เมื่อแรนซัมแวร์กลายเป็นปัญหาของลูกค้า
แรนซัมแวร์เคยเป็นเรื่องปวดหัวทางเทคนิคเสมอมา แต่มันได้พัฒนาไปอย่างเงียบๆ สู่สิ่งที่ใหญ่กว่ามาก: ภัยคุกคามโดยตรงต่อความเป็นส่วนตัวของลูกค้าและสถานะทางการเงินของบริษัทไปพร้อมกัน ตามรายงานล่าสุดเกี่ยวกับกลยุทธ์การรีดไถผ่านเครือข่าย ผู้โจมตีมีแนวโน้มที่จะติดต่อลูกค้าขององค์กรเหยื่อเอง หากไม่มีการจ่ายค่าไถ่ภายในกำหนดเวลาที่เข้มงวด รายละเอียดเพียงข้อเดียวนี้เปลี่ยนการคำนวณความเสี่ยงให้กับทุกธุรกิจที่เก็บข้อมูลลูกค้า เพราะผลกระทบไม่ได้จำกัดอยู่แค่ในแผนกไอทีและทีมรับมือเหตุการณ์อีกต่อไป แต่มันลามไปถึงความเชื่อมั่นของลูกค้า ความเสี่ยงด้านกฎระเบียบ และผลกำไรโดยตรง
กลยุทธ์นี้ ซึ่งบางครั้งเรียกว่าการรีดไถสองชั้นหรือหลายชั้น ทำงานโดยการรวมการขโมยข้อมูลเข้ากับการขู่เปิดเผยข้อมูลต่อสาธารณะ ผู้โจมตีไม่ได้แค่เข้ารหัสไฟล์อีกต่อไป แต่พวกเขาจะขโมยบันทึกข้อมูลที่ละเอียดอ่อนออกไปก่อน แล้วใช้การขู่ว่าจะรั่วไหลหรือแจกจ่ายข้อมูลนั้น (ให้กับนักข่าว หน่วยงานกำกับดูแล หรือตอนนี้คือตัวลูกค้าเอง) เป็นเครื่องมือต่อรองเพิ่มเติม สำหรับเหยื่อ นั่นหมายความว่าการตัดสินใจว่าจะจ่ายค่าไถ่หรือไม่ ไม่ใช่แค่เรื่องทางเทคนิคหรือการเงินอีกต่อไป แต่มันคือการตัดสินใจที่อาจรวมถึงการแจ้งเตือน หรือการไม่แจ้งเตือน ไปยังผู้คนที่ข้อมูลของพวกเขากำลังตกอยู่ในความเสี่ยง
เหตุใดกรมธรรม์ประกันภัยมาตรฐานจึงไม่เพียงพอ
ประเด็นที่สำคัญที่สุดประการหนึ่งที่รายงานได้หยิบยกขึ้นมาคือ กรมธรรม์ประกันภัยทรัพย์สินและความรับผิดทั่วไป รวมถึงรูปแบบประกันไซเบอร์ขั้นพื้นฐาน มักทำให้องค์กรตกอยู่ในความเสี่ยงเมื่อเกิดเหตุการณ์รีดไถในลักษณะนี้ กรมธรรม์แบบดั้งเดิมถูกสร้างขึ้นบนความเข้าใจที่แคบกว่าเกี่ยวกับความเสี่ยงไซเบอร์ โดยมักมุ่งเน้นไปที่ค่าชดเชยการหยุดชะงักทางธุรกิจหรือค่าใช้จ่ายในการกู้คืนข้อมูล พวกมันไม่ได้ถูกออกแบบมาสำหรับโลกที่ผู้โจมตีใช้ภัยคุกคามการแจ้งเตือนลูกค้าเป็นอาวุธกดดัน
ช่องว่างนี้สำคัญเพราะต้นทุนที่แท้จริงของเหตุการณ์รีดไถผ่านเครือข่ายนั้นไปไกลเกินกว่าตัวค่าไถ่เอง ค่าธรรมเนียมทางกฎหมาย ค่าปรับตามกฎระเบียบ การสืบสวนทางนิติวิทยาศาสตร์ การตรวจสอบเครดิตให้กับลูกค้าที่ได้รับผลกระทบ และความเสียหายต่อชื่อเสียง ล้วนเพิ่มพูนขึ้นอย่างรวดเร็ว และค่าใช้จ่ายเหล่านี้จำนวนมากไม่ได้รับการคุ้มครองโดยอัตโนมัติภายใต้กรมธรรม์ไซเบอร์ทั่วไป องค์กรที่เข้าใจว่าตนเองได้รับการคุ้มครองเพราะมีประกันไซเบอร์ "บางประเภท" อาจพบหลังจากเกิดเหตุการณ์เท่านั้นว่า กรมธรรม์ของตนมีช่องว่างที่สำคัญสำหรับสถานการณ์การรีดไถเฉพาะ โดยเฉพาะอย่างยิ่งสถานการณ์ที่เกี่ยวข้องกับภัยคุกคามการแจ้งเตือนไปยังบุคคลภายนอก
ส่วนหนึ่งที่ทำให้สถานการณ์เหล่านี้จัดการได้ยากคือองค์ประกอบของมนุษย์ที่อยู่เบื้องหลังการเจรจาค่าไถ่เอง ความเสี่ยงของการทำกระบวนการนั้นผิดพลาดถูกแสดงให้เห็นโดยกรณีต่างๆ เช่น การตัดสินจำคุกผู้เจรจาค่าไถ่ที่เกี่ยวข้องกับ BlackCat ซึ่งเป็นเครื่องเตือนใจว่าบุคคลที่นายหน้าทำข้อตกลงเหล่านี้ดำเนินการอยู่ในพื้นที่ที่คลุมเครือทางกฎหมาย และความผิดพลาดระหว่างการเจรจาอาจนำมาซึ่งผลลัพธ์ที่เกินเลยไปกว่าการสูญเสียทางการเงินในทันที
ผลกระทบทางการเงินแบบลูกโซ่ที่ CFO ละเลยไม่ได้
สำหรับ CFO และผู้บริหารความเสี่ยง ความท้าทายคือเหตุการณ์รีดไถผ่านเครือข่ายเพียงครั้งเดียวจะก่อให้เกิดปฏิกิริยาลูกโซ่ของค่าใช้จ่ายซึ่งแทบไม่ปรากฏในการประมาณความเสียหายเบื้องต้น มีการหยุดชะงักของการดำเนินงานทันที ตามด้วยภาระผูกพันทางกฎหมายและการปฏิบัติตามข้อกำหนดที่เชื่อมโยงกับข้อมูลส่วนบุคคลที่เปิดเผย ตามด้วยต้นทุนด้านชื่อเสียงจากการที่ลูกค้ารับรู้ว่าข้อมูลของพวกเขาถูกบุกรุก ซึ่งบางครั้งมาจากผู้โจมตีโดยตรงแทนที่จะเป็นจากบริษัทเอง
ประเด็นสุดท้ายนั้นสมควรได้รับความสนใจเป็นพิเศษ เมื่อผู้โจมตีข้ามบริษัทไปเลยและติดต่อไปยังลูกค้า มันจะพรากการควบคุมการสื่อสารในภาวะวิกฤตจากองค์กร แทนที่บริษัทจะควบคุมการเล่าเรื่องผ่านกระบวนการแจ้งเตือนที่วัดผลได้และตรวจสอบทางกฎหมายแล้ว ลูกค้าอาจทราบเกี่ยวกับการละเมิดครั้งแรกจากข้อความข่มขู่ที่ส่งโดยอาชญากร พลวัตนั้นขยายความเสียหายต่อชื่อเสียงและสามารถเร่งให้เกิดการสูญเสียลูกค้า การตรวจสอบจากหน่วยงานกำกับดูแล และแม้กระทั่งการฟ้องร้อง ซึ่งทั้งหมดนี้กระทบงบดุลนานหลังจากกำหนดเวลาค่าไถ่เริ่มต้นได้ผ่านพ้นไปแล้ว
สิ่งที่คุณควรทราบ
ไม่ว่าคุณจะดำเนินธุรกิจขนาดเล็กหรือจัดการความเสี่ยงระดับองค์กรในบริษัทขนาดใหญ่ ประเด็นสำคัญที่ต้องนำกลับไปคือ การรีดไถด้วยแรนซัมแวร์ไม่ใช่ปัญหาหลังบ้านของไอทีอีกต่อไป มันคือความเสี่ยงที่หันหน้าเข้าหาลูกค้า หากองค์กรของคุณเก็บข้อมูลส่วนบุคคล ไม่ว่าจะเป็นรายละเอียดการชำระเงิน บันทึกสุขภาพ หรือข้อมูลติดต่อพื้นฐาน คุณควรสันนิษฐานว่าเหตุการณ์แรนซัมแวร์ในอนาคตอาจรวมถึงการติดต่อไปยังผู้คนในฐานข้อมูลนั้นโดยตรง ความเป็นไปได้นั้นควรกำหนดรูปแบบวิธีที่คุณคิดเกี่ยวกับการวางแผนตอบสนองต่อเหตุการณ์ ระเบียบวิธีการสื่อสาร และความคุ้มครองของประกันภัย
สำหรับผู้บริโภคทั่วไป แนวโน้มนี้เป็นเครื่องเตือนใจที่มีประโยชน์ให้ระมัดระวังอยู่เสมอ หากคุณเคยได้รับข้อความที่ไม่คาดคิด อ้างว่าข้อมูลของคุณถูกขโมยจากบริษัทที่คุณทำธุรกิจด้วย ให้ตรวจสอบผ่านช่องทางอย่างเป็นทางการก่อนตอบกลับ และพึงระลึกว่าการแจ้งเตือนการละเมิดที่ถูกต้องตามกฎหมายนั้น แทบจะไม่มาพร้อมกับความเร่งด่วนหรือการข่มขู่ในสไตล์การเรียกค่าไถ่
แนวทางที่นำไปปฏิบัติได้
องค์กรต่างๆ ควรทบทวนกรมธรรม์ประกันไซเบอร์ โดยเฉพาะอย่างยิ่งสำหรับสถานการณ์การรีดไถและการแจ้งเตือนไปยังบุคคลภายนอก ไม่ใช่เพียงแค่ความคุ้มครองการกู้คืนข้อมูลทั่วไป จงสร้างแผนการสื่อสารที่ตั้งสมมติฐานว่าผู้โจมตีอาจพยายามติดต่อลูกค้าโดยตรง เพื่อให้องค์กรของคุณสามารถตอบสนองได้อย่างรวดเร็วและโปร่งใส แทนที่จะเป็นแบบตั้งรับ สุดท้ายนี้ จงปฏิบัติต่อความพร้อมรับมือแรนซัมแวร์ในฐานะปัญหาข้ามสายงานที่เกี่ยวข้องกับทีมการเงิน กฎหมาย และการสื่อสาร ไม่ใช่แค่ไอทีเท่านั้น เนื่องจากต้นทุนที่แท้จริงของการรีดไถผ่านเครือข่ายนั้นขยายไปไกลเกินกว่าจำนวนเงินค่าไถ่เสียอีก
