มุมใหม่ของแผนขู่กรรโชกแบบเก่า

การถูกโจมตีด้วยแรนซัมแวร์ก็เครียดพออยู่แล้ว กลับมีนักล่ารายที่สองเข้ามาเพิ่มอีก ตามรายงานข่าวล่าสุด ผู้กระทำภัยที่ใช้ชื่อว่า "Ransom Busters" กำลังตกเป็นเป้าหมายองค์กรที่ตกเป็นเหยื่อแรนซัมแวร์ไปแล้ว โดยครั้งนี้ปลอมตัวเป็นบริการกู้คืนข้อมูล ผู้กระทำภัยอ้างว่าสามารถกู้คืนไฟล์ที่ถูกเข้ารหัสได้ เสนอสิ่งที่ดูเหมือนทางรอดให้บริษัทที่สิ้นหวังอยากได้ข้อมูลคืนโดยไม่ต้องจ่ายค่าไถ่

แต่ข้อเสนอนี้ไม่ได้เป็นอย่างที่เห็น ตามรายงาน Ransom Busters ไม่ได้ทำหน้าที่เป็นบริษัทกู้คืนข้อมูลอิสระ แต่กลับเชื่อมโยงกับปฏิบัติการแรนซัมแวร์เสียเอง โดยทำหน้าที่เป็นพันธมิตรที่ทำกำไรจากการโจมตีที่อ้างว่าจะช่วยแก้ไขนั่นเอง สำหรับเหยื่อที่กำลังเผชิญกับความโกลาหลจากการถูกละเมิดข้อมูลอยู่แล้ว การหลอกลวงแบบนี้เพิ่มความเสี่ยงใหม่ที่เป็นอันตรายซ้อนทับสถานการณ์ที่ยากลำบากอยู่แล้ว

ข้อเสนอการกู้คืนข้อมูลหลอกลวงทำงานอย่างไร

แก่นของแผนการนี้อาศัยความไว้วางใจและความเร่งด่วน สองสิ่งที่เหยื่อแรนซัมแวร์มีไม่มากนัก เมื่อระบบของบริษัทถูกล็อกและไฟล์ถูกเข้ารหัส ผู้มีอำนาจตัดสินใจมักจะพยายามหาหนทางกู้คืนที่可行ได้อย่างสุดความสามารถ กลุ่มที่นำเสนอตัวเองเป็นผู้เชี่ยวชาญด้านการกู้คืนข้อมูล โดยเฉพาะกลุ่มที่ดูเหมือนจะรู้ข้อมูลภายในเกี่ยวกับการโจมตี อาจดูเหมือนเป็นทางเลือกที่น่าเชื่อถือ

ความน่าเชื่อถือที่รับรู้นี้คือกับดัก ตามรายละเอียดในความคุ้มครองก่อนหน้านี้เกี่ยวกับแผนการของ Ransom Busters ผู้กระทำภัยดูเหมือนจะใช้ตำแหน่งของตนในฐานะพันธมิตรแรนซัมแวร์เพื่อสอดแทรกเข้าไปในกระบวนการเจรจา เบี่ยงเบนเหยื่อไปสู่การจ่ายเงินที่ท้ายที่สุดแล้วเป็นประโยชน์ต่อระบบนิเวศอาชญากรรมเดียวกันที่ก่อเหตุโจมตีครั้งแรก แทนที่จะเป็นบุคคลที่สามอิสระที่ทำงานเพื่อลดความเสียหาย เหยื่ออาจกำลังเผชิญกับแขนงหนึ่งของฝ่ายโจมตีที่ถูกเปลี่ยนชื่อใหม่ แต่งตัวให้ดูเหมือนทางแก้ไข而不是การต่อเนื่องของปัญหา

กลวิธีนี้ใช้ประโยชน์จากช่องว่างจริงในภูมิทัศน์การตอบสนองต่อแรนซัมแวร์ บริษัทตอบสนองเหตุการณ์และกู้คืนข้อมูลที่ถูกกฎหมายมีอยู่จริง และองค์กรที่สิ้นหวังมักหันไปหาความช่วยเหลือจากภายนอกเมื่อทีมไอทีภายในรับมือไม่ไหว Ransom Busters ดูเหมือนจะใช้ประโยชน์จากความต้องการที่ถูกต้องตามกฎหมายนั้น ใช้เป็นฉากบังหน้าเพื่อรีดเงินจากเหยื่อที่เชื่อว่ากำลังเจรจากับฝ่ายที่เป็นกลาง

ทำไมเรื่องนี้ถึงสำคัญต่อความเป็นส่วนตัวของข้อมูล

นอกเหนือจากความเสี่ยงทางการเงินในทันที แผนการอย่าง Ransom Busters ก่อให้เกิดความกังวลด้านความเป็นส่วนตัวอย่างรุนแรง การโจมตีด้วยแรนซัมแวร์มักเกี่ยวข้องกับการขโมยข้อมูลควบคู่ไปกับการเข้ารหัส หมายความว่าข้อมูลลูกค้าที่ละเอียดอ่อน ข้อมูลพนักงาน และการสื่อสารภายในอาจตกไปอยู่ในมือของผู้โจมตีแล้ว เมื่อองค์กรเหยื่อติดต่อกับบริการกู้คืนข้อมูลปลอม อาจเป็นการส่งมอบข้อมูลเพิ่มเติมอีก รวมถึงรายละเอียดเกี่ยวกับเครือข่าย ข้อมูล และความเต็มใจที่จะจ่ายเงิน ซึ่งทั้งหมดสามารถใช้กดดันให้มากขึ้นหรือขายการเข้าถึงต่อให้กลุ่มอาชญากรอื่น

นอกจากนี้ยังมีปัญหาความไว้วางใจที่ทับถมกัน เหยื่อแรนซัมแวร์ต้องกังวลอยู่แล้วว่าผู้โจมตีจะรักษาสัญญาที่จะลบข้อมูลที่ขโมยไปหลังจ่ายค่าไถ่หรือไม่ ซึ่งเป็นการรับประกันที่ไม่เคยน่าเชื่อถือตั้งแต่แรก การเพิ่มบริการกู้คืนข้อมูลปลอมซ้อนทับบนพลวัตนั้นหมายความว่าเหยื่อต้องตรวจสอบไม่เพียงแต่คำกล่าวอ้างของผู้โจมตี แต่ยังต้องตรวจสอบความน่าเชื่อถือของใครก็ตามที่เสนอความช่วยเหลือ ในช่วงเวลาที่พวกเขามีความพร้อมน้อยที่สุดในการทำการตรวจสอบอย่างรอบคอบแบบนั้น

สิ่งนี้หมายถึงอะไรสำหรับคุณ

หากองค์กรของคุณเคยตกเป็นเหยื่อแรนซัมแวร์ แรงกดดันให้หาทางแก้ไขที่รวดเร็วอาจทำให้การตัดสินใจมืดมนลง กรณี Ransom Busters เป็นเครื่องเตือนใจว่าไม่ใช่ทุกข้อเสนอความช่วยเหลือจะจริงใจ แม้แต่ข้อเสนอที่ดูเหมือนมาจากภายนอกการโจมตีเองก็ตาม ก่อนติดต่อบริการกู้คืนข้อมูลใด ๆ ตรวจสอบตัวตนของบริการนั้นอย่างอิสระ ตรวจสอบประวัติธุรกิจที่ตรวจสอบได้ และให้ผู้เชี่ยวชาญตอบสนองเหตุการณ์หรือหน่วยงานบังคับใช้กฎหมายที่เชื่อถือได้เข้ามามีส่วนร่วม แทนที่จะพึ่งพาเพียงการติดต่อที่ไม่ได้ร้องขอซึ่งเกิดขึ้นระหว่างหรือหลังการโจมตีทันที

นี่ยังเน้นย้ำบทเรียนด้านความเป็นส่วนตัวในวงกว้างที่ใช้ได้เกินกว่าแค่แรนซัมแวร์ ยิ่งองค์กรจัดเก็บหรือเปิดเผยข้อมูลที่ละเอียดอ่อนโดยไม่จำเป็นน้อยเท่าไร องค์กรก็ยิ่งเป็นเป้าหมายที่เล็กลงเท่านั้น แนวทางการสำรองข้อมูลที่แข็งแกร่ง การแบ่งส่วนเครือข่าย และแผนตอบสนองเหตุการณ์ที่ชัดเจนช่วยลดอำนาจต่อรองที่ผู้โจมตี และดูเหมือนว่าตอนนี้รวมถึงผู้แสดงที่แอบอ้างเป็นผู้กู้คืนข้อมูล มีเหนือเหยื่อตั้งแต่แรก

ข้อปฏิบัติที่นำไปใช้ได้จริง

  • มองข้อเสนอการกู้คืนข้อมูลที่ไม่ได้ร้องขอด้วยความระแวง โดยเฉพาะข้อเสนอที่ผุดขึ้นทันทีหลังเหตุการณ์แรนซัมแวร์
  • ตรวจสอบบริษัทตอบสนองเหตุการณ์หรือกู้คืนข้อมูลใด ๆ ผ่านช่องทางอิสระก่อนแบ่งปันรายละเอียดเครือข่ายหรือชำระเงิน
  • ให้หน่วยงานบังคับใช้กฎหมายและผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยไซเบอร์ที่จัดตั้งแล้วเข้ามามีส่วนร่วม แทนที่จะเจรจาตามลำพังกับฝ่ายที่ไม่รู้จัก
  • รักษาการสำรองข้อมูลนอกเครือข่ายที่ผ่านการทดสอบ เพื่อให้การกู้คืนไม่ต้องพึ่งพาการไว้วางใจผู้โจมตีหรือคนกลาง
  • ติดตามกลวิธีแรนซัมแวร์ที่เปลี่ยนแปลงอยู่เสมอ เนื่องจากแผนการอย่าง Ransom Busters แสดงให้เห็นว่าวิธีขู่กรรโชกสามารถปรับตัวได้เร็วเพียงใด

แรนซัมแวร์ยังคงเป็นภัยคุกคามร้ายแรง และกลโกงอย่าง Ransom Busters แสดงให้เห็นว่าอันตรายไม่ได้จบลงเสมอไปเมื่อการโจมตีครั้งแรกสิ้นสุดลง การคงความระมัดระวัง ตรวจสอบทุกคำกล่าวอ้าง และพึ่งพาทรัพยากรด้านความมั่นคงปลอดภัยที่เชื่อถือได้ เป็นการป้องกันที่ดีที่สุดต่อการตกเป็นเหยื่อสองครั้ง