กลุ่มแรนซัมแวร์ที่เพิ่งปรากฏตัวบนภูมิทัศน์ภัยคุกคามได้ประกาศเหยื่อรายแรกที่เปิดเผยต่อสาธารณะในภาคเทคโนโลยีแล้ว นักวิจัยด้านข่าวกรองภัยคุกคามได้ระบุตัวกลุ่มที่เรียกตัวเองว่า Sovcali หลังจากที่กลุ่มดังกล่าวได้เพิ่มบริษัทเทคโนโลยีรายหนึ่งลงในพอร์ทัลรั่วไหลข้อมูลบนดาร์กเว็บของตน ซึ่งเป็นส่วนหนึ่งของแคมเปญขู่กรรโชกสองชั้น เหตุการณ์นี้เป็นเครื่องเตือนใจว่าการดำเนินการแรนซัมแวร์รายใหม่ยังคงปรากฏขึ้นอย่างต่อเนื่อง และไม่มีอุตสาหกรรมใด รวมถึงบริษัทที่สร้างและรักษาความมั่นคงปลอดภัยให้กับโครงสร้างพื้นฐานทางดิจิทัลของเรา ที่จะได้รับการยกเว้นจากการตกเป็นเป้าหมาย

สิ่งที่เรารู้เกี่ยวกับกลุ่มแรนซัมแวร์ Sovcali

Sovcali ถูกอธิบายว่าเป็นเครือข่ายอาชญากรรมแรนซัมแวร์ที่เกิดขึ้นใหม่ หมายความว่าเป็นการดำเนินการที่เพิ่งถูกระบุตัวตนโดยไม่มีประวัติสาธารณะที่กว้างขวาง ตามรายงานการแจ้งเตือน กลุ่มดังกล่าวได้ขึ้นบัญชีองค์กรในภาคเทคโนโลยีบนเว็บไซต์รั่วไหลข้อมูลที่ใช้ Tor ซึ่งเป็นกลวิธีทั่วไปที่ผู้ปฏิบัติการแรนซัมแวร์ใช้เพื่อกดดันเหยื่อให้จ่ายเงินโดยการข่มขู่จะเปิดเผยข้อมูลที่ถูกขโมยต่อสาธารณะ

วิธีการของกลุ่มเป็นไปตามแผนการขู่กรรโชกสองชั้นที่เป็นมาตรฐานในปัจจุบัน แทนที่จะเพียงแค่เข้ารหัสไฟล์ของเหยื่อและเรียกค่าไถ่เพื่อแลกกับคีย์ถอดรหัส Sovcali มีรายงานว่าขโมยข้อมูลจากเครือข่ายเป้าหมายก่อนที่จะติดตั้งการเข้ารหัส ทำให้ผู้โจมตีมีจุดกดดันสองจุด ได้แก่ เหยื่อต้องเผชิญทั้งการหยุดชะงักในการดำเนินงานจากระบบที่ถูกเข้ารหัส และภัยคุกคามที่ข้อมูลสำคัญจะถูกเผยแพร่หรือขายหากไม่จ่ายค่าไถ่

ในด้านเทคนิค Sovcali มีรายงานว่าใช้การเข้ารหัสแบบผสมระหว่าง AES-256 และ RSA ซึ่งเป็นแนวทางที่ใช้กันอย่างแพร่หลายในระบบนิเวศแรนซัมแวร์ เนื่องจากจับคู่การเข้ารหัสไฟล์แบบสมมาตรที่รวดเร็ว (AES-256) กับชั้นแบบอสมมาตร (RSA) ที่ปกป้องคีย์เข้ารหัสเอง การผสมผสานนี้ทำให้การถอดรหัสโดยไม่ได้รับอนุญาตเป็นเรื่องยากอย่างยิ่งหากไม่มีคีย์ส่วนตัวของผู้โจมตี ซึ่งเป็นประเด็นสำคัญ: มันเสริมความแข็งแกร่งให้กับตำแหน่งการต่อรองของกลุ่มเมื่อระบบของเหยื่อถูกล็อกแล้ว

ทำไมกลุ่มแรนซัมแวร์รายใหม่จึงเกิดขึ้นอย่างต่อเนื่อง

การปรากฏตัวของกลุ่มอย่าง Sovcali ไม่ใช่เหตุการณ์ที่เกิดขึ้นเพียงลำพัง แรนซัมแวร์ในฐานะโมเดลธุรกิจอาชญากรรมพิสูจน์แล้วว่ามีความยืดหยุ่นและปรับตัวได้ดี และการดำเนินการทางกฎหมายต่อกลุ่มหนึ่งมักตามมาด้วยการเกิดขึ้นของแบรนด์ใหม่ ซึ่งบางครั้งประกอบด้วยสมาชิกหรืออดีตสมาชิกของกลุ่มที่ถูกปราบปราม รูปแบบการก่อตั้งกลุ่มอย่างรวดเร็วนี้ได้รับการบันทึกไว้ในที่อื่น ๆ รวมถึงรายงานเกี่ยวกับกลุ่มขู่กรรโชก ExfilSquad ซึ่งปรากฏตัวและอ้างเหยื่อกว่าโหลอย่างรวดเร็ว และกลุ่มแรนซัมแวร์ Moondancer ซึ่งมุ่งเน้นการสรรหาสมาชิกรายใหม่ในละตินอเมริกา

ตัวเลขในวงกว้างสนับสนุนแนวโน้มนี้ การทบทวนอุตสาหกรรมล่าสุด รายงานแรนซัมแวร์ Black Kite 2026 ติดตามเหยื่อแรนซัมแวร์หลายพันรายในปีเดียว ซึ่งเน้นให้เห็นว่ากลุ่มอย่าง Sovcali กำลังเข้าสู่ตลาดอาชญากรรมที่แออัดและมีความเคลื่อนไหวสูงอยู่แล้ว ไม่ใช่ตลาดเฉพาะกลุ่ม สำหรับองค์กรและบุคคลทั่วไป นี่หมายความว่าภัยคุกคามไม่ใช่การพุ่งสูงชั่วคราวที่ผูกติดกับแก๊งฉาวโฉ่กลุ่มใดกลุ่มหนึ่ง แต่เป็นลักษณะถาวรของสภาพแวดล้อมความมั่นคงปลอดภัยทางไซเบอร์ในปัจจุบัน

การขู่กรรโชกสองชั้นและมุมมองด้านความเป็นส่วนตัวของข้อมูล

สิ่งที่ทำให้กรณี Sovcali มีความเกี่ยวข้องเป็นพิเศษจากมุมมองด้านความเป็นส่วนตัวคือองค์ประกอบของการขโมยข้อมูล แม้แต่องค์กรที่มีแนวปฏิบัติการสำรองข้อมูลที่แข็งแกร่ง ซึ่งสามารถกู้คืนระบบที่ถูกเข้ารหัสได้โดยไม่ต้องจ่ายค่าไถ่ ก็ยังคงเผชิญความเสี่ยงที่ข้อมูลที่ถูกขโมยจะถูกเปิดเผยต่อสาธารณะ ข้อมูลดังกล่าวอาจรวมถึงบันทึกลูกค้า ข้อมูลพนักงาน ทรัพย์สินทางปัญญา หรือการสื่อสารภายใน ซึ่งทั้งหมดสามารถนำไปสู่การฉ้อโกงต่อเนื่อง ฟิชชิ่ง หรือการขโมยข้อมูลประจำตัวต่อบุคคลที่ไม่มีบทบาทโดยตรงในการละเมิดครั้งนั้น

เหยื่อในภาคเทคโนโลยีมีมิติความเสี่ยงเพิ่มเติม เนื่องจากบริษัทเหล่านี้มักถือครองข้อมูลสำคัญที่เป็นของลูกค้าและพันธมิตรของตนเอง ซึ่งหมายความว่าการโจมตีที่ประสบความสำเร็จเพียงครั้งเดียวสามารถส่งผลกระทบเป็นวงกว้างไปตามห่วงโซ่อุปทาน

สิ่งนี้หมายความถึงคุณอย่างไร

หากคุณเป็นลูกค้า พันธมิตร หรือพนักงานของบริษัทเทคโนโลยี เหตุการณ์เช่นนี้เป็นสัญญาณให้ระมัดระวังแทนที่จะตื่นตระหนก กลุ่มแรนซัมแวร์พึ่งพามูลค่าของข้อมูลที่ถูกขโมยในตลาดมืดหรือใช้เป็นเครื่องมือต่อรอง และเมื่อข้อมูลถูกเผยแพร่บนเว็บไซต์รั่วไหลแล้ว ข้อมูลนั้นอาจถูกเก็บรวบรวมและนำไปใช้ซ้ำโดยผู้ไม่หวังดีรายอื่น ๆ ไปอีกหลายปี การติดตามกิจกรรมบัญชีที่ผิดปกติ การใช้รหัสผ่านที่ไม่ซ้ำกันในแต่ละบริการ และการเปิดใช้งานการยืนยันตัวตนแบบหลายปัจจัย wherever เป็นไปได้ ยังคงเป็นการป้องกันส่วนบุคคลที่มีประสิทธิภาพที่สุดต่อผลกระทบต่อเนื่องจากการละเมิดเหล่านี้

สำหรับองค์กร กรณี Sovcali ตอกย้ำคุณค่าของการตั้งสมมติฐานว่าการบุกรุกที่ประสบความสำเร็จใด ๆ มักเกี่ยวข้องกับการขโมยข้อมูล ไม่ใช่เพียงการเข้ารหัสเท่านั้น แผนการตอบสนองต่อเหตุการณ์ควรคำนึงถึงทั้งสองสถานการณ์ตั้งแต่เริ่มต้น

ประเด็นที่นำไปปฏิบัติได้

  • ตั้งสมมติฐานว่าการขู่กรรโชกสองชั้นเป็นบรรทัดฐาน: สำรองข้อมูลระบบ แต่ยังวางแผนสำหรับความเป็นไปได้ที่ข้อมูลที่ถูกขโมยอาจรั่วไหลไม่ว่าจะจ่ายค่าไถ่หรือไม่
  • ติดตามการแจ้งเตือนจากผู้ให้บริการเทคโนโลยีที่คุณใช้ และดำเนินการอย่างรวดเร็วต่อการเปิดเผยการละเมิดใด ๆ
  • ใช้รหัสผ่านที่แข็งแกร่งและไม่ซ้ำกัน รวมถึงการยืนยันตัวตนแบบหลายปัจจัยเพื่อจำกัดความเสียหายหากข้อมูลประจำตัวปรากฏในการรั่วไหลในอนาคต
  • ติดตามความครอบคลุมด้านข่าวกรองภัยคุกคามอย่างต่อเนื่องเกี่ยวกับกลุ่มใหม่ที่เกิดขึ้นอย่าง Sovcali เนื่องจากการดำเนินการแรนซัมแวร์รายใหม่ยังคงก่อตัวและกำหนดเป้าหมายอุตสาหกรรมหลากหลายประเภท

FAQ Q1: Sovcali คืออะไร? A1: Sovcali คือเครือข่ายอาชญากรรมแรนซัมแวร์ที่เกิดขึ้นใหม่ซึ่งเพิ่งปรากฏตัวและได้ขึ้นบัญชีบริษัทเทคโนโลยีรายหนึ่งบนเว็บไซต์รั่วไหลข้อมูลบนดาร์กเว็บ Q2: Sovcali ใช้กลวิธีใดกับเหยื่อ? A2: กลุ่มนี้ใช้กลวิธีขู่กรรโชกสองชั้น หมายความว่ามันขโมยข้อมูลก่อนที่จะเข้ารหัสไฟล์และข่มขู่จะเผยแพร่ข้อมูลที่ถูกขโมยหากไม่จ่ายค่าไถ่ Q3: Sovcali มีรายงานว่าใช้วิธีการเข้ารหัสแบบใด? A3: Sovcali มีรายงานว่าใช้การเข้ารหัสแบบผสมระหว่าง AES-256 และ RSA Q4: ทำไมกลุ่มแรนซัมแวร์รายใหม่จึงเกิดขึ้นอย่างต่อเนื่อง? A4: กลุ่มใหม่เกิดขึ้นอย่างต่อเนื่องเพราะแรนซัมแวร์เป็นโมเดลธุรกิจอาชญากรรมที่ยืดหยุ่น และการดำเนินการทางกฎหมายต่อกลุ่มหนึ่งมักนำไปสู่การเกิดขึ้นของแบรนด์ใหม่ที่ก่อตั้งโดยสมาชิกหรืออดีตสมาชิกของกลุ่มที่ถูกปราบปราม Q5: เหยื่อรายแรกที่เปิดเผยต่อสาธารณะของ Sovcali เป็นองค์กรประเภทใด? A5: เหยื่อรายแรกที่เปิดเผยต่อสาธารณะของ Sovcali คือองค์กรในภาคเทคโนโลยี ---END---