การกำหนดเป้าหมายของ ransomware ขึ้นอยู่กับโอกาสในการจ่ายเงิน ไม่ใช่ชื่อเสียง

การกำหนดเป้าหมายของ ransomware ขึ้นอยู่กับโอกาสในการจ่ายเงิน ไม่ใช่ชื่อเสียง

เป็นเวลาหลายปีที่ภาพลักษณ์ของเหยื่อ ransomware มักเป็นชื่อที่คุ้นหู: ระบบโรงพยาบาล สายการบินรายใหญ่ ผู้ผลิตระดับโลก แต่การวิเคราะห์ล่าสุดชี้ให้เห็นประเด็นที่เรียบง่ายและมีประโยชน์กว่า: การกำหนดเป้าหมายของ ransomware ขึ้นอยู่กับโอกาสในการจ่ายเงิน ไม่ใช่ชื่อเสียง ผู้โจมตี โดยเฉพาะกลุ่ม affiliate ที่ก่อการบุกรุก ransomware ส่วนใหญ่ ไม่ได้ไล่ตามพาดหัวข่าว พวกเขาไล่ตามเงินที่จ่ายออกไป และสิ่งนี้เปลี่ยนว่าใครจะตกเป็นเป้าหมาย

เหตุผลทางเศรษฐศาสตร์เบื้องหลังเรื่องนี้นั้นตรงไปตรงมา ransomware สมัยใหม่ส่วนใหญ่ดำเนินการในรูปแบบ ransomware-as-a-service ซึ่งกลุ่มแกนหลักสร้างมัลแวร์และโครงสร้างพื้นฐาน ขณะที่ affiliate อิสระจัดการการบุกรุกจริง เหล่า affiliate จะได้รับค่าคอมมิชชันก็ต่อเมื่อเหยื่อจ่ายเงินเท่านั้น ข้อเท็จจริงข้อเดียวนี้จัดระเบียบกระบวนการกำหนดเป้าหมายทั้งหมดใหม่ แทนที่จะถามว่า "ใครจะสร้างความฮือฮาได้มากที่สุด" affiliate จะถามว่า "ใครมีแนวโน้มจะจ่ายมากที่สุด และเร็วแค่ไหน"

ทำไมความน่าจะเป็นในการจ่ายจึงสำคัญกว่าการจดจำแบรนด์

เมื่อการจ่ายเงินเป็นแหล่งรายได้เดียว ความมีชื่อเสียงก็ไม่relevant เว้นแต่มันจะสัมพันธ์กับความเต็มใจหรือความสามารถในการจ่าย แบรนด์ที่มีชื่อเสียงพร้อมระบบสำรองข้อมูลที่แข็งแกร่ง แผนตอบสนองเหตุการณ์ที่เข้มงวด และคำมั่นสาธารณะว่าจะไม่เจรจากับผู้โจมตีนั้นแท้จริงแล้วเป็นเป้าหมายที่แย่ แม้ว่าการบุกรุกจะสร้างความสนใจจากสื่อมากกว่าก็ตาม ในขณะเดียวกัน บริษัทขนาดกลางที่มีการป้องกันอ่อนแอกว่า มีความคุ้มครองประกันไซเบอร์ และมีรูปแบบธุรกิจที่ไม่สามารถทนต่อการหยุดชะงักได้ กลับน่าสนใจกว่ามาก

สัญญาณที่เพิ่มโอกาสการจ่ายเงินที่ perceived ของเหยื่อ ได้แก่ หลักฐานว่ามีเงินทุนพร้อม ขั้นตอนภายในที่ชัดเจนสำหรับการอนุมัติการจ่ายเงินก้อนใหญ่ได้อย่างรวดเร็ว การพึ่งพาการดำเนินงานต่อเนื่อง และประวัติ (ทั้งที่เปิดเผยหรืออนุมานได้) ของการจ่ายค่าไถ่ในอดีต องค์กรที่ปฏิเสธการจ่ายเงินต่อสาธารณะส่งสัญญาณตรงกันข้าม ตัวอย่างเช่น Stadler Rail ปฏิเสธข้อเรียกร้องค่าไถ่ 12.3 ล้านดอลลาร์ จากแก๊งกรรโชก Everest หลังจากผู้โจมตีขโมยข้อมูลทางเทคนิคผ่านผู้ขาย ซึ่งเป็นการตัดสินใจที่ลดแรงจูงใจสำหรับกลุ่มเดียวกันในการให้ความสำคัญกับเป้าหมายที่คล้ายกันในอนาคต รัฐบาลกรุงเบอร์ลินก็มีจุดยืนคล้ายกัน ยืนยันว่าจะไม่จ่ายเงินให้แฮกเกอร์ แม้จะมีการพยายามกรรโชกที่ยังดำเนินอยู่หลังการบุกรุกเครือข่าย ทุกการปฏิเสธต่อสาธารณะล้วนกัดกร่อนการคำนวณโอกาสการจ่ายเงินที่ขับเคลื่อนการตัดสินใจของ affiliate

มุมมองด้านความเป็นส่วนตัว: การขโมยข้อมูลไม่รอการตัดสินใจ

ตรรกะการกำหนดเป้าหมายนี้มีผลกระทบด้านความเป็นส่วนตัวโดยตรงที่มักสูญหายไปในการถกเถียงเรื่องการจ่ายค่าไถ่ ก่อนที่เหยื่อจะตัดสินใจว่าจะจ่ายหรือไม่ ผู้โจมตีมักได้ exfiltrate ข้อมูลไปแล้ว การดำเนินการ ransomware สมัยใหม่พึ่งพาการกรรโชกซ้ำซ้อน (double extortion) มากขึ้น โดยเข้ารหัสระบบพร้อมกับขโมยไฟล์ละเอียดอ่อนเพื่อใช้เป็นแรงกดดันเพิ่มเติม นั่นหมายความว่าข้อมูลส่วนบุคคล บันทึกทางการเงิน และการสื่อสารภายในอาจถูกเปิดเผยหรือขายได้ไม่ว่าผลลัพธ์ของค่าไถ่จะเป็นอย่างไร

การโจมตีของกลุ่ม ShinyHunters ต่อบริษัทบริการทางการเงินโคลอมเบีย Addi.com แสดงให้เห็นความเสี่ยงนี้อย่างชัดเจน กลุ่มดังกล่าวอ้างความรับผิดชอบสำหรับการขโมยบันทึกทางการเงิน 16 ล้านรายการ ซึ่งเป็นขนาดของการเปิดเผยที่ไม่เกี่ยวข้องกับว่า Addi.com เป็นเป้าหมายที่มีชื่อเสียงหรือมีความสำคัญทางการเมืองหรือไม่ มันสะท้อนตรรกะพื้นฐานเดียวกัน: บริษัทบริการทางการเงินที่ถือข้อมูลละเอียดอ่อนปริมาณมากเป็นโอกาสที่มีมูลค่าสูงสำหรับการกรรโชก โดยไม่ขึ้นกับการจดจำแบรนด์ สำหรับผู้ใช้ทั่วไป นี่หมายความว่าข้อมูลของคุณอาจตกอยู่ในความเสี่ยงเพียงเพราะองค์กรที่ถือข้อมูลดูเหมือนเป็นตัวเลือกที่ดีสำหรับ affiliate ไม่ใช่เพราะมันเป็นเป้าหมายที่ใครจะคาดคิด

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากการกำหนดเป้าหมายขับเคลื่อนด้วยโอกาสการจ่ายเงินมากกว่าชื่อเสียง ข้อสรุปในทางปฏิบัติคือไม่มีองค์กรใด ไม่ว่าจะขนาดหรือการมองเห็นเป็นอย่างไร สามารถสันนิษฐานได้ว่าตน "เล็กเกินไปที่จะมีความสำคัญ" ต่อผู้ดำเนินการ ransomware บริษัทขนาดเล็ก ผู้ให้บริการด้านสุขภาพ แพลตฟอร์มทางการเงิน และหน่วยงานรัฐบาลท้องถิ่นมักเป็นที่น่าสนใจ именноเพราะพวกเขาอาจมีการป้องกันที่ยังไม่เจริญเติบโตเต็มที่และมีความกดดันในการดำเนินงานสูงกว่าที่จะคืนการเข้าถึงอย่างรวดเร็ว

สำหรับบุคคลทั่วไป สิ่งนี้ตอกย้ำความเป็นจริงที่คุ้นเคยแต่สำคัญ: ความปลอดภัยของข้อมูลส่วนบุคคลของคุณขึ้นอยู่กับท่าทีด้านความปลอดภัยของทุกองค์กรที่ถือข้อมูลนั้นอย่างมาก ไม่ใช่แค่ชื่อดังเท่านั้น สถาบันการเงิน ผู้ให้บริการรายเล็ก และผู้ขายในห่วงโซ่อุปทานล้วนเป็นจุดเข้าที่เป็นไปได้ ดังที่เหตุการณ์ Stadler Rail แสดงให้เห็น

ข้อสรุปที่นำไปปฏิบัติได้

องค์กรควรถือว่าความสมบูรณ์ของการสำรองข้อมูล การวางแผนตอบสนองเหตุการณ์ และการสื่อสารสาธารณะเกี่ยวกับนโยบายค่าไถ่เป็นเครื่องมือที่ลดความน่าดึงดูดของตนต่อ affiliate ที่มองหาการจ่ายเงินง่าย ๆ โดยตรง บุคคลทั่วไปควรสันนิษฐานว่าบริการใดก็ตามที่ถือข้อมูลส่วนบุคคลหรือทางการเงินที่ละเอียดอ่อนอาจตกเป็นเป้าหมาย และควรใช้รหัสผ่านที่แข็งแกร่งและไม่ซ้ำ เปิดใช้งานการยืนยันตัวตนหลายปัจจัยทุกที่ที่เป็นไปได้ และติดตามบัญชีสำหรับกิจกรรมผิดปกติหลังการแจ้งเตือนการรั่วไหลใด ๆ เพราะการกำหนดเป้าหมายของ ransomware ขึ้นอยู่กับโอกาสการจ่ายเงินมากกว่าชื่อเสียง การเฝ้าระวังกับผู้ให้บริการรายเล็กที่รู้จักน้อยกว่าจึงสำคัญพอ ๆ กับการติดตามข่าวการโจมตีแบรนด์ใหญ่ การตระหนักรู้ว่าการตัดสินใจเหล่านี้เกิดขึ้นได้อย่างไรเป็นหนึ่งในวิธีที่ง่ายที่สุดในการนำหน้ามาตรการความเสี่ยง