แฮกเกอร์ไม่ได้อยากได้ท่าพิศดาร แค่อยากได้วิธี 'เจาะง่ายๆ' ที่ใช้ได้ผลกับทุกบริษัท
แฮกเกอร์ไม่ได้ต้องการ "การโจมตีที่เหนือชั้นขึ้น" แต่ต้องการ "เทคนิคที่ทำซ้ำได้เรื่อยๆ" เพราะวิธีเจาะเข้าองค์กรที่ฮิตที่สุดในปีที่ผ่านมา คือการ "ขอเข้าไปตรงๆ" นี่แหละครับ
ลองจินตนาการถึงหน้าเว็บที่หลอกให้เรายืนยันตัวตนว่าเป็นมนุษย์ ในขณะที่เราอ่านคำแนะนำ ระบบจะแอบคัดลอกคำสั่งลง Clipboard แล้วหลอกให้เราเปิด Terminal มาวางคำสั่งนั้นลงไป เทคนิคนี้เรียกว่า ClickFix ซึ่งทีม Microsoft พบว่าเป็นวิธีเข้าถึงเครื่องเหยื่อ (Initial Access) ที่ถูกใช้มากที่สุดถึง 47% ไม่มีไฟล์แนบให้สแกนตรวจจับ และไม่มีการใช้ช่องโหว่ใดๆ ให้เราตามแพตช์
จากนั้น Bitdefender ได้วิเคราะห์เหตุการณ์ความมั่นคงปลอดภัยไซเบอร์กว่า 700,000 ครั้ง พบว่า 84% ของเคสรุนแรง เป็นการใช้ไฟล์ Admin หรือเครื่องมือปกติที่มีอยู่ในเครื่องอยู่แล้ว (Living off the Land) โดยมัจจุราชไม่ต้องติดตั้งมัลแวร์เพิ่มแม้แต่ชิ้นเดียว
ทำไมวิธีที่ไม่ซับซ้อน ถึงยังคงชนะ?
แฮกเกอร์ไม่ได้ขัดสนไอเดีย แต่ไซเบอร์ครดิมคือ "ธุรกิจ" และธุรกิจต้องการมาตรฐาน (Standardization) กลุ่มก่ออาชญากรรมไซเบอร์ไม่สามารถสเกลได้หากต้องคิดค้นวิธีใหม่ทุกครั้ง พวกเขาต้องการ Playbook หรือสูตรสำเร็จที่ใช้ได้ผลซ้ำๆ กับเป้าหมายต่อไปเรื่อยๆ
รายงานของ Verizon ระบุว่าการแฮกผ่านช่องโหว่พุ่งสูงขึ้น 55% ในปีเดียว แฮกเกอร์แค่รอให้มีคนโพสต์โค้ดตัวอย่าง (Proof of Concept) บน GitHub แล้วสแกนหาเครื่องที่ยังไม่ได้อัปเดตแพตช์ โมเดลนี้ไม่ต่างจากโรงงานผลิตยาเปรียบเทียบ (Generics) ที่รอให้สิทธิบัตรหมดอายุ แล้วปั๊มยาส่งขายแข่งกันที่ความเร็วและต้นทุน
ทำไม AI แบบ Autonomous ถึงยังไม่ใช่คำตอบของแฮกเกอร์?
AI Agent ที่คิดและด้นสดเองอาจจะดูเท่ แต่ขัดกับโมเดลการทำงานแบบแฟรนไชส์ (Ransomware-as-a-Service) ที่ต้องการผลลัพธ์ที่คาดเดาได้ แถมการรัน AI โมเดลรายตัวยังมีต้นทุนสูง สวนทางกับสถิติ ransomware ที่เหยื่อจ่ายเงินน้อยลง (ผู้ไม่จ่ายเงินสูงถึง 69% และค่าไถ่เฉลี่ยลดลง) สิ่งที่แฮกเกอร์ต้องการจึงไม่ใช่รถสปอร์ตลัมโบร์กีนีสุดหรู แต่เป็น "รถโตโยต้า" ที่สตาร์ทติดทุกเช้า ใครๆ ในทีมก็ขับได้ และใช้งานได้เหมือนเดิมทุกวัน
แนวทางรับมือและการป้องกัน
เมื่อการโจมตีถูกทำเป็นมาตรฐาน การป้องกันก็ทำได้ง่ายขึ้นเช่นกัน:
- Patch Smart: เน้นแพตช์อุปกรณ์ที่เชื่อมต่ออินเทอร์เน็ตที่เสี่ยงต่อ Remote Code Execution โดยไม่ต้องผ่านการยืนยันตัวตนก่อน
- สกัดการรันสคริปต์: ใช้ Application Control ป้องกันไม่ให้คำสั่งที่คัดลอกมาเปลี่ยนเป็นกระบวนการทำงาน (Process)
- จำกัดสิทธิ์ Admin Tools: ตัดสิทธิ์ผู้ใช้น้อยที่สุดเท่าที่จำเป็นในการเรียกใช้ Command line หรือโปรแกรมจัดการระบบ
- มองภาพรวมของ Event: ตรวจสอบพฤติกรรมที่เกิดขึ้นต่อเนื่องกัน เช่น Tool ปกติรัน + ล็อกอินจาก บัญชีปกติ + ต่อไปยัง Cloud ยอดฮิตพร้อมกันในเวลาแปลกๆ
- ต้องมีคนเฝ้ามองระบบจริง: การมีแค่ Log หรือ Alert แต่ไม่มีทีม Security Operations Center (SOC) คอยตอบสนองทันที ก็ไร้ประโยชน์