สิ่งที่ข้อมูลแรนซัมแวร์ในอินเดียของ Proofpoint แสดงให้เห็นจริง

รายงานใหม่จากบริษัทรักษาความปลอดภัย Proofpoint แสดงให้เห็นภาพที่น่ากังวลสำหรับองค์กรในอินเดียที่ต้องรับมือกับแรนซัมแวร์ ข้อมูลระบุว่า 62% ของบริษัทอินเดียที่ได้รับผลกระทบรายงานว่าผลกระทบโดยรวมจากการโจมตีครั้งล่าสุดสูงขึ้น ซึ่งเป็นสัญญาณว่าเหตุการณ์เหล่านี้กำลังสร้างความเสียหายมากขึ้น ไม่ใช่น้อยลง แม้ว่าความตระหนักรู้และการลงทุนด้านการป้องกันจะเพิ่มขึ้นก็ตาม สิ่งที่น่าสังเกตที่สุดคือการยืนยันว่าการขโมยข้อมูลเพื่อรีดไถด้วยแรนซัมแวร์ในอินเดียกลายเป็นเรื่องปกติ ไม่ใช่ข้อยกเว้น: การขโมยข้อมูลได้รับการยืนยันใน 71% ของเหตุการณ์ที่ Proofpoint ตรวจสอบ

สถิตินี้ปรับเปลี่ยนมุมมองในสิ่งที่หลายองค์กรยังคิดว่าเป็นปัญหาแรนซัมแวร์ มันไม่ใช่แค่เรื่องของไฟล์ที่ถูกเข้ารหัสและข้อความเรียกค่าไถ่อีกต่อไป ในกรณีส่วนใหญ่ที่ศึกษา ผู้โจมตีได้ขโมยข้อมูลที่ละเอียดอ่อนออกไปก่อนที่จะล็อกระบบ ทำให้พวกเขามีจุดต่อรองที่สอง แม้ว่าเหยื่อจะมีข้อมูลสำรองที่แข็งแกร่งพอที่จะหลีกเลี่ยงการจ่ายค่าคีย์ถอดรหัสก็ตาม

ทำไมการจ่ายค่าไถ่ถึงไม่หยุดยั้งการรีดไถซ้ำ

แม้จะมีคำแนะนำอย่างกว้างขวางจากหน่วยงานบังคับใช้กฎหมายและผู้เชี่ยวชาญด้านความปลอดภัยให้ต่อต้านการจ่ายค่าไถ่แรนซัมแวร์ แต่ 64% ขององค์กรอินเดียที่ได้รับผลกระทบก็ยังจ่ายอยู่ดี สัญชาตญาณนี้เป็นที่เข้าใจได้: การจ่ายเงินรู้สึกเหมือนเป็นเส้นทางที่เร็วที่สุดในการกลับสู่การดำเนินงานปกติ แต่ผลการค้นพบของ Proofpoint ชี้ให้เห็นว่าสัญชาตญาณนั้นไม่เหมาะสมมากขึ้นเรื่อยๆ เกือบครึ่งหนึ่งของผู้ที่จ่ายเงิน 48% ต้องเผชิญกับข้อเรียกร้องรีดไถเพิ่มเติมในภายหลัง

รูปแบบนี้ไม่ได้มีเฉพาะในอินเดีย มันสะท้อนสิ่งที่ Proofpoint ได้บันทึกไว้ทั่วโลกว่า ผู้ที่จ่ายค่าไถ่มักถูกโจมตีซ้ำ และการจ่ายเงินทำหน้าที่เหมือนเป็นสัญญาณให้ผู้โจมตีรู้ว่าเป้าหมายยินดีที่จะเจรจามากกว่าจะเป็นการแก้ปัญหา งานวิจัยแยกต่างหากของ Proofpoint พบว่า 22% ของผู้จ่ายค่าไถ่ต้องเผชิญกับการรีดไถซ้ำ ในขณะที่ข้อมูลอื่นๆ ชี้ว่า ประมาณ 1 ใน 3 ของผู้จ่ายค่าไถ่ถูกโจมตีซ้ำ ตัวเลขการรีดไถซ้ำ 48% ของอินเดียอยู่ในระดับที่สูงกว่าของช่วงนั้น ซึ่งชี้ให้เห็นว่าองค์กรที่นั่นอาจกำลังเผชิญกับแนวโน้มโลกเดียวกันในเวอร์ชันที่รุนแรงกว่า

อัตราการขโมยข้อมูล 71%: สิ่งที่ผู้โจมตีขโมยไปก่อนทำการเข้ารหัส

เหตุผลที่การรีดไถซ้ำได้ผลดีสำหรับผู้โจมตีนั้นง่ายมาก: เมื่อข้อมูลถูกขโมยไปแล้ว การเข้ารหัสแทบจะไม่ใช่ประเด็นอีกต่อไป หาก 71% ของเหตุการณ์เกี่ยวข้องกับการขโมยข้อมูลที่ได้รับการยืนยันแล้ว การจ่ายค่าคีย์ถอดรหัสก็ไม่ได้ช่วยแก้ไขสำเนาของไฟล์สำคัญที่อยู่ในโครงสร้างพื้นฐานของผู้โจมตี ข้อมูลนั้นสามารถถูกขาย รั่วไหล หรือใช้เป็นข้อต่อรองใหม่สำหรับข้อเรียกร้องครั้งที่สองหรือสาม ซึ่งช่วยอธิบายว่าทำไมองค์กรจำนวนมากที่จ่ายไปครั้งหนึ่งจึงต้องจ่ายอีก หรือเผชิญกับภัยคุกคามใหม่ๆ แม้จะจัดการกับครั้งแรกไปแล้วก็ตาม

นี่คือการเปลี่ยนแปลงหลักที่แยกแรนซัมแวร์สมัยใหม่ออกจากการโจมตีล็อกไฟล์ในอดีต การเข้ารหัสขัดขวางการดำเนินงานในระยะสั้น แต่การขโมยข้อมูลสร้างหนี้สินระยะยาวที่การจ่ายเงินเพียงครั้งเดียวไม่สามารถแก้ไขได้ สำหรับองค์กรที่จัดการบันทึกลูกค้า ข้อมูลทางการเงิน หรือข้อมูลธุรกิจที่เป็นกรรมสิทธิ์ การเปิดเผยข้อมูลไม่ได้สิ้นสุดลงเมื่อระบบกลับมาออนไลน์

การลดความเสี่ยง: การแบ่งส่วนเครือข่าย การสำรองข้อมูล และการควบคุมการเข้าถึง

การตอบสนองเชิงปฏิบัติต่อการเปลี่ยนแปลงนี้ต้องก้าวไปไกลกว่าแค่การตัดสินใจว่าจะจ่ายหรือไม่ ขั้นตอนที่เป็นรูปธรรมบางขั้นตอนมีความสำคัญมากขึ้นกว่าเดิม:

  • การแบ่งส่วนเครือข่าย จำกัดว่าผู้โจมตีสามารถเคลื่อนที่ไปได้ไกลแค่ไหนเมื่อเข้ามาแล้ว ลดโอกาสที่บัญชีที่ถูกบุกรุกเพียงบัญชีเดียวจะนำไปสู่การเปิดเผยข้อมูลทั่วทั้งองค์กร
  • การสำรองข้อมูลแบบออฟไลน์และผ่านการทดสอบแล้ว ยังคงจำเป็นสำหรับการกู้คืนจากการเข้ารหัส แต่ไม่สามารถจัดการกับการขโมยข้อมูลได้ ดังนั้นจึงควรจับคู่กับการตรวจสอบการถ่ายโอนข้อมูลขาออกที่ผิดปกติ
  • การควบคุมการเข้าถึงที่เข้มงวดและสิทธิ์ขั้นต่ำสุด ลดปริมาณข้อมูลที่ละเอียดอ่อนที่ข้อมูลประจำตัวที่ถูกบุกรุกเพียงชุดเดียวสามารถเข้าถึงได้
  • การวางแผนตอบสนองต่อเหตุการณ์ ควรตั้งสมมติฐานว่าข้อมูลได้ถูกคัดลอกไปแล้ว ไม่ใช่แค่ว่าระบบอาจถูกล็อก และควรมีแผนการสื่อสารสำหรับลูกค้าและหน่วยงานกำกับดูแลหากมีการยืนยันการเปิดเผยข้อมูล

องค์กรที่สร้างการป้องกันตามหลักการเหล่านี้กำลังดำเนินการบนสมมติฐานที่ว่าการป้องกันเพียงอย่างเดียวจะไม่ประสบความสำเร็จเสมอไป และการจำกัดรัศมีการทำลายล้างของการบุกรุกมีความสำคัญไม่แพ้การป้องกันไม่ให้ผู้โจมตีเข้ามาตั้งแต่แรก

สิ่งนี้มีความหมายต่อคุณอย่างไร

หากองค์กรของคุณดำเนินงานในอินเดียหรือจัดการข้อมูลที่เชื่อมโยงกับลูกค้าหรือคู่ค้าในอินเดีย รายงานนี้เป็นสัญญาณให้ทบทวนแผนตอบสนองต่อเหตุการณ์ด้วยคำถามเฉพาะในใจ: จะเกิดอะไรขึ้นหลังจากที่เราค้นพบว่าข้อมูลได้ถูกขโมยไปแล้ว ไม่ใช่แค่หลังจากที่ไฟล์ถูกเข้ารหัส? การปฏิบัติต่อแรนซัมแวร์เสมือนเป็นปัญหาความพร้อมใช้งานเพียงอย่างเดียว ซึ่งแก้ไขได้ด้วยการสำรองข้อมูลและการจ่ายเงินที่เป็นไปได้ ไม่สอดคล้องกับวิธีที่การโจมตีเหล่านี้เกิดขึ้นจริงอีกต่อไป รูปแบบการขโมยข้อมูลเพื่อรีดไถด้วยแรนซัมแวร์ในอินเดียที่อธิบายไว้ในข้อมูลของ Proofpoint แสดงให้เห็นว่าช่วงเวลาของการเข้ารหัสมักเป็นเพียงขั้นตอนหนึ่งในแคมเปญที่ยาวนานกว่า

ประเด็นสำคัญ

  • สมมติว่ามีการขโมยข้อมูลเกิดขึ้นในเหตุการณ์แรนซัมแวร์ทุกครั้ง อย่ารอการยืนยันก่อนที่จะดำเนินการตามสมมติฐานนั้น
  • ปฏิบัติต่อการจ่ายค่าไถ่ในฐานะการตัดสินใจทางธุรกิจที่มีความเสี่ยงจริงของการรีดไถซ้ำ ไม่ใช่การแก้ไขที่รับประกัน ซึ่งเป็นรูปแบบที่สอดคล้องกับสิ่งที่ งานวิจัยอื่นของ Proofpoint เกี่ยวกับการรีดไถซ้ำ ได้บันทึกไว้ในหลายตลาด
  • ลงทุนในการแบ่งส่วนเครือข่ายและการควบคุมการเข้าถึงตั้งแต่ตอนนี้ เนื่องจากสิ่งเหล่านี้จำกัดความเสียหายไม่ว่าผู้โจมตีจะเข้ามาได้อย่างไร
  • สร้างแผนการสื่อสารการละเมิดข้อมูลควบคู่ไปกับแผนการกู้คืนแรนซัมแวร์ของคุณ เนื่องจากทั้งสองเหตุการณ์กำลังกลายเป็นเหตุการณ์เดียวกันมากขึ้น

ดังที่ ข้อมูลอุตสาหกรรมที่กว้างขึ้นเกี่ยวกับการจ่ายค่าไถ่แรนซัมแวร์ ยังคงแสดงให้เห็น ประสบการณ์ของอินเดียไม่ใช่ค่าผิดปกติ มันเป็นภาพสะท้อนในท้องถิ่นของการเปลี่ยนแปลงระดับโลกไปสู่การรีดไถหลายขั้นตอน และองค์กรที่วางแผนรับมือตอนนี้จะอยู่ในตำแหน่งที่ดีกว่าผู้ที่ยังหวังว่าการจ่ายเงินเพียงครั้งเดียวจะทำให้ปัญหาหายไป