบข้อมูลว่าการโจมตีเหล่านี้เกิดขึ้นจริงอย่างไรคือหนึ่งในการป้องกันที่มีประสิทธิภาพที่สุดที่มีอยู่ การเข้าใจว่าความเสี่ยงที่แท้จริงอยู่ที่ใดในวันนี้คือก้าวแรกสู่การปิดช่องว่างนั้นก่อนที่ผู้โจมตีจะใช้ประโยชน์ได้