ภัยคุกคามแรนซัมแวร์รูปแบบที่แตกต่างออกไป
คนส่วนใหญ่มักจินตนาการถึงการโจมตีด้วยแรนซัมแวร์ในแบบเดียวกัน คือไฟล์ของบริษัทถูกล็อกทันที ข้อความเรียกค่าไถ่ปรากฏขึ้นบนหน้าจอ และฝ่ายไอทีต้องรีบกู้คืนข้อมูลสำรอง Silent Ransom Group ซึ่งเป็นที่รู้จักในชื่อ Luna Moth ไม่ได้ดำเนินการเช่นนั้นเลย แทนที่จะเข้ารหัสสิ่งใด กลุ่มนี้กลับขโมยข้อมูลละเอียดอ่อนโดยตรง มักใช้วิธีโทรศัพท์หาพนักงาน แล้วข่มขู่ว่าจะเปิดเผยข้อมูลดังกล่าวหากไม่จ่ายค่าไถ่ ไม่มีการปล่อยมัลแวร์ ไม่มีฮาร์ดไดรฟ์ที่ถูกล็อก และบ่อยครั้งก็ไม่มีสัญญาณเตือนทางเทคนิคที่ชัดเจน มีเพียงสายโทรศัพท์ การหลอกลวง และการลักข้อมูลอย่างเงียบเชียบที่เหยื่ออาจไม่ทันสังเกตจนกระทั่งข้อเรียกร้องค่าไถ่มาถึง
การเปลี่ยนแปลงนี้สำคัญเพราะมันเปลี่ยนสิ่งที่ฝ่ายป้องกันต้องจับตามอง การป้องกันแรนซัมแวร์แบบดั้งเดิมเน้นหนักไปที่การหยุดการเข้ารหัส ไม่ว่าจะเป็นข้อมูลสำรอง การตรวจจับที่ปลายทาง หรือการแบ่งส่วนเครือข่าย Silent Ransom Group หลบเลี่ยงทั้งหมดนั้นด้วยการมุ่งเป้าไปที่จุดอ่อนที่สุดในโปรแกรมความปลอดภัยส่วนใหญ่ นั่นคือความไว้วางใจของมนุษย์
การโจมตีดำเนินไปอย่างไร
แผนการของกลุ่มนี้เน้นการวิศวกรรมสังคมมากกว่าการโจมตีช่องโหว่ของซอฟต์แวร์ ผู้โจมตีแอบอ้างเป็นเจ้าหน้าที่ฝ่ายไอที มักผ่านการโทรศัพท์ เพื่อโน้มน้าวพนักงานหรือเจ้าหน้าที่Help Desk ให้อนุญาตการเข้าถึงระยะไกลหรือมอบข้อมูลรับรอง เมื่อเข้ามาข้างในได้แล้ว เป้าหมายไม่ใช่การแพร่กระจายแรนซัมแวร์ไปทั่วเครือข่าย แต่เป็นการค้นหาและขโมยไฟล์ที่มีค่าแบบเงียบๆ ไม่ว่าจะเป็นบันทึกของลูกค้า ข้อมูลทางการเงิน เอกสารทางกฎหมาย หรือสิ่งอื่นใดที่อาจสร้างความเสียหายร้ายแรงหากถูกเปิดเผยต่อสาธารณะ
แนวทางนี้พิสูจน์แล้วว่ามีประสิทธิภาพเป็นพิเศษกับองค์กรที่ถือครองข้อมูลลับจำนวนมาก ดังที่ระบุไว้ในรายงานเกี่ยวกับกลยุทธ์การแอบอ้างเป็นไอทีของ Silent Ransom Group ที่มุ่งเป้าไปที่สำนักงานกฎหมาย กลุ่มนี้ได้เจาะจงโจมตีสำนักงานกฎหมายโดยเฉพาะ ซึ่งตามปกติแล้วจัดเก็บรายละเอียดการควบรวมกิจการ ยุทธศาสตร์การดำเนินคดี และบันทึกส่วนตัวของลูกค้าที่บุคคลภายนอกยินดีจ่ายเงินมหาศาลเพื่อให้ข้อมูลเหล่านี้เป็นความลับ เนื่องจากสำนักงานกฎหมายมักจัดการข้อมูลให้ลูกค้าหลายรายพร้อมกัน การบุกรุกสำเร็จเพียงครั้งเดียวจึงสามารถเปิดเผยเครือข่ายความสัมพันธ์ที่ละเอียดอ่อนในวงกว้างได้
ความเสี่ยงทางการเงินอาจมีนัยสำคัญ กรณีที่บันทึกไว้กรณีหนึ่งซึ่งเกี่ยวข้องกับกลุ่มนี้ได้มุ่งเป้าไปที่สำนักงานกฎหมายชั้นนำ รวมถึง Jones Day และ WilmerHale โดยมีข้อเรียกร้องค่าไถ่สูงถึง 13 ล้านดอลลาร์ ตามรายงานเกี่ยวกับแคมเปญการเรียกค่าไถ่ของ Luna Moth ที่มุ่งเป้าไปที่ Jones Day และ WilmerHale ตัวเลขดังกล่าวตอกย้ำว่าการเรียกค่าไถ่ด้วยการขโมยข้อมูลล้วนๆ สามารถสร้างผลกำไรได้มากเพียงใด แม้จะไม่มีการเข้ารหัสไฟล์แม้แต่ไฟล์เดียวก็ตาม
ทำไมเรื่องนี้จึงเป็นเรื่องของความเป็นส่วนตัว ไม่ใช่แค่ความปลอดภัย
แรนซัมแวร์ที่ใช้การเข้ารหัสนั้นสร้างความเสียหาย แต่โดยพื้นฐานแล้วมันเป็นปัญหาด้านความพร้อมใช้งาน ระบบล่มจนกว่าจะถูกกู้คืน โมเดลของ Silent Ransom Group เป็นปัญหาด้านการรักษาความลับตั้งแต่เริ่มต้น ทันทีที่ข้อมูลหลุดออกจากความควบคุมขององค์กร มันก็ถูกเปิดเผย ไม่ว่าค่าไถ่จะถูกจ่ายหรือไม่ก็ตาม เหยื่อถูกทิ้งให้เจรจาไม่ใช่เพื่อให้ได้ระบบคืนมา แต่เพื่อพยายามป้องกันไม่ให้ข้อมูลส่วนตัวถูกเผยแพร่หรือขาย
ความแตกต่างนี้สำคัญสำหรับ任何人ที่ข้อมูลส่วนตัวอาจอยู่ในไฟล์ขององค์กรที่ตกเป็นเป้าหมาย ลูกค้าของสำนักงานกฎหมายที่ถูกละเมิด ผู้ป่วยของหน่วยงานด้านสุขภาพ หรือลูกค้าของธุรกิจใดก็ตามที่จัดเก็บบันทึกส่วนบุคคล ย่อมไม่สามารถควบคุมได้โดยตรงว่าองค์กรนั้นฝึกอบรมพนักงานให้ตรวจจับสายโทรศัพท์แอบอ้างเป็นไอทีได้ดีเพียงใด การโจมตีสำเร็จไม่ใช่ด้วยการทำลายการเข้ารหัสหรือใช้ช่องโหว่ของซอฟต์แวร์ แต่ด้วยการฉวยประโยชน์จากช่วงเวลาแห่งความไว้วางใจที่ผิดพลาดระหว่างบทสนทนาทางโทรศัพท์ที่ดูเหมือนเป็นเรื่องปกติ
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
หากคุณทำงานในองค์กรที่จัดการข้อมูลละเอียดอ่อนของลูกค้า ผู้ป่วย หรือทางการเงิน แนวโน้มนี้นับเป็นเครื่องเตือนใจว่าการป้องกันทางเทคนิคเพียงอย่างเดียวจะไม่หยุดภัยคุกคามได้ทั้งหมด การใช้วิดวกรรมสังคมทางโทรศัพท์หลบเลี่ยงไฟร์วอลล์และการป้องกันปลายทางได้ทั้งหมด เพราะมันมุ่งเป้าไปที่คน ไม่ใช่ระบบ
สำหรับพนักงาน บทเรียนที่ใช้ได้จริงนั้นง่ายมาก เจ้าหน้าที่ไอทีที่แท้จริงแทบไม่เคยต้องการให้คุณอนุญาตการเข้าถึงระยะไกลหรือแชร์ข้อมูลรับรองผ่านสายโทรศัพท์ที่ไม่ได้รับเชิญ คำขอใดก็ตามเช่นนั้นสมควรได้รับการตรวจสอบยืนยันผ่านช่องทางภายในที่รู้จักก่อนที่คุณจะดำเนินการ
สำหรับองค์กร นั่นหมายความว่าเจ้าหน้าที่Help Desk และฝ่ายสนับสนุนจำเป็นต้องมีระเบียบปฏิบัติที่ชัดเจนในการยืนยันตัวตนของผู้โทรก่อนที่จะอนุญาตการเข้าถึงหรือรีเซ็ตข้อมูลรับรอง นอกจากนี้ยังหมายถึงการเฝ้าระวังรูปแบบการเข้าถึงข้อมูลที่ผิดปกติและการถ่ายโอนไฟล์ขนาดใหญ่ เนื่องจากการขโมยข้อมูลออกไป ไม่ใช่การเข้ารหัส คือเป้าหมายที่แท้จริง
สำหรับบุคคลที่ข้อมูลอาจถูกจัดเก็บโดยสำนักงานกฎหมาย หน่วยงานด้านสุขภาพ หรือสถาบันการเงิน ควรจดจำไว้ว่าการปกป้องข้อมูลไม่ได้ขึ้นอยู่กับพฤติกรรมของคุณเองเท่านั้น แต่ยังขึ้นอยู่กับวัฒนธรรมความปลอดภัยของทุกองค์กรที่ถือครองบันทึกของคุณด้วย
ประเด็นสำคัญ
แนวทางของ Silent Ransom Group แสดงให้เห็นว่าแรนซัมแวร์ไม่จำเป็นต้องใช้การเข้ารหัสก็เป็นอันตรายได้ ด้วยการพึ่งพาการแอบอ้างทางโทรศัพท์และวิศวกรรมสังคม กลุ่มนี้ได้รีดค่าไถ่จำนวนมหาศาลจากองค์กรขนาดใหญ่ รวมถึงสำนักงานกฎหมายที่จัดการข้อมูลลูกค้าที่ละเอียดอ่อนอย่างยิ่ง การเสริมสร้างกระบวนการยืนยันตัวตน การฝึกอบรมพนักงานให้ตั้งคำถามกับสายไอทีที่ไม่ได้รับเชิญ และการเฝ้าระวังการเคลื่อนย้ายข้อมูลที่ผิดปกติ ถือเป็นการป้องกันที่มีประสิทธิภาพมากกว่าเครื่องมือต่อต้านแรนซัมแวร์แบบดั้งเดิมเพียงอย่างเดียว ในขณะที่กลยุทธ์การเรียกค่าไถ่วิวัฒนาการออกจากการเข้ารหัสไปสู่การขโมยข้อมูลล้วนๆ การตื่นตัวต่อวิศวกรรมสังคมอาจสำคัญยิ่งกว่าเคย
