เครื่องจักรทำกำไรที่แท้จริงของแรนซัมแวร์ไม่ใช่การเข้ารหัส

หลายปีที่ผ่านมา การป้องกันแรนซัมแวร์มุ่งเน้นไปที่ช่วงเวลาหนึ่ง: วินาทีที่ไฟล์ถูกล็อก แต่การค้นพบใหม่ที่รายงานโดย The National CIO Review ทำให้เห็นชัดว่าการเข้ารหัสมักเป็นส่วนที่มีค่าน้อยที่สุดของการโจมตีแรนซัมแวร์สำหรับอาชญากรที่อยู่เบื้องหลัง ผลตอบแทนที่แท้จริงมาจากการขโมยข้อมูล และผลตอบแทนนั้นไม่ได้หยุดลงเมื่อจ่ายค่าไถ่หรือกู้คืนระบบแล้ว

ตามรายงาน 54% ขององค์กรที่ได้รับผลกระทบได้จ่ายค่าไถ่ตามข้อเรียกร้อง เรื่องนี้เพียงอย่างเดียวไม่น่าแปลกใจเมื่อพิจารณาว่าระบบที่ถูกเข้ารหัสสามารถทำให้เกิดความขัดข้องมากเพียงใด สิ่งที่โดดเด่นคือสิ่งที่เกิดขึ้นต่อไป: 37% ขององค์กรเหล่านั้นที่จ่ายค่าไถ่ไปแล้วได้รับข้อเรียกร้องอีกครั้งจากผู้โจมตีคนเดิมหรือคนอื่น กล่าวอีกนัยหนึ่ง มากกว่าหนึ่งในสามของเหยื่อที่คิดว่าพวกเขาปิดเหตุการณ์ไปแล้วกลับพบว่าตัวเองกลับมาที่จุดเริ่มต้น ต้องเจรจาอีกครั้งเกี่ยวกับข้อมูลที่ถูกขโมยชุดเดิม

ทำไมข้อมูลที่ถูกขโมยจึงสร้างรายได้ให้ผู้โจมตีอย่างต่อเนื่อง

เมื่อผู้โจมตีขโมยข้อมูลออกไปก่อนที่จะปล่อยการเข้ารหัส พวกเขาก็จะได้รับช่องทางรายได้หลายทางที่แยกจากกัน ซึ่งไม่ขึ้นอยู่กับว่าระบบของเหยื่อจะยังคงถูกล็อกหรือไม่ รายงานได้ระบุตัวอย่างหลายประการดังนี้:

  • ภัยคุกคามจากการเปิดเผยข้อมูลต่อสาธารณะ: ผู้โจมตีข่มขู่ว่าจะปล่อยไฟล์ที่ละเอียดอ่อนออกไปหากไม่จ่ายเงินเป็นครั้งที่สอง แม้จะจ่ายค่าไถ่เดิมเพื่อแลกกับคีย์ถอดรหัสไปแล้วก็ตาม
  • การขายข้อมูลที่ถูกขโมยต่อ: ข้อมูลจะถูกขายในตลาดค้าข้อมูลผิดกฎหมายให้กับผู้ไม่หวังดีรายอื่น โดยไม่คำนึงว่าเหยื่อเดิมจะจ่ายเงินอะไรไปหรือไม่
  • การใช้ข้อมูลประจำตัวในทางที่ผิด: ชื่อผู้ใช้ รหัสผ่าน และโทเค็นการเข้าถึงที่พบในไฟล์ที่ถูกขโมยจะถูกนำกลับมาใช้เพื่อเจาะระบบบัญชีหรือระบบอื่น บางครั้งรวมถึงองค์กรคู่ค้าหรือผู้ขาย
  • การโจมตีต่อเนื่อง: รายละเอียดที่รวบรวมได้จากการเจาะระบบ เช่น แผนผังเครือข่าย สัญญากับผู้ขาย หรือการสื่อสารภายใน ทำให้การบุกรุกในอนาคตง่ายขึ้นและมีเป้าหมายแม่นยำยิ่งขึ้น

นี่คือเหตุผลที่นักวิจัยด้านความปลอดภัยจำนวนมากขึ้นอธิบายว่าแรนซัมแวร์ยุคใหม่เป็นปัญหาการขโมยข้อมูลที่มีการเข้ารหัสพ่วงมาด้วย แทนที่จะเป็นในทางตรงกันข้าม การเข้ารหัสทำให้การดำเนินงานหยุดชะงักเป็นวันหรือสัปดาห์ ข้อมูลที่ถูกขโมยสามารถนำมาใช้เป็นอาวุธได้เป็นเดือนหรือเป็นปี

ตัวอย่างล่าสุดของพลวัตนี้ที่เปิดเผยต่อสาธารณะเกี่ยวข้องกับ การเจาะระบบของ Tata Electronics ที่รั่วไหลความลับของ iPhone 18 Pro ซึ่งกลุ่มแรนซัมแวร์ที่เรียกตัวเองว่า World Leaks เผยแพร่ข้อมูลผลิตภัณฑ์ที่ยังไม่เปิดตัวที่มีความละเอียดอ่อน หลังจากเข้าถึงระบบภายในได้ กรณีเช่นนี้แสดงให้เห็นว่าข้อมูลองค์กรที่ถูกขโมยยังคงมีมูลค่าต่อผู้โจมตีต่อไปอีกนานหลังจากการบุกรุกครั้งแรก และภัยคุกคามจากการเปิดเผยข้อมูลเพียงอย่างเดียวสามารถบีบให้องค์กรต้องตัดสินใจที่ยากลำบากได้อย่างไร แม้จะไม่มีการใช้การเข้ารหัสที่ทำงานได้ก็ตาม

ทำไมการจ่ายค่าไถ่ไม่ได้รับประกันว่าเรื่องจะจบลง

ตัวเลขการเรียกร้องซ้ำที่ 37% สมควรได้รับความสนใจเป็นพิเศษ เพราะมันบั่นทอนสมมติฐานทั่วไปที่ว่าการจ่ายค่าไถ่จะทำให้เหตุการณ์ยุติลง ในความเป็นจริง เมื่อข้อมูลออกจากเครือข่ายขององค์กรไปแล้ว เหยื่อไม่มีทางที่จะตรวจสอบได้ว่าสำเนาข้อมูลถูกทำลายไปแล้ว ผู้โจมตีจะไม่ขายข้อมูลต่อ หรือกลุ่มอื่นจะยังไม่ได้รับไฟล์เดียวกันไปแล้ว การจ่ายเงินแก้ปัญหาการเข้ารหัส แต่มันไม่ได้ช่วยแก้ปัญหาการขโมยข้อมูลเลย เพราะข้อมูลนั้นอยู่นอกเหนือการควบคุมของเหยื่อตั้งแต่วินาทีที่ถูกขโมยออกไป

สิ่งนี้มีนัยโดยตรงต่อวิธีที่องค์กรคิดเกี่ยวกับความพร้อมในการรับมือแรนซัมแวร์ การวางแผนสำรองและกู้คืนมีความสำคัญต่อการนำระบบกลับมาออนไลน์ แต่มันไม่ได้ช่วยป้องกันการรั่วไหล การขายต่อ หรือความพยายามกรรโชกครั้งที่สอง การป้องกันการขโมยข้อมูลตั้งแต่แรก ด้วยการแบ่งส่วนเครือข่าย การควบคุมการเข้าถึงที่เข้มงวด และการลดปริมาณข้อมูลที่ละเอียดอ่อนที่จัดเก็บหรือเข้าถึงได้ตั้งแต่แรก มีความสำคัญไม่แพ้การวางแผนกู้คืน

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

ไม่ว่าคุณจะดูแลระบบไอทีให้ธุรกิจขนาดเล็กหรือเพียงปกป้องบัญชีของคุณเอง บทเรียนจากข้อมูลนี้ก็เหมือนกัน: จงสันนิษฐานว่าการเจาะระบบใดๆ ที่เกี่ยวข้องกับข้อมูลของคุณอาจส่งผลให้เกิดการเปิดเผยอย่างต่อเนื่อง ไม่ใช่แค่เหตุการณ์ครั้งเดียว หากบริษัทที่คุณมีปฏิสัมพันธ์ด้วยเปิดเผยว่าถูกโจมตีด้วยแรนซัมแวร์ ให้ปฏิบัติเสมือนเป็นความเสี่ยงที่ยังไม่จบสิ้น รหัสผ่านที่ใช้ซ้ำ ข้อมูลประจำตัวบัญชีเก่า และรายละเอียดส่วนตัวที่เชื่อมโยงกับการเจาะระบบนั้น อาจกลับมาปรากฏในความพยายามยัดข้อมูลประจำตัวหรือการหลอกลวงต่อเนื่องอีกนานหลังจากที่ข่าวเงียบหายไป

สำหรับองค์กร ข้อคิดสำคัญคือให้ปฏิบัติต่อการลดปริมาณข้อมูลและการแบ่งส่วนเครือข่ายว่าเป็นการป้องกันแรนซัมแวร์หลัก ไม่ใช่สิ่งที่คิดทีหลัง การจำกัดว่าข้อมูลที่ละเอียดอ่อนใดบ้างที่เข้าถึงได้จากจุดที่ถูกเจาะเพียงจุดเดียว จะลดปริมาณที่ผู้โจมตีสามารถขโมยได้ แม้ว่าพวกเขาจะเจาะเข้ามาได้ก็ตาม

ข้อปฏิบัติที่นำไปใช้ได้

  • ใช้รหัสผ่านที่ไม่ซ้ำกันสำหรับทุกบัญชี และอัปเดตรหัสผ่านหากคุณได้รับแจ้งว่ามีการเจาะระบบที่เกี่ยวข้องกับข้อมูลของคุณ แม้จะผ่านไปหลายเดือนแล้วก็ตาม
  • เปิดใช้การยืนยันตัวตนหลายปัจจัยทุกที่ที่ทำได้เพื่อลดค่าของข้อมูลประจำตัวที่ถูกขโมย
  • หากคุณทำธุรกิจ ให้ตรวจสอบว่ามีข้อมูลที่ละเอียดอ่อนอะไรถูกจัดเก็บบ้างและใครสามารถเข้าถึงได้ ยิ่งข้อมูลถูกเปิดเผยน้อยเท่าไร ผู้โจมตีก็ยิ่งมีอำนาจต่อรองน้อยลงเท่านั้น
  • อย่าสันนิษฐานว่าเหตุการณ์แรนซัมแวร์จบลงแล้วเมื่อจ่ายค่าไถ่หรือกู้คืนระบบแล้ว คอยเฝ้าระวังสัญญาณของข้อมูลที่รั่วไหลหรือความพยายามกรรโชกครั้งใหม่
  • แบ่งส่วนเครือข่ายเพื่อไม่ให้อุปกรณ์หรือบัญชีที่ถูกเจาะเพียงจุดเดียวสามารถเปิดเผยสภาพแวดล้อมข้อมูลทั้งหมดของคุณได้

ข้อได้เปรียบที่ใหญ่ที่สุดของแรนซัมแวร์ไม่ใช่การเข้ารหัสที่พาดหัวข่าว แต่มันคือการขโมยข้อมูลที่เกิดขึ้นอย่างเงียบๆ ล่วงหน้า และยังคงสร้างมูลค่าให้กับผู้โจมตีต่อไปอีกนานหลังจากวิกฤตครั้งแรกดูเหมือนจะคลี่คลายแล้ว