การเดิมพันของธนาคารกับความซื่อสัตย์ของอาชญากร

เมื่อพูดถึงแรนซัมแวร์ หนึ่งในส่วนที่แปลกประหลาดที่สุดของโมเดลธุรกิจอาชญากรรมทั้งหมดคือคำสัญญาที่ตามมาหลังการจ่ายเงิน: จ่ายเงินมา แล้วเราจะลบข้อมูลที่ถูกขโมยของคุณ ริเวอร์ ไฟแนนเชียล คอร์ปอเรชั่น บริษัทแม่ของริเวอร์ แบงก์ แอนด์ ทรัสต์ ในรัฐแอละแบมา ดูเหมือนจะเชื่อถือคำสัญญานั้นตามตัวอักษร ในเอกสารยื่นแบบ 8-K ต่อสำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ (SEC) ธนาคารเปิดเผยว่า "ได้ดำเนินการเพื่อพยายามระงับข้อมูลที่ได้รับผลกระทบ รวมถึงการขอรับการรับรอง" จากผู้โจมตี ซึ่งโดยพื้นฐานแล้วคือหนังสือรับรองว่าข้อมูลที่ถูกขโมยจะถูกทำลาย สิ่งที่น่าสังเกตคือ เอกสารยื่นดังกล่าวไม่ได้ยืนยันอย่างชัดเจนว่าริเวอร์ แบงก์ ได้จ่ายค่าไถ่จริงหรือไม่ แม้ว่าการได้รับ "การรับรอง" ดังกล่าวจากผู้ดำเนินการแรนซัมแวร์มักจะเกิดขึ้นหลังจากมีการส่งมอบเงินเท่านั้น

การเปิดเผยข้อมูลนี้เกิดขึ้นในช่วงเวลาที่น่าอึดอัดใจสำหรับผู้ที่มักจะเชื่อถือคำสัญญาลบข้อมูลของแรนซัมแวร์ การปราบปรามปฏิบัติการแรนซัมแวร์ LockBit โดยหน่วยงานบังคับใช้กฎหมายเผยให้เห็นว่าข้อมูลของเหยื่อยังคงถูกเก็บรักษาไว้ในโครงสร้างพื้นฐานของกลุ่ม แม้ในกรณีที่เหยื่อได้จ่ายค่าไถ่ไปแล้วก็ตาม กล่าวอีกนัยหนึ่งคือ ช่องทำเครื่องหมายที่ระบุว่า "ข้อมูลถูกลบแล้ว" ซึ่งหลายบริษัทใช้เพื่อยุติเหตุการณ์ และสร้างความมั่นใจให้แก่หน่วยงานกำกับดูแล ลูกค้า และคณะกรรมการของตนเองนั้น แท้จริงแล้วในบางกรณีที่บันทึกไว้เป็นเพียงเรื่องเท็จ

เหตุใดคำสัญญาลบข้อมูลของแรนซัมแวร์จึงไม่ค่อยเป็นจริง

แนวคิดทั้งหมดของการจ่ายเงินให้แก๊งแรนซัมแวร์เพื่อลบข้อมูลตั้งอยู่บนความขัดแย้งที่ชัดเจน: คุณกำลังขอให้องค์กรอาชญากรรม ซึ่งเป็นกลุ่มที่บุกรุกเครือข่ายของคุณและขโมยข้อมูลสำคัญตั้งแต่แรก ให้สละอำนาจต่อรองโดยสมัครใจ ไม่มีกลไกบังคับใช้ใด ๆ ไม่มีเส้นทางการตรวจสอบ และไม่มีการเยียวยาทางกฎหมาย หากกลุ่มเก็บสำเนาไว้ ขายในตลาดเว็บมืด หรือใช้เพื่อขู่กรรโชกรอบสองในภายหลัง นักวิจัยด้านความปลอดภัยเตือนมานานแล้วว่า วิดีโอ "พิสูจน์การลบ" ภาพหน้าจอ หรือข้อความที่เขียนโดยกลุ่มแรนซัมแวร์นั้นไม่สามารถตรวจสอบได้โดยการออกแบบ การทลาย LockBit เพียงแค่ให้หลักฐานที่ชัดเจนสนับสนุนสิ่งที่หลายคนในแวดวงความปลอดภัยสันนิษฐานไว้แล้ว

สำหรับสถาบันการเงิน เรื่องนี้มีความสำคัญอย่างยิ่ง ธนาคารถือครองข้อมูลส่วนบุคคลที่ละเอียดอ่อนที่สุดที่มีอยู่ เช่น หมายเลขประกันสังคม รายละเอียดบัญชี และประวัติธุรกรรม เมื่อข้อมูลดังกล่าวถูกขโมยออกไประหว่างการบุกรุก คำสัญญาลบข้อมูลจากอาชญากรไม่ได้ให้การปกป้องที่แท้จริงแก่ลูกค้าที่ข้อมูลของพวกเขาถูกเปิดเผย อย่างดีที่สุด มันให้แค่ประเด็นสำหรับการยื่นเอกสารต่อหน่วยงานกำกับดูแล

วิธีการที่การรั่วไหลเกิดขึ้น

เหตุการณ์ของริเวอร์ แบงก์ ไม่ได้เกิดขึ้นอย่างโดดเดี่ยว ตามรายงานข่าวกรองภัยคุกคามก่อนหน้านี้ การรั่วไหลเชื่อมโยงกับผู้ไม่ประสงค์ดีที่เข้าถึงผ่านช่องโหว่ของโปรโตคอล VPN ที่ล้าสมัย รายละเอียดที่เราได้สำรวจใน บทความก่อนหน้าของเราเกี่ยวกับเหตุการณ์แรนซัมแวร์ของริเวอร์ แบงก์ แอนด์ ทรัสต์ โครงสร้างพื้นฐานการเข้าถึงระยะไกลที่ล้าสมัยยังคงเป็นหนึ่งในจุดเข้าที่พบบ่อยที่สุดสำหรับกลุ่มแรนซัมแวร์ ก็เพราะมันมักจะอยู่บริเวณขอบของเครือข่าย สแกนหาได้ง่าย และมักถูกมองข้ามในวงจรการจัดการแพตช์ เมื่อเข้าไปได้แล้ว ผู้โจมตีมักจะเคลื่อนที่ไปด้านข้าง ค้นหาคลังข้อมูลที่มีค่า และขโมยข้อมูลก่อนที่จะเริ่มเรียกใช้เพย์โหลดแรนซัมแวร์ด้วยซ้ำ หมายความว่าการขโมยข้อมูลมักเกิดขึ้นก่อนที่ใครจะสังเกตเห็นสิ่งผิดปกติ

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากคุณเป็นลูกค้าของริเวอร์ แบงก์ แอนด์ ทรัสต์ หรือลูกค้าของสถาบันใดก็ตามที่ได้เปิดเผยเหตุการณ์แรนซัมแวร์ ความเป็นจริงในทางปฏิบัติก็คือ: คำสัญญาใด ๆ จากผู้โจมตีที่จะลบข้อมูลของคุณไม่ควรถูกมองว่าเป็นการรับประกันความปลอดภัย เมื่อข้อมูลออกจากเครือข่ายของบริษัทในการโจมตีของแรนซัมแวร์แล้ว ควรถือว่าข้อมูลนั้นถูกบุกรุกอย่างถาวร ไม่ว่าจะได้รับการรับรองใด ๆ ในภายหลังก็ตาม นั่นหมายถึงการเฝ้าติดตามบัญชีและรายงานเครดิตของคุณสำหรับกิจกรรมที่ผิดปกติ การตื่นตัวต่อความพยายามฟิชชิงที่อ้างอิงรายละเอียดบัญชีจริง (กลวิธีติดตามที่พบบ่อยเมื่อข้อมูลธนาคารที่ถูกขโมยหมุนเวียนในหมู่กลุ่มอาชญากร) และการพิจารณาอายัดเครดิตหากหมายเลขประกันสังคมหรือหมายเลขบัญชีเป็นส่วนหนึ่งของชุดข้อมูลที่ถูกเปิดเผย

สำหรับธุรกิจและสถาบันการเงินที่กำลังติดตามเรื่องราวนี้ บทเรียนนั้นกว้างกว่า การพึ่งพาคำสัญญาลบข้อมูลของแรนซัมแวร์เป็นส่วนหนึ่งของกลยุทธ์รับมือเหตุการณ์ นับประสาอะไรกับสิ่งที่สมควรเปิดเผยต่อหน่วยงานกำกับดูแลว่าเป็นขั้นตอนบรรเทาความเสียหายนั้น ส่งสัญญาณที่ผิดเกี่ยวกับความจริงจังที่องค์กรปฏิบัติต่อการปกป้องข้อมูล การสำรองข้อมูลที่ตรวจสอบแล้ว การแบ่งส่วนเครือข่าย และการแพตช์โครงสร้างพื้นฐานการเข้าถึงระยะไกลเช่นเกตเวย์ VPN อย่างทันท่วงที ปกป้องข้อมูลลูกค้าได้มากกว่าคำรับรองใด ๆ ที่รีดมาจากองค์กรอาชญากรรม

ข้อสรุปสำคัญ

  • จงถือว่าคำสัญญาใด ๆ จากกลุ่มแรนซัมแวร์ที่จะลบข้อมูลที่ถูกขโมยนั้นไม่สามารถตรวจสอบได้และไม่สามารถบังคับใช้ได้ ไม่ใช่มาตรการปกป้องที่แท้จริง
  • หากคุณทำธุรกรรมกับสถาบันที่เปิดเผยการรั่วไหล ให้เฝ้าติดตามใบแจ้งยอดและรายงานเครดิตอย่างใกล้ชิด และพิจารณาอายัดเครดิต
  • โปรดระมัดระวังเป็นพิเศษต่อข้อความฟิชชิงที่อ้างอิงรายละเอียดบัญชีหรือข้อมูลส่วนบุคคลที่ถูกต้องในช่วงหลายสัปดาห์และหลายเดือนหลังจากเหตุการณ์ที่ถูกเปิดเผย
  • องค์กรควรให้ความสำคัญกับการแพตช์ช่องโหว่ที่ทราบแล้วของ VPN และการเข้าถึงระยะไกล เนื่องจากโปรโตคอลที่ล้าสมัยยังคงเป็นจุดเข้าชั้นนำของกลุ่มแรนซัมแวร์

ในขณะที่การสืบสวนแรนซัมแวร์ยังคงเปิดโปงช่องว่างระหว่างสิ่งที่กลุ่มอาชญากรสัญญากับสิ่งที่พวกเขาทำจริง ทั้งผู้บริโภคและบริษัทควรวางแผนราวกับว่าข้อมูลที่ถูกขโมยไม่เคยหายไปจริง ไม่ว่ากลุ่มแรนซัมแวร์จะให้คำรับรองเป็นลายลักษณ์อักษรอย่างไรก็ตาม