84% ของกล่มแรนซัมแวร์มักทำงานช่วงเวลาราชการ
นักวัจัยพบ 84% ของกล่มแรนซัมแวร์มักทำงานช่วงเวลาราชการ และเวลาทำการของธุรกิจ
จากรายงานโดยเว็บไซต์ Security Affairs ได้กล่าวถึงการศึกษาวิจัยการทำงานของกลุ่มแฮกเกอร์ที่อยู่เบื้องหลังแรนซัมแวร์โดยทีมวิจัย Ransomnews Research Team ด้วยการศึกษาเว็บไซต์สำหรับการโพสต์ข้อมูลที่ถูกขโมยมาจากองค์กรของเหยื่อ (Leak Post) จำนวนกว่า 16,699 โพสต์บนเว็บไซต์ใต้ดิน โดยฝีมือของกลุ่มแ รนซัมแวร์มากถึง 200 กลุ่ม จนพบตัวเลขที่น่าสนใจหลายอย่าง เช่น
กลุ่มแรนซัมแวร์ส่วนมากจะทำงานกันในช่วงเวลาทำงาน (Office Hours) มาตรฐานในแถบทวีปยุโรป โดยจะมากเป็นพิเศษในช่วงเดือนตุลาคม โดยมีมากถึง 611 โพสต์ในปี ค.ศ. 2024 (พ.ศ. 2567) และ 1,029 โพสต์ในปี ค.ศ. 2025 (พ.ศ. 2568)
เมื่อเจาะลึกในช่วงเวลาการโพสต์ Leak Post แล้วพบว่า วันจันทร์มีการโพสต์เฉลี่ย 3,080 โพสต์, วันอังคาร 3,073 โพสต์, แต่วันอาทิตย์มีการโพสต์เพียง 1,189 โพสต์ เท่านั้น จากการเก็บข้อมูลคลอดช่วงเวลา 24 เดือน
ช่วงเวลาในการโพสต์นั้นก็มีการตรวจพบว่า 50% ของ 16,699 โพสต์ นั้น มีการโพสต์ระหว่างเวลา 15:00 นาฬิกา ถึง 22:59 นาฬิกา ตามเวลามาตรฐาน UTC ซึ่งเทียบเทียบกับเวลา 11:00 นาฬิกา ถึง 18:00 นาฬิกา ของเวลาอเมริกาตะวันออก และ 16:00 นาฬิกา ถึง 23:00 นาฬิกา ของเวลายุโรปกลาง
สิ่งที่น่าสนใจคือ ในระ หว่างช่วงเวลานี้ ช่วงเวลา 4 โมงเย็น ตามมาตรฐาน UTC นั้นมีการโพสต์น้อยสุด เพียงแค่ 215 โพสต์ ในตลอดช่วงเวลา 2 ปีของการเก็บข้อมูล
นอกจากนั้นก็ยังมีสถิติของแรนซัมแวร์ทั้งตัวใหม่และเก่า ที่เริ่มเข้ามามีบทบาทสำคัญหลังจากที่แรนซัมแวร์ตัวดัง RansomHub ถูกปราบไปในปี ค.ศ. 2025 (พ.ศ. 2568) ดังนี้
กลุ่มแรนซัมแวร์ The Gentlemen เริ่มโพสต์ข้อมูลที่หลุดออกมาในช่วงเดือนกันยายน ค.ศ. 2025 (พ.ศ. 2568) ซึ่งเมื่อนับแล้วทางกลุ่มมีเหยื่อทั้งหมด 408 ราย จากการโจมตีตลอดช่วงเวลา 246 วัน
กลุ่มแรนซัมแวร์ Qilin ได้กลายมาเป็นกลุ่มใหญ่แทน โดยสามารถเล่นงานเหยื่อได้ถึง 1,690 ราย ในช่วงเวลา 731 วัน มีจำนวนการโพสต์ข้อมูลที่ขโมยมาได้เฉลี่ย 2.3 โพสต์ต่อวัน
กลุ่มแรนซัมแวร์ Akira มาเป็นอันดับ 2 กับเหยื่อที่มากถึง 1,124 ราย
กลุ่ม RansomHub ก่อนที่จะโดนปราบไปนั้นสามารถจัดการเหยื่อได้ถึง 801 ราย ในช่วงเวลา 322 วัน
กลุ่ม Safepay ที่พึ่งเริ่มทำการในช่วงเดือนพฤศจิกายน ค.ศ. 2024 (พ.ศ. 2567) นั้น สามารถจัดการเหยื่อไปได้ 475 ราย
#ติดเทรนด์ #Lemon8ฮาวทู #lemon8ไดอารี่ #แรนซัมแวร์ #freedomhack
จากประสบการณ์ในการติดตามเหตุการณ์แรนซัมแวร์ ผมเห็นว่าการที่กลุ่มแรนซัมแวร์ส่วนใหญ่มักทำงานในช่วงเวลาราชการนั้นมีเหตุผลหลายประการ ประการแรกคือช่วงเวลานี้เป็นเวลาทำงานขององค์กรต่างๆ ที่มีการใช้งานระบบ IT อย่างต่อเนื่อง ทำให้การโจมตีสามารถสอดคล้องกับช่วงเวลาที่มีความเคลื่อนไหวของระบบ การตรวจจับหรือแจ้งเตือนอาจจะช้ากว่าปกติเนื่องจากทรัพยากรฝ่าย IT อาจกำลังจัดการงานอื่นๆ นอกจากนี้กลุ่มแรนซัมแวร์ยังเลือกช่วงเวลาทำงานในโซนเวลายุโรปกลางและอเมริกาตะวันออก ซึ่งสอดคล้องกับเวลาทำการของธุรกิจขนาดใหญ่ทั่วโลก จึงช่วยเพิ่มโอกาสสำเร็จในการลอบขโมยข้อมูลและเรียกค่าไถ่ได้มากขึ้น ส่วนสถิติที่พบว่าช่วงเวลาประมาณ 16:00 น. UTC มีการโพสต์ข้อมูลรั่วไหลน้อยมากนั้น อาจสะท้อนถึงช่วงเวลาที่นักแฮกเกอร์เองก็มีการพักผ่อนหรือกำลังวางแผนขั้นตอนถัดไป ผมเห็นว่าการวิเคราะห์เวลาการทำงานของกลุ่มแรนซัมแวร์เป็นกุญแจสำคัญที่ช่วยให้องค์กรต่างๆ วางมาตรการป้องกันให้เหมาะสม เช่น การเพิ่มความเข้มงวดในการตรวจสอบระบบช่วงเวลาทำการ และเตรียมความพร้อมของการตอบสนองเหตุการณ์นอกเวลางาน สุดท้ายนี้ เทรนด์กลุ่มแรนซัมแวร์ที่มาแทนกลุ่มเดิมๆ อย่าง Qilin ที่มีเหยื่อมากถึงกว่า 1,600 ราย ในช่วงเวลา 2 ปี นับเป็นสัญญาณเตือนที่องค์กรทุกระดับควรให้ความสำคัญกับการเสริมความปลอดภัยไซเบอร์อย่างต่อเนื่อง ทั้งการฝึกอบรมพนักงาน การอัปเดตซอฟต์แวร์ และการเฝ้าระวังช่องโหว่ต่างๆ เพื่อป้องกันการถูกโจมตีจากกลุ่มแรนซัมแวร์ที่มีความชำนาญและใช้วิธีโจมตีที่ซับซ้อนมากขึ้นเรื่อยๆ
