ศาลสวิตเซอร์แลนด์ได้มีคำพิพากษาจำคุกเกือบ 13 ปีแก่ชายชาวยูเครนวัย 52 ปี ซึ่งถูกตัดสินว่ามีความผิดฐานพัฒนาแรนซัมแวร์สายพันธุ์ Nefilim ปิดคดีที่สืบย้อนไปถึงการโจมตีทางไซเบอร์ต่อ Stadler Rail เมื่อปี 2020 การตัดสินครั้งนี้นับเป็นหนึ่งในการดำเนินคดีแรนซัมแวร์ที่มีนัยสำคัญที่สุดคดีหนึ่งที่เกิดขึ้นในห้องพิจารณาคดีของยุโรป และเป็นหน้าต่างที่เปิดมุมมองที่มีประโยชน์ว่าปฏิบัติการแรนซัมแวร์ทำงานจริงอย่างไร และเกิดอะไรขึ้นเมื่อเหยื่อปฏิเสธที่จะจ่ายเงิน
จากเหตุการณ์มัลแวร์สู่คำตัดสินความผิดคดีแรนซัมแวร์
เมื่อ Stadler Rail ถูกโจมตีในปี 2020 บริษัทไม่ได้ใช้คำว่า "แรนซัมแวร์" ในตอนแรก ในขณะนั้นบริษัทอธิบายเหตุการณ์เพียงว่าเกี่ยวข้องกับมัลแวร์ที่ "น่าจะนำไปสู่การรั่วไหลของข้อมูล" และกล่าวว่าผู้โจมตีพยายามเรียกค่าไถ่เป็นเงินจำนวนมาก โดยขู่ว่าจะเปิดเผยไฟล์ที่ขโมยมา หากไม่จ่ายค่าไถ่ Stadler ปฏิเสธที่จะจ่ายในตอนนั้น เช่นเดียวกับที่ทำหลังจากเหตุการณ์แยกต่างหากในปีนี้ การปฏิเสธนั้นได้วางรากฐานสำหรับการสอบสวนทางอาญาที่ในที่สุดก็ระบุตัวบุคคลที่อยู่เบื้องหลังโค้ดแรนซัมแวร์ Nefilim ที่ใช้ในการโจมตีได้
Nefilim เป็นส่วนหนึ่งของคลื่นตระกูลแรนซัมแวร์ที่ผสมผสานการเข้ารหัสไฟล์กับการขโมยข้อมูล ซึ่งเป็นกลยุทธ์ที่มักเรียกว่าการกรรโชกสองชั้น แทนที่จะเพียงล็อกระบบของเหยื่อ ผู้ปฏิบัติการจะทำการขโมยไฟล์ที่มีความละเอียดอ่อนออกไปก่อน จากนั้นขู่ว่าจะเผยแพร่ต่อสาธารณะหากเหยื่อไม่จ่ายเงิน วิธีนี้สร้างแรงกดดันเพิ่มเติมต่อองค์กร เนื่องจากแม้แต่กลยุทธ์การสำรองข้อมูลที่แข็งแกร่งก็ไม่อาจป้องกันผลกระทบด้านชื่อเสียงและด้านกฎระเบียบจากการรั่วไหลของข้อมูลต่อสาธารณะได้ บทความก่อนหน้าของเราเกี่ยวกับการพิจารณาคดีแรนซัมแวร์ที่ซูริกได้ให้รายละเอียดว่าอัยการสร้างคดีของตนอย่างไร โดยขอโทษจำคุก 12 ปี ก่อนที่ศาลจะตัดสินจำคุกเกือบ 13 ปีในที่สุด
ทำไมคดีนี้จึงสำคัญเกินกว่าสวิตเซอร์แลนด์
การดำเนินคดีแรนซัมแวร์ที่นำไปสู่โทษจำคุกยาวนานยังคงค่อนข้างหายาก สาเหตุหลักเป็นเพราะผู้ปฏิบัติการจำนวนมากทำงานจากเขตอำนาจศาลที่ทำให้การส่งผู้ร้ายข้ามแดนหรือการจับกุมเป็นไปได้ยาก คดีนี้น่าสนใจ precisely เพราะมันนำไปสู่การระบุตัวบุคคลได้ การพิจารณาคดีอาญา และคำพิพากษาที่มีนัยสำคัญจากศาลสวิตเซอร์แลนด์ มันแสดงให้เห็นว่าการบังคับใช้กฎหมายและอัยการสามารถ ในบางสถานการณ์ สืบย้อนโค้ดแรนซัมแวร์กลับไปยังนักพัฒนาของมันได้สำเร็จ และทำให้บุคคลนั้นต้องรับผิดชอบหลายปีหลังการโจมตีครั้งเดิม
คดียังตอกย้ำรูปแบบที่ปรากฏซ้ำแล้วซ้ำเล่าในเหตุการณ์แรนซัมแวร์: เหยื่อที่ปฏิเสธที่จะจ่ายไม่จำเป็นต้องเผชิญผลลัพธ์ที่แย่กว่า และการจ่ายค่าไถ่ไม่ได้ให้การรับประกันว่าข้อมูลที่ถูกขโมยจะไม่รั่วไหลออกมา การตัดสินใจของ Stadler Rail ที่ไม่จ่ายในปี 2020 และอีกครั้งในปีนี้ สอดคล้องกับคำแนะนำของนักวิจัยด้านความปลอดภัยและหน่วยงานบังคับใช้กฎหมาย ซึ่งโดยทั่วไปแนะนำให้หลีกเลี่ยงการสนับสนุนปฏิบัติการแรนซัมแวร์ เนื่องจากการจ่ายเงินไม่ได้ย้อนคืนการละเมิด และมักเป็นการสนับสนุนกิจกรรมอาชญากรรมเพิ่มเติม
สิ่งนี้หมายความสำหรับคุณอย่างไร
สำหรับผู้อ่านส่วนใหญ่ คดีนี้ไม่ใช่ภัยคุกคามโดยตรง แต่เป็นเครื่องเตือนใจว่าปฏิบัติการแรนซัมแวร์ทำงานเบื้องหลังอย่างไร การโจมตีเช่นที่เกิดขึ้นกับ Stadler Rail มักเริ่มต้นจากข้อมูลรับรองที่ถูกขโมย อีเมลฟิชชิง หรือช่องโหว่ของซอฟต์แวร์ที่ถูกใช้ประโยชน์ ไม่ใช่พลังที่หยุดยั้งไม่ได้ บุคคลที่เขียนและปรับใช้โค้ดแรนซัมแวร์เป็นคนที่สามารถ ในบางกรณี ถูกระบุตัว ถูกดำเนินคดี และถูกตัดสินลงโทษ แม้หลายปีหลังการโจมตีเกิดขึ้น
หากคุณทำงานในองค์กรที่จัดการข้อมูลที่มีความละเอียดอ่อน คดีนี้เน้นย้ำความสำคัญของการสันนิษฐานว่าการบุกรุกที่สำเร็จใดๆ อาจเกี่ยวข้องกับการขโมยข้อมูล ไม่ใช่เพียงการเข้ารหัส กลยุทธ์การสำรองข้อมูลเพียงอย่างเดียวไม่เพียงพอ องค์กรจำเป็นต้องมีแผนตอบสนองต่อเหตุการณ์ที่คำนึงถึงความเป็นไปได้ของไฟล์ที่รั่วไหล และต้องตัดสินจุดยืนของตนเกี่ยวกับการจ่ายค่าไถ่ก่อนที่การโจมตีจะเกิดขึ้น ไม่ใช่ระหว่างความวุ่นวายของการโจมตี สำหรับผู้ใช้รายบุคคล สิ่งที่ควรนำไปใช้ก็คล้ายกับที่เราแนะนำมาตลอด: รหัสผ่านที่แข็งแกร่งและไม่ซ้ำ การยืนยันตัวตนหลายปัจจัย และการจัดการไฟล์แนบและลิงก์ในอีเมลอย่างระมัดระวัง ยังคงเป็นมาตรการป้องกันที่มีประสิทธิผลที่สุดต่อเทคนิคการเข้าถึงเบื้องต้นที่ทำให้การโจมตีแรนซัมแวร์เป็นไปได้ตั้งแต่แรก
ประเด็นสำคัญ
การตัดสินครั้งนี้แสดงให้เห็นว่าผู้ปฏิบัติการแรนซัมแวร์ไม่ใช่ผู้ที่แตะต้องไม่ได้ และงานสืบสวนที่อดทนสามารถเชื่อมโยงโค้ดอันตรายเข้ากับคนที่เขียนมันได้ในที่สุด สำหรับองค์กร คดีนี้ตอกย้ำคุณค่าของการปฏิเสธข้อเรียกร้องค่าไถ่และการเตรียมพร้อมสำหรับสถานการณ์ข้อมูลรั่วไหล แทนที่จะสันนิษฐานว่าการเข้ารหัสเป็นความเสี่ยงเดียว สำหรับบุคคลทั่วไป มันเป็นเครื่องเตือนใจว่าการโจมตีแรนซัมแวร์เกือบ всегда เริ่มต้นจากความล้มเหลวด้านความปลอดภัยธรรมดาๆ รหัสผ่านที่อ่อนแอ ระบบที่ไม่ได้แพตช์ หรือความพยายามฟิชชิงที่สำเร็จ ซึ่งทั้งหมดนี้สามารถป้องกันได้ด้วยสุขอนามัยด้านความปลอดภัยขั้นพื้นฐาน เมื่อคดีแรนซัมแวร์มากขึ้นเรื่อยๆ ถูกนำเข้าสู่กระบวนการยุติธรรม คาดว่าจะมีการตรวจสอบอย่างต่อเนื่องว่าปฏิบัติการเหล่านี้ได้รับการสนับสนุนทางการเงิน ดำเนินการ และถูก dismantled อย่างไรในที่สุด
