การโจมตีด้วยแรนซัมแวร์ต่อสถาบันการเงินในสหรัฐฯ

รายงานข่าวกรองภัยคุกคามประจำวันที่ 6 กรกฎาคมของ Check Point Research เปิดด้วยรายการที่น่าสลดใจ: River Bank & Trust สถาบันการเงินในสหรัฐฯ ประสบเหตุการณ์แรนซัมแวร์ หลังจากผู้ไม่หวังดีเข้าถึงเครือข่ายของบริษัทแม่ได้ ตามรายงานที่เชื่อมโยงกับการเปิดเผยข้อมูล การเข้าถึงครั้งแรกเกิดขึ้นประมาณวันที่ 16 มิถุนายน ทำให้ผู้โจมตีมีเวลาหลายสัปดาห์ภายในเครือข่ายก่อนที่เพย์โหลดแรนซัมแวร์จะถูกปล่อย ช่องว่างระหว่างการบุกรุกครั้งแรกและผลกระทบสุดท้ายนี้เป็นรูปแบบที่เกิดขึ้นซ้ำแล้วซ้ำเล่าในแคมเปญแรนซัมแวร์ยุคใหม่ และเป็นรายละเอียดที่ควรสร้างความกังวลให้กับใครก็ตามที่ทำธุรกรรมกับ ทำงานให้ หรือพึ่งพาผู้ให้บริการทางการเงิน

สิ่งที่ทำให้เหตุการณ์นี้มีความเกี่ยวข้องเป็นพิเศษนอกเหนือจากภาคธนาคารคือเวกเตอร์การโจมตีที่ถูกรายงานว่ามีส่วนเกี่ยวข้อง: โปรโตคอล VPN ที่ล้าสมัย รายงานที่เชื่อมโยงกับประกาศของ Check Point ชี้ไปยังผู้ก่อภัยคุกคามที่เชื่อมโยงกับแรนซัมแวร์ซึ่งใช้ประโยชน์จากการใช้งาน VPN รุ่นเก่าที่องค์กรต่างๆ ไม่สามารถเลิกใช้หรือแพตช์ได้ นี่ไม่ใช่เทคนิคใหม่แต่อย่างใด โปรโตคอล VPN ที่ล้าสมัยเป็นจุดเข้าที่อ่อนแอสำหรับผู้โจมตีมานานแล้ว แต่การที่ยังคงมีการใช้งานอย่างต่อเนื่องในสภาพแวดล้อมที่มีมูลค่าสูงเช่นบริการทางการเงิน ตอกย้ำให้เห็นว่าองค์กรขนาดใหญ่ต้องเผชิญความยากลำบากเพียงใดในการปรับปรุงโครงสร้างพื้นฐานด้านความปลอดภัยให้ทันสมัยตามความเร็วที่ภัยคุกคามเรียกร้อง

เหตุใดโปรโตคอล VPN ที่ล้าสมัยจึงปรากฏในรายงานการบุกรุกอยู่เสมอ

VPN ควรจะเป็นมาตรการควบคุมความปลอดภัย ไม่ใช่ภาระรับผิดชอบ แต่โปรโตคอล VPN รุ่นเก่า ซึ่งบางตัวมีมาก่อนมาตรฐานการเข้ารหัสและแนวปฏิบัติการยืนยันตัวตนสมัยใหม่ มักจะยังคงอยู่ในสภาพแวดล้อมการใช้งานจริงนานเกินกว่าที่ควรจะถูกปลดระวาง ระบบรุ่นเก่าถูกทิ้งไว้ด้วยเหตุผลที่ไม่เกี่ยวข้องกับความปลอดภัยเลย: สัญญากับผู้จำหน่าย ความเข้ากันได้กับฮาร์ดแวร์รุ่นเก่า หรือเพียงแค่ความเสี่ยงด้านปฏิบัติการในการย้ายระบบที่ "ยังใช้งานได้อยู่"

ปัญหาคือผู้โจมตีสแกนหาจุดอ่อนเหล่านี้อย่างแข็งขัน โปรโตคอล VPN ที่ล้าสมัยสามารถเสนอทางเข้าสู่เครือข่ายองค์กรได้อย่างค่อนข้างเงียบ โดยเฉพาะเมื่อขาดการป้องกันสมัยใหม่ เช่น การยืนยันตัวตนแบบหลายปัจจัย หรือการตรวจสอบเซสชันที่แข็งแกร่ง เมื่อเข้าไปข้างในได้แล้ว ตามที่ดูเหมือนจะเกิดขึ้นในกรณีของ River Bank & Trust ผู้โจมตีสามารถใช้เวลาหลายสัปดาห์ในการเคลื่อนที่ด้านข้าง ยกระดับสิทธิ์ และระบุตำแหน่งที่สร้างความเสียหายได้มากที่สุดในการปล่อยแรนซัมแวร์ ก่อนที่จะมีการแจ้งเตือนใดๆ เกิดขึ้น

เหตุใดสถาบันการเงินจึงยังคงเป็นเป้าหมายที่มีมูลค่าสูง

ธนาคารและบริษัทโฮลดิ้งทางการเงินครอบครองข้อมูลละเอียดอ่อนจำนวนมหาศาล: หมายเลขบัญชี ประวัติธุรกรรม รายละเอียดการระบุตัวตนส่วนบุคคล และบ่อยครั้งที่การเข้าถึงที่เชื่อมโยงถึงกันไปยังเครือข่ายองค์กรที่กว้างขึ้นผ่านความสัมพันธ์ระหว่างบริษัทแม่และบริษัทย่อย ความเชื่อมโยงถึงกันนั้นน่าสังเกตในกรณีนี้ เนื่องจากการบุกรุกถูกรายงานว่ามีต้นกำเนิดผ่านเครือข่ายของบริษัทแม่ มากกว่าระบบของ River Bank & Trust โดยตรง ผู้ปฏิบัติการแรนซัมแวร์เข้าใจว่าสถาบันการเงินเผชิญแรงกดดันด้านกฎระเบียบและชื่อเสียงอย่างหนักหน่วงในการแก้ไขเหตุการณ์อย่างรวดเร็ว ซึ่งอาจทำให้พวกเขามีแนวโน้มที่จะจ่ายค่าไถ่หรือยอมความอย่างรวดเร็ว มากกว่าที่จะเสี่ยงต่อการหยุดทำงานที่ยืดเยื้อ

รูปแบบนี้ยังสะท้อนแนวโน้มที่กว้างขึ้นซึ่งครอบคลุมอยู่ในรายงานข่าวกรองต่อเนื่องของ Check Point: ผู้ก่อภัยคุกคามนิยมกำหนดเป้าหมายโครงสร้างพื้นฐานและจุดเข้าใช้งานที่องค์กรต่างๆ คิดว่า "ดีพอแล้ว" มากขึ้น แทนที่จะไล่ล่าช่องโหว่แบบซีโร่เดย์ โปรโตคอล VPN รุ่นเก่า เครื่องมือการเข้าถึงระยะไกลที่ไม่ได้รับการแพตช์ และขอบเครือข่ายที่ถูกละเลย เป็นพื้นผิวการโจมตีที่ให้ผลลัพธ์มากกว่าช่องโหว่ใหม่ๆ ที่หวือหวาอย่างต่อเนื่อง

สิ่งนี้มีความหมายอย่างไรสำหรับคุณ

หากคุณเป็นลูกค้าของธนาคารหรือสถาบันการเงิน เหตุการณ์นี้เป็นเครื่องเตือนใจว่าความปลอดภัยของข้อมูลของคุณขึ้นอยู่กับการตัดสินใจด้านโครงสร้างพื้นฐานที่เกิดขึ้นเบื้องหลังอย่างมาก การตัดสินใจที่คุณไม่สามารถมองเห็นและควบคุมไม่ได้ นั่นไม่ได้หมายความว่าคุณจะช่วยอะไรไม่ได้ การตรวจสอบบัญชีของคุณเพื่อหากิจกรรมที่ผิดปกติ การใช้รหัสผ่านที่คาดเดายากและไม่ซ้ำใคร และการเปิดใช้การยืนยันตัวตนแบบหลายปัจจัยทุกที่ที่ธนาคารของคุณเสนอ ยังคงเป็นการป้องกันส่วนบุคคลที่ดีที่สุดของคุณ

หากคุณจัดการด้านไอทีหรือความปลอดภัยให้กับองค์กรใดๆ โดยเฉพาะองค์กรที่เชื่อมต่อกับบริการทางการเงินผ่านความสัมพันธ์กับผู้จำหน่ายหรือโครงสร้างองค์กร เหตุการณ์นี้เป็นข้อโต้แย้งที่เป็นรูปธรรมสำหรับการตรวจสอบโครงสร้างพื้นฐาน VPN ของคุณในตอนนี้ แทนที่จะรอหลังจากเกิดเหตุการณ์ ความเสี่ยงไม่ใช่เรื่องสมมติ และไทม์ไลน์การรายงานในกรณีนี้ ซึ่งการเข้าถึงครั้งแรกเกิดขึ้นก่อนการปล่อยแรนซัมแวร์หลายสัปดาห์ แสดงให้เห็นว่าความเสียหายสามารถสะสมได้มากเพียงใดในช่วงระหว่างการบุกรุกและการตรวจจับ

ผลกระทบด้านความเป็นส่วนตัวที่กว้างขึ้นของเหตุการณ์เช่นนี้ยังเชื่อมโยงกับวิธีที่องค์กรต่างๆ จัดการข้อมูลละเอียดอ่อนโดยทั่วไป ดังที่มีรายละเอียดใน รายงานของ GAO เกี่ยวกับความเสี่ยงด้านความเป็นส่วนตัวที่เกี่ยวข้องกับ AI เมื่อไม่นานมานี้ ระบบและเครื่องมือที่องค์กรต่างๆ พึ่งพาในการประมวลผลข้อมูลส่วนบุคคลและข้อมูลทางการเงินกำลังขยายตัวในรูปแบบที่มักจะแซงหน้ามาตรการควบคุมความปลอดภัยที่มีไว้เพื่อปกป้องข้อมูลเหล่านั้น โปรโตคอล VPN รุ่นเก่าเป็นเพียงส่วนหนึ่งของรูปแบบที่ใหญ่กว่ามากของโครงสร้างพื้นฐานที่ล้าหลังกว่าความเสี่ยง

ข้อสรุปที่นำไปปฏิบัติได้

สำหรับบุคคลทั่วไป: เปิดใช้การยืนยันตัวตนแบบหลายปัจจัยในบัญชีการเงินทั้งหมด ตรวจสอบรายการเดินบัญชีอย่างสม่ำเสมอ และปฏิบัติต่อการแจ้งเตือนบัญชีที่ไม่คาดคิดว่าเป็นสัญญาณให้ตรวจสอบกิจกรรมโดยตรงกับสถาบันของคุณ แทนที่จะคลิกลิงก์ที่ฝังมา

สำหรับองค์กร: จัดทำรายการและปลดระวางโปรโตคอล VPN ที่ล้าสมัย บังคับใช้มาตรฐานการยืนยันตัวตนสมัยใหม่ในทุกจุดเข้าใช้งานระยะไกล และถือว่าการเชื่อมต่อเครือข่ายระหว่างบริษัทแม่และบริษัทย่อยใดๆ จะปลอดภัยเท่ากับจุดเชื่อมต่อที่อ่อนแอที่สุดเท่านั้น แคมเปญแรนซัมแวร์เช่นที่ส่งผลกระทบต่อ River Bank & Trust แสดงให้เห็นว่าจุดเข้าใช้งานแทบจะไม่ใช่สิ่งที่แปลกใหม่เลย โดยปกติแล้วมันคือโครงสร้างพื้นฐานที่ทุกคนลืมอัปเดต