เมื่อข้อความเรียกค่าไถ่ปรากฏบนหน้าจอของบริษัท สัญชาตญาณมักจะมองว่าเป็นเหตุฉุกเฉินด้านไอที: แยกเครือข่าย เรียกทีมรักษาความปลอดภัย ประเมินความเสียหายต่อเซิร์ฟเวอร์ แต่แนวทางจำนวนมากขึ้นเรื่อยๆ ซึ่งล่าสุด Cyber Daily ได้ให้รายละเอียดไว้ในการวิเคราะห์การตัดสินใจเรื่องการรีดไถทางไซเบอร์ ทำให้เห็นชัดว่าการจ่ายหรือไม่จ่ายค่าไถ่นั้นเป็นมากกว่าทางเลือกทางเทคนิค มันคือการตัดสินใจทางกฎหมาย การเงิน และเหนืออื่นใดคือเรื่องความเป็นส่วนตัว ซึ่งกระทบถึงลูกค้า พนักงาน และคู่ค้าทุกคนที่มีข้อมูลอยู่ในระบบที่ถูกโจมตี

กับดักทางกฎหมายเบื้องหลังการตัดสินใจจ่ายค่าไถ่

หนึ่งในแง่มุมที่ถูกมองข้ามมากที่สุดของการรีดไถทางไซเบอร์คือ การจ่ายเงินให้อาชญากรนั้นไม่ได้ตรงไปตรงมาทางกฎหมายเสมอไป ขึ้นอยู่กับว่าใครอยู่เบื้องหลังการโจมตี การจ่ายค่าไถ่อาจทำให้องค์กรที่จ่ายเสี่ยงต่อการถูกมาตรการคว่ำบาตร โดยเฉพาะอย่างยิ่งเมื่อผู้ไม่หวังดีหรือโครงสร้างพื้นฐานของพวกเขาเชื่อมโยงกับหน่วยงานหรือเขตอำนาจที่ถูกคว่ำบาตร องค์กรที่เร่งจ่ายโดยไม่ผ่านการตรวจสอบทางกฎหมาย อาจต้องเผชิญการตรวจสอบจากหน่วยงานกำกับดูแลซ้ำเติมจากการโจมตีนั้นเอง ดังที่เราเคยรายงานไว้เกี่ยวกับวิธีที่ การจ่ายค่าไถ่แรนซัมแวร์เสี่ยงต่อการถูกมาตรการคว่ำบาตรจาก OFAC การตัดสินใจจ่ายไม่ได้อยู่ที่ว่าบริษัทมีเงินพอจ่ายตามที่เรียกร้องหรือไม่ แต่อยู่ที่ว่าการจ่ายนั้นถูกกฎหมายหรือไม่ และองค์กรได้ตรวจสอบอย่างรอบคอบเพียงพอแล้วหรือยัง

นี่คือเหตุผลที่การตอบสนองต่อการรีดไถทางไซเบอร์ไม่อาจเป็นหน้าที่ของฝ่ายไอทีเพียงลำพัง ที่ปรึกษากฎหมาย เจ้าหน้าที่กำกับดูแลการปฏิบัติตามกฎระเบียบ และบ่อยครั้งหน่วยงานบังคับใช้กฎหมายต้องเข้ามามีส่วนร่วมในการหารือตั้งแต่เนิ่นๆ ไม่ใช่ถูกเรียกเข้ามาหลังจากโอนเงินไปแล้ว

เหตุใดนี่คือปัญหาความเป็นส่วนตัว ไม่ใช่แค่ปัญหาไอที

แรนซัมแวร์เคยเป็นเรื่องการล็อกไฟล์เป็นหลัก แต่สิ่งนั้นเปลี่ยนไปแล้ว กลุ่มรีดไถสมัยใหม่ขโมยข้อมูลก่อนเข้ารหัสมากขึ้นเรื่อยๆ แล้วใช้การขู่ว่าจะเปิดเผยข้อมูลเป็นเครื่องต่อรอง การเปลี่ยนแปลงนั้นทำให้ทุกเหตุการณ์แรนซัมแวร์กลายเป็นเหตุการณ์ละเมิดข้อมูลส่วนบุคคล ไม่ว่าระบบจะถูกกู้คืนได้ในท้ายที่สุดหรือไม่

เราได้เห็นวิวัฒนาการนี้เร่งตัวขึ้นแบบเรียลไทม์ บางกลุ่มได้ก้าวข้ามการข่มขู่องค์กรเหยื่อโดยตรง และตอนนี้ ขู่จะติดต่อลูกค้าของบริษัทเอง โดยสร้างแรงกดดันผ่านการมุ่งเป้าไปที่ผู้คนซึ่งข้อมูลส่วนบุคคลตกอยู่ในความเสี่ยง กลยุทธ์นี้เปลี่ยนสมการทั้งหมด: แม้แต่การจ่ายค่าไถ่เต็มจำนวนก็ไม่ได้รับประกันว่าข้อมูลลูกค้าที่ถูกขโมยจะไม่รั่วไหล ถูกขาย หรือถูกนำไปใช้รีดไถต่อ

องค์กรที่กำลังชั่งน้ำหนักข้อเรียกร้องค่าไถ่ต้องถามไม่เพียงแค่ "เรากู้ระบบคืนได้ไหม" แต่ต้องถามว่า "ไม่ว่าเราจะตัดสินใจอย่างไร จะเกิดอะไรขึ้นกับข้อมูลส่วนบุคคลของทุกคนในระบบของเรา" การจ่ายค่าไถ่อาจซื้อกุญแจถอดรหัสได้ แต่มันไม่ได้ลบล้างความจริงที่ว่าข้อมูลละเอียดอ่อนถูกเปิดเผยต่ออาชญากรตั้งแต่แรก

การจ่ายเงินไม่ได้รับประกันความปลอดภัย

แม้องค์กรจะจ่ายเงิน ก็ไม่มีหลักฐานที่น่าเชื่อถือว่ามันทำให้ปัญหาจบลง งานวิจัยจาก Proofpoint พบว่าบริษัทจำนวนมากที่จ่ายค่าไถ่ ต้องเผชิญกับความพยายามรีดไถซ้ำ บางครั้งจากผู้โจมตีกลุ่มเดิมที่กลับมาเรียกเงินอีกครั้ง ข้อมูลนี้บั่นทอนหนึ่งในเหตุผลที่พบบ่อยที่สุดของการจ่ายเงิน: ความเชื่อที่ว่ามันทำให้ปัญหาหายไป

บางองค์กรเลือกเส้นทางที่ต่างออกไปอย่างสิ้นเชิง Stadler Rail ผู้ผลิตรถไฟจากสวิตเซอร์แลนด์ ปฏิเสธข้อเรียกร้องค่าไถ่หลายล้านดอลลาร์อย่างเปิดเผย หลังจากผู้โจมตีขโมยข้อมูลผ่านผู้ให้บริการบุคคลที่สาม โดยเดิมพันว่าการปฏิเสธนั้นเสี่ยงน้อยกว่าการสร้างความชอบธรรมให้กับเศรษฐกิจรีดไถ ในขณะเดียวกัน ภูมิทัศน์ของแรนซัมแวร์ก็เปลี่ยนแปลงไม่หยุด บทสรุปอุตสาหกรรมล่าสุดที่ติดตามว่า กลุ่มใดครองสภาพแวดล้อมภัยคุกคามในปัจจุบัน แสดงให้เห็นว่าการจ่ายให้กลุ่มหนึ่งไม่ได้ลดความเสี่ยงโดยรวมจากกลุ่มอื่นๆ อีกมากที่ยังคงปฏิบัติการอยู่

สิ่งนี้มีความหมายต่อคุณอย่างไร

ไม่ว่าคุณจะดำเนินธุรกิจขนาดเล็กหรือบริหารความปลอดภัยให้องค์กรขนาดใหญ่ การตัดสินใจว่าจะจ่ายหรือไม่จ่ายไม่ควรทำโดยลำพัง โดยใครก็ตามที่ดูแลเซิร์ฟเวอร์ มันต้องผ่านการตรวจสอบทางกฎหมายในประเด็นมาตรการคว่ำบาตรและความเสี่ยงด้านกฎระเบียบ การประเมินความเป็นส่วนตัวว่าข้อมูลใดถูกเข้าถึงบ้าง และความเข้าใจตามจริงว่าการจ่ายเงินไม่ได้ให้หลักประกันใดๆ ต่อการรีดไถหรือการรั่วไหลในอนาคต สำหรับผู้บริโภคทั่วไป บทเรียนนั้นแตกต่างแต่เกี่ยวเนื่องกัน: ความปลอดภัยของข้อมูลส่วนบุคคลของคุณหลังการโจมตีขึ้นอยู่กับ การตัดสินใจของบริษัทที่คุณอาจไม่เคยมีปฏิสัมพันธ์โดยตรง นั่นคือเหตุผลว่าทำไมการทำความเข้าใจว่าองค์กรรับมือกับการรีดไถทางไซเบอร์อย่างไรจึงสำคัญ แม้ว่าคุณจะไม่ใช่คนที่ต้องเห็นข้อความเรียกค่าไถ่ก็ตาม

ข้อควรปฏิบัติที่นำไปใช้ได้

องค์กรควรสร้างแผนรับมือเหตุการณ์ก่อนที่การโจมตีจะเกิดขึ้น โดยแผนนั้นต้องรวมที่ปรึกษากฎหมายและการประเมินความเป็นส่วนตัวควบคู่ไปกับการแก้ไขทางเทคนิคอย่างชัดเจน อย่ามองการตัดสินใจเรื่องค่าไถ่ว่าเป็นเรื่องการเงินเพียงอย่างเดียว ความเสี่ยงด้านมาตรการคว่ำบาตรและการปฏิบัติตามกฎระเบียบนั้นมีอยู่จริงและอาจซ้ำเติมการโจมตีเดิม จงสันนิษฐานว่าข้อมูลใดๆ ที่ถูกขโมยออกไปอาจถูกบุกรุกแล้วไม่ว่าจะจ่ายเงินหรือไม่ และวางแผนแจ้งเตือนลูกค้าและพนักงานให้สอดคล้องกับข้อเท็จจริงนั้น สุดท้าย พึงระลึกว่ากลยุทธ์ระยะยาวที่ปลอดภัยที่สุดในการรับมือการรีดไถทางไซเบอร์ไม่ใช่การจ่ายค่าไถ่ให้เร็ว แต่คือการป้องกันที่แข็งแกร่งขึ้น ซึ่งขัดขวางไม่ให้ความพยายามรีดไถประสบความสำเร็จตั้งแต่แรก