กรณีที่เพิ่งรายงานจากเยอรมนีเผยให้เห็นพลิกแพลงที่น่ากังวลในเศรษฐกิจแรนซัมแวร์: กลุ่มอาชญากรกลุ่มเดียวกับที่ล็อกข้อมูลเหยื่ออาจเป็นกลุ่มเดียวกับที่เสนอปลดล็อกให้ โดยปลอมตัวเป็นบุคคลที่สามที่ช่วยเหลือ ตามรายงานจาก IT-Daily ผู้ต้องสงสัยว่าเป็นพันธมิตรแรนซัมแวร์รายหนึ่งได้ดำเนินการภายใต้ชื่อ Ransom Busters โดยนำเสนอตัวเองเป็นบริษัทกู้คืนข้อมูลอิสระ แทนที่จะเป็นสิ่งที่ผู้สืบสวนเชื่อว่าแท้จริงแล้วคือ: หุ้นส่วนภายในปฏิบัติการแรนซัมแวร์

เกิดอะไรขึ้น

แก่นของรายงานนี้ตรงไปตรงมาแต่น่ากังวล ผู้คุกคามที่เชื่อมโยงกับกลุ่มแรนซัมแวร์ดูเหมือนจะสร้างตัวตนแยกต่างหากชื่อ Ransom Busters ซึ่งทำการตลาดเป็นบริการกู้คืนข้อมูลแบบสแตนด์อโลน แทนที่จะดำเนินการอย่างเปิดเผยในฐานะส่วนหนึ่งของแก๊งขู่กรรโชก บุคคลนี้วางตำแหน่งตัวเองเป็นผู้กู้ภัยที่เป็นกลางซึ่งเหยื่อสามารถหันไปหาได้หลังการโจมตี นัยคือหน่วยเดียวกันที่ทำกำไรจากการติดตั้งแรนซัมแวร์ครั้งแรกอาจทำกำไรเป็นครั้งที่สองด้วยการเสนอ "ซ่อมแซม" ความเสียหายที่มันก่อขึ้น

บทบาทคู่แบบนี้ไม่ใช่เรื่องใหม่ทั้งหมดในโลกอาชญากรรมไซเบอร์ แต่มันเป็นเครื่องเตือนใจว่าเส้นแบ่งระหว่างผู้โจมตีกับบริการที่อ้างว่าช่วยเหลือเหยื่อนั้นพร่ามัวเพียงใด ระบบนิเวศแรนซัมแวร์แบบบริการ (RaaS) เกี่ยวข้องกับหลายฝ่ายอยู่แล้ว: นักพัฒนาที่สร้างมัลแวร์ พันธมิตรที่ติดตั้งมัน และนักเจรจาที่จัดการการสื่อสารกับเหยื่อ บริษัทกู้คืนข้อมูลที่เชื่อมโยงอย่างลับๆ กับเครือข่ายเดียวกันนั้นเพิ่มชั้นการเอารัดเอาเปรียบอีกชั้นหนึ่ง ซึ่งสร้างขึ้นบนความไว้วางใจและการหลอกลวงทั้งหมด ไม่ใช่การบุกรุกทางเทคนิค

บริษัทกู้คืนข้อมูลปลอมเอารัดเอาเปรียบเหยื่ออย่างไร

เมื่อธุรกิจหรือบุคคลถูกโจมตีด้วยแรนซัมแวร์ ลำดับความสำคัญมักจะเหมือนกันเสมอ: นำข้อมูลกลับมาโดยเร็วที่สุดและถูกที่สุดเท่าที่จะเป็นไปได้ ความเร่งด่วนนั้นสร้างพื้นที่อุดมสมบูรณ์สำหรับผู้ไม่หวังดี บริษัทกู้คืนข้อมูลปลอมสามารถเสนอ "เจรจา" กับผู้โจมตี เก็บค่าธรรมเนียมอย่างเงียบๆ ในขณะที่ทำเพียงแค่ส่งต่อคีย์ถอดรหัสที่กลุ่มนั้นควบคุมอยู่ตั้งแต่แรกแล้ว ในรูปแบบที่ก้าวร้าวมากขึ้นของแผนการนี้ บริษัทปลอมอาจเรียกเก็บเงินในราคาที่สูงเกินจริง ถ่วงเวลาเหยื่อ หรือใช้โอกาสนี้เก็บข้อมูลเพิ่มเติมเกี่ยวกับเป้าหมายสำหรับการโจมตีในอนาคต

นี่คือเหตุผลที่กรณี Ransom Busters มีความสำคัญเกินกว่ารายละเอียดเฉพาะของมัน มันแสดงให้เห็นรูปแบบที่กว้างขึ้นซึ่งเหยื่อที่ค้นหาความช่วยเหลือออนไลน์อาจสะดุดเข้ากับบริการที่ดูเหมือนถูกต้องตามกฎหมายบนพื้นผิว แต่เชื่อมโยงทางการเงินหรือการดำเนินงานกับอาชญากรที่ก่อปัญหาในตอนแรก สำหรับองค์กรที่กำลังเผชิญกับการเปิดเผยข้อมูลอยู่แล้ว สิ่งนี้ทับซ้อนกับความกังวลที่เห็นในเหตุการณ์การละเมิดอื่นๆ เช่น การละเมิดข้อมูล Napoleon Perdis ที่บันทึกที่รั่วไหลสามารถหมุนเวียนและถูกเอารัดเอาเปรียบได้นานหลังจากเหตุการณ์ครั้งแรก บางครั้งโดยฝ่ายที่อ้างว่าให้บริการแก้ไขหรือติดตามผล

ทำไมสิ่งนี้ถึงสำคัญต่อความเป็นส่วนตัวและความไว้วางใจ

การโจมตีด้วยแรนซัมแวร์โดยพื้นฐานแล้วคือเหตุการณ์ด้านความเป็นส่วนตัว พวกมันมักเกี่ยวข้องไม่เพียงแค่การเข้ารหัสแต่ยังรวมถึงการขโมยข้อมูล หมายความว่าข้อมูลส่วนบุคคลหรือข้อมูลธุรกิจที่ละเอียดอ่อนอาจอยู่ในมือของผู้โจมตีแล้วก่อนที่ข้อความเรียกค่าไถ่จะปรากฏขึ้นด้วยซ้ำ เมื่อบริษัทกู้คืนข้อมูลปลอมเข้ามาในภาพ เหยื่อต้องเผชิญกับความเสี่ยงที่ทับซ้อน: พวกเขาอาจจ่ายสองครั้ง ครั้งหนึ่งโดยนัยผ่านข้อเรียกร้องค่าไถ่ และอีกครั้งผ่านบริการที่ไม่มีมูลค่าอิสระที่แท้จริงใดๆ ยิ่งไปกว่านั้น การมีส่วนร่วมกับบริษัทกู้คืนข้อมูลที่เชื่อมโยงกับผู้โจมตีอย่างลับๆ อาจหมายถึงการแบ่งปันรายละเอียดที่ละเอียดอ่อนเพิ่มเติม ข้อมูลประจำตัว หรือข้อมูลการชำระเงินกับคนกลุ่มเดียวกับที่รับผิดชอบต่อการละเมิด

การกัดกร่อนความไว้วางใจนี้ขยายไปถึงอุตสาหกรรมการกู้คืนและการตอบสนองเหตุการณ์ในวงกว้าง ซึ่งบริษัทที่ถูกต้องตามกฎหมายต้องพึ่งพาชื่อเสียงและความโปร่งใสในการทำงาน กรณีเช่นนี้ทำให้เหยื่อตัดสินใจได้ยากขึ้นว่าใครควรไว้วางใจในช่วงเวลาที่กดดันที่สุดช่วงหนึ่งที่ธุรกิจต้องเผชิญ

สิ่งนี้หมายถึงอะไรสำหรับคุณ

หากองค์กรหรือบัญชีส่วนตัวของคุณเคยได้รับผลกระทบจากแรนซัมแวร์ การตรวจสอบว่าคุณกำลังทำงานกับใครนั้นสำคัญพอๆ กับการตอบสนองทางเทคนิคเอง ขั้นตอนปฏิบัติสองสามขั้นตอนสามารถช่วยได้:

  • ยืนยันประวัติ ข้อมูลประจำตัว และข้อมูลอ้างอิงจากลูกค้าของบริษัทกู้คืนข้อมูลใดๆ ก่อนที่จะมีส่วนร่วม โดยเฉพาะอย่างยิ่งหากพวกเขาติดต่อคุณโดยไม่ได้รับการร้องขาหลังการโจมตี
  • ให้หน่วยงานบังคับใช้กฎหมายหรือผู้ให้บริการตอบสนองเหตุการณ์ความมั่นคงปลอดภัยไซเบอร์ที่ได้รับการยอมรับเข้ามามีส่วนร่วม แทนที่จะพึ่งพาเฉพาะบริษัทที่พบจากการค้นหาอย่างรวดเร็ว
  • ระแวงบริการกู้คืนข้อมูลที่รับประกันการถอดรหัสอย่างรวดเร็วโดยไม่อธิบายวิธีการของพวกเขา เนื่องจากการกู้คืนที่ถูกต้องตามกฎหมายแทบจะไม่ง่ายหรือเร็ว
  • รักษาการสำรองข้อมูลที่แข็งแกร่งและผ่านการทดสอบ เพื่อที่คุณจะไม่ต้องพึ่งพาการเจรจากับบุคคลที่สามที่ไม่รู้จักเพียงลำพัง
  • ทบทวนรอยเท้าดิจิทัลโดยรวมของคุณและพิจารณาเครื่องมือที่ลดการเปิดเผยข้อมูลของคุณต่อการรั่วไหล เนื่องจากสุขอนามัยความเป็นส่วนตัวโดยทั่วไป รวมถึงทรัพยากรเช่น VPN ที่เชื่อถือได้เพื่อการป้องกันเพิ่มเติม สามารถลดปริมาณข้อมูลที่เอารัดเอาเปรียบได้ที่ผู้โจมตีมีอยู่ในตอนแรก

บทสรุป

กรณี Ransom Busters เป็นตัวอย่างเล็กๆ แต่บอกเล่าได้ดีว่าเศรษฐกิจแรนซัมแวร์พัฒนาอย่างต่อเนื่องอย่างไร มันไม่ใช่แค่การล็อกไฟล์และเรียกร้องการชำระเงินอีกต่อไป ตอนนี้มันรวมถึงแผนการรองที่ออกแบบมาเพื่อเอารัดเอาเปรียบผู้คนที่พยายามกู้คืนจากการโจมตี การรับทราบข้อมูลเกี่ยวกับกลโกงการกู้คืนแรนซัมแวร์เช่นนี้ และการตรวจสอบว่าใครที่คุณไว้วางใจในช่วงวิกฤต เป็นหนึ่งในการป้องกันที่มีประสิทธิภาพที่สุดที่มีอยู่ การใช้เวลาในการตรวจสอบคู่ค้าการกู้คืนก่อนเกิดเหตุการณ์ ไม่ใช่ระหว่างเกิดเหตุการณ์ สามารถสร้างความแตกต่างระหว่างการกู้คืนที่สะอาดกับการเอารัดเอาเปรียบรอบสอง