การข่มขู่สองชั้นหมายถึงอะไรนอกเหนือจากการเข้ารหัสไฟล์

คนส่วนใหญ่มักจินตนาการว่าการโจมตีแบบแรนซัมแวร์คือหน้าจอถูกล็อกและตัวนับเวลาถอยหลังเรียกร้องเงินเพื่อปลดล็อกไฟล์ที่เข้ารหัส ภาพนั้นล้าสมัยแล้ว การวิเคราะห์การกู้คืนจากแรนซัมแวร์ล่าสุดของ RedRiver ทำให้ชัดเจนว่าการเข้ารหัสมักเป็นขั้นตอนสุดท้ายของการบุกรุกที่ยาวนานกว่ามาก ไม่ใช่สัญญาณแรกของปัญหา กลุ่มแรนซัมแวร์จำนวนมากในปัจจุบันใช้การข่มขู่สองชั้น ซึ่งเป็นกลยุทธ์ที่ผู้โจมตีขโมยข้อมูลที่ละเอียดอ่อนก่อนที่จะเริ่มการเข้ารหัสที่ล็อกเหยื่อออกจากระบบของตนเอง

ภายใต้การข่มขู่สองชั้น การจ่ายค่าไถ่เพื่อถอดรหัสไฟล์ไม่ได้ทำให้ปัญหาหมดไป ผู้โจมตียังคงถือสำเนาข้อมูลที่ขโมยไป และสามารถขู่ว่าจะรั่วไหลหรือขายข้อมูลนั้นได้ไม่ว่าค่าไถ่จะได้รับการจ่ายหรือไม่ก็ตาม สำหรับธุรกิจ สิ่งนี้เปลี่ยนแปลงการคำนวณทั้งหมดของการกู้คืน สำหรับผู้บริโภคทั่วไปที่ข้อมูลของตนอยู่ในระบบของบริษัทที่ถูกบุกรุก นั่นหมายความว่าอันตรายไม่ได้จบลงเมื่อข่าวการโจมตีด้วยแรนซัมแวร์จางหายไป

ทำไมการเข้าถึงโดยไม่ถูกตรวจพบเป็นเวลาหลายเดือนจึงสำคัญต่อข้อมูลที่ถูกเปิดเผย

หนึ่งในประเด็นที่น่ากังวลที่สุดในคำแนะนำของ RedRiver คือกรอบเวลา ข้อความเรียกค่าไถ่มักปรากฏขึ้นหลังจากที่ผู้โจมตีใช้เวลาอย่างมาก ซึ่งในหลายกรณีอธิบายไว้ว่านานกว่าหกเดือน ในการปฏิบัติการภายในเครือข่ายของเหยื่ออย่างเงียบๆ ก่อนที่จะ deploy แรนซัมแวร์จริง ในช่วงเวลานั้น ข้อมูลรับรองจะถูกเก็บเกี่ยว ข้อมูลอาจถูกขโมย และผู้โจมตีเคลื่อนที่ตามขวางในระบบไปไกลเกินกว่าสิ่งที่แสดงหน้าจอข้อผิดพลาดในวันที่การโจมตีปรากฏให้เห็น

นั่นคือเหตุผลที่การสืบสวนทางนิติเวชอย่างเหมาะสมหลังเหตุการณ์แรนซัมแวร์ต้องตอบคำถามสองข้อที่แยกจากกัน: อะไรถูกเข้ารหัส และอะไรถูกขโมยไป สิ่งเหล่านั้นไม่ใช่ปัญหาเดียวกัน และการปฏิบัติต่อทั้งสองเป็นเรื่องเดียวกันคือความผิดพลาดที่พบบ่อย องค์กรสามารถกู้คืนไฟล์ที่เข้ารหัสทุกไฟล์จากระบบสำรองข้อมูลได้ และยังคงมีปัญหาการเปิดเผยข้อมูลที่ยังไม่ได้รับการแก้ไขซึ่งอยู่ในความครอบครองของผู้โจมตี นี่คือเหตุผลที่ กลยุทธ์การป้องกันแรนซัมแวร์ที่สร้างขึ้นรอบๆ ระบบสำรองข้อมูลเพียงอย่างเดียวไม่เพียงพอ ในปี 2025 ระบบสำรองข้อมูลแก้ปัญหาความพร้อมใช้งานได้ แต่ไม่ได้ทำอะไรเลยกับปัญหาการรักษาความลับที่การข่มขู่สองชั้นสร้างขึ้น

ผู้บริโภคควรทำอย่างไรหากข้อมูลของตนถูกจับอยู่ในเหตุการณ์ละเมิดข้อมูล

หากคุณได้รับการแจ้งเตือนการละเมิดข้อมูลที่เกี่ยวข้องกับเหตุการณ์แรนซัมแวร์ ให้ถือว่าเป็นหลักฐานว่าข้อมูลของคุณอาจถูกคัดลอกโดยผู้โจมตี ไม่ใช่แค่ไม่สามารถเข้าถึงได้ชั่วคราว ขั้นตอนปฏิบัติสองสามขั้นตอนสร้างความแตกต่างได้จริง:

  • เปลี่ยนรหัสผ่านที่เชื่อมโยงกับบัญชีที่ได้รับผลกระทบ และบัญชีอื่นใดที่คุณใช้รหัสผ่านเดียวกันซ้ำ การเก็บเกี่ยวข้อมูลรับรองเป็นส่วนหนึ่งของกิจวัตรของการบุกรุกเหล่านี้ และรหัสผ่านที่ใช้ซ้ำเป็นหนึ่งในวิธีที่ง่ายที่สุดที่ผู้โจมตีใช้เพื่อเปลี่ยนจากการละเมิดหนึ่งไปยังบัญชีที่ไม่เกี่ยวข้อง
  • เปิดใช้งานการยืนยันตัวตนหลายปัจจัย ทุกที่ที่มีให้ โดยเฉพาะอีเมล ธนาคาร และบัญชีใดๆ ที่สามารถใช้รีเซ็ตข้อมูลรับรองอื่นๆ ได้
  • ระวังฟิชชิงที่อ้างอิงรายละเอียดจริงจากการละเมิด ผู้โจมตีที่ขโมยข้อมูลบางครั้งใช้ข้อมูลนั้นเพื่อสร้างกลลวงติดตามผลที่น่าเชื่อถือ เนื่องจากข้อความที่อ้างอิงหมายเลขบัญชีจริงหรือประวัติการซื้อของคุณน่าเชื่อถือกว่าความพยายามฟิชชิงทั่วไปมาก
  • พิจารณาอายัดเครดิตหรือบริการเฝ้าระวัง หากข้อมูลที่เปิดเผยรวมถึงข้อมูลทางการเงินหรือข้อมูลระบุตัวตน เนื่องจากข้อมูลที่รั่วไหลจากเหตุการณ์ข่มขู่สองชั้นสามารถปรากฏบนตลาดมืดทางอาชญากรรมได้นานหลังจากการโจมตีครั้งแรก

ไม่มีขั้นตอนเหล่านี้ใดที่จะยกเลิกการเปิดเผยข้อมูลได้ แต่ขั้นตอนเหล่านี้จำกัดความเสียหายที่ผู้โจมตีสามารถทำได้กับข้อมูลที่อยู่นอกเหนือการควบคุมของคุณแล้ว

สิ่งนี้เข้ากับภาพรวมการกู้คืนจากแรนซัมแวร์อย่างไร

ความเสี่ยงฝั่งผู้บริโภคที่อธิบายไว้นี้เป็นอาการของรูปแบบที่ใหญ่กว่าในการกู้คืนจากแรนซัมแวร์: การจ่ายเงินไม่ได้รับประกันผลลัพธ์ที่สะอาด การศึกษาที่ครอบคลุมออสเตรเลียและนิวซีแลนด์พบว่า 36% ของการจ่ายค่าไถ่ล้มเหลวในการกู้คืนข้อมูลจริง ซึ่งเน้นย้ำว่าการจ่ายค่าไถ่คือการพนันแม้ในคำถามแคบๆ เรื่องการได้ไฟล์กลับคืนมา ไม่ต้องพูดถึงการป้องกันการรั่วไหลของข้อมูล คำแนะนำที่เน้นการกู้คืนอื่นๆ รวมถึง คำแนะนำการกู้คืนจากแรนซัมแวร์ทีละขั้นตอน ตอกย้ำข้อความเดียวกัน: การกู้คืนต้องจัดการทั้งการคืนสภาพและการเปิดเผยข้อมูล โดยปฏิบัติต่อทั้งสองเป็นเส้นทางที่แยกจากกันด้วยกรอบเวลาที่แตกต่างกัน

สิ่งนี้หมายถึงอะไรสำหรับคุณ

ไม่ว่าคุณจะเป็นผู้นำธุรกิจที่จัดการเหตุการณ์ที่กำลังเกิดขึ้นหรือผู้บริโภคที่ได้รับการแจ้งเตือนการละเมิด บทเรียนก็เหมือนกัน การเปิดเผยข้อมูลจากการข่มขู่สองชั้นของแรนซัมแวร์ไม่ได้แก้ไขตัวเองเมื่อระบบกลับมาออนไลน์หรือมีการตัดสินใจเรื่องค่าไถ่แล้ว ข้อมูลที่ออกจากเครือข่ายก่อนที่การเข้ารหัสจะเริ่มต้นอยู่นอกเหนือการควบคุมของใครแล้ว และการตอบสนองที่มีความหมายเพียงอย่างเดียวคือการจำกัดว่าข้อมูลที่ถูกขโมยนั้นจะถูกนำไปใช้ทำอะไรต่อไปได้

ข้อควรปฏิบัติที่นำไปใช้ได้จริง

  • ถือว่าการแจ้งเตือนการละเมิดแรนซัมแวร์ทุกครั้งเกี่ยวข้องกับการขโมยข้อมูล ไม่ใช่แค่การหยุดชะงักของระบบ และปฏิบัติตามนั้น
  • อัปเดตรหัสผ่านและเปิดใช้งาน MFA ทันทีบนบัญชีใดๆ ที่เชื่อมโยงกับองค์กรที่ถูกบุกรุก
  • ตื่นตัวต่อฟิชชิงที่เจาะจงซึ่งใช้รายละเอียดเฉพาะที่ดึงมาจากการละเมิด
  • ตระหนักว่าการจ่ายค่าไถ่หรือการกู้คืนจากระบบสำรองข้อมูลจัดการกับการเข้ารหัส ไม่ใช่ความเสี่ยงแยกต่างหากของการรั่วไหลของข้อมูล
  • สนับสนุนแนวปฏิบัติด้านความปลอดภัยแบบหลายชั้น ทั้งในระดับบุคคลและในองค์กรที่คุณไว้วางใจกับข้อมูลของคุณ เนื่องจากการป้องกันยังดีกว่าการกู้คืนภายหลัง