ธุรกิจประกันภัย: เป้าหมายหลักของอาชญากรทางไซเบอร์

สำหรับอาชญากรทางไซเบอร์ อุตสาหกรรมประกันภัยถือเป็นขุมทรัพย์ข้อมูลอันประเมินค่าไม่ได้ ที่จะสร้างกำไรเป็นกอบเป็นกำ อุตสาหกรรมประกันภัยถือเป็นแหล่งเก็บรวบรวม ประมวลผล และจัดการข้อมูลส่วนตัวที่ระบุตัวตนลูกค้าจำนวนมาก (PII) เช่นเดียวกับบริษัทที่ให้บริการทางการเงินและสาธารณสุข จึงทำให้อุตสาหกรรมเหล่านี้กลายเป็นเป้าหมายหลักของอาชญากรรมทางไซเบอร์ ซึ่งความปลอดภัยทางไซเบอร์สำหรับอุตสาหกรรมประกันภัยนี้ ถือเป็นสิ่งสำคัญอันดับต้นๆ ของฝ่ายไอทีเลยก็ว่าได้ 

เรื่องราวของอาชญากรรมทางไซเบอร์ในธุรกิจประกันภัย 

เป็นเรื่องตลกร้ายที่อาชญากรรมทางไซเบอร์นับว่าเป็นทั้งอุปสรรคและโอกาสของบริษัทประกันภัย จริงอยู่ที่บริษัทประกันภัยถือเป็นตัวเลือกหลักๆ ที่เหล่าอาชญากรจะเพ่งเล็ง ซึ่งก่อให้เกิดความเสียหายอย่างใหญ่หลวง ทั้งในรูปแบบของค่าปรับ การสูญเสียลูกค้า และการเสื่อมเสียชื่อเสียง แต่ในอีกแง่หนึ่ง ความปลอดภัยทางไซเบอร์ก็เป็นธุรกิจที่กำลังเติบโตสำหรับบริษัทประกันภัย โดยรายได้ของบริษัทประกันภัยเพิ่มขึ้นจาก 6.4 พันล้านเหรียญสหรัฐในปี พ.ศ. 2563 เป็น 10.6 พันล้านเหรียญสหรัฐในปี พ.ศ. 2568 

แท้จริงแล้ว นี่ก็เป็นอีกเหตุผลหนึ่งที่อาชญากรทางไซเบอร์มองว่าธุรกิจประกันภัยเป็นโอกาสทอง การเลือกโจมตีบริษัทประกันภัย และเข้าถึงข้อมูลหนี้สินประกันภัย ทำให้แฮกเกอร์ได้ทั้งข้อมูลทั่วไปและข้อมูลเชิงลึกที่ต้องการในการโจมตีลูกค้าของบริษัทได้ และคงไม่ต้องพูดถึงว่าข้อมูลที่ขโมยไปได้นี้จะมีมูลค่ามหาศาลแค่ไหน 

ตลอดช่วงหลายปีที่ผ่านมา การหลอกลวงทางอินเตอร์เน็ต (Phishing) และแรนซัมแวร์ (Ransomware) จัดเป็นอาชญากรรมทางไซเบอร์ที่รุนแรงที่สุด และสร้างภัยคุกคามต่อองค์กรเป็นอย่างมาก แรนซัมแวร์ คือ มัลแวร์รูปแบบหนึ่งที่ออกแบบมาเพื่อเรียกเงินจากเหยื่อ และการหลอกลวงทางอินเตอร์เน็ต ก็คือการส่งกลไกแบบต่างๆ ไปหาเหยื่อเพื่อปล่อยแรนซัมแวร์หรือมัลแวร์แบบอื่นๆ 

แบบสำรวจในปี พ.ศ. 2565 ที่จัดทำโดย Economic Forum มีการยืนยันว่าแรนซัมแวร์เป็นการโจมตีทางไซเบอร์ที่เป็น “สิ่งที่นึกถึงเป็นอันดับต้นๆ ของหัวหน้าแผนก IT” โดยมีผู้ตอบแบบสอบถามถึง 50% ที่ระบุว่าแรนซัมแวร์เป็นหนึ่งในสิ่งหลักที่พวกเขากังวล เมื่อพูดถึงอาชญากรรมทางไซเบอร์ 

อาชญากรทางไซเบอร์กำลังวางแผนหลอกลวง และคุณก็คือเหยื่อที่เขาเพ่งเล็ง 

อีเมลหลอกลวงมีมายาวนานพอๆ กับอินเตอร์เน็ต และตลอดหลายปีที่ผ่านมา อาชญากรทางไซเบอร์ก็ได้พัฒนาการออกแบบอีเมลพวกนี้ขึ้นมาก ซึ่งมีเป้าหมายคือการเข้าถึงข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาต โชคร้ายที่การหลอกลวงประเภทนี้มันช่างเรียบง่ายจนทำให้หลงเชื่อได้ง่ายๆ 

อีเมลหลอกลวงประเภทนี้จะถูกส่งไปยังผู้รับหลายร้อยคน โดยจะมีข้อความหลอกลวง เช่น “บัญชีของคุณถูกตัดไป 599 เหรียญ โปรดคลิกที่นี่หากคิดว่าการหักบัญชีนี้ไม่ถูกต้อง” และแนบลิงก์มาด้วย ซึ่งหากผู้รับอีเมลคลิกลิงก์นั้นไป มัลแวร์ก็จะถูกติดตั้งลงในคอมพิวเตอร์ทันที เช่น หากเหยื่อโดนติดตั้งแรนซัมแวร์ลงในคอมพิวเตอร์ ฝ่ายเหยี่อต้องจ่ายเงินเพื่อลบมันออก มิฉะนั้นจะไม่สามารถเข้าใช้ระบบคอมพิวเตอร์ของตนได้ 

อาชญากรทางไซเบอร์จะโจมตีธุรกิจต่างๆ ด้วยวิธีเดียวกัน แต่อาจจะใช้รูปแบบที่ดูจริงจังมากขึ้น วิธีการนี้เป็นที่รู้จักกันในนาม “การหลอกลวงแบบพุ่งเป้าเจาะจง (Spear Phishing)” ซึ่งจะมุ่งไปที่คนใดคนหนึ่ง และแฮกเกอร์มักจะเลือกกลุ่มคนที่มีบางสิ่งบางอย่างเหมือนกัน เช่น กลุ่มองค์กร 

โดยแฮกเกอร์จะเริ่มจากการใช้ข้อมูลภายใน ซึ่งอาจเป็นความรู้เรื่องแบรนด์ของบริษัทนั้นๆ รวมถึงที่อยู่อีเมลที่บริษัทนั้นใช้กันภายใน เพื่อให้อีเมลของตนดูน่าเชื่อถือ และจะทำให้แฮกเกอร์ได้ เช่น เลขาส่วนตัวของผู้บริหาร หรือผู้จัดการแผนก IT ของบริษัทในการส่งอีเมล 

สรุปคือ ตัวอีเมลจะดูเหมือนอีเมลทั่วไป ที่เหยื่อมักได้รับเป็นประจำอยู่แล้ว และจะ “หลอกล่อ” ให้ผู้รับอนุญาตให้แฮกเกอร์เข้าถึงข้อมูลที่ไม่ควรเข้าถึงได้ 

การระบาดหนักของแรนซัมแวร์และความเสียหายของการโจมตีที่เพิ่มสูงขึ้น 

ข่าวร้าย คือ การรั่วไหลของข้อมูลโดยแรนซัมแวร์นี้เพิ่มขึ้นถึง 41% ในปีที่แล้ว และใช้เวลาในการระบุตัวตนผู้กระทำนานกว่าเดิมถึง 49 วัน นอกจากนั้น ความเสียหายจากการโจมตีนี้ก็มีมูลค่าสูงขึ้นมากกว่า 430,000 เหรียญสหรัฐ แต่ข่าวดีก็คือ บริษัทประกันภัยบางแห่งที่นำระบบ AI และโปรแกรมอัตโนมัติมาใช้ในองค์กรจะ สามารถระบุตัวตนผู้กระทำผิดได้เร็วกว่าบริษัทอื่นที่ไม่ใช้ระบบเหล่านี้ถึง 28 วัน ซึ่งช่วยประหยัดค่าใช้จ่ายไปได้ถึง 3 ล้านเหรียญสหรัฐ 

อย่างไรก็ตาม บางบริษัทที่ใช้ระบบ AI และโปรแกรมอัตโนมัติเป็นบางส่วนก็ยังดีกว่าบริษัทที่ไม่ได้ใช้เลย 

การจัดการกับปัจจัยความผิดพลาดของมนุษย์ 

อาชญากรจากภายนอกไม่ใช่ภัยทางไซเบอร์เพียงอย่างเดียวที่เป็นอันตรายต่อธุรกิจประกันภัย บริษัทยังคงต้องต่อสู้กับกระบวนการอื่นๆ จาก “ฝีมือมนุษย์” อีกด้วย 2022 World Economic Forum ชี้ให้เห็นว่าการรั่วไหลของข้อมูลทางไซเบอร์กว่า 95% เกิดจากความผิดพลาดโดยมนุษย์ 

ช่วงประมาณเดือนกรกฎาคม ปี พ.ศ. 2564 SEC มีรายงานว่า First American Insurance Corporation บริษัทประกันภัยสำหรับอสังหาริมทรัพย์ได้เปิดเผยข้อมูลส่วนตัวและข้อมูลทางการเงินของลูกค้ากว่า 800 รายโดยไม่ได้ตั้งใจ ซึ่งข้อมูลเหล่านั้นประกอบไปด้วย เลขประกันสังคม เลขบัญชีธนาคาร ประวัติการจำนองอสังหาริมทรัพย์ ภาษี ใบเสร็จการโอนเงินต่างประเทศ และภาพใบอนุญาตขับขี่ 

ท้ายที่สุด SEC ได้แจ้งความต่อ First American ในข้อหา “เปิดเผยและละเมิดต่อกระบวนการอันเกี่ยวข้องกับความไม่มั่นคงด้านอาชญากรรมทางไซเบอร์ที่มีการเปิดเผยข้อมูลส่วนตัวที่อ่อนไหวของลูกค้า” ซึ่งการแจ้งความและค่าปรับครั้งนี้ไม่ได้เกิดจากอาชญากรรมทางไซเบอร์แต่อย่างใด แต่เกิดขึ้นจากความผิดพลาดของมนุษย์ 

แล้วบริษัทต่างๆ จะต้องทำอย่างไรเพื่อลดความผิดพลาดของมนุษย์ รวมถึงการจัดการข้อมูลผิดพลาดโดยไม่ได้ตั้งใจ ซึ่งก่อให้เกิดการรั่วไหลของข้อมูล และนำไปสู่บทลงโทษที่แสนสาหัส การสูญเสียลูกค้า และเสื่อมเสียชื่อเสียงของแบรนด์ คำตอบคือต้องมีการฝึกอบรมนั่นเอง 

โชคไม่ดีที่พนักงานยังคงเป็นจุดอ่อนที่สุดในห่วงโซ่ความปลอดภัยทางไซเบอร์อยู่ดี การอบรมให้พวกเขาตระหนัก รายงาน และหลีกเลี่ยงการหลอกลวงทางไซเบอร์ วิศวกรรมทางสังคม (Social Engineering) และแรนซัมแวร์เป็นเรื่องสำคัญ รวมถึงปลูกฝังวัฒนธรรมความปลอดภัย และสร้างกระบวนการที่ช่วยกำจัดความผิดพลาดของมนุษย์ที่อาจเกิดขึ้น ท้ายสุดแล้ว เหตุผลที่การหลอกลวงทางไซเบอร์และวิศวกรรมสังคมนั้นพบเจอได้บ่อยๆ ก็เพราะมันยังคงใช้ได้ผลนั่นเอง 

สิ่งทดแทนผู้เชี่ยวชาญด้าน IT 

Forrester ได้รายงานไว้ใน Predictions 2023: Insurance ว่า “ค่าใช้จ่ายด้าน IT จะเพิ่มขึ้นประมาณ 2% ต่อปี ซึ่งเป็นเพียงครึ่งหนึ่งของค่าใช้จ่ายที่ทีมเทคโนโลยีของบริษัทวางแผนไว้ เนื่องจากการลดค่าใช้จ่ายเป็นสิ่งสำคัญของบริษัทประกันภัยในการก้าวเข้าสู่ปี พ.ศ. 2566 นี้” มีผู้ตอบแบบสอบถามกว่า 58% ในแบบสำรวจของ Forrester ที่จัดทำขึ้นในปี พ.ศ. 2565 กล่าวว่า การลดค่าใช้จ่ายด้าน IT จะกลายเป็นจุดประสงค์ของแผนกไปอีกตลอด 12 เดือนข้างหน้า” ซึ่งหมายความว่า บริษัทประกันภัยจะหาทาง “ทำผลลัพธ์ให้มากขึ้นด้วยทรัพยากรที่น้อยลง” บริษัทจึงหาวิธีการที่จะขยายและทำแผนก IT ของตนให้แข็งแกร่งโดยร่วมมือกับบริษัทผู้ให้บริการด้านความปลอดภัยทางไซเบอร์  

ทำให้ Shadow IT เป็นที่รู้จัก 

บริษัทผู้ให้บริการด้านความปลอดภัยทางไซเบอร์เหล่านั้นจะสามารถช่วยจัดการอุปกรณ์ แอปพลิเคชัน และเทคโนโลยีต่างๆ ที่หลายบริษัทนำมาใช้ตลอดหลายปีที่ผ่านมา โดยไม่จำเป็นต้องมีความรู้ใดๆ เกี่ยวกับแผนก IT ของบริษัท แล้วสิ่งเหล่านี้จะเป็นไปได้อย่างไร 

สำหรับหลายๆ องค์กร ปี พ.ศ. 2564 มีการบีบบังคับให้บริษัทต้องลงทุนในเทคโนโลยี ทั้งๆ ที่ บริษัทเองก็อาจจะยังไม่พร้อม และเมื่อต้องเผชิญหน้ากับการโจมตีของคู่แข่งใหม่จำนวนไม่น้อย หรือแม้แต่ผู้บริโภคที่เปลี่ยนไปอันเนื่องมาจากโรคระบาด ที่ต้องการการตอบสนองความต้องการในทันที องค์กรต่างๆ จึงได้เข้าสู่โลกเทคโนโลยีกันอย่าง "ฉับพลัน" ซึ่งบ่อยครั้งมีการใช้ระบบไอทีที่นอกเหนือความดูแลของบริษัทหรือผู้ให้บริการ (Shadow IT) เพื่อเป็นทางออกสำหรับการทำงานจากระบบเดิมขององค์กร 

คำถามคือโซลูชันต่างๆ อย่างพวกแอปพลิเคชันบนคลาวด์ เช่น GoogleDrive™ DropBox® หรือ OneDrive™ มีส่วนช่วยพนักงานในการสื่อสาร จัดการ และทำงานให้มีประสิทธิภาพขึ้นหรือไม่ ซึ่งก็แน่นอนว่าช่วย อีกคำถามคือแอปดังกล่าวเหล่านี้มีความเสี่ยงด้านความปลอดภัยหรือความเสี่ยงในการปฏิบัติตามกฎหรือไม่ และแน่นอนว่าคำตอบคือใช่เช่นกัน 

ปิดประตูทุกบานให้สนิท 

สถานที่ทำงานทุกวันนี้มีทั้งพนักงานที่ทำงานในออฟฟิศ ทำงานทางไกล และทำงานแบบไฮบริดปะปนกันอยู่ จากมุมมองด้านการจัดการข้อมูล ผู้ใช้แต่ละคนจะเปรียบเสมือนช่องทางหนึ่ง ซึ่งแต่ละช่องทางนั้นจะทำหน้าที่เหมือน “ประตู” ที่สามารถเข้าถึงข้อมูลของบริษัทได้้ และประตูเหล่านี้ก็เป็นช่องทางของการโจมตีทางไซเบอร์ด้วยเช่นกัน 

ปัญหาเรื่องความปลอดภัยของช่องทางเหล่านี้มันสำคัญเพิ่มขึ้นมากแค่ไหน ซึ่งดูเหมือนว่าปัญหาจะรุนแรงขึ้นอย่างมากในเดือนพฤษภาคมของปี พ.ศ. 2565 หน่วยงานความมั่นคงปลอดภัยของโครงสร้างพื้นฐานของสหรัฐอเมริกา (CISA) ได้ประกาศเตือนเรื่อง “การควบคุมและแนวทางการปฏิบัติต่อความปลอดภัยที่เปราะบางที่มักถูกใช้ประโยชน์ในการเข้าถึงครั้งแรก” (AA22-137A) คำเตือนนี้ชี้ให้เห็นถึงเครือข่ายแบบต่างๆ ที่อาชญากรทางไซเบอร์มักเพ่งเล็งที่จะเข้ามาใช้ประโยชน์และเตือนให้องค์กรต่างๆ ป้องกันช่องทางเข้าถึงของตน “เพราะการโจมตีทางไซเบอร์นั้นเริ่มที่จะตรวจจับและป้องกันได้ยากขึ้น” 

เมื่อยังไม่ปลอดภัยมากพอ ก็ต้องใช้ Zero Trust 

หลายบริษัทก็มีโซลูชันด้านความปลอดภัยทางไซเบอร์สำหรับธุรกิจประกันภัยแบบเดิมอยู่แล้ว เช่น ตัวสแกนอีเมล ไฟร์วอลล์สำหรับบริษัท เว็บเกตเวย์ EDR และ XDR แต่ด้วยการโจมตีทางไซเบอร์มีการพัฒนาขึ้นมาก จนโซลูชันสำหรับการป้องกันเหล่านี้อาจไม่เพียงพออีกต่อไป ถึงแม้โซลูชันดังกล่าวจะช่วยป้องกันมัลแวร์ที่รู้จักกันอยู่แล้ว แต่ก็ยังเป็นเรื่องยากที่จะตรวจพบมัลแวร์ใหม่ๆ ได้อยู่ดี 

วิธีแก้ไขปัญหาคือ Zero Trust ซึ่งเป็นการนำเอาโซลูชันป้องกันแบบเดิมมาพัฒนาเพิ่มเติม หรือบางทีเราอาจรู้จักกันในนาม Perimeter-Less Security โดย Zero Trust คือโครงสร้างด้านความปลอดภัยที่ผู้ใช้ทุกรายหรืออุปกรณ์ทุกเครื่องจะต้องผ่านการรับรองและตรวจสอบก่อนจะเข้าถึงระบบ แอปพลิเคชัน หรือทรัพย์สินต่างๆ ของบริษัทได้ 

เครื่องมือตอบสนองและตรวจจับช่องทางการเข้าถึงนี้มีการขับเคลื่อนด้วยระบบ AI จึงสามารถบล็อกและแยกอันตรายจากมัลแวร์และแรนซัมแวร์ได้ 

การป้องกันในระบบดิจิทัลที่ไร้พรมแดน 

ช่วงสองปีที่ผ่านมานี้เป็นช่วงเวลาที่มีความต้องการในการใช้แอปพลิเคชันคลาวด์ต่างๆ หรือแอปพลิเคชันที่ช่วยให้ทุกคนสามารถติดต่อกันได้ และทำงานได้อย่างมีประสิทธิภาพไม่ว่าจะอยู่ที่ไหน หรือเวลาใดก็ตามเพิ่มมากยิ่งขึ้น ซึ่งก็แน่นอนว่าความเสี่ยงใหม่ๆ ก็จะตามมาด้วยเช่นกัน เมื่อพนักงานทำงานจากที่ไหนก็ได้ ทำให้แฮกเกอร์สามารถเข้าถึงเครือข่ายของบริษัทประกันภัยได้อย่างง่ายดายและรวดเร็ว ผ่านการเชื่อมต่อจากระยะไกล แล้วจึงทำการติดตั้งแรนซัมแวร์ หรือขโมยข้อมูลลูกค้าที่สำคัญไป ซึ่งทำให้เกิดการรั่วไหลของข้อมูลและเกิดความเสียหายต่อการดำเนินงานของธุรกิจ ระบบโครงสร้างที่ปลอดภัยจึงเป็นสิ่งจำเป็นสำหรับพนักงานที่ทำงานระยะไกล เพื่อให้ทำงาน พูดคุย และร่วมมือกันได้อย่างปลอดภัยไม่ว่าจะอยู่ที่ใดก็ตาม 

โซลูชันการจัดการแรนซัมแวร์จากริโก้ 

โซลูชันการจัดการแรนซัมแวร์นี้เป็นระบบอัตโนมัติที่ใช้งานได้ทุกวันตลอด 24 ชั่วโมง ซึ่งสร้างขึ้นมาจากโมเดล Zero Trust ที่มีระบบการรายงานผลในตัวที่สามารถใช้งานได้อย่างง่ายดาย โดยมีคุณสมบัติต่างๆ ดังนี้: 

• ติดตั้งจากทางไกลได้โดยไม่ยุ่งยาก 
• หยุดการโจมตีจากแรนซัมแวร์ได้ทันทีที่ตรวจพบ 
• บำรุงรักษาได้อย่างง่ายดาย เมื่อใดก็ตามที่มีการอัปเดต 
• ติดตั้งได้ง่ายดาย รวดเร็ว และไม่ซับซ้อน โดยไม่รบกวนการทำงาน 
• รายงานผลได้แบบเรียลไทม์ 
• ไม่มีผลกระทบใดๆ ต่อการทำงานของเครือข่าย และ 
• ไม่ต้องรบกวนแผนก IT มากจนเกินไป 

ที่มา:  RICOH USA