ผู้จัดการกลายเป็นจุดเริ่มต้นที่แรนซัมแวร์เลือกโจมตี
การวิเคราะห์แคมเปญแรนซัมแวร์หนึ่งครั้งพบว่าเกือบสองในสามของผู้ที่ตกเป็นเป้าหมายดำรงตำแหน่งผู้จัดการหรือสูงกว่า สถิตินี้ซึ่งรายงานโดย ZDNET ถือเป็นการเปลี่ยนแปลงที่สำคัญในวิธีที่ผู้โจมตีแรนซัมแวร์เลือกเหยื่อ แทนที่จะหว่านแหกว้างไปทั่วทั้งองค์กร ดูเหมือนว่าผู้โจมตีจงใจพุ่งเป้าไปที่บุคคลที่สิทธิ์การเข้าถึงสูง อำนาจในการตัดสินใจ หรือทั้งสองอย่าง
นี่ไม่ใช่แค่เรื่องน่ารู้สำหรับทีมความปลอดภัย แต่มันส่งผลกระทบโดยตรงต่อความเป็นส่วนตัวของพนักงาน ความละเอียดอ่อนของข้อมูลที่ผู้จัดการเหล่านี้ควบคุม และวิธีที่องค์กรคิดว่าใครจำเป็นต้องได้รับการฝึกอบรมและปกป้องอย่างเร่งด่วนที่สุด
เหตุใดผู้จัดการจึงกลายเป็นเป้าหมายหลัก
ตรรกะเบื้องหลังการเปลี่ยนแปลงนี้ง่ายขึ้นเมื่อคุณพิจารณาถึงสิ่งที่ผู้จัดการมักเข้าถึงได้ ผู้จัดการมักนั่งอยู่ตรงจุดตัดของข้อมูลปฏิบัติการ บันทึกทรัพยากรบุคคล การอนุมัติทางการเงิน และสิทธิ์ด้านการดูแลระบบในหลายระบบ การเจาะบัญชีเพียงบัญชีเดียวสามารถทำให้ผู้โจมตีตั้งหลักได้กว้างกว่าการเจาะบัญชีพนักงานระดับปฏิบัติการ
สิ่งนี้สะท้อนรูปแบบที่นักวิจัยด้านความปลอดภัยได้ชี้ให้เห็นแล้วที่อื่น ดังที่ได้กล่าวถึงในรายงานที่เกี่ยวข้องเรื่อง แก๊งแรนซัมแวร์เล็งเป้าผู้จัดการฝ่ายไอทีแทนซีอีโอแล้ว ผู้โจมตีเลิกเชื่อว่าผลตอบแทนสูงสุดมาจากการเล็งเป้าผู้บริหารระดับสูงสุดในแผนผังองค์กร แต่ผู้จัดการระดับกลาง โดยเฉพาะในฝ่ายไอที ปฏิบัติการ หรือการเงิน มักมีกุญแจสำคัญที่ใช้งานได้จริงไปยังระบบที่สำคัญ โดยไม่ต้องถูกตรวจสอบหรือมีทรัพยากรด้านความปลอดภัยที่สงวนไว้สำหรับผู้บริหารระดับสูง
ผู้จัดการก็น่าสนใจเช่นกันเพราะพวกเขาอยู่ในจุดกึ่งกลางของการสื่อสาร พวกเขาได้รับอีเมลปริมาณมากจากทั้งผู้ใต้บังคับบัญชาและผู้นำระดับสูง ทำให้การฟิชชิงที่แอบอ้างจากทั้งสองทิศทางมีความน่าเชื่อถือ ข้อความที่ดูเหมือนมาจากผู้ใต้บังคับบัญชาโดยตรงขออนุมัติ หรือจากผู้บริหารระดับสูงขอให้ดำเนินการด่วน ถือเป็นรูปแบบวิศวกรรมสังคมที่ใช้ประโยชน์จากกิจวัตรประจำวันของผู้จัดการ
ผลกระทบด้านความเป็นส่วนตัวที่ไม่มีใครพูดถึง
สิ่งที่มักถูกมองข้ามในการรายงานข่าวแรนซัมแวร์คือการเปิดเผยข้อมูลส่วนตัวที่เกี่ยวเนื่องกับการโจมตีเหล่านี้ ผู้จัดการมักเข้าถึงข้อมูลพนักงานที่ละเอียดอ่อน เช่น บทวิจารณ์ผลงาน ข้อมูลเงินเดือน บันทึกทางวินัย และบางครั้งรายละเอียดด้านสุขภาพหรือครอบครัวที่แบ่งปันระหว่างการสนทนาแบบตัวต่อตัว เมื่อบัญชีหรืออุปกรณ์ของผู้จัดการถูกบุกรุก ข้อมูลส่วนตัวที่เป็นของสมาชิกในทีมก็ถูกเปิดเผยเช่นกัน ไม่ใช่แค่ทรัพย์สินทางปัญญาหรือบันทึกทางการเงินของบริษัท
สิ่งนี้สร้างผลกระทบแบบลูกโซ่ การโจมตีที่เริ่มต้นเป็นเหตุแรนซัมแวร์เล็งเป้าผู้จัดการหนึ่งคนอาจกลายเป็นเหตุละเมิดข้อมูลส่วนตัวที่ส่งผลต่อพนักงานหลายสิบคนที่ไม่เคยคลิกลิงก์อันตรายด้วยตนเอง องค์กรที่กำลังชั่งน้ำหนักการป้องกันแรนซัมแวร์ต้องคำนึงถึงการเปิดเผยข้อมูลชั้นที่สองนี้ โดยเฉพาะภายใต้กฎระเบียบคุ้มครองข้อมูลซึ่งให้บริษัทต้องรับผิดชอบในการปกป้องข้อมูลพนักงานไม่ว่าการรั่วไหลจะเกิดขึ้นอย่างไร
หกขั้นตอนที่นำไปปฏิบัติได้จริงเพื่อลดความเสี่ยง
จากรูปแบบที่อยู่เบื้องหลังแคมเปญนี้ มีมาตรการที่เป็นรูปธรรมบางประการที่โดดเด่นว่ามีประโยชน์จริง ไม่ใช่แค่คำแนะนำทั่วไป:
- ใช้หลักการให้สิทธิ์น้อยที่สุดกับบัญชีผู้จัดการ ผู้จัดการควรเข้าถึงได้เฉพาะระบบและข้อมูลที่จำเป็นจริงสำหรับบทบาทของตน ไม่ใช่สิทธิ์ครอบจักรวาลที่มาจากตำแหน่ง
- ใช้ข้อมูลประจำตัวแยกต่างหากสำหรับงานด้านบริหาร หากผู้จัดการต้องการสิทธิ์ยกระดับเป็นครั้งคราว สิทธิ์นั้นควรต้องใช้การเข้าสู่ระบบแยกต่างหาก ไม่ใช้บัญชีอีเมลประจำวัน
- จัดลำดับความสำคัญการฝึกอบรมจำลองฟิชชิงสำหรับระดับผู้จัดการโดยเฉพาะ การฝึกอบรมพนักงานทั่วไปมีประโยชน์ แต่ผู้จัดการเผชิญกับเหยื่อที่ตรงเป้าหมายและน่าเชื่อกว่า และการฝึกอบรมของพวกเขาควรสะท้อนเรื่องนั้น
- บังคับใช้การยืนยันตัวตนหลายปัจจัยทุกที่ โดยไม่มีข้อยกเว้นเพื่อความสะดวก ผู้โจมตีที่เล็งเป้าผู้จัดการหวังพึ่งพาการอนุมัติที่รวดเร็วและความขัดข้องน้อยลง MFA จึงปิดช่องว่างนี้
- แบ่งเครือข่ายเพื่อไม่ให้บัญชีที่ถูกบุกรุกบัญชีเดียวเข้าถึงทุกอย่างได้ การจำกัดการเคลื่อนที่ในแนวราบลดความเสียหายที่ข้อมูลประจำตัวที่ถูกขโมยไปหนึ่งชุดสามารถทำได้
- รักษาการสำรองข้อมูลออฟไลน์ที่ผ่านการทดสอบแล้วสำหรับข้อมูลสำคัญ แม้ว่าการโจมตีจะสำเร็จ แผนการกู้คืนที่แข็งแกร่งก็ลดอำนาจต่อรองของผู้ดำเนินการแรนซัมแวร์ในระหว่างการเจรจา
สิ่งที่เรื่องนี้หมายถึงคุณ
หากคุณเป็นผู้จัดการ รายงานนี้เป็นสัญญาณตรงว่ากล่องจดหมายและบัญชีของคุณมีความเสี่ยงมากกว่าที่คุณอาจเคยคาดไว้ ควรถามทีมไอทีหรือทีมความปลอดภัยของคุณว่าสิทธิ์การเข้าถึงของคุณตรงกับสิ่งที่คุณใช้ในแต่ละวันหรือไม่ และคุณได้รับการฝึกอบรมที่ปรับให้เหมาะกับความพยายามฟิชชิงแบบเจาะจงที่ผู้จัดการมักเผชิญหรือไม่
หากคุณดูแลนโยบายความปลอดภัย นี่คือเหตุผลที่จะกลับมาพิจารณาว่าใครได้รับการฝึกอบรมอย่างเข้มข้นที่สุดและสิทธิ์ของบัญชีถูกกระจายไปทั่วชั้นผู้บริหารขององค์กรอย่างไร ข้อมูลชี้ว่าผู้จัดการตกเป็นเป้าของแรนซัมแวร์ไม่ใช่แบบสุ่ม แต่เป็นเพราะสิ่งที่บทบาทของพวกเขามอบสิทธิ์ให้เข้าถึง
บทสรุป
ข้อเท็จจริงที่ว่าแรนซัมแวร์ตอนนี้เล็งเป้าผู้จัดการอย่างไม่สมส่วนควรเปลี่ยนรูปแบบวิธีที่องค์กรจัดลำดับความสำคัญการฝึกอบรมด้านความปลอดภัยและการควบคุมการเข้าถึง นี่ไม่ใช่การมองว่าผู้จัดการทุกคนเป็นจุดอ่อน แต่เป็นการตระหนักว่าตำแหน่งของพวกเขาในแผนผังองค์กรทำให้พวกเขาเป็นเป้าหมายที่มีมูลค่าสูงโดยไม่ขึ้นกับเจตนาหรือความตระหนักรู้ การตรวจสอบสิทธิ์การเข้าถึง การเข้มงวดข้อกำหนดการยืนยันตัวตน และการให้การฝึกอบรมเฉพาะบทบาทคือขั้นตอนที่นำไปปฏิบัติได้จริงที่องค์กรใดๆ สามารถเริ่มได้ในตอนนี้ โดยไม่ต้องรอให้เกิดเหตุการณ์มาบังคับ
