ผู้ผลิตรถไฟสัญชาติสวิส Stadler Rail ยืนยันว่าปฏิเสธการจ่ายค่าไถ่จำนวน 12.3 ล้านดอลลาร์ (₣10,000,000) ที่แก๊งรีดไถ Everest เรียกร้อง หลังจากผู้โจมตีขโมยข้อมูลทางเทคนิคผ่านแพลตฟอร์มแบ่งปันไฟล์ของผู้ขายรายหนึ่ง การเปิดเผยนี้ปรากฏขึ้นในรอบข่าวเดียวกันกับพัฒนาการที่แยกต่างหากแต่เกี่ยวข้องกัน: กลุ่ม Laundry Bear ที่เชื่อมโยงกับรัฐรัสเซียได้พุ่งเป้าไปที่เซิร์ฟเวอร์อีเมล Zimbra ที่ไม่ได้รับการแพตช์ เมื่อนำมารวมกัน ทั้งสองเรื่องแสดงให้เห็นว่าผู้เล่นภัยคุกคามที่ฝักใฝ่รัสเซียกำลังดำเนินปฏิบัติการคู่ขนาน ฝ่ายหนึ่งมุ่งเป้าไปที่ห่วงโซ่อุปทานอุตสาหกรรม อีกฝ่ายมุ่งเป้าโครงสร้างพื้นฐานอีเมลองค์กร และเหตุใดองค์กรทุกขนาดจึงต้องให้ความสำคัญกับทั้งสองอย่าง

การโจมตีด้วยแรนซัมแวร์เบื้องหลังการปฏิเสธของ Stadler Rail

ตามรายงานจากเดอะ เรเคิร์ด แก๊งแรนซัมแวร์ Everest อ้างความรับผิดชอบต่อการขโมยข้อมูลทางเทคนิคของ Stadler Rail ไม่ใช่โดยการเจาะเครือข่ายของผู้ผลิตรถไฟโดยตรง แต่โดยการบุกรุกแพลตฟอร์มแบ่งปันไฟล์ที่ดำเนินการโดยผู้ขายรายหนึ่งของบริษัท จากนั้น Everest เรียกร้องเงินประมาณ 12.3 ล้านดอลลาร์เพื่อแลกกับการไม่เผยแพร่หรือขายไฟล์ที่ถูกขโมย Stadler Rail ปฏิเสธที่จะจ่าย

นี่คือการตัดสินใจที่มีความหมาย การปฏิเสธค่าไถ่มักถูกมองว่าเป็นการแสดงการต่อต้านเพียงอย่างเดียว แต่ก็มีความเสี่ยงด้านปฏิบัติการที่แท้จริง: หากแก๊งทำตามคำขู่ ข้อมูลทางเทคนิคที่ถูกขโมย (แบบพิมพ์เขียวทางวิศวกรรม รายละเอียดซัพพลายเออร์ เอกสารภายใน) อาจถูกเผยแพร่หรือขายให้คู่แข่งและกลุ่มอาชญากรอื่นๆ การที่ Stadler Rail เลือกไม่จ่ายสะท้อนถึงแนวโน้มที่กว้างขึ้นในหมู่บริษัทอุตสาหกรรมขนาดใหญ่ ซึ่งหลายแห่งมองว่าการจ่ายค่าไถ่เป็นการให้รางวัลแก่รูปแบบธุรกิจอาชญากรรม มากกว่าการแก้ไขช่องโหว่ที่เป็นต้นเหตุ

เหตุใดการรั่วไหลจากผู้ขายจึงสำคัญไม่แพ้การแฮ็กโดยตรง

สิ่งที่ทำให้กรณีนี้ให้บทเรียนเป็นพิเศษคือ จุดเริ่มต้นของการบุกรุกไม่ใช่โครงสร้างพื้นฐานของ Stadler Rail เอง แต่เป็นระบบแบ่งปันไฟล์ของผู้ขาย นี่คือรูปแบบที่พบบ่อยในการโจมตีด้วยแรนซัมแวร์สมัยใหม่: กลุ่มอาชญากรหันมามองหาจุดอ่อนที่สุดในห่วงโซ่อุปทานมากขึ้น แทนที่จะโจมตีเป้าหมายหลักที่มีการป้องกันอย่างดีโดยตรง ผู้ขายเพียงรายเดียวที่มีการควบคุมการเข้าถึงที่หละหลวมหรือซอฟต์แวร์ที่ไม่ได้รับการแพตช์ ก็อาจกลายเป็นจุดเริ่มต้นสำหรับปฏิบัติการขโมยข้อมูลขนาดใหญ่กว่ามาก

พลวัตนี้ไม่ได้จำกัดอยู่เฉพาะอุตสาหกรรมรถไฟ การบุกรุกห่วงโซ่อุปทานเคยทำให้ข้อมูลละเอียดอ่อนของรัฐบาลและองค์กรรั่วไหลผ่านซอฟต์แวร์จากบุคคลที่สามที่เชื่อถือได้มาก่อน ดังที่เห็นจากผลกระทบของ การแฮ็ก SolarWinds ที่เปิดเผยอีเมลทั้งหมดของ Treasury.gov บทเรียนนี้สอดคล้องกัน: สถานะความปลอดภัยขององค์กรจะแข็งแกร่งเท่ากับผู้ขายและพันธมิตรที่องค์กรแบ่งปันข้อมูลด้วยเท่านั้น

Laundry Bear ที่เชื่อมโยงกับรัสเซียเพิ่มแรงกดดันต่อเซิร์ฟเวอร์ Zimbra

ควบคู่ไปกับเรื่องราวของ Stadler Rail รายงานได้ชี้ว่า Laundry Bear กลุ่มภัยคุกคามที่เชื่อมโยงกับรัสเซีย ได้พุ่งเป้าไปที่เซิร์ฟเวอร์อีเมล Zimbra ที่ไม่ได้รับการแพตช์ ซอฟต์แวร์การทำงานร่วมกันและเว็บเมลที่ไม่ได้รับการอัปเดตแพตช์เป็นจุดเข้าที่กลุ่มผู้เล่นที่เชื่อมโยงกับรัฐนิยมใช้มานาน เพื่อเก็บเกี่ยวข้อมูลประจำตัวหรือรักษาการเข้าถึงการสื่อสารขององค์กรอย่างต่อเนื่อง

แคมเปญนี้สอดคล้องกับรูปแบบที่หน่วยงานด้านความมั่นคงได้เตือนซ้ำแล้วซ้ำเล่า เมื่อเร็วๆ นี้ ผู้อำนวยการ GCHQ ได้ออก คำเตือนที่ตรงไปตรงมาที่สุดครั้งหนึ่งในความทรงจำ เกี่ยวกับปฏิบัติการไซเบอร์ของรัสเซียที่มุ่งเป้าโครงสร้างพื้นฐานสำคัญและสถาบันประชาธิปไตยอย่างไม่ลดละ นอกจากนี้ ทางการสหรัฐฯ ยังได้ขัดขวางเครือข่ายเราเตอร์ที่ถูกบุกรุกซึ่งเชื่อมโยงกับ หน่วยข่าวกรองทางทหารของรัสเซีย หรือ GRU ไม่ว่าเป้าหมายจะเป็นผู้ขายของผู้ผลิตรถไฟหรือเซิร์ฟเวอร์อีเมลที่ไม่ได้แพตช์ แก่นเรื่องก็เหมือนกัน: กลุ่มที่ฝักใฝ่รัสเซียกำลังสอดส่องหาโครงสร้างพื้นฐานที่มีอยู่ทั่วไปและมักถูกมองข้ามเพื่อเข้าถึง ไม่ใช่แค่เครือข่ายรัฐบาลที่เป็นข่าวพาดหัวเท่านั้น

สิ่งนี้มีความหมายต่อคุณอย่างไร

ผู้อ่านส่วนใหญ่ไม่ได้ดูแลเซิร์ฟเวอร์ Zimbra หรือผลิตรถไฟ แต่ความเสี่ยงพื้นฐานในเรื่องนี้มีผลในวงกว้าง หากคุณใช้บริการใดๆ ตั้งแต่แพลตฟอร์มจองการเดินทางไปจนถึงโปรแกรมสะสมคะแนน ที่แบ่งปันข้อมูลของคุณกับผู้ขายบุคคลที่สาม ข้อมูลนั้นจะปลอดภัยเท่ากับมาตรการป้องกันของผู้ขายเองเท่านั้น การรั่วไหลที่ซัพพลายเออร์ซึ่งคุณไม่เคยได้ยินชื่อก็ยังอาจเปิดเผยข้อมูลที่เชื่อมโยงกับคุณได้ ไม่ว่าจะเป็นบัญชีองค์กร ไฟล์ที่แบ่งปัน หรือรายละเอียดส่วนบุคคลที่ถูกประมวลผลในนามของคุณ

สำหรับธุรกิจ ข้อคิดที่ได้ก็ตรงไปตรงมาไม่แพ้กัน: การจัดการแพตช์และการกำกับดูแลผู้ขายไม่ใช่รายการที่เลือกได้ ซอฟต์แวร์ที่ไม่ได้อัปเดตแพตช์ ไม่ว่าจะเป็นเซิร์ฟเวอร์อีเมลหรือเครื่องมือแบ่งปันไฟล์ ยังคงเป็นหนึ่งในวิธีที่ผู้โจมตีใช้เข้าถึงระบบได้บ่อยที่สุด และการปฏิเสธค่าไถ่จะเป็นเครื่องยับยั้งในระยะยาวได้ก็ต่อเมื่อมีการแก้ไขช่องโหว่พื้นฐานที่ทำให้ผู้โจมตีเข้ามาได้จริง

ข้อปฏิบัติที่นำไปใช้ได้

  • หากคุณทำงานร่วมกับผู้ขายหรือซัพพลายเออร์ ให้ถามว่าพวกเขาจัดการแพตช์และควบคุมการเข้าถึงสำหรับระบบไฟล์ที่ใช้ร่วมกันอย่างไร ไม่ใช่แค่เครือข่ายของคุณเอง
  • ปฏิบัติต่อการแจ้งเตือนการรั่วไหลจากผู้ขายอย่างจริงจัง แม้ว่าองค์กรของคุณจะไม่ถูกแฮ็กโดยตรงก็ตาม ข้อมูลยังอาจถูกเปิดเผยผ่านบุคคลที่สามได้
  • อัปเดตซอฟต์แวร์การทำงานร่วมกันและเซิร์ฟเวอร์อีเมลให้ทันสมัยอยู่เสมอ ระบบที่ไม่ได้แพตช์ยังคงเป็นจุดเข้าอันดับต้นๆ สำหรับการโจมตีด้วยแรนซัมแวร์และการบุกรุกที่เชื่อมโยงกับรัฐเช่นกัน
  • สนับสนุนนโยบายการไม่จ่ายค่าไถ่เมื่อทำได้ เนื่องจากการจ่ายอาจเป็นทุนให้เกิดการโจมตีเพิ่มขึ้นโดยไม่ได้รับประกันว่าข้อมูลจะไม่รั่วไหลอยู่ดี
  • ติดตามข่าวสารเกี่ยวกับกิจกรรมไซเบอร์ที่ฝักใฝ่รัสเซียซึ่งส่งผลกระทบต่อโครงสร้างพื้นฐานสำคัญและซอฟต์แวร์องค์กร เนื่องจากแคมเปญเหล่านี้มักมุ่งเป้าไปที่เครื่องมือที่ใช้กันอย่างแพร่หลาย มากกว่าที่จะเป็นเหยื่อที่แยกจากกัน