บริษัทขนส่งแห่งหนึ่งในเม็กซิโกต้องเผชิญฝันร้ายที่สุดสำหรับธุรกิจขนาดกลางและเล็ก นั่นคือการมีผู้โจมตีแฝงตัวอยู่ในเครือข่ายนานถึงสามเดือนก่อนที่จะรู้ตัวว่ามีสิ่งผิดปกติ เมื่อพวกเขารู้ตัวในที่สุดก็สายเกินไปเสียแล้ว เหล่าอาชญากรไซเบอร์ได้ขโมยข้อมูลสำคัญและเข้ารหัสเซิร์ฟเวอร์มากถึงหกเครื่องโดยใช้ BitLocker ซึ่งเป็นเครื่องมือเข้ารหัสที่มีมาใน Windows อยู่แล้ว บริษัทจ่ายค่าไถ่ไม่ถึง 5,000 ดอลลาร์เพื่อกู้คืนการเข้าถึง แต่นั่นกลับเป็นเพียงจุดเริ่มต้นของปัญหาที่ใหญ่กว่ามาก นั่นคือต้องสร้างโครงสร้างพื้นฐานดิจิทัลทั้งหมดขึ้นใหม่ เพราะไม่สามารถไว้วางใจระบบใด ๆ ที่ผู้โจมตีเคยสัมผัสได้อีกต่อไป

สามเดือนที่มองไม่เห็น ต้นทุนที่แท้จริงของระยะเวลาคงอยู่

สิ่งที่น่าตกใจที่สุดในกรณีนี้ไม่ใช่การเข้ารหัสตอนจบ แต่เป็นช่วงเวลาที่ผู้โจมตีซ่อนตัวโดยไม่มีใครตรวจพบ สามเดือนนั้นนานพอที่จะสำรวจเครือข่ายองค์กรทั้งหมด ระบุตำแหน่งของข้อมูลที่มีค่าที่สุด ขโมยสำเนาข้อมูลนั้น และจากนั้นจึงลงมือเข้ารหัส รูปแบบเช่นนี้รู้จักกันในชื่อการรีดไถสองทาง ซึ่งกลายเป็นมาตรฐานในหมู่กลุ่มแรนซัมแวร์ ขั้นแรกพวกเขาจะขโมยข้อมูลออกไปเพื่อสร้างแรงกดดันสำรอง (ขู่ว่าจะเผยแพร่ข้อมูล) และจากนั้นจึงล็อกระบบเพื่อบีบบังคับให้จ่ายเงิน

การใช้ BitLocker ในการโจมตีครั้งนี้น่าสนใจเป็นพิเศษ แทนที่จะใช้มัลแวร์เข้ารหัสที่เขียนขึ้นเองซึ่งอาจถูกแอนตี้ไวรัสหรือโซลูชันความปลอดภัยตรวจจับได้ ผู้โจมตีกลับใช้เครื่องมือที่ถูกต้องตามกฎหมายซึ่งมีติดตั้งอยู่แล้วบนเซิร์ฟเวอร์ของเหยื่อ กลยุทธ์นี้เรียกว่า "living off the land" (ใช้สิ่งที่มีอยู่แล้ว) กำลังแพร่หลายมากขึ้นเพราะลดโอกาสที่ซอฟต์แวร์ความปลอดภัยจะตั้งข้อสงสัยว่าเป็นกิจกรรมน่าสงสัย สำหรับธุรกิจขนาดกลางและเล็กที่มีทรัพยากรในการเฝ้าติดตามอย่างจำกัด นี่หมายความว่าสัญญาณเตือนอาจถูกมองข้ามไปโดยสิ้นเชิง

การจ่ายค่าไถ่ไม่ได้แก้ปัญหาที่แท้จริง

หนึ่งในบทเรียนสำคัญที่สุดจากกรณีนี้คือ การจ่ายค่าไถ่ แม้จะเป็นจำนวนที่ค่อนข้างต่ำอย่างไม่ถึง 5,000 ดอลลาร์ ก็ไม่ได้ลบความเสียหายที่แท้จริง บริษัทได้กุญแจถอดรหัสกลับคืนมา แต่นั่นไม่ได้ทำให้พวกเขากลับมาไว้วางใจโครงสร้างพื้นฐานของตัวเองอีกครั้ง เมื่อผู้โจมตีสามารถเข้าถึงเครือข่ายได้เป็นเวลานาน ระบบ ข้อมูลประจำตัว หรือการตั้งค่าใด ๆ ก็อาจถูกบุกรุกหรือแก้ไขไปแล้ว ด้วยเหตุนี้การสร้างทุกอย่างขึ้นใหม่ทั้งหมด แม้จะมีค่าใช้จ่ายสูงและก่อความปั่นป่วน แต่มักเป็นทางเลือกเดียวที่มีความรับผิดชอบ

เรื่องนี้มีนัยยะโดยตรงต่อความเป็นส่วนตัว หากผู้โจมตีขโมยข้อมูลก่อนเข้ารหัสเซิร์ฟเวอร์ ข้อมูลเหล่านั้น (ซึ่งอาจรวมถึงข้อมูลของลูกค้า พนักงาน หรือคู่ค้าทางธุรกิจ) ก็อยู่นอกเหนือการควบคุมของบริษัทแล้ว ไม่ว่าจะจ่ายค่าไถ่หรือไม่ก็ตาม นี่คือรูปแบบเดียวกับการเปิดเผยข้อมูลที่ผลักดันให้เกิดความกังวลในวงกว้างเกี่ยวกับการสอดส่องและการจัดการข้อมูลส่วนบุคคล ซึ่งเป็นประเด็นที่พาดผ่านการถกเถียงเชิงกฎระเบียบอย่าง Chat Control ในสหภาพยุโรป ที่มีการถกเถียงกันว่าใครสามารถเข้าถึงการสื่อสารส่วนตัวได้และภายใต้เงื่อนไขใด บทเรียนนั้นเหมือนกันในทั้งสองสถานการณ์ คือเมื่อข้อมูลหลุดออกจากมือที่ปลอดภัยแล้ว แทบจะเป็นไปไม่ได้เลยที่จะรับประกันได้ว่าข้อมูลจะไม่ถูกนำไปใช้ในทางที่ผิด

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากคุณเป็นเจ้าของธุรกิจขนาดกลางและเล็กหรือทำงานในทีมไอทีเล็ก ๆ กรณีนี้ควรเป็นคำเตือนที่จับต้องได้ ไม่ใช่เรื่องเล่าไกลตัว ธุรกิจขนาดกลางและเล็กตกเป็นเป้าหมายที่น่าดึงดูดเพราะมักมีชั้นการป้องกันน้อยกว่าบริษัทขนาดใหญ่ แต่กลับจัดการข้อมูลที่มีค่าไม่ต่างกัน เช่น ข้อมูลทางการเงิน ข้อมูลลูกค้า และข้อมูลประจำตัวสำหรับเข้าถึงระบบคลาวด์

มาตรการเชิงปฏิบัติบางประการที่ช่วยลดความเสี่ยงไม่ให้ธุรกิจของคุณลงเอยในสถานการณ์คล้ายกัน ได้แก่ การเก็บสำรองข้อมูลที่แยกขาดจากเครือข่ายหลักอย่างแท้จริง (ออฟไลน์หรือเก็บบนพื้นที่จัดเก็บแบบเปลี่ยนแปลงไม่ได้) การตรวจสอบและจำกัดว่าใครมีสิทธิ์ผู้ดูแลระบบ และการเฝ้าติดตามการใช้เครื่องมือที่ถูกต้องตามกฎหมายของระบบปฏิบัติการซึ่งอาจถูกนำไปใช้ในทางที่ผิดได้ ดังเช่นกรณีของ BitLocker นี้ นอกจากนี้ยังควรตรวจสอบว่าการรับส่งข้อมูลภายในเครือข่ายและจากระยะไกลได้รับการปกป้องอย่างไร โดยเฉพาะหากพนักงานเชื่อมต่อจากสถานที่นอกสำนักงาน ในกรณีเช่นนี้ การทำความเข้าใจว่ามีเครื่องมือปกป้องใดบ้างสำหรับภูมิภาคของคุณ ดังรายละเอียดในคู่มือเกี่ยวกับ VPN ที่ดีที่สุดสำหรับเอลซัลวาดอร์ อาจช่วยให้คุณประเมินตัวเลือกที่คล้ายกันซึ่งใช้ได้กับเม็กซิโกและประเทศอื่น ๆ ในภูมิภาคได้

นอกจากนี้ ควรตระหนักว่าการขโมยข้อมูลระหว่างการโจมตีด้วยแรนซัมแวร์ไม่ใช่เหตุการณ์ที่โดดเดี่ยว ข้อมูลที่ถูกขโมยไปอาจถูกส่งต่อหรือนำไปใช้เพื่อวัตถุประสงค์อื่นต่อไป ซึ่งเป็นความเสี่ยงที่เชื่อมโยงกับความกังวลในวงกว้างเกี่ยวกับการติดตามและการใช้ข้อมูลส่วนบุคคล ดังที่เคยมีกรณีหน่วยงานบังคับใช้กฎหมาย ติดตามอุปกรณ์กว่าครึ่งพันล้านเครื่องโดยใช้ข้อมูลโฆษณา ในวงกว้าง

บทสรุป

การโจมตีด้วยแรนซัมแวร์ต่อธุรกิจขนาดกลางและเล็กในเม็กซิโกครั้งนี้ตอกย้ำสิ่งที่ผู้เชี่ยวชาญด้านความปลอดภัยไซเบอร์จำนวนมากพูดซ้ำมานานหลายปีว่า การจ่ายค่าไถ่แทบจะไม่ใช่จุดจบของเรื่องเลย การเข้าถึงโดยไม่ได้รับอนุญาตนานสามเดือน การขโมยข้อมูล และความจำเป็นในการสร้างโครงสร้างพื้นฐานทั้งหมดขึ้นใหม่ตั้งแต่ต้น แสดงให้เห็นว่าการป้องกันและการตรวจจับตั้งแต่เนิ่น ๆ มีค่ามากกว่าการเจรจาใด ๆ กับผู้โจมตีในภายหลัง หากธุรกิจของคุณยังไม่มีแผนสำรองข้อมูล เฝ้าติดตาม และตอบสนองต่อเหตุการณ์ที่ชัดเจน ตอนนี้คือช่วงเวลาที่ดีที่จะทบทวนแผนเหล่านั้น ก่อนที่คุณจะกลายเป็นสถิติรายถัดไป