สัญญาณเตือนมูลค่า 50 ล้านดอลลาร์สำหรับวงการกฎหมายใหญ่
สำนักงานกฎหมายที่มีชื่อเสียงที่สุดบางแห่งในสหรัฐอเมริกา รวมถึง Weil Gotshal & Manges, WilmerHale และ Goodwin Procter ได้จ่ายเงินรวมกันเกือบ 50 ล้านดอลลาร์ให้กับกลุ่มขู่กรรโชกทางไซเบอร์ในช่วงไม่กี่เดือนที่ผ่านมา สิ่งที่ทำให้คดีนี้น่ากังวลเป็นพิเศษไม่ใช่แค่ตัวเลขเงินจำนวนมหาศาล แต่เป็นวิธีการที่การโจมตีเกิดขึ้น ไม่มีระบบใดถูกเข้ารหัสล็อก ไม่มีหน้าจอล็อก ไม่มีตัวนับเวลาถอยหลัง และไม่มีข้อความเรียกค่าไถ่แบบดั้งเดิมที่เรียกร้องเงินเพื่อปลดล็อกไฟล์ที่ถูกแช่แข็ง นี่คือแรนซัมแวร์รูปแบบที่เงียบกว่าและเจาะจงกว่า ซึ่งสร้างขึ้นจากการขโมยข้อมูลแทนที่จะทำให้โครงสร้างพื้นฐานเป็นอัมพาต
สำหรับอุตสาหกรรมที่ถือครองข้อมูลที่ละเอียดอ่อนที่สุดเท่าที่มีอยู่ ตั้งแต่การสื่อสารลับระหว่างทนายความกับลูกความไปจนถึงบันทึกทางการเงินและรายละเอียดการควบรวมกิจการ เหตุการณ์ครั้งนี้เป็นเครื่องเตือนใจว่าแม้แต่สถาบันที่มีทรัพยากรพร้อมที่สุดก็ยังถูกโจมตีโดยไม่ทันตั้งตัวได้
ทำไมแรนซัมแวร์ถึงไม่ได้มีหน้าตาเหมือนแรนซัมแวร์เสมอไป
ภาพคลาสสิกของการโจมตีด้วยแรนซัมแวร์คือบริษัทตื่นขึ้นมาแล้วพบว่าไฟล์ทุกไฟล์ถูกเข้ารหัส และมีข้อความเรียกร้องให้จ่ายคริปโทเคอร์เรนซีเพื่อคืนสิทธิ์การเข้าถึง แรนซัมแวร์ในรูปแบบนั้นยังคงมีอยู่ แต่ผู้โจมตีได้เปลี่ยนไปใช้โมเดลที่ต่างออกไปมากขึ้นเรื่อย ๆ นั่นคือการขโมยข้อมูลออกไปอย่างเงียบ ๆ ก่อน แล้วจึงขู่ว่าจะเผยแพร่หรือขายข้อมูลนั้นเว้นแต่จะได้รับเงิน ไม่จำเป็นต้องเข้ารหัสอะไร ไม่จำเป็นต้องทำให้ระบบหยุดทำงาน อำนาจต่อรองทั้งหมดมาจากการขู่ว่าจะเปิดโปงข้อมูล
การเปลี่ยนแปลงนี้สำคัญเพราะมันเปลี่ยนสิ่งที่เรียกว่า "การตรวจจับ" แรนซัมแวร์แบบดั้งเดิมประกาศตัวของมันทันทีที่ไฟล์ถูกล็อก แต่การขู่กรรโชกด้วยข้อมูลสามารถเกิดขึ้นได้อย่างเงียบเชียบ บางครั้งนานเป็นสัปดาห์หรือเป็นเดือน ก่อนที่เหยื่อจะรู้ว่าข้อมูลได้ออกจากเครือข่ายของตนไปแล้ว สำนักงานกฎหมายเป็นเป้าหมายที่น่าดึงดูดเป็นพิเศษสำหรับวิธีการนี้ เพราะข้อมูลที่พวกเขาถือครอง เช่น กลยุทธ์การดำเนินคดี ข้อมูลเปิดเผยทางการเงิน ข้อมูลส่วนตัวของลูกความ มักมีมูลค่ามากกว่าหากถูกเก็บเป็นความลับ มากกว่าการถูกลบทิ้งไปเฉย ๆ
แผนการแบบนี้ไม่ได้จำกัดอยู่แค่อุตสาหกรรมกฎหมายเท่านั้น กลยุทธ์ขู่กรรโชกแบบเดียวกันนี้ถูกใช้กับบริษัทนอกภาคกฎหมายอีกมากมาย ในออสเตรเลีย ผู้โจมตีขู่ต่อสาธารณะว่าจะเผยแพร่ไฟล์ลูกค้าหลายล้านไฟล์เว้นแต่ Origin Energy จะจ่ายเงิน และยักษ์ใหญ่ด้านพลังงานอย่าง Shell ก็พบว่าตัวเองต้องสอบสวนข้อกล่าวหาจากกลุ่ม Cl0p ว่าได้ขโมยข้อมูลบริษัทเกือบ 89GB จุดร่วมของคดีทั้งหมดนี้คือความเสียหายที่แท้จริงไม่ใช่ระบบที่ถูกล็อก แต่เป็นตัวข้อมูลเอง และสิ่งที่เกิดขึ้นหากข้อมูลนั้นถูกเปิดเผยต่อสาธารณะ
สิ่งนี้หมายถึงอะไรสำหรับคุณ
หากคุณเป็นลูกความของสำนักงานกฎหมาย สำนักงานบัญชี หรือองค์กรใดก็ตามที่จัดการกับข้อมูลส่วนบุคคลหรือข้อมูลทางการเงินที่ละเอียดอ่อน เหตุการณ์ครั้งนี้เป็นเครื่องเตือนใจที่ดีว่าความปลอดภัยของข้อมูลไม่ได้รับการรับประกันเพียงเพราะสถาบันนั้นใหญ่ มีชื่อเสียง หรือมีเงินทุนหนา ชื่อเสียงและทรัพยากรไม่ได้แปลว่าเป็นแนวปฏิบัติด้านความมั่นคงปลอดภัยไซเบอร์ที่แข็งแกร่งโดยอัตโนมัติ
หากคุณทำงานในสภาพแวดล้อมการให้บริการทางวิชาชีพ โดยเฉพาะที่สำนักงาน CPA หรือสำนักงานกฎหมาย บทเรียนที่ได้จะตรงไปตรงมามากกว่า: โมเดลภัยคุกคามของบริษัทคุณต้องครอบคลุมถึงการขโมยข้อมูล ไม่ใช่แค่ระบบหยุดทำงานเท่านั้น แผนสำรองข้อมูลและการกู้คืนที่เตรียมพร้อมรับมือแค่ไฟล์ที่ถูกเข้ารหัสจะไม่ช่วยอะไร หากความเสี่ยงที่แท้จริงคือการรั่วไหลของข้อมูลลูกความที่เป็นความลับ กรมธรรม์ประกันภัยไซเบอร์ แผนรับมือเหตุการณ์ และกลยุทธ์การสื่อสารกับลูกความล้วนต้องสะท้อนความจริงข้อนี้
แนวทางป้องกันเชิงปฏิบัติที่ควรให้ความสำคัญ
มีขั้นตอนที่เป็นรูปธรรมไม่กี่ขั้นตอนที่สามารถลดความเสี่ยงจากการโจมตีแบบนี้ได้อย่างมีนัยสำคัญ การเข้ารหัสข้อมูลที่แข็งแกร่งสำหรับข้อมูลที่อยู่นิ่งและข้อมูลที่ถูกส่งผ่าน ช่วยจำกัดสิ่งที่ผู้โจมตีสามารถนำไปใช้ได้จริงแม้จะเข้าถึงไฟล์ได้ก็ตาม การสำรองข้อมูลที่สม่ำเสมอและผ่านการทดสอบยังคงสำคัญ ไม่ใช่เพราะมันจะลบล้างการรั่วไหลของข้อมูล แต่เพราะมันทำให้การดำเนินงานดำเนินต่อไปได้โดยไม่ต้องเจรจากับผู้โจมตี การแบ่งส่วนเครือข่าย (Network segmentation) เป็นอีกหนึ่งแนวป้องกันสำคัญ: การจำกัดขอบเขตการเคลื่อนที่ของผู้บุกรุกเมื่อเข้าเครือข่ายได้แล้ว จะช่วยลดโอกาสที่บัญชีที่ถูกบุกรุกเพียงบัญชีเดียวจะนำไปสู่การละเมิดทั้งบริษัท
สถาปัตยกรรม Zero-Trust ซึ่งกำหนดให้ต้องยืนยันตัวตนผู้ใช้และอุปกรณ์อย่างต่อเนื่องแทนที่จะเชื่อถือโดยอัตโนมัติตามตำแหน่งเครือข่าย มีประสิทธิภาพเป็นพิเศษในการต่อต้านการเคลื่อนที่ในแนวนอน (lateral movement) ที่เปลี่ยนบัญชีที่ถูกบุกรุกเพียงบัญชีเดียวให้กลายเป็นการขโมยข้อมูลทั้งบริษัท เมื่อรวมกับการควบคุมการเข้าถึงที่เข้มงวด การยืนยันตัวตนหลายปัจจัย และการเฝ้าติดตามการถ่ายโอนข้อมูลที่ผิดปกติ มาตรการเหล่านี้ทำให้ผู้โจมตีเก็บเกี่ยวข้อมูลปริมาณมากอย่างเงียบ ๆ ได้ยากขึ้นอย่างมาก ก่อนที่ใครจะสังเกตเห็น
บทสรุป
เงิน 50 ล้านดอลลาร์ที่สำนักงานกฎหมายใหญ่เหล่านี้จ่ายไป ตอกย้ำการเปลี่ยนแปลงครั้งใหญ่ในวิธีการทำงานของแรนซัมแวร์และการขู่กรรโชกทางไซเบอร์ในปัจจุบัน ผู้โจมตีไม่จำเป็นต้องล็อกไฟล์แม้แต่ไฟล์เดียวเพื่อสร้างความเสียหายร้ายแรงอีกต่อไป พวกเขาแค่ต้องเข้าถึงข้อมูลที่ถูกต้องและมีความอดทนพอที่จะขโมยมันออกไปอย่างเงียบ ๆ สำหรับสำนักงานกฎหมาย สำนักงานบัญชี และองค์กรใดก็ตามที่ได้รับความไว้วางใจให้ดูแลข้อมูลลูกค้าที่ละเอียดอ่อน บทเรียนนั้นชัดเจน: การเข้ารหัส การแบ่งส่วนเครือข่าย การสำรองข้อมูลที่ผ่านการทดสอบ และหลักการ Zero-Trust ไม่ใช่ตัวเลือกเสริมอีกต่อไป แต่เป็นข้อกำหนดพื้นฐานในการปกป้องคนที่ไว้วางใจคุณด้วยข้อมูลส่วนตัวที่สุดของพวกเขา
