ระบบนิเวศแรนซัมแวร์กำลังตกอยู่ในภาวะแตกสลาย ไม่ใช่ล่มสลาย

รายงานฉบับใหม่จาก Check Point Research เผยว่าระบบนิเวศแรนซัมแวร์กำลังแตกเป็นเสี่ยงๆ มากกว่าจะหดตัวลง และการกระจายตัวนี้ทำให้ภัยคุกคามคาดเดาได้ยากขึ้น ไม่ใช่จะมองข้ามได้ง่ายขึ้น งานวิจัยติดตามกลุ่มแรนซัมแวร์ที่ปฏิบัติการอยู่ทั้งสิ้น 93 กลุ่มในไตรมาสที่สองของปี 2026 ซึ่งเป็นตัวเลขสูงสุดเท่าที่เคยบันทึกมา การเติบโตดังกล่าวทำให้ส่วนแบ่งตลาดของสิบกลุ่มใหญ่ลดลงเหลือ 57.6 เปอร์เซ็นต์ ซึ่งเป็นสัญญาณว่ากลุ่มอาชญากรที่รวมศูนย์และครองตลาดไม่สามารถควบคุมเศรษฐกิจอาชญากรรมได้มากเท่าที่เคยเป็น

ในบรรดากลุ่มที่ถูกจัดทำโปรไฟล์ Check Point เน้นย้ำถึงการขึ้นอันดับอย่างรวดเร็วของกลุ่มที่เรียกตัวเองว่า 'The Gentlemen' ซึ่งนักวิจัยระบุว่าใช้เครื่องมือ AI อย่างหนักเพื่อเร่งโครงสร้างพื้นฐานแบ็กเอนด์ แทนที่จะใช้เวลาหลายเดือนในการสร้างเครื่องมือโจมตีและแพลตฟอร์มเจรจาตั้งแต่เริ่มต้น กลุ่มนี้ดูเหมือนจะใช้การพัฒนาที่ assisted ด้วย AI เพื่อตั้งปฏิบัติการที่ใช้งานได้จริงภายในเวลาที่เป็นเศษเสี้ยวของที่แก๊งแรนซัมแวร์รุ่นเก่าเคยต้องใช้

ทำไมกลุ่มที่มากขึ้นหมายถึงความเสี่ยงที่มากขึ้น ไม่ใช่น้อยลง

อาจดูเหมือนว่าระบบนิเวศแรนซัมแวร์ที่แตกกระจาย โดยไม่มีผู้เล่นหลักรายใดครองตลาด จะเป็นสภาพแวดล้อมที่ปลอดภัยกว่าสำหรับเหยื่อที่อาจตกเป็นเป้า ข้อมูลของ Check Point ชี้ให้เห็นตรงกันข้าม เมื่อกลุ่มอาชญากรขนาดใหญ่เพียงไม่กี่กลุ่มควบคุมตลาดส่วนใหญ่ ผู้ป้องกันสามารถทุ่มทรัพยากรไปที่การติดตามชุดกลยุทธ์ โครงสร้างพื้นฐาน และรูปแบบการเจรจาที่รู้จัก แต่เมื่อมี 93 กลุ่มที่แตกต่างกันปฏิบัติการอยู่ แต่ละกลุ่มมีเครื่องมือ เป้าหมายการโจมตี และสไตล์การข่มขู่เป็นของตัวเอง พื้นผิวการโจมตีโดยรวมที่ธุรกิจและบุคคลต้องเผชิญจึงมีความหลากหลายมากขึ้นและยากต่อการจัดทำโปรไฟล์

การกระจายอำนาจนี้ยังลดอุปสรรคในการเข้าสู่ตลาดสำหรับปฏิบัติการอาชญากรรมรายใหม่ โมเดลพันธมิตร โค้ดต้นฉบับที่รั่วไหล และตอนนี้การพัฒนาที่ assisted ด้วย AI หมายความว่ากลุ่มเล็กหรือกลุ่มใหม่สามารถเปิดแคมเปญแรนซัมแวร์ที่น่าเชื่อถือได้โดยไม่ต้องใช้เวลาหลายปีในการลงทุนด้านเทคนิคอย่างที่เคยต้องใช้ นั่นเป็นส่วนหนึ่งที่ทำให้กลุ่มอย่าง The Gentlemen ไต่ชาร์จอันดับได้เร็วขนาดนั้น

ค่าไถ่ที่สูงขึ้นแม้การยอมจ่ายจะลดลง

เศรษฐศาสตร์ของแรนซัมแวร์กำลังเปลี่ยนแปลงไปพร้อมกับโครงสร้างของมัน Check Point พบว่าจำนวนเงินค่าไถ่โดยเฉลี่ยที่จ่ายจริงพุ่งสูงเกิน 680,000 ดอลลาร์ แม้สัดส่วนของเหยื่อที่ยอมจ่ายจะลดลงเหลือประมาณ 23 เปอร์เซ็นต์ ซึ่งเป็นระดับต่ำสุดในรอบหกปี กล่าวอีกนัยหนึ่ง องค์กรน้อยลงที่ยอมจ่าย แต่กลุ่มที่จ่ายกลับจ่ายในจำนวนที่สูงกว่าอย่างมีนัยสำคัญ

แรงกดดันนั้นกำลังผลักดันให้ผู้ปฏิบัติการแรนซัมแวร์หันไปใช้กลยุทธ์ที่งานวิจัยเรียกว่า "ขโมยข้อมูลก่อนเข้ารหัส" (exfiltration-first): ขโมยข้อมูลอ่อนไหวก่อนที่จะลงมือเข้ารหัส จากนั้นขู่จะรั่วไหลหรือขายข้อมูลไม่ว่าจะจ่ายค่าไถ่หรือไม่ก็ตาม วิธีนี้ทำให้ผู้โจมตีมีอำนาจต่อรองแม้เหยื่อจะปฏิเสธการจ่ายเงินหรือมีระบบสำรองข้อมูลที่แข็งแกร่ง เนื่องจากความเสียหายจากข้อมูลที่ถูกเปิดเผย บันทึกลูกค้า ข้อมูลรับรอง หรือทรัพย์สินทางปัญญา อาจมีต้นทุนสูงพอๆ กับการหยุดชะงักของระบบ ข้อมูลรับรองที่ถูกขโมยจากแคมเปญเหล่านี้มักกลับมาปรากฏอีกครั้งในคอมโบลิสต์และตลาดมืดบนเว็บมืด ซึ่งเป็นการเปิดเผยแบบเดียวกับที่บันทึกไว้ใน การรั่วไหลของคอมโบลิสต์ Microsoft 42 ที่บันทึกการเข้าสู่ระบบที่ถูกขโมยก่อนหน้านี้ไปกระจายอยู่อย่างเปิดเผยบนโลกออนไลน์

โครงสร้างพื้นฐานที่เร่งด้วย AI เปลี่ยนกรอบเวลา

สิ่งที่ทำให้ The Gentlemen โดดเด่นในการวิเคราะห์ของ Check Point ไม่ใช่แค่การเติบโต แต่คือความเร็ว เครื่องมือที่ assisted ด้วย AI ดูเหมือนจะบีบวงจรการพัฒนาโครงสร้างพื้นฐานแบ็กเอนด์ของแรนซัมแวร์ให้สั้นลง ไม่ว่าจะเป็นเซิร์ฟเวอร์ พอร์ทัลเจรจา และไซต์รั่วไหลของข้อมูลที่สนับสนุนปฏิบัติการข่มขู่ งานที่เคยต้องใช้เวลาเป็นสัปดาห์หรือเป็นเดือนสำหรับนักพัฒนาที่มีทักษะ ตอนนี้สามารถสร้างต้นแบบและนำไปใช้งานได้เร็วกว่ามาก ทำให้กลุ่มใหม่สามารถแข่งขันกับผู้เล่นที่ตั้งมั่นได้เกือบจะทันทีหลังจากก่อตั้ง

สิ่งนี้สะท้อนรูปแบบที่กว้างขึ้นซึ่งนักวิจัยชี้ให้เห็นในอาชญากรรมไซเบอร์โดยทั่วไป: ผู้ก่อภัยคุกคามนำเครื่องมือเพิ่มประสิทธิภาพและระบบอัตโนมัติกระแสหลักมาใช้เพื่อขยายปฏิบัติการที่เคยต้องใช้ทีมงานขนาดใหญ่ การเพิ่มประสิทธิภาพที่คล้ายกันนี้ปรากฏในแคมเปญอื่นๆ รวมถึงปฏิบัติการมัลแวร์อย่างที่อธิบายไว้ใน มัลแวร์ติดตั้ง MSI targeting นักเทรดคริปโต ซึ่งอาศัยทางลัดทางเทคนิคที่ง่ายแต่ได้ผลเพื่อหลบเรดาร์เป็นเวลาหลายเดือน

สิ่งนี้หมายถึงอะไรสำหรับคุณ

สำหรับบุคคลทั่วไป พาดหัวข่าวแรนซัมแวร์อาจดูไกลตัว เป็นเรื่องที่เกิดกับโรงพยาบาล รัฐบาลเมือง หรือบริษัทขนาดใหญ่ แต่การเปลี่ยนแปลงไปสู่กลยุทธ์ขโมยข้อมูลก่อนเข้ารหัสหมายความว่าข้อมูลส่วนบุคคลที่องค์กรใดก็ตามที่คุณติดต่อด้วยเก็บไว้ ไม่ว่าจะเป็นนายจ้าง ผู้ให้บริการสุขภาพ ธนาคาร หรือบริการออนไลน์ กำลังตกเป็นเป้ามากขึ้นแม้องค์กรนั้นจะไม่ถูกโจมตีด้วยมัลแวร์เข้ารหัสไฟล์ในความหมายดั้งเดิมก็ตาม ระบบนิเวศแรนซัมแวร์ที่เติบโตขึ้นด้วย 93 กลุ่มที่ปฏิบัติการอยู่ ยังหมายความว่าโอกาสที่ผู้ขายหรือบริการบางอย่างที่คุณใช้จะตกเป็นเป้าในปีใดปีหนึ่งกำลังเพิ่มขึ้น ไม่ใช่ลดลง

สำหรับธุรกิจและทีมไอที อัตราการยอมจ่ายที่ลดลงรวมกับค่าไถ่ที่สูงขึ้นส่งสัญญาณว่าผู้โจมตีคาดหวังการจ่ายเงินที่น้อยครั้งขึ้นแต่จำนวนมากขึ้น การมีระบบสำรองข้อมูลออฟไลน์ที่แข็งแกร่ง การควบคุมการเข้าถึงที่เข้มงวด และการตรวจจับการขโมยข้อมูลตั้งแต่เนิ่นๆ จึงสำคัญกว่าที่เคย เนื่องจากการเข้ารหัสไฟล์มักไม่ใช่กลไกหลักที่ผู้โจมตีใช้บีบให้จ่ายเงินอีกต่อไป

ข้อควรปฏิบัติที่นำไปใช้ได้จริง

  • สมมติไว้เสมอว่าบริการใดก็ตามที่จัดการข้อมูลส่วนบุคคลของคุณอาจตกเป็นเป้าของแรนซัมแวร์แบบขโมยข้อมูลก่อนเข้ารหัส ไม่ใช่แค่การโจมตีด้วยการเข้ารหัสแบบดั้งเดิม
  • ใช้รหัสผ่านที่รัดกุมและไม่ซ้ำกัน พร้อมตัวจัดการรหัสผ่าน เพื่อให้ชุดข้อมูลรับรองที่รั่วไหลหนึ่งชุดไม่ทำให้หลายบัญชีถูกบุกรุก
  • เปิดใช้การยืนยันตัวตนหลายชั้น (MFA) ทุกที่ที่มีให้ โดยเฉพาะพอร์ทัลการเงิน อีเมล และสุขภาพ
  • หากคุณดำเนินธุรกิจหรือให้คำปรึกษาธุรกิจ ให้ความสำคัญกับระบบสำรองข้อมูลออฟไลน์และการตรวจสอบการป้องกันการสูญเสียข้อมูลมากกว่าการวางแผนเจรจาค่าไถ่
  • ตรวจสอบอีเมลและบัญชีของคุณกับฐานข้อมูลการรั่วไหลที่รู้จักเป็นระยะๆ เนื่องจากข้อมูลรับรองที่ถูกขโมยจากการละเมิดแรนซัมแวร์มักกลับมาปรากฏในคอมโบลิสต์

การขึ้นมาของ 'The Gentlemen' และการแตกกระจายในวงกว้างที่ Check Point Research บันทึกไว้ในไตรมาสนี้แสดงให้เห็นว่าระบบนิเวศแรนซัมแวร์กำลังวิวัฒนาการเร็วกว่าที่ระบบป้องกันจำนวนมากถูกสร้างขึ้นเพื่อรับมือ การติดตามข้อมูลว่ากลุ่มเหล่านี้ปฏิบัติการอย่างไร และให้ความสำคัญกับข้อควรระวังพื้นฐานอย่างจริงจัง ยังคงเป็นวิธีที่ปฏิบัติได้จริงที่สุดในการนำหน้าเส้นทางภัยคุกคามที่แน่นขนัดขึ้นเรื่อยๆ