ภัยคุกคามจากคนในที่มาพร้อมจุดหักมุม

ข่าวแรนซัมแวร์ส่วนใหญ่มักเกี่ยวข้องกับอีเมลฟิชชิ่ง พอร์ต Remote Desktop ที่เปิดเผย หรือซอฟต์แวร์ที่ไม่ได้รับการแพตช์ แต่แผนการโจมตีต่อเทสลาครั้งนี้แตกต่างออกไป ตามรายงานข่าวกรณีดังกล่าว ชายที่ชื่อ Kriuchkov ได้เข้าไปหาพนักงานของ Tesla Gigafactory Nevada พร้อมข้อเสนอให้ช่วยติดตั้งมัลแวร์ที่ถูกสร้างขึ้นเป็นพิเศษภายในเครือข่ายภายในของบริษัท แล้วพรรคพวกของเขาจะจัดการส่วนที่เหลือเอง โดยขโมยข้อมูลสำคัญออกมาและเรียกร้องค่าไถ่ภายใต้การขู่ว่าจะเปิดเผยข้อมูลสู่สาธารณะ

นี่คือแผนแรนซัมแวร์แบบขู่กรรโชกสองขั้นตอน (double-extortion) ตามตำราเลยทีเดียว เป็นรูปแบบที่ผู้โจมตีขโมยข้อมูลออกไปก่อนแล้วจึงเข้ารหัสหรือขู่ว่าจะรั่วไหลข้อมูล ทำให้เหยื่อมีเหตุผลต้องจ่ายเงินถึงสองชั้นแทนที่จะเป็นหนึ่งเดียว สิ่งที่ทำให้คดีนี้แปลกออกไปคือวิธีการส่งมัลแวร์ แทนที่จะส่งมัลแวร์ผ่านไฟล์แนบที่เป็นอันตราย ผู้โจมตีพยายามเกณฑ์มนุษย์ที่สามารถเข้าถึงเครือข่ายได้อย่างถูกต้องอยู่แล้ว รายงานระบุว่าในตอนแรกพนักงานถูกเสนอเงิน $500,000 สำหรับการมีส่วนร่วม ก่อนจะเพิ่มเป็น $1 million ซึ่งเป็นจำนวนเงินที่สูงพอจะบอกได้ว่าผู้โจมตีประเมินมูลค่าข้อมูลภายในของเทสลาไว้สูงมากเพียงใด

เพราะเหตุใดพนักงานจึงรายงานเรื่องนี้แทนที่จะรับเงิน

แผนการทั้งหมดพังครืนเพราะพนักงานที่ตกเป็นเป้าหมายเลือกแจ้งเตือนเทสลาและหน่วยงานบังคับใช้กฎหมาย แทนที่จะรับสินบน การตัดสินใจครั้งนั้น ไม่ใช่ไฟร์วอลล์หรือโปรแกรมแอนตี้ไวรัสใด ๆ คือสิ่งที่หยุดการโจมตีนี้ไว้ได้อย่างเด็ดขาด หลังจากได้รับแจ้ง FBI ก็เข้ามาเกี่ยวข้อง และแผนการก็ถูกขัดขวางก่อนที่มัลแวร์จะแตะระบบของเทสลาเลยแม้แต่น้อย

ควรค่าแก่การหยุดคิดสักครู่ ระบบป้องกันทางเทคนิคทุกระบบที่บริษัทสร้างขึ้น ไม่ว่าจะเป็นการแบ่งส่วนเครือข่าย การตรวจจับที่จุดปลายทาง หรือการสำรองข้อมูลที่เข้ารหัส ล้วนมีไว้เพื่อหยุดผู้โจมตีที่ล่วงเข้ามาแล้ว หรือพยายามบุกเข้ามาจากภายนอก ระบบเหล่านี้แทบไม่มีความหมายเลยหากพนักงานที่มีข้อมูลประจำตัวถูกต้องยอมเปิดประตูให้โดยสมัครใจ การป้องกันที่แท้จริงต่อสถานการณ์แบบนี้มีเพียงอย่างเดียวคือวัฒนธรรมในที่ทำงานที่พนักงานรู้สึกปลอดภัย และถึงขั้นได้รับแรงจูงใจ ให้รายงานความพยายามเข้าหาที่น่าสงสัยในทันที

เรื่องนี้ยังตอกย้ำว่าห่วงโซ่อุปทานและระบบนิเวศของพาร์ตเนอร์ขยายขอบเขตความเสี่ยงจากการโจมตีให้กว้างไกลไปกว่าแค่พนักงานของบริษัทเอง เหตุการณ์ การละเมิดข้อมูลของ Tata Electronics ที่เปิดโปงไฟล์ของ Apple และ Tesla บนดาร์กเว็บ แสดงให้เห็นรูปแบบที่เชื่อมโยงกัน: ข้อมูลบริษัทที่ละเอียดอ่อนไม่จำเป็นต้องถูกขโมยโดยตรงจากบริษัทเป้าหมายก็สามารถถูกบุกรุกได้ ผู้ให้บริการ ผู้รับเหมา หรือซัปพลายเออร์ที่มีมาตรการความปลอดภัยอ่อนแอก็อาจกลายเป็นเส้นทางที่มีแรงต้านน้อยที่สุดสำหรับผู้โจมตีที่ไม่สามารถเกณฑ์คนในได้โดยตรง

มุมมองทางธุรกิจของการสร้างความตระหนักรู้เรื่องภัยจากคนใน

บริษัทจำนวนมากทุ่มงบประมาณมหาศาลไปกับการรักษาความปลอดภัยระบบภายนอก แต่โครงการดูแลภัยคุกคามจากบุคคลภายในมักได้รับความสนใจน้อยกว่ามาก ทว่าความพยายามเกณฑ์คนในแบบที่เกิดขึ้นกับเทสลาครั้งนี้ ไม่ต้องพึ่งพาช่องโหว่ทางเทคนิคใด ๆ เลย มันพึ่งพาการตัดสินใจของมนุษย์ภายใต้แรงกดดันหรือสิ่งล่อใจทางการเงินเพียงอย่างเดียว

แนวปฏิบัติบางประการช่วยให้องค์กรมีความยืดหยุ่นต่อวิธีการแบบนี้มากขึ้น:

  • ช่องทางการรายงานที่ชัดเจนและมีการประชาสัมพันธ์อย่างดี เพื่อให้พนักงานรู้ทันทีว่าจะติดต่อใครหากมีคนเสนอเงินเพื่อแลกกับการเข้าถึง ข้อมูลประจำตัว หรือความช่วยเหลือในการเลี่ยงมาตรการความปลอดภัย
  • การฝึกอบรมอย่างสม่ำเสมอที่ครอบคลุมเรื่องวิศวกรรมสังคมและความพยายามให้สินบนโดยเฉพาะ ไม่ใช่แค่อีเมลฟิชชิ่งเท่านั้น
  • วัฒนธรรมที่ถือว่าการรายงานการติดต่อที่น่าสงสัยเป็นพฤติกรรมเชิงบวก ไม่ใช่การยอมรับว่าทำผิด เพื่อให้พนักงานไม่กลัวที่จะออกมาแจ้ง
  • นโยบายการเข้าถึงด้วยสิทธิ์ขั้นต่ำที่จำกัดขอบเขตความเสียหายที่บัญชีที่ถูกบุกรุกเพียงบัญชีเดียว ไม่ว่าจะเป็นคนหรือระบบ จะสามารถก่อขึ้นได้จริง

มาตรการเหล่านี้ไม่มีค่าใช้จ่ายสูงแต่อย่างใดเมื่อเทียบกับต้นทุนที่อาจเกิดขึ้นจากการโจมตีแบบขู่กรรโชกสองขั้นตอนที่ประสบความสำเร็จ ซึ่งอาจรวมถึงค่าไถ่ ค่าปรับจากหน่วยงานกำกับดูแล ความเสี่ยงทางกฎหมาย และความเสียหายด้านชื่อเสียงที่คงทนยาวนาน

สิ่งนี้หมายถึงอะไรสำหรับคุณ

ไม่ว่าคุณจะดำเนินธุรกิจขนาดเล็กหรือทำงานสายไอทีให้กับองค์กรขนาดใหญ่ กรณีของเทสลาคือบททดสอบที่ดีสำหรับสถานะความปลอดภัยของตัวคุณเอง ลองถามดูว่าพนักงานของคุณจะรู้หรือไม่ว่าต้องทำอย่างไรหากมีคนเสนอเงินสดให้พวกเขาติดตั้งไดรฟ์ USB แชร์รหัสผ่าน หรือทำเป็นมองไม่เห็นตอนที่ “ผู้รับเหมา” เข้าถึงระบบหวงห้าม หากคำตอบไม่แน่ชัด นั่นคือช่องว่างที่ควรอุดก่อนที่ผู้โจมตีจะหาเจอ

กรณีนี้ยังย้ำเตือนว่าทำไมความเสี่ยงเรื่องการเปิดเผยข้อมูลไม่ได้จำกัดอยู่แค่เครือข่ายของคุณเอง ดังที่เหตุการณ์ของ Tata Electronics แสดงให้เห็น ไฟล์ละเอียดอ่อนที่เชื่อมโยงกับบริษัทใหญ่สามารถปรากฏผ่านการละเมิดข้อมูลของบุคคลที่สาม ซึ่งอยู่นอกเหนือการควบคุมโดยตรงของพวกเขา การตรวจสอบแนวปฏิบัติด้านความปลอดภัยของผู้ให้บริการภายนอกจึงไม่ใช่ทางเลือกอีกต่อไปสำหรับองค์กรที่จัดการทรัพย์สินทางปัญญาหรือข้อมูลลูกค้าที่มีค่า

ข้อปฏิบัติที่นำไปใช้ได้ทันที

  • จัดให้มีกระบวนการรายงานที่เรียบง่ายและไม่ระบุตัวตน สำหรับพนักงานที่ถูกเข้าหาด้วยข้อเสนอสินบนหรือความพยายามเกณฑ์คนใน
  • ฝึกอบรมพนักงานให้รู้จักกลยุทธ์ทางวิศวกรรมสังคมที่มุ่งเป้าไปที่ตัวบุคคล ไม่ใช่แค่ระบบ
  • ใช้หลักการเข้าถึงด้วยสิทธิ์ขั้นต่ำ เพื่อไม่ให้พนักงานคนใดคนหนึ่งก่อความเสียหายต่อโครงสร้างพื้นฐานสำคัญได้โดยลำพัง
  • ตรวจสอบความปลอดภัยของผู้ให้บริการภายนอกและห่วงโซ่อุปทาน เนื่องจากบุคคลที่สามสามารถรั่วไหลข้อมูลที่ละเอียดอ่อนได้ แม้ว่าระบบป้องกันของคุณจะยังอยู่ดีก็ตาม

กรณีของเทสลาจบลงด้วยดีเพราะพนักงานหนึ่งคนตัดสินใจได้ถูกต้อง การสร้างสถานที่ทำงานที่การตัดสินใจนั้นเป็นเรื่องง่าย เป็นสิ่งที่ถูกคาดหวัง และได้รับการตอบแทน เป็นหนึ่งในแนวป้องกันแรนซัมแวร์ที่คุ้มค่าที่สุดเท่าที่องค์กรใด ๆ จะสามารถสร้างขึ้นได้