สำนักงานกฎหมายครอบครองข้อมูลที่อ่อนไหวที่สุดบางประเภทนอกเหนือจากโรงพยาบาลและหน่วยงานรัฐ: รายละเอียดการควบรวมกิจการ กลยุทธ์การฟ้องร้อง ข้อมูลทางการเงินของลูกค้า และบันทึกส่วนบุคคลที่เชื่อมโยงกับคดีที่กำลังดำเนินอยู่ การผสมผสานระหว่างมูลค่าสูงและงบประมาณด้านความปลอดภัยไซเบอร์ที่มักจำกัดทำให้ภาคกฎหมายกลายเป็นเป้าหมายที่น่าสนใจขึ้นเรื่อย ๆ สำหรับกลุ่มที่รู้จักกันในชื่อ Silent Ransom Group (SRG) ซึ่งถูกติดตามภายใต้นามแฝงว่า Luna Moth, Chatty Spider และ UNC3753 กลุ่มนี้ได้สร้างคู่มือการขู่กรรโชกที่ข้ามขั้นตอนซึ่งคนส่วนใหญ่เชื่อมโยงกับแรนซัมแวร์ไปอย่างสิ้นเชิง

การขู่กรรโชกอีกรูปแบบหนึ่ง

การโจมตีด้วยแรนซัมแวร์แบบดั้งเดิมมีรูปแบบที่คุ้นเคย: มัลแวร์ล็อกไฟล์ของเหยื่อ และผู้โจมตีเรียกค่าไถ่เพื่อแลกกับกุญแจถอดรหัส SRG ทำบางอย่างที่เงียบกว่าและอันตรายกว่าในบางแง่มุม แทนที่จะเข้ารหัสระบบ กลุ่มนี้มุ่งขโมยข้อมูลออกไปและขู่ว่าจะเผยแพร่หากสำนักงานไม่จ่ายเงิน ไม่มีแรนซัมแวร์ให้ตรวจจับ ไม่มีไฟล์ที่ถูกล็อกเพื่อเตือนพนักงาน IT ว่ามีบางอย่างผิดปกติ สัญญาณแรกของปัญหามักจะเป็นข้อเรียกร้องค่าไถ่นั่นเอง

การเข้าถึงมักเริ่มต้นด้วยกลลวงทางวิศวกรรมสังคมที่เรียบง่ายแต่ได้ผล: เจ้าหน้าที่ของ SRG ปลอมเป็นฝ่ายสนับสนุน IT โทรศัพท์หรือส่งอีเมลหาพนักงานเพื่อโน้มน้าวให้มอบข้อมูลประจำตัวหรือติดตั้งเครื่องมือการเข้าถึงระยะไกล เมื่อเข้าไปข้างในแล้ว กลุ่มจะดูดข้อมูลออกไปอย่างเงียบ ๆ แทนที่จะก่อกวนเครือข่ายที่จะทำให้เกิดสัญญาณเตือน เมื่อสำนักงานกฎหมายรู้ตัวว่ามีบางอย่างเกิดขึ้น ข้อมูลก็หายไปแล้วและภัยคุกคามจากการเปิดเผยต่อสาธารณะก็วางอยู่ตรงหน้าแล้ว

แนวทางนี้สะท้อนการเปลี่ยนแปลงในวงกว้างว่ากลุ่มขู่กรรโชกสร้างแรงกดดันต่อเหยื่ออย่างไร ผู้ดำเนินการแรนซัมแวร์บางรายถึงกับเริ่มตกแต่งภัยคุกคามด้วยภาษาทางกฎหมายปลอมเพื่อให้ข้อเรียกร้องฟังดูเป็นทางการขึ้นและยากที่จะเพิกเฉย ซึ่งเป็นกลยุทธ์ที่อธิบายไว้ใน แก๊งแรนซัมแวร์เพิ่มคำขู่ทางกฎหมายปลอมที่สร้างโดย AI ในบันทึกเรียกค่าไถ่ ไม่ว่าแรงกดดันจะมาจากบันทึกทางกฎหมายปลอมหรือภัยคุกคามง่าย ๆ ว่าจะรั่วไหลไฟล์ของลูกค้า เป้าหมายก็เหมือนเดิม: ทำให้การจ่ายเงินดูเหมือนเป็นทางเลือกเดียวที่สมเหตุสมผล

ทำไมสำนักงานกฎหมายจึงเปราะบางเป็นพิเศษ

สำนักงานกฎหมายอยู่ในตำแหน่งที่ไม่เหมือนใครในโลกของความปลอดภัยไซเบอร์ พวกเขาเป็นผู้ดูแลข้อมูลของบุคคลที่สามที่อ่อนไหวอย่างยิ่ง ซึ่งบ่อยครั้งเป็นของลูกค้าองค์กรหลายรายพร้อมกัน ทว่าหลายแห่งดำเนินงานด้วยทีม IT ที่เล็กกว่าและมีการอบรมด้านความปลอดภัยที่เป็นทางการน้อยกว่าอุตสาหกรรมที่พวกเขาให้บริการ ทนายความและเจ้าหน้าที่สนับสนุนมักอยู่ภายใต้แรงกดดันด้านเวลา ต้องรับสายจากผู้ขาย ศาล และลูกค้า ซึ่งทำให้การปลอมเป็นฝ่าย IT ที่น่าเชื่อถือหลุดรอดความระมัดระวังของใครบางคนได้ง่ายขึ้น

นอกจากนี้ยังมีปัญหาแรงจูงใจเชิงโครงสร้าง การรั่วไหลของข้อมูลที่สำนักงานกฎหมายไม่ได้เปิดเผยเพียงข้อมูลของสำนักงานเอง แต่ยังเปิดเผยข้อมูลลับที่เป็นของลูกค้าทุกคดีที่เกี่ยวข้องกับระบบนั้น ซึ่งเพิ่มความเสี่ยงด้านชื่อเสียงและกฎหมายของการรั่วไหลใด ๆ นั่นคืออำนาจต่อรองที่กลุ่มอย่าง SRG คาดหวังไว้เมื่อพวกเขาขู่จะเผยแพร่แทนที่จะเข้ารหัส

สิ่งนี้หมายถึงอะไรสำหรับคุณ

หากคุณทำงานในสำนักงานกฎหมาย หรือคุณเป็นลูกค้าที่บันทึกข้อมูลอ่อนไหวผ่านสำนักงานนั้น แนวโน้มนี้มีความสำคัญแม้ว่าคุณจะไม่เคยเห็นบันทึกเรียกค่าไถ่ด้วยตัวเองก็ตาม การขโมยข้อมูลผ่านการปลอมตัวไม่จำเป็นต้องใช้ช่องโหว่ทางเทคนิคที่ซับซ้อน ต้องใช้พนักงานคนหนึ่งที่ไว้ใจสายโทรศัพท์หรืออีเมลผิด นั่นหมายความว่าสำนักงานทุกขนาด ไม่ใช่แค่สำนักงานด้านกฎหมายองค์กรขนาดใหญ่ ล้วนเป็นเป้าหมายได้

สำหรับลูกค้า ควรถามสำนักงานที่ดูแลคดีหรือธุรกรรมของคุณว่ามีขั้นตอนการตรวจสอบอะไรบ้างก่อนที่จะให้สิทธิ์การเข้าถึงระยะไกลหรือรีเซ็ตข้อมูลประจำตัว สำนักงานที่มีขั้นตอนที่ชัดเจนและผ่านการทดสอบเพื่อยืนยันคำขอด้าน IT มีโอกาสน้อยที่จะตกเป็นเหยื่อของการปลอมตัวที่ SRG ใช้

ขั้นตอนที่ควรทำตอนนี้

ข่าวดีก็คือวิธีการโจมตีเฉพาะนี้มีจุดที่ผิดพลาดค่อนข้างแคบ: การตรวจสอบโดยมนุษย์ ขั้นตอนที่เป็นรูปธรรมไม่กี่ข้อสามารถลดความเสี่ยงได้อย่างมีนัยสำคัญ

  • กำหนดนโยบายการโทรกลับที่เข้มงวดสำหรับคำขอด้าน IT ใด ๆ ที่เกี่ยวข้องกับข้อมูลประจำตัว การเข้าถึงระยะไกล หรือการติดตั้งซอฟต์แวร์ พนักงานควรตรวจสอบคำขออย่างอิสระผ่านเบอร์ภายในที่ทราบ แทนที่จะเชื่อถือตัวตนของผู้โทรตามที่ปรากฏ
  • ฝึกอบรมพนักงานให้มองการติดต่อจาก IT ที่ไม่ได้ร้องขอ โดยเฉพาะคำขอที่ฟังดูเร่งด่วน เป็นธงแดงแทนที่จะเป็นงานประจำ
  • จำกัดและตรวจสอบเครื่องมือการเข้าถึงระยะไกล เพื่อให้การติดตั้งหรือการเข้าสู่ระบบที่ผิดปกติกระตุ้นการแจ้งเตือนแทนที่จะไม่มีใครสังเกตเห็น
  • สร้างแผนตอบสนองต่อเหตุการณ์ที่ตั้งสมมติฐานว่าอาจเกิดการขโมยข้อมูล ไม่ใช่แค่การเข้ารหัส เนื่องจากวิธีการตรวจจับที่สร้างขึ้นจากอาการของแรนซัมแวร์จะพลาดการบุกรุกประเภทนี้

ความสำเร็จของ Silent Ransom Group ขึ้นอยู่กับความเร็วและความไว้วางใจ: โน้มน้าวให้ใครบางคนรีบดำเนินการก่อนที่จะหยุดตรวจสอบ สำนักงานกฎหมายที่สร้างแรงเสียดทานในกระบวนการนั้น แม้แต่บางสิ่งที่ง่ายอย่างนโยบายการโทรกลับ ก็จะลดข้อได้เปรียบส่วนใหญ่ของกลุ่มนี้ไป การรักษาความปลอดภัยไซเบอร์ในภาคกฎหมายไม่จำเป็นต้องยกเครื่องครั้งใหญ่ในชั่วข้ามคืน แต่จำเป็นต้องให้ความสำคัญกับวิศวกรรมสังคมอย่างจริงจังเช่นเดียวกับช่องโหว่ทางเทคนิคใด ๆ สำนักงานที่ปรับเปลี่ยนตอนนี้จะอยู่ในตำแหน่งที่ดีกว่าผู้ที่รอให้ข้อเรียกร้องค่าไถ่มาบังคับให้พูดคุย