เกิดอะไรขึ้นกับสตาดเลอร์ เรล

สตาดเลอร์ เรล ผู้ผลิตรถไฟสัญชาติสวิส ซึ่งรถไฟของบริษัทวิ่งให้บริการบนเครือข่ายรางทั่วยุโรปและภูมิภาคอื่นๆ ปฏิเสธที่จะจ่ายค่าไถ่ 12.3 ล้านดอลลาร์ หลังจากเหตุการณ์แรนซัมแวร์ที่เชื่อมโยงกับกลุ่มเมดูซา การโจมตีครั้งนี้ reportedly เป็นไปตามรูปแบบที่คุ้นเคยในแคมเปญแรนซัมแวร์ช่วงไม่นานมานี้: ผู้โจมตีเข้ามาตั้งหลักได้ ขยายสิทธิ์การเข้าถึง จากนั้นข่มขู่ที่จะเผยแพร่ข้อมูลที่ขโมยมาเว้นแต่บริษัทจะยอมจ่าย

ผู้ปฏิบัติการแรนซัมแวร์เพิ่มการมุ่งเป้าไปที่ระบบที่ควบคุมว่าใครสามารถเข้าสู่ระบบได้และเข้าถึงอะไรได้บ้างเมื่อเข้าไปในเครือข่ายแล้ว แพลตฟอร์มจัดการตัวตนและเครื่องมือบริหารจัดการระยะไกลเป็นเป้าหมายที่น่าดึงดูดเพราะทำหน้าที่เสมือนกุญแจแม่เหล็ก เมื่อผู้โจมตีบุกรุกระบบเหล่านี้ได้ พวกเขาสามารถเคลื่อนที่ผ่านเครือข่ายได้โดยมีความต้านทานน้อยกว่าการต้องเจาะเข้าระบบทีละตัวมาก นี่คือรูปแบบที่นักวิจัยด้านความมั่นคงปลอดภัยชี้ว่าเป็น 'ระยะแรนซัมแวร์' ซึ่งเกิดขึ้นหลังจากมาตรการควบคุมตัวตนและการเข้าถึงระยะไกลล้มเหลวไปแล้ว

ทำไมสตาดเลอร์จึงปฏิเสธที่จะจ่าย

การตัดสินใจของสตาดเลอร์ที่จะไม่จ่ายค่าไถ่ 12.3 ล้านดอลลาร์ สะท้อนจุดยืนที่องค์กรจำนวนมากขึ้นเรื่อยๆ ใช้ต่อสู้กับกลุ่มแรนซัมแวร์ การจ่ายค่าไถ่ไม่ได้รับประกันว่าข้อมูลที่ถูกขโมยจะถูกลบ ระบบจะถูกกู้คืนอย่างสมบูรณ์ หรือผู้โจมตีกลุ่มเดิมจะไม่กลับมาอีก อีกทั้งยังเป็นการให้ทุนโดยตรงแก่โครงสร้างพื้นฐานทางอาชญากรรมเบื้องหลังการโจมตีในอนาคต

สำหรับบริษัทที่สร้างและบำรุงรักษาโครงสร้างพื้นฐานด้านการขนส่ง ความเสี่ยงของการหยุดชะงักเป็นเวลานานหรือการกู้คืนที่ผิดพลาดนั้นแตกต่างจากธุรกิจทั่วไป การปฏิเสธที่จะจ่ายเป็นการส่งสัญญาณถึงความเชื่อมั่นในกระบวนการสำรองข้อมูลและการกู้คืน แต่ก็เพิ่มโอกาสที่ข้อมูลที่ถูกขโมยจะถูกเผยแพร่หรือขาย บริษัทที่เลือกเส้นทางนี้กำลังเดิมพันว่าต้นทุนด้านการดำเนินงานและชื่อเสียงจากการรั่วไหลนั้นจัดการได้ง่ายกว่าการสร้างบรรทัดฐานด้วยการจ่ายเงินให้กลุ่มอาชญากร

วิธีที่ความล้มเหลวของตัวตนและการเข้าถึงระยะไกลเปิดประตูให้

กลุ่มแรนซัมแวร์อย่างเมดูซาสร้างผลงานโดยใช้ประโยชน์จากจุดอ่อนประเภทนี้พอดี ตามรายงานที่ระบุใน Medusa Ransomware Tops 500 Victims After Hospital Attack กลุ่มนี้เชื่อมโยงกับการโจมตีมากกว่า 500 ครั้งนับตั้งแต่ปรากฏตัวครั้งแรกในปี 2021 โดยใช้รูปแบบการขู่กรรโชกสองชั้นซึ่งข้อมูลถูกขโมยก่อนที่ระบบจะถูกเข้ารหัส วิธีการนี้สร้างแรงกดดันต่อเหยื่อสองครั้ง: ครั้งแรกเพื่อให้ฟื้นฟูการดำเนินงาน และครั้งที่สองเพื่อป้องกันไม่ให้ข้อมูลที่ละเอียดอ่อนถูกเผยแพร่

จุดร่วมของเหตุการณ์เหล่านี้แทบไม่ใช่ช่องโหว่ร้ายแรงเพียงจุดเดียว บ่อยครั้งมันคือการรวมกันของข้อมูลประจำตัวที่อ่อนแอหรือถูกนำมาใช้ซ้ำ เครื่องมือเข้าถึงระยะไกลที่ปล่อยให้เปิดเผยต่ออินเทอร์เน็ต และระบบตัวตนที่ไม่บังคับใช้การยืนยันตัวตนหลายปัจจัยที่แข็งแกร่งหรือสิทธิ์การเข้าถึงที่จำกัดอย่างเคร่งครัด เมื่อผู้โจมตีบุกรุกข้อมูลประจำตัวชุดเดียวที่มีสิทธิ์กว้างได้ พวกเขามักจะเคลื่อนที่ตามขวางผ่านเครือข่ายโดยตรวจไม่พบเป็นเวลาหลายวันหรือหลายสัปดาห์ก่อนที่จะติดตั้งแรนซัมแวร์ สำหรับผู้ผลิตและผู้ปฏิบัติการโครงสร้างพื้นฐาน นี่เป็นเรื่องที่น่ากังวลเป็นพิเศษเพราะระบบอุตสาหกรรมมักเชื่อมต่อกับเครือข่ายเดียวกับไอทีขององค์กร หมายความว่าการบุกรุกที่เริ่มจากระบบสำนักงานสามารถไปถึงระบบที่เชื่อมโยงกับการปฏิบัติการทางกายภาพได้ในที่สุด

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

ผู้อ่านส่วนใหญ่ไม่ได้บริหารผู้ผลิตรถไฟ แต่เหตุการณ์เช่นนี้ส่งผลกระทบต่อผู้คนวงกว้างกว่าชื่อบริษัทในพาดหัวข่าวมาก พนักงาน ผู้รับเหมา ซัพพลายเออร์ และแม้แต่ลูกค้าที่มีข้อมูลส่วนบุคคลหรือข้อมูลทางการเงินอยู่ในระบบของบริษัทที่ถูกบุกรุก ล้วนมีความเสี่ยงเมื่อกลุ่มแรนซัมแวร์ขโมยข้อมูลสำเร็จ หากคุณเกี่ยวข้องกับบริษัทที่เปิดเผยการบุกรุกในภายหลัง ไม่ว่าจะเป็นพนักงาน ผู้ขาย หรือลูกค้า ข้อมูลของคุณอาจเป็นส่วนหนึ่งที่ถูกเผยแพร่หากไม่มีการจ่ายค่าไถ่

การตอบสนองเชิงปฏิบัตินั้นเหมือนกันไม่ว่าคุณจะมีบทบาทใด: ลดสิ่งที่บัญชีที่ถูกบุกรุกหนึ่งบัญชีสามารถเข้าถึงได้ และลดความง่ายที่ผู้โจมตีจะเข้ามาจากภายนอก นั่นหมายถึงการใช้รหัสผ่านที่ไม่ซ้ำกันและแข็งแกร่งสำหรับทุกบัญชี เปิดใช้งานการยืนยันตัวตนหลายปัจจัยทุกที่ที่มีให้ และระมัดระวังเกี่ยวกับปริมาณข้อมูลส่วนบุคคลที่คุณแบ่งปันกับผู้ขายหรือแพลตฟอร์มใดๆ เนื่องจากคุณไม่สามารถควบคุมได้ว่าองค์กรนั้นรักษาความปลอดภัยระบบตัวตนและการเข้าถึงระยะไกลของตนดีเพียงใด

ข้อปฏิบัติที่นำไปใช้ได้จริง

ไม่กี่ขั้นตอนสามารถจำกัดความเสี่ยงของคุณได้อย่างมีความหมายเมื่อบริษัทที่คุณพึ่งพาถูกกลุ่มอย่างเมดูซาโจมตี:

  • ใช้ตัวจัดการรหัสผ่านและข้อมูลประจำตัวที่ไม่ซ้ำกันสำหรับทุกบัญชีเพื่อให้การบุกรุกครั้งเดียวไม่ลุกลามไปยังบัญชีอื่น
  • เปิดใช้งานการยืนยันตัวตนหลายปัจจัยสำหรับทุกบัญชีที่มีให้ โดยเฉพาะอีเมล บริการทางการเงิน และการเข้าสู่ระบบที่เกี่ยวข้องกับงาน
  • ติดตามการแจ้งเตือนการบุกรุกจากผู้ขายและผู้ให้บริการโครงสร้างพื้นฐานที่คุณใช้ และดำเนินการอย่างรวดเร็วกับการรีเซ็ตรหัสผ่านที่แนะนำ
  • หากคุณบริหารระบบไอที ให้ถือว่าเครื่องมือเข้าถึงระยะไกลและแพลตฟอร์มตัวตนเป็นเป้าหมายมูลค่าสูงและตรวจสอบผู้ที่มีสิทธิ์บริหารจัดการเป็นประจำ

การโจมตีแรนซัมแวร์เมดูซาต่อสตาดเลอร์ เรล เป็นเครื่องเตือนใจว่ากลุ่มแรนซัมแวร์ไม่ได้ไล่ตามพาดหัวข่าวเพียงอย่างเดียว พวกเขากำลังใช้ประโยชน์จากช่องโหว่ที่คาดเดาได้ในความมั่นคงปลอดภัยของตัวตนและการเข้าถึงระยะไกล การติดตามข้อมูลว่ากลุ่มเหล่านี้ทำงานอย่างไร และการกระชับพื้นฐานของการยืนยันตัวตนและการควบคุมการเข้าถึง ยังคงเป็นแนวป้องกันที่น่าเชื่อถือที่สุดสำหรับทั้งองค์กรและบุคคล