วิธีป้องกันและกู้คืนจากการโจมตีด้วยแรนซัมแวร์ในธุรกิจขนาดเล็ก

เจ้าของธุรกิจขนาดเล็กจำนวนมากยังคงคิดว่า การโจมตีด้วยแรนซัมแวร์ เกิดขึ้นกับโรงพยาบาล แบรนด์ระดับโลก หรือโครงสร้างพื้นฐานสาธารณะเท่านั้น ในความเป็นจริง ความเสี่ยงจากแรนซัมแวร์ของธุรกิจขนาดเล็กเป็นหนึ่งในตัวอย่างที่ชัดเจนที่สุดที่แสดงให้เห็นว่าผู้โจมตีมุ่งเป้าไปที่องค์กรที่มีข้อมูลอันมีค่า มีเวลาจำกัด และมีระบบป้องกันที่อ่อนแอกว่าอย่างต่อเนื่อง

ผลการวิจัยล่าสุดจาก Data Breach Observatory ของ Proton แสดงให้เห็นว่า SMB มักตกเป็นเหยื่อของการละเมิดข้อมูล นอกจากนี้ ยังมีสัดส่วนที่สูงอย่างไม่สมดุลในเหตุการณ์ที่สร้างความเสียหายมากที่สุด รวมถึงการละเมิดข้อมูลที่เกี่ยวข้องกับข้อมูลที่มีความเสี่ยงสูงและการเปิดเผยข้อมูลจำนวนมาก

แรนซัมแวร์เป็นปัญหาด้าน ความต่อเนื่องทางธุรกิจ ความปลอดภัยของข้อมูลยืนยันตัวตน และการปกป้องข้อมูล ผลสำรวจการละเมิดข้อมูลด้านความปลอดภัยทางไซเบอร์ของรัฐบาลสหราชอาณาจักรพบว่า 1% ของธุรกิจในสหราชอาณาจักรพบเหตุการณ์แรนซัมแวร์ในช่วง 12 เดือนที่ผ่านมา ซึ่งเพิ่มขึ้นจากไม่ถึง 0.5% ในปี 2024 เมื่อเทียบในระดับประเทศ จะเทียบเท่ากับธุรกิจประมาณ 19,000 แห่ง

แม้ว่าแรนซัมแวร์จะเพิ่มขึ้น แต่ ฟิชชิ่ง ยังคงเป็นการโจมตีทางไซเบอร์ประเภทที่พบบ่อยที่สุด ผู้โจมตีมักเข้าถึงเครือข่ายธุรกิจผ่านผู้คน ข้อมูลยืนยันตัวตน และเวิร์กโฟลว์ประจำวัน มากกว่าการโจมตีทางไซเบอร์ขนาดใหญ่ โดยทั่วไปสามารถใช้การโจมตีด้วยฟิชชิ่งเพื่อเริ่มการโจมตีด้วยแรนซัมแวร์ที่ใหญ่ขึ้นได้ หากรู้สึกว่าจะได้รับผลตอบแทนที่คุ้มค่ากว่า

สำหรับธุรกิจขนาดเล็ก ความเสียหายจากแรนซัมแวร์อาจทำให้เกิดการหยุดชะงักอย่างมีนัยสำคัญต่อความต่อเนื่องทางธุรกิจ สมาชิกในทีมจะสูญเสียการเข้าถึงไฟล์และไม่สามารถทำงานต่อได้ การดำเนินงานช้าลงหรือหยุดชะงัก และลูกค้าไม่ได้รับบริการที่เพียงพอ หากข้อมูลส่วนบุคคลถูกโจมตี จะต้องมีภาระผูกพันในการรายงานตามมา กลยุทธ์แรนซัมแวร์ที่นำไปใช้ได้จริงสำหรับ SMB ต้องครอบคลุมทั้งสองด้านของการโจมตี ได้แก่ การป้องกันและการกู้คืน

แรนซัมแวร์ทำงานอย่างไร?

แรนซัมแวร์ เป็นมัลแวร์ประเภทหนึ่งที่ขัดขวางไม่ให้เข้าถึงอุปกรณ์หรือข้อมูล โดยมักจะเข้ารหัสไฟล์ แล้วเรียกค่าไถ่เพื่อแลกกับการถอดรหัส ในหลายกรณี ผู้โจมตีทำมากกว่าการล็อกไฟล์ โดยยังขโมยข้อมูลและขู่ว่าจะทำให้เกิดการรั่วไหลหากไม่มีการจ่ายค่าไถ่ ซึ่งทำให้เหตุการณ์ดังกล่าวกลายเป็นทั้งวิกฤตความพร้อมใช้งานและการละเมิดข้อมูลที่อาจเกิดขึ้น

เหยื่อมักได้รับคำแนะนำให้สื่อสารผ่านอีเมลที่ไม่เปิดเผยตัวตนหรือหน้าเว็บ และชำระเงินด้วยสกุลเงินดิจิทัล สำหรับธุรกิจขนาดเล็ก ความแตกต่างนี้มีความสำคัญเนื่องจากสกุลเงินดิจิทัลนั้นไม่เปิดเผยตัวตน กระจายอำนาจ และไม่ถูกควบคุมโดยสถาบันการเงินแบบดั้งเดิม ทำให้แทบเป็นไปไม่ได้เลยที่จะติดตามการชำระเงิน

กิจกรรมแรนซัมแวร์ไม่ได้จำกัดอยู่เพียงการสูญเสียการเข้าถึงไฟล์เสมอไป แต่อาจหมายความว่าข้อมูลลูกค้า ข้อมูลพนักงาน บันทึกทางการเงิน สัญญา หรือข้อมูลยืนยันตัวตนการเข้าสู่ระบบได้ถูกดึงออกไปแล้ว แรนซัมแวร์อาจนำไปสู่การสูญเสียการเข้าถึงข้อมูลส่วนบุคคลได้ทันท่วงที และในกรณีที่ไม่มีการสำรองข้อมูลที่เหมาะสมหรือไม่มีเลย อาจทำให้สูญเสียอย่างถาวรได้

ห่วงโซ่การโจมตีมักจะธรรมดากว่าที่คิดไว้ เหตุการณ์ที่มองข้ามได้ง่ายซึ่งอาจนำไปสู่การโจมตีด้วยแรนซัมแวร์ ได้แก่:

• การคลิกลิงก์ฟิชชิ่ง
• การใช้รหัสผ่านซ้ำที่ถูกเปิดเผยในการละเมิดข้อมูล
• การเปิดบริการเข้าถึงระยะไกลทิ้งไว้โดยไม่มีการป้องกัน
• ช่องโหว่ที่ทราบแล้วไม่ได้รับการติดตั้งแพตช์

เมื่อผู้โจมตีเข้าถึงเครือข่ายธุรกิจได้แล้ว จะเคลื่อนย้ายในแนวราบ ยกระดับสิทธิ์ ปิดใช้งานเส้นทางการกู้คืนหากทำได้ และปรับใช้การเข้ารหัสลับหรือการกรรโชกทรัพย์ในจุดที่ส่งผลกระทบมากที่สุด ไม่มีเครื่องมือหรือโซลูชันเดียวที่สามารถป้องกันการโจมตีด้วยแรนซัมแวร์ได้ แต่องค์กรต้องมุ่งเน้นไปที่การลดจำนวนเส้นทางที่ง่ายต่อการเข้าสู่เครือข่ายแทน

ทำไมธุรกิจขนาดเล็กจึงตกเป็นเป้าหมายในสัดส่วนที่สูงอย่างไม่สมดุล

ธุรกิจขนาดเล็กเป็น เป้าหมายแรนซัมแวร์ ที่น่าดึงดูดด้วยเหตุผลสั้นๆ ง่ายๆ นั่นคือ มีข้อมูลอันมีค่าที่ไม่ได้รับการปกป้องดีเท่าที่ควร ผลวิจัยล่าสุดจากหอสังเกตการณ์ของ Proton แสดงให้เห็นว่า SMB คิดเป็น 63% ของการละเมิดข้อมูลที่ติดตามตั้งแต่เดือนมกราคม 2025 และมีบันทึกที่เกิดการรั่วไหลมากกว่า 352 ล้านรายการ

นอกจากนี้ ยังคิดเป็น 61% ของการละเมิดข้อมูลที่เกี่ยวข้องกับข้อมูลที่มีความเสี่ยงสูง โดยธุรกิจขนาดเล็กเพียงอย่างเดียวคิดเป็น 48% ของเหตุการณ์วิกฤตเหล่านั้น ในบรรดาการละเมิดข้อมูลที่เปิดเผยข้อมูลมากกว่า 100,000 รายการ SMB คิดเป็น 60% และธุรกิจขนาดเล็กคิดเป็น 42%

ธุรกิจขนาดเล็กไม่ได้สะเพร่า ในความเป็นจริง รายงานความปลอดภัยทางไซเบอร์ของ SMB ประจำปี 2026 ของ Proton พิสูจน์ให้เห็นว่าธุรกิจขนาดเล็กกำลังพยายามปรับปรุงความปลอดภัยทางไซเบอร์ ปัญหาคือระบบป้องกันกำลังล้มเหลวในสภาวะการใช้งานจริง การบังคับใช้ที่ไม่สม่ำเสมอ ข้อผิดพลาดจากมนุษย์ พฤติกรรมการแชร์การเข้าถึง และขีดความสามารถด้านความปลอดภัยภายในที่จำกัด คือสิ่งที่ทำให้ธุรกิจขนาดเล็กกลายเป็นเป้าหมายที่ล่อตาล่อใจ

จากผลสำรวจของ Proton กับผู้นำ 3,000 คนในบริษัทที่มีพนักงานต่ำกว่า 250 คน พบว่า 39% กล่าวว่าเหตุการณ์ต่างๆ เกิดจากข้อผิดพลาดจากมนุษย์ และ 48% กล่าวว่าไม่มีโปรแกรมจัดการรหัสผ่านใช้งาน

บริษัทขนาดใหญ่อาจมีทีมตอบสนองเฉพาะทาง สภาพแวดล้อมที่แบ่งเป็นสัดส่วน แผนสำรองข้อมูลที่ผ่านการทดสอบแล้ว และฝ่ายสนับสนุนเหตุการณ์ภายนอกที่พร้อมใช้งานแล้ว แต่บริษัทขนาดเล็กมักจะมีฝ่ายไอทีขนาดเล็กเพียงคนเดียว ฝ่ายสนับสนุนภายนอก หรือไม่มีผู้เชี่ยวชาญด้านความปลอดภัยเฉพาะทางเลย เมื่อถูกโจมตี ธุรกิจจะถูกบีบให้ต้องตัดสินใจในเรื่องที่มีความเสี่ยงสูงภายใต้แรงกดดันในการดำเนินงาน แรงกดดันดังกล่าวคือสิ่งที่ผู้ดำเนินการแรนซัมแวร์คาดหวังไว้

จุดเข้าใช้งานแรนซัมแวร์ที่พบบ่อยที่สุดใน SMB

หลังจากตรวจสอบการศึกษาที่ดำเนินการในสหราชอาณาจักร พบว่าฟิชชิ่งยังคงเป็นช่องทางการก่ออาชญากรรมทางไซเบอร์ที่สำคัญสำหรับธุรกิจ แต่เพราะอะไร? นั่นเป็นเพราะฟิชชิ่งมักเป็นขั้นตอนแรกไปสู่การขโมยข้อมูลประจำตัว การโจมตีบัญชี การส่งมัลแวร์ หรือการละเมิดการเข้าถึงระยะไกล

ข้อมูลยืนยันตัวตนที่คาดเดาง่ายหรือใช้ซ้ำเป็นอีกหนึ่งปัญหาหลัก ธุรกิจขนาดเล็กมักมีการแชร์การเข้าสู่ระบบ การใช้รหัสผ่านซ้ำในหลายบริการ หรือบัญชีเก่าที่ยังคงใช้งานอยู่หลังจากที่มีการเปลี่ยนบทบาทหรือลาออกไป เมื่อผู้โจมตีได้รับข้อมูลการเข้าสู่ระบบที่ใช้งานได้เพียงครั้งเดียว ก็ไม่จำเป็นต้องแฮกเข้าสู่บัญชีอีกต่อไป แต่สามารถเข้าสู่ระบบได้ทันที

จากจุดนั้น บัญชีผู้ดูแลระบบที่ได้รับการปกป้องไม่ดี คอนโซลคลาวด์ที่ไม่มีการป้องกัน หรือจุดเข้าถึงระยะไกลที่ไม่มี การยืนยันตัวตนผ่านสองขั้นตอน (2FA) อาจกลายเป็นสะพานเชื่อมไปสู่เหตุการณ์แรนซัมแวร์ในวงกว้าง ในความเป็นจริง องค์กรจำเป็นต้องปรับใช้ 2FA สิทธิ์การเข้าถึงขั้นต่ำ และการตรวจสอบสิทธิ์อย่างสม่ำเสมอ เพื่อลดความง่ายในการนำข้อมูลยืนยันตัวตนที่ถูกขโมยกลับมาใช้ซ้ำ และลดการแพร่กระจายของมัลแวร์

ซอฟต์แวร์ที่ไม่ได้ติดตั้งแพตช์เป็นจุดเข้าใช้งานที่เกิดขึ้นซ้ำๆ อีกจุดหนึ่ง NCSC ตั้งข้อสังเกตว่าแรนซัมแวร์ถูกปรับใช้เพิ่มมากขึ้นผ่านบริการที่ไม่มีการป้องกัน เช่น RDP หรืออุปกรณ์เข้าถึงระยะไกลที่ไม่ได้ติดตั้งแพตช์ และแนะนำให้ติดตั้งแพตช์สำหรับช่องโหว่ในการเข้าถึงระยะไกลและระบบที่เชื่อมต่อกับอินเทอร์เน็ตทันทีที่พร้อมใช้งาน สำหรับ SMB นี่คือจุดที่เหตุการณ์ที่มองข้ามไปกลายเป็นช่องทางสำหรับการโจมตีอย่างเงียบๆ

วิธีป้องกันแรนซัมแวร์: แนวทางแบบเป็นลำดับขั้น

ไม่มีระบบควบคุมใดเพียงระบบเดียวที่สามารถป้องกันแรนซัมแวร์ได้ แนวทางที่มีประสิทธิภาพสูงสุดคือการดำเนินการแบบเป็นลำดับขั้นและนำไปใช้ได้จริง

เริ่มต้นด้วยการจัดการข้อมูลระบุตัวตน

ข้อมูลในบัญชีของสมาชิกในทีมจำเป็นต้องได้รับการปกป้องอย่างถี่ถ้วนเพื่อป้องกันการโจมตีด้วยแรนซัมแวร์ ควรกำหนดให้ใช้การยืนยันตัวตนผ่านสองขั้นตอนในบัญชีที่มีความสำคัญต่อธุรกิจหากทำได้ โดยเฉพาะอีเมล เครื่องมือผู้ดูแลระบบ พื้นที่จัดเก็บคลาวด์ แพลตฟอร์มการเงิน จุดเข้าถึงระยะไกล และระบบใดๆ ที่จัดเก็บข้อมูลส่วนบุคคลของลูกค้าหรือ ข้อมูลที่ระบุตัวบุคคลได้ (PII) ที่ละเอียดอ่อนอื่นๆ

ปรับปรุงสุขอนามัยของรหัสผ่าน

ผู้โจมตีไม่ได้แฮกเข้าสู่บัญชีเสมอไป บ่อยครั้งที่เข้าสู่ระบบด้วยข้อมูลยืนยันตัวตนที่ถูกขโมยหรือใช้ซ้ำ บัญชีธุรกิจทุกบัญชีต้องมีรหัสผ่านที่ไม่ซ้ำกันและรัดกุม และควรเปลี่ยนการแชร์สิทธิ์เข้าถึงเป็นการแชร์ข้อมูลยืนยันตัวตนที่ปลอดภัยและได้รับการจัดการผ่านโปรแกรมจัดการรหัสผ่านสำหรับธุรกิจ แทนการใช้ตารางคำนวณ แชท หรืออีเมล

รายงาน SMB ของ Proton เองเน้นย้ำว่า แม้แต่ธุรกิจที่มีเครื่องมือใช้งานอยู่แล้วก็ยังมักจะกลับไปใช้พฤติกรรมการแชร์รหัสผ่านที่ไม่ปลอดภัย นี่คือจุดที่ โปรแกรมจัดการรหัสผ่านสำหรับธุรกิจ ที่ปลอดภัยอย่าง Proton Pass for Business สามารถลดความเสี่ยงได้ โดยช่วยให้ทีมสร้างข้อมูลยืนยันตัวตนที่รัดกุมและไม่ซ้ำกัน จัดเก็บอย่างปลอดภัย และแชร์การเข้าถึงในรูปแบบที่ควบคุมได้และปลอดภัย

การจัดการแพตช์ต้องมีวินัย

ควรถือว่าการอัปเดตความปลอดภัยสำหรับระบบปฏิบัติการ แอป VPN เครื่องมือเข้าถึงระยะไกล และอุปกรณ์ปลายทางเป็นสิ่งจำเป็นในการดำเนินงาน ไม่ใช่การบำรุงรักษาที่เป็นทางเลือก ควรติดตั้งการอัปเดตความปลอดภัยโดยเร็วที่สุดและเปิดใช้งานการอัปเดตอัตโนมัติหากทำได้

การปกป้องอีเมลและเว็บที่รัดกุม

การกรองอีเมล การควบคุมไฟล์แนบ การบล็อกไซต์อันตรายที่รู้จัก และการป้องกันการท่องเว็บอย่างปลอดภัย ล้วนช่วยลดโอกาสที่แรนซัมแวร์จะถูกส่งมาตั้งแต่แรก เนื่องจากฟิชชิ่งเป็นเรื่องปกติทั่วไป การควบคุมเหล่านี้จึงมีความสำคัญอย่างยิ่ง

จัดการข้อผิดพลาดจากมนุษย์

แม้ว่าจะมีการใช้มาตรการความปลอดภัยและ นโยบายรหัสผ่าน แล้วก็ตาม แต่การฝึกอบรมเพื่อสร้างความตระหนักรู้ด้านความปลอดภัยก็ยังคงจำเป็น การฝึกอบรมช่วยให้พนักงานสังเกตเห็นอีเมลที่น่าสงสัยและความพยายามในการวิศวกรรมสังคมได้ แต่ผู้คนก็ยังคงมีโอกาสเกิดข้อผิดพลาดได้อยู่ดี

เครื่องมือหรือคุณสมบัติและการควบคุมการเข้าถึงที่รัดกุมยิ่งขึ้นควรตระหนักถึงข้อเท็จจริงดังกล่าว NCSC แนะนำอย่างชัดเจนให้มีการฝึกอบรมเพื่อสร้างความตระหนักรู้ แต่งานวิจัยของ Proton ก็ชี้ให้เห็นว่าการฝึกอบรมเพียงอย่างเดียวไม่สามารถตรวจจับความผิดพลาดได้ทั้งหมด การออกแบบความปลอดภัยที่ดีจะช่วยลดความเสียหายเมื่อมีการคลิกเกิดขึ้น โดยทำให้ข้อผิดพลาดเพียงครั้งเดียวมีโอกาสน้อยลงที่จะกลายเป็นเหตุการณ์ความเสียหายขนาดเต็มรูปแบบ ไม่ว่าจะผ่านทาง 2FA การเข้าถึงแบบกำหนดสิทธิ์ขั้นต่ำ การป้องกันอีเมลที่รัดกุมขึ้น การเข้าถึงที่แบ่งเป็นสัดส่วน หรือการสำรองข้อมูลที่ผ่านการทดสอบซึ่งช่วยสนับสนุนการกู้คืน

ปกป้องการกู้คืนก่อนที่จะจำเป็นต้องใช้

การสำรองข้อมูลต้องสม่ำเสมอ แยกส่วน และได้รับการทดสอบ ICO แนะนำให้ใช้แนวทาง 3-2-1 ได้แก่ สามสำเนา บนอุปกรณ์ที่แตกต่างกันสองเครื่อง โดยมีหนึ่งสำเนาที่จัดเก็บไว้นอกสถานที่ NCSC ได้เพิ่มคำเตือนการดำเนินงานที่สำคัญ: แรนซัมแวร์อาจแทรกซึมเข้ามาในสภาพแวดล้อมก่อนที่จะถูกตรวจพบ ดังนั้น ควรตรวจสอบหรือสแกนข้อมูลสำรองก่อนทำการกู้คืน และระบบสำรองข้อมูลเองก็ควรได้รับการปกป้องเช่นกัน

การเชื่อมต่อข้อมูลยืนยันตัวตน: ทำไมรหัสผ่านยังคงมีความสำคัญในการป้องกันแรนซัมแวร์

เป็นเรื่องง่ายที่จะคิดว่าแรนซัมแวร์เป็นเพียงมัลแวร์และลืมไปว่ารหัสผ่านมีส่วนช่วยในการโจมตีที่ประสบความสำเร็จ แต่เหตุการณ์แรนซัมแวร์จำนวนมากเริ่มต้นด้วยการขโมย การใช้ซ้ำ หรือการละเมิดข้อมูลการเข้าสู่ระบบ

นั่นอาจหมายถึงพนักงานใช้รหัสผ่านซ้ำจากบริการอื่น บัญชีของผู้รับจ้างรายเก่าที่ยังคงใช้งานอยู่ ข้อมูลยืนยันตัวตนของผู้ดูแลระบบที่ถูกแชร์ระหว่างคนหลายคน หรือจุดเข้าถึงระยะไกลที่ไม่มีการป้องกันซึ่งปกป้องด้วยรหัสผ่านเท่านั้น ทางลัดแต่ละอย่างเหล่านั้นจะขยายช่องทางสำหรับการโจมตีให้กว้างขึ้น

นี่เป็นเหตุผลหนึ่งที่การจัดการข้อมูลยืนยันตัวตนที่รัดกุมเป็นส่วนหนึ่งของแผนการกู้คืนแรนซัมแวร์และกรอบการป้องกัน รหัสผ่านที่ไม่ซ้ำกันสำหรับแต่ละบริการจะช่วยลดขอบเขตความเสียหายของข้อมูลการเข้าสู่ระบบที่ถูกขโมยไปได้เพียงหนึ่งบัญชี MFA ช่วยให้รหัสผ่านที่ถูกขโมยไปนั้นแทบไม่มีประโยชน์หากไม่มีการยืนยันตัวตนเพิ่มเติม ในขณะที่การจัดเก็บข้อมูลยืนยันตัวตนแบบรวมศูนย์จะช่วยลบออกซึ่งความจำเป็นในการเลี่ยงใช้วิธีการที่ไม่ปลอดภัย

การแชร์ที่ปลอดภัยหมายความว่าพนักงานจะได้รับการเข้าถึงที่จำเป็นผ่านวิธีการที่ควบคุมและติดตามได้ แทนที่จะเป็นการแชร์รหัสผ่านอย่างไม่เป็นทางการ การตรวจสอบเป็นประจำว่าใครมีสิทธิ์เข้าถึงอะไรบ้างยังช่วยสนับสนุนหลักการให้สิทธิ์เข้าถึงเท่าที่จำเป็น ซึ่ง NCSC แนะนำว่าเป็นส่วนหนึ่งของการจำกัดการเคลื่อนย้ายในแนวราบและการแพร่กระจาย

มีการเขียนถึงอย่างครอบคลุมเกี่ยวกับ ภัยคุกคามจากแรนซัมแวร์ ที่ SMB ต้องเผชิญ และมักจะเห็นสิ่งเดียวกันเสมอ นั่นคือ ผู้โจมตีมองหาธุรกิจที่เจาะระบบได้ง่ายกว่ามากขึ้นเรื่อยๆ ไม่ใช่แค่ธุรกิจที่มีชื่อเสียงที่สุดเท่านั้น

สิ่งที่ต้องทำหากธุรกิจขนาดเล็กถูกโจมตี

1. ควบคุมเหตุการณ์

หากธุรกิจถูกโจมตี สิ่งสำคัญอันดับแรกคือการควบคุมเหตุการณ์ ยกเลิกการเชื่อมต่ออุปกรณ์ที่ติดไวรัสออกจากเครือข่าย ปิดใช้งานบัญชีที่ถูกโจมตีหากสามารถระบุได้ แยกเส้นทางการเข้าถึงระยะไกล เก็บรักษาหลักฐานไว้ และหลีกเลี่ยงการล้างระบบเร็วเกินไปในกรณีที่อาจต้องการฝ่ายสนับสนุนด้านนิติวิทยาศาสตร์ในภายหลัง

2. รายงานเหตุการณ์

NCSC แนะนำให้องค์กรในสหราชอาณาจักรรายงานเหตุการณ์ และให้คำแนะนำเกี่ยวกับแรนซัมแวร์เฉพาะด้านสำหรับการตอบสนองและการกู้คืน คู่มือของ Proton เกี่ยวกับ การตอบสนองต่อเหตุการณ์ ยังเป็นข้อมูลอ้างอิงที่มีประโยชน์สำหรับการจัดโครงสร้างกระบวนการตัดสินใจในวงกว้างเกี่ยวกับการควบคุม การสืบสวน การสื่อสาร และการกู้คืน

3. อย่าจ่ายค่าไถ่

NCSC และหน่วยงานบังคับใช้กฎหมายของสหราชอาณาจักรไม่สนับสนุน รับรอง หรือยินยอมให้มีการจ่ายเงินตามข้อเรียกร้องค่าไถ่ โดยระบุว่าไม่มีการรับประกันว่าจะสามารถเข้าถึงระบบได้อีกครั้ง ระบบอาจยังคงติดไวรัสอยู่ การทำเช่นนี้จะเป็นการสนับสนุนทางการเงินแก่กลุ่มอาชญากร และอาจทำให้มีแนวโน้มที่จะตกเป็นเป้าหมายอีกครั้ง

ICO แสดงความชัดเจนในทำนองเดียวกันว่าการจ่ายค่าไถ่ไม่ได้ช่วยลดความเสี่ยงต่อผู้คนและไม่ได้ปกป้องข้อมูล แม้ว่าจะมีการเสนอคีย์ถอดรหัสให้ก็ตาม แต่ก็ไม่มีการรับประกันว่าคีย์นั้นจะใช้งานได้จริง หรือข้อมูลที่ถูกขโมยไปจะไม่เกิดการรั่วไหล

4. เริ่มต้นการกู้คืน

การกู้คืนควรมุ่งเน้นไปที่การกู้คืนข้อมูลที่ปลอดภัยและเป็นไปอย่างรอบคอบ นั่นหมายถึงการสร้างระบบใหม่จากการสำรองข้อมูลที่สะอาด ตรวจสอบว่าเส้นทางการโจมตีได้รับการปิดแล้ว สลับเปลี่ยนข้อมูลยืนยันตัวตนที่ได้รับผลกระทบ เปิดใช้งานการเข้าถึงอย่างระมัดระวัง และบันทึกข้อมูลสิ่งที่เกิดขึ้น หากการสำรองข้อมูลเชื่อมต่อกับระบบจริงหรือยังไม่ได้ทำการทดสอบ บ่อยครั้งที่ธุรกิจต่างๆ จะพบกับความล้มเหลวครั้งที่สองหลังจากครั้งแรก แผนการกู้คืนแรนซัมแวร์ที่ดีควรเริ่มต้นก่อนที่จะเกิดเหตุการณ์ขึ้นด้วยซ้ำ

ภาระผูกพันในการรายงานของสหราชอาณาจักร: เมื่อใดที่ ICO อาจต้องเข้ามามีส่วนร่วม

หากเหตุการณ์แรนซัมแวร์ส่งผลกระทบต่อข้อมูลส่วนบุคคล เหตุการณ์นี้อาจเป็น การละเมิดข้อมูลส่วนบุคคลภายใต้ UK GDPR ได้ ICO อธิบายว่าการสูญเสียสิทธิ์การเข้าถึงข้อมูลส่วนบุคคลอาจถือเป็นการละเมิดข้อมูลได้ หากก่อให้เกิดความเสี่ยงต่อบุคคล และต้องแจ้งให้ ICO ทราบโดยไม่ชักช้า และหากทำได้ ภายใน 72 ชั่วโมง หากการละเมิดข้อมูลดังกล่าวมีแนวโน้มที่จะส่งผลต่อสิทธิ์และเสรีภาพของผู้คน หากความเสี่ยงสูง บุคคลที่ได้รับผลกระทบก็อาจต้องได้รับการแจ้งให้ทราบโดยไม่ชักช้าเช่นกัน

บางองค์กรยังคงทึกทักเอาเองว่า หากกู้คืนระบบได้อย่างรวดเร็วหรือไม่มีการรั่วไหลสู่สาธารณะอย่างชัดเจน การรายงานก็ไม่จำเป็น ซึ่งนั่นไม่ใช่ข้อสันนิษฐานที่ปลอดภัย คำแนะนำเกี่ยวกับแรนซัมแวร์ของ ICO ได้ระบุถึงสถานการณ์การแจ้งเตือนการละเมิดข้อมูลอย่างชัดเจน และชี้แจงอย่างชัดเจนว่าการประเมินนั้นขึ้นอยู่กับความเสี่ยงที่มีต่อบุคคล ไม่ใช่เพียงแค่ไฟล์ที่ถูกขโมยไปจะถูกเผยแพร่ทางออนไลน์แล้วหรือไม่

ปัจจุบันแรนซัมแวร์เป็นปัญหาของ SMB แล้ว

ธุรกิจขนาดเล็กกำลังตกเป็นเป้าหมายของการโจมตีด้วยแรนซัมแวร์บ่อยครั้งขึ้นเรื่อยๆ และเมื่อถูกโจมตี ผลกระทบอาจรุนแรงมากเนื่องจากผู้โจมตีจะใช้ประโยชน์จากจุดอ่อน ข้อมูลการละเมิดข้อมูลล่าสุดของ Proton ทำให้เห็นภาพที่ชัดเจนว่า ภัยคุกคามสามารถวัดผลได้ กำลังเติบโต และสร้างความหยุดชะงักให้กับการดำเนินงาน

ข่าวดีก็คือมาตรการขั้นพื้นฐานสามารถช่วยแบ่งเบาภาระของ SMB ได้อย่างมาก มาตรการต่างๆ เช่น การใช้ โปรแกรมจัดการรหัสผ่านสำหรับธุรกิจ เพื่อปรับใช้ 2FA และสร้างข้อมูลยืนยันตัวตนที่ไม่ซ้ำกัน การติดตั้งแพตช์ การกรองอีเมล ความตระหนักรู้ของพนักงาน การตรวจสอบสิทธิ์การเข้าถึง การสำรองข้อมูลที่ผ่านการทดสอบ และการวางแผนตอบสนองต่อเหตุการณ์ อาจดูไม่น่าตื่นเต้นในตัวเอง แต่เมื่อนำมารวมกันจะสร้างความแตกต่างอย่างมีนัยสำคัญ มาตรการเหล่านี้จะช่วยลดโอกาสที่รหัสผ่านที่ถูกขโมยไปเพียงรหัสเดียว อีเมลฟิชชิ่งฉบับเดียว หรือบริการระยะไกลที่ไม่มีการป้องกันจุดเดียว จะลุกลามจนกลายเป็นการหยุดทำงานของธุรกิจทั้งหมด