การจ่ายค่าไถ่ให้แฮกเกอร์ไม่ได้รับประกันความสงบ
องค์กรที่จ่ายค่าไถ่ให้แรนซัมแวร์โดยหวังว่าจะทำให้ปัญหาหายไปอาจต้องทบทวนกลยุทธ์ดังกล่าวอีกครั้ง งานวิจัยใหม่ที่ TechRadar นำเสนอพบว่าแม้ 56% ของเหยื่อที่จ่ายค่าไถ่จะสามารถกลับเข้าถึงระบบของตนได้ แต่กว่าหนึ่งในสาม หรือ 37% กลับถูกเรียกค่าไถ่ซ้ำอีกรอบไม่นานหลังจากที่จ่ายเงินก้อนแรกไปแล้ว อีก 2% จ่ายเงินแล้วแต่ไม่สามารถกู้ข้อมูลคืนได้เลย
ผลการศึกษานี้ท้าทายสมมติฐานทั่วไปที่ว่าการจ่ายค่าไถ่ให้แรนซัมแวร์เป็นธุรกรรมที่ตรงไปตรงมา คือ จ่ายเงิน รับคีย์ถอดรหัส แล้วเดินหน้าต่อไป ข้อมูลกลับชี้ว่า สำหรับเหยื่อส่วนสำคัญ การจ่ายเงินครั้งแรกถูกผู้โจมตีมองว่าเป็นเพียงหมากเปิดเกมมากกว่าจะเป็นจุดสิ้นสุด ซึ่งสอดคล้องกับสิ่งที่งานวิจัยอื่น ๆ แสดงให้เห็นเมื่อไม่นานมานี้ รายงาน แรนซัมแวร์อีกฉบับพบว่าเกือบครึ่งหนึ่งขององค์กรจ่ายเงินแล้วจึงค่อยเจรจา ตอกย้ำว่าการจ่ายค่าไถ่แทบจะไม่ใช่ต้นทุนครั้งเดียวที่จบกันแบบสะอาด
ทำไมแฮกเกอร์จึงกลับมาเรียกอีก
จากมุมมองของผู้โจมตี ตรรกะเบื้องหลังการรีดไถซ้ำนั้นตรงไปตรงมา หากองค์กรเหยื่อได้แสดงให้เห็นแล้วว่ามีความเต็มใจและความสามารถที่จะจ่ายเงิน องค์กรนั้นก็จะกลายเป็นเป้าหมายที่น่าดึงดูดสำหรับการเรียกเงินในรอบต่อไป กลุ่มแรนซัมแวร์รู้ดีว่าบริษัทที่อยู่ภายใต้ความกดดันให้กู้คืนระบบ ปกป้องข้อมูลลูกค้า หรือหลีกเลี่ยงบทลงโทษทางกฎหมายนั้น มักเต็มใจที่จะจ่ายอีกครั้ง ดีกว่าที่จะเสี่ยงกับระยะเวลาที่ระบบล่มยาวนานหรือการเปิดเผยข้อมูลรั่วไหลต่อสาธารณะ
งานวิจัยยังเผยให้เห็นอีกหนึ่งประเด็นที่ซับซ้อนในกระบวนการเจรจาค่าไถ่ นั่นคือ ความยืดหยุ่นของราคา ผู้เชี่ยวชาญที่ถูกอ้างในรายงานระบุว่า ผู้ปฏิบัติการแรนซัมแวร์มักจะลดข้อเรียกร้องเริ่มแรกลง โดยบางครั้งลดสูงถึง 96% จากราคาที่ขอไว้ตอนแรก นี่ไม่ใช่ความใจดี แต่มันสะท้อนกลยุทธ์การเจรจาที่ตั้งใจตั้งราคาแรกให้สูงเกินจริงอย่างจงใจ และเป้าหมายที่แท้จริงก็คือการรีดเงินบางส่วน ไม่ว่าจะจำนวนเท่าใดก็ตามจากเหยื่อ การเข้าใจพลวัตนี้มีความสำคัญ เพราะมันแสดงให้เห็นว่า การเรียกค่าไถ่ไม่ใช่ราคาที่ตายตัวตามกลไกตลาดที่มีเหตุผล หากแต่เป็นการยื่นข้อเสนอเปิดในการเจรจาที่ออกแบบมาเพื่อให้ได้เงินสูงสุดเท่าที่องค์กรที่กำลังตึงเครียดจะยอมจ่าย
เมื่อนำมารวมกัน ทั้งการเรียกร้องเงินก้อนแรกที่สูงเกินจริง ส่วนลดมหาศาล และรูปแบบการรีดไถซ้ำ ๆ จึงวาดภาพของระบบนิเวศที่สร้างขึ้นจากอำนาจต่อรองมากกว่าการแลกเปลี่ยนอย่างเป็นธรรม ทันทีที่เหยื่อจ่ายเงิน ผู้โจมตีก็มีหลักฐานว่าแรงกดดันใช้ได้ผล และข้อมูลจุดนั้นก็สามารถนำไปใช้ได้อีกครั้ง ไม่ว่าจะกับองค์กรเดิมหรือถูกแบ่งปันในแวดวงอาชญากรเพื่อเป็นหลักฐานว่าเป้าหมายนั้นคุ้มค่าที่จะไล่ล่า
สิ่งนี้มีความหมายต่อคุณอย่างไร
สำหรับทั้งบุคคล ธุรกิจขนาดเล็ก และองค์กรขนาดใหญ่ ประเด็นสำคัญไม่ใช่ว่าไม่ควรจ่ายค่าไถ่ไม่ว่าในกรณีใด ๆ (นั่นเป็นการตัดสินใจที่ทุกองค์กรต้องชั่งน้ำหนักตามความเสี่ยงและภาระผูกพันทางกฎหมายของตนเอง) แต่ประเด็นคือ การจ่ายไม่ควรถูกมองว่าเป็นทางออกที่แน่นอน ใครก็ตามที่กำลังพิจารณาจ่ายค่าไถ่จำเป็นต้องวางแผนเผื่อสำหรับความเป็นไปได้ที่มันจะไม่ใช่ข้อเรียกร้องสุดท้าย และการกู้คืนข้อมูลไม่ได้รับประกันแม้ว่าเงินจะเปลี่ยนมือไปแล้ว
เรื่องนี้มีความสำคัญเป็นพิเศษสำหรับองค์กรขนาดเล็กและบุคคลทั่วไปที่อาจไม่มีทีมรับมือเหตุการณ์โดยเฉพาะ รายงาน แรนซัมแวร์ฉบับเดียวกันที่แสดงให้เห็นว่าผู้เสียหายยอมจ่ายแล้วกลับมาเจรจาอีก ตอกย้ำว่าแม้แต่บริษัทที่มีทรัพยากรพร้อมก็ยังประสบปัญหาในการปิดวงจรหลังถูกโจมตี หากไม่มีผู้เชี่ยวชาญด้านการตอบสนองต่อเหตุการณ์ โอกาสที่จะได้ผลลัพธ์ที่ดีหลังการจ่ายเงินก็ไม่ได้สูงขึ้นสำหรับเป้าหมายขนาดเล็ก
นัยเชิงปฏิบัติคือ การป้องกันและการเตรียมพร้อมนั้นสำคัญกว่าทักษะการเจรจาหลังเกิดเหตุมากนัก การสำรองข้อมูลแบบออฟไลน์ที่เชื่อถือได้ การทดสอบขั้นตอนการกู้คืน และระบบรักษาความปลอดภัยปลายทางที่เข้มแข็งจะลดอำนาจต่อรองของผู้โจมตีตั้งแต่แรก หากองค์กรไม่เคยต้องพิจารณาจ่ายเงินเลยเพราะสามารถกู้คืนจากข้อมูลสำรองได้ วัฏจักรการรีดไถทั้งหมด รวมถึงความเสี่ยงที่จะถูกเรียกซ้ำ ก็จะกลายเป็นเรื่องที่ไม่ต้องกังวล
ข้อปฏิบัติที่จับต้องได้
ขั้นตอนที่เป็นรูปธรรมสองสามข้อสามารถลดความเสี่ยงต่อแรนซัมแวร์และวัฏจักรการรีดไถที่ตามมาได้:
- ดูแลการสำรองข้อมูลอย่างสม่ำเสมอและผ่านการทดสอบ โดยจัดเก็บแบบออฟไลน์หรือในสภาพแวดล้อมที่แยกต่างหากและโดดเดี่ยว เพื่อให้การกู้คืนไม่ต้องพึ่งพาความร่วมมือจากผู้โจมตี
- มองการจ่ายค่าไถ่ทุกครั้งว่าเป็นการตัดสินใจทางธุรกิจที่มีความเสี่ยงจริงที่จะถูกเรียกซ้ำ ไม่ใช่ทางออกที่รับประกันความสำเร็จ
- ให้หน่วยงานบังคับใช้กฎหมายและผู้เชี่ยวชาญด้านการตอบสนองต่อเหตุการณ์ที่มีประสบการณ์เข้ามามีส่วนร่วมก่อนตัดสินใจจ่ายเงิน เพราะพวกเขามักมีข้อมูลเชิงลึกเกี่ยวกับประวัติการกระทำของกลุ่มผู้โจมตี
- ลงทุนกับสุขอนามัยความปลอดภัยขั้นพื้นฐาน รวมถึงการอัปเดตแพตช์ การยืนยันตัวตนแบบหลายปัจจัย และการแบ่งเครือข่าย เพื่อลดโอกาสตกเป็นเหยื่อตั้งแต่แรก
ท้ายที่สุดแล้ว งานวิจัยนี้คือเครื่องเตือนใจว่า การจ่ายค่าไถ่ให้แรนซัมแวร์ไม่ได้ซื้อการปิดฉาก แต่มันซื้อโอกาส องค์กรที่วางแผนเพื่อความสามารถในการฟื้นคืนมากกว่าการพึ่งพาการเจรจา จะอยู่ในตำแหน่งที่แข็งแกร่งกว่ามาก ไม่ว่าพวกเขาจะต้องเผชิญหน้ากับการเรียกค่าไถ่หรือไม่ก็ตาม
