กลุ่มแรนซัมแวร์ที่เพิ่งปรากฏตัวบนภัยคุกคามได้อ้างว่ามีเหยื่อรายแรกที่เปิดเผยต่อสาธารณะในภาคเทคโนโลยีแล้ว นักวิจัยข่าวกรองภัยคุกคามระบุกลุ่มที่เรียกตัวเองว่า Sovcali หลังจากที่กลุ่มได้เพิ่มบริษัทเทคโนโลยีรายหนึ่งลงในพอร์ทัลเปิดโปงข้อมูลบนดาร์กเว็บของตน ซึ่งเป็นส่วนหนึ่งของการรณรงค์กรรโชกทรัพย์สองชั้น เหตุการณ์นี้เป็นเครื่องเตือนใจว่าปฏิบัติการแรนซัมแวร์ใหม่ๆ ยังคงปรากฏตัวอย่างต่อเนื่อง และไม่มีอุตสาหกรรมใด รวมถึงบริษัทที่สร้างและรักษาความปลอดภัยโครงสร้างพื้นฐานดิจิทัลของเรา ที่จะได้รับการยกเว้นจากการตกเป็นเป้า

สิ่งที่เรารู้เกี่ยวกับกลุ่มแรนซัมแวร์ Sovcali

Sovcali ถูกอธิบายว่าเป็นกลุ่มอาชญากรแรนซัมแวร์ที่เกิดใหม่ ซึ่งหมายความว่าเป็นปฏิบัติการที่เพิ่งถูกระบุโดยไม่มีประวัติสาธารณะที่ยาวนาน ตามคำเตือนระบุว่ากลุ่มได้ขึ้นบัญชีองค์กรในภาคเทคโนโลยีบนเว็บไซต์เปิดโปงข้อมูลที่เข้าถึงผ่าน Tor ซึ่งเป็นกลยุทธ์ทั่วไปที่ผู้ปฏิบัติการแรนซัมแวร์ใช้กดดันเหยื่อให้จ่ายเงินโดยขู่จะเปิดเผยข้อมูลที่ถูกขโมยต่อสาธารณะ

วิธีการของกลุ่มเป็นไปตามสูตรการกรรโชกทรัพย์สองชั้นที่เป็นมาตรฐานในปัจจุบัน แทนที่จะเพียงเข้ารหัสไฟล์ของเหยื่อและเรียกร้องค่าไถ่สำหรับกุญแจถอดรหัส มีรายงานว่า Sovcali ทำการขโมยข้อมูลออกจากเครือข่ายเป้าหมายก่อนที่จะติดตั้งการเข้ารหัส ซึ่งทำให้ผู้โจมตีมีจุดกดดันสองจุด: เหยื่อต้องเผชิญทั้งการหยุดชะงักของการดำเนินงานจากระบบที่ถูกเข้ารหัส และภัยคุกคามจากการที่ข้อมูลอ่อนไหวจะถูกเผยแพร่หรือขายหากไม่จ่ายค่าไถ่

ในด้านเทคนิค มีรายงานว่า Sovcali ใช้การเข้ารหัสแบบ AES-256 และ RSA ร่วมกัน ซึ่งเป็นวิธีการที่ใช้กันอย่างแพร่หลายทั่วระบบนิเวศแรนซัมแวร์ เนื่องจากเป็นการจับคู่การเข้ารหัสแบบสมมาตรที่รวดเร็วสำหรับไฟล์ (AES-256) กับการเข้ารหัสแบบอสมมาตร (RSA) ที่ปกป้องกุญแจการเข้ารหัสเอง การรวมกันนี้ทำให้การถอดรหัสโดยไม่ได้รับอนุญาตเป็นเรื่องยากมากหากไม่มีคีย์ส่วนตัวของผู้โจมตี ซึ่งนั่นคือจุดประสงค์หลัก: เพื่อเสริมความแข็งแกร่งให้กับตำแหน่งการเจรจาของกลุ่มเมื่อระบบของเหยื่อถูกล็อกแล้ว

ทำไมกลุ่มแรนซัมแวร์ใหม่จึงยังคงเกิดขึ้น

การปรากฏตัวของกลุ่มอย่าง Sovcali ไม่ใช่เหตุการณ์ที่แยกตัวออกมา แรนซัมแวร์ในฐานะรูปแบบธุรกิจอาชญากรรมได้พิสูจน์แล้วว่ามีความยืดหยุ่นและปรับตัวได้ และการบังคับใช้กฎหมายต่อปฏิบัติการหนึ่งมักจะตามมาด้วยการเกิดขึ้นของแบรนด์ใหม่ ซึ่งบางครั้งประกอบด้วยพันธมิตรหรืออดีตสมาชิกของกลุ่มที่ถูกทำลาย รูปแบบการก่อตัวของกลุ่มอย่างรวดเร็วนี้ได้รับการบันทึกไว้ที่อื่น รวมถึงในรายงานเกี่ยวกับกลุ่มกรรโชกทรัพย์ ExfilSquad ซึ่งปรากฏตัวและอ้างเหยื่อกว่าสิบรายอย่างรวดเร็ว และกลุ่มแรนซัมแวร์ Moondancer ซึ่งมุ่งเน้นการรับสมัครพันธมิตรใหม่ในละตินอเมริกา

ตัวเลขที่กว้างขึ้นสนับสนุนแนวโน้มนี้ การทบทวนอุตสาหกรรมล่าสุด รายงานแรนซัมแวร์ Black Kite 2026 ติดตามเหยื่อแรนซัมแวร์หลายพันรายในช่วงหนึ่งปี ซึ่งเน้นย้ำว่ากลุ่มอย่าง Sovcali กำลังเข้าสู่ตลาดอาชญากรรมที่แออัดและมีความเคลื่อนไหวสูงอยู่แล้ว ไม่ใช่ตลาดเฉพาะกลุ่ม สำหรับทั้งองค์กรและบุคคลทั่วไป นี่หมายความว่าภัยคุกคามไม่ใช่การเพิ่มขึ้นชั่วคราวที่ผูกกับแก๊งใดแก๊งหนึ่งที่มีชื่อเสียง แต่เป็นลักษณะถาวรของสภาพแวดล้อมความปลอดภัยไซเบอร์ในปัจจุบัน

การกรรโชกทรัพย์สองชั้นและมุมมองความเป็นส่วนตัวของข้อมูล

สิ่งที่ทำให้กรณี Sovcali มีความเกี่ยวข้องเป็นพิเศษจากมุมมองความเป็นส่วนตัวคือองค์ประกอบของการขโมยข้อมูล แม้องค์กรที่มีแนวปฏิบัติการสำรองข้อมูลที่แข็งแกร่ง ซึ่งสามารถกู้คืนระบบที่ถูกเข้ารหัสได้โดยไม่ต้องจ่ายค่าไถ่ ก็ยังคงเสี่ยงต่อข้อมูลที่ถูกขโมยถูกเผยแพร่ต่อสาธารณะ ข้อมูลนั้นอาจรวมถึงบันทึกของลูกค้า ข้อมูลพนักงาน ทรัพย์สินทางปัญญา หรือการสื่อสารภายใน ซึ่งสิ่งใดก็ตามเหล่านี้อาจนำไปสู่การฉ้อโกง การฟิชชิง หรือการโจรกรรมอัตลักษณ์ต่อผู้ที่ไม่มีบทบาทโดยตรงในการละเมิดข้อมูล

เหยื่อในภาคเทคโนโลยียังมีความเสี่ยงเพิ่มเติมเนื่องจากบริษัทเหล่านี้มักถือข้อมูลอ่อนไหวของลูกค้าและพันธมิตรของตนเอง ซึ่งหมายความว่าการโจมตีที่ประสบความสำเร็จเพียงครั้งเดียวสามารถส่งผลกระทบเป็นวงกว้างไปทั่วห่วงโซ่อุปทาน

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากคุณเป็นลูกค้า พันธมิตร หรือพนักงานของบริษัทเทคโนโลยี เหตุการณ์เช่นนี้เป็นสัญญาณให้ตื่นตัวมากกว่าตกใจ กลุ่มแรนซัมแวร์พึ่งพาข้อมูลที่ถูกขโมยมีมูลค่าในตลาดมืดหรือเป็นเครื่องต่อรอง และเมื่อข้อมูลถูกเผยแพร่บนเว็บไซต์เปิดโปงข้อมูลแล้ว ก็สามารถถูกดึงและนำกลับมาใช้โดยผู้ไม่ประสงค์ดีรายอื่นได้อีกหลายปีหลังจากนั้น การเฝ้าระวังกิจกรรมบัญชีที่ผิดปกติ การใช้รหัสผ่านที่ไม่ซ้ำกันในแต่ละบริการ และการเปิดใช้งานการยืนยันตัวตนหลายปัจจัยทุกครั้งที่เป็นไปได้ ยังคงเป็นการป้องกันส่วนบุคคลที่มีประสิทธิภาพที่สุดต่อผลกระทบที่ตามมาจากการละเมิดข้อมูลเหล่านี้

สำหรับองค์กร กรณี Sovcali ตอกย้ำคุณค่าของการสมมติว่าการบุกรุกที่ประสบความสำเร็จใดๆ มีแนวโน้มเกี่ยวข้องกับการขโมยข้อมูล ไม่ใช่เพียงการเข้ารหัส แผนการตอบสนองต่อเหตุการณ์ควรคำนึงถึงทั้งสองสถานการณ์ตั้งแต่เริ่มต้น

ประเด็นสำคัญที่นำไปปฏิบัติได้

  • สมมติว่าการกรรโชกทรัพย์สองชั้นเป็นเรื่องปกติ: สำรองข้อมูลระบบ แต่ก็วางแผนสำหรับความเป็นไปได้ที่ข้อมูลที่ถูกขโมยอาจรั่วไหลออกมาไม่ว่าจะจ่ายค่าไถ่หรือไม่
  • จับตาการแจ้งเตือนจากผู้จำหน่ายเทคโนโลยีที่คุณใช้ และดำเนินการอย่างรวดเร็วต่อการเปิดเผยการละเมิดข้อมูลใดๆ
  • ใช้รหัสผ่านที่แข็งแกร่งและไม่ซ้ำกัน และการยืนยันตัวตนหลายปัจจัย เพื่อจำกัดความเสียหายหากข้อมูลรับรองปรากฏในการรั่วไหลในอนาคต
  • ติดตามความครอบคลุมข่าวกรองภัยคุกคามอย่างต่อเนื่องเกี่ยวกับกลุ่มที่เกิดใหม่เช่น Sovcali เนื่องจากปฏิบัติการแรนซัมแวร์ใหม่ยังคงก่อตัวและกำหนดเป้าหมายในหลากหลายอุตสาหกรรม