ปฏิบัติการ Olympus Blade: การวิเคราะห์การล้มล้าง PhaaS และการเสริมสร้างการป้องกันภัยคุกคามระลอกใหม่

จิตวิญญาณของผู้ประกอบการในโลกใต้ดินดิจิทัลยังคงแสดงออกมาในรูปแบบขององค์กรอาชญากรรมที่ซับซ้อนและปรับขนาดได้ การล้มล้างชุด Phishing-as-a-Service (PhaaS) ที่แพร่หลายเมื่อเร็วๆ นี้ โดยปฏิบัติการร่วมของหน่วยงานบังคับใช้กฎหมาย ภายใต้ร่มเงาของโครงการริเริ่มต่อสู้กับอาชญากรรมไซเบอร์ เป็นเครื่องเตือนใจที่ชัดเจนถึงภัยคุกคามที่คงอยู่ยาวนานนี้ เหตุการณ์นี้ตอกย้ำถึงความจำเป็นเร่งด่วนสำหรับ CISOs และวิศวกรความปลอดภัยในการทำความเข้าใจวิธีการดำเนินงานของบริการเหล่านี้ และการนำการป้องกันเชิงรุกที่ยืดหยุ่นมาใช้

เกิดอะไรขึ้น

หน่วยงานบังคับใช้กฎหมายระหว่างประเทศได้ดำเนินการโจมตีแบบประสานงานกับแพลตฟอร์ม PhaaS ที่ให้บริการฟิชชิ่งที่ซับซ้อนแก่บุคคลจำนวนมาก การดำเนินการนี้ประสบความสำเร็จในการปิดเซิร์ฟเวอร์จำนวนมากและยึดโดเมนที่เป็นส่วนสำคัญของบริการฟิชชิ่งดังกล่าว บริการนี้มีรายงานว่าให้บริการผ่านรูปแบบการสมัครสมาชิก ทำให้เครื่องมือฟิชชิ่งขั้นสูงสามารถเข้าถึงได้โดยบุคคลหลากหลายกลุ่ม

ชุด PhaaS อีกชุดหนึ่ง ซึ่งเน้นเฉพาะการฟิชชิ่งทาง SMS (smishing) ก็ตกเป็นเป้าหมายในการดำเนินการบังคับใช้กฎหมายที่เกี่ยวข้องด้วยเช่นกัน ความพยายามที่ประสานงานกันเหล่านี้โดยหน่วยงานต่างๆ มีเป้าหมายเพื่อทำลายโครงสร้างพื้นฐานและเครือข่ายทางการเงินที่สนับสนุนอาชญากรรมไซเบอร์ โครงการริเริ่มการบังคับใช้กฎหมายโดยเฉพาะมุ่งเป้าไปที่ผู้กระทำความผิดทางอาญาและโครงสร้างพื้นฐานเบื้องหลังอาชญากรรมไซเบอร์ อาชญากรรมที่ใช้ไซเบอร์เป็นเครื่องมือ และการฉ้อโกง โดยตอบสนองต่อความเสียหายจำนวนมากที่รายงานในปีที่ผ่านมา

เหตุใดรูปแบบนี้จึงเกิดขึ้นซ้ำๆ

การแพร่กระจายของชุด PhaaS เป็นผลโดยตรงจากการเปลี่ยนอาชญากรรมไซเบอร์ให้เป็นสินค้า บริการเหล่านี้ลดอุปสรรคในการเข้าสู่ตลาดสำหรับผู้โจมตีที่ต้องการ โดยจัดหาโครงสร้างพื้นฐานที่พร้อมใช้งาน เทมเพลต และมักจะมีการสนับสนุนทางเทคนิค รูปแบบทางเศรษฐกิจนั้นน่าสนใจสำหรับอาชญากร: ค่าธรรมเนียมที่ค่อนข้างต่ำช่วยให้เข้าถึงเครื่องมือที่สามารถสร้างผลกำไรที่ผิดกฎหมายจำนวนมากผ่านการขโมยข้อมูลประจำตัว การฉ้อโกงทางการเงิน และการรั่วไหลของข้อมูล

รูปแบบนี้ยังคงอยู่เพราะเวกเตอร์การโจมตีพื้นฐาน—ความอ่อนไหวของมนุษย์และการกำหนดค่าระบบผิดพลาด—ยังคงมีอยู่ทั่วไป แม้ว่าเทคโนโลยีจะพัฒนาไป แต่ปัจจัยมนุษย์ในการฟิชชิ่งยังคงเป็นเป้าหมายหลัก อาชญากรไซเบอร์มักจะมองหาช่องโหว่ออนไลน์อยู่เสมอ โดยไม่คำนึงถึงขนาดขององค์กรเป้าหมาย งบประมาณด้านความปลอดภัยทางไซเบอร์ หรือภาคส่วน

การเข้าถึงและความสามารถในการจ่ายของชุด PhaaS เปลี่ยนการโจมตีทางไซเบอร์ที่ซับซ้อนให้เป็นบริการ ทำให้การก่ออาชญากรรมไซเบอร์เป็นประชาธิปไตยสำหรับฐานอาชญากรที่กว้างขึ้นและมีความเชี่ยวชาญทางเทคนิคน้อยกว่า

แผนการเล่นของผู้โจมตีทีละขั้นตอน

แพลตฟอร์ม Phishing-as-a-Service ทำให้กระบวนการโจมตีทั้งหมดง่ายขึ้น โดยเสนอเส้นทางที่แนะนำให้แก่อาชญากรเพื่อการแสวงหาประโยชน์

1. การสมัครสมาชิกและการตั้งค่า

ผู้โจมตีสมัครสมาชิกชุด PhaaS โดยมีค่าธรรมเนียม สิ่งนี้ทำให้พวกเขาสามารถเข้าถึงแดชบอร์ดและทรัพยากรของแพลตฟอร์มได้ บริการนี้น่าจะรวมถึงเทมเพลตฟิชชิ่งต่างๆ ซึ่งมักจะเลียนแบบแบรนด์และบริการที่ถูกต้องตามกฎหมาย

2. การกำหนดค่าแคมเปญ

สมาชิกกำหนดค่าแคมเปญฟิชชิ่งของตน โดยเลือกกลุ่มเป้าหมาย ประดิษฐ์เหยื่อล่อที่น่าเชื่อถือ และปรับแต่งหน้าล็อกอินปลอมหรือแบบฟอร์มการป้อนข้อมูล ในกรณีของบริการที่เน้นการสมิชชิ่ง สิ่งนี้จะเกี่ยวข้องกับการตั้งค่าแคมเปญที่ปรับให้เหมาะกับผู้ใช้มือถือ

3. การกระจายและการดำเนินการ

แพลตฟอร์ม PhaaS มักจะมีกลไกสำหรับการกระจายข้อความฟิชชิ่ง ไม่ว่าจะผ่านอีเมล SMS หรือแพลตฟอร์มการส่งข้อความอื่นๆ บริการนี้จะจัดการการโฮสต์หน้าฟิชชิ่งและการรวบรวมข้อมูลประจำตัวที่ถูกขโมยหรือข้อมูลที่ละเอียดอ่อน

4. การรวบรวมข้อมูลและการแสวงหาประโยชน์

เมื่อเหยื่อโต้ตอบกับเหยื่อล่อฟิชชิ่ง ข้อมูลประจำตัวหรือข้อมูลของพวกเขาจะถูกเก็บเกี่ยวโดยโครงสร้างพื้นฐานของ PhaaS จากนั้นบริการจะนำเสนอข้อมูลที่ถูกขโมยนี้แก่สมาชิก ซึ่งสามารถนำไปใช้เพื่อการแสวงหาประโยชน์เพิ่มเติม เช่น การเข้าถึงเครือข่ายองค์กร บัญชีการเงิน หรือการขโมยข้อมูลประจำตัวโดยไม่ได้รับอนุญาต

สิ่งที่ผู้ป้องกันพลาดไป

ประสิทธิภาพของแคมเปญ PhaaS มักจะขึ้นอยู่กับปัจจัยหลายอย่างที่ผู้ป้องกันพยายามแก้ไขอย่างเต็มที่ ปัญหาสำคัญประการหนึ่งคือขนาดและความซับซ้อนของการโจมตีที่เกิดจากบริการเหล่านี้ ปริมาณการพยายามฟิชชิ่งที่อาจเกิดขึ้นได้นั้นสามารถทำให้กลไกการตรวจจับแบบดั้งเดิมล้นเกินได้

องค์กรจำนวนมากยังคงพึ่งพาข้อมูลภัยคุกคามเชิงรับและการตรวจจับแบบลายเซ็น ซึ่งต่อสู้กับแคมเปญฟิชชิ่งที่พัฒนาอย่างรวดเร็ว การมุ่งเน้นไปที่การป้องกันแนวเขตมักจะมองข้ามภัยคุกคามภายในที่เกิดจากข้อมูลประจำตัวที่ถูกบุกรุก นอกจากนี้ กระบวนการยืนยันตัวตนที่ไม่สอดคล้องกันสามารถเป็นทางเลือกที่ถูกกว่าในการเช่าชุด PhaaS สำหรับผู้กระทำความผิดบางราย ซึ่งบ่งชี้ถึงปัญหาเชิงระบบที่กว้างขึ้นที่ทำให้กิจกรรมที่ผิดกฎหมายเป็นไปได้

ผู้สังเกตการณ์คนหนึ่งได้เน้นย้ำถึงประเด็นสำคัญที่มักถูกมองข้ามไป นั่นคือการพึ่งพาผู้ใช้ให้เป็นแนวป้องกันสุดท้ายอย่างต่อเนื่อง ความเห็นที่ว่า “ทำได้ดีมาก แต่ความล้มเหลวในการทำงานอัตโนมัติที่แท้จริงคือเรายังคงสอนให้ผู้คนเชื่อถือกล่องจดหมายของพวกเขา แล้วอะไรคือวิธีแก้ปัญหาที่น่าเบื่อสำหรับเรื่องนั้น?” สรุปความเปราะบางโดยธรรมชาติในรูปแบบความปลอดภัยที่เน้นมนุษย์เป็นศูนย์กลางได้อย่างชัดเจน

รายการตรวจสอบการป้องกันเชิงปฏิบัติ

การสร้างการป้องกันที่แข็งแกร่งต่อการโจมตีที่ขับเคลื่อนด้วย PhaaS ต้องใช้วิธีการหลายชั้นที่จัดการทั้งช่องโหว่ทางเทคนิคและช่องโหว่ของมนุษย์

• ใช้การกรองอีเมลและ SMS ขั้นสูง: ปรับใช้โซลูชันที่ขับเคลื่อนด้วย AI/ML ที่วิเคราะห์เนื้อหาข้อความ ชื่อเสียงของผู้ส่ง และรูปแบบ URL เพื่อตรวจจับการพยายามฟิชชิ่งและสมิชชิ่งที่ซับซ้อนก่อนที่จะถึงผู้ใช้ปลายทาง
• บังคับใช้การตรวจสอบสิทธิ์แบบหลายปัจจัย (MFA): บังคับใช้ MFA ทั่วทั้งระบบและแอปพลิเคชันที่สำคัญทั้งหมด แม้ว่าข้อมูลประจำตัวจะถูกขโมย MFA ก็ยังทำหน้าที่เป็นอุปสรรคสำคัญในการเข้าถึงโดยไม่ได้รับอนุญาต
• การฝึกอบรมสร้างความตระหนักด้านความปลอดภัยเป็นประจำพร้อมการจำลองฟิชชิ่ง: จัดการฝึกอบรมที่มุ่งเน้นเป็นประจำซึ่งให้ความรู้แก่พนักงานในการระบุกลยุทธ์ฟิชชิ่ง รวมถึงสมิชชิ่ง และรวมการจำลองฟิชชิ่งที่สมจริงเพื่อทดสอบความระมัดระวังของพวกเขา
• ปรับใช้ Browser Isolation & Web Content Filtering: แยกเนื้อหาเว็บที่อาจเป็นอันตรายและบล็อกการเข้าถึงเว็บไซต์ฟิชชิ่งที่รู้จัก สิ่งนี้ช่วยป้องกันผู้ใช้จากการโต้ตอบกับหน้าเว็บที่ถูกบุกรุกแม้ว่าพวกเขาจะคลิกลิงก์ที่เป็นอันตราย
• การรวมข้อมูลภัยคุกคามอย่างต่อเนื่อง: สมัครรับและรวมฟีดข้อมูลภัยคุกคามอย่างแข็งขัน โดยเฉพาะอย่างยิ่งที่เน้นชุด PhaaS ที่เกิดขึ้นใหม่ โดเมนฟิชชิ่งที่รู้จัก และวิธีการของผู้โจมตี
• ตรวจสอบการปลอมแปลงแบรนด์: ตรวจสอบอินเทอร์เน็ตเชิงรุกสำหรับกรณีที่แบรนด์ขององค์กรของคุณถูกปลอมแปลงในแคมเปญฟิชชิ่ง ใช้บริการป้องกันความเสี่ยงดิจิทัลเพื่อตรวจจับและลบเว็บไซต์ที่เป็นการฉ้อโกง
• ใช้หลักการ Zero Trust: สมมติว่ามีการละเมิดและตรวจสอบคำขอเข้าถึงทุกครั้ง โดยไม่คำนึงว่าจะมาจากภายในหรือภายนอกเครือข่าย สิ่งนี้ช่วยลดผลกระทบของข้อมูลประจำตัวที่ถูกบุกรุก

การทดสอบเชิงรุกสมัยใหม่จะจับสิ่งนี้ได้อย่างไร

การทดสอบการเจาะระบบแบบดั้งเดิมมักจะให้ภาพรวมในช่วงเวลาหนึ่ง แต่ลักษณะการเปลี่ยนแปลงของ PhaaS ต้องการวิธีการที่ต่อเนื่องและปรับเปลี่ยนได้มากขึ้น การทดสอบเชิงรุกสมัยใหม่ โดยเฉพาะอย่างยิ่งด้วยความสามารถอัตโนมัติและ Proof-of-Concepts (PoCs) ที่สามารถดำเนินการได้ จะช่วยเพิ่มประสิทธิภาพการป้องกันขององค์กรต่อภัยคุกคามจากบริการดังกล่าวได้อย่างมาก

แพลตฟอร์มของเราใช้ข้อมูลภัยคุกคามเพื่อทำการทดสอบเชิงรุกโดยอัตโนมัติ ซึ่งเกี่ยวข้องกับการจำลองแคมเปญฟิชชิ่งและสมิชชิ่งในโลกจริง คล้ายกับที่จัดทำโดยชุด PhaaS ด้วยการสร้าง PoCs ที่สามารถดำเนินการได้ แพลตฟอร์มของเราสามารถแสดงให้เห็นได้อย่างแม่นยำว่าเวกเตอร์ฟิชชิ่งเฉพาะจะประนีประนอมองค์กรได้อย่างไร โดยเน้นช่องโหว่ที่แน่นอน—ไม่ว่าจะเป็นความอ่อนไหวของมนุษย์ การข้ามตัวกรองอีเมล หรือการกำหนดค่าเครือข่ายที่ไม่ถูกต้อง

การทดสอบอัตโนมัติอย่างต่อเนื่องนี้ให้ข้อเสนอแนะทันทีเกี่ยวกับประสิทธิภาพของการควบคุมที่มีอยู่ และระบุช่องว่างก่อนที่ผู้ไม่หวังดีจะสามารถใช้ประโยชน์จากมันได้ มันก้าวข้ามช่องโหว่ทางทฤษฎีไปสู่ความเสี่ยงที่ใช้งานได้จริงและสามารถแสดงให้เห็นได้ ทำให้ CISOs และวิศวกรความปลอดภัยสามารถจัดลำดับความสำคัญของความพยายามในการแก้ไขตามความสามารถในการใช้ประโยชน์จริง

สิ่งที่ต้องจับตาดูต่อไป

การล้มล้างปฏิบัติการ PhaaS เหล่านี้เป็นชัยชนะที่สำคัญ แต่ความต้องการเครื่องมืออาชญากรรมไซเบอร์ที่เข้าถึงได้ยังคงมีอยู่ เราสามารถคาดการณ์การเกิดขึ้นของชุด PhaaS ใหม่ ซึ่งอาจรวมเทคนิคการหลบหลีกขั้นสูงมากขึ้น หรือกำหนดเป้าหมายแพลตฟอร์มเฉพาะกลุ่ม แนวโน้มไปสู่ PhaaS เฉพาะทาง เช่น บริการที่เน้นสมิชชิ่ง ชี้ให้เห็นว่าบริการในอนาคตอาจมุ่งเน้นไปที่เวกเตอร์การโจมตีหรืออุตสาหกรรมเฉพาะ

นอกจากนี้ วิวัฒนาการของ AI และเทคโนโลยี deepfake อาจนำไปสู่การโจมตีแบบฟิชชิ่งที่น่าเชื่อถือและเป็นส่วนตัวมากขึ้น ทำให้การตรวจจับทำได้ยากยิ่งขึ้น องค์กรต่างๆ ต้องยังคงระมัดระวัง ปรับปรุงแบบจำลองภัยคุกคามอย่างต่อเนื่อง และลงทุนในโซลูชันความปลอดภัยที่ปรับเปลี่ยนได้ซึ่งสามารถรับมือกับภัยคุกคามที่พัฒนาอย่างต่อเนื่องเหล่านี้ได้ “วิธีแก้ปัญหาที่น่าเบื่อ” ของการไม่สอนให้ผู้คนเชื่อถือกล่องจดหมายของพวกเขา ดังที่ความเห็นหนึ่งแนะนำ น่าจะเกี่ยวข้องกับการควบคุมทางเทคนิคที่ซับซ้อนมากขึ้นซึ่งช่วยลดภาระการตรวจจับจากผู้ใช้ปลายทาง ควบคู่ไปกับการทดสอบเชิงรุกขั้นสูงเพื่อตรวจสอบประสิทธิภาพของพวกเขา