กลุ่มแรนซัมแวร์เพียงกลุ่มเดียวสามารถเจาะระบบขององค์กรที่มีชื่อเสียงที่สุดของแอฟริกาใต้ได้หลายแห่ง รวมถึง African National Congress (ANC), Anglo American, Mediclinic, South African Airways (SAA) และ Pick n Pay จุดร่วมของเหตุการณ์ทั้งหมดนี้คือ แรนซัมแวร์แบบขู่กรรโชกสองชั้น (double extortion) ซึ่งเป็นกลยุทธ์ที่กลายเป็นคู่มือเริ่มต้นของอาชญากรไซเบอร์ที่มุ่งเป้าไปยังองค์กรขนาดใหญ่ทั้งในแอฟริกาใต้และที่อื่น ๆ

สิ่งที่ทำให้การเจาะระบบระลอกนี้เป็นที่น่าสนใจไม่ใช่แค่ขนาดหรือความโดดเด่นของเหยื่อ แต่คือการที่ผู้โจมตีเพียงรายเดียวสามารถหาทางเข้าไปในภาคส่วนที่แตกต่างกันอย่างมากได้ซ้ำแล้วซ้ำเล่า ไม่ว่าจะเป็นพรรคการเมือง บริษัทยักษ์ใหญ่ด้านเหมืองแร่ ผู้ให้บริการด้านสุขภาพเอกชน สายการบินแห่งชาติ และผู้ค้าปลีกรายใหญ่ ขอบเขตดังกล่าวสะท้อนให้เห็นเป็นอย่างดีว่ากลุ่มแรนซัมแวร์ปฏิบัติการอย่างไรในปัจจุบัน และเหตุใดแรนซัมแวร์แบบขู่กรรโชกสองชั้นในแอฟริกาใต้จึงกลายเป็นปัญหาที่เกิดขึ้นอย่างต่อเนื่องสำหรับองค์กรที่เก็บรักษาข้อมูลของลูกค้า ผู้ป่วย หรือพลเมือง

เกิดอะไรขึ้น: กลุ่มแรนซัมแวร์เบื้องหลังการเจาะระบบ ANC, SAA และ Pick n Pay

ตามรายงาน ภัยคุกคามแรนซัมแวร์เดียวกันนี้เชื่อมโยงกับการบุกรุกที่ ANC, Anglo American, Mediclinic, SAA และ Pick n Pay แทนที่จะมุ่งเป้าไปที่อุตสาหกรรมหรือประเภทองค์กรเดียว กลุ่มนี้กลับทอดแหกว้างครอบคลุมหน่วยงานกึ่งรัฐ ยักษ์ใหญ่ภาคธุรกิจ ผู้ให้บริการด้านสุขภาพ และผู้ค้าปลีกที่ติดต่อกับผู้บริโภคโดยตรง ความกว้างขวางดังกล่าวบ่งชี้ว่ากลุ่มนี้ฉวยโอกาส โดยมุ่งไปที่เครือข่ายใดก็ตามที่มันสามารถเจาะได้ แทนที่จะยึดติดกับภาคส่วนหรือแรงจูงใจเฉพาะ

แต่ละองค์กรเหล่านี้ถือครองข้อมูลที่มีความอ่อนไหวในรูปแบบที่แตกต่างกันแต่เท่าเทียมกันในแง่ของความสำคัญ ANC ถือข้อมูลทางการเมืองและสมาชิก Anglo American ในฐานะบริษัทเหมืองแร่ระดับโลกถือข้อมูลองค์กรและการปฏิบัติการ Mediclinic ถือบันทึกสุขภาพผู้ป่วย SAA ถือข้อมูลผู้โดยสารและการเดินทาง Pick n Pay ถือข้อมูลความภักดีของลูกค้าและธุรกรรม การที่กลุ่มเดียวสามารถเข้าถึงสภาพแวดล้อมที่แตกต่างกันทั้งหมดนี้ได้ ตอกย้ำว่าผู้ปฏิบัติการแรนซัมแวร์ในปัจจุบันไม่ได้มุ่งหาเพียงรางวัลประเภทเดียว แต่พวกมันมุ่งหาอำนาจต่อรอง ไม่ว่าจะหาได้จากที่ใดก็ตาม

แรนซัมแวร์แบบขู่กรรโชกสองชั้นแตกต่างจากการโจมตีแบบดั้งเดิมอย่างไร

แรนซัมแวร์แบบดั้งเดิมนั้นค่อนข้างเรียบง่าย: ผู้โจมตีจะเข้ารหัสไฟล์ของเหยื่อและเรียกร้องการชำระเงินเพื่อแลกกับกุญแจถอดรหัส เมื่อเวลาผ่านไป องค์กรต่าง ๆ ป้องกันตัวจากโมเดลนี้ได้ดีขึ้นด้วยการเก็บรักษาข้อมูลสำรองแบบออฟไลน์ ซึ่งหมายความว่าพวกเขาสามารถกู้คืนระบบได้โดยไม่ต้องจ่ายค่าไถ่

กลุ่มแรนซัมแวร์จึงปรับตัว แรนซัมแวร์แบบขู่กรรโชกสองชั้นเพิ่มแรงกดดันชั้นที่สอง ก่อนที่จะเข้ารหัสระบบของเหยื่อ ผู้โจมตีจะคัดลอกหรือขโมยข้อมูลที่ละเอียดอ่อนออกจากเครือข่ายอย่างเงียบ ๆ ก่อน เมื่อการเข้ารหัสเริ่มขึ้นและมีการส่งข้อเรียกร้องค่าไถ่ เหยื่อจะเผชิญกับภัยคุกคามสองอย่างที่แยกจากกัน คือ จ่ายเพื่อให้ระบบกลับมาออนไลน์ และจ่ายอีกครั้ง (หรือรวมอยู่ในนั้น) เพื่อหยุดไม่ให้ข้อมูลที่ถูกขโมยถูกเผยแพร่หรือขายทางออนไลน์

แนวทางนี้ลบล้างการป้องกันด้วยข้อมูลสำรองที่หลายองค์กรพึ่งพา แม้ว่าบริษัทจะสามารถกู้คืนระบบจากข้อมูลสำรองได้โดยไม่ต้องจ่ายค่าไถ่ แต่ก็ยังต้องรับมือกับข้อเท็จจริงที่ว่าข้อมูลของตน ไม่ว่าจะเป็นบันทึกทางการเงิน ข้อมูลสุขภาพ หรือฐานข้อมูลลูกค้า อยู่ในมือของอาชญากรที่ข่มขู่จะรั่วไหลข้อมูลนั้น นั่นคือเหตุผลที่แน่ชัดว่าเหตุใดการขู่กรรโชกสองชั้นจึงกลายเป็นกลยุทธ์แรนซัมแวร์ที่โดดเด่น: มันให้จุดต่อรองที่สองแก่ผู้โจมตี แม้ว่าจุดแรกจะล้มเหลวก็ตาม

เหตุใดเรื่องนี้จึงสำคัญหากคุณเป็นลูกค้าขององค์กรเหล่านี้

หากคุณเป็นสมาชิกของ ANC เป็นผู้ป่วยที่ Mediclinic เป็นผู้โดยสารประจำกับ SAA เป็นสมาชิก Smart Shopper ของ Pick n Pay หรือเกี่ยวข้องกับ Anglo American ในลักษณะใดก็ตาม การเจาะระบบแบบนี้ไม่ได้เป็นเพียงปัญหาองค์กรที่จับต้องไม่ได้ แต่มันคือความเสี่ยงโดยตรงต่อข้อมูลส่วนบุคคลของคุณ การโจมตีแบบขู่กรรโชกสองชั้นมุ่งเป้าไปที่ประเภทข้อมูลที่มีคุณค่าเกินกว่าตัวองค์กรเองอย่างเฉพาะเจาะจง ได้แก่ ชื่อ รายละเอียดการติดต่อ หมายเลขประจำตัว ข้อมูลทางการเงิน บันทึกสุขภาพ และข้อมูลโปรแกรมสะสมคะแนน

เมื่อข้อมูลนั้นตกไปอยู่ในมือของกลุ่มแรนซัมแวร์ มันไม่จำเป็นต้องถูกจำกัดอยู่แค่ในนั้นเสมอไป บันทึกที่ถูกขโมยจากการเจาะระบบแบบนี้มักถูกเผยแพร่ ขาย หรือหมุนเวียนในฟอรัมอาชญากร บางครั้งก็นานหลังจากเหตุการณ์เริ่มแรกหายไปจากหัวข้อข่าว ระดับของการเปิดเผยข้อมูลอาจมหาศาล เพื่อให้เห็นภาพว่าผลกระทบลุกลามเหล่านี้มีขนาดใหญ่เพียงใด เหตุการณ์ข้อมูลรั่วไหลในเม็กซิโกที่เปิดเผยข้อมูลประจำตัว 195 ล้านราย แสดงให้เห็นว่าการบุกรุกขนาดใหญ่เพียงครั้งเดียวสามารถขยายวงกว้างได้มากเพียงใดเมื่อข้อมูลประจำตัวที่ถูกขโมยเริ่มแพร่กระจาย

แตกต่างจากแคมเปญไซเบอร์ที่เชื่อมโยงกับรัฐ ซึ่งมักมุ่งเน้นไปที่การจารกรรมหรือการรบกวนโครงสร้างพื้นฐาน ดังที่เห็นใน การโจมตีโดยรัฐที่รายงานในสิงคโปร์ กลุ่มแรนซัมแวร์แบบขู่กรรโชกสองชั้นมีแรงจูงใจด้านการเงิน นั่นหมายความว่าข้อมูลที่พวกมันขโมยไปจากคุณถูกปฏิบัติเสมือนเป็นสินค้าโภคภัณฑ์ เป็นสิ่งที่ต้องสร้างรายได้ผ่านการจ่ายค่าไถ่ การขายต่อ หรือการรั่วไหลสู่สาธารณะที่ออกแบบมาเพื่อกดดันองค์กรเหยื่อ

ขั้นตอนที่ปฏิบัติได้จริงเพื่อปกป้องข้อมูลของคุณหลังจากการเจาะระบบของบุคคลที่สาม

คุณไม่สามารถควบคุมได้ว่าองค์กรที่คุณทำธุรกิจด้วยจะถูกเจาะระบบหรือไม่ แต่คุณสามารถควบคุมวิธีการตอบสนองของคุณและวิธีการที่คุณยังคงเปิดเผยตัวหลังจากนั้นได้

  • ตรวจสอบว่าข้อมูลของคุณเป็นส่วนหนึ่งของการแจ้งเตือนการเจาะระบบใด ๆ จาก ANC, Anglo American, Mediclinic, SAA หรือ Pick n Pay หรือไม่ และปฏิบัติตามคำแนะนำเฉพาะใด ๆ ที่พวกเขาให้ไว้
  • เปลี่ยนรหัสผ่านสำหรับบัญชีใด ๆ ที่เชื่อมโยงกับองค์กรเหล่านี้ โดยเฉพาะอย่างยิ่งหากคุณใช้รหัสผ่านนั้นซ้ำที่อื่น
  • เปิดใช้การยืนยันตัวตนแบบสองขั้นตอนทุกที่ที่มีให้ โดยเฉพาะอย่างยิ่งสำหรับบัญชีการเงิน สุขภาพ และโปรแกรมสะสมคะแนน
  • ตรวจสอบรายการเคลื่อนไหวของบัญชีธนาคารและบัตรเครดิตเพื่อหาธุรกรรมที่ไม่คุ้นเคย เนื่องจากข้อมูลทางการเงินและข้อมูลประจำตัวมักเป็นทรัพย์สินที่มีค่าที่สุดที่ถูกขโมยในการเจาะระบบเหล่านี้
  • ระมัดระวังการพยายามฟิชชิงที่ตามมา เนื่องจากรายละเอียดส่วนบุคคลที่ถูกขโมยมักถูกใช้เพื่อประดิษฐ์อีเมลหรือข้อความหลอกลวงที่น่าเชื่อถือซึ่งอ้างอิงข้อมูลบัญชีจริง

ภาพรวมที่ใหญ่ขึ้นของแรนซัมแวร์แบบขู่กรรโชกสองชั้นในแอฟริกาใต้

ข้อเท็จจริงที่ว่ากลุ่มแรนซัมแวร์กลุ่มเดียวสามารถเข้าถึงพรรคการเมือง กลุ่มบริษัทเหมืองแร่ เครือข่ายด้านสุขภาพ สายการบิน และผู้ค้าปลีก แสดงให้เห็นว่าแรนซัมแวร์แบบขู่กรรโชกสองชั้นในแอฟริกาใต้ได้กลายเป็นความเสี่ยงร่วมกันในทุกภาคส่วน ไม่ใช่ปัญหาเฉพาะกลุ่มสำหรับอุตสาหกรรมใดอุตสาหกรรมหนึ่ง องค์กรต่าง ๆ มีความรับผิดชอบในการรักษาความปลอดภัยเครือข่ายของตน แต่ปัจเจกบุคคลก็มีบทบาทในการจำกัดความเสียหายเมื่อเกิดการเจาะระบบขึ้น

การรับทราบข้อมูลว่าองค์กรใดที่คุณมีปฏิสัมพันธ์ด้วยได้รับผลกระทบ การอัปเดตข้อมูลประจำตัวของคุณโดยทันที และการเฝ้าระวังสัญญาณของการนำข้อมูลไปใช้ในทางที่ผิด ล้วนเป็นขั้นตอนที่ปฏิบัติได้จริงและสามารถทำได้ การเจาะระบบข้อมูลที่เกี่ยวข้องกับสถาบันหลัก ๆ จะยังคงเกิดขึ้นต่อไป แต่การที่คุณตอบสนองต่อเหตุการณ์เหล่านี้ได้รวดเร็วเพียงใด อาจสร้างความแตกต่างระหว่างความไม่สะดวกเล็กน้อยกับปัญหาการโจรกรรมข้อมูลประจำตัวที่ร้ายแรง