สี่ในห้าของการโจมตีด้วยแรนซัมแวร์ในปัจจุบันเริ่มต้นในลักษณะเดียวกัน: ด้วยข้อมูลประจำตัวของใครบางคน ไม่ใช่เซิร์ฟเวอร์ของพวกเขา สถิติเดียวนี้ รายงานโดย The Manila Times จับภาพการเปลี่ยนแปลงที่ก่อตัวมานานหลายปีแต่ตอนนี้ไม่อาจมองข้ามได้อีกต่อไป ผู้โจมตีไม่ได้เร่งค้นหาเซิร์ฟเวอร์ที่ไม่ได้แพตช์หรือช่องโหว่ zero-day อีกต่อไปแล้ว พวกเขาเพียงแค่ล็อกอิน โดยใช้ข้อมูลประจำตัวที่ถูกฟิชชิ่ง ซื้อ หรือรั่วไหล และเดินผ่านประตูหน้าเหมือนผู้ใช้ที่ได้รับอนุญาตทั่วไป

การเปลี่ยนแปลงนี้สำคัญเพราะมันเปลี่ยนความหมายที่แท้จริงของ “ความปลอดภัย” สำหรับองค์กรและบุคคลส่วนใหญ่ ไฟร์วอลล์ไม่สามารถหยุดใครที่มีชื่อผู้ใช้และรหัสผ่านที่ถูกต้องได้ เซิร์ฟเวอร์ที่แพตช์แล้วก็ไม่ช่วยอะไรหากผู้โจมตีไม่เคยจำเป็นต้องเจาะช่องโหว่มันเลย การโจมตีด้วยแรนซัมแวร์ที่อาศัยข้อมูลประจำตัวได้ย้ายสนามรบจากโครงสร้างพื้นฐานเครือข่ายไปสู่อัตลักษณ์ของมนุษย์ และนั่นหมายความว่าการป้องกันที่สำคัญที่สุดก็เปลี่ยนไปเช่นกัน

ทำไมอัตลักษณ์ ไม่ใช่โครงสร้างพื้นฐาน จึงเป็นจุดเริ่มต้นใหม่ของแรนซัมแวร์

หลายปีที่ผ่านมา กลยุทธ์การป้องกันแรนซัมแวร์มุ่งเน้นที่โครงสร้างพื้นฐาน: แพตช์เซิร์ฟเวอร์ของคุณ แบ่งส่วนเครือข่าย ตรวจสอบการบุกรุก การป้องกันเหล่านั้นยังสำคัญ แต่รับมือกับโมเดลภัยคุกคามที่ล้าสมัยมากขึ้นเรื่อยๆ เมื่อสี่ในห้าของการโจมตีเริ่มต้นด้วยการล็อกอินแทนที่จะเป็นการเจาะระบบ การคำนวณก็เปลี่ยนไป ผู้โจมตีตระหนักว่าข้อมูลประจำตัวถูกกว่า เร็วกว่า และมีโอกาสกระตุ้นสัญญาณเตือนน้อยกว่าช่องโหว่ทางเทคนิคมาก

ชุดฟิชชิ่ง เครื่องมือ credential stuffing และมัลแวร์ขโมยข้อมูล ทำให้การเก็บเกี่ยวรายละเอียดการล็อกอินเป็นธุรกิจที่ใช้ความพยายามต่ำแต่ได้ผลตอบแทนสูง เมื่อประกอบกับจำนวนรหัสผ่านที่ใช้ซ้ำกันทั้งบัญชีส่วนตัวและที่ทำงานจำนวนมหาศาล ผู้โจมตีก็มีอุปทานข้อมูลประจำตัวที่ใช้งานได้อย่างต่อเนื่องโดยไม่ต้องแตะไฟร์วอลล์เลย เมื่อเข้ามาแล้ว พวกเขาไม่ดูเหมือนผู้บุกรุก พวกเขาดูเหมือนพนักงาน ผู้รับเหมา หรือผู้ดูแลระบบที่กำลังทำงาน ซึ่งเป็นสิ่งที่ทำให้แนวทางนี้ได้ผลดีมาก

ข้อมูลประจำตัวที่ถูกขโมยหลีกเลี่ยงการป้องกันความปลอดภัยแบบดั้งเดิมได้อย่างไร

เครื่องมือความปลอดภัยแบบดั้งเดิมถูกสร้างขึ้นเพื่อตรวจจับความผิดปกติ: รูปแบบการรับส่งข้อมูลที่ผิดปกติ ความพยายามเข้าถึงโดยไม่ได้รับอนุญาต ลายเซ็นมัลแวร์ การล็อกอินที่ถูกต้องด้วยข้อมูลประจำตัวจริงไม่สะดุดสายส่วนใหญ่เหล่านั้น ระบบตรวจจับปลายทาง เครื่องมือป้องกันการบุกรุก และแม้แต่ไฟร์วอลล์ที่กำหนดค่าอย่างดี ถูกออกแบบมาเพื่อหยุดผู้โจมตีที่พยายามเจาะบางสิ่ง พวกมันมีประสิทธิภาพน้อยกว่ามากกับคนที่เพียงแค่ใช้กุญแจที่ถูกส่งให้ แม้ว่ากุญแจนั้นจะถูกขโมยก็ตาม

นี่เป็นส่วนหนึ่งของเหตุผลที่ปฏิบัติการแรนซัมแวร์รวดเร็วมากเมื่อได้เข้าถึง รายงานเกี่ยวกับ ปฏิบัติการแรนซัมแวร์ Spirals แสดงให้เห็นว่าผู้โจมตีเข้ารหัสสภาพแวดล้อมของเหยื่อทั้งหมดภายใน 24 ชั่วโมงหลังจากการเข้าถึงครั้งแรก เมื่อการเข้ามาไม่ต้องใช้การเจาะช่องโหว่ เวลาและทรัพยากรก็ไหลเข้าสู่ระยะทำลายล้างโดยตรง รูปแบบเดียวกันปรากฏในการโจมตีที่เกี่ยวข้องกับ CVE-2026-0257 ช่องโหว่การข้ามการตรวจสอบสิทธิ์ในไฟร์วอลล์ Palo Alto ที่ถูกใช้โดยผู้ปฏิบัติการแรนซัมแวร์ Qilin ซึ่งการตรวจสอบสิทธิ์ที่ถูกบุกรุก ไม่ใช่การแฮ็กแบบ brute-force ได้มอบฐานที่มั่นที่ผู้โจมตีต้องการ

การตรวจสอบสิทธิ์หลายปัจจัยและตัวจัดการรหัสผ่านเป็นแนวป้องกันด่านแรก

เนื่องจากข้อมูลประจำตัวที่ถูกขโมยเป็นจุดเริ่มต้นหลัก การป้องกันที่มีประสิทธิภาพที่สุดก็คือสิ่งที่ทำให้รหัสผ่านที่ถูกขโมยมีประโยชน์น้อยลงด้วยตัวมันเอง การตรวจสอบสิทธิ์หลายปัจจัย (MFA) เป็นตัวอย่างที่ชัดเจนที่สุด แม้ว่ารหัสผ่านจะถูกทำลายโดยฟิชชิ่งหรือการรั่วไหลของข้อมูล MFA ยังต้องการขั้นตอนการยืนยันที่สอง เช่น รหัสจากแอปตรวจสอบสิทธิ์หรือคีย์ฮาร์ดแวร์ ก่อนที่จะให้สิทธิ์เข้าถึง มันไม่ได้ขจัดความเสี่ยงทั้งหมด แต่ปิดเส้นทางที่ง่ายที่สุดสำหรับผู้โจมตีที่พึ่งพาข้อมูลประจำตัวในการล็อกอินเพียงอย่างเดียว

ตัวจัดการรหัสผ่านแก้ปัญหาที่เกี่ยวข้อง: การใช้รหัสผ่านซ้ำ เมื่อผู้คนใช้รหัสผ่านเดียวกันในหลายบัญชี ข้อมูลประจำตัวที่รั่วไหลเพียงชุดเดียวสามารถปลดล็อกหลายระบบที่ไม่เกี่ยวข้องกัน ตัวจัดการรหัสผ่านทำให้การใช้รหัสผ่านเฉพาะ ซับซ้อนสำหรับทุกบัญชีเป็นเรื่องที่ปฏิบัติได้ ซึ่งจำกัดขอบเขตความเสียหายเมื่อข้อมูลประจำตัวชุดหนึ่งถูกเปิดเผย เครื่องมือทั้งสองชนิดไม่ซับซ้อนในการตั้งค่า และทั้งสองต่างมุ่งเป้าไปที่จุดอ่อนที่แน่ชัดซึ่งการโจมตีด้วยแรนซัมแวร์ที่อาศัยข้อมูลประจำตัวใช้ประโยชน์

VPN มีบทบาทอย่างไรในการปกป้องการเข้าถึงบัญชีผู้ดูแลระบบและบัญชีที่อ่อนไหว

VPN ไม่ใช่กระสุนเงินสำหรับการขโมยข้อมูลประจำตัว แต่มันมีบทบาทเฉพาะและมีประโยชน์ โดยเฉพาะสำหรับผู้ดูแลระบบและใครก็ตามที่เข้าถึงระบบที่อ่อนไหวจากระยะไกล VPN เข้ารหัสการเชื่อมต่อระหว่างผู้ใช้กับเครือข่ายที่พวกเขาเข้าถึง ซึ่งช่วยป้องกันข้อมูลประจำตัวจากการถูกดักจับระหว่างทาง โดยเฉพาะบนเครือข่ายที่ไม่ปลอดภัยหรือสาธารณะ สำหรับผู้ดูแลระบบระยะไกลที่จัดการโครงสร้างพื้นฐานที่สำคัญ การใช้ VPN ร่วมกับ MFA เพิ่มชั้นอุปสรรคที่มีความหมายสำหรับผู้โจมตีที่มีเพียงรหัสผ่านที่ถูกขโมย

ควรทำความเข้าใจให้ชัดเจนว่า VPN ไม่ได้ทำอะไร: มันจะไม่หยุดใครบางคนไม่ให้ใช้ข้อมูลประจำตัวที่ถูกต้องและถูกขโมยเพื่อล็อกอินผ่านจุดเข้าถึงที่ถูกต้อง นั่นคือเหตุผลที่การใช้ VPN ควรถูกมองเป็นชั้นหนึ่งในหลายๆ ชั้น ทำงานร่วมกับ MFA สุขอนามัยรหัสผ่าน และการเฝ้าติดตามการเข้าถึง แทนที่จะเป็นการแก้ไขแบบเดี่ยวๆ

สิ่งนี้มีความหมายต่อคุณอย่างไร

หากคุณจัดการบัญชีที่อ่อนไหว ไม่ว่าจะเป็นเพื่อธุรกิจหรือการใช้งานส่วนตัว ข้อสรุปนั้นตรงไปตรงมา: รหัสผ่านของคุณไม่เพียงพออีกต่อไป และอาจไม่เพียงพอมาระยะหนึ่งแล้ว การโจมตีด้วยแรนซัมแวร์ที่อาศัยข้อมูลประจำตัวประสบความสำเร็จเพราะพวกมันใช้ประโยชน์จากนิสัยที่คาดเดาได้ของมนุษย์ การใช้รหัสผ่านซ้ำ การล็อกอินที่ไม่มีการป้องกัน และบัญชีที่ไม่มีขั้นตอนการยืนยันที่สอง การปิดช่องว่างเหล่านี้ไม่จำเป็นต้องใช้งบประมาณระดับองค์กรหรือความเชี่ยวชาญทางเทคนิค แต่มันต้องการนิสัยที่สม่ำเสมอที่ใช้กับทุกบัญชีที่สำคัญ

ข้อปฏิบัติที่นำไปใช้ได้

  • เปิดใช้การตรวจสอบสิทธิ์หลายปัจจัยในทุกบัญชีที่รองรับ โดยเริ่มจากอีเมล บริการทางการเงิน และการเข้าถึงระดับผู้ดูแลระบบใดๆ
  • ใช้ตัวจัดการรหัสผ่านเพื่อสร้างและจัดเก็บรหัสผ่านที่ไม่ซ้ำกัน ขจัดความเสี่ยงที่ข้อมูลประจำตัวที่ใช้ซ้ำจะถูกนำไปใช้ประโยชน์ในหลายบัญชี
  • ใช้ VPN ร่วมกับ MFA สำหรับการเข้าถึงผู้ดูแลระบบจากระยะไกล โดยเฉพาะเมื่อจัดการระบบผ่านเครือข่ายสาธารณะหรือไม่น่าเชื่อถือ
  • ปฏิบัติต่อสุขอนามัยข้อมูลประจำตัวเป็นแนวทางต่อเนื่อง ไม่ใช่การตั้งค่าครั้งเดียว เนื่องจากบัญชีและบริการใหม่ๆ จะถูกเพิ่มเข้ามาอย่างสม่ำเสมอ

กลุ่มแรนซัมแวร์ได้ปรับใช้กลยุทธ์ของพวกเขาเพราะมันได้ผล ข่าวดีก็คือมาตรการตอบโต้ MFA ตัวจัดการรหัสผ่าน และการควบคุมการเข้าถึงแบบหลายชั้น เป็นที่เข้าใจกันดีและอยู่ในวิสัยที่เกือบทุกคนเข้าถึงได้ การเปลี่ยนจากการเจาะระบบเป็นการล็อกอินหมายความว่าความรับผิดชอบในการป้องกันก็เปลี่ยนไปด้วย และตอนนี้มันอยู่ที่สุขอนามัยอัตลักษณ์ส่วนบุคคลมากพอๆ กับทีมความปลอดภัยเครือข่าย