Ransomware กับสงครามไซเบอร์: ทำไมการกวาดล้างของเจ้าหน้าที่ถึงหยุดแฮกเกอร์ไม่ได้ถาวร
ในโลกของการต่อสู้กับอาชญากรรมทางไซเบอร์ การประกาศชัยชนะของหน่วยงานรัฐมักจะเกิดขึ้นอย่างรวดเร็ว แต่ผลลัพธ์ในระยะยาวกลับน่ากังวล ตัวอย่างที่ชัดเจนคือกรณีของ BlackCat (หรือ AlphV) กลุ่มแฮกเกอร์เรียกค่าไถ่ชื่อดังที่เคยถูกกระทรวงยุติธรรมสหรัฐฯ และ FBI ประกาศว่าสามารถทลายเครือข่ายและยึดเว็บไซต์บน Dark Web (เครือข่ายอินเทอร์เน็ตที่ซ่อนตัวตนและเข้าถึงได้ด้วยซอฟต์แวร์เฉพาะ) ได้สำเร็จในช่วงก่อนคริสต์มาสที่ผ่านมา
ทว่าเพียงไม่กี่เดือนหลังจากนั้น กลุ่ม BlackCat กลับมาสร้างความโกลาหลอีกครั้งด้วยการโจมตี Change Healthcare บริษัทด้านการแพทย์รายใหญ่ ซึ่งส่งผลกระทบเป็นลูกโซ่ไปยังโรงพยาบาลและร้านขายยาจำนวนมากทั่วสหรัฐฯ ทำให้การจ่ายยาให้ผู้ป่วยเกิดความล่าช้าและสร้างความเสียหายอย่างรุนแรง
วงจรการฟื้นตัวที่รวดเร็วของกลุ่มอาชญากรไซเบอร์
เหตุการณ์ที่เกิดขึ้นกับ Change Healthcare สะท้อนให้เห็นถึงปัญหาใหญ่ในปัจจุบัน นั่นคือชัยชนะของเจ้าหน้าที่บังคับใช้กฎหมายมักจะเป็นเพียงเรื่องชั่วคราว นักวิเคราะห์ระบุว่ากลุ่มแฮกเกอร์สามารถสร้างระบบขึ้นมาใหม่และเริ่มโจมตีได้อีกครั้งอย่างรวดเร็ว เนื่องจากตัวการหลักมักกบดานอยู่ในประเทศที่ไม่ให้ความร่วมมือกับสากล เช่น รัสเซีย
Allan Liska ผู้เชี่ยวชาญจาก Recorded Future อธิบายว่า เมื่อเจ้าหน้าที่ไม่สามารถจับกุมตัวผู้บงการได้ การทำลายโครงสร้างพื้นฐานหรือการยึดเซิร์ฟเวอร์จึงเป็นเพียงการขัดขวางชั่วคราว แฮกเกอร์เพียงแค่ต้องรวบรวมทีมใหม่และกลับมาปฏิบัติการต่อได้ทันที
กรณีของกลุ่ม Lockbit ก็เป็นอีกหนึ่งตัวอย่างที่ชัดเจน แม้หน่วยงานอาชญากรรมแห่งชาติของสหราชอาณาจักร (NCA) จะเข้ายึดโครงสร้างพื้นฐานและกระเป๋าเงินคริปโตเคอร์เรนซีไปได้ แต่ภายในเวลาไม่ถึงสัปดาห์ Lockbit ก็สามารถเปิดเว็บไซต์ใหม่เพื่อข่มขู่เหยื่อและนับถอยหลังการปล่อยข้อมูลที่ขโมยมาได้อีกครั้ง
เศรษฐกิจมืดที่ขับเคลื่อนด้วยผลกำไรมหาศาล
แรงจูงใจสำคัญที่ทำให้กลุ่ม Ransomware ไม่ยอมแพ้คือ "เงิน" โดยในปี 2023 ข้อมูลจาก Chainalysis ระบุว่ายอดรวมของค่าไถ่ที่เหยื่อจ่ายให้กับแฮกเกอร์สูงถึง 1.1 พันล้านดอลลาร์ ซึ่งเป็นตัวเลขที่ทำลายสถิติเดิม ทำให้ธุรกิจนี้มีความคุ้มค่าที่จะเสี่ยงแม้จะถูกเจ้าหน้าที่ไล่ล่า
นอกจากนี้ ระบบนิเวศของอาชญากรรมไซเบอร์ยังมีความซับซ้อนมากขึ้น แฮกเกอร์สามารถซื้อเครื่องมือมัลแวร์ หรือซื้อสิทธิ์การเข้าถึงระบบขององค์กรจาก Access Brokers (นายหน้าผู้ขายช่องทางเข้าถึงระบบที่ถูกเจาะไว้แล้ว) ทำให้การเริ่มต้นโจมตีครั้งใหม่ทำได้ง่ายและรวดเร็วกว่าในอดีต
| กลุ่มแฮกเกอร์ | การดำเนินการของเจ้าหน้าที่ | ผลลัพธ์ที่เกิดขึ้น | สถานะปัจจุบัน |
|---|---|---|---|
| BlackCat (AlphV) | FBI ยึดเว็บ Dark Web และปล่อยคีย์ถอดรหัส | จำนวนเหยื่อลดลงชั่วคราว | กลับมาโจมตี Change Healthcare |
| Lockbit | NCA ยึดโครงสร้างพื้นฐานและกระเป๋าเงินดิจิทัล | สูญเสียการควบคุมระบบชั่วคราว | เปิดเว็บไซต์หลุดข้อมูลแห่งใหม่ทันที |
| Hive | FBI เข้ายึดโครงสร้างพื้นฐาน | หายไปเกือบหนึ่งปี / ป้องกันความเสียหายได้ 210 ล้านดอลลาร์ | กลับมาในชื่อ Hunters International |
ข้อเท็จจริงสำคัญ
- การจับกุมตัวบุคคล มีผลถาวรกว่าการทำลายระบบทางเทคนิค โดยเฉพาะการจับกุมสมาชิกนอกประเทศรัสเซีย
- มูลค่าความเสียหาย ค่าไถ่รวมในปี 2023 สูงถึง 1.1 พันล้านดอลลาร์ เป็นแรงจูงใจหลักให้แฮกเกอร์ฟื้นตัวเร็ว
- กลยุทธ์การปรับตัว กลุ่ม BlackCat เคยเสนอผลตอบแทนที่สูงขึ้นให้พันธมิตรเพื่อดึงดูดแฮกเกอร์หลังถูก FBI โจมตี
- ผลกระทบทางอ้อม การกวาดล้างช่วยลดความเชื่อใจระหว่างอาชญากร และทำให้ตลาดซื้อขายเครื่องมือแฮกบางแห่งต้องสั่งห้ามขายซอฟต์แวร์เรียกค่าไถ่
แนวทางการแก้ไขปัญหาอย่างยั่งยืน
ผู้เชี่ยวชาญมองว่าการกวาดล้างโดยเจ้าหน้าที่เพียงอย่างเดียวไม่สามารถแก้ปัญหาได้ แต่ต้องใช้กลยุทธ์แบบหลายมิติ (Multi-pronged strategy) ซึ่งประกอบด้วย:
- การยกระดับระบบรักษาความปลอดภัยไซเบอร์ภายในองค์กรให้แข็งแกร่งขึ้น
- การใช้มาตรการคว่ำบาตรทางเศรษฐกิจต่อผู้ที่เกี่ยวข้องกับกลุ่มแฮกเกอร์
- การออกกฎระเบียบที่เข้มงวดขึ้นในการควบคุมคริปโตเคอร์เรนซี
- การพิจารณากฎหมายห้ามจ่ายค่าไถ่ เพื่อตัดวงจรรายได้ของอาชญากร
คำถามที่พบบ่อย
ทำไมการยึดเว็บไซต์ Dark Web ถึงไม่สามารถหยุดแฮกเกอร์ได้?
เพราะเว็บไซต์เป็นเพียงเครื่องมือในการสื่อสารและข่มขู่ แต่ตัวผู้บงการและซอฟต์แวร์มัลแวร์ยังคงอยู่ ตราบใดที่แฮกเกอร์ยังไม่ถูกจับกุม พวกเขาสามารถสร้างเว็บไซต์ใหม่ขึ้นมาทดแทนได้ในเวลาอันสั้น
กลุ่ม BlackCat มีการปรับเปลี่ยนกลยุทธ์อย่างไรหลังถูก FBI โจมตี?
พวกเขาพยายามดึงดูดพันธมิตรแฮกเกอร์รายใหม่ด้วยการเสนอส่วนแบ่งรายได้ที่สูงขึ้น และยกเลิกข้อจำกัดในการเลือกเหยื่อ โดยระบุว่าสามารถโจมตีเป้าหมายใดก็ได้ รวมถึงโรงพยาบาลและโรงไฟฟ้าพลังงานนิวเคลียร์
Access Brokers คือใครและมีบทบาทอย่างไรในวงจรนี้?
คืออาชญากรไซเบอร์ที่ทำหน้าที่เจาะระบบองค์กรทิ้งไว้ แล้วนำ "ทางเข้า" หรือสิทธิ์การเข้าถึงนั้นไปขายต่อให้กับกลุ่ม Ransomware ทำให้กลุ่มแฮกเกอร์ไม่ต้องเสียเวลาเจาะระบบเองและสามารถโจมตีได้รวดเร็วขึ้น
การจ่ายค่าไถ่ช่วยให้ได้ข้อมูลคืนจริงหรือไม่ และควรทำอย่างไร?
ไม่มีการรับประกันว่าแฮกเกอร์จะส่งคีย์ถอดรหัสให้หลังจากได้รับเงิน และการจ่ายเงินยังเป็นการสนับสนุนให้กลุ่มอาชญากรมีทุนในการพัฒนาการโจมตีครั้งต่อไป ผู้เชี่ยวชาญจึงแนะนำให้เน้นการสำรองข้อมูล (Backup) และการป้องกันเชิงรุก
