กลุ่มที่เรียกตัวเองว่า แรนซัม บัสเตอร์ กำลังพุ่งเป้าไปที่กลุ่มคนที่เพิ่งเจอสัปดาห์ที่เลวร้ายมาแล้ว นั่นคือเหยื่อแรนซัมแวร์ ตามรายงานเกี่ยวกับกิจกรรมของกลุ่มนี้ แรนซัม บัสเตอร์ อ้างว่าได้แฮกเข้าไปในเซิร์ฟเวอร์ของผู้ให้บริการแรนซัมแวร์เอง และตอนนี้เสนอข้อตกลงให้เหยื่อ: จ่ายเงินระหว่าง 20,000 ถึง 60,000 ดอลลาร์ แล้วกลุ่มจะช่วยกู้คืนไฟล์ที่ถูกเข้ารหัสและลบข้อมูลที่ถูกขโมยไป ฟังดูเหมือนเส้นชีวิต แต่มันมีแนวโน้มสูงที่จะเป็นการขู่กรรโชกครั้งที่สองที่แสร้งทำเป็นหน่วยกู้ภัย

เรื่องนี้สำคัญเพราะมันเผยให้เห็นปัญหาที่กำลังเติบโตในระบบนิเวศแรนซัมแวร์: หลังจากองค์กรถูกโจมตีครั้งหนึ่งแล้ว มันจะกลายเป็นเป้าหมายของผู้ฉวยโอกาสที่ใช้ประโยชน์จากความโกลาหล ความกลัว และความเร่งด่วนที่ตามมาหลังการละเมิด การทำความเข้าใจว่ากลลวงกู้ข้อมูลแรนซัมแวร์ปลอมนี้ทำงานอย่างไร และจะแยกแยะความช่วยเหลือจริงจากมิจฉาชีพได้อย่างไร เป็นสิ่งจำเป็นสำหรับองค์กรใดก็ตามที่พบตัวเองอยู่ในฝั่งผู้เสียหายจากการโจมตี

สิ่งที่แรนซัม บัสเตอร์อ้างว่าจะนำเสนอ

ตามรายงาน แรนซัม บัสเตอร์ นำเสนอตัวเองเป็นบุคคลภายนอกที่เจาะระบบโครงสร้างพื้นฐานที่ใช้โดยแก๊งแรนซัมแวร์ได้สำเร็จ ข้อเสนอฟังดูตรงไปตรงมา: กลุ่มบอกว่าสามารถนำความสามารถในการถอดรหัสหรือไฟล์ที่ถูกขโมยกลับคืนมาได้ และสามารถรับประกันได้ว่าข้อมูลที่ถูกนำไประหว่างการโจมตีครั้งแรกจะถูกลบแทนที่จะรั่วไหลออกไป เพื่อแลกกับสิ่งนี้ เหยื่อจะถูกขอให้จ่ายค่าธรรมเนียมตั้งแต่ 20,000 ถึง 60,000 ดอลลาร์ ซึ่งเป็นจำนวนเงินที่มากสำหรับองค์กรที่อาจกำลังทรุดโทรมจากการสูญเสียการดำเนินงาน เวลาหยุดทำงาน หรือค่าไถ่ครั้งแรกอยู่แล้ว

เมื่อมองผ่าน ๆ กรอบการนำเสนอนี้ยืมความน่าเชื่อถือมาจากภาษาของการแฮกเชิงจริยธรรมและการวิจัยความปลอดภัยทางไซเบอร์ กลุ่มที่เจาะโครงสร้างพื้นฐานทางอาญาจริง ๆ มีอยู่จริง และหน่วยงานบังคับใช้กฎหมายก็เคยกู้คืนคีย์ถอดรหัสผ่านวิธีการคล้ายกันนี้เป็นครั้งคราว แต่ไม่มีการยืนยันจากบุคคลที่สามที่เกี่ยวข้องกับคำกล่าวอ้างของแรนซัม บัสเตอร์ และทั้งโมเดลนี้ตั้งอยู่บนการที่เหยื่อไว้ใจบุคคลที่สามที่ไม่เปิดเผยตัวตนด้วยเงิน หลังจากถูกเผาไปแล้วครั้งหนึ่ง

กลลวงขู่กรรโชกสองชั้นทำงานอย่างไร

กลไกที่นี่เรียบง่ายและได้ผลอย่างน่าหดหู่ เหยื่อแรนซัมแวร์อยู่ภายใต้ความกดดันอยู่แล้ว: ระบบล่ม ลูกค้าหรือหน่วยงานกำกับดูแลอาจกำลังตั้งคำถาม และผู้โจมตีเดิมกำลังเร่งเวลาให้นับถอยหลัง เข้าไปในความโกลาหลนั้นมีกลุ่มหนึ่งเสนอทางลัด วิธีที่จะทำให้ปัญหาหายไปด้วยค่าธรรมเนียมที่อาจดูเล็กน้อยเมื่อเทียบกับค่าไถ่หรือต้นทุนของการหยุดทำงานเป็นเวลานาน

นี่คือการขู่กรรโชกครั้งที่สองที่ซ้อนอยู่บนครั้งแรกจริง ๆ ไม่ว่าแรนซัม บัสเตอร์จะเข้าถึงโครงสร้างพื้นฐานแรนซัมแวร์ได้จริงหรือไม่ โครงสร้างแรงจูงใจก็เหมือนกับการโจมตีครั้งแรกทุกประการ: จ่ายเงินให้กับบุคคลที่ไม่ผ่านการตรวจสอบเพื่อแลกกับคำสัญญา เหยื่อไม่มีทางยืนยันได้ว่าไฟล์จะถูกกู้คืนจริง ข้อมูลที่ถูกขโมยจะถูกลบจริง หรือพวกเขาจะไม่ถูกขู่กรรโชกครั้งที่สามในภายหลัง รูปแบบนี้สะท้อนแผนการที่เคยเห็นในเหตุการณ์ที่ขับเคลื่อนด้วยการขู่กรรโชกอื่น ๆ รวมถึงกรณีที่กลุ่มอย่าง ShinyHunters ตั้งกำหนดเวลาเผยแพร่ข้อมูลต่อสาธารณะเพื่อกดดันเหยื่อ ดังที่เห็นใน การละเมิด ShinyHunters ที่ส่งผลต่ออีเมลของ Inter-Con Security และ คำกล่าวอ้างข้อมูล Kodak ที่เชื่อมโยงกับกำหนดเวลาเผยแพร่

การตรวจสอบบริการกู้ข้อมูลที่ถูกกฎหมายกับกลลวง

การเพิ่มขึ้นของข้อเสนอกู้ข้อมูลปลอมทำให้การตรวจสอบเป็นทักษะที่สำคัญสำหรับองค์กรใดก็ตามที่จัดการกับเหตุการณ์ การตรวจสอบเชิงปฏิบัติสองสามอย่างสามารถแยกความช่วยเหลือที่ถูกกฎหมายจากกลลวงได้ บริษัทตอบสนองต่อเหตุการณ์และผู้ติดต่อฝ่ายบังคับใช้กฎหมายที่ถูกกฎหมายสามารถตรวจสอบได้ผ่านช่องทางที่จัดตั้งขึ้น ใบอนุญาตวิชาชีพ เอกสารอ้างอิงกรณีก่อนหน้า และสัญญาจ้างที่เป็นทางการ พวกเขามักจะไม่ปรากฏตัวโดยไม่ได้รับการร้องขอพร้อมป้ายราคาคงที่และการอ้างว่าเจาะเซิร์ฟเวอร์ของผู้โจมตีด้วยตัวเอง

องค์กรควรตั้งข้อกังขากับการติดต่อที่ไม่ได้รับการร้องขอหลังเหตุการณ์แรนซัมแวร์ ไม่ว่าจะอ้างว่าเป็นบริการกู้ข้อมูล นักข่าว หรือแม้แต่เหยื่อรายอื่นที่เสนอจะแบ่งปันข้อมูล ผู้โจมตีและผู้ฉวยโอกาสต่างรู้ดีว่าบริษัทที่ถูกละเมิดกำลังว้าวุ่นและวิตกกังวล ซึ่งทำให้มันเป็นเป้าหมายอ่อนแอสำหรับการบิดเบือนเพิ่มเติม การให้ผู้ให้บริการตอบสนองต่อเหตุการณ์ที่รู้จักและผ่านการตรวจสอบแล้วเข้ามาเกี่ยวข้อง และแจ้งหน่วยงานบังคับใช้กฎหมาย ยังคงเป็นเส้นทางที่ปลอดภัยกว่าเมื่อเทียบกับการมีปฏิสัมพันธ์กับกลุ่มนิรนามที่กล่าวอ้างอย่างกล้าหาญผ่านแชทที่เข้ารหัสหรือฟอรัมเว็บมืด

ทำไมการสำรองข้อมูลจึงดีกว่าการจ่ายค่าไถ่ใด ๆ

การป้องกันที่ทนทานที่สุดต่อทั้งค่าไถ่แรนซัมแวร์เดิมและกลลวงตามมาอย่างแรนซัม บัสเตอร์นั้นง่ายมาก: การสำรองข้อมูลที่เชื่อถือได้และผ่านการทดสอบแล้ว หากสามารถกู้คืนไฟล์จากการสำรองข้อมูลที่สะอาดและออฟไลน์ได้ ก็ไม่มีเหตุผลที่จะเจรจากับผู้โจมตีเดิมหรือรับฟังบุคคลที่สามที่เสนอการกู้คืนแบบเสียเงิน สิ่งนี้กำจัดอำนาจต่อรองทั้งหมด

อุตสาหกรรมในวงกว้างกำลังเปลี่ยนไปในทิศทางนี้อยู่แล้ว ดังที่รายละเอียดในบทความเกี่ยวกับการจ่ายค่าไถ่แรนซัมแวร์ที่ลดลงทั่วอุตสาหกรรม องค์กรจำนวนน้อยลงที่เลือกจ่ายค่าไถ่เลย ซึ่งส่วนหนึ่งมาจากแนวทางปฏิบัติการสำรองข้อมูลที่ดีขึ้น และส่วนหนึ่งมาจากความตระหนักที่เพิ่มขึ้นว่าการจ่ายเงินไม่รับประกันผลลัพธ์ ภัยคุกคามที่เคลื่อนไหวเร็ว เช่น แรนซัมแวร์สายพันธุ์ Spirals ที่สามารถเข้ารหัสเครือข่ายได้ภายใน 24 ชั่วโมง ยังเน้นย้ำว่าทำไมการป้องกันและการตรวจจับอย่างรวดเร็วจึงสำคัญกว่าการเจรจาหลังเกิดเหตุ ไม่ว่าจะจริงหรือปลอม

สิ่งนี้หมายถึงอะไรสำหรับคุณ

หากองค์กรของคุณถูกแรนซัมแวร์โจมตี ให้ปฏิบัติต่อข้อเสนอการกู้ข้อมูลที่ไม่ได้รับการร้องข อใด ๆ รวมถึงจากกลุ่มอย่างแรนซัม บัสเตอร์ ด้วยความระแวงแบบเดียวกับที่คุณจะใช้กับผู้โจมตีเดิม การจ่ายเงินหลายพันดอลลาร์ให้กับบุคคลที่ไม่ผ่านการตรวจสอบโดยอ้างว่าแฮกเซิร์ฟเวอร์ได้คือการพนันที่ไม่มีหลักประกันบังคับใช้ใด ๆ เส้นทางที่ปลอดภัยและน่าเชื่อถือกว่าคือการรักษาการสำรองข้อมูลออฟไลน์ จ้างผู้เชี่ยวชาญตอบสนองต่อเหตุการณ์ที่ผ่านการตรวจสอบ และรายงานเหตุการณ์ต่อหน่วยงานบังคับใช้กฎหมาย แทนที่จะเจรจาในความมืด

ข้อคิดสำคัญ

  • ปฏิบัติต่อข้อเสนอการกู้ข้อมูลแรนซัมแวร์ที่ไม่ได้รับการร้องขอใด ๆ ว่าเป็นกลลวงที่มีศักยภาพ จนกว่าจะได้รับการตรวจสอบโดยอิสระ
  • อย่าส่งเงินให้บุคคลที่สามที่อ้างว่าสามารถเข้าถึงเซิร์ฟเวอร์ได้โดยไม่มีหลักฐานเป็นเอกสารและข้อตกลงการจ้างที่เป็นทางการ
  • รักษาการสำรองข้อมูลออฟไลน์ที่ผ่านการทดสอบเพื่อให้ค่าไถ่ ไม่ว่าจะจริงหรือปลอม สูญเสียอำนาจต่อรองทั้งหมด
  • รายงานเหตุการณ์แรนซัมแวร์ต่อหน่วยงานบังคับใช้กฎหมายและทำงานกับบริษัทตอบสนองต่อเหตุการณ์ที่จัดตั้งขึ้น แทนที่จะร่วมงานกับกลุ่มนิรนาม
  • จับตาดูแนวโน้มอุตสาหกรรม: เมื่อการจ่ายค่าไถ่แรนซัมแวร์ลดลงโดยรวม ผู้โจมตีและผู้ฉวยโอกาสกำลังปรับตัวด้วยกลวิธีอย่างข้อเสนอกู้ข้อมูลปลอม ดังนั้นจงตื่นตัวต่อรูปแบบใหม่ของกลวิธีกดดันแบบเดียวกัน