เกิดอะไรขึ้นกับสนามน้ำแข็งเทียลฟ์

สนามน้ำแข็งเทียลฟ์ สนามกีฬาชื่อดังของเนเธอร์แลนด์ที่มีชื่อเสียงระดับโลกจากการเป็นเจ้าภาพจัดการแข่งขันสเกตความเร็ว ตกเป็นเหยื่อรายล่าสุดของการโจมตีทางไซเบอร์ ตามรายงานของไมโครซอฟท์ กลุ่มที่อยู่เบื้องหลังการบุกรุกนี้ที่รู้จักกันในชื่อ The Gentlemen ได้ขโมยข้อมูลจากสถานที่ดังกล่าว และขู่ว่าจะเผยแพร่บนดาร์กเว็บ หากไม่มีการจ่ายค่าไถ่ภายในไม่กี่วัน

นี่คือตัวอย่างตำราเรียนของแก๊งแรนซัมแวร์ที่ใช้กลยุทธ์รีดไถสองทาง: ผู้โจมตีไม่เพียงแค่ล็อกไฟล์ แต่ยังขโมยข้อมูลสำคัญก่อน และใช้การขู่เปิดเผยข้อมูลต่อสาธารณะเป็นแรงกดดัน สำหรับสถาบันอย่างเทียลฟ์ นั่นอาจหมายถึงข้อมูลพนักงาน ข้อมูลทางการเงิน ข้อมูลการจำหน่ายตั๋ว หรือรายละเอียดการดำเนินงานอื่น ๆ ที่จะไปสิ้นสุดที่การขายหรือดาวน์โหลดฟรีบนฟอรัมอาชญากร หากพ้นกำหนดเส้นตายโดยไม่จ่ายเงิน

วิธีการทำงานของโมเดลรีดไถสองทางของ The Gentlemen

คู่มือการรีดไถสองทางได้กลายเป็นแนวทางมาตรฐานสำหรับปฏิบัติการแรนซัมแวร์ที่ร้ายแรงส่วนใหญ่ และ The Gentlemen ดูเหมือนจะเดินตามรูปแบบเดียวกันกับที่พบในคดีอื่น ๆ นับไม่ถ้วน ขั้นแรกผู้โจมตีเจาะเข้าสู่เครือข่ายและขโมยข้อมูลออกไปอย่างเงียบ ๆ ก่อนที่จะติดตั้งการเข้ารหัสใด ๆ หลังจากที่ข้อมูลอยู่ในความครอบครองของพวกเขาอย่างปลอดภัยแล้ว พวกเขาจึงจะล็อกระบบของเหยื่อและเปิดเผยตัวตน บ่อยครั้งพร้อมด้วยตัวนับเวลาถอยหลังและเว็บไซต์รั่วไหลบนดาร์กเว็บเพื่อเป็นหลักฐานว่าพวกเขาเอาอะไรไปแล้วบ้าง

กลยุทธ์กดดันสองทางนี้ออกแบบมาเพื่อปิดเส้นทางหลบหนีที่ง่ายที่สุดของเหยื่อ แม้แต่องค์กรที่มีระบบสำรองข้อมูลที่มั่นคงและสามารถกู้คืนระบบที่ถูกเข้ารหัสได้โดยไม่ต้องจ่ายค่าไถ่ ก็ยังต้องเผชิญกับภัยคุกคามที่สอง: การเปิดเผยไฟล์ที่ถูกขโมยต่อสาธารณะ การผสมผสานนี้ทำให้การรีดไถสองทางมีประสิทธิภาพมากกว่ารูปแบบการขู่แบบเดี่ยวในยุคก่อน ๆ ที่มีแค่การเข้ารหัสเพียงอย่างเดียว และนี่คือสาเหตุที่นักวิจัยด้านความปลอดภัยเตือนมากขึ้นว่า ระบบสำรองข้อมูลจำเป็นแต่ไม่เพียงพออีกต่อไปแล้ว

Ransomware-as-a-Service และการรับสมัครแอฟฟิลิเอต อธิบาย

สิ่งที่ทำให้กลุ่มเช่น The Gentlemen ปิดตัวลงได้ยากเป็นพิเศษ คือพวกเขาไม่ได้ดำเนินการเป็นทีมเดียวที่ถูกควบคุมอย่างเข้มงวด การวิเคราะห์ของไมโครซอฟท์อธิบายว่ากลุ่มนี้ขยายตัวด้วยการรับสมัครแอฟฟิลิเอตผ่านข้อตกลงแรนซัมแวร์แบบบริการ ซึ่งเป็นโมเดลธุรกิจที่ทีมแกนสร้างและบำรุงรักษามัลแวร์ โครงสร้างพื้นฐานการเจรจา และเว็บไซต์รั่วไหล จากนั้นให้เช่าชุดเครื่องมือนั้นแก่แอฟฟิลิเอตอิสระที่ดำเนินการบุกรุกจริง

โครงสร้างแบบแฟรนไชส์นี้หมายความว่า ค่าไถ่ที่จ่ายไม่ได้ไปที่หัวหน้าใหญ่คนเดียวเสมอไป มันถูกแบ่งระหว่างผู้พัฒนาและแอฟฟิลิเอตคนใดก็ตามที่ดำเนินการโจมตี และยังหมายความว่า การปราบปรามของหน่วยงานบังคับใช้กฎหมายต่อกลุ่มหนึ่งแทบจะไม่สามารถกำจัดภัยคุกคามที่ซ่อนอยู่ได้ แอฟฟิลิเอตก็จะย้ายไปยังแบรนด์แรนซัมแวร์แบบบริการอื่นและทำงานต่อไป มันเป็นโมเดลธุรกิจที่สร้างมาเพื่อความยืดหยุ่น และนี่คือส่วนหนึ่งของสาเหตุที่แรนซัมแวร์ยังคงเป็นปัญหาที่คงอยู่ แม้ว่าแต่ละแก๊งจะรุ่งเรืองและล่มสลายไปก็ตาม บทสนทนาภายในที่รั่วไหล ซึ่งมีรายละเอียดใน การสืบสวนจากพอดแคสต์ของ BBC เกี่ยวกับแก๊งแรนซัมแวร์ Conti ได้เสนอภาพที่หาได้ยากว่า ปฏิบัติการเหล่านี้มีความเป็นองค์กรและมีลำดับชั้นมากเพียงใดเบื้องหลัง

ทำไม VPN เพียงอย่างเดียวไม่สามารถหยุดแรนซัมแวร์ได้ และอะไรที่ช่วยได้จริง

มันควรค่าที่จะชี้แจงบางสิ่งที่การรายงานข่าวจำนวนมากมองข้าม: VPN คงไม่สามารถป้องกันการโจมตีแบบนี้ได้ และไม่มีเครื่องมือใดเพียงตัวเดียวที่จะทำได้ แก๊งแรนซัมแวร์มักจะเข้ามาผ่านอีเมลฟิชชิ่ง ข้อมูลประจำตัวที่ถูกขโมย ซอฟต์แวร์ที่ไม่ได้ติดตั้งแพตช์ หรือบริการการเข้าถึงระยะไกลที่เปิดเผย ไม่ใช่ผ่านช่องว่างที่ VPN สำหรับผู้บริโภคถูกออกแบบมาให้ปิด องค์กรต่าง ๆ จำเป็นต้องมีการป้องกันหลายชั้นแทน: การยืนยันตัวตนหลายปัจจัย การแบ่งส่วนเครือข่าย การสำรองข้อมูลแบบออฟไลน์อย่างสม่ำเสมอ เครื่องมือตรวจจับบนอุปกรณ์ปลายทาง และการฝึกอบรมพนักงานให้รู้จักความพยายามฟิชชิ่ง

การตัดสินใจว่าจะจ่ายหรือไม่ เป็นจุดที่ยากอย่างแท้จริง และข้อมูลในประเด็นนี้ก็ไม่สนับสนุนสำหรับใครก็ตามที่หวังว่าการจ่ายเงินจะรับประกันการแก้ปัญหาที่สะอาด รายงานที่ครอบคลุมโดย Proofpoint เกี่ยวกับผู้จ่ายค่าไถ่มักจะถูกโจมตีซ้ำ พบว่า องค์กรจำนวนมากที่จ่ายครั้งหนึ่งมักจะตกเป็นเป้าหมายอีกเป็นครั้งที่สอง ซึ่งบ่งชี้ว่า การจ่ายเงินอาจตีตราเหยื่อว่าเป็นเป้าหมายที่ง่าย แทนที่จะปิดฉากเหตุการณ์นั้น ไม่ใช่ทุกองค์กรที่เลือกจะยอมด้วยเช่นกัน ผู้ผลิตชาวสวิส Stadler Rail ได้ ปฏิเสธข้อเรียกร้องค่าไถ่ 12.3 ล้านดอลลาร์จากแก๊ง Everest ต่อสาธารณะ แสดงให้เห็นว่า การปฏิเสธเป็นหนทางที่ทำได้ แม้จะยากลำบาก ที่เหยื่อบางรายเลือกใช้

สิ่งนี้มีความหมายอย่างไรสำหรับคุณ

สำหรับผู้อ่านส่วนใหญ่ เหตุการณ์ที่เทียลฟ์ไม่ใช่ภัยคุกคามโดยตรง แต่มันเป็นเครื่องเตือนใจที่มีประโยชน์ว่า ปฏิบัติการแรนซัมแวร์สมัยใหม่ทำงานอย่างไร และทำไมพวกเขาถึงประสบความสำเร็จอย่างต่อเนื่อง หากคุณทำงานในองค์กร โดยเฉพาะองค์กรที่จัดการข้อมูลลูกค้า พนักงาน หรือผู้เยี่ยมชม บทเรียนก็คือ การป้องกันต้องเกิดขึ้นก่อนที่ตัวนับเวลาถอยหลังของผู้โจมตีจะเริ่มเดิน หากคุณเป็นผู้เยี่ยมชม พนักงาน หรือหุ้นส่วนของเทียลฟ์ที่กังวลเกี่ยวกับข้อมูลของคุณเอง ให้จับตาดูการสื่อสารอย่างเป็นทางการจากสถานที่ดังกล่าว และตื่นตัวต่อความพยายามฟิชชิ่งที่อ้างอิงถึงการละเมิดนี้ เนื่องจากผู้โจมตีและพวกฉวยโอกาสมักใช้ข่าวการรั่วไหลเพื่อดำเนินการหลอกลวงซ้ำเติม

ข้อคิดที่นำไปปฏิบัติได้

  • สันนิษฐานไว้ก่อนว่า ทุกองค์กรที่ถือข้อมูลของคุณอาจเผชิญกับแก๊งแรนซัมแวร์ที่ใช้การรีดไถสองทาง ถามบริษัทที่คุณมีปฏิสัมพันธ์ด้วยว่า แนวทางปฏิบัติในการตอบสนองต่อเหตุการณ์และการปกป้องข้อมูลของพวกเขาเป็นอย่างไร
  • หากคุณจัดการระบบไอที ให้จัดลำดับความสำคัญของการยืนยันตัวตนหลายปัจจัย การติดตั้งแพตช์ และการสำรองข้อมูลแบบออฟไลน์ เหนือกว่าผลิตภัณฑ์ความปลอดภัยเดี่ยว ๆ ใด ๆ รวมถึง VPN
  • อย่าทึกทักว่า การจ่ายค่าไถ่จะยุติเหตุการณ์ได้อย่างสะอาด หลักฐานบ่งชี้ว่า การตกเป็นเป้าหมายซ้ำเป็นเรื่องปกติในหมู่องค์กรที่จ่ายเงิน
  • เฝ้าระวังอีเมลฟิชชิ่งที่อ้างอิงถึงการละเมิดของเทียลฟ์หรือเหตุการณ์คล้ายกัน เนื่องจากผู้โจมตีมักใช้ประโยชน์จากข่าวการละเมิดที่เปิดเผยต่อสาธารณะเพื่อการหลอกลวงซ้ำเติม
  • ติดตามว่าองค์กรที่ได้รับผลกระทบตอบสนองอย่างไรในอีกไม่กี่วันข้างหน้า การตัดสินใจของเทียลฟ์ว่าจะจ่ายหรือไม่ จะเพิ่มจุดข้อมูลอีกจุดหนึ่งให้กับการถกเถียงที่ดำเนินอยู่เกี่ยวกับการจ่ายค่าไถ่

ในขณะที่ปฏิบัติการแรนซัมแวร์แบบบริการอย่าง The Gentlemen ยังคงรับสมัครแอฟฟิลิเอตและปรับแต่งกลยุทธ์การรีดไถสองทาง เหตุการณ์เช่นที่เกิดขึ้นที่เทียลฟ์มีแนวโน้มว่าจะยังคงปรากฏเป็นข่าวต่อไป การรับรู้ข้อมูลเกี่ยวกับวิธีการที่การโจมตีเหล่านี้คลี่คลาย และการผลักดันให้องค์กรที่คุณพึ่งพาให้ความสำคัญกับการป้องกันอย่างจริงจัง ยังคงเป็นหนึ่งในขั้นตอนที่เป็นประโยชน์ที่สุดสำหรับสาธารณชน