VPN ช่วยป้องกัน Ransomware ได้หรือไม่

Ransomware มีโมเดลธุรกิจที่เรียบง่ายและน่ารังเกียจ คือเข้ารหัสไฟล์บนคอมพิวเตอร์หรือเซิร์ฟเวอร์แล้วเรียกเงินแลกกับกุญแจ เมื่อได้ยินเรื่องนี้ หลายคนถามว่า VPN จะช่วยป้องกันไว้ได้ไหม คำตอบเกือบทุกครั้งคือไม่ และควรเข้าใจเหตุผล เพราะคำถามนั้นซ่อนคำถามที่มีประโยชน์กว่าไว้ คือการป้องกัน Ransomware ที่เป็นไปได้จริงมีอะไรบ้าง และ VPN อยู่ตรงไหน

บทความนี้ดูว่าการโจมตีด้วย Ransomware เริ่มต้นอย่างไร จุดแคบ ๆ ที่ VPN เข้ามาเกี่ยวข้อง วิธีที่น่าประหลาดใจซึ่ง VPN ขององค์กรสำหรับเข้าถึงระบบจากระยะไกลกลายเป็นประตูเข้า และนิสัยการสำรองข้อมูลกับการปกป้องบัญชีที่ตัดสินผลลัพธ์จริง ๆ ถ้าอยากรู้ภาพรวมว่า VPN ไม่ครอบคลุมอะไร ดู สิ่งที่ VPN ปกป้องคุณไม่ได้

การโจมตีด้วย Ransomware มักเริ่มอย่างไร

Ransomware ไม่ได้โผล่มาจากสายอินเทอร์เน็ต มันต้องมีทางรันบนอุปกรณ์ที่คุณหรือองค์กรควบคุมอยู่ จุดเริ่มต้นที่พบบ่อยคือ

• ไฟล์แนบหรือลิงก์อีเมลอันตราย เอกสาร ไฟล์บีบอัด หรือลิงก์ที่หน้าตาเหมือนใบแจ้งหนี้ แจ้งพัสดุ หรือใบสมัครงาน การเปิดเริ่มห่วงโซ่ที่จบด้วยโปรแกรมเข้ารหัสไฟล์
• รหัสผ่านที่ถูกขโมยหรือเดาได้ ผู้โจมตีล็อกอินเข้าระบบรีโมตเดสก์ท็อป บัญชีอีเมล หรือระบบของบริษัทด้วยรหัสผ่านที่หลุดจากที่อื่นหรือเดาได้ แล้วติดตั้ง Ransomware เอง
• บริการเข้าถึงระยะไกลที่เปิดทิ้งไว้ คอมพิวเตอร์หรือเซิร์ฟเวอร์ที่เปิดรีโมตเดสก์ท็อปหรือบริการผู้ดูแลให้เข้าถึงได้จากทั้งอินเทอร์เน็ตจะถูกสแกนและโจมตีตลอดเวลา
• ช่องโหว่ที่ไม่ได้อุดด้วยการอัปเดต ระบบปฏิบัติการ บริการแชร์ไฟล์ เบราว์เซอร์ หรืออุปกรณ์เครือข่ายที่ล้าสมัยและมีช่องโหว่ที่รู้กันอยู่ ถูกโจมตีโดยอัตโนมัติ
• ดาวน์โหลดปลอมหรือถูกดัดแปลง ซอฟต์แวร์เถื่อนและตัวติดตั้งที่ถูกแก้ไขบางครั้งส่ง Ransomware มาโดยตรง
• ผู้ให้บริการหรือเครื่องมือที่ถูกบุกรุก โปรแกรมหรือบริการที่เราเชื่อใจถูกแก้ไข แล้วส่งปัญหาต่อไปยังลูกค้า

ลองดูว่าสิ่งเหล่านี้มีอะไรเหมือนกัน จังหวะตัดสินคือการคลิกที่ไม่รอบคอบ การล็อกอินที่อ่อนหรือใช้ซ้ำ บริการที่เปิดทิ้ง และการอัปเดตที่ขาดไป ไม่มีข้อไหนเป็นคนแอบอ่านข้อมูล Wi-Fi ที่ร้านกาแฟ นี่คือเหตุผลที่ VPN ส่วนตัวซึ่งปกป้องข้อมูลระหว่างทาง ไม่ใช่คำตอบหลัก

VPN เป็นอะไรและไม่ใช่อะไรในเรื่องนี้

VPN เข้ารหัสการเชื่อมต่อระหว่างอุปกรณ์ของคุณกับเซิร์ฟเวอร์ VPN คนในเครือข่ายระหว่างทางจึงอ่านหรือแก้ไขสิ่งที่คุณส่งไม่ได้ มีค่ามากสำหรับความเป็นส่วนตัวบน Wi-Fi ที่ใช้ร่วมกัน ตามที่ FTC อธิบายไว้ในคำแนะนำเรื่อง Wi-Fi สาธารณะ แต่ Ransomware คือโปรแกรมที่รันบนอุปกรณ์ของคุณหลังจากเข้ามาข้างในแล้ว ณ จุดนั้นการเชื่อมต่อไม่เกี่ยวอีกต่อไป

ต้องแม่นยำในสามเรื่องที่ VPN ไม่ทำ

1. ไม่หยุดโปรแกรมไม่ให้รัน ถ้าคุณเปิดไฟล์แนบอันตราย โปรแกรมก็รัน ไม่ว่าจะมีอุโมงค์เปิดอยู่หรือไม่
2. ไม่ตรวจจับหรือลบ Ransomware นั่นเป็นหน้าที่ของซอฟต์แวร์ความปลอดภัยและระบบป้องกันในตัวระบบปฏิบัติการ การเปรียบเทียบใน VPN เทียบกับโปรแกรมป้องกันไวรัสและไฟร์วอลล์ แสดงว่าใครทำหน้าที่อะไร
3. ไม่กู้ไฟล์ของคุณคืน มีแต่ข้อมูลสำรองที่ทำได้

ดังนั้นจุดยืนที่ตรงไปตรงมาคือ VPN ส่วนตัวไม่ใช่เกราะกัน Ransomware มันเป็นส่วนหนึ่งที่สมเหตุสมผลของกิจวัตรด้านความเป็นส่วนตัวที่เป็นระเบียบ แต่ไม่ควรเป็นสิ่งที่คุณทุ่มงบหรือความสนใจด้านการป้องกันให้

ที่ที่ VPN สำคัญได้ การเข้าถึงระบบขององค์กรจากระยะไกล

สำหรับบริษัทและออฟฟิศเล็ก VPN เข้ามาในเรื่อง Ransomware ในอีกแบบ และนี่คือสิ่งที่มีประโยชน์ที่สุดที่ควรเข้าใจ หลายองค์กรใช้ VPN ให้พนักงานเข้าถึงระบบภายในจากบ้าน VPN นั้นคือประตูสู่เครือข่ายของบริษัท ประตูล็อกได้ดีหรือไม่ดีก็ได้

รูปแบบการตั้งค่า	ความเสี่ยง Ransomware	เหตุผล
รีโมตเดสก์ท็อปเปิดตรงสู่อินเทอร์เน็ต	สูง	ผู้โจมตีสแกนหาทั้งวันและเดาหรือใช้รหัสผ่านซ้ำ
เข้าถึงผ่าน VPN ที่รหัสผ่านแข็งแรงและมีขั้นยืนยันที่สอง	ต่ำกว่า	บริการไม่ใช่เป้าหมายง่าย และรหัสผ่านที่ถูกขโมยอย่างเดียวไม่พอ
VPN ที่มีรหัสผ่านเดียว ไม่มีขั้นที่สอง	ปานกลางถึงสูง	รหัสผ่านที่หลุดทำให้ผู้โจมตีมีทางเข้า
อุปกรณ์หรือซอฟต์แวร์ VPN ที่ไม่ได้อัปเดต	สูง	ช่องโหว่ที่รู้กันของเกตเวย์เข้าถึงระยะไกลถูกโจมตีอย่างกว้างขวาง
อุปกรณ์พนักงานที่เชื่อมต่อแต่ไม่มีการดูแลหรือติดเชื้อแล้ว	ปานกลางถึงสูง	โน้ตบุ๊กที่ติดเชื้อพาปัญหาเข้ามาทางอุโมงค์ได้

พูดให้ง่ายคือ VPN ปลอดภัยเท่ากับการป้องกันการล็อกอิน การอัปเดต และสุขภาพของอุปกรณ์ที่เชื่อมต่อผ่านมัน การย้ายบริการเสี่ยงไปไว้หลัง VPN ที่ดูแลดีและมีการยืนยันตัวตนสองชั้นมักลดความเสี่ยงได้ แต่การมอง VPN เป็นประตูวิเศษที่ทำให้ทุกอย่างข้างหลังน่าไว้ใจย่อมไม่ได้ผล นี่คือความคิดเบื้องหลังแนวทางสมัยใหม่อย่าง zero trust ที่การเชื่อมต่ออย่างเดียวไม่เคยนับเป็นหลักฐานของความไว้ใจ เอกสารของ NIST เรื่อง ความปลอดภัยของการทำงานทางไกล ครอบคลุมหลักการสำหรับองค์กร และ แนวทาง zero trust architecture ลงลึกกว่านั้น ถ้าคุณดูแลทีม อ่าน VPN สำหรับทำงานทางไกล ด้วย

การป้องกันที่แบกน้ำหนักจริง

ถ้าอยากลดความเสี่ยง Ransomware อย่างสมจริง ให้ลงแรงตามลำดับนี้

1. ข้อมูลสำรองที่รอดจากการโจมตี

นี่คือมาตรการสำคัญที่สุดข้อเดียว แผนสำรองข้อมูลที่ดีเป็นไปตามรูปแบบเรียบง่าย

• เก็บ อย่างน้อยสามสำเนา ของไฟล์สำคัญ คือต้นฉบับกับข้อมูลสำรองอีกสองชุด
• เก็บบน สื่อสองประเภทต่างกัน เช่นฮาร์ดดิสก์ภายนอกกับบริการคลาวด์
• เก็บ หนึ่งชุดแบบออฟไลน์หรือมีการป้องกันเวอร์ชัน เพื่อให้คอมพิวเตอร์ที่ติดเชื้อเขียนทับหรือเข้ารหัสไม่ได้ ไดรฟ์ที่เสียบทิ้งทั้งวันอาจถูกเข้ารหัสพร้อมกับทุกอย่าง
• ทดสอบการกู้คืน ทุกไม่กี่เดือน ข้อมูลสำรองที่ไม่เคยกู้คืนคือความหวัง ไม่ใช่แผน

2. การอัปเดต

เปิดอัปเดตอัตโนมัติสำหรับระบบปฏิบัติการ เบราว์เซอร์ โปรแกรมออฟฟิศ และอุปกรณ์เครือข่ายอย่างเราเตอร์ แคมเปญ Ransomware จำนวนมากใช้ช่องโหว่ที่ถูกแก้ไปนานแล้ว

3. การป้องกันการล็อกอิน

ใช้รหัสผ่านไม่ซ้ำและเปิดการยืนยันตัวตนสองชั้นสำหรับอีเมล พื้นที่เก็บข้อมูลบนคลาวด์ และการเข้าถึงระยะไกลทุกชนิด หน่วยงาน CISA ของสหรัฐฯ อธิบายว่าทำไมเรื่องนี้สำคัญใน More than a Password และคู่มือ การยืนยันตัวตนสองชั้น ของเราแสดงวิธีตั้งค่า

4. ระวังอีเมลและการดาวน์โหลด

ตรวจผู้ส่ง สงสัยไฟล์แนบที่เร่งรีบ และดาวน์โหลดซอฟต์แวร์จากแหล่งทางการเท่านั้น หน้าของ CISA เรื่อง การรับรู้และรายงานฟิชชิง เป็นแหล่งอ้างอิงที่ดี

5. จำกัดสิ่งที่บัญชีหนึ่งเข้าถึงได้

ใช้บัญชีผู้ใช้ทั่วไปในงานประจำวัน ไม่ใช่บัญชีผู้ดูแลระบบ ถ้า Ransomware รันภายใต้บัญชีที่ถูกจำกัด มันเข้ารหัสไฟล์ได้น้อยกว่าและแพร่ไปไม่ไกล

6. ซอฟต์แวร์ความปลอดภัย

เปิดการป้องกันในตัวของระบบปฏิบัติการไว้ หรือใช้โปรแกรมป้องกันไวรัสที่น่าเชื่อถือ เครื่องมือเหล่านี้บล็อก Ransomware ตระกูลที่รู้จักและพฤติกรรมน่าสงสัยได้ แม้ไม่มีเครื่องมือใดจับได้ทุกอย่าง

สามสถานการณ์ที่สมจริง

โน้ตบุ๊กของครอบครัว ครอบครัวชัยยาใช้โน้ตบุ๊กเครื่องเดียวร่วมกัน มีรูปถ่าย งานโรงเรียน และเอกสารภาษี พ่อแม่บางครั้งใช้ Wi-Fi ร้านกาแฟพร้อม VPN ซึ่งสมเหตุสมผล แต่แผนจริงสำหรับ Ransomware ของพวกเขาคือฮาร์ดดิสก์ภายนอกที่เสียบเฉพาะวันอาทิตย์เพื่อคัดลอกรูป และโฟลเดอร์คลาวด์สำหรับเอกสาร ถ้าไฟล์แนบอันตรายล็อกโน้ตบุ๊กขึ้นมา พวกเขากู้คืนจากสำเนาที่ไม่ได้เสียบอยู่ได้ VPN ไม่ได้เป็นส่วนหนึ่งของการกู้ภัยนั้น

สตูดิโอออกแบบห้าคน สตูดิโอมีไฟล์เซิร์ฟเวอร์เล็ก ๆ และพนักงานที่ทำงานที่บ้านบางวัน เดิมเปิดรีโมตเดสก์ท็อปให้เข้าถึงได้จากอินเทอร์เน็ต ที่ปรึกษาย้ายการเข้าถึงไปไว้หลัง VPN บังคับให้ทุกคนมีขั้นยืนยันที่สอง ตั้งอัปเดตเป็นอัตโนมัติ และเพิ่มการสำรองข้อมูลรายคืนลงไดรฟ์ที่ถอดออกหลังสำรองเสร็จ กรณีนี้ VPN สำคัญจริง แต่เฉพาะเมื่อมีการป้องกันการล็อกอิน การอัปเดต และการสำรองข้อมูลที่อยู่รอบ ๆ

ฟรีแลนซ์ที่เดินทางบ่อย อานนท์ใช้ VPN บนรถไฟและในโรงแรม วันหนึ่งเขาเปิดไฟล์แนบจากลูกค้าที่ถูกแฮกจริง ๆ โน้ตบุ๊กเริ่มเข้ารหัสไฟล์ VPN ช่วยไม่ได้ สิ่งที่ช่วยคือเอกสารของเขาซิงก์กับคลาวด์ที่มีประวัติเวอร์ชัน เขาจึงล้างเครื่องแล้วกู้ไฟล์เวอร์ชันก่อนหน้าได้

เช็กลิสต์เตรียมพร้อมในหนึ่งค่ำคืน

คุณไม่ต้องมีทีมรักษาความปลอดภัยก็ปรับปรุงตำแหน่งของตัวเองได้ แบ่งเวลาหนึ่งค่ำคืนแล้วทำตามรายการนี้ตามลำดับ

1. ลิสต์ไฟล์ที่คุณเสียไม่ได้ เช่นรูปครอบครัว เอกสาร โปรเจกต์งาน ไฟล์บัญชี
2. หาว่าแต่ละอย่างอยู่ที่ไหนตอนนี้ ในโน้ตบุ๊กเครื่องเดียว มือถือ โฟลเดอร์คลาวด์ หรือไดรฟ์แชร์
3. ทำสำเนาชุดที่สองลงฮาร์ดดิสก์ภายนอก แล้วถอดไดรฟ์เก็บไว้
4. เปิดประวัติเวอร์ชันในคลาวด์ที่คุณใช้ เพื่อกู้ไฟล์เวอร์ชันก่อนหน้าได้หลังเกิดการเปลี่ยนแปลงที่ผิดพลาด
5. เปิดอัปเดตอัตโนมัติบนคอมพิวเตอร์และมือถือทุกเครื่อง และติดตั้งตัวที่ค้างอยู่เดี๋ยวนี้
6. เปิดการยืนยันตัวตนสองชั้นให้อีเมลก่อน เพราะอีเมลใช้รีเซ็ตรหัสผ่านอื่นทั้งหมด
7. ตรวจเราเตอร์ เปลี่ยนรหัสผ่านผู้ดูแลเริ่มต้น และติดตั้งเฟิร์มแวร์ที่อัปเดตได้
8. เปลี่ยนบัญชีที่ใช้ประจำวันเป็นผู้ใช้ทั่วไป เก็บล็อกอินผู้ดูแลไว้ใช้เฉพาะตอนติดตั้งโปรแกรม
9. เขียนลงกระดาษว่าถ้าคอมพิวเตอร์ถูกล็อกจะโทรหาใคร เพื่อนที่เข้าใจคอมพิวเตอร์ ร้านซ่อมใกล้บ้าน หรือฝ่ายไอทีของบริษัท
10. ใส่วันในปฏิทินอีกสามเดือนข้างหน้า เพื่อทดสอบกู้ไฟล์หนึ่งไฟล์จากข้อมูลสำรองแต่ละชุด

สังเกตว่าไม่มีข้อไหนเกี่ยวกับ VPN เลย ถ้าคุณใช้ VPN สำหรับเดินทางหรือ Wi-Fi สาธารณะด้วย ให้เพิ่มทีหลังเป็นนิสัยด้านความเป็นส่วนตัวอีกเรื่อง สำหรับธุรกิจเล็ก ให้เพิ่มอีกสองข้อ คือเลิกใช้บริการเข้าถึงระยะไกลที่เปิดสู่อินเทอร์เน็ตทั้งโลก และบังคับให้มีขั้นยืนยันที่สองทุกครั้งที่ล็อกอินจากระยะไกล

ถ้า Ransomware โจมตีแล้วควรทำอะไร

นี่เป็นข้อมูลทั่วไป ไม่ใช่การรับมือเหตุการณ์ระดับมืออาชีพ แต่มีขั้นตอนไม่กี่อย่างที่แนะนำกันกว้างขวาง

1. ตัดการเชื่อมต่ออุปกรณ์ ออกจาก Wi-Fi และสายแลนทันที เพื่อจำกัดการแพร่
2. อย่าเสียบไดรฟ์สำรองหรือเปิดอุปกรณ์อื่น จนกว่าจะรู้ว่าเกิดอะไรขึ้น
3. จดสิ่งที่เห็น เช่นข้อความเรียกค่าไถ่และการเปลี่ยนชื่อไฟล์ ถ่ายภาพหน้าจอไว้
4. ติดต่อฝ่ายไอทีหรือผู้เชี่ยวชาญที่ไว้ใจได้ ถ้าเป็นธุรกิจ ให้เริ่มแผนรับมือเหตุการณ์
5. พิจารณาแจ้งหน่วยงานด้านไซเบอร์หรือตำรวจของประเทศ ซึ่งอาจมีคำแนะนำหรือแหล่งช่วยกู้ข้อมูล
6. เปลี่ยนรหัสผ่าน จากอุปกรณ์ที่สะอาด เริ่มจากอีเมลและสิ่งสำคัญ
7. กู้จากข้อมูลสำรองที่สะอาด หลังจากทำความสะอาดหรือติดตั้งระบบอุปกรณ์ใหม่แล้วเท่านั้น

การตัดสินใจเรื่องจ่ายเงินหรือเจรจาเป็นเรื่องใหญ่ และควรทำพร้อมคำปรึกษาจากผู้เชี่ยวชาญและคำแนะนำในพื้นที่ ไม่มีส่วนใดในบทความนี้เป็นคำแนะนำทางกฎหมาย

ความผิดพลาดที่พบบ่อย

• เชื่อว่า VPN ปกป้องไฟล์ที่อยู่บนอุปกรณ์
• เก็บข้อมูลสำรองชุดเดียวไว้ในไดรฟ์ที่เสียบตลอดเวลา
• ไม่เคยทดสอบการกู้คืน
• เปิดรีโมตเดสก์ท็อปให้เข้าถึงได้จากทั้งอินเทอร์เน็ต
• ใช้ VPN ขององค์กรที่มีรหัสผ่านเดียวและไม่เคยอัปเดต
• ใช้บัญชีผู้ดูแลระบบทำงานประจำวัน
• เปิดไฟล์แนบเพราะชื่อผู้ส่งดูคุ้นตา
• คิดว่าครัวเรือนเล็กหรือธุรกิจเล็กเป็นเป้าหมายไม่ได้

สรุป

VPN ไม่ได้หยุด Ransomware เพราะ Ransomware รันบนอุปกรณ์ของคุณ ส่วน VPN ปกป้องข้อมูลระหว่างทาง จุดที่ VPN สำคัญจริง ๆ คือการเข้าถึงระบบขององค์กรจากระยะไกล ซึ่ง VPN ที่ป้องกันไม่ดีหรือรีโมตเดสก์ท็อปที่เปิดทิ้งไว้อาจเป็นประตูเข้า การป้องกันที่สมจริงคือข้อมูลสำรองที่คอมพิวเตอร์ติดเชื้อแตะต้องไม่ได้ การอัปเดตอัตโนมัติ รหัสผ่านไม่ซ้ำพร้อมการยืนยันตัวตนสองชั้น การจัดการอีเมลและดาวน์โหลดอย่างระวัง บัญชีที่ถูกจำกัดสิทธิ์ และซอฟต์แวร์ความปลอดภัยที่เชื่อถือได้ ใช้ VPN ส่วนตัวกับสิ่งที่มันทำได้ดี คือความเป็นส่วนตัวบนเครือข่ายที่คุณควบคุมไม่ได้

ถ้าชั้นความเป็นส่วนตัวแบบนั้นเหมาะกับการเดินทางหรือ Wi-Fi ที่ใช้ร่วมกัน ลองดู หน้าราคา เมื่อคุณพร้อม