Ransomware คืออะไร ทำงานอย่างไร พร้อมวิธีแก้ไข

Ransomware คือ ไวรัสชนิดหนึ่งที่ถูกออกแบบมาเพื่อล็อคไฟล์เพื่อทำการเรียกค่าไถ่ในการปลดล็อค โดยมีจุดเป้าหมายของการทำไวรัสชนิดนี้คือการเข้าถึงข้อมูลสำคัญภายในบริษัท โดยการติดไวรัสของคอมพิวเตอร์และอุปกรณ์ต่างๆมีวิธีการที่คล้ายกับการติดไวรัสชนิดอื่น แต่สร้างความเสียหายระบบคอมพิวเตอร์ภายในออฟฟิศเป็นอันดับต้นๆของโลก

Ransomware คืออะไร?

แรนซัมแวร์เป็นมัลแวร์ (malware) ชนิดหนึ่งที่เข้ารหัสไฟล์ของเหยื่อแล้วเอาข้อมูล โดยมัลแวร์ (malware) นั้นเป็นคำที่ย่อมาจาก malicious software หรือ โปรแกรมที่อันตราย โดยมีเป้าหมายหลักในการไม่ประสงค์ดีกับระบบ ทำลายคอมพิวเตอร์ โดยโปรแกรมอันตรายเหล่านี้เราอาจจะได้ยินชื่อกันมาบ้าง เช่น trojan , warm , viruses , spyware , adware และอื่นๆ โดยแรนซัมแวร์ นั้นเป็นวิธีการหนึ่งในการทำลายข้อมูล โดยการเข้ารหัสของไฟล์ ถึงแม้ว่าตัวแรนซัมแวร์เองแต่แรกนั้นต้องการเพียงเรียกค่าไถ่โดยการกรอกรหัสผ่าน แต่มีการพัฒนาภายหลังถึงกระบวนการเข้ารหัสไฟล์ และขโมยไฟล์ออกมาจากฐานข้อมูลจากการพัฒนาต่อมา

• วิธีการทำงาน

1. ส่งอีเมลมาเพื่อหลอกให้หลงกล (Phishing spam)
   

   ไฟล์อะไรก็ตามที่แนบมากับอีเมลที่ส่งเหยื่อ โดยปลอมตัวเป็นอีเมลที่น่าเชื่อถือ เมื่อเหยื่อดาวน์โหลดและเปิดไฟล์ที่แนบมาแล้ว ผู้โจมตีก็สามารถเข้าครอบครองคอมพิวเตอร์ของเหยื่อได้เลย โดยเฉพาะอย่างยิ่งหากผู้โจมตีใช้เครื่องมือ social engineering ที่หลอกลวงเหยื่อเพื่อจะได้เข้าไปถึงการควบคุมคอมพิวเตอร์โดยเข้าไปในระบบ รับมืออีเมล หลอกลวง ให้กับพนักงานบริษัท ทำยังไงดี?

2. เจาะเข้าไปในระบบควบคุม (Admistrative access)

   นอกจากนี้การคุกคามยังมีในรูปแบบอื่น ที่ใช้ประโยชน์จากช่องโหว่ security ในการเข้าไปในคอมพิวเตอร์ของเหยื่อ โดยไม่จำเป็นต้องหลอกลวงเหยื่อเลย โดยเมื่อมีการเข้าไปได้แล้ว ก็สามารถทำการล็อครหัสผ่าน มัลแวร์สามารถทำอะไรกับคอมพิวเตอร์ของเหยื่อได้หลายอย่างเลย และวิธีที่พบบ่อยที่สุดคือการเข้ารหัสไฟล์ของผู้ใช้ ส่วนการที่จะถอดรหัสได้นั้นก็มีเพียงผู้โจมตีเท่านั้นที่ทำได้ ในกรณีที่ผู้ใช้โดนมัลแวร์โจมตี ระบบจะขึ้นข้อความประมาณว่า “ตอนนี้คุณไม่สามารถเข้าถึงไฟล์ได้แล้ว และถ้าจะให้ถอดรหัสให้คุณต้องจ่ายเพื่อปลดล็อค”

3. แอบอ้างเป็นหน่วยงานเพื่อไปจ่ายค่าปรับ

   มัลแวร์บางรูปแบบผู้โจมตีอาจอ้างว่าเป็นหน่วยงานบังคับใช้กฎหมาย เพื่อที่จะระงับการใช้คอมพิวเตอร์ของเหยื่อ โดยอ้างว่าพบสื่อลามกหรือซอฟต์แวร์ที่ละเมิดลิขสิทธิ์ และบอกให้เหยื่อชำระ “ค่าปรับ” อีกทั้งวิธีนี้ยังมีความเสี่ยงน้อยที่เหยื่อจะไปแจ้งความ แต่การโจมตีส่วนใหญ่มักจะไม่ใช้วิธีนี้

4. ขู่ว่าจะเปิดข้อมูลสู่สาธารณะ

   

   นอกจากนี้ยังมีมัลแวร์ในรูปแบบอื่นอีกที่เรียกว่า Leakware หรือ Doxware ซึ่งผู้โจมตีจะขู่เหยื่อว่าจะเปิดเผยข้อมูลสำคัญจากฮาร์ดไดรฟ์ของเหยื่อ เว้นแต่ว่าเหยื่อจะจ่ายค่าไถ่ให้ก่อน อย่างไรก็ตามวิธีนี้เป็นวิธีที่ยุ่งยากสำหรับผู้โจมตี เพราะต้องค้นหาข้อมูลมาเป็นข้อเสนอ ดังนั้นการเข้ารหัสจึงเป็นรูปแบบที่พบมากที่สุด

• เป้าหมายของแฮกเกอร์

ผู้โจมตีมีหลายวิธีในการเลือกเป้าหมายที่จะโจมตี และบางครั้งมันก็เป็นเรื่องของโอกาสด้วย ตัวอย่างเช่นผู้โจมตีกำหนดเป้าหมายเป็นโรงงานผลิตสินค้า เพราะมีทีมรักษาความปลอดภัยน้อย และมีเหยื่อมากมายที่ใช้การแชร์ไฟล์ ทำให้ง่ายต่อการเจาะเข้าระบบของพวกเขาในทางกลับกันบางองค์กรก็ดึงดูดผู้โจมตีเอง เพราะดูเหมือนจะจ่ายค่าไถ่ได้เร็ว ตัวอย่างเช่นหน่วยงานราชการหรือองค์กรทางการแพทย์ที่มักจะต้องใช้ไฟล์ข้อมูลอยู่ตลอดเวลา รวมถึงบริษัทกฎหมาย และองค์กรอื่น ๆ ที่มีข้อมูลสำคัญ ๆ ซึ่งเป้าหมายเหล่านี้อาจจำใจต้องจ่ายเพื่อให้ข่าวลือมันเงียบไป และเป้าหมายเหล่านี้มักกลัวผลกระทบที่ตามมาถ้าหากมีข่าวหลุดออกไปหรือคำขู่จากผู้โจมตีที่อ้างว่าจะเปิดเผยข้อมูลออกไปหากไม่จ่ายเงินด้วย

• เข้าใจวิธีการทำงานของแรนซัมแวร์

1. การเข้าถึงข้อความต่างๆ

   การเข้ามาของอาชญากรรมทางไซเบอร์นั้น หนึ่งในวิธีการที่ยังใช้กันอย่างแพร่หลายคือการส่งข้อความไปหาเหยื่อ โดยมีความต้องการที่จะให้เหยื่อทำบางสิ่งบางอย่าง เช่น การให้ข้อมูล การขอติดตั้งโปรแกรมลงบนเครื่อง โดยได้นำมาซึ่งข้อมูลหรือสิทธิ์บนเครื่องคอมพิวเตอร์เครื่องนั้น

2. การเปิดไฟล์ที่ไม่พึงประสงค์

   หลายครั้งเองเราจำเป็นต้องมีการติดตั้งโปรแกรมลงบนคอมพิวเตอร์จากอินเตอร์เน็ต ซึ่งกิจกรรมเหล่านี้เองถ้าหากเราไม่แน่ใจว่ามาจากเว็บไซต์ที่มีความน่าเชื่อถือก็หลีกเลี่ยงที่จะทำการดาวน์โหลดลงเครื่อง รวมไปถึงหลีกเลี่ยงการเปิดไฟล์แนบที่ได้มาจากอีเมล ถ้าหากไม่แน่ใจว่า

3. เส้นทางสู่การรีเซ็ตรหัสผ่าน

   ส่วนหนึ่งของกระบวนการต้มตุ๋นของอาชญากรรมทางไซเบอร์เป็นการส่งลิงค์เพื่อเชื่อมหน้าเว็บไซต์ โดยจุดประสงค์ของการทำแบบนี้เพื่อเป็นการหลอกล่อ โดยการสร้างเว็บปลอมขึ้นมา เช่น เว็บโซเชี่ยลมีเดีย โดยสร้างสถานการณ์ว่าจำเป็นต้องมีการเปลี่ยนรหัสผ่าน เมื่อเหยื่อหลงกลแล้วจะมีการนำรหัสผ่านนั้นแอบเข้าบัญชี รวมถึงนำข้อมูลทางการเงิน (ถ้ามี) ไปใช้งานได้

   

วิธีการป้องกันการโจมตี

• วิธีป้องกันระบบสำหรับผู้ใช้งานทั่วไป

ถึงแม้ว่าไม่มีขั้นตอนที่แน่ชัดในการป้องกันการคุกคามได้ทั้งหมด แต่วิธีการดังหล่าวจะลดความเสี่ยงของการเข้ามาคุกคาม ซึ่งเป็นคำแนะนำจากรัฐบาลออสเตรเลีย ซึ่งแนะนำไว้เบื้องต้นดังนี้

1. อัปเดตโปรแกรมให้ล่าสุด

   อาชญากรทางไซเบอร์นั้นรู้ดีว่าถ้าหากรู้ช่องโหว่ของระบบแล้วจะสามารถเข้าถึงระบบต่างๆได้ ตราบใดที่เจ้าของผลิตภัณฑ์โปรแกรมยังไม่ค้นพบ (ซึ่งการค้นพบช่องโหว่ต่างๆนั้นมีการนำมาซื้อขายอยู่ในตลาดมืด) โดยที่เมื่อไหร่มีการใช้ช่องโหว่นั้นเข้ามาทำกิจกรรมแฮก หรือ ละเมิดระบบแล้ว แน่นอนว่าเจ้าของโปรแกรมเองนั้นทราบได้อย่างรวดเร็ว รวมถึงสามารถนำมาปิดช่องโหว่นั้นได้อย่างง่ายดาย สิ่งที่ผู้ใช้งานระบบจำเป็นต้องทำคือการอัปเดตโปรแกรม ระบบปฏิบัติการ แอพพลิเคชั่นต่างๆทันทีที่มีการปล่อยอัปเดตออกมา เนื่องจากมันเป็นความปลอดภัยแรกที่สามารถทำได้อย่างรวดเร็ว

2. พื้นที่สำหรับการสำรองข้อมูล

   การจัดเก็บข้อมูลทางดิจิตอลนั้นจำเป็นต้องมีการจัดเก็บหลายที่เพื่อความปลอดภัย โดยการจัดเก็บนั้นนอกจากตำแหน่งหลักอาจจะเป็นพื้นที่บนเครื่องเซิพเวอร์ หรือ ฮาร์ดดิสก์บนคอมพิวเตอร์แล้ว อีกแหล่งที่ควรจะสำรองข้อมูลไว้คือ External Harddisk หรือ Cloud storage ก็สามารถทำได้ โดยต้องแน่ใจว่าถ้าหากเกิดเหตุการณ์ที่ไม่พึงประสงค์เกิดขึ้นมา สถานที่สำรองในการจัดเก็บข้อมูลนั้นจะไม่ได้รับผลกระทบไปด้วย

3. มีผู้ดูแลระบบ

   เบื้องหลังของการมีระบบที่มีความเสถียรภาพสูงนั้นจำเป็นต้องมีพนักงานที่มีความเข้าใจระบบมาดูแล ควบคุมอุปกรณ์ทั้งหมดที่เกี่ยวข้องกับความปลอดภัยทางไอที เช่น ระบบหลังบ้านที่ดูว่าใคร login เข้ามาใช้งานบน Network ของบริษัทบ้าง เห็นกิจกรรมที่ไม่น่าไว้ใจของผู้ที่เข้ามา รวมถึงทราบว่ามีกิจกรรมใดที่อาจจะเป็นความเสี่ยงต่อการโจมตีของไวรัสคอมพิวเตอร์ได้ รวมถึงระบบปฏิบัติการไม่ว่าจะเป็น Windows , MacOS สามารถทำระบบการเข้าใช้งานสองระบบได้ โดยการเข้าใช้งานของผู้ควบคุมระบบ และ การเข้าใช้งานของผู้ใช้ระบบ โดยเมื่อแยกสิทธิ์ออกจากกันแล้วถ้าหากมีกิจกรรมใดใดที่ผู้ใช้งานคอมพิวเตอร์เครื่องนั้นจะมีการติดตั้งโปรแกรม หรือ ทำกิจกรรมใดๆที่จำเป็นต้องใช้สิทธิ์ของผู้ควบคุมเครื่อง (Run as adminstrator) จะไม่สามารถทำงานได้ โดยวิธีดังกล่าวจะช่วยลดผลกระทบจากการถูกแฮกเครื่องด้วยการติดตั้งโปรแกรมนอกเหนือจากการใช้งานหลักได้

4. ติดตั้งซอฟแวร์ป้องกันไวรัส

   สำหรับพฤติกรรมการทำงานอย่างปลอดภัยแล้ว การใช้โปรแกรมป้องกันไวรัสเข้ามาร่วมด้วยนั้นจำเป็นสำหรับการใช้งาน โดยคุณสมบัติของโปรแกรมเหล่านี้จะทำหน้าที่เป็นผู้รักษาความปลอดภัยระดับคอมพิวเตอร์โดยตรวจดูได้ในระดับไฟล์ที่ผ่านเข้ามา เว็บที่เข้าไปค้นหา รวมถึงการบลอคการรันโปรแกรมที่อาจจะมีอันตราย ซึ่งฟีเจอร์ดังกล่าวนั้นมีมาใน Windows 10 , Windows 11 ในโปรแกรม Windows security 

5. เปิดการใช้การยืนยันตัวแบบหลายขั้นตอน (MFA)

   การเปิดสิทธิ์การเข้ารหัสผ่านแบบหลายขั้นตอนนั้นเป็นวิธีการใหม่ที่เริ่มนำมาใช้อย่างแพร่หลายมากขึ้น โดยวิธีการนั้นเป็นการเข้ารหัสหลากหลายรูปแบบมากกว่าการกรอกรหัสเข้าไป ทำให้แฮกเกอร์นั้นเข้าถึงบัญชีได้ยากขึ้น ใช้ความสามารถในการเข้าถึงที่ต้องใช้เวลาและเงื่อนไขที่ซับซ้อน Multi factor authentication ช่วยป้องกันถูกแฮกได้หรือเปล่า
   – สิ่งที่ผู้ใช้รู้ (รหัสผ่าน)
   – สิ่งที่ผู้ใช้มี (สมาร์ทการ์ด/บัตรผ่าน)
   – สิ่งที่ผู้ใช้เป็น (ลายนิ้วมือ / ม่านตา / ใบหน้า)

• วิธีป้องกันระบบสำหรับธุรกิจ SMEs

1. ป้องกัน Server ของบริษัท

   โดยทั่วไปสำหรับบริษัทขนาดเล็กที่ไม่มีโครงสร้างระบบไอทีอย่างเป็นทางการนั้นจะเก็บข้อมูลด้วยระบบ NAS ซึ่งเป็นระบบคอมพิวเตอร์เซิฟเวอร์ขนาดเล็กที่มีไว้เพื่อเก็บข้อมูลโดยเฉพาะภายในบริษัท โดยอาชญากรทางไซเบอร์นั้นรู้ว่าบริษัทเหล่านี้จะมีการเก็บข้อมูลสำคัญต่างๆ ไม่ว่าจะเป็นข้อมูลของลูกค้า ข้อมูลการขาย ข้อมูลทางบัญชี และข้อมูลที่มีสิทธิบัตรต่างๆของบริษัทเอาไว้ ถึงแม้ว่าอุปกรณ์ NAS เองนั้นมีทั้งฟีเจอร์ในการสำรองข้อมูลลงในฮาร์ดดิสก์อีกลูกเพื่อทำสำรองข้อมูลกันและกันก็ตาม เพื่อให้แน่ใจว่าโปรแกรมของ NAS ไม่มีจุดช่องโหว่ใดๆ ควรที่จะอัปเดตโปรแกรมนั้นให้เป็นเวอร์ชั่นล่าสุดอยู่เสมอ เพื่อเป็นประโยชน์ต่อการป้องกันอาชญากรรมทางไซเบอร์สูงสุด โดยถ้าหากมีปัญหาการใช้งานใดก็ตามสามารถหาที่ปรึกษาด้านระบบไอทีได้จากที่นี่

2. ลดการเข้าสู่ระบบจากภายนอกเครือข่าย

   การเข้าใช้งานระบบจากภายนอกบริษัท ไม่ว่าจะเป็นการรีโมทคอมพิวเตอร์เข้ามาภายในคอมพิวเตอร์ของบริษัท การแชร์ไฟล์ภายในบริษัทให้คอมพิวเตอร์ที่อยู่ภายนอก Network เข้ามาดาวน์โหลดได้ รวมถึงการให้มีการจัดการระบบเครือข่ายคอมพิวเตอร์ผ่านการรีโมทระบบเข้ามา ล้วนเป็นช่องโหว่ที่ทำให้มีการปลอมตัวเข้ามา หรือการอนุญาตให้คนแปลกหน้าภายนอกเข้ามาเห็นและสามารถล้วงข้อมูลได้ง่าย เพื่อรักษาความปลอดภัยนี้ไว้ ให้หลีกเลี่ยงการเข้ามาดูข้อมูลในระบบผ่านการ Remote หรือ VPN เข้ามา แต่เข้ามาต่อสัญญาณที่บริษัทและให้อุปกรณ์ Firewall นั้นสามารถเห็นกิจกรรมที่คอมพิวเตอร์เครื่องนั้นทำกับเครือข่ายในบริษัทได้เลย

3. สำรองข้อมูลขึ้น Cloud

   นอกจากนี้การแบ่งข้อมูลขึ้นไปใช้บนคลาวแทนการนำข้อมูลที่สำคัญทั้งหมดเก็บไว้ในเซิพเวอร์ของตัวเอง จะช่วยให้กระจายความเสี่ยงในกรณีที่มีการเข้ามาขโมยข้อมูล หรือ เรียกค่าไถ่ของข้อมูล โดยสามารถพิจารณาในการนำข้อมูลเฉพาะบางส่วนที่สำคัญ หรือ นำข้อมูลเฉพาะบางบริการขึ้นไปจัดการบนคลาวก็ได้ เช่น อีเมลของบริษัท ถ้าหากมีความสำคัญและไม่อยากแบกรับความเสี่ยงที่มากเกินไปในกรณีที่มีการแฮกข้อมูลในเครื่อง ก็อาจจะใช้บริการคลาวในการเก็บข้อมูลและเปิดใช้งานโปรแกรมบนระบบ Cloud computing ได้ เป็นต้น

ประสบการณ์ราคาเท่าไหร่

ปัจจุบันยังไม่มีวิธีการป้องกันได้อย่างตายตัว ซึ่งถ้าหากดูทางสถิติจากการสำรวจของธุรกิจระบบกลางใน 30 ประเทศ 5400 บริษัทในปี 2021 พบว่าค่าเฉลี่ยของการจ่ายเงินเพื่อแลกกับรหัสที่ถูกขโมยไปนั้นอยู่ที่ราว 170,404 เหรียญสหรัฐ การเตรียมความพร้อมทั้งด้านการทำระบบ การเลือกใช้พื้นที่จัดเก็บข้อมูล อุปกรณ์ด้านความปลอดภัยทางไซเบอร์ รวมถึงผู้ดูแลระบบที่มีประสบการณ์ เหล่านี้ล้วนเป็นปัจจัยที่ส่งเสริมให้ระบบนั้นมีความถูกต้อง และปลอดภัย ซึ่งมีอยู่ในบริการวางระบบความปลอดภัยทางไอที Firewall as a Service