โครงสร้างพื้นฐานของผู้โจมตีที่ถูกเปิดเผยทำให้ researchers ได้เห็นภาพที่หาได้ยากว่ากลุ่ม affiliate ของแรนซัมแวร์นำ AI มาใช้งานอย่างไร ตามรายงานจาก The Hacker News กลุ่ม affiliate ได้ใช้เวิร์กโฟลว์ AI ที่มีมนุษย์อนุมัติเพื่อโจมตีระบบ edge ขโมยข้อมูล และกำหนดเป้าหมายองค์กรประมาณ 62 แห่ง เรื่องนี้เป็นเครื่องเตือนใจที่มีประโยชน์ว่า AI agent แคมเปญแรนซัมแวร์บนอุปกรณ์ edge ไม่ใช่ความกังวลทางทฤษฎีอีกต่อไป และฮาร์ดแวร์ที่ตั้งอยู่ที่ขอบเครือข่ายของคุณสมควรได้รับความสนใจอย่างแท้จริง เนื้อหาต้นฉบับมีไม่มาก บทความนี้จึงยึดตามสิ่งที่ได้รับการรายงานและเน้นสิ่งที่ผู้อ่านสามารถทำได้เกี่ยวกับเรื่องนี้ ## กลุ่ม affiliate ใช้ AI agent ดำเนินการบุกรุกอย่างไร รายละเอียดสำคัญคือคำว่า "human-approved" รายงานอธิบายถึงเวิร์กโฟลว์ AI ที่มีคนอยู่ในวงจรเพื่ออนุมัติขั้นตอน มากกว่าระบบอัตโนมัติเต็มรูปแบบที่ดำเนินการเพียงลำพัง ในทางปฏิบัติ นั่นหมายความว่า AI จัดการงานบุกรุกซ้ำ ๆ จำนวนมาก ในขณะที่มนุษย์ซึ่งเป็น affiliate ลงนามอนุมัติสิ่งที่เกิดขึ้นต่อไป โมเดลนี้สำคัญเพราะลดความพยายามที่ต้องใช้ในการดำเนินการโจมตี งานที่ครั้งหนึ่งต้องใช้ผู้ปฏิบัติงานที่มีทักษะไล่ทำแต่ละขั้นตอนสามารถเร่งความเร็วได้ ในขณะที่มนุษย์ยังคงควบคุมการตัดสินใจสำคัญ ในกรณีนี้ กลุ่ม affiliate ใช้เวิร์กโฟลว์เหล่านี้เพื่อโจมตีระบบ edge และขโมยข้อมูล สิ่งนี้สอดคล้องกับรูปแบบที่กว้างขึ้นของระบบอัตโนมัติในอาชญากรรมไซเบอร์ สำหรับข้อมูลเพิ่มเติมเกี่ยวกับว่าเครื่องมือ AI กำลัง重塑เศรษฐศาสตร์ของผู้โจมตีอย่างไร โปรดดูรายงานก่อนหน้าของเราเกี่ยวกับว่า[เครื่องมือ AI ที่ชื่อ Hermes ขับเคลื่อนการโจมตีแรนซัมแวร์อย่างไร](/en/ai-tool-hermes-powers-4-ransomware-attacks-report-finds) ## ทำไม VPN gateway และเราเตอร์จึงเป็นจุดเข้าของการโจมตี ระบบ edge คืออุปกรณ์ที่หันหน้าสู่อินเทอร์เน็ตแบบเปิด: VPN gateway, เราเตอร์, ไฟร์วอลล์ และอุปกรณ์ที่คล้ายกัน พวกมันน่าสนใจสำหรับผู้โจมตีด้วยเหตุผลง่าย ๆ คือ สามารถเข้าถึงได้จากทุกที่ มักอยู่นอกการตรวจสอบที่ครอบคลุมแล็ปท็อปและเซิร์ฟเวอร์ และสามารถให้เส้นทางตรงเข้าสู่เครือข่ายภายในได้ เมื่อผู้โจมตีบุกรุกอุปกรณ์เหล่านี้ได้ พวกเขาอาจเข้าถึงทรัพยากรภายในและดึงข้อมูลออกไปได้โดยไม่ต้องแตะคอมพิวเตอร์ของผู้ใช้เลย นั่นคือเหตุผลที่จุดเน้นที่แนะนำในที่นี้คือสุขอนามัยของ perimeter อุปกรณ์ที่ตั้งใจไว้เพื่อปกป้องการเข้าถึงสามารถกลายเป็นช่องทางเข้าได้หากมันถูกเปิดเผย ล้าสมัย หรือกำหนดค่าไม่ดี ควรระบุให้ชัดเจน: รายงานที่เรามีไม่ได้ระบุผลิตภัณฑ์หรือช่องโหว่เฉพาะ และเราจะไม่คาดเดา สิ่งที่ควรนำไปคือประเภทของอุปกรณ์ ไม่ใช่ผู้จำหน่ายรายใดรายหนึ่ง ## โครงสร้างพื้นฐานที่ถูกเปิดเผยเผยอะไรเกี่ยวกับ 62 เป้าหมาย โครงสร้างพื้นฐานที่ถูกเปิดเผยคือสิ่งที่ทำให้ researchers ประมาณการได้ว่าองค์กรประมาณ 62 แห่งตกเป็นเป้าหมาย ตัวเลขนั้นเป็นการประมาณ และสะท้อนสิ่งที่มองเห็นได้ในการตั้งค่าของผู้โจมตีเอง มากกว่าจำนวนการบุกรุกที่สำเร็จซึ่งยืนยันแล้ว มีประเด็นที่โดดเด่น 몇ประการ: - **ผู้โจมตีก็ทำผิดพลาดเช่นกัน** เซิร์ฟเวอร์ของผู้โจมตีที่กำหนดค่าผิดหรือถูกเปิดเผยสามารถเผยเครื่องมือ เวิร์กโฟลว์ และรายชื่อเป้าหมายที่ฝ่ายป้องกันไม่เคยเห็น - **การกำหนดเป้าหมายดูเป็นระบบ** รายชื่อองค์กรหลายสิบแห่งบ่งชี้ถึงกระบวนการที่ทำซ้ำได้ มากกว่าการบุกรุกครั้งเดียว - **การขโมยข้อมูลเป็นส่วนหนึ่งของเพลย์บุ๊ก** กลุ่ม affiliate ไม่ได้มุ่งแค่การเข้ารหัสเท่านั้น แต่ยังขโมยข้อมูลด้วย ซึ่งเพิ่มแรงกดดันต่อเหยื่อ บทเรียนที่กว้างขึ้นคือความช่วยเหลือจาก AI สามารถช่วยให้กลุ่ม affiliate ขยายขอบเขตได้ แม้จะมีมนุษย์อนุมัติการกระทำ ผู้ปฏิบัติงานคนเดียวก็อาจดำเนินการกับเป้าหมายจำนวนมากได้ ## สิ่งนี้หมายความว่าอะไรสำหรับคุณ หากคุณดูแลเครือข่ายธุรกิจ คุณคือกลุ่มเป้าหมายที่ตรงที่สุด อุปกรณ์ VPN ไฟร์วอลล์ หรือเราเตอร์ใด ๆ ที่รับการเชื่อมต่อจากอินเทอร์เน็ตเป็นส่วนหนึ่งของพื้นผิวการโจมตีของคุณ และผู้โจมตีกำลังมองหาอุปกรณ์ที่ถูกทิ้งไว้โดยไม่แพตช์หรือไม่มีการจัดการ หากคุณเป็นผู้ใช้ตามบ้าน โปรไฟล์ความเสี่ยงแตกต่างออกไปแต่ไม่ใช่ศูนย์ เราเตอร์ตามบ้านมักมาพร้อมตัวเลือกการบริหารจัดการระยะไกลที่หลายคนไม่เคยตรวจสอบ การเปิดทิ้งไว้และไม่แพตช์คือช่องโหว่แบบที่เครื่องมืออัตโนมัติถูกสร้างขึ้นมาเพื่อค้นหา ไม่มีสิ่งใดในนี้ที่ต้องตื่นตระหนก มันต้องการการบำรุงรักษาตามปกติที่หลายคนข้ามไป ## วิธีตรวจสอบและเสริมความแข็งแกร่งอุปกรณ์ edge ของคุณเอง เริ่มจากvisibility แล้วลดการเปิดเผย 1. **ค้นหาว่าอะไรถูกเปิดเผย** ระบุเราเตอร์ VPN gateway และไฟร์วอลล์ทุกตัวที่หันหน้าสู่อินเทอร์เน็ต ตรวจสอบว่าอินเทอร์เฟซการจัดการและพอร์ตใดเข้าถึงได้จากภายนอกเครือข่ายของคุณ 2. **แพตช์เฟิร์มแวร์** ตรวจสอบหน้าอัปเดตของผู้จำหน่ายและติดตั้งเฟิร์มแวร์ปัจจุบัน เปิดการอัปเดตอัตโนมัติหากอุปกรณ์รองรับ 3. **ปิดการเข้าถึงระยะไกลที่ไม่จำเป็น** หากคุณไม่ต้องการการบริหารจัดการระยะไกล ให้ปิดมัน ในกรณีที่ต้องการ ให้จำกัดเฉพาะที่อยู่ที่เชื่อถือได้ 4. **เปิดใช้ MFA** กำหนดให้มีการยืนยันตัวตนหลายปัจจัยสำหรับการเข้าสู่ระบบ VPN และแผงผู้ดูแลระบบ และเปลี่ยนรหัสผ่านเริ่มต้นหรือรหัสผ่านที่ใช้ซ้ำ 5. **ตรวจสอบบันทึก** มองหาการเข้าสู่ระบบที่ผิดปกติ การเปลี่ยนแปลงการกำหนดค่าที่ไม่คาดคิด หรือการถ่ายโอนข้อมูลออกจำนวนมาก 6. **ปลดระวางฮาร์ดแวร์ที่สิ้นสุดอายุ** อุปกรณ์ที่ไม่ได้รับการอัปเดตความปลอดภัยอีกต่อไปเป็นความเสี่ยงที่คงอยู่ ## ประเด็นสำคัญ แคมเปญที่รายงานแสดงให้เห็นว่าการโจมตีด้วย AI agent แรนซัมแวร์บนอุปกรณ์ edge ได้ผลดีที่สุดกับอุปกรณ์ที่ถูกเปิดเผยและถูกละเลย เวิร์กโฟลว์ AI ที่มีมนุษย์อนุมัติช่วยให้กลุ่ม affiliate เคลื่อนไหวได้เร็วขึ้น แต่จุดเข้ายังคงเป็นเรื่องธรรมดา: อุปกรณ์ที่หันหน้าสู่อินเทอร์เน็ตที่มีการตั้งค่าอ่อนแอ สัปดาห์นี้ ให้ตรวจสอบเราเตอร์หรืออุปกรณ์ VPN ของคุณสำหรับการเปิดเผยสู่อินเทอร์เน็ต แพตช์เฟิร์มแวร์ ปิดการเข้าถึงระยะไกลที่ไม่จำเป็น และเปิดใช้ MFA สำหรับบริบทเพิ่มเติมเกี่ยวกับว่าระบบอัตโนมัติกำลังเปลี่ยนแรนซัมแวร์อย่างไร โปรดอ่านบทความของเราเกี่ยวกับ[เครื่องมือแรนซัมแวร์ Hermes](/en/ai-tool-hermes-powers-4-ransomware-attacks-report-finds)

กลุ่มแรนซัมแวร์ Everest ได้ขึ้นบัญชี PwC บนเว็บไซต์กรรโชกของตน ทำให้หนึ่งในเครือข่ายบริการวิชาชีพที่ใหญ่ที่สุดในโลกตกเป็นจุดสนใจ ข้อกล่าวหานี้ยังไม่ได้รับการยืนยัน และยังไม่มีหลักฐานว่า PwC สูญเสียข้อมูลใด ๆ อย่างไรก็ตาม การอ้างว่าข้อมูล PwC รั่วไหลโดยแรนซัมแวร์ Everest นี้เป็นเครื่องเตือนใจที่มีประโยชน์ว่าการละเมิดข้อมูลที่ที่ปรึกษาสามารถส่งผลกระทบต่อผู้ที่ไม่เคยเกี่ยวข้องกับผู้โจมตี หรือแม้แต่กับบริษัทเองได้อย่างไร ## Everest อ้างอะไรเกี่ยวกับ PwC ตามรายงานของสำนักข่าวความปลอดภัยที่ติดตามการขึ้นบัญชีดังกล่าว Everest อ้างว่าขโมยข้อมูลที่เชื่อมโยงกับ PwC ไป 590.69 GB บทสรุปหนึ่งของการขึ้นบัญชีระบุว่ามี 108,426 ไฟล์ และอธิบายเนื้อหาว่าเป็นบันทึกพนักงานและข้อมูลส่วนบุคคล รายงานอื่นกล่าวถึงบันทึกทรัพยากรบุคคลและสื่อฝึกอบรม โพสต์ LinkedIn ที่เผยแพร่ข้อกล่าวหานี้ไปไกลกว่านั้น โดยอ้างถึงข้อมูลพนักงานและข้อมูลการตรวจสอบ แต่คำอธิบายนั้นมาจากความคิดเห็นต่อข้อกล่าวหา ไม่ใช่หลักฐานที่ได้รับการยืนยัน ข้อควรระวังที่สำคัญคือ ไม่มีสิ่งใดได้รับการยืนยัน แถลงการณ์ด้านความปลอดภัยฉบับหนึ่งระบุว่าการขึ้นบัญชีดังกล่าวไม่ได้มาพร้อมกับตัวอย่างข้อมูล รายละเอียดทางเทคนิค หรือหลักฐานอิสระ กลุ่มแรนซัมแวร์ขึ้นบัญชีเหยื่อเพื่อสร้างแรงกดดัน และการขึ้นบัญชีเพียงอย่างเดียวไม่ได้พิสูจน์ว่าข้อมูลถูกนำไปจริง ข้อมูลนั้นเป็นของแท้ หรือมาจากระบบของ PwC ตามที่อ้าง จนกว่า PwC จะยืนยันเหตุการณ์หรือมีหลักฐานที่น่าเชื่อถือปรากฏขึ้น ผู้อ่านควรถือว่าตัวเลขข้างต้นเป็นเพียงข้อกล่าวหา ## ทำไมที่ปรึกษาบุคคลที่สามจึงเป็นเป้าหมายการกรรโชกที่น่าสนใจ บริษัทบริการวิชาชีพถือข้อมูลจำนวนมากที่เป็นของผู้อื่น ผู้ตรวจสอบบัญชี ที่ปรึกษา และที่ปรึกษาด้านภาษีได้รับบันทึกทางการเงิน สัญญา ข้อมูลพนักงาน และเอกสารภายในเพื่อให้สามารถทำงานได้ ไฟล์เหล่านั้นมักอยู่ในที่เดียว ซึ่งทำให้การบุกรุกที่สำเร็จเพียงครั้งเดียวอาจมีมูลค่าสูง นี่คือจุดที่ช่องว่างระหว่างเจ้าของข้อมูลและผู้ถือข้อมูลมีความสำคัญ บริษัทที่ส่งบันทึกให้ที่ปรึกษาอาจไม่มีทางรู้ว่าผู้โจมตีมีข้อมูลเหล่านั้น เว้นแต่ที่ปรึกษาจะเปิดเผย บุคคลยิ่งห่างไกลออกไปอีก: พนักงานที่มีข้อมูลปรากฏในไฟล์ของลูกค้าไม่มีความสัมพันธ์โดยตรงกับที่ปรึกษาเลย นอกจากนี้ยังมีผลกระทบจากแรงกดดัน ทีมแรนซัมแวร์สมัยใหม่แทบจะไม่พึ่งพาการเข้ารหัสเพียงอย่างเดียว พวกเขาขโมยข้อมูลก่อนแล้วขู่ว่าจะเผยแพร่ ซึ่งเป็นกลยุทธ์ที่เราอธิบายไว้ในบทความอธิบายของเราเกี่ยวกับ[การกรรโชกซ้ำซ้อนด้วยแรนซัมแวร์](/en/ransomware-double-extortion-explained-as-real-world-threats-rise) บริษัทที่ให้บริการลูกค้าที่อ่อนไหวจำนวนมากมีเหตุผลหนักแน่นที่จะหลีกเลี่ยงการรั่วไหลต่อสาธารณะ และผู้โจมตีก็รู้ดี การระบุชื่อเป้าหมายที่มีชื่อเสียงบนเว็บไซต์รั่วไหลยังดึงดูดความสนใจ ไม่ว่าข้อกล่าวหาจะเป็นจริงหรือไม่ก็ตาม ## สิ่งที่ลูกค้าและบุคคลควรตรวจสอบตอนนี้ ยังไม่มีการละเมิดที่ได้รับการยืนยันให้ต้องตอบสนอง ดังนั้นเป้าหมายคือการเตรียมตัวอย่างใจเย็น ไม่ใช่ความตระหนก มีขั้นตอนปฏิบัติบางประการที่ควรทำ: - **จับตาการแจ้งเตือนอย่างเป็นทางการ** หาก PwC หรือที่ปรึกษาของคุณเองยืนยันเหตุการณ์ การแจ้งเตือนมักมาทางอีเมลหรือไปรษณีย์ อ่านอย่างละเอียดและเก็บสำเนาไว้ - **ตรวจสอบก่อนคลิก** ข้อกล่าวหาเช่นนี้มักกระตุ้นการฟิชชิ่งที่เลียนแบบการแจ้งเตือนการละเมิด เข้าเว็บไซต์ทางการขององค์กรโดยตรงแทนการคลิกลิงก์ในข้อความที่ไม่คาดคิด - **ถามผู้ติดต่อของคุณเอง** หากบริษัทของคุณทำงานกับ PwC ให้ถามผู้ติดต่อฝ่ายบัญชีหรือทีมกฎหมายว่าพวกเขาได้รับแจ้งสิ่งใดหรือไม่ และข้อมูลใดถูกแชร์ - **ทบทวนสิ่งที่คุณส่งไป** ทำรายการคร่าว ๆ ของข้อมูลส่วนบุคคล การเงิน หรือข้อมูลพนักงานที่องค์กรของคุณส่งให้ที่ปรึกษาภายนอก คุณไม่สามารถประเมินความเสี่ยงได้หากไม่รู้ว่ามีอะไรอยู่ข้างนอกนั้น - **จับตาบัญชีของคุณ** หากคุณเป็นพนักงานหรือลูกค้าของบริษัทที่ใช้ที่ปรึกษาขนาดใหญ่ ให้จับตากิจกรรมทางธนาคารและเครดิต และระวังสายเรียกเข้าหรืออีเมลที่ไม่พึงประสงค์ซึ่งอ้างถึงงานหรือการเงินของคุณ ## วิธีจำกัดการเปิดเผยเมื่อที่ปรึกษาถือข้อมูลของคุณ คุณไม่สามารถควบคุมได้เต็มที่ว่าบุคคลที่สามจะรักษาความปลอดภัยข้อมูลของคุณอย่างไร แต่คุณสามารถลดสิ่งที่พวกเขาถือและระยะเวลาที่พวกเขาเก็บไว้ได้ **แชร์ขั้นต่ำ** ส่งเฉพาะบันทึกที่งานนั้นต้องการ ปิดหรือลบฟิลด์ที่ไม่จำเป็น เช่น วันเกิดเต็มหรือหมายเลขบัตรประจำตัวราชการ **กำหนดเงื่อนไขการเก็บรักษา** สัญญาสามารถระบุระยะเวลาที่ที่ปรึกษาเก็บข้อมูลหลังจากโครงการสิ้นสุด และกำหนดให้ลบหรือคืน afterward ไฟล์เก่าที่ค้างอยู่บนเซิร์ฟเวอร์ของบริษัทคือการเปิดเผยที่ไม่ก่อให้เกิดประโยชน์ **ถามเกี่ยวกับความปลอดภัยและการแจ้งเตือน** องค์กรสามารถขอรายละเอียดเกี่ยวกับวิธีที่ที่ปรึกษาปกป้องข้อมูล และต้องแจ้งลูกค้าเกี่ยวกับเหตุการณ์ที่สงสัยภายในเร็วเพียงใด การแจ้งเตือนที่เร็วกว่าจะให้เวลาทุกคนในการตอบสนองมากขึ้น **รักษาสุขอนามัยของบัญชีที่แข็งแรง** หากคุณใช้พอร์ทัลเพื่อแลกเปลี่ยนเอกสาร ให้ใช้รหัสผ่านที่ไม่ซ้ำใครและการยืนยันตัวตนหลายปัจจัย สิ่งนี้จะไม่หยุดการโจมตีระบบของที่ปรึกษาเอง แต่จะปกป้องบัญชีที่คุณควบคุม **เรียนรู้จากกรณีที่เทียบเคียงได้** รูปแบบแรงกดดันไม่ได้มีเฉพาะในการขึ้นบัญชีนี้ ใน[กรณี ATB ที่เกี่ยวข้องกับกลุ่มที่เรียกตัวเองว่า DataSuckers](/en/atb-hit-by-datasuckers-400k-demand-7-9m-affected) การเรียกร้องค่าไถ่มาพร้อมกับข้ออ้างว่ามีผู้ได้รับผลกระทบจำนวนมาก การอ่านว่าสถานการณ์เหล่านั้นคลี่คลายอย่างไรช่วยให้คุณแยกแยะได้ว่าการแจ้งเตือนที่น่าเชื่อถือเป็นอย่างไร และการโอ้อวดที่ไม่ได้รับการยืนยันเป็นอย่างไร ## สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ หากคุณไม่มีความเชื่อมโยงกับ PwC ไม่มีสิ่งใดเกี่ยวกับข้อกล่าวหานี้ที่ต้องดำเนินการในวันนี้ หากคุณทำงานให้หรือร่วมกับบริษัท หรือนายจ้างของคุณแชร์ข้อมูลกับที่ปรึกษาขนาดใหญ่ การตอบสนองที่สมเหตุสมผลคือการติดตามข้อมูล หลีกเลี่ยงการตั้งสมมติฐานทั้งสองทาง และจับตาการสื่อสารอย่างเป็นทางการ บทเรียนที่กว้างขึ้นใช้ได้กับทุกคน: ข้อมูลของคุณสามารถอยู่กับองค์กรที่คุณไม่เคยเลือก และความเสี่ยงขึ้นอยู่กับว่าพวกเขาถือข้อมูลไว้น้อยเพียงใด ## ประเด็นสำคัญ การอ้างว่าข้อมูล PwC รั่วไหลโดยแรนซัมแวร์ Everest ยังคงไม่ได้รับการยืนยัน โดยไม่มีตัวอย่างสาธารณะหรือการยืนยันอิสระ ณ เวลาที่รายงาน อย่างไรก็ตาม มันแสดงให้เห็นว่าทำไมที่ปรึกษาจึงเป็นเป้าหมายที่น่าสนใจ และทำไมลูกค้าควรรู้ว่าพวกเขาแชร์อะไรไปบ้าง เข้าใจว่าการกรรโชกซ้ำซ้อนทำงานอย่างไร จับตาการแจ้งเตือนการละเมิดจากที่ปรึกษาของคุณ และปฏิบัติต่อข้อความที่ไม่คาดคิดเกี่ยวกับเหตุการณ์ใด ๆ ด้วยความระมัดระวัง การอ่านบทความอธิบายของเราเกี่ยวกับการกรรโชกซ้ำซ้อนและกรณี ATB เป็นขั้นตอนถัดไปที่ดีหากคุณต้องการเห็นว่าสถานการณ์เหล่านี้มักคลี่คลายอย่างไร

การจับกุมนักเจรจาเรียกค่าไถ่: คู่มือการตรวจสอบภัยคุกคามจากคนใน

หน่วยตำรวจออนแทรีโออย่างน้อยหกหน่วยระงับการใช้ Crime Stoppers ชั่วคราวหลังข้อมูลรั่วไหล

SOCRadar พบเซิร์ฟเวอร์เปิดโล่งพร้อมการโจมตีของ INC และ Gentlemen