สิ่งที่รายงานของ Sophos ค้นพบเกี่ยวกับข้อมูลประจำตัวที่ถูกบุกรุก
รายงานใหม่จาก Sophos ระบุตัวเลขที่ชัดเจนเกี่ยวกับสิ่งที่ทีมความปลอดภัยคาดการณ์มานานหลายปี: แก๊งแรนซัมแวร์ไม่ได้พังประตูหน้าเข้ามาอีกต่อไป แต่พวกเขาเดินเข้ามาด้วยกุญแจที่ถูกขโมยมา จากผลการวิจัย 79% ของการโจมตีด้วยแรนซัมแวร์ในปัจจุบันมีต้นตอมาจากข้อมูลประจำตัวที่ถูกบุกรุก ซึ่งหมายความว่าจุดเริ่มต้นการเข้าถึงในกรณีส่วนใหญ่คือชื่อผู้ใช้และรหัสผ่านที่ถูกต้อง ไม่ใช่ช่องโหว่ของซอฟต์แวร์หรือไฟล์แนบที่เป็นอันตราย
รายงานยังเน้นให้เห็นช่องว่างที่เด่นชัดในวิธีที่องค์กรขนาดต่างๆ ตอบสนองเมื่อการโจมตีเริ่มขึ้น มีองค์กรขนาดเล็กเพียง 34% เท่านั้นที่สามารถหยุดการโจมตีได้ก่อนที่จะเกิดการเข้ารหัสหรือการกรรโชกทรัพย์ ในทางตรงกันข้าม องค์กรที่มีพนักงาน 3,001 ถึง 5,000 คนสามารถหยุดการโจมตีได้ 46% ของกรณี ช่องว่างนี้บ่งชี้ว่าทรัพยากร บุคลากร และความพร้อมด้านการตรวจจับยังคงมีความสำคัญอย่างมาก แม้ว่าวิธีการเข้าถึงของผู้โจมตีจะดูคล้ายคลึงกันในองค์กรทุกขนาดก็ตาม
ในด้านภูมิศาสตร์ รายงานระบุว่าสหราชอาณาจักรมีค่าการเรียกร้องค่าไถ่เฉลี่ยสูงสุดในภูมิภาคที่ทำการศึกษา แม้ว่าจะไม่ได้ระบุรายละเอียดตัวเลขทั้งหมด แต่รูปแบบดังกล่าวตอกย้ำแนวโน้มที่กว้างขึ้นว่า ค่าไถ่ถูกปรับให้สูงขึ้นตามการรับรู้ความสามารถในการจ่าย ไม่ใช่เพียงแค่มูลค่าของข้อมูลเท่านั้น
ทำไม MFA เพียงอย่างเดียวจึงไม่สามารถหยุดยั้งแรนซัมแวร์ได้
นี่คือข้อค้นพบที่ควรปรับเปลี่ยนงบประมาณด้านความปลอดภัยจำนวนมาก: การยืนยันตัวตนหลายปัจจัย (MFA) ถูกนำมาใช้ในระดับหนึ่งใน 97% ของเหตุการณ์ที่มีข้อมูลประจำตัวที่ถูกบุกรุกเป็นสาเหตุหลัก กล่าวอีกนัยหนึ่ง เกือบทุกองค์กรที่ถูกเจาะระบบผ่านข้อมูลประจำตัวที่ถูกขโมยมามี MFA เปิดใช้งานอยู่แล้วในบางส่วนของสภาพแวดล้อม
นี่ไม่ได้หมายความว่า MFA ไร้ประโยชน์ แต่มันหมายความว่า MFA ไม่ใช่โซลูชันที่สมบูรณ์เมื่อถูกนำไปใช้อย่างไม่สม่ำเสมอ ช่องว่างความครอบคลุม เช่น ระบบเก่าที่ไม่รองรับการยืนยันตัวตนแบบสมัยใหม่ บัญชีบริการที่ถูกยกเว้นจากนโยบาย MFA หรือเครื่องมือการเข้าถึงระยะไกลที่ตั้งค่าการยืนยันที่อ่อนแอกว่า ล้วนให้ช่องทางที่ผู้โจมตีต้องการ ผู้โจมตีที่มุ่งมั่นไม่จำเป็นต้องเอาชนะ MFA ในทุกจุด พวกเขาเพียงแค่ต้องค้นหาเส้นทางการเข้าสู่ระบบเดียวที่ MFA ไม่เคยถูกบังคับใช้
นี่คือความตึงเครียดหลักที่ข้อมูลของ Sophos เปิดเผย ทีมความปลอดภัยใช้เวลาหลายปีในการมองว่า MFA เป็นเพียงรายการที่ต้องทำ แต่ผู้ดำเนินการแรนซัมแวร์ได้ปรับตัวโดยการตามล่าบัญชี ระบบ และการผสานรวมที่อยู่นอกเหนือรายการเหล่านั้น ผลลัพธ์คือกลยุทธ์การป้องกันที่ดูแข็งแกร่งบนกระดาษ แต่มีช่องโหว่จริงในทางปฏิบัติ
ขั้นตอนสุขลักษณะด้านข้อมูลประจำตัวในทางปฏิบัตินอกเหนือจาก MFA
หากการบุกรุกข้อมูลประจำตัวเป็นจุดเริ่มต้นหลัก สุขลักษณะด้านข้อมูลประจำตัวก็ควรได้รับความสนใจในการปฏิบัติงานเช่นเดียวกับการจัดการแพตช์หรือการตรวจจับปลายทางที่มักได้รับ ขั้นตอนปฏิบัติบางประการที่โดดเด่นตามนัยของรายงาน ได้แก่:
- ตรวจสอบความครอบคลุมของ MFA ไม่ใช่แค่การมีอยู่ของ MFA ยืนยันว่าทุกจุดเชื่อมต่อระยะไกล บัญชีผู้ดูแล และการผสานรวมกับบุคคลภายนอกบังคับใช้ MFA จริง ไม่ใช่แค่หน้าจอเข้าสู่ระบบหลัก
- ให้ความสำคัญกับการยืนยันตัวตนที่ต้านทานฟิชชิง ในทุกที่ที่เป็นไปได้ เนื่องจากรหัสแบบใช้ครั้งเดียวแบบดั้งเดิมยังคงถูกดักจับหรือถูกวิศวกรรมสังคมได้
- เฝ้าติดตามการใช้ข้อมูลประจำตัวซ้ำและบัญชีที่ไม่ได้ใช้งาน บัญชีที่ไม่เคลื่อนไหวและข้อมูลเข้าสู่ระบบที่ใช้ร่วมกันเป็นจุดบอดที่พบบ่อยซึ่งผู้โจมตีใช้ประโยชน์หลังจากพนักงานย้ายออกไปหรือเปลี่ยนบทบาทไปนานแล้ว
- แบ่งส่วนการเข้าถึงตามบทบาทและความจำเป็น แม้แต่ข้อมูลประจำตัวที่ถูกบุกรุกก็มีประโยชน์น้อยลงมากสำหรับผู้โจมตี หากไม่ได้ให้สิทธิ์การเคลื่อนที่ด้านข้างในวงกว้างทั่วทั้งเครือข่าย
- สร้างความสามารถในการตรวจจับและตอบสนองที่รวดเร็วขึ้น โดยเฉพาะสำหรับองค์กรขนาดเล็ก ช่องว่างระหว่างอัตราการควบคุมการโจมตี 34% และ 46% บ่งชี้ว่าความเร็วในการตรวจจับ ไม่ใช่แค่การป้องกัน คือจุดที่ทีมที่มีทรัพยากรจำกัดกำลังเสียเปรียบ
ขั้นตอนเหล่านี้ไม่ต้องการเครื่องมือที่แปลกใหม่ พวกเขาต้องการวินัย ทัศนวิสัย และความเต็มใจที่จะมองว่าข้อมูลประจำตัวเป็นระบบที่มีชีวิตซึ่งต้องการการตรวจสอบเป็นประจำ ไม่ใช่งานตั้งค่าครั้งเดียว
ตำแหน่งของเครื่องมือเข้ารหัสและ VPN ในการป้องกันแบบหลายชั้น
VPN และเครื่องมือการเข้าถึงที่เข้ารหัสยังคงเป็นชั้นที่มีประโยชน์ในกลยุทธ์การปกป้องข้อมูลประจำตัวที่กว้างขึ้น โดยเฉพาะอย่างยิ่งสำหรับการรักษาความปลอดภัยการเข้าสู่ระบบระยะไกลและลดการเปิดเผยบนเครือข่ายที่ไม่น่าเชื่อถือ แต่ข้อค้นพบของ Sophos เป็นเครื่องเตือนใจว่า ไม่มีเครื่องมือเดี่ยวใด ไม่ว่าจะเป็น VPN, MFA หรือการปกป้องปลายทาง ที่สามารถทดแทนการกำกับดูแลข้อมูลประจำตัวอย่างสม่ำเสมอทั่วทั้งองค์กร ผู้โจมตีมองหาช่องว่างระหว่างเครื่องมือ ไม่ใช่ตัวเครื่องมือเอง
นี่เป็นช่วงเวลาที่ดีที่จะคิดว่า การควบคุมการเข้าถึงและนโยบายอินเทอร์เน็ตเชื่อมโยงกันในภาพกว้างอย่างไร เช่นเดียวกับที่รัฐบาลตรวจสอบอย่างเข้มงวดมากขึ้นว่า ผู้ให้บริการ VPN จัดการกับข้อจำกัดการเข้าถึง อย่างไร องค์กรต่างๆ ก็ถูกขอให้ตรวจสอบว่าเครื่องมือการเข้าถึงของตนเองถูกกำหนดค่าและเฝ้าติดตามอย่างไร การทำความเข้าใจว่าระบบข้อจำกัดแบบหลายชั้นทำงานอย่างไร คล้ายกับที่ ระบบเซ็นเซอร์อินเทอร์เน็ตแห่งชาติ ถูกสร้างขึ้นด้วยชั้นการบังคับใช้หลายชั้นแทนที่จะเป็นประตูเดียว นำเสนอการเปรียบเทียบที่มีประโยชน์สำหรับเหตุผลที่การป้องกันแรนซัมแวร์ยังต้องใช้การควบคุมหลายชั้นที่ทับซ้อนกัน แทนที่จะพึ่งพามาตรการป้องกันใดเพียงมาตรการเดียว
สิ่งนี้มีความหมายต่อคุณอย่างไร
หากคุณจัดการความปลอดภัยด้านไอทีในองค์กรขนาดใดก็ตาม รายงานนี้เป็นสัญญาณให้ทบทวนสมมติฐาน การมี MFA ที่เปิดใช้งานไม่เหมือนกับการมี MFA ที่บังคับใช้ในทุกจุดที่สำคัญ การป้องกันแรนซัมแวร์จากการขโมยข้อมูลประจำตัวในปี 2026 ต้องการการปฏิบัติต่อข้อมูลประจำตัวเป็นวินัยในการปฏิบัติงานที่ต่อเนื่อง ไม่ใช่โครงการที่เสร็จสิ้นเมื่อการเปิดตัว MFA ถูกทำเครื่องหมายว่าแล้วเสร็จ
สำหรับองค์กรขนาดเล็กโดยเฉพาะ อัตราการควบคุมการโจมตีที่แตกต่างกันนี้สมควรได้รับการพิจารณาอย่างจริงจัง มันบ่งชี้ว่าการลงทุนในความสามารถในการตรวจจับและตอบสนอง แม้แต่การปรับปรุงเล็กน้อย ก็สามารถเปลี่ยนผลลัพธ์ของการโจมตีที่เข้าถึงได้ในขั้นต้นแล้วได้อย่างมีนัยสำคัญ
ประเด็นสำคัญ
- 79% ของการโจมตีด้วยแรนซัมแวร์ในปัจจุบันเริ่มต้นจากข้อมูลประจำตัวที่ถูกบุกรุก อ้างอิงจาก Sophos
- MFA มีอยู่ใน 97% ของเหตุการณ์แรนซัมแวร์ที่ใช้ข้อมูลประจำตัว แสดงให้เห็นว่าช่องว่างความครอบคลุม ไม่ใช่การไม่มี MFA คือปัญหาที่แท้จริง
- องค์กรขนาดเล็กหยุดการโจมตีได้เพียง 34% ของกรณี เทียบกับ 46% สำหรับองค์กรขนาดใหญ่ที่มีพนักงาน 3,001 ถึง 5,000 คน
- สหราชอาณาจักรบันทึกค่าการเรียกร้องค่าไถ่เฉลี่ยสูงสุดในรายงาน
- การป้องกันแรนซัมแวร์จากการขโมยข้อมูลประจำตัวที่มีประสิทธิภาพต้องการการตรวจสอบความครอบคลุมของ MFA การเฝ้าติดตามข้อมูลประจำตัวที่ค้างอยู่หรือถูกใช้ซ้ำ การแบ่งส่วนการเข้าถึง และการสร้างความสามารถในการตรวจจับที่รวดเร็วขึ้น โดยไม่พึ่งพาเครื่องมือความปลอดภัยเพียงตัวเดียว
