เชลล์ยืนยันการสอบสวนคำกล่าวอ้างการขโมยข้อมูลของ Cl0p

เชลล์ ยักษ์ใหญ่ด้านพลังงาน ยืนยันว่ากำลังสอบสวนเหตุการณ์ด้านความปลอดภัยที่อาจเกิดขึ้น หลังจากกลุ่มแรนซัมแวร์ Cl0p อ้างว่าขโมยข้อมูลประมาณ 89GB จากบริษัท คำกล่าวอ้างนี้เป็นส่วนหนึ่งของแคมเปญขนาดใหญ่ที่ใหญ่กว่ามาก ซึ่ง Cl0p กล่าวว่าสามารถขโมยข้อมูลจากองค์กรข้ามชาติเกือบ 50 แห่ง โดยรายงานว่ารวมถึง Philips, GE Aerospace และ Fiserv ผ่านการใช้ประโยชน์จากช่องโหว่ใน PTC Windchill ซึ่งเป็นแพลตฟอร์มการจัดการวงจรชีวิตผลิตภัณฑ์ที่ใช้งานอย่างแพร่หลาย

เช่นเดียวกับเหตุการณ์ส่วนใหญ่ที่เกี่ยวข้องกับ Cl0p ไม่มีข้อบ่งชี้ว่าระบบปฏิบัติการของเชลล์ถูกล็อกหรือมีการใช้การเข้ารหัสแรนซัมแวร์ แต่กลุ่มกลับดูเหมือนจะปฏิบัติตามแนวทางที่เคยใช้เป็นประจำ: เข้าถึงระบบอย่างเงียบ ๆ ขโมยข้อมูล แล้วออกมาเปิดเผยต่อสาธารณะด้วยการข่มขู่มากกว่าการก่อกวนทางเทคนิค เชลล์ยังไม่ได้ยืนยันขอบเขตหรือความถูกต้องของข้อมูลที่ถูกขโมย และการสอบสวนยังคงดำเนินอยู่

โมเดลการข่มขู่กรรโชกของ Cl0p ทำงานอย่างไร

不同于แรนซัมแวร์หลายรายที่เข้ารหัสไฟล์และเรียกค่าไถ่เพื่อแลกกับคีย์ถอดรหัส Cl0p ได้หันมาเน้นการข่มขู่กรรโชกข้อมูลเพียงอย่างเดียวมากขึ้นเรื่อย ๆ กลุ่มจะขโมยฐานข้อมูลที่มีโครงสร้างและไฟล์ที่ไม่เข้ารหัส ซึ่งมักใช้เว็บเชลล์ที่สร้างขึ้นเองหลังจากการใช้ประโยชน์จากช่องโหว่ซอฟต์แวร์ จากนั้นจึงติดต่อเหยื่อ (หรือเปิดเผยชื่อของพวกเขา) เพื่อเรียกเงินหลายล้านดอลลาร์เพื่อแลกกับการไม่เปิดเผยข้อมูลที่ถูกขโมย

แนวทางนี้มีข้อดีหลายประการสำหรับผู้โจมตี มันข้ามขั้นตอนที่ส่งเสียงดังและก่อกวนอย่างการเข้ารหัสระบบ ซึ่งอาจทำให้ทีมรักษาความปลอดภัยรู้ตัวได้อย่างรวดเร็วและกระตุ้นการตอบสนองต่อเหตุการณ์ทันที นอกจากนี้ยังเปลี่ยนแรงกดดันทั้งหมดไปที่ความเสี่ยงด้านชื่อเสียงและด้านกฎระเบียบ: ภัยคุกคามไม่ใช่ "ระบบของคุณล่ม" แต่เป็น "ข้อมูลลูกค้าและคู่ค้าของคุณจะถูกเผยแพร่เว้นแต่คุณจะจ่ายเงิน" ความแตกต่างนี้มีความสำคัญต่อวิธีที่องค์กรตรวจจับ ตอบสนอง และเปิดเผยเหตุการณ์เหล่านี้ เนื่องจากอาจไม่มีการหยุดชะงักในการปฏิบัติงานที่ชัดเจนเพื่อส่งสัญญาณว่ามีบางอย่างผิดปกติ

รูปแบบนี้ไม่ได้เกิดขึ้นเฉพาะกับเชลล์ กลยุทธ์ข่มขู่กรรโชกก่อนแบบเดียวกันนี้ถูกใช้ในการสอบสวนของ Wesco ต่อคำกล่าวอ้างการโจมตีจากกลุ่ม ExfilSquad ซึ่งผู้จัดจำหน่ายอุปกรณ์ไฟฟ้ายืนยันว่ากำลังตรวจสอบคำกล่าวอ้างการบุกรุกระบบของตน และในการรายงานติดตามผลที่ExfilSquad อ้างว่าขโมยบันทึก CRM จำนวน 2.6 ล้านรายการ จาก Wesco โดยเฉพาะ โมเดลการข่มขู่กรรโชกจำนวนมากยังปรากฏให้เห็นในวงกว้างในเหตุการณ์ต่าง ๆ เช่นแคมเปญ vishing ของ ShinyHunters ต่อ Charter Communications ซึ่งเปิดเผยบันทึกลูกค้าประมาณ 40 ล้านรายการ ในกรณีเหล่านี้ทั้งหมด จุดร่วมคือกลุ่มที่อ้างว่าขโมยข้อมูลก่อน แล้วปล่อยให้บริษัทเหยื่อต้องรีบตรวจสอบและตอบสนอง

แคมเปญที่กำหนดเป้าหมายบริษัทเกือบ 50 แห่ง

สิ่งที่ทำให้เหตุการณ์เชลล์แตกต่างจากการโจมตีบริษัทเดี่ยวทั่วไปคือขนาดของแคมเปญที่ใหญ่กว่า Cl0p รายงานว่าได้ระบุชื่อองค์กรเกือบ 50 แห่งในหลายอุตสาหกรรม โดยเชื่อมโยงการบุกรุกเข้ากับการใช้ประโยชน์จากช่องโหว่ในซอฟต์แวร์ PTC Windchill หากข้อมูลนี้ถูกต้อง นี่แสดงถึงการกวาดล้างที่ประสานงานกันและขับเคลื่อนด้วยช่องโหว่ มากกว่าการโจมตีแบบสุ่มที่ไม่เกี่ยวข้องกัน รูปแบบนี้สอดคล้องกับวิธีที่ Cl0p ดำเนินการในอดีต: ระบุผลิตภัณฑ์ซอฟต์แวร์ระดับองค์กรที่ใช้งานอย่างแพร่หลาย ใช้ประโยชน์จากข้อบกพร่องก่อนที่แพตช์จะถูกนำไปใช้อย่างกว้างขวาง และเก็บเกี่ยวข้อมูลจากลูกค้าให้มากที่สุดก่อนที่จะเปิดเผยผลลัพธ์ต่อสาธารณะ

สำหรับเชลล์ การถูกระบุชื่อร่วมกับบริษัทขนาดใหญ่และมีทรัพยากรดีอีกหลายสิบแห่ง ตอกย้ำประเด็นที่กว้างขึ้น: ไม่มีองค์กรใดที่ขนาดหรืองบประมาณด้านความปลอดภัยจะทำให้ภูมิคุ้มกันได้ เมื่อเกี่ยวข้องกับช่องโหว่ของซอฟต์แวร์ซัพพลายเชนหรือซอฟต์แวร์บุคคลที่สาม การสอบสวนยังอยู่ในช่วงเริ่มต้น และเชลล์ยังไม่ได้ยืนยันขอบเขตทั้งหมดของสิ่งที่ถูกเข้าถึง หากมีการเข้าถึงจริง

สิ่งนี้หมายความต่อคุณอย่างไร

หากคุณเป็นลูกค้า คู่ค้า หรือพนักงานของเชลล์ ยังไม่มีหลักฐานที่ยืนยันว่าข้อมูลส่วนบุคคลถูกเปิดเผย แต่ก็ควรเฝ้าระวัง การโจมตีแบบข่มขู่กรรโชกเช่นนี้มักเกี่ยวข้องกับบันทึกทางธุรกิจ ข้อมูลผู้ขาย หรือข้อมูลพนักงาน มากกว่าข้อมูลประจำตัวบัญชีลูกค้าโดยตรง แม้ว่าสิ่งนี้อาจเปลี่ยนแปลงได้เมื่อการสอบสวนดำเนินไป วิธีที่ปลอดภัยที่สุดคือติดตามการสื่อสารอย่างเป็นทางการจากเชลล์ และปฏิบัติต่ออีเมลหรือโทรศัพท์ที่ไม่พึงประสงค์ที่อ้างถึงเหตุการณ์นี้ด้วยความระมัดระวัง เนื่องจากข่าวการละเมิดข้อมูลมักถูกใช้ประโยชน์สำหรับการโจมตีแบบฟิชชิง

ในวงกว้างมากขึ้น เหตุการณ์นี้เป็นเครื่องเตือนใจว่าการละเมิดข้อมูลไม่ได้มีลักษณะเหมือนบริษัทถูก "แฮ็ก" ในความหมายดั้งเดิมเสมอไป เมื่อผู้โจมตีพึ่งพาการข่มขู่กรรโชกมากกว่าการเข้ารหัส สัญญาณสาธารณะแรกของปัญหามักจะมาจากการประกาศของกลุ่มอาชญากรเอง ไม่ใช่การแจ้งเตือนภายในจากเหยื่อ

ข้อควรปฏิบัติที่นำไปใช้ได้จริง

ติดตามการสื่อสารอย่างเป็นทางการของเชลล์แทนการพึ่งพาคำกล่าวอ้างจากบุคคลที่สามสำหรับรายละเอียดเกี่ยวกับข้อมูลที่อาจได้รับผลกระทบ ระวังความพยายามฟิชชิงที่อ้างถึงการละเมิดนี้ เนื่องจากอาชญากรมักใช้เหตุการณ์จริงเพื่อหลอกให้ผู้คนคลิกลิงก์ที่เป็นอันตราย หากคุณทำงานกับหรือใช้ซอฟต์แวร์เช่น PTC Windchill ให้ตรวจสอบแพตช์และคำแนะนำด้านความปลอดภัยจากผู้จำหน่ายโดยเร็ว เนื่องจากแคมเปญที่ขับเคลื่อนด้วยช่องโหว่แบบนี้มักเคลื่อนไหวเร็วเมื่อรายละเอียดถูกเปิดเผยต่อสาธารณะ สุดท้าย พิจารณาใช้รหัสผ่านที่แข็งแกร่งและไม่ซ้ำกัน รวมถึงบริการเฝ้าระวัง หากคุณได้รับการแจ้งเตือนว่าข้อมูลของคุณเป็นส่วนหนึ่งของการละเมิดที่เกี่ยวข้องกับแคมเปญนี้ เนื่องจากประวัติของ Cl0p แสดงให้เห็นว่าคำกล่าวอ้างเหล่านี้มักตามมาด้วยการรั่วไหลของข้อมูลจริงเมื่อไม่มีการจ่ายค่าไถ่