สิ่งที่ข้อมูลการจ่ายค่าไถ่ใหม่แสดงให้เห็น

รายงานใหม่จากบริษัทรักษาความปลอดภัย Proofpoint ที่เผยแพร่เมื่อวันพุธ เป็นการยืนยันที่ทำให้ไม่สบายใจสำหรับใครก็ตามที่เคยคิดจะจ่ายค่าไถ่ให้แก๊งแรนซัมแวร์เพื่อให้ปัญหาหมดไป: เหยื่อส่วนใหญ่ที่ยอมจ่ายมักต้องเผชิญกับข้อเรียกร้องให้ขู่กรรโชกครั้งที่สอง รายงานนี้ตอกย้ำสิ่งที่นักวิจัยด้านความปลอดภัยและผู้รับมือเหตุการณ์ยืนยันมานานหลายปีว่าการเจรจาต่อรองกับแรนซัมแวร์ไม่ได้ดำเนินไปด้วยความสุจริต และการจ่ายเงินไม่ได้รับประกันว่าผู้โจมตีจะเลิกลาไปจริงๆ

ข้อมูลของ Proofpoint ได้เพิ่มตัวเลขยืนยันให้กับรูปแบบที่ผู้ปกป้องระบบสงสัยมานานจากประสบการณ์ องค์กรที่ยอมทำตามข้อเรียกร้องค่าไถ่ไม่ได้ซื้อหาทางจบเรื่อง แต่พวกเขามักจะซื้อรอบที่สองให้ผู้โจมตีรายเดิม หรือกลุ่มอื่นโดยสิ้นเชิง กลับมาเรียกร้องเพิ่มอีก

เหตุใดการจ่ายค่าไถ่จึงเชิญชวนให้เกิดการโจมตีครั้งที่สอง

ตรรกะเบื้องหลังการขู่กรรโชกซ้ำนั้นตรงไปตรงมา หากคุณลองคิดจากมุมมองของผู้โจมตี โมเดลธุรกิจทั้งหมดของแก๊งแรนซัมแวร์ขึ้นอยู่กับการที่เหยื่อเชื่อว่าการจ่ายเงินจะยุติวิกฤติ แต่ไม่มีสัญญาทางกฎหมาย ไม่มีกลไกบังคับใช้ และไม่มีความเสี่ยงด้านชื่อเสียงใดที่แข็งแกร่งพอจะรับประกันคำพูดของผู้โจมตีได้เมื่อเงินถูกโอนไปแล้ว หากเหยื่อรายใดแสดงให้เห็นถึงความเต็มใจและความสามารถในการจ่ายแล้ว เหยื่อรายนั้นจะกลายเป็นเป้าหมายที่น่าดึงดูดยิ่งขึ้น ไม่ใช่บัญชีที่สะสางเสร็จแล้ว

นี่คือส่วนหนึ่งของเหตุผลที่นักวิจัยด้านความปลอดภัยอธิบายว่าการเจรจาต่อรองกับแรนซัมแวร์นั้นแตกต่างจากธุรกรรมทางธุรกิจปกติโดยพื้นฐาน อีกฝ่ายไม่มีแรงจูงใจที่จะเลิกลาไปจริงๆ กลุ่มอาชญากรที่รีดเงินได้สำเร็จครั้งหนึ่งมีเหตุผลทุกประการที่จะทดสอบว่าองค์กรเดิมจะจ่ายอีกหรือไม่ ไม่ว่าจะโดยการเข้ารหัสระบบใหม่ ขู่ว่าจะรั่วไหลข้อมูลที่ถูกขโมยไปก่อนหน้านี้เป็นครั้งที่สอง หรือเพียงแค่เปิดข้อเรียกร้องใหม่ที่ผูกโยงกับการบุกรุกครั้งแรก

พลวัตนี้สัมพันธ์อย่างใกล้ชิดกับสิ่งที่อุตสาหกรรมเรียกว่าการขู่กรรโชกสองต่อ (double extortion) หรือหลายต่อ (multi-extortion) ซึ่งผู้โจมตีไม่เพียงแต่เข้ารหัสไฟล์ แต่ยังขโมยข้อมูลไว้ล่วงหน้า ทำให้พวกเขามีจุดกดดันหลายจุดเพื่อบีบเหยื่อแม้หลังจากจ่ายค่าไถ่ไปแล้ว ข้อค้นพบของ Proofpoint บ่งชี้ว่าแม้แคมเปญกดดันครั้งแรกจะสำเร็จ บ่อน้ำก็ยังไม่แห้งเหือดเสมอไป

ช่องโหว่ที่ตรวจไม่พบทำให้การขู่กรรโชกซ้ำง่ายขึ้นอย่างไร

เหตุผลหนึ่งที่การขู่กรรโชกซ้ำได้ผลดีนักสำหรับผู้โจมตีคือ เหยื่อจำนวนมากไม่เข้าใจขอบเขตทั้งหมดของการบุกรุกในเวลาที่พวกเขาตัดสินใจจ่ายเงิน หากองค์กรพบไฟล์ที่ถูกเข้ารหัสและเจรจาค่าไถ่โดยไม่ได้ระบุแน่ชัดก่อนว่าข้อมูลใดถูกเข้าถึง คัดลอก หรือทิ้งแบ็คดอร์ไว้ องค์กรนั้นก็เท่ากับยอมรับราคาโดยไม่รู้ว่ากำลังซื้ออะไรกลับคืนมาจริงๆ

ช่องว่างระหว่างการตรวจจับและการรับมือนี้เป็นหัวข้อที่พบซ้ำๆ ในงานวิจัยเกี่ยวกับแรนซัมแวร์ ตามที่เคยกล่าวไว้ใน รายงานที่เกี่ยวข้องเกี่ยวกับความล้มเหลวในการตรวจจับแรนซัมแวร์ เกือบครึ่งหนึ่งของเหยื่อแรนซัมแวร์เสียข้อมูลไปก่อนที่จะรู้ตัวว่ากำลังถูกโจมตี ความล่าช้านั้นมีความสำคัญอย่างยิ่งในที่นี้: หากเหยื่อไม่รู้ว่าผู้โจมตีได้ขโมยข้อมูลออกไปหลายสัปดาห์ก่อนปล่อยแรนซัมแวร์ การจ่ายเงินเพื่อปลดล็อกไฟล์ไม่ได้ช่วยอะไรกับข้อมูลที่ถูกขโมยซึ่งอยู่บนเซิร์ฟเวอร์ของอาชญากร ซึ่งสามารถนำไปสร้างรายได้อีกครั้งผ่านข้อเรียกร้องครั้งที่สอง ขายแยกต่างหาก หรือใช้ขู่จะรั่วไหลอีกในภายหลัง

ขั้นตอนการป้องกัน: การสำรองข้อมูล การเฝ้าระวัง และการวางแผนรับมือเหตุการณ์

ข้อสรุปเชิงปฏิบัติจากรายงานของ Proofpoint ไม่ใช่ห้ามจ่ายค่าไถ่ไม่ว่ากรณีใดๆ แต่เป็นการที่การจ่ายเงินไม่ควรถูกมองว่าเป็นการแก้ปัญหาที่แน่นอนเด็ดขาด องค์กรและบุคคลที่จัดการเครือข่ายหรือธุรกิจขนาดเล็ก จะได้รับประโยชน์มากกว่าจากการลงทุนป้องกันและตรวจจับต้นน้ำ มากกว่าการเจรจาต่อรองปลายน้ำ

นั่นหมายถึงการรักษาการสำรองข้อมูลแบบออฟไลน์ที่ผ่านการทดสอบอย่างสม่ำเสมอ เพื่อให้สามารถกู้คืนไฟล์ที่ถูกเข้ารหัสได้โดยไม่ต้องจ่ายเงินให้ใคร หมายถึงการลงทุนในเครื่องมือเฝ้าระวังที่สามารถตรวจจับการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาตก่อนที่ผู้โจมตีจะมีเวลาขโมยข้อมูลสำคัญจำนวนมาก และหมายถึงการมีแผนรับมือเหตุการณ์ที่เตรียมไว้ก่อนที่การโจมตีจะเกิดขึ้น แผนนั้นต้องรวมถึงการสืบสวนทางนิติวิทยาศาสตร์เพื่อระบุว่ามีสิ่งใดถูกเข้าถึงบ้าง ไม่ใช่เพียงแค่ว่าไฟล์ถูกเข้ารหัสหรือไม่

สิ่งนี้หมายถึงอะไรสำหรับคุณ

สำหรับเจ้าของธุรกิจขนาดเล็กและบุคคลทั่วไป ข้อความจากงานวิจัยนี้ชัดเจน: อย่าคิดว่าการจ่ายค่าไถ่คือทางออกที่รวดเร็วและสะอาดอย่างที่เห็นในชั่วขณะนั้น ผู้โจมตีที่พิสูจน์แล้วว่าพวกเขาเต็มใจขู่กรรโชกคุณครั้งหนึ่ง มีทั้งหนทางและแรงจูงใจที่จะทำอีกครั้ง การป้องกันที่แท้จริงต่อการโจมตีแรนซัมแวร์กรรโชกซ้ำไม่ใช่กลยุทธ์การเจรจาต่อรองที่ดีกว่า แต่อยู่ที่การลดโอกาสที่คุณจะตกไปอยู่ในสถานการณ์นั้นตั้งแต่แรก ด้วยการสำรองข้อมูลที่แข็งแกร่ง ตรวจจับที่เร็วขึ้น และแผนรับมือที่ชัดเจน

ข้อเสนอแนะที่นำไปปฏิบัติได้

  • ปฏิบัติต่อการจ่ายค่าไถ่เป็นทางเลือกสุดท้าย ไม่ใช่วิธีแก้ไขที่รับประกันผล เพราะข้อมูลจาก Proofpoint แสดงให้เห็นว่าผู้โจมตีมักกลับมาพร้อมข้อเรียกร้องใหม่
  • ให้ความสำคัญกับการสำรองข้อมูลแบบออฟไลน์ที่ผ่านการทดสอบแล้ว เพื่อให้การเข้ารหัสเพียงอย่างเดียวไม่สามารถบีบให้คุณต้องตัดสินใจจ่าย
  • ลงทุนในเครื่องมือตรวจจับที่สามารถจับการขโมยข้อมูลตั้งแต่เนิ่นๆ เนื่องจากการตรวจจับที่ล่าช้าจะเพิ่มอำนาจต่อรองให้ผู้โจมตีสำหรับการขู่กรรโชกซ้ำ
  • สร้างแผนรับมือเหตุการณ์ก่อนที่การโจมตีจะเกิดขึ้น รวมถึงขั้นตอนทางนิติวิทยาศาสตร์เพื่อระบุขอบเขตทั้งหมดของการบุกรุก
  • สันนิษฐานไว้ก่อนว่าข้อมูลใดก็ตามที่ถูกขโมยก่อนจ่ายค่าไถ่จะยังคงเป็นความเสี่ยงในอนาคต ไม่ว่าผู้โจมตีจะสัญญาอะไรก็ตาม