เป็นเวลาหลายปีที่แรนซัมแวร์ถูกเชื่อมโยงกับภาพที่ชัดเจนมาก: ไฟล์ที่ถูกเข้ารหัสและข้อความเรียกค่าไถ่บนหน้าจอ คำเตือนจากคาสเปอร์สกี้ที่รายงานโดยสื่อโดมินิกัน Acento ชี้ให้เห็นว่าภาพนั้นยังไม่ครอบคลุม หากคุณสงสัยว่า แรนซัมแวร์แบบไม่เข้ารหัส คืออะไร คำตอบสั้น ๆ คือรูปแบบหนึ่งของการกรรโชกทรัพย์ทางดิจิทัลที่อาชญากรสามารถบล็อกคอมพิวเตอร์ ขัดขวางการดำเนินงาน และข่มขู่จะเผยแพร่ข้อมูลที่ถูกขโมย โดยไม่ต้องพึ่งพาการเข้ารหัสไฟล์
เนื้อหาที่มีเกี่ยวกับคำเตือนนี้มีไม่มาก ดังนั้นจึงควรแยกสิ่งที่รู้ออกจากสิ่งที่Recommendationทั่วไป สิ่งที่ชัดเจนคือการเปลี่ยนแปลงของจุดเน้น: การแบล็กเมล์ไม่ได้พึ่งพาเพียงการสูญเสียการเข้าถึงอีกต่อไป แต่พึ่งพาการข่มขู่ที่จะเปิดเผยข้อมูล
แรนซัมแวร์แบบไม่เข้ารหัส: คืออะไรและแตกต่างจากแบบคลาสสิกอย่างไร
แรนซัมแวร์แบบคลาสสิกทำงานเหมือนกุญแจล็อก: เข้ารหัสไฟล์และเรียกร้องค่าไถ่เพื่อแลกกับกุญแจ เหยื่อหากมีสำรองข้อมูลที่ดีสามารถกู้คืนระบบและลดแรงกดดันจากผู้โจมตีได้
รูปแบบที่คาสเปอร์สกี้อธิบายเปลี่ยนจุดศูนย์กลางของการกรรโชก ตามคำเตือน อาชญากรสามารถ:
- บล็อกคอมพิวเตอร์
- ขัดขวางการดำเนินงานของบริษัท
- ข่มขู่จะเผยแพร่ข้อมูลที่ถูกขโมย
กล่าวคือ แรงกดดันมาจากสองด้านพร้อมกัน: การหยุดชะงักของธุรกิจและความเสี่ยงที่ข้อมูลอ่อนไหวจะตกไปอยู่ในสายตาของบุคคลที่สาม การไม่มีารเข้ารหัสไฟล์ไม่ได้หมายความว่าความเสียหายจะน้อยลง แต่หมายความว่าผู้โจมตีไม่จำเป็นต้องใช้ส่วนนั้นเพื่อสร้างแรงกดดันอีกต่อไป
ทำไมสำรองข้อมูลจึงไม่เพียงพอต่อการกรรโชกด้วยการรั่วไหล
สำรองข้อมูลยังคงเป็นสิ่งจำเป็น แต่แก้ปัญหาได้เพียงอย่างเดียว: กู้คืนข้อมูลและกลับมาทำงาน ไม่สามารถย้อนคืนการขโมยข้อมูลได้
หากผู้โจมตีได้ใบแจ้งหนี้ รายชื่อลูกค้า สัญญา หรือข้อมูลส่วนบุคคลไปแล้ว การกู้คืนสำรองไม่ได้ทำให้ข้อมูลเหล่านั้นกลับมาอยู่ในการควบคุมของคุณ การข่มขู่จะเผยแพร่ยังคงอยู่แม้ระบบของคุณจะทำงานได้อีกครั้ง ดังนั้นการกู้คืนจึงไม่เท่ากับการยุติวิกฤตอีกต่อไป
สิ่งนี้เปลี่ยนคำถามพื้นฐาน ก่อนหน้านี้ถามว่า "เรากู้คืนไฟล์ได้ไหม?" ตอนนี้ต้องถามด้วยว่า "อะไรที่พวกเขาขโมยไปได้ และจะเกิดอะไรขึ้นหากมันถูกเปิดเผยต่อสาธารณะ?"
ผู้โจมตีแทรกซึมอย่างไรและใช้เครื่องมือที่ถูกต้องตามกฎหมายอะไรบ้าง
คำเตือนที่สรุปโดย Acento ไม่ได้ระบุรายละเอียดช่องทางการบุกรุก ดังนั้นเราจะไม่กล่าวอ้างว่าคาสเปอร์สกี้ระบุเทคนิคเฉพาะเจาะจง สิ่งที่เราอธิบายได้คือรูปแบบที่เกี่ยวข้องซึ่งเราเคยกล่าวถึงแล้ว: แคมเปญบางอย่างที่ไม่มีการเข้ารหัสพึ่งพาเครื่องมือที่ถูกต้องตามกฎหมายซึ่งมีอยู่แล้วในระบบของเหยื่อ แทนที่จะพึ่งพาโปรแกรมที่เป็นอันตรายอย่างชัดเจน เราอธิบายรายละเอียดในบทวิเคราะห์ของเราเกี่ยวกับแรนซัมแวร์แบบไม่เข้ารหัส living off the land ซึ่งอธิบายว่าผู้โจมตีใช้สิ่งที่คุณมีอยู่แล้วอย่างไร
ตรรกะนั้นง่าย: เครื่องมือบริหารจัดการหรือโปรแกรมที่ใช้ประจำวันสร้างความสงสัยน้อยกว่าไฟล์ที่ไม่รู้จัก ดังนั้นการเฝ้าระวังเพียงการมีอยู่ของ "ไวรัส" จึงไม่เพียงพออีกต่อไป การสังเกตพฤติกรรมผิดปกติของซอฟต์แวร์ที่ถูกต้องตามกฎหมายก็สำคัญเช่นกัน
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ (What This Means For You)
หากคุณบริหารธุรกิจขนาดเล็ก บทเรียนหลักคือแผนตอบสนองของคุณไม่สามารถสิ้นสุดที่การสำรองข้อมูล การหยุดชะงักของการดำเนินงาน combined กับการข่มขู่จะรั่วไหล ส่งผลต่อความต่อเนื่องทางธุรกิจ ความไว้วางใจของลูกค้า และอาจรวมถึงหน้าที่เกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล
หากคุณเป็นผู้ใช้รายบุคคล ความเสี่ยงเป็นทางอ้อมมากกว่าแต่เป็นจริง: ข้อมูลของคุณมักอยู่ในมือของบริษัทและบริการที่อาจเป็นเป้าหมายของการกรรโชกประเภทนี้ ยิ่งคุณแบ่งปันและเก็บข้อมูลอ่อนไหวโดยไม่จำเป็นน้อยลงเท่าไร ก็ยิ่งถูกเปิดเผยได้น้อยลงเท่านั้น
หลักการที่เชื่อมโยงทั้งสองกรณีคือ: จำกัดสิ่งที่สามารถถูกขโมยได้
มาตรการปฏิบัติเพื่อลดการเปิดเผย
ไม่มีวิธีแก้ปัญหาเดียว แต่มาตรการทั่วไปเหล่านี้ช่วยลดผลกระทบของการกรรโชกใด ๆ ที่อิงกับข้อมูล:
- ทำบัญชีข้อมูลอ่อนไหวของคุณ รู้ว่าคุณมีข้อมูลอะไร เก็บไว้ที่ไหน และใครเข้าถึงได้
- ลบสิ่งที่คุณไม่ต้องการ ข้อมูลเก่าหรือไม่จำเป็นคือข้อมูลที่อาจรั่วไหลโดยไม่ให้คุณค่า
- ใช้สิทธิ์ขั้นต่ำสุด แต่ละคนควรเข้าถึงเฉพาะสิ่งที่ต้องใช้สำหรับงานของตน
- เปิดใช้งานการยืนยันตัวตนหลายปัจจัย ในอีเมล การบริหารระยะไกล และบริการคลาวด์
- เก็บสำรองข้อมูลแยกและทดสอบแล้ว โดยรู้ว่ามันปกป้องความพร้อมใช้งาน ไม่ใช่ความลับ
- เข้ารหัสข้อมูลอ่อนไหวขณะจัดเก็บ เพื่อให้การขโมยมีประโยชน์น้อยลงสำหรับผู้โจมตี
- อัปเดตระบบและแอปพลิเคชันอยู่เสมอ และตรวจสอบว่าเครื่องมือบริหารจัดการใดเปิดใช้งานอยู่และใครใช้
- เตรียมแผนตอบสนอง ที่รวมถึงสิ่งที่ต้องทำหากข้อมูลถูกขโมย ไม่ใช่เพียงเมื่ออุปกรณ์ถูกบล็อก
บทสรุป: เกินกว่าการถามว่าแรนซัมแวร์แบบไม่เข้ารหัสคืออะไร
การเข้าใจ แรนซัมแวร์แบบไม่เข้ารหัส คืออะไร เป็นขั้นตอนแรก ขั้นตอนต่อไปคือการลงมือทำกับสิ่งที่มันหมายถึง คำเตือนจากคาสเปอร์สกี้แสดงให้เห็นว่าอาชญากรสามารถทำให้บริษัทหยุดชะงักและกดดันด้วยการเผยแพร่ข้อมูลที่ถูกขโมย โดยมีหรือไม่มีการเข้ารหัสไฟล์ การสำรองข้อมูลยังคงจำเป็น แต่ไม่ใช่แนวป้องกันเดียวอีกต่อไป
นี่เป็นเวลาที่ดีในการทบทวนว่าองค์กรของคุณเก็บและปกป้องข้อมูลอ่อนไหวอย่างไร: คุณเก็บอะไร ที่ไหน นานเท่าใด และใครสามารถเห็นได้ หากคุณต้องการเจาะลึกว่าผู้โจมตีใช้เครื่องมือที่ถูกต้องตามกฎหมายในทางที่ผิดอย่างไร อ่านคำอธิบายของเราเกี่ยวกับแรนซัมแวร์แบบไม่เข้ารหัสที่ใช้เครื่องมือของคุณเอง และเริ่มลดสิ่งที่พวกเขาสามารถขโมยจากคุณได้ตั้งแต่วันนี้
