คำเตือนร่วมจาก CISA, FBI และพันธมิตรระบุว่าแรนซัมแวร์ SafePay ได้โจมตีเหยื่อมากกว่า 600 ราย และช่องทางที่ใช้ในการบุกรุกมักเป็นเรื่องธรรมดาที่น่าวิตก ตามคำเตือนระบุว่ากลุ่มนี้ใช้แรนซัมแวร์ SafePay ข้อมูลรับรอง VPN ที่ถูกขโมยมาเพื่อเข้าสู่ระบบได้อย่างง่ายดาย และยังใช้ช่องโหว่สองรายการจากปี 2024 ในอุปกรณ์ Veeam และ SonicWall ข้อสรุปนั้นง่ายมาก: VPN gateway จะปลอดภัยได้เพียงเท่ากับความปลอดภัยของข้อมูลเข้าสู่ระบบและเฟิร์มแวร์ของมันเท่านั้น

คำเตือนเกี่ยวกับ SafePay ระบุว่าอะไร

คำเตือนที่ออกโดย CISA, FBI และหน่วยงานพันธมิตร รายงานว่าแรนซัมแวร์ SafePay ได้บุกรุกเหยื่อกว่า 600 ราย มีเส้นทางการเข้าถึงเบื้องต้นสองเส้นทางที่โดดเด่น: ข้อมูลรับรอง VPN ที่ถูกต้องซึ่งผู้โจมตีได้รับมาจากที่อื่น และช่องโหว่สองรายการจากปี 2024 ที่ส่งผลกระทบต่อผลิตภัณฑ์ Veeam และ SonicWall

เนื้อหาต้นฉบับนั้นกระชับ ดังนั้นรายละเอียดบางส่วนจึงไม่ได้กล่าวถึง here เช่น หมายเลข CVE ที่เฉพาะเจาะจงหรือรายชื่อภาคส่วนที่ได้รับผลกระทบทั้งหมด ผู้ดูแลระบบควรอ่านคำเตือนต้นฉบับโดยตรงเพื่อดูตัวชี้วัดทางเทคนิคและรายการมาตรการบรรเทาผลกระทบ สิ่งที่บทสรุปทำให้ชัดเจนคือรูปแบบ: ผู้โจมตีไม่ได้พึ่งพาเทคนิคที่แปลกใหม่ พวกเขากำลังใช้การเข้าถึงที่要么รั่วไหล要么ถูกปล่อยให้ไม่ได้แพตช์

การขโมยข้อมูลเข้าสู่ระบบ VPN และช่องโหว่อุปกรณ์ชายขอบเปิดประตูได้อย่างไร

VPN ถูกออกแบบมาให้เป็นทางเข้าที่ควบคุมได้สู่เครือข่ายส่วนตัว หากผู้โจมตีมีชื่อผู้ใช้และรหัสผ่านที่ถูกต้อง ทางเข้านั้นก็จะเปิดให้พวกเขาเช่นเดียวกับที่เปิดให้พนักงาน สำหรับ VPN แล้ว ข้อมูลเข้าสู่ระบบที่ถูกขโมยจะดูเหมือนเซสชันที่ชอบด้วยกฎหมาย ซึ่งเป็นเหตุผลว่าทำไมเส้นทางนี้จึงตรวจจับได้ยากหากไม่มีการตรวจสอบเพิ่มเติม

ข้อมูลรับรองที่ถูกขโมยมักมาจากการรั่วไหลก่อนหน้า ฟิชชิง หรือการใช้รหัสผ่านซ้ำข้ามบริการต่างๆ หากพนักงานใช้รหัสผ่านเดียวกันสำหรับ VPN ที่ทำงานและบัญชีส่วนตัวที่รั่วไหลในภายหลัง ผู้โจมตีไม่จำเป็นต้องใช้ช่องโหว่ทางเทคนิคใดๆ เลย

เส้นทางที่สองคืออุปกรณ์ชายขอบที่ไม่ได้แพตช์ ไฟร์วอลล์ อุปกรณ์ VPN และซอฟต์แวร์สำรองข้อมูลตั้งอยู่ที่ขอบเขตหรือใจกลางของเครือข่าย ดังนั้นช่องโหว่ในอุปกรณ์เหล่านี้จึงสามารถให้ฐานที่มั่นที่แข็งแกร่งแก่ผู้โจมตีได้ คำเตือนชี้ไปที่ช่องโหว่สองรายการจากปี 2024 หนึ่งรายการใน Veeam และหนึ่งรายการในอุปกรณ์ SonicWall การที่ช่องโหว่จากปี 2024 ยังคงถูกใช้งานอยู่นั้นสำคัญ: มันบ่งชี้ว่ามีการแก้ไขแล้วแต่ไม่ได้ถูกนำไปใช้เสมอ

เมื่อรวมกันแล้ว เส้นทางเหล่านี้แสดงให้เห็นว่าทำไมเครื่องมือป้องกันชายขอบจึงต้องการความใส่ใจเช่นเดียวกับระบบสำคัญอื่นๆ VPN ปกป้องการรับส่งข้อมูลได้ก็ต่อเมื่อการเข้าถึงมันได้รับการปกป้อง และตัวอุปกรณ์เองก็ต้องได้รับการอัปเดตอยู่เสมอ

ขั้นตอนในการเสริมความปลอดภัยการเข้าถึง VPN และอุปกรณ์ชายขอบ

ไม่มีสิ่งใดต่อไปนี้ที่แปลกใหม่ และส่วนใหญ่สอดคล้องกับจุดอ่อนที่คำเตือนอธิบายไว้

  • กำหนดให้ใช้การยืนยันตัวตนหลายปัจจัยในการเข้าสู่ระบบ VPN ทุกครั้ง รหัสผ่านที่ถูกขโมยเพียงอย่างเดียวไม่ควรเพียงพอที่จะเข้าได้
  • แพตช์ผลิตภัณฑ์ SonicWall และ Veeam โดยเร็ว ตรวจสอบว่าการแก้ไขจากปี 2024 ได้รับการติดตั้งจริงแล้ว ไม่ใช่แค่กำหนดเวลาไว้
  • เฝ้าระวังการใช้ข้อมูลรับรองซ้ำ เปรียบเทียบข้อมูลรับรองของพนักงานกับข้อมูลการรั่วไหลที่ทราบ และบังคับรีเซ็ตเมื่อพบการเปิดเผย
  • ตรวจสอบบันทึก VPN สำหรับกิจกรรมที่ผิดปกติ การเข้าสู่ระบบในเวลาที่แปลก มาจากตำแหน่งที่ไม่คาดคิด หรือจากบัญชีที่ปกติไม่ได้ใช้งาน สมควรได้รับการตรวจสอบอย่างใกล้ชิด
  • ลบบัญชีที่ไม่ได้ใช้งาน อดีตพนักงานและข้อมูลเข้าสู่ระบบของผู้รับเหมาที่ไม่ได้ใช้เป็นเป้าหมายที่ง่าย
  • ปกป้องข้อมูลสำรอง Veeam เป็นซอฟต์แวร์สำรองข้อมูล ดังนั้นการถูกบุกรุกที่นั่นสามารถบั่นทอนการกู้คืนได้ เก็บสำเนาแยกไว้และทดสอบการกู้คืน

ตัวเลขเหยื่อ 600 รายหมายความว่าอย่างไรสำหรับองค์กรและผู้ใช้

สำหรับองค์กร เหยื่อกว่า 600 รายเป็นเครื่องเตือนใจว่ากลุ่มแรนซัมแวร์ขยายขนาดด้วยการทำสิ่งที่ได้ผลซ้ำๆ หากข้อมูลเข้าสู่ระบบที่อ่อนแอเพียงรายการเดียวหรืออุปกรณ์เก่าที่ไม่ได้แพตช์เพียงเครื่องเดียวก็เพียงพอ สุขอนามัยพื้นฐานก็เป็นหนึ่งในการป้องกันที่มีประสิทธิภาพที่สุดที่มีอยู่ และเป็นหนึ่งในวิธีที่ถูกที่สุด

สำหรับผู้ใช้แต่ละคน รวมถึงผู้ที่เชื่อมต่อกับ VPN ที่ทำงานหรือใช้บริการ VPN สำหรับผู้บริโภค บทเรียนคือเรื่องของข้อมูลรับรอง ใช้รหัสผ่านที่ไม่ซ้ำกันสำหรับทุกบัญชี เปิดใช้การยืนยันตัวตนหลายปัจจัยทุกที่ที่มีให้ และเปลี่ยนรหัสผ่านทันทีหากบริการที่คุณใช้รายงานการรั่วไหล พนักงานเป็นส่วนหนึ่งของการป้องกัน เนื่องจากข้อมูลเข้าสู่ระบบของพวกเขาคือสิ่งที่ผู้โจมตีต้องการ

นอกจากนี้ยัง有帮助ที่จะจำสิ่งที่เกิดขึ้นหลังเครือข่ายถูกบุกรุก ผู้ดำเนินการแรนซัมแวร์มักเพิ่มแรงกดดันผ่านการเรียกร้องการกรรโชกและภัยคุกคามที่จะเปิดเผยข้อมูล เรื่องราวการกรรโชกของ ATB ซึ่งกลุ่มที่เรียกตัวเองว่า DataSuckers ถูกรายงานว่าฮีGTเงิน 400,000 ดอลลาร์ โดยมีผู้ได้รับผลกระทบ 7.9 ล้านคน แสดงให้เห็นว่าแรงกดดันนั้นเกิดขึ้นอย่างไรเมื่อผู้โจมตีได้รับสิทธิ์เข้าถึงแล้ว

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากคุณดูแลระบบไอที ให้ถือว่า VPN gateway และซอฟต์แวร์สำรองข้อมูลของคุณเป็นทรัพย์สินที่มีลำดับความสำคัญสูง ตรวจสอบว่าใครสามารถเข้าสู่ระบบได้ ยืนยันว่าการยืนยันตัวตนหลายปัจจัยถูกบังคับใช้ และตรวจสอบว่าการอัปเดต SonicWall และ Veeam ได้รับการติดตั้งแล้ว หากคุณเป็นผู้ใช้ทั่วไป รักษาความปลอดภัยบัญชีของคุณเอง: รหัสผ่านที่ไม่ซ้ำกัน MFA และดำเนินการอย่างรวดเร็วหลังได้รับการแจ้งเตือนการรั่วไหลใดๆ

ประเด็นสำคัญ

คำเตือนเกี่ยวกับข้อมูลรับรอง VPN ที่ถูกขโมยของแรนซัมแวร์ SafePay เป็นการเรียกร้องให้แก้ไขพื้นฐาน บังคับใช้ MFA ในการเข้าสู่ระบบ VPN ทั้งหมด แพตช์อุปกรณ์ SonicWall และ Veeam โดยไม่ชักช้า และเฝ้าระวังข้อมูลรับรองที่ถูกใช้ซ้ำหรือรั่วไหล ผู้โจมตีที่สามารถเข้าสู่ระบบได้อย่างง่ายดายไม่จำเป็นต้องบุกรุก ดังนั้นทำให้การเข้าสู่ระบบยากขึ้นมากสำหรับพวกเขา