มีรายงานว่าแรนซัมแวร์เพิ่มขึ้นเกือบ 50% และธุรกิจขนาดเล็กได้รับความเสียหายมากที่สุด สิ่งที่ทำให้แนวโน้มนี้รับมือได้ยากขึ้นคือการเปลี่ยนแปลงของกลยุทธ์ กรณีการกรรโชกด้วยการโจรกรรมข้อมูลจากแรนซัมแวร์ในธุรกิจขนาดเล็กนั้นบ่อยครั้งเกี่ยวข้องกับผู้โจมตีที่ไม่เคยล็อกไฟล์แม้แต่ไฟล์เดียว พวกเขาขโมยข้อมูล แล้วข่มขู่ว่าจะเผยแพร่หรือขายข้อมูลนั้นเว้นแต่จะได้รับเงิน
บทความต้นทางอ้างอิง NordLayer ในการอธิบายการเปลี่ยนแปลงนี้: กลุ่มกรรโชกทรัพย์มากขึ้นข้ามการเข้ารหัสและเพียงแค่ขโมยข้อมูล แล้วข่มขู่เหยื่อ เนื้อหาฉบับเต็มที่เรามีนั้นสั้น ดังนั้นโพสต์นี้จึงยึดตามประเด็นเหล่านั้นและแนวปฏิบัติด้านความปลอดภัยที่เป็นที่เข้าใจกันทั่วไป แทนที่จะเพิ่มตัวเลขที่เราไม่สามารถตรวจสอบได้
ทำไมการสำรองข้อมูลจึงไม่หยุดการกรรโชกได้อีกต่อไป
การโจมตีแรนซัมแวร์แบบคลาสสิกนั้นล็อกไฟล์ของคุณและขายกุญแจให้ การสำรองข้อมูลที่ดีคือคำตอบ: กู้คืนระบบแล้วเดินหน้าต่อ คำแนะนำนั้นยังคงสำคัญ แต่แก้ปัญหาได้เพียงครึ่งเดียวของปัญหาในยุคปัจจุบัน
เมื่อผู้โจมตีขโมยข้อมูลแทนที่จะเข้ารหัส ไม่มีอะไรเสียหายในฝั่งของคุณ ระบบของคุณอาจทำงานได้ตามปกติ อำนาจต่อรองมาจากสิ่งที่อาชญากรถืออยู่ในมือ: ข้อมูลลูกค้า ข้อมูลพนักงาน สัญญา รายละเอียดทางการเงิน การกู้คืนจากข้อมูลสำรองไม่ได้ช่วยเอาสำเนานั้นออกจากมือพวกเขาเลย
นั่นคือเหตุผลที่หมายเรียกค่าไถ่ในกรณีเหล่านี้ถูกสร้างขึ้นรอบการเปิดเผยข้อมูลมากกว่าการหยุดให้บริการ ภัยคุกคามคือลูกค้า พันธมิตร หรือหน่วยงานกำกับดูแลของคุณจะได้รู้ว่ามีอะไรถูกขโมยไป การสำรองข้อมูลปกป้องความพร้อมใช้งาน แต่ไม่ได้ปกป้องความลับ
ทำไมธุรกิจขนาดเล็กจึงแบกรับภาระหนักที่สุด
บทความระบุว่าธุรกิจขนาดเล็กได้รับผลกระทบจากจำนวนที่เพิ่มขึ้นส่วนใหญ่ แม้เราไม่สามารถแยกแยะเหตุผลจากข้อความต้นทางได้อย่างอิสระ แต่มีปัจจัยทั่วไปหลายประการที่เป็นที่ยอมรับกันในวงการความปลอดภัย:
- พนักงานด้านความปลอดภัยเฉพาะทางน้อยลง ธุรกิจขนาดเล็กจำนวนมากพึ่งพาผู้เชี่ยวชาญไอทีเพียงคนเดียวหรือผู้ให้บริการภายนอก
- เครือข่ายแบนและใช้การเข้าถึงร่วมกัน ในสภาพแวดล้อมที่เล็กกว่า บัญชีที่ถูกบุกรุกเพียงบัญชีเดียวก็มักเข้าถึงข้อมูลได้มาก
- แรงกดดันให้จ่ายเงินอย่างรวดเร็ว โรงงานที่ไม่สามารถเดินเครื่องได้ หรือคลินิกที่กลัวข้อมูลรั่วไหล อาจรู้สึกว่าไม่สามารถรับภาระการกู้คืนที่ยาวนานได้
การกรรโชกด้วยการโจรกรรมข้อมูลยังลดความพยายามของผู้โจมตีลง การข้ามการเข้ารหัสหมายถึงขั้นตอนที่น้อยลงและเสียงรบกวนที่น้อยลง ซึ่งอาจทำให้การบุกรุกตรวจจับได้ยากขึ้นก่อนที่ข้อเรียกร้องจะมาถึง
การป้องกันที่จำกัดสิ่งที่ขโมยสามารถเอาไปได้
หากเป้าหมายคือการลดสิ่งที่สามารถถูกขโมยได้ จุดเน้นในการป้องกันจะเปลี่ยนจากการกู้คืนเพียงอย่างเดียวไปสู่การควบคุมข้อมูล ขั้นตอนปฏิบัติได้แก่:
- รู้ว่าคุณเก็บอะไรไว้ ทำบัญชีข้อมูลลูกค้า พนักงาน และการเงิน และลบสิ่งที่คุณไม่ต้องการอีกต่อไป ข้อมูลที่คุณไม่ได้ถืออยู่ไม่สามารถรั่วไหลได้
- จำกัดการเข้าถึง ให้แต่ละคนเข้าถึงเฉพาะสิ่งที่งานของพวกเขาต้องการ และลบบัญชีเมื่อพนักงานออกไป
- ใช้การยืนยันตัวตนหลายปัจจัย รหัสผ่านที่ถูกขโมยเป็นวิธีเข้าถึงที่พบบ่อย และปัจจัยที่สองช่วยเพิ่มความยาก
- แบ่งส่วนเครือข่ายของคุณ แยกระบบที่ละเอียดอ่อนออกจากกัน เพื่อให้การบุกรุกครั้งเดียวไม่เปิดเผยทุกอย่าง
- เข้ารหัสข้อมูลที่ละเอียดอ่อนในสภาวะพัก ไฟล์ที่ถูกขโมยซึ่งเข้ารหัสอย่างเหมาะสมจะมีประโยชน์ต่อขโมยน้อยลงมาก
- ตรวจสอบการถ่ายโอนที่ผิดปกติ การเคลื่อนย้ายข้อมูลออกขนาดใหญ่หรือแปลกๆ อาจเป็นสัญญาณเตือนล่วงหน้า
- สำรองข้อมูลแบบออฟไลน์ที่ผ่านการทดสอบไว้เช่นเดิม การโจมตีด้วยการเข้ารหัสยังไม่หายไป และกลุ่มต่างๆ สามารถใช้ทั้งสองวิธีร่วมกันได้
- เตรียมแผนรับมือเหตุการณ์ ตัดสินใจล่วงหน้าว่าจะโทรหาใคร รวมถึงที่ปรึกษากฎหมายและผู้ให้บริการไอทีของคุณ ก่อนที่แรงกดดันจะมาถึง
สำหรับภาพรวมว่าปฏิบัติการแรนซัมแวร์ขนาดใหญ่เคลื่อนจากการเข้าถึงไปสู่การกรรโชกได้อย่างไร การวิเคราะห์ LockBit 3.0 ที่ครอบคลุมเหยื่อ 2,000 รายใน 95 ประเทศ แผนที่ห่วงโซ่การโจมตีทั้งหมดและแสดงจุดที่ผู้ป้องกันสามารถขัดขวางได้
VPN เหมาะสมตรงไหนและไม่เหมาะสมตรงไหน
VPN สามารถเป็นส่วนที่มีประโยชน์ในการตั้งค่าธุรกิจขนาดเล็ก แต่ไม่ใช่ยารักษาแรนซัมแวร์ คุณค่าหลักของมันคือการปกป้องการรับส่งข้อมูลระหว่างพนักงานระยะไกลและทรัพยากรของบริษัท โดยเฉพาะบนเครือข่ายสาธารณะหรือที่ไม่น่าไว้วางใจ และจำกัดว่าบริการภายในเปิดเผยต่ออินเทอร์เน็ตสาธารณะมากเพียงใด
สิ่งที่ VPN ไม่ได้ทำคือหยุดฟิชชิง แก้ไขซอฟต์แวร์ที่ไม่ได้อัปเดต หรือป้องกันพนักงานที่มีข้อมูลรับรองที่ถูกต้องจากการถูกหลอกให้ส่งมอบข้อมูลนั้น หากผู้โจมตีเข้าสู่ระบบด้วยข้อมูลรับรองที่ถูกขโมย VPN อาจให้เส้นทางที่สะดวกแก่พวกเขาภายในด้วยซ้ำ มันยังไม่เข้ารหัสไฟล์ที่อยู่บนเซิร์ฟเวอร์ของคุณหรือเฝ้าดูข้อมูลที่ออกจากเครือข่ายของคุณ
คิดว่า VPN เป็นชั้นหนึ่งท่ามกลางหลายชั้น มันทำงานได้ดีที่สุดเมื่อใช้ร่วมกับการยืนยันตัวตนที่แข็งแกร่ง การแพตช์ การควบคุมการเข้าถึง และการตรวจสอบ
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
หากคุณดำเนินธุรกิจขนาดเล็กหรือทำงานให้ธุรกิจขนาดเล็ก ให้ถือว่าการมีข้อมูลสำรองนั้นไม่เพียงพออีกต่อไป คำถามที่ต้องถามไม่ใช่แค่ "เรากู้คืนได้ไหม?" แต่ยังรวมถึง "ใครสามารถขโมยอะไรได้บ้าง และจะเกิดอะไรขึ้นหากพวกเขาเผยแพร่มัน?"
ทีมขนาดเล็กไม่จำเป็นต้องมีงบประมาณระดับองค์กรเพื่อปรับปรุงสถานะของตน การลดปริมาณข้อมูลที่ละเอียดอ่อนที่คุณเก็บไว้ การกระชับว่าใครเข้าถึงได้ และการเปิดใช้การยืนยันตัวตนหลายปัจจัยแก้ไขคันโยกที่กลุ่มกรรโชกดึงพอดี มอง VPN เป็นเครื่องมือสนับสนุน ไม่ใช่แผนเอง
ประเด็นสำคัญ
- มีรายงานว่าแรนซัมแวร์เพิ่มขึ้นเกือบ 50% โดยธุรกิจขนาดเล็กได้รับผลกระทบหนักที่สุด
- กลุ่มมากขึ้นขโมยข้อมูลโดยไม่เข้ารหัส ดังนั้นการสำรองข้อมูลเพียงอย่างเดียวไม่สามารถแก้ไขข้อเรียกร้องกรรโชกได้
- จำกัดการเปิดเผยโดยลดข้อมูลที่เก็บไว้ จำกัดการเข้าถึง และเข้ารหัสสิ่งที่เหลืออยู่
- ใช้ VPN เป็นการป้องกันชั้นหนึ่ง ไม่ใช่สิ่งทดแทนส่วนที่เหลือ
สัปดาห์นี้ ตรวจสอบว่าธุรกิจของคุณเก็บข้อมูลอะไรไว้และใครสามารถเข้าถึงได้ จากนั้นอ่านว่ากลุ่มใหญ่ดำเนินการอย่างไรในการวิเคราะห์แรนซัมแวร์ LockBit 3.0 ของเรา เพื่อดูว่าการโจมตีเหล่านี้เกิดขึ้นจริงอย่างไรและจุดที่การป้องกันการกรรโชกด้วยการโจรกรรมข้อมูลจากแรนซัมแวร์สำหรับธุรกิจขนาดเล็กของคุณควรแข็งแกร่งที่สุด
