จำนวนกลุ่มแรนซัมแวร์ทำสถิติสูงสุด แต่จำนวนเหยื่อไม่เพิ่มขึ้น

กิจกรรมแรนซัมแวร์บรรลุจุดเปลี่ยนครั้งสำคัญในไตรมาสนี้ ไม่ใช่เพราะการโจมตีชะลอตัว แต่เพราะสนามของผู้โจมตีหนาแน่นขึ้น เว็บไซต์รั่วไหลของข้อมูลติดตามกลุ่มแรนซัมแวร์ที่ยังเคลื่อนไหวอยู่ 93 กลุ่มในช่วงเวลาดังกล่าว ซึ่งเป็นสถิติสูงสุด ตามตัวเลขใหม่ที่รายงานโดย ITBrief อย่างไรก็ตาม แม้จำนวนผู้ปฏิบัติการจะเพิ่มขึ้น แต่จำนวนเหยื่อทั้งหมดยังทรงตัวเป็นส่วนใหญ่เมื่อเทียบกับไตรมาสก่อนหน้า

นั่นอาจฟังดูเป็นข่าวดีในตอนแรก แต่จริงๆ แล้วไม่ใช่ อย่างน้อยก็ไม่ใช่อย่างที่เห็น เว็บไซต์รั่วไหลของข้อมูลบันทึกเหยื่อแรนซัมแวร์ 2,139 รายในไตรมาสนี้ ซึ่งแทบไม่เปลี่ยนแปลงจากสามเดือนก่อนหน้า แต่ยังคงสูงกว่าช่วงเดียวกันของปีก่อนถึง 33% กล่าวอีกนัยหนึ่ง ระบบนิเวศแรนซัมแวร์ยังไม่เย็นลง มันเพียงกระจายตัวออกไปยังกลุ่มต่างๆ มากขึ้น โดยแต่ละกลุ่มอ้างสิทธิ์ในส่วนแบ่งที่เล็กลงของเค้กที่ยังคงเติบโต

ทำไมกลุ่มมากขึ้นไม่ได้หมายความว่าความเสี่ยงน้อยลง

จำนวนปฏิบัติการแรนซัมแวร์ที่ยังเคลื่อนไหวซึ่งทำสถิติสูงสุดชี้ให้เห็นถึงการเปลี่ยนแปลงที่มีนัยสำคัญในโครงสร้างของระบบนิเวศอาชญากรรม เป็นเวลาหลายปีที่แบรนด์แรนซัมแวร์หลักๆ เพียงไม่กี่รายควบคุมปริมาณการโจมตีส่วนใหญ่ เมื่อหน่วยงานบังคับใช้กฎหมายเข้าทลายหนึ่งในปฏิบัติการใหญ่เหล่านั้น จำนวนเหยื่อมักจะลดลงอย่างเห็นได้ชัดก่อนจะดีดกลับขึ้นมา

รูปแบบนั้นดูจะกำลังพังทลายลง ด้วยกลุ่ม 93 กลุ่มที่แข่งขันกันเพื่อเป้าหมาย เศรษฐกิจแรนซัมแวร์จึงดูคล้ายการผูกขาดทางอาญาจำนวนน้อยลง และ更像ตลาดที่แตกกระจาย กลุ่มที่เล็กกว่า ใหม่กว่า หรือเปลี่ยนแบรนด์ใหม่สามารถดูดซับปริมาณการโจมตีที่ปฏิบัติการขนาดใหญ่เคยสร้างขึ้นได้ด้วยตัวเอง ซึ่งทำให้ภัยคุกคามโดยรวมมีความยืดหยุ่นมากขึ้น การโค่นล้มกลุ่มที่โดดเด่นหนึ่งหรือสองกลุ่มไม่สามารถลดกิจกรรมการโจมตีโดยรวมได้อย่างมีนัยสำคัญอีกต่อไป เพราะอีกหลายสิบกลุ่มพร้อมที่จะเข้ามาเติมเต็มช่องว่าง

การแตกกระจายนี้ยังมีผลในทางปฏิบัติต่อฝ่ายป้องกันและองค์กรที่ให้ความสำคัญกับความเป็นส่วนตัว alike กลุ่มที่มากขึ้นหมายถึงความหลากหลายของกลยุทธ์ เครื่องมือ และพฤติกรรมการเจรจาค่าไถ่ที่มากขึ้น ซึ่งทำให้ยากต่อการสร้างคู่มือการป้องกันแบบเดียวสำหรับทุกสถานการณ์ บางกลุ่มอาศัยฟิชชิ่งและการใช้ประโยชน์จากช่องโหว่การเข้าถึงระยะไกลที่คุ้นเคย ในขณะที่กลุ่มอื่นเคลื่อนไหวอย่างรวดเร็วเพื่อใช้ประโยชน์จากช่องโหว่ที่เพิ่งเปิดเผยในซอฟต์แวร์องค์กร ตัวอย่างล่าสุดคือ การโจมตีช่องโหว่ N-central ของ Storm-1175 เพื่อติดตั้ง StormEncryptor ซึ่งแสดงให้เห็นว่าช่องโหว่ที่ยังไม่ได้รับการแพตช์เพียงจุดเดียวในซอฟต์แวร์จัดการไอทีที่ใช้งานกันอย่างแพร่หลายสามารถกลายเป็นจุดเริ่มต้นของเหตุการณ์แรนซัมแวร์เต็มรูปแบบได้เร็วเพียงใด

ผลกระทบด้านความเป็นส่วนตัวจากอัตราการโจมตีที่ทรงตัวแต่คงที่

เมื่อจำนวนเหยื่อแรนซัมแวร์ทรงตัว อาจชวนให้อ่านว่าเป็นสัญญาณของการมีเสถียรภาพ แต่ตัวเลขที่ทรงตัวซึ่งตั้งอยู่บนการเพิ่มขึ้น 33% เมื่อเทียบปีต่อปีและจำนวนกลุ่มที่เคลื่อนไหวสูงสุดเป็นประวัติการณ์ บอกเล่าเรื่องราวที่ต่างออกไป: ระดับพื้นฐานของความเสี่ยงได้ขยับสูงขึ้นและตั้งมั่นอยู่ตรงนั้น

เหตุการณ์แรนซัมแวร์ทุกครั้งมีองค์ประกอบของการเปิดเผยข้อมูลที่เกินกว่าไฟล์ที่ถูกล็อก ปฏิบัติการแรนซัมแวร์สมัยใหม่ส่วนใหญ่จับคู่การเข้ารหัสกับการขโมยข้อมูล โดยเผยแพร่บันทึกที่ถูกขโมยบนเว็บไซต์รั่วไหลเมื่อเหยื่อปฏิเสธที่จะจ่ายค่าไถ่ นั่นหมายความว่าข้อมูลส่วนบุคคล บันทึกทางการเงิน ข้อมูลสุขภาพ และการสื่อสารภายในมีความเสี่ยงที่จะถูกเปิดเผยต่อสาธารณะมากขึ้น ไม่ใช่แค่การหยุดชะงักของการดำเนินงานเท่านั้น ด้วยกลุ่มที่มากขึ้นซึ่งดำเนินเว็บไซต์รั่วไหลและโครงสร้างพื้นฐานการเจรจาอย่างอิสระ การติดตามว่าข้อมูลที่ถูกบุกรุกไปอยู่ที่ใดจึงยากขึ้นสำหรับทั้งเหยื่อและนักวิจัย

สำหรับผู้บริโภค การแตกกระจายนี้มีความสำคัญเพราะมันเพิ่มช่องทางที่ข้อมูลส่วนบุคคลของพวกเขาจะถูกเปิดเผย การรั่วไหลที่ผู้ให้บริการด้านสุขภาพ เขตโรงเรียน หรือผู้ขายธุรกิจขนาดเล็ก อาจส่งผลให้เกิดการทิ้งข้อมูลสาธารณะได้ง่ายพอๆ กับการรั่วไหลที่องค์กรขนาดใหญ่ จำนวนกลุ่มที่เคลื่อนไหวสูงสุดเป็นประวัติการณ์ชี้ให้เห็นว่าผู้โจมตีมีแนวโน้มที่จะกำหนดเป้าหมายองค์กรขนาดเล็กหรือขนาดกลางที่มีงบประมาณด้านความปลอดภัยน้อยกว่าแต่ยังถือครองข้อมูลส่วนบุคคลที่ละเอียดอ่อน

สิ่งนี้หมายถึงอะไรสำหรับคุณ

หากคุณเป็นบุคคลทั่วไป ความเสี่ยงในทางปฏิบัติไม่ได้เปลี่ยนแปลงไปอย่างมาก แต่โอกาสที่องค์กรบางแห่งที่ถือครองข้อมูลของคุณจะถูกโจมตีด้วยแรนซัมแวร์เพิ่มขึ้นอย่างเงียบๆ หากคุณดำเนินธุรกิจ โดยเฉพาะขนาดเล็กหรือขนาดกลาง จำนวนกลุ่มที่เคลื่อนไหวสูงสุดเป็นประวัติการณ์หมายความว่าคุณไม่สามารถสันนิษฐานได้อีกต่อไปว่าธุรกิจของคุณเล็กเกินไปที่จะเป็นเป้าหมาย ผู้โจมตีกำลังกระจายความเสี่ยง และการกระจายนั้นกำลังเติมเต็มช่องว่างที่เคยปกป้ององค์กรขนาดเล็กจากกลุ่มแรนซัมแวร์รายใหญ่

ประเด็นสำคัญคือภัยคุกคามแรนซัมแวร์ไม่ได้ถูกกำหนดโดยชื่อกลุ่มฉาวโฉ่เพียงไม่กี่ชื่ออีกต่อไป มันคือระบบนิเวศที่กว้างและแตกกระจายซึ่งผู้ปฏิบัติการหลายสิบรายกำลังล่าเป้าหมายที่เสี่ยงอยู่ตลอดเวลา ตั้งแต่ซอฟต์แวร์ที่ยังไม่ได้รับการแพตช์ไปจนถึงเครื่องมือเข้าถึงระยะไกลที่ถูกเปิดเผย

ข้อควรปฏิบัติที่นำไปใช้ได้จริง

  • ถือว่าการแพตช์ซอฟต์แวร์ของผู้ขายและบุคคลที่สามเป็นเรื่องสำคัญลำดับต้น ไม่ใช่เรื่องที่คิดทีหลัง ช่องโหว่ในเครื่องมือไอทีที่ใช้งานกันอย่างแพร่หลายยังคงเป็นจุดเข้าทั่วไปสำหรับกลุ่มแรนซัมแวร์
  • สันนิษฐานว่าองค์กรใดก็ตามที่ถือครองข้อมูลส่วนบุคคลของคุณ ไม่ว่าขนาดใด อาจเป็นเป้าหมายได้ ติดตามการแจ้งเตือนการรั่วไหล และพิจารณาการติดตามเครดิตหรือยืนยันตัวตนหากคุณได้รับการแจ้งเตือนเหตุการณ์
  • ธุรกิจควรมีการสำรองข้อมูลแบบออฟไลน์ที่ผ่านการทดสอบและแผนตอบสนองต่อเหตุการณ์ที่ครอบคลุมการขโมยข้อมูลและการเปิดเผยบนเว็บไซต์รั่วไหล ไม่ใช่แค่การเข้ารหัสระบบเท่านั้น
  • ติดตามข้อมูลเกี่ยวกับแคมเปญแรนซัมแวร์เฉพาะและช่องโหว่ที่ถูกใช้โจมตีซึ่งส่งผลต่อซอฟต์แวร์ที่องค์กรของคุณพึ่งพา เนื่องจากกลุ่มใหม่นำกลยุทธ์เหล่านี้มาใช้เร็วกว่าที่เคย

จำนวนกลุ่มแรนซัมแวร์ที่เคลื่อนไหวสูงสุดเป็นประวัติการณ์ในไตรมาสนี้เป็นสัญญาณว่าภูมิทัศน์ภัยคุกคามกำลังกระจายตัวมากขึ้นและยากต่อการทำลายด้วยการปิดทีละราย จำนวนเหยื่อที่ทรงตัวไม่ได้หมายความว่าความเสี่ยงทรงตัว มันหมายความว่าแรงกดดันได้พบหนทางใหม่ในการแพร่กระจาย