การทำลาย Phishing-as-a-Service: คู่มือ CISO สำหรับภัยคุกคามที่กำลังพัฒนา

ภูมิทัศน์ความปลอดภัยทางไซเบอร์มีการเปลี่ยนแปลงอยู่ตลอดเวลา โดยผู้คุกคามปรับปรุงวิธีการของตนอย่างต่อเนื่อง รูปแบบที่เกิดขึ้นซ้ำๆ คือการที่หน่วยงานบังคับใช้กฎหมายทำลายชุดเครื่องมือ Phishing-as-a-Service (PaaS) ซึ่งเป็นการพัฒนาที่ในขณะที่ดูเหมือนเป็นบวก แต่ก็มักจะปกปิดความท้าทายที่ยั่งยืนที่ผู้ป้องกันต้องเผชิญ การทำลายเหล่านี้เน้นย้ำถึงภัยคุกคามที่ยังคงอยู่ของการฟิชชิ่ง ซึ่งเป็นเทคนิคที่ยังคงเป็นข้อกังวลหลักสำหรับองค์กรทุกขนาด

เกิดอะไรขึ้น

การดำเนินการล่าสุดโดยหน่วยงานบังคับใช้กฎหมายและบริษัทรักษาความปลอดภัยทางไซเบอร์ได้มุ่งเป้าไปที่โครงสร้างพื้นฐานที่สนับสนุนปฏิบัติการฟิชชิ่งที่ซับซ้อน ซึ่งรวมถึงความพยายามของหน่วยงานต่างๆ ในการขัดขวางโครงสร้างพื้นฐานอาชญากรรมไซเบอร์ การขัดขวางเหล่านี้มีเป้าหมายเพื่อทำลายระบบพื้นฐานที่ช่วยให้ผู้คุกคามสามารถเปิดการโจมตีในวงกว้างได้

ปฏิบัติการเหล่านี้มักเกี่ยวข้องกับการทำลายองค์ประกอบอาชญากรรมไซเบอร์หลายอย่างที่พึ่งพาโครงสร้างพื้นฐานร่วมกัน เป้าหมายคือการขยายขอบเขตการขัดขวางโดยการกำหนดเป้าหมายไปที่บริการพื้นฐานที่อาชญากรใช้ ความพยายามดังกล่าวมีความสำคัญในการต่อสู้กับการค้าที่ผิดกฎหมายที่อำนวยความสะดวกโดยองค์กรอาชญากรรมไซเบอร์เหล่านี้

ทำไมรูปแบบนี้ถึงเกิดขึ้นซ้ำๆ

แม้ว่าหน่วยงานบังคับใช้กฎหมายจะประสบความสำเร็จ แต่รูปแบบของการที่ชุด PaaS เกิดขึ้น ถูกทำลาย และมีชุดใหม่ปรากฏขึ้นซ้ำๆ ยังคงอยู่เนื่องจากลักษณะที่เป็นธุรกิจของอาชญากรรมไซเบอร์ ผู้คุกคามมองว่าการดำเนินการของตนเป็นธุรกิจ ซึ่งปรับตัวและสร้างสรรค์สิ่งใหม่ๆ อย่างต่อเนื่อง การเข้าถึงทั่วโลกของการดำเนินการเหล่านี้ทำให้การกำจัดอย่างครอบคลุมเป็นเรื่องยาก

การฟิชชิ่งยังคงมีประสิทธิภาพเพราะมันใช้ประโยชน์จากช่องโหว่ของมนุษย์ บ่อยครั้งโดยไม่คำนึงถึงขนาดขององค์กรหรืองบประมาณด้านความปลอดภัยทางไซเบอร์ อาชญากรไซเบอร์เป็นพวกฉวยโอกาส แสวงหาจุดอ่อนออนไลน์ใดๆ ความง่ายในการเข้าถึงเครื่องมือที่ซับซ้อนผ่านโมเดล PaaS ทำให้การเข้าสู่อาชญากรรมไซเบอร์ง่ายขึ้น ซึ่งทำให้วงจรนี้ดำเนินต่อไป

แผนการโจมตีทีละขั้นตอน

ผู้โจมตีที่ใช้ชุด PaaS มักจะปฏิบัติตามแผนที่กำหนดไว้อย่างดี ขั้นแรก พวกเขาจะจัดหาหรือพัฒนาชุดฟิชชิ่ง ซึ่งมีเทมเพลตและโครงสร้างพื้นฐานสำหรับการเปิดตัวแคมเปญ ชุดเหล่านี้มักจะเลียนแบบบริการที่ถูกต้องตามกฎหมาย ดังที่ผู้เชี่ยวชาญด้านความปลอดภัยได้กล่าวไว้

ถัดไป พวกเขาจะแจกจ่ายอีเมลฟิชชิ่งหรือข้อความ SMS (smishing) ที่ออกแบบมาเพื่อล่อลวงเหยื่อ ข้อความเหล่านี้มักจะมีลิงก์ที่เป็นอันตราย เมื่อคลิก เหยื่อจะถูกนำไปยังหน้าเก็บข้อมูลประจำตัว ซึ่งดูเหมือนเป็นของจริงแต่ถูกควบคุมโดยผู้โจมตี

สุดท้าย ข้อมูลประจำตัวที่ถูกเก็บเกี่ยวจะถูกนำไปใช้สำหรับการเข้าถึงโดยไม่ได้รับอนุญาต การขโมยข้อมูล หรือการโจมตีเพิ่มเติม ชุดเครื่องมือขั้นสูงบางชุดอาจใช้เทคนิคเพื่อซ่อนการดำเนินการของตน เช่น การแสดงหน้าข้อผิดพลาดต่อผู้เชี่ยวชาญด้านความปลอดภัยที่ถูกต้องตามกฎหมาย ในขณะที่ให้บริการเนื้อหาที่เป็นอันตรายแก่เหยื่อ

สิ่งที่ผู้ป้องกันพลาดไป

แง่มุมที่สำคัญอย่างหนึ่งที่ผู้ป้องกันมักจะพลาดไปคือความแตกต่างของ 'การทำลาย' การทำลายที่รายงานไม่ได้หมายความว่าไซต์ฟิชชิ่งนั้นออฟไลน์อย่างแท้จริง ผู้ขายอาจรายงานว่าไซต์ถูกลบแล้ว แต่ก็ยังสามารถให้บริการหน้าเก็บข้อมูลประจำตัวผ่านเครือข่ายหรืออุปกรณ์ต่างๆ ได้

เหตุผลที่ไซต์ยัง 'ใช้งานอยู่' หลังจากการทำลาย ได้แก่ การพึ่งพาเนื้อหาที่แคชไว้ การเปลี่ยนเส้นทางไปยังโครงสร้างพื้นฐานใหม่ หรือความพยายามในการแก้ไขที่ไม่สมบูรณ์ ทีมรักษาความปลอดภัยได้พบสถานการณ์ที่ไซต์ที่ถูกระบุว่าแก้ไขแล้วยังคงโหลดได้ตามปกติ ทำให้เกิดความรู้สึกปลอดภัยที่ผิดพลาด ช่องว่างระหว่างการรายงานและความเป็นจริงนี้อาจทำให้องค์กรเสี่ยงเป็นเวลาหลายสัปดาห์

ประสิทธิภาพที่แท้จริงของการดำเนินการทำลายไม่ได้อยู่ที่รายงานเริ่มต้น แต่อยู่ที่ความไม่สามารถในการทำงานของโครงสร้างพื้นฐานที่เป็นอันตรายอย่างต่อเนื่อง

รายการตรวจสอบการป้องกันเชิงปฏิบัติ

เพื่อรับมือกับภัยคุกคามที่พัฒนาขึ้นของ PaaS และการฟิชชิ่งที่ซับซ้อนอย่างมีประสิทธิภาพ CISO และวิศวกรความปลอดภัยควรใช้กลยุทธ์การป้องกันแบบหลายชั้น:

• ตรวจสอบการทำลายทั้งหมด: อย่าพึ่งพารายงานของผู้ขายเพียงอย่างเดียว แต่ให้ตรวจสอบด้วยตนเองว่าไซต์ฟิชชิ่งที่กำหนดเป้าหมายองค์กรของคุณออฟไลน์จริงจากเครือข่ายและอุปกรณ์ต่างๆ
• ใช้การกรองอีเมลและเว็บที่มีประสิทธิภาพ: ใช้โซลูชันขั้นสูงที่สามารถตรวจจับและบล็อกการพยายามฟิชชิ่งที่ซับซ้อน รวมถึงการใช้เทคนิคการหลีกเลี่ยง
• ดำเนินการฝึกอบรมสร้างความตระหนักด้านความปลอดภัยอย่างต่อเนื่อง: ให้ความรู้แก่พนักงานอย่างสม่ำเสมอเกี่ยวกับการระบุการพยายามฟิชชิ่ง กลยุทธ์วิศวกรรมสังคม และความสำคัญของการรายงานกิจกรรมที่น่าสงสัย
• ปรับใช้การยืนยันตัวตนแบบหลายปัจจัย (MFA): บังคับใช้ MFA ทั่วทั้งระบบและบัญชีที่สำคัญทั้งหมด โดยเฉพาะอย่างยิ่งสำหรับบริการคลาวด์ เพื่อลดผลกระทบของข้อมูลประจำตัวที่ถูกบุกรุก
• ตรวจสอบการแอบอ้างแบรนด์: สแกนอินเทอร์เน็ตอย่างต่อเนื่องเพื่อหาการใช้แบรนด์ของคุณโดยไม่ได้รับอนุญาตในแคมเปญฟิชชิ่ง และเริ่มการร้องขอการทำลายอย่างรวดเร็ว
• ใช้ประโยชน์จากข้อมูลข่าวกรองภัยคุกคาม: ผสานรวมฟีดข้อมูลข่าวกรองภัยคุกคามเพื่อรับทราบข้อมูลล่าสุดเกี่ยวกับชุดฟิชชิ่งที่เกิดขึ้นใหม่ วิธีการของผู้โจมตี และตัวบ่งชี้การบุกรุก
• ตรวจสอบและแพตช์ระบบอย่างสม่ำเสมอ: ตรวจสอบให้แน่ใจว่าระบบ แอปพลิเคชัน และอุปกรณ์เครือข่ายทั้งหมดได้รับการแพตช์และกำหนดค่าอย่างปลอดภัยอย่างสม่ำเสมอ เพื่อลดโอกาสในการถูกโจมตี

การทดสอบเชิงรุกสมัยใหม่จะจับสิ่งนี้ได้อย่างไร

มาตรการป้องกันแบบดั้งเดิม แม้จะจำเป็น แต่ก็มักจะตอบสนองต่อภัยคุกคามที่รู้จัก การทดสอบเชิงรุกแบบอัตโนมัติสมัยใหม่ โดยเฉพาะอย่างยิ่งกับการ Proof-of-Concepts (PoCs) ที่สามารถรันได้ จะเปลี่ยนกระบวนทัศน์ แพลตฟอร์มของเรา ด้วยข้อมูลข่าวกรองภัยคุกคามขั้นสูงและความสามารถในการทดสอบเชิงรุกแบบอัตโนมัติ จำลองการโจมตีฟิชชิ่งในโลกแห่งความเป็นจริง รวมถึงการใช้ชุด PaaS ทั่วไป แนวทางเชิงรุกนี้ระบุช่องโหว่ก่อนที่ผู้โจมตีจะสามารถใช้ประโยชน์ได้

ด้วยการดำเนินการ PoCs แพลตฟอร์มสามารถตรวจจับจุดอ่อนที่ละเอียดอ่อนในตัวกรองอีเมล ความอ่อนไหวของพนักงาน และประสิทธิภาพของขั้นตอนการตอบสนองต่อเหตุการณ์ต่อแคมเปญฟิชชิ่งที่ซับซ้อน ซึ่งช่วยให้องค์กรสามารถระบุและแก้ไขช่องว่างในการป้องกันที่ชุด PaaS ที่ใช้งานจริงสามารถใช้ประโยชน์ได้ ก่อนที่จะเกิดการโจมตีจริง มันให้ข้อมูลเชิงลึกที่เป็นรูปธรรมและนำไปปฏิบัติได้เกี่ยวกับความยืดหยุ่นที่แท้จริงขององค์กรต่อภัยคุกคามที่แพร่หลายเหล่านี้

สิ่งที่ต้องจับตาดูต่อไป

ระบบนิเวศอาชญากรรมไซเบอร์จะยังคงพัฒนาต่อไป โดยผู้คุกคามนำเทคโนโลยีและกลยุทธ์ใหม่ๆ มาใช้ คาดว่าจะเห็นความซับซ้อนเพิ่มเติมในชุด PaaS ซึ่งอาจรวมถึงเทคนิคการหลีกเลี่ยงขั้นสูงและสร้างเนื้อหาที่ขับเคลื่อนด้วย AI สำหรับการฟิชชิ่งที่ปรับให้เป็นส่วนตัวสูง จุดเน้นสำหรับผู้ป้องกันต้องเปลี่ยนจากการตอบสนองต่อเหตุการณ์เพียงอย่างเดียว ไปสู่การทำความเข้าใจและกำจัดเส้นทางการโจมตีที่อาจเกิดขึ้นอย่างจริงจัง ความร่วมมืออย่างต่อเนื่องระหว่างหน่วยงานบังคับใช้กฎหมาย นักวิจัยด้านความปลอดภัยทางไซเบอร์ และอุตสาหกรรมเอกชนจะมีความสำคัญสูงสุดในการขัดขวางองค์กรอาชญากรรมเหล่านี้ตั้งแต่ต้นตอ ในขณะที่องค์กรต้องเสริมสร้างการป้องกันภายในด้วยการทดสอบและข้อมูลข่าวกรองขั้นสูง เกมแมวและหนูจะยังคงอยู่ โดยต้องการความระมัดระวังและการปรับตัวอย่างต่อเนื่องจาก CISO และวิศวกรความปลอดภัย