เคาน์ตีในสหรัฐจ่าย 1 ล้านดอลลาร์เพื่อลดความเสี่ยงจากการรั่วไหลของข้อมูล 2TB

การโจมตีแบบกดเงินไถ่โดยแก๊ง Kairos ทำให้หนึ่งเขตของสหรัฐอเมริกาในปี 2025 ตัดสินใจจ่ายค่าเรียกร้องเป็นจำนวน $1 million เพื่อพยายามหยุดยั้งการเผยแพร่ข้อมูลที่ถูกขโมยกว่า 2 TB** แม้จะไม่ได้รับหลักฐานยืนยันว่าข้อมูลดังกล่าวได้ถูกลบอย่างอิสระแล้วก็ตาม การเจรจาต่อรองและเงื่อนไขการชำระเงินนี้เปิดเผยถึงความท้าทายของหน่วยงานภาครัฐที่ต้องเลือกระหว่างการเสียค่าใช้จ่ายมหาศาลกับความเสี่ยงจากการข้อมูลรั่วไหล

Overview

เหตุการณ์เกิดขึ้นในเดือนพฤษภาคม‑มิถุนายน 2025 ตามรายงานของนักวิจัยด้านภัยคุกคาม Rakesh Krishnan ที่เผยบนแพลตฟอร์ม Ransom‑ISAC รายละเอียดได้มาจากการรั่วไหลของบันทึกสนทนาระหว่างเจ้าหน้าที่เขตกับแก๊ง Kairos รวมถึงหลักฐานจากบล็อกเชนที่แสดงที่อยู่กระเป๋า Bitcoin สำหรับรับเงิน การเจาะระบบไม่ได้มีลักษณะเป็น ransomware เพราะไม่มีการเข้ารหัสข้อมูลหรือให้คีย์ถอดรหัสแก่เหยื่อ

Negotiation Timeline

ระหว่างการเจรจา แก๊ง Kairos เริ่มต้นด้วยการเรียกร้อง $3 million พร้อมแจ้งว่ามีไฟล์ทั้งหมดประมาณ 1.6 ล้านไฟล์ (รวมกว่า 2 TB) อยู่ในมือของพวกเขา เขียนว่า “คุณสามารถเลือกไฟล์สูงสุด 10 ไฟล์เพื่อให้เราส่งให้” เจ้าหน้าที่เขตซึ่งอ้างว่าเป็นหน่วยงานระดับมณฑลที่มีทรัพยากรจำกัด พยายามต่อรองโดยเสนอครั้งแรก $100,000 (6 มิถุนายน) และเพิ่มเป็น $255,000 สองวันหลังจากนั้น Kairos ปรับข้อเรียกร้องลงเหลือ $2 million ก่อนจะตกลงกันสุดท้ายที่ $1 million** ในวันที่ 9 มิถุนายน

เริ่มต้น: $3 million (Kairos)
เสนอแรกของเขต: $100,000
เพิ่มเป็น: $255,000 $430,000
สุดท้ายตกลง: $1 million

Technical Claims

Kairos กล่าวว่าการเข้าถึงระบบเกิดจากการ bruteforce เข้าสู่เครือข่ายของเขต และได้ทำการดาวน์โหลดไฟล์ทั้งหมดไปยังเครื่องของตนเอง หลังจากได้รับเงิน พวกเขาให้ไฟล์ RAR ที่อ้างว่าเป็น “proof of deletion” ของข้อมูลที่ถูกดาวน์โหลด พร้อมสัญญาว่าจะไม่เผยแพร่ต่อบุคคลภายนอกหรือดำเนินการโจมตีอีก อย่างไรก็ตาม นักวิจัย Krishnan ชี้ว่าบันทึกสนทนาไม่มีรายละเอียดเชิงเทคนิคใด ๆ ที่สามารถตรวจสอบการลบข้อมูลได้อย่างอิสระ ซึ่งเป็นข้อจำกัดสำคัญของสถานการณ์เรียกค่าไถ่แบบนี้

Legal & Policy Context

หน่วยงานด้านความปลอดภัยไซเบอร์ของสหรัฐฯ เช่น FBI และ U.S. Cybersecurity and Infrastructure Agency (CISA) มีการแสดงจุดยืนว่าห้ามให้ผู้เสียหรือต้องชำระค่าไถ่ เนื่องจากการจ่ายเงินไม่รับประกันว่าจะได้ข้อมูลคืนหรือหยุดการรั่วไหล ในกรณีนี้เขตที่เกี่ยวข้องไม่ได้เปิดเผยชื่ออย่างเป็นทางการ แต่มีเอกสารบ่งชี้ว่าอาจเป็น Union County, Ohio** ซึ่งในช่วงฤดูใบไม้ร่วงของปีเดียวกันได้รายงานเหตุการณ์โจมตีไซเบอร์ที่ทำให้ข้อมูลส่วนบุคคลหลายประเภทถูกขโมย แม้ว่ารายงานนั้นจะไม่ได้กล่าวถึงการจ่ายค่าไถ่ใด ๆ

Implications

กรณีนี้แสดงให้เห็นว่าหน่วยงานรัฐบาลระดับท้องถิ่นอาจต้องตัดสินใจระหว่างการเสียเงินจำนวนมหาศาลกับความเสี่ยงต่อชื่อเสียงและความเป็นส่วนตัวของประชาชน การไม่มีมาตรฐานตรวจสอบ “proof of deletion” ทำให้ผู้เสียหายไม่สามารถมั่นใจได้ว่าข้อมูลจะไม่ถูกนำไปขายบนฟอรัมมืดในอนาคต อีกทั้งยังเพิ่มแรงกดดันให้แก๊งไซเบอร์เชื่อถือได้มากขึ้นเมื่อต่อรองค่าตอบแทนที่ต่ำลงตามความต้องการของเหยื่อ นอกจากนี้เหตุการณ์นี้ส่งสัญญาณเตือนแก่หน่วยงานภาครัฐทั่วโลกว่าการลงทุนในระบบป้องกันและการตอบสนองต่อเหตุการณ์ไซเบอร์เป็นสิ่งจำเป็นเพื่อหลีกเลี่ยงสถานการณ์ที่อาจบังคับให้ต้องชำระค่าไถ่

Summary

เขตสหรัฐที่ไม่เปิดเผยชื่อได้จ่าย $1 million ให้แก๊ง Kairos เพื่อลดความเสี่ยงจากการรั่วไหลของข้อมูลกว่า 2 TB** แม้จะไม่มีหลักฐานยืนยันว่าข้อมูลถูกลบอย่างอิสระ การเจรจาและเงื่อนไขนี้สะท้อนถึงความซับซ้อนของการจัดการกับภัยคุกคามไซเบอร์ที่ไม่ใช่ ransomware และเน้นย้ำคำเตือนของหน่วยงานรักษาความปลอดภัยว่า “การชำระค่าไถ่ไม่ได้รับประกันผลลัพธ์”.