เหตุใดการจ่ายค่าไถ่จึงไม่ได้จบปัญหา
เมื่อแรนซัมแวร์ล็อกระบบของบริษัท สัญชาตญาณที่อยากจ่ายเงินแล้วเดินหน้าต่อไปนั้นเป็นสิ่งที่เข้าใจได้ แต่งานสำรวจใหม่จากบริษัทความปลอดภัย Proofpoint ซึ่งครอบคลุมบริษัท 953 แห่ง ชี้ว่าสัญชาตญาณนั้นอาจย้อนกลับมาทำร้ายตัวเองได้ จากผลการสำรวจพบว่า องค์กรที่จ่ายค่าไถ่แรนซัมแวร์มักกลายเป็นเป้าหมายที่น่าดึงดูดยิ่งขึ้น ไม่ใช่ลดลง เมื่อกลุ่มอาชญากรยืนยันได้ว่าเหยื่อรายหนึ่งยินดีจ่าย เหยื่อรายนั้นก็อาจถูกหมายหัวไว้สำหรับการโจมตีซ้ำอีกครั้ง
เรื่องนี้สำคัญเพราะตรรกะเบื้องหลังการจ่ายค่าไถ่นั้นตั้งอยู่บนการแลกเปลี่ยนง่ายๆ เสมอมา นั่นคือ เงินเพื่อการยุติเรื่อง ผู้บริหารอนุมัติการจ่ายเงินโดยเชื่อว่ามันจะกู้ระบบคืนมา ลบข้อมูลที่ถูกขโมย จำกัดการหยุดชะงักทางธุรกิจ และปกป้องลูกค้า งานวิจัยของ Proofpoint ระบุว่าการแลกเปลี่ยนนี้เชื่อถือได้น้อยกว่าที่องค์กรส่วนใหญ่คาดไว้มาก การจ่ายเงินไม่ได้ยุติความสัมพันธ์กับผู้โจมตีเสมอไป ในบางกรณี มันกลับเริ่มต้นความสัมพันธ์ครั้งใหม่
ตรรกะทางธุรกิจเบื้องหลังการเรียกค่าไถ่ครั้งที่สอง
กลุ่มแรนซัมแวร์ดำเนินการเหมือนธุรกิจ และธุรกิจย่อมมองหาลูกค้าขาประจำ บริษัทที่แสดงให้เห็นแล้วว่าจะจ่ายเงิน คือแหล่งรายได้ที่พิสูจน์แล้วในมุมมองของอาชญากร บริษัทนั้นมีเงินทุนหมุนเวียน มีทีมผู้นำที่เต็มใจอนุมัติการจ่ายเงินอย่างรวดเร็ว และสันนิษฐานได้ว่ายังคงมีช่องโหว่ที่ทำให้การโจมตีครั้งแรกสำเร็จตั้งแต่แรก
ประเด็นสุดท้ายนั้นสำคัญยิ่ง การจ่ายค่าไถ่จัดการกับวิกฤตเฉพาะหน้า แต่มันแทบไม่เคยแก้ไขช่องว่างด้านความปลอดภัยพื้นฐานที่ปล่อยให้ผู้โจมตีเข้ามาได้ หากช่องทางการฟิชชิ่งเดิม ซอฟต์แวร์ที่ไม่ได้อัปเดตแพตช์ หรือจุดเชื่อมต่อระยะไกลที่ถูกเปิดเผยยังคงอยู่หลังเหตุการณ์ ก็ไม่มีอะไรหยุดยั้งกลุ่มเดิม หรือพันธมิตรที่ซื้อข้อมูลการเข้าถึงเหยื่อรายเดียวกัน ไม่ให้ลองอีกครั้ง บทความก่อนหน้าของเราเกี่ยวกับ งานวิจัยผู้จ่ายค่าไถ่แรนซัมแวร์ของ Proofpoint เจาะลึกลงไปว่าเหตุการณ์ซ้ำเหล่านี้เกิดขึ้นบ่อยแค่ไหน และเหตุใดการจ่ายเงินจึงทำหน้าที่เป็นสัญญาณให้กลุ่มอาชญากรอื่นๆ รู้ว่าเป้าหมายนั้นอ่อนแอ
ลดความเสี่ยงจากการรีดไถก่อนที่มันจะเริ่มต้น
ข่าวดีคือองค์กรต่างๆ ไม่ได้ไร้อำนาจในเรื่องนี้ ขั้นตอนที่ลดความเสี่ยงจากแรนซัมแวร์นั้นส่วนใหญ่ก็คือขั้นตอนเดิมที่ทีมความปลอดภัยแนะนำกันมาหลายปี เพียงแต่มีความเร่งด่วนมากขึ้นเมื่อเห็นข้อมูลนี้
การเก็บรักษาข้อมูลสำรองที่ออฟไลน์และผ่านการทดสอบแล้วยังคงเป็นวิธีเดียวที่มีประสิทธิภาพสูงสุดในการหลีกเลี่ยงการต้องเผชิญหน้ากับการตัดสินใจว่าจะจ่ายหรือไม่จ่ายตั้งแต่แรก หากระบบสามารถกู้คืนจากข้อมูลสำรองได้โดยไม่ต้องใช้กุญแจถอดรหัสของผู้โจมตี ข้ออ้างในการรีดไถทั้งหมดก็พังทลาย การแบ่งส่วนเครือข่ายก็สำคัญเช่นกัน การจำกัดว่าผู้โจมตีสามารถเคลื่อนที่ไปได้ไกลแค่ไหนเมื่อเข้ามาภายในแล้วช่วยลดรัศมีความเสียหายของการบุกรุกแต่ละครั้ง ซึ่งจะช่วยลดอำนาจต่อรองระหว่างการเจรจาค่าไถ่
การเฝ้าติดตามภัยคุกคามอย่างต่อเนื่องและการตรวจจับที่ปลายทางช่วยจับการบุกรุกก่อนที่จะบานปลายกลายเป็นเหตุการณ์เข้ารหัสเต็มรูปแบบ การโจมตีด้วยแรนซัมแวร์จำนวนมากดำเนินไปเป็นวันหรือเป็นสัปดาห์ระหว่างการเข้าถึงครั้งแรกและการปล่อยเพย์โหลดสุดท้าย ช่วงเวลานั้นคือโอกาสที่จะเข้าแทรกแซง แนวปฏิบัติการเข้าถึงระยะไกลที่ปลอดภัย รวมถึงการใช้ VPN สำหรับการเชื่อมต่อที่เข้ารหัสและการยืนยันตัวตนหลายปัจจัยสำหรับทุกคนที่เข้าสู่ระบบจากภายนอกเครือข่ายองค์กร ช่วยปิดหนึ่งในจุดเข้าที่อาชญากรใช้ประโยชน์อยู่บ่อยครั้ง มาตรการเหล่านี้ไม่มีอะไรรับประกันภูมิคุ้มกันได้อย่างสมบูรณ์ แต่เมื่อใช้ร่วมกันแล้วช่วยลดโอกาสที่ธุรกิจจะต้องมาเผชิญกับบันทึกเรียกค่าไถ่ตั้งแต่แรก
สิ่งนี้มีความหมายอย่างไรสำหรับคุณ
หากองค์กรของคุณถูกแรนซัมแวร์โจมตี ผลการค้นพบของ Proofpoint ชี้ให้เห็นว่าการจ่ายเงินไม่ควรมองว่าเป็นทางออกที่สะอาดหมดจด ก่อนอนุมัติการจ่ายเงินใดๆ ควรถามว่าได้ระบุและปิดช่องโหว่พื้นฐานแล้วหรือยัง เพราะถ้ายัง การจ่ายเงินอาจเป็นเพียงงวดแรกในความสัมพันธ์ที่ดำเนินต่อไปกับผู้โจมตี
นี่เป็นจังหวะที่ควรให้หน่วยงานบังคับใช้กฎหมายเข้ามามีส่วนร่วมตั้งแต่เนิ่นๆ มากกว่าที่จะนึกถึงทีหลัง หน่วยงานที่ติดตามกลุ่มแรนซัมแวร์บางครั้งสามารถเสนอเครื่องมือถอดรหัส ข่าวกรองภัยคุกคามเกี่ยวกับพฤติกรรมของแก๊งใดแก๊งหนึ่ง หรือให้บริบทว่าแก๊งนั้นมีประวัติการรีดไถซ้ำหรือไม่ การนำความเชี่ยวชาญด้านการตอบสนองต่อเหตุการณ์จากภายนอกเข้ามาก่อนการตัดสินใจจ่ายเงิน มากกว่าที่จะตามมาทีหลัง ช่วยให้องค์กรมองเห็นทางเลือกที่แท้จริงได้ชัดเจนยิ่งขึ้น
สำหรับธุรกิจขนาดเล็กที่ไม่มีทีมความปลอดภัยเฉพาะ การคำนวณนั้นคล้ายกันแต่ทรัพยากรบางกว่ามาก นั่นทำให้การป้องกันยิ่งสำคัญมากขึ้น: สุขอนามัยพื้นฐานอย่างการสำรองข้อมูลเป็นประจำ ซอฟต์แวร์ที่อัปเดตแพตช์แล้ว และเครื่องมือการเข้าถึงระยะไกลที่ปลอดภัยช่วยลดความเสี่ยงได้มากกว่าการตัดสินใจใดๆ หลังเกิดเหตุเสียอีก
ประเด็นสำคัญ
บทเรียนหลักจากงานสำรวจของ Proofpoint นี้ง่ายตรงไปตรงมา: การจ่ายค่าไถ่ซื้อเวลา ไม่จำเป็นต้องซื้อความปลอดภัย องค์กรควรปฏิบัติต่อทุกเหตุการณ์แรนซัมแวร์เสมือนเป็นหลักฐานของช่องว่างด้านความปลอดภัยที่ต้องแก้ไข ไม่ว่าจะจ่ายเงินหรือไม่ก็ตาม ขั้นตอนที่ใช้งานได้จริงและควรให้ความสำคัญได้แก่ การเก็บรักษาข้อมูลสำรองออฟไลน์ การแบ่งส่วนเครือข่าย การเฝ้าติดตามสัญญาณเริ่มต้นของการบุกรุก และการรักษาความปลอดภัยการเข้าถึงระยะไกลด้วยการยืนยันตัวตนที่รัดกุมและการเชื่อมต่อที่เข้ารหัส
ที่สำคัญที่สุด การตัดสินใจจ่ายเงินใดๆ ควรทำควบคู่ไปกับแผนการแก้ไขที่จริงจัง ไม่ใช่ทำแทนแผนดังกล่าว แก๊งแรนซัมแวร์กำลังดำเนินธุรกิจ และข้อมูลชี้ให้เห็นว่าพวกเขารู้แน่ชัดว่าลูกค้ารายไหนที่คุ้มค่าพอจะเก็บเงินซ้ำสอง
