แก๊งแรนซัมแวร์ข้ามห้องผู้บริหารระดับสูงไปแล้ว
เป็นเวลาหลายปีที่การฝึกอบรมความตระหนักรู้ด้านความปลอดภัยมุ่งเน้นการปกป้อง CEO, CFO และผู้บริหารระดับ C-suite อื่นๆ จากการโจมตีแบบเจาะจง งานวิจัยใหม่ชี้ให้เห็นว่าผู้ปฏิบัติการแรนซัมแวร์เปลี่ยนเป้าหมายไปแล้ว ตามข้อมูลจากทีมวิจัย ThreatLabz ของ Zscaler ผู้โจมตีกำลังมุ่งเป้าไปที่ผู้จัดการฝ่ายไอทีและธุรกิจระดับกลางมากขึ้น โดยอายุเฉลี่ยของเหยื่ออยู่ที่ 46 ปี แทนที่จะทุ่มเทความพยายามไปที่ผู้บริหารระดับสูง
ข้อค้นพบนี้มาจากการวิเคราะห์แคมเปญแรนซัมแวร์หนึ่งที่ตรวจสอบเหยื่อ 351 ราย ในจำนวนนั้น 62% มีตำแหน่งระดับผู้จัดการขึ้นไป โดยเฉพาะบทบาทที่มีอำนาจในการอนุมัติการจ่ายเงินและการตัดสินใจทางการเงิน รายละเอียดนี้มีความสำคัญ แรนซัมแวร์จะใช้เป็นโมเดลธุรกิจได้ก็ต่อเมื่อมีใครสักคนที่มีอำนาจอนุมัติการจ่ายเงินรู้สึกกดดันมากพอที่จะทำเช่นนั้น ดูเหมือนผู้โจมตีจะสรุปว่าผู้จัดการระดับกลางที่ควบคุมการอนุมัติงบประมาณ สัญญากับผู้ขาย หรือโครงสร้างพื้นฐานด้านไอที มักเป็นเส้นทางสู่การจ่ายเงินที่เร็วกว่าการพยายามเข้าถึง CEO ที่อาจอยู่ห่างจากกระบวนการตัดสินใจจ่ายเงินในแต่ละวันหลายชั้น
ทำไมผู้จัดการฝ่ายไอทีจึงเป็นเป้าหมายที่สมบูรณ์แบบ
การเปลี่ยนเป้าหมายไปยังผู้จัดการระดับกลางสะท้อนให้เห็นถึงการเปลี่ยนแปลงวิธีที่ผู้โจมตีวางแผนปฏิบัติการ แทนที่จะส่งอีเมลฟิชชิ่งแบบกว้างๆ และหวังว่าจะมีใครสักคนหลงกล ข้อมูลจาก ThreatLabz ระบุว่าแคมเปญเหล่านี้เกี่ยวข้องกับการทำแผนที่โครงสร้างองค์กรล่วงหน้า ผู้โจมตีระบุว่าใครอยู่ตำแหน่งไหนในแผนผังองค์กร ใครมีอำนาจในการจ่ายเงิน และใครมีการเข้าถึงทางเทคนิคมากพอที่จะสร้างความเสียหายได้จริงหากถูกบุกรุก การรวบรวมข่าวกรองนี้ช่วยให้พวกเขาสร้างแนวทางวิศวกรรมสังคมแบบเจาะจงบุคคล โดยมุ่งเป้าไปที่พนักงานประเภทที่เฉพาะเจาะจงมาก นั่นคือ คนที่อาวุโสพอที่จะมีผลกระทบ แต่ก็ไม่ได้อาวุโสจนรายล้อมไปด้วยผู้ช่วยและระเบียบการรักษาความปลอดภัยหลายชั้น
แนวทางนี้สอดคล้องกับแนวโน้มที่กว้างขึ้นซึ่งกล่าวถึงใน แคมเปญแรนซัมแวร์ที่เล็งเป้าผู้จัดการในสองในสามของกรณี ซึ่งพบในทำนองเดียวกันว่าเจ้าหน้าที่ระดับผู้จัดการ ไม่ใช่ผู้บริหารระดับสูง เป็นเหยื่อส่วนใหญ่ในเหตุการณ์อีกกรณีหนึ่ง เมื่อนำมารวมกัน รายงานเหล่านี้ชี้ไปที่กลยุทธ์ที่จงใจ ไม่ใช่เรื่องบังเอิญ ผู้จัดการฝ่ายไอทีและหัวหน้าแผนกมักมีการเข้าถึงและอำนาจที่ผสมผสานกันอย่างลงตัวตามที่ผู้ปฏิบัติการแรนซัมแวร์ต้องการ นั่นคือ ข้อมูลประจำตัวผู้ดูแลระบบ ความรู้เกี่ยวกับระบบสำรองข้อมูล และความสามารถในการอนุมัติการจ่ายเงินโดยไม่ต้องขอการลงนามจากทีมผู้นำทั้งหมด
มุมมองด้านความเป็นส่วนตัวที่การรายงานข่าวส่วนใหญ่มองข้าม
สิ่งที่ทำให้การเปลี่ยนแปลงนี้โดดเด่นจากมุมมองด้านความเป็นส่วนตัวคือ การกำหนดเป้าหมายส่วนใหญ่ขึ้นอยู่กับข้อมูลที่เปิดเผยต่อสาธารณะมากเพียงใด การสร้างแผนผังองค์กรที่แม่นยำ การระบุตำแหน่งงาน และการค้นหาว่าใครควบคุมการจ่ายเงิน โดยทั่วไปแล้วผู้โจมตีจำเป็นต้องดึงข้อมูลจากเว็บไซต์เครือข่ายมืออาชีพ สมุดรายชื่อบริษัท ข่าวประชาสัมพันธ์ และบางครั้งบริการนายหน้าข้อมูล ยิ่งข้อมูลโปรไฟล์สาธารณะของพนักงานมีรายละเอียดมากเท่าใด ผู้โจมตีก็ยิ่งสร้างข้ออ้างที่น่าเชื่อถือได้ง่ายขึ้นเท่านั้น
นี่คือจุดที่แรนซัมแวร์ทับซ้อนกับตลาดการซื้อขายสิทธิ์การเข้าถึงองค์กรที่ถูกขโมยซึ่งกำลังเติบโต ข่าวกรององค์กรบางส่วนที่ใช้ในการวางแผนข้อความฟิชชิ่งแบบเจาะจงอาจมาจากข้อมูลประจำตัวที่รั่วไหลหรือสิทธิ์การเข้าถึงที่ขายในฟอรัมอาชญากรรม ซึ่งเป็นพลวัตที่มีการสำรวจในรายงานเกี่ยวกับ แฮกเกอร์ชาวรัสเซียที่ขายสิทธิ์การเข้าถึงองค์กรที่ขโมยมาพร้อมกับสอดแนมยูเครน เมื่อผู้โจมตีมีช่องทางหรือโปรไฟล์พนักงานที่มีรายละเอียดแล้ว การปรับแต่งล่อแรนซัมแวร์ให้เหมาะกับผู้จัดการคนใดคนหนึ่งก็จะง่ายขึ้นกว่าในยุคของแคมเปญฟิชชิ่งแบบมวลชนมาก
สิ่งนี้มีความหมายอย่างไรสำหรับคุณ
หากคุณทำงานในฝ่ายบริหารไอที ฝ่ายปฏิบัติการ หรือตำแหน่งใดๆ ที่มีอำนาจในการจ่ายเงินหรือเข้าถึงระบบ งานวิจัยนี้ชี้ให้เห็นว่าคุณอาจเป็นเป้าหมายที่น่าดึงดูดใจมากกว่าที่คุณเคยคิด ต่อไปนี้คือขั้นตอนปฏิบัติบางประการที่สามารถลดความเสี่ยงของคุณได้:
- ตรวจสอบว่าข้อมูลที่นายจ้าง โปรไฟล์ LinkedIn หรือประวัติวิชาชีพของคุณเปิดเผยเกี่ยวกับความรับผิดชอบเฉพาะและระดับการเข้าถึงของคุณมีอะไรบ้าง
- ปฏิบัติต่อข้อความที่ไม่คาดคิดซึ่งอ้างถึงหน้าที่การทำงาน สิทธิ์ด้านงบประมาณ หรือระบบภายในของคุณด้วยความระมัดระวังเป็นพิเศษ แม้ว่าจะดูเหมือนมาจากผู้ติดต่อหรือผู้ขายที่รู้จักก็ตาม
- ยืนยันคำขอให้จ่ายเงินหรือเปลี่ยนแปลงระบบใดๆ ผ่านช่องทางที่ตรวจสอบแล้วแยกต่างหากก่อนดำเนินการ ไม่ว่าข้อความนั้นจะดูเร่งด่วนเพียงใด
- ผลักดันให้มีการวางแผนสำรองข้อมูลและตอบสนองต่อเหตุการณ์ทั่วทั้งองค์กร แทนที่จะคิดว่าผู้โจมตีจะมุ่งเป้าไปที่ห้องผู้บริหารเสมอ คู่มือแรนซัมแวร์แบบขู่กรรโชกหลายชั้นที่พบได้ทั่วไปในปี 2026 หมายความว่าการสำรองข้อมูลเพียงอย่างเดียวไม่ใช่ตาข่ายความปลอดภัยที่รับประกันได้อีกต่อไป
สรุปสาระสำคัญ
ผู้ปฏิบัติการแรนซัมแวร์กำลังปรับแต่งการกำหนดเป้าหมายของพวกเขาในแบบเดียวกับที่นักการตลาดที่ถูกกฎหมายทำ นั่นคือ การระบุว่าใครมีอำนาจในการตัดสินใจจริงๆ และเข้าถึงพวกเขาโดยตรง ข้อค้นพบจาก ThreatLabz ของ Zscaler ทำให้เห็นชัดเจนว่าผู้จัดการฝ่ายไอทีและธุรกิจระดับกลาง ไม่ใช่แค่ผู้บริหารระดับสูงเท่านั้น ที่ตอนนี้ตกเป็นเป้าหมายโดยตรง องค์กรขนาดเล็กที่ไม่มีทีมรักษาความปลอดภัยเฉพาะต้องเผชิญกับความเสี่ยงเป็นพิเศษในจุดนี้ นั่นคือเหตุผลที่แหล่งข้อมูลอย่าง คู่มือแรนซัมแวร์ปี 2026 ที่จัดทำขึ้นสำหรับธุรกิจขนาดเล็กและขนาดกลาง จึงควรค่าแก่การทบทวน ไม่ว่าจะมีขนาดบริษัทหรือที่ตั้งอยู่ที่ใดก็ตาม
บทสรุปไม่ใช่การตื่นตระหนก แต่คือการตระหนักว่าตำแหน่งงานและระดับการเข้าถึงในตอนนี้ทำหน้าที่เสมือนโปรไฟล์เป้าหมาย การลดรอยเท้าสาธารณะของคุณ ตรวจสอบคำขอที่ผิดปกติ และผลักดันให้มีการวางแผนตอบสนองขององค์กรที่เข้มแข็งขึ้น เป็นขั้นตอนที่ปฏิบัติได้จริงและสามารถทำได้ ซึ่งผู้จัดการทุกคนสามารถเริ่มลงมือทำได้ตั้งแต่วันนี้
