ข้อมูลใหม่เกี่ยวกับการรีดไถซ้ำของแรนซัมแวร์แสดงอะไร

ตัวเลขใหม่ที่รายงานโดยคอนเนอร์ โจนส์ แห่ง DataBreaches.Net ยืนยันสิ่งที่นักวิจัยด้านความปลอดภัยคาดการณ์มานาน: การจ่ายเงินให้แก๊งแรนซัมแวร์ไม่ได้ยุติเรื่องร้าย แต่มักเป็นเพียงจุดเริ่มต้นของรอบสอง จากข้อมูลสำรวจที่อ้างอิงในรายงาน 58 เปอร์เซ็นต์ขององค์กรในสหราชอาณาจักรที่ได้รับผลกระทบเลือกจ่ายค่าไถ่เมื่อปีที่แล้ว ในจำนวนผู้ที่จ่ายไป 22 เปอร์เซ็นต์ถูกโจมตีซ้ำอีกโดยกลุ่มอาชญากรเดิมหรือกลุ่มอื่นที่เรียกร้องเงินก้อนที่สอง

นั่นหมายความว่าประมาณหนึ่งในห้าขององค์กรที่ตัดสินใจลำบากในการจ่ายเงินไม่ได้อะไรที่ยั่งยืนจากเงินที่เสียไป วงจรรีดไถก็แค่เริ่มต้นใหม่ บางครั้งภายในไม่กี่สัปดาห์ รูปแบบการจ่ายค่าไถ่ซ้ำซากนี้กำลังกลายเป็นลักษณะเด่นของภูมิทัศน์ภัยคุกคามในปัจจุบัน และกำลังบีบให้ทีมความปลอดภัยและผู้บริหารต้องทบทวนการคำนวณทั้งหมดว่าการจ่ายเงินเป็นการตอบสนองที่สมเหตุสมผลหรือไม่

ทำไมการจ่ายครั้งเดียวถึงเชื้อเชิญการโจมตีครั้งที่สอง

จากมุมมองของอาชญากร เหตุผลเบื้องหลังการรีดไถซ้ำนั้นตรงไปตรงมา เมื่อองค์กรแสดงให้เห็นว่าพร้อมจะจ่าย มันจะกลายเป็นเป้าหมายที่ถูกตีตรา ผู้ดำเนินการแรนซัมแวร์จะบันทึกว่าเหยื่อรายไหนยอมจำนน จ่ายเร็วแค่ไหน และยอมจ่ายมากเท่าไร ข้อมูลนี้มักจะหมุนเวียนอยู่ในเครือข่ายพันธมิตร และบางครั้งถูกขายหรือแบ่งปันระหว่างกลุ่มอาชญากรที่ดำเนินงานในรูปแบบแรนซัมแวร์-as-a-service

เหยื่อที่จ่ายเงิน 500,000 ดอลลาร์หนึ่งครั้ง ได้ส่งสัญญาณชัดเจนว่ามีทั้งเงินสดสำรองและความอดทนต่อความเสี่ยงที่จะจ่ายอีก ผู้โจมตีรู้ดีว่าการบุกรุกครั้งที่สอง แม้จะซับซ้อนน้อยกว่า ก็มีโอกาสสำเร็จสูงหากช่องโหว่พื้นฐานที่ทำให้การเจาะระบบครั้งแรกยังไม่ได้รับการแก้ไขอย่างสมบูรณ์ ในหลายกรณีการรีดไถสองและสามชั้น ข้อมูลที่ถูกขโมยไม่ได้ถูกลบออกหลังการจ่ายเงิน แม้จะมีคำสัญญาตรงกันข้าม ก็เปิดช่องให้เกิดข้อเรียกร้องตามมาโดยอาศัยการขู่จะเผยแพร่ข้อมูลที่ขโมยไปครั้งก่อนนั้น

นี่คือเหตุผลแน่ชัดที่หน่วยงานบังคับใช้กฎหมาย รวมถึง FBI ได้แนะนำอย่างต่อเนื่องว่าอย่าจ่ายค่าไถ่ การจ่ายเงินไม่รับประกันการกู้คืนข้อมูล ไม่รับประกันการลบไฟล์ที่ถูกขโมย และจากข้อมูลใหม่นี้ ก็ไม่รับประกันว่าผู้โจมตีจะไม่กลับมาอีก

แนวป้องกันเชิงรุกที่ลดความเสี่ยงจากแรนซัมแวร์

หากการจ่ายเงินไม่สามารถแก้ปัญหาได้อย่างน่าเชื่อถือ หนทางที่ยั่งยืนกว่าคือการลดโอกาสที่การเจาะระบบจะสำเร็จตั้งแต่แรก มีชั้นการป้องกันหลายชั้นที่ผลการสอบสวนเหตุการณ์ชี้ว่าเป็นจุดต่างระหว่างเหตุการณ์ที่ควบคุมได้กับเหตุการณ์ที่หายนะ

การแบ่งส่วนเครือข่าย (network segmentation) จำกัดขอบเขตการเคลื่อนที่ของผู้โจมตีเมื่อได้จุดตั้งต้นในระบบ แทนที่เครือข่ายแบบราบเรียบที่การเจาะข้อมูลประจำตัวเดียวเปิดทางไปทุกอย่าง สภาพแวดล้อมที่ถูกแบ่งส่วนบังคับให้ผู้โจมตีต้องต่อสู้เพื่อทุกนิ้วที่ขยับไป ซื้อเวลาให้ฝ่ายตั้งรับตรวจจับและตอบสนอง

การควบคุมการเข้าถึงแบบ zero-trust ถือว่าไม่มีผู้ใช้หรืออุปกรณ์ใดเชื่อถือได้โดยอัตโนมัติ แม้จะอยู่ภายในขอบเขตองค์กร ทุกคำขอเข้าถึงต้องถูกตรวจสอบ ทำให้การขโมยข้อมูลประจำตัวเพียงอย่างเดียวปลดล็อกระบบสำคัญได้ยากขึ้นมาก

การสำรองข้อมูลที่น่าเชื่อถือ ผ่านการทดสอบ และออฟไลน์ ยังคงเป็นหนึ่งในการป้องกันแรนซัมแวร์ที่มีประสิทธิภาพสูงสุด ไฟล์ที่ถูกเข้ารหัสหมดอำนาจต่อรองเมื่อองค์กรสามารถกู้คืนการดำเนินงานจากข้อมูลสำรองที่สะอาดโดยไม่ต้องเจรจากับใคร คำสำคัญคือ ทดสอบแล้ว: ข้อมูลสำรองที่ไม่ถูกตรวจสอบผ่านการซ้อมกู้คืนจริงมักจะล้มเหลวในยามจำเป็นที่สุด

การยืนยันตัวตนหลายปัจจัย การแก้ไขแพตช์ตามกำหนดสำหรับระบบที่เชื่อมต่ออินเทอร์เน็ต และการเฝ้าระวังอย่างต่อเนื่องเพื่อตรวจจับการเคลื่อนที่ภายในที่ผิดปกติ เติมเต็มพื้นฐานที่แยกองค์กรที่กู้คืนได้เร็วออกจากองค์กรที่ต้องเผชิญกับข้อเรียกร้องรีดไถครั้งที่สอง

องค์กรควรทำอะไรแทนการจ่ายเงิน

เมื่อเกิดเหตุการณ์แรนซัมแวร์จริง สัญชาตญาณที่จะจ่ายเร็วและทำให้ปัญหาหายไปเป็นสิ่งที่เข้าใจได้ โดยเฉพาะภายใต้แรงกดดันจากลูกค้า หน่วยงานกำกับดูแล หรือบอร์ดที่ต้องการข้อยุติเร็ว แต่ข้อมูลการรีดไถซ้ำแสดงชัดเจนว่าการจ่ายเงินไม่ใช่กลยุทธ์ทางออกที่น่าเชื่อถือ องค์กรจะดีกว่าหากให้หน่วยงานบังคับใช้กฎหมายเข้ามาเกี่ยวข้องตั้งแต่แรก ใช้ผู้เชี่ยวชาญตอบสนองต่อเหตุการณ์ที่ประเมินขอบเขตการรั่วไหลของข้อมูลที่แท้จริงได้ และโปร่งใสกับผู้มีส่วนได้ส่วนเสียที่ได้รับผลกระทบ แทนที่จะทึกทักว่าการจ่ายเงินเงียบ ๆ จะทำให้ปัญหาหายไป

ความหมายสำหรับคุณ

ไม่ว่าคุณจะดูแลไอทีของธุรกิจขนาดเล็กหรือกำกับนโยบายความปลอดภัยขององค์กรขนาดใหญ่ ข้อมูลนี้คือสัญญาณชัดเจนให้จัดลำดับความสำคัญใหม่ เงินที่กันไว้เป็นกองทุนสำรองค่าไถ่ใช้ไปได้ดีกว่ามากกับโครงการแบ่งส่วนเครือข่าย การเปิดใช้สถาปัตยกรรม zero-trust และโครงสร้างพื้นฐานการสำรองข้อมูลที่มีการทดสอบอย่างสม่ำเสมอ ควรทบทวนกรมธรรม์ประกันภัยไซเบอร์และสัญญาจ้างทีมตอบสนองเหตุการณ์เพื่อให้แน่ใจว่าเน้นความสามารถในการป้องกันและการกู้คืนมากกว่าการครอบคลุมเงินจ่ายค่าสินไหม

สำหรับบุคคลทั่วไป ข้อสรุปคล้ายกันในระดับเล็ก: รหัสผ่านที่แข็งแรงและไม่ซ้ำกัน การยืนยันตัวตนหลายปัจจัย และการสำรองข้อมูลอุปกรณ์ส่วนตัวและอุปกรณ์ในครอบครัวอย่างสม่ำเสมอ ลดโอกาสที่การติดแรนซัมแวร์ครั้งเดียวจะกลายเป็นฝันร้ายซ้ำซาก

ข้อปฏิบัติที่นำไปใช้ได้ทันที

  • ให้ถือว่าการจ่ายค่าไถ่เป็นทางเลือกสุดท้าย ไม่ใช่แผนตอบสนองอันดับแรก ข้อมูลแสดงให้เห็นว่ามันล้มเหลวในการยุติภัยคุกคามบ่อยครั้ง
  • ลงทุนในการแบ่งส่วนเครือข่าย เพื่อที่บัญชีที่ถูกบุกรุกเพียงบัญชีเดียวจะไม่เปิดทางสู่สภาพแวดล้อมทั้งหมด
  • ใช้หลักการ zero-trust สำหรับการเข้าถึงภายในและระยะไกล ตรวจสอบทุกคำขอแทนที่จะเชื่อถือจากตำแหน่งเครือข่ายเพียงอย่างเดียว
  • ดูแลข้อมูลสำรองที่ออฟไลน์และผ่านการทดสอบอย่างสม่ำเสมอ เพื่อให้การกู้คืนไม่ขึ้นอยู่กับการเจรจากับอาชญากร
  • สร้างแผนตอบสนองเหตุการณ์ตอนนี้ ก่อนการโจมตีจะเกิดขึ้น เพื่อที่การตัดสินใจจะไม่ได้เกิดขึ้นภายใต้ความตื่นตระหนกและแรงกดดัน

การเพิ่มขึ้นของการจ่ายเงินรีดไถซ้ำของแรนซัมแวร์เป็นข้อโต้แย้งที่หนักแน่นให้ย้ายทรัพยากรจากการเจรจาแบบตั้งรับไปสู่การป้องกันเชิงรุก องค์กรที่เปลี่ยนตอนนี้จะมีสถานะที่ดีกว่ามากเมื่อเทียบกับองค์กรที่ยังหวังว่าการจ่ายเงินครั้งเดียวจะทำให้ปัญหาหายไป