เหตุใดการโจมตีด้วยแรนซัมแวร์ในปัจจุบันจึงมุ่งเน้นไปที่การขโมยข้อมูล ไม่ใช่การเข้ารหัส

หลายปีที่ผ่านมา คู่มือการโจมตีด้วยแรนซัมแวร์มาตรฐานนั้นเรียบง่าย: บุกรุกเข้าไป เข้ารหัสไฟล์ เรียกค่าไถ่เพื่อแลกกับกุญแจถอดรหัส การสำรองข้อมูลคือคำตอบ กู้คืนระบบของคุณ ไม่สนใจข้อความเรียกค่าไถ่ แล้วเดินหน้าต่อไป คู่มือนั้นแทบจะล้าสมัยไปแล้ว

กลุ่มแรนซัมแวร์ในปัจจุบันปรับตัวให้เข้ากับความจริงที่ว่าหลายองค์กรกู้คืนจากการเข้ารหัสได้อย่างไม่มีปัญหา ดังนั้นพวกเขาจึงเปลี่ยนจุดต่อรอง ก่อนที่จะล็อกอะไรลงไปเสียอีก ผู้โจมตีจะคัดลอกไฟล์สำคัญ บันทึกทางการเงิน ข้อมูลพนักงาน ข้อมูลลูกค้า ออกจากเครือข่ายอย่างเงียบๆ การเข้ารหัสกลายเป็นเรื่องรองลงมา บางครั้งก็ถูกข้ามไปเลยด้วยซ้ำ ภัยคุกคามที่แท้จริงคือไซต์รั่วไหลสาธารณะที่ข้อมูลที่ถูกขโมยจะถูกเผยแพร่หากไม่มีการจ่ายเงิน นี่คือภัยคุกคามจากการรีดไถข้อมูลด้วยแรนซัมแวร์ที่นักวิจัยด้านความปลอดภัยได้ติดตามอย่างใกล้ชิด และมันเปลี่ยนความหมายของการ "เตรียมพร้อม" สำหรับองค์กรทุกขนาด

รูปแบบนี้ไม่ได้จำกัดอยู่แค่ภูมิภาคหรืออุตสาหกรรมใดอุตสาหกรรมหนึ่ง ตัวอย่างเช่น รายงานเกี่ยวกับเหตุการณ์แรนซัมแวร์ในอินเดียพบว่าการโจมตีส่วนใหญ่ในขณะนี้เกี่ยวข้องกับการขโมยข้อมูลมากกว่าการเข้ารหัสเพียงอย่างเดียว ตาม การวิเคราะห์กิจกรรมแรนซัมแวร์ที่นั่นของ Proofpoint พลวัตเดียวกันนี้กำลังเกิดขึ้นใกล้ตัวมากขึ้น รวมถึงในพื้นที่มหานครเซนต์หลุยส์

สิ่งที่ทราบเกี่ยวกับเหตุการณ์ในพื้นที่เซนต์หลุยส์

ตามรายงานจาก CHR Solutions บริษัทไอทีและความมั่นคงปลอดภัยไซเบอร์ในเซนต์หลุยส์ แรนซัมแวร์ได้โจมตีระบบโรงเรียน เครือข่ายของเมือง และธุรกิจในท้องถิ่นในพื้นที่มหานครภายในเวลาเพียงไม่กี่เดือนที่ผ่านมา บริษัทซึ่งทำงานโดยตรงกับองค์กรในภูมิภาคเพื่อปิดช่องโหว่ด้านความปลอดภัย มองว่านี่เป็นปัญหาที่เกิดขึ้นในท้องถิ่นและเกิดซ้ำๆ มากกว่าเป็นแค่ข่าวพาดหัวที่ห่างไกล รายละเอียดเฉพาะของแต่ละเหตุการณ์มีจำกัดในรายงานที่มีอยู่ แต่รูปแบบที่อธิบายสะท้อนให้เห็นถึงสิ่งที่เกิดขึ้นทั่วประเทศ: เครือข่ายภาครัฐและธุรกิจขนาดเล็กถึงขนาดกลางตกเป็นเป้าหมายบ่อยครั้ง เนื่องจากมักมีทรัพยากรด้านความปลอดภัยเฉพาะทางน้อยกว่าองค์กรขนาดใหญ่

เขตการศึกษาและเครือข่ายเทศบาลเป็นเป้าหมายที่น่าสนใจเป็นพิเศษสำหรับการโจมตีแบบรีดไถ พวกเขาถือครองข้อมูลส่วนบุคคลจำนวนมาก รวมถึงบันทึกเกี่ยวกับนักเรียน พนักงาน และผู้อยู่อาศัย และมักเผชิญกับแรงกดดันจากสาธารณะให้หลีกเลี่ยงการหยุดชะงัก ซึ่งอาจทำให้มีแนวโน้มที่จะเจรจามากขึ้น เมื่อผู้โจมตีรู้ว่าจุดต่อรองไม่ใช่แค่ "คุณทำงานโดยไม่มีไฟล์ได้หรือไม่" แต่เป็น "คุณจะรับได้ไหมหากข้อมูลนี้ถูกเผยแพร่" แรงกดดันให้จ่ายเงินก็เพิ่มขึ้นอย่างมาก

การรีดไถสองทางเปลี่ยนวิธีคิดสำหรับธุรกิจขนาดเล็กและขนาดกลางอย่างไร

การรีดไถสองทาง คือการเข้ารหัสระบบพร้อมกับขู่ว่าจะรั่วไหลข้อมูลที่ถูกขโมย เปลี่ยนแปลงสมการความเสี่ยงสำหรับองค์กรขนาดเล็กลงอย่างสิ้นเชิง ธุรกิจที่มีการสำรองข้อมูลที่มั่นคงและผ่านการทดสอบ เคยมีเส้นทางที่ชัดเจนในการกู้คืน: กู้คืนและสร้างใหม่ แต่การสำรองข้อมูลไม่ได้หยุดไซต์รั่วไหลจากการโพสต์สัญญาลูกค้า หมายเลขประจำตัวพนักงาน หรือข้อมูลทางธุรกิจที่เป็นกรรมสิทธิ์

เรื่องนี้สำคัญอย่างยิ่งสำหรับธุรกิจขนาดเล็กและขนาดกลางที่อาจคิดว่าการสำรองข้อมูลเพียงอย่างเดียวคือมาตรการป้องกันแรนซัมแวร์ ตัวอย่างล่าสุดที่แสดงให้เห็นว่าภัยคุกคามจากการรั่วไหลเหล่านี้เกิดขึ้นในทางปฏิบัติเกี่ยวข้องกับการโจมตีที่กลุ่มแรนซัมแวร์ Play อ้างว่าทำกับ Kreysler & Associates ซึ่งกลุ่มดังกล่าวดำเนินการตามรูปแบบปฏิบัติการทั่วไปคือขู่ว่าจะเผยแพร่ข้อมูลที่ถูกขโมย แทนที่จะพึ่งพาการเข้ารหัสเพียงอย่างเดียวเพื่อบังคับให้จ่ายเงิน กรณีเช่นนี้แสดงให้เห็นว่าอำนาจการต่อรองที่ผู้โจมตีถือครองได้ย้ายจาก "เราล็อคระบบของคุณ" ไปเป็น "เรามีข้อมูลของคุณและเราจะเผยแพร่มันสู่สาธารณะ" นั่นคือความเสี่ยงด้านชื่อเสียง กฎหมาย และกฎระเบียบที่การกู้คืนจากการสำรองข้อมูลไม่สามารถแก้ไขได้

สำหรับองค์กรขนาดเล็กที่ไม่มีทีมความปลอดภัยเฉพาะทาง การเปลี่ยนแปลงนี้หมายความว่าการวางแผนตอบสนองต่อเหตุการณ์จำเป็นต้องคำนึงถึงสถานการณ์การเปิดเผยข้อมูลด้วย ไม่ใช่แค่การหยุดทำงานของระบบ

ขั้นตอนการป้องกันเชิงปฏิบัติที่จัดการกับความเสี่ยงจากการรีดไถ

การสำรองข้อมูลยังคงจำเป็น แต่ไม่เพียงพออีกต่อไปแล้วด้วยตัวมันเอง องค์กรที่จริงจังกับการลดความเสี่ยงจากการรีดไถควรให้ความสำคัญกับบางด้านที่ไปไกลกว่าการกู้คืนระบบแบบดั้งเดิม:

  • จำกัดสิ่งที่ผู้โจมตีสามารถขโมยได้ ลดการเก็บรักษาข้อมูลเท่าที่เป็นไปได้ และแบ่งเครือข่ายเพื่อให้บัญชีที่ถูกบุกรุกเพียงบัญชีเดียวไม่สามารถเข้าถึงทุกสิ่งได้
  • ตรวจสอบการขโมยข้อมูลออกนอกระบบ ไม่ใช่แค่การเข้ารหัส เครื่องมือตรวจจับที่แจ้งเตือนการถ่ายโอนข้อมูลขาออกที่ผิดปกติสามารถจับการโจมตีได้ก่อนที่ไฟล์จะออกจากเครือข่าย ซึ่งมักจะเร็วกว่าการตรวจจับที่เน้นการเข้ารหัส
  • เสริมสร้างการควบคุมข้อมูลประจำตัว การยืนยันตัวตนหลายปัจจัยและการจัดการบัญชีที่มีสิทธิ์สูงอย่างรัดกุมยังคงเป็นอุปสรรคที่มีประสิทธิภาพที่สุดในการป้องกันการเข้าถึงเบื้องต้นที่ผู้โจมตีต้องการเพื่อขโมยข้อมูล
  • สร้างแผนการตอบสนองต่อเหตุการณ์ที่จัดการกับภัยคุกคามจากการรั่วไหล ขั้นตอนทางกฎหมาย การสื่อสาร และการแจ้งเตือนตามกฎระเบียบควรถูกวางแผนไว้ก่อนที่การโจมตีจะเกิดขึ้น ไม่ใช่ระหว่างที่เกิดขึ้น

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากแผนรับมือแรนซัมแวร์ขององค์กรของคุณยังคงมุ่งเน้นไปที่ขั้นตอนการสำรองและกู้คืนเป็นหลัก แผนนั้นกำลังรับมือกับภัยคุกคามของเมื่อวาน ภัยคุกคามจากการรีดไถข้อมูลด้วยแรนซัมแวร์หมายความว่าความเสี่ยงที่แท้จริงมักจะเป็นสิ่งที่ผู้โจมตีก๊อบปี้ไปแล้วก่อนที่คุณจะสังเกตเห็นปัญหาเสียอีก สิ่งนี้ใช้ได้ไม่ว่าคุณจะเป็นเขตการศึกษา สำนักงานเทศบาล หรือธุรกิจขนาดเล็กที่จัดการข้อมูลลูกค้า การคิดว่าคุณเล็กเกินไปที่จะเป็นเป้าหมายไม่ใช่การเดิมพันที่ปลอดภัยอีกต่อไป องค์กรขนาดเล็กมักถูกเลือกอย่างเจาะจงเพราะพวกเขามีการป้องกันที่น้อยกว่า

ประเด็นสำคัญ

  • การโจมตีด้วยแรนซัมแวร์ให้ความสำคัญกับการขโมยข้อมูลและภัยคุกคามจากการรั่วไหลมากกว่าการเข้ารหัสเพียงอย่างเดียวมากขึ้นเรื่อยๆ ซึ่งเป็นรูปแบบที่เห็นทั้งในระดับภูมิภาคและระดับนานาชาติ
  • การกู้คืนจากการเข้ารหัสด้วยการสำรองข้อมูลไม่ได้ขจัดความเสี่ยงที่ข้อมูลที่ถูกขโมยจะถูกเผยแพร่
  • องค์กรขนาดเล็กและขนาดกลาง รวมถึงโรงเรียนและเครือข่ายเทศบาล ยังคงตกเป็นเป้าหมายบ่อยครั้งเนื่องจากทรัพยากรด้านความปลอดภัยที่จำกัด
  • การป้องกันที่มีประสิทธิภาพในปัจจุบันจำเป็นต้องมีการตรวจสอบการขโมยข้อมูลออกนอกระบบ การควบคุมการเข้าถึงที่รัดกุมยิ่งขึ้น และการวางแผนการตอบสนองต่อเหตุการณ์โดยคำนึงถึงความเป็นไปได้ของการรั่วไหลสู่สาธารณะ ไม่ใช่แค่การหยุดทำงานของระบบ