การสืบสวนอาชญากรรมไซเบอร์ได้เชื่อมโยงผู้ดูแลระบบของแรนซัมแวร์ Qilin กับ Aleksey Mikhailovich Yakovtsev ชายวัย 36 ปีที่อาศัยอยู่ในเซนต์ปีเตอร์สเบิร์ก ประเทศรัสเซีย การระบุตัวผู้ดูแลระบบแรนซัมแวร์ Qilin ด้วยชื่อ อายุ และเมือง ถือเป็นการเปิดโปงที่หาได้ยากในโลกของอาชญากรรมไซเบอร์ที่ผู้ปฏิบัติการมักซ่อนตัวอยู่เบื้องหลังนามแฝง นอกจากนี้ยังraiseคำถามในทางปฏิบัติว่า การเปิดเผยชื่อมีความหมายอย่างไรต่อเหยื่อ และประชาชนทั่วไปรวมถึงองค์กรขนาดเล็กสามารถทำอะไรได้บ้างเกี่ยวกับการกรรโชกทรัพย์จากการขโมยข้อมูล
ก่อนอื่นขอเตือนไว้ก่อน การรายงานจนถึงขณะนี้ยังมีไม่มาก และรายละเอียดมาจากผลการสืบสวนมากกว่าคำพิพากษาของศาล การเชื่อมโยงนี้ควรอ่านในฐานะการระบุตัวตน ไม่ใช่ข้อสรุปทางกฎหมายที่พิสูจน์แล้ว
ระบุตัวผู้ดูแลระบบแรนซัมแวร์ Qilin ได้แล้ว: การสืบสวนชี้ไปที่ใคร
ตามบทความ การสืบสวนเชื่อมโยงผู้ดูแลระบบของ Qilin กับ Aleksey Mikhailovich Yakovtsev ซึ่งอายุ 36 ปีและอาศัยอยู่ในเซนต์ปีเตอร์สเบิร์ก ประเทศรัสเซีย นั่นคือขอบเขตทั้งหมดของสิ่งที่แหล่งข่าวยืนยันได้ ไม่ได้อธิบายว่าผู้สืบสวนมาถึงข้อสรุปนี้ได้อย่างไร มีหลักฐานใดสนับสนุน หรือมีหน่วยงานบังคับใช้กฎหมายใดได้ดำเนินการหรือไม่
ช่องว่างนั้นสำคัญ การระบุตัวตนในอาชญากรรมไซเบอร์มักสร้างขึ้นจากส่วนผสมของการแชทที่รั่วไหล ร่องรอยโครงสร้างพื้นฐาน และความผิดพลาดในการปฏิบัติการ โดยความแข็งแกร่งของแต่ละข้อเชื่อมโยงนั้นแตกต่างกัน จนกว่าจะมีการเผยแพร่เพิ่มเติมหรือหน่วยงานยืนยันการค้นพบ ควรถือชื่อนี้เป็นข้อกล่าวอ้างที่มีการรายงาน ควรติดตามเพื่ออัปเดต แต่ไม่ใช่สิ่งที่ควรถือเป็นข้อสรุปที่แน่นอน
กลุ่มแรนซัมแวร์อย่าง Qilin โจมตีเหยื่ออย่างไร
บทความต้นฉบับไม่ได้ให้รายละเอียดเกี่ยวกับวิธีการของ Qilin ดังนั้นจึงเป็นประโยชน์ที่จะอธิบายว่าการกรรโชกทรัพย์ด้วยแรนซัมแวร์สมัยใหม่โดยทั่วไปทำงานอย่างไร หลายกลุ่มไม่ได้พึ่งพาการล็อกไฟล์เพียงอย่างเดียวอีกต่อไป พวกเขาคัดลอกข้อมูลที่ละเอียดอ่อนออกจากเครือข่ายของเหยื่อก่อน จากนั้นเข้ารหัสระบบ แล้วกดดันเหยื่อด้วยภัยคุกคามสองอย่าง: จ่ายเงินเพื่อรับคีย์ถอดรหัส และจ่ายเงินเพื่อหยุดไม่ให้ข้อมูลที่ถูกขโมยถูกเผยแพร่บนเว็บไซต์รั่วไหล
รูปแบบการกรรโชกสองชั้นนี้เป็นเหตุผลที่การสำรองข้อมูลเพียงอย่างเดียวไม่ใช่การป้องกันที่สมบูรณ์ แม้ว่าองค์กรจะกู้คืนทุกอย่างจากสำเนาที่สะอาด ข้อมูลที่ถูกขโมยก็ยังอยู่ในมือของอาชญากร ลูกค้า ผู้ป่วย พนักงาน และพันธมิตรอาจตกอยู่ในความเสี่ยงแม้ว่าพวกเขาจะไม่เคยมีปฏิสัมพันธ์กับผู้โจมตีเลยก็ตาม
การดำเนินการแรนซัมแวร์จำนวนมากยังทำงานในรูปแบบบริการ ทีมหลักดูแลมัลแวร์และโครงสร้างพื้นฐาน ขณะที่ภาคีดำเนินการบุกรุก หากคุณต้องการดูตัวอย่างว่าการแบ่งหน้าที่แรงงานนี้เป็นอย่างไรจากภายใน รายงานของเราเกี่ยวกับเซิร์ฟเวอร์เปิดที่เชื่อมโยงกับภาคีแรนซัมแวร์ INC และ The Gentlemen เสนอมุมมองที่หาได้ยากเกี่ยวกับวิธีที่อาชญากรทำงานในแต่ละวันจริงๆ
การเปิดโปงเปลี่ยนแปลงและไม่เปลี่ยนแปลงอะไรบ้าง
การระบุชื่อและเมืองของผู้ดูแลระบบอาจมีความหมาย แต่ไม่ค่อยยุติการดำเนินการได้ด้วยตัวเอง นี่คือมุมมองที่สมจริงเกี่ยวกับผลกระทบ
สิ่งที่它可以เปลี่ยนแปลงได้:
- เพิ่มความเสี่ยงส่วนบุคคลสำหรับผู้ที่ถูกระบุชื่อ รวมถึงข้อจำกัดในการเดินทาง มาตรการลงโทษ หรือความสนใจจากฝ่ายสืบสวน
- อาจทำให้ภาคีและพันธมิตรระมัดระวังมากขึ้นในการไว้ใจการดำเนินการ
- มอบเบาะแสอีกเส้นให้กับผู้ป้องกันและผู้สืบสวนในการติดตามโครงสร้างพื้นฐานและกระแสเงิน
สิ่งที่มักไม่เปลี่ยนแปลง:
- เหยื่อที่มีอยู่ไม่ได้รับการช่วยเหลือโดยอัตโนมัติ ข้อมูลที่ถูกขโมยและรั่วไหลแล้วก็ยังรั่วไหลอยู่
- มัลแวร์และกลยุทธ์ไม่ได้หายไป ภาคี เครื่องมือ และเพลย์บุ๊กสามารถย้ายไปยังแบรนด์อื่นได้
- บุคคลที่อาศัยอยู่ในรัสเซียอาจเป็นเรื่องยากสำหรับหน่วยงานต่างประเทศที่จะเข้าถึง ดังนั้นการจับกุมจึงไม่ได้รับการรับประกัน บทความไม่ได้รายงานการจับกุมใดๆ
กล่าวโดยสรุป การระบุตัวตนเป็นจุดกดดัน ไม่ใช่การปิดระบบ การป้องกันของคุณไม่ควรขึ้นอยู่กับกลุ่มใดกลุ่มหนึ่งหายไป
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
คนส่วนใหญ่จะไม่เคยเป็นเป้าหมายโดยตรงของการเจรจาของกลุ่มแรนซัมแวร์ แต่หลายคนจะได้รับผลกระทบจากมัน ข้อมูลของคุณอยู่ในโรงพยาบาล ผู้ค้าปลีก นายจ้าง โรงเรียน และผู้ให้บริการ เมื่อหนึ่งในนั้นถูกโจมตีด้วยการกรรโชกทรัพย์จากการขโมยข้อมูล ข้อมูลของคุณอาจไปอยู่ในเว็บไซต์รั่วไหล
นั่นหมายความว่าสองสิ่ง ประการแรก คุณไม่สามารถควบคุมได้อย่างเต็มที่ว่าบริษัทที่คุณใช้บริการจะถูกบุกรุกหรือไม่ ประการที่สอง คุณสามารถควบคุมได้ว่าข้อมูลที่ถูกขโมยจะสร้างความเสียหายให้คุณมากน้อยเพียงใด รหัสผ่านที่ไม่ซ้ำกัน การยืนยันตัวตนหลายปัจจัย และการจัดการข้อความที่ไม่คาดคิดอย่างระมัดระวัง ล้วนจำกัดสิ่งที่ผู้โจมตีสามารถทำได้กับรายละเอียดที่รั่วไหล หากคุณดำเนินธุรกิจขนาดเล็กหรือจัดการอุปกรณ์ในครัวเรือน หลักการพื้นฐานเดียวกันนี้ใช้กับระบบของคุณเอง
ขั้นตอนปฏิบัติเพื่อลดความเสี่ยงต่อแรนซัมแวร์
ไม่มีขั้นตอนใดแปลกพิเศษ และเมื่อรวมกันแล้วจะลดความเสี่ยงได้อย่างมีนัยสำคัญ
- เก็บสำรองข้อมูลแบบออฟไลน์หรือไม่สามารถแก้ไขได้ เก็บอย่างน้อยหนึ่งสำเนาที่ตัดการเชื่อมต่อจากเครือข่ายของคุณ เพื่อให้แรนซัมแวร์ไม่สามารถเข้ารหัสได้ ทดสอบการกู้คืนจากสำเนานั้นเป็นระยะ
- เปิดใช้การยืนยันตัวตนหลายปัจจัย ให้ความสำคัญกับอีเมล ธนาคาร พื้นที่เก็บข้อมูลบนคลาวด์ และเครื่องมือเข้าถึงระยะไกลใดๆ เลือกใช้แอปยืนยันตัวตนหรือฮาร์ดแวร์คีย์แทน SMS เมื่อเป็นไปได้
- ใช้ตัวจัดการรหัสผ่านและรหัสผ่านที่ไม่ซ้ำกัน หากบริการหนึ่งรั่วไหล ข้อมูลรับรองที่ใช้ซ้ำไม่ควรปลดล็อกบัญชีอื่นๆ ของคุณ
- แพตช์อย่างทันท่วงที อัปเดตระบบปฏิบัติการ เบราว์เซอร์ เราเตอร์ และซอฟต์แวร์ธุรกิจทันทีที่มีการแก้ไข
- ระแวงข้อความที่ไม่พึงประสงค์ ฟิชชิ่งยังคงเป็นช่องทางทั่วไปในการเข้าสู่เครือข่าย ตรวจสอบคำขอที่ไม่คาดคิดผ่านช่องทางอื่น
- จำกัดสิ่งที่คุณเก็บและแบ่งปัน ข้อมูลที่คุณไม่ต้องการแล้วคือข้อมูลที่ไม่สามารถถูกขโมยได้ ลบไฟล์เก่าและปิดบัญชีที่ไม่ได้ใช้
- ปกป้องการสื่อสารที่ละเอียดอ่อน ใช้การส่งข้อความแบบเข้ารหัสจากต้นทางถึงปลายทางสำหรับการสนทนาส่วนตัว และใช้ VPN ที่เชื่อถือได้บนเครือข่ายที่ไม่น่าเชื่อถือ เช่น Wi-Fi สาธารณะ VPN ไม่ได้หยุดแรนซัมแวร์ แต่ลดการเปิดเผยต่อการสอดแนมบนการเชื่อมต่อ
บทสรุป
ผู้ดูแลระบบแรนซัมแวร์ Qilin ที่ถูกระบุในการสืบสวนนี้เป็นการพัฒนาที่น่าสนใจ แต่การรายงานยังบางและผลกระทบในทางปฏิบัติต่อเหยื่อยังจำกัด การกรรโชกทรัพย์ด้วยแรนซัมแวร์ขึ้นอยู่กับข้อมูลที่ถูกขโมย การควบคุมการเข้าถึงที่อ่อนแอ และเป้าหมายที่ unprepared และเงื่อนไขเหล่านี้ยังคงอยู่ไม่ว่าใครจะอยู่เบื้องหลังแบรนด์ใดก็ตาม
ใช้ช่วงเวลานี้เพื่อเสริมความแข็งแกร่งให้กับการตั้งค่าของคุณเอง: สำรองข้อมูลออฟไลน์ เปิดใช้ MFA บนบัญชีสำคัญของคุณ และย้ายการสนทนาส่วนตัวไปยังช่องทางที่เข้ารหัส สำหรับอีกมุมมองที่หาได้ยากเกี่ยวกับวิธีที่ภาคีแรนซัมแวร์ปฏิบัติการ โปรดอ่านรายงานของเราเกี่ยวกับการค้นพบเซิร์ฟเวอร์เปิดของ SOCRadar ที่เชื่อมโยงกับการโจมตีของ INC และ The Gentlemen และกลับมาตรวจสอบที่นี่สำหรับการอัปเดตหากการระบุตัวตน Qilin ได้รับการยืนยันหรือถูกโต้แย้ง
