ผู้เจรจาที่ถูกไว้วางใจทำงานให้กับผู้โจมตี
เมื่อบริษัทถูกโจมตีด้วยแรนซัมแวร์ หนึ่งในการติดต่อแรกมักเป็นผู้เจรจามืออาชีพ ซึ่งถูกว่าจ้างให้ต่อรองลดค่าไถ่ ถ่วงเวลา และทำหน้าที่เป็นกันชนระหว่างผู้บริหารที่ตื่นตระหนกกับแฮกเกอร์อาชญากร ระบบนั้นตั้งอยู่บนพื้นฐานของความไว้วางใจอย่างยิ่ง คำตัดสินของศาลรัฐบาลกลางเมื่อไม่นานมานี้แสดงให้เห็นว่าเกิดอะไรขึ้นเมื่อความไว้วางใจนั้นถูกบ่อนทำลายจากภายใน
ผู้เจรจาค่าไถ่แรนซัมแวร์รายหนึ่งถูกตัดสินจำคุกในเรือนจำกลาง 70 เดือน หลังจากอัยการพบว่าเขาแอบสมรู้ร่วมคิดกับกลุ่มแรนซัมแวร์ BlackCat (หรือที่รู้จักในชื่อ ALPHV) ในขณะที่อ้างว่าเป็นตัวแทนของเหยื่อ แทนที่จะปกป้องบริษัทที่ว่าจ้างเขา เขากลับป้อนข้อมูลละเอียดอ่อนให้ผู้โจมตี รวมถึงข้อมูลเกี่ยวกับความคุ้มครองประกันภัยและวงเงินการจ่ายของลูกค้า ซึ่งทำให้อาชญากรมีอำนาจต่อรองมากขึ้นในการเรียกเงินเพิ่มและกดดันได้อย่างมีประสิทธิภาพ ส่วนหนึ่งของคำพิพากษายังให้เขาริบคริปโทเคอร์เรนซีที่เชื่อมโยงกับแผนการนี้ด้วย
คดีนี้ระบุองค์กรเหยื่ออย่างน้อยห้าราย รวมถึงบริษัทเครื่องมือแพทย์ในรัฐฟลอริดาที่ถูกเรียกร้องค่าไถ่ครั้งแรก 10 ล้านดอลลาร์ ก่อนจะจ่ายไปประมาณ 1.2 ล้านดอลลาร์ในท้ายที่สุด บริษัทเภสัชกรรมในรัฐแมริแลนด์ และคลินิกแพทย์แห่งหนึ่ง รายงานระบุว่าขอบเขตทั้งหมดของแผนการยังเกี่ยวพันกับความขัดแย้งภายในระหว่างแก๊งแรนซัมแวร์คู่แข่ง โดยกลุ่มหนึ่งขู่จะเปิดโปงปฏิบัติการของอีกกลุ่ม ซึ่งย้ำเตือนว่าแม้แต่ระบบนิเวศอาชญากรรมก็ไม่รอดพ้นจากความขัดแย้งภายในและการทรยศ
แผนการนี้บ่อนทำลายเหยื่ออย่างไร
ผู้เจรจาค่าไถ่แรนซัมแวร์อยู่ในตำแหน่งที่เปราะบางเป็นพิเศษ เพื่อทำงานของตน พวกเขามักจำเป็นต้องเข้าถึงข้อมูลที่บริษัทส่วนใหญ่ไม่มีวันให้คนนอก: จำนวนเงินสดที่มีอยู่ กรมธรรม์ประกันภัยไซเบอร์ครอบคลุมอะไรบ้าง กำหนดเส้นตายภายใน และระดับความสิ้นหวังของผู้บริหารในการแก้ไขสถานการณ์อย่างเงียบ ๆ ข้อมูลดังกล่าวควรเป็นความลับและใช้เพื่อปกป้องผลประโยชน์ของลูกค้าในระหว่างการเจรจาเท่านั้น
เมื่อผู้เจรจากลับส่งต่อข้อมูลนั้นให้ผู้โจมตี กระบวนการตอบสนองต่อเหตุการณ์ทั้งหมดก็ถูกทำลายตั้งแต่ยังไม่เริ่มต้น เหยื่อเชื่อว่าตนกำลังเจรจาจากจุดยืนของกลยุทธ์ที่รอบรู้ ขณะที่ในความเป็นจริงอีกฝ่ายรู้เพดานการเงินของตนอยู่แล้ว ความไม่สมดุลนั้นอาจอธิบายได้ว่าทำไมข้อเรียกร้องในคดีเหล่านี้จึงบานปลายรุนแรงนัก และทำไมข้อเรียกร้องครั้งแรกของบริษัทเครื่องมือแพทย์จึงสูงกว่าที่จ่ายไปในที่สุดถึงแปดเท่า
นี่ไม่ใช่เหตุการณ์ที่เกิดขึ้นเพียงครั้งเดียว ตามที่เรารายงานไว้ในบทความ ผู้เจรจาค่าไถ่แรนซัมแวร์ในฟลอริดาถูกตัดสินในคดีรีดไถ่อีกคดีในสหรัฐฯ หน่วยงานบังคับใช้กฎหมายระบุตัวผู้เจรจาหลายรายที่เชื่อมโยงกับเครือข่ายรีดไถที่เชื่อมกับ BlackCat เดียวกันแล้ว รูปแบบนี้ชี้ให้เห็นว่านี่ไม่ใช่การทรยศเพียงครั้งเดียว แต่เป็นความพยายามที่ตั้งใจและมีการจัดตั้งอย่างน้อยบางส่วนเพื่อแสวงประโยชน์จากอุตสาหกรรมการตอบสนองต่อเหตุการณ์จากภายใน
ผลกระทบด้านความเป็นส่วนตัวต่อเหยื่อที่ถูกละเมิดข้อมูล
ผลกระทบด้านความเป็นส่วนตัวในที่นี้ไปไกลกว่าแค่จำนวนค่าไถ่ บริษัทเครื่องมือแพทย์ บริษัทยา และคลินิกแพทย์ล้วนจัดเก็บข้อมูลผู้ป่วยและข้อมูลสุขภาพที่ละเอียดอ่อนเป็นประจำ เมื่อผู้เจรจาแอบทำงานสวนทางผลประโยชน์ของเหยื่อ มันย่อมก่อให้เกิดคำถามที่แท้จริงว่าข้อมูลละเอียดอ่อนอื่นใดที่อาจถูกเปิดเผย จัดการผิดพลาด หรือถูกใช้เป็นเครื่องมือต่อรองเพิ่มเติมในระหว่างกระบวนการขู่กรรโชก บริษัทที่ดำเนินงานในภาคสาธารณสุขและภาคส่วนที่มีการกำกับดูแลอื่น ๆ ถูกกำหนดให้ปกป้องข้อมูลผู้ป่วยภายใต้ข้อผูกพันด้านความเป็นส่วนตัวที่เข้มงวดอยู่แล้ว และการทรยศจากภายในระหว่างเหตุการณ์แรนซัมแวร์ยิ่งทำให้ทุกการตัดสินใจหลังจากนั้นซับซ้อนขึ้น รวมถึงว่าจะแจ้งผู้ที่ได้รับผลกระทบหรือไม่และอย่างไร
นอกจากนี้ยังเน้นให้เห็นจุดบอดที่หลายองค์กรไม่เคยคิดถึงจนกระทั่งสายเกินไป: ผู้ให้บริการตอบสนองต่อเหตุการณ์ ซึ่งรวมถึงผู้เจรจา บริษัทนิติวิทยาศาสตร์ และแม้แต่ที่ปรึกษากฎหมายที่ถูกเรียกตัวมาระหว่างการละเมิดข้อมูล แทบไม่เคยถูกตรวจสอบด้วยความเข้มงวดแบบเดียวกับที่ใช้กับความเสี่ยงจากบุคคลที่สามอื่น ๆ บริษัทอาจทำการตรวจสอบสถานะอย่างละเอียดกับผู้ให้บริการคลาวด์หรือผู้จำหน่ายซอฟต์แวร์ แต่กลับนำตัวผู้เจรจาเข้ามาในภาวะวิกฤตโดยอาศัยแค่ชื่อเสียงหรือความเร่งด่วนเป็นหลัก
สิ่งนี้มีความหมายต่อคุณอย่างไร
หากองค์กรของคุณจำเป็นต้องว่าจ้างผู้เจรจาค่าไถ่แรนซัมแวร์หรือบริษัทตอบสนองต่อเหตุการณ์ สักวันหนึ่ง คดีนี้คือเหตุผลที่คุณควรชะลอ อย่าตื่นตระหนก ตรวจสอบข้อมูลประจำตัวอย่างเป็นอิสระ แทนที่จะพึ่งพาการอ้างอิงจากบริษัทประกันภัยหรือผู้ติดต่อเพียงจุดเดียว ถามคำถามโดยตรงเกี่ยวกับวิธีที่ข้อมูลลูกค้าถูกจัดการ จัดเก็บ และแบ่งปัน และยืนกรานขอบเขตที่บันทึกเป็นลายลักษณ์อักษรว่าผู้เจรจาสามารถและไม่สามารถเปิดเผยอะไรได้บ้าง หากกรมธรรม์ประกันภัยไซเบอร์ของคุณบังคับให้ใช้รายชื่อผู้ให้บริการเฉพาะ ให้ทบทวนรายชื่อนั้นล่วงหน้า ก่อนที่การโจมตีจะเกิดขึ้น แทนที่จะเร่งรีบขณะเกิดเหตุจริงเมื่อทั้งอำนาจต่อรองและการตัดสินใจถูกบั่นทอน
สำหรับบุคคลทั่วไป ข้อคิดนั้นเรียบง่ายกว่าแต่ก็ยังสำคัญ: หากคุณได้รับแจ้งว่าผู้ให้บริการด้านสาธารณสุข ร้านขายยา หรือบริษัทเครื่องมือแพทย์ที่คุณเคยเกี่ยวข้องด้วย ประสบเหตุการณ์แรนซัมแวร์ จงให้ความสำคัญกับหนังสือแจ้งนั้นอย่างจริงจัง แม้บริษัทจะบอกว่าการเปิดเผยข้อมูลมีขอบเขตจำกัดก็ตาม คดีเช่นนี้แสดงให้เห็นว่าการจัดการภายในเมื่อเกิดการละเมิดข้อมูลอาจยุ่งเหยิงกว่าที่แถลงต่อสาธารณะมาก
ข้อคิดสำคัญ
คำพิพากษานี้คือตัวอย่างที่ชัดเจนและเกิดขึ้นได้ยากว่าบทบาทของผู้เจรจาค่าไถ่แรนซัมแวร์ ซึ่งสร้างขึ้นบนความลับและความไว้วางใจล้วน ๆ สามารถถูกใช้เป็นอาวุธต่อต้านองค์กรที่ตั้งใจจะปกป้องได้อย่างไร ตรวจสอบสถานะผู้ให้บริการตอบสนองต่อเหตุการณ์ของคุณก่อนวิกฤตจะมาถึง สร้างขอบเขตการแบ่งปันข้อมูลที่ชัดเจนไว้ในสัญญาและจำไว้ว่าอำนาจต่อรองของผู้เจรจาค่าไถ่แรนซัมแวร์นั้นขึ้นอยู่กับความลับที่ถูกเก็บไว้ทางฝั่งคุณ ไม่ใช่ฝั่งผู้โจมตี
