มัลแวร์ประเภทหนึ่งที่มักจะสร้างความเสียหายให้กับบริษัท และองค์กรต่าง ๆ ได้อย่างร้ายแรงคงจะหนีไม่พ้นมัลแวร์ประเภทเรียกค่าไถ่ หรือ Ransomware ที่สามารถทำให้บางบริษัทปิดตัว หรือทำให้โรงพยาบาลต้องหยุดชะงักจนมีผู้เสียชีวิตได้เลยทีเดียว แต่ทราบไหมว่าการทำงานของกลุ่มผู้ที่อยู่เบื้องหลังนั้น กลับมีเทรนด์ที่น่าสนใจให้น่าศึกษาอยู่ เช่นในข่าวนี้

จากรายงานโดยเว็บไซต์ Security Affairs ได้กล่าวถึงการศึกษาวิจัยการทำงานของกลุ่มแฮกเกอร์ที่อยู่เบื้องหลังแรนซัมแวร์โดยทีมวิจัย Ransomnews Research Team ด้วยการศึกษาเว็บไซต์สำหรับการโพสต์ข้อมูลที่ถูกขโมยมาจากองค์กรของเหยื่อ (Leak Post) จำนวนกว่า 16,699 โพสต์บนเว็บไซต์ใต้ดิน โดยฝีมือของกลุ่มแรนซัมแวร์มากถึง 200 กลุ่ม จนพบตัวเลขที่น่าสนใจหลายอย่าง เช่น

• กลุ่มแรนซัมแวร์ส่วนมากจะทำงานกันในช่วงเวลาทำงาน (Office Hours) มาตรฐานในแถบทวีปยุโรป โดยจะมากเป็นพิเศษในช่วงเดือนตุลาคม โดยมีมากถึง 611 โพสต์ในปี ค.ศ. 2024 (พ.ศ. 2567) และ 1,029 โพสต์ในปี ค.ศ. 2025 (พ.ศ. 2568)
• เมื่อเจาะลึกในช่วงเวลาการโพสต์ Leak Post แล้วพบว่า วันจันทร์มีการโพสต์เฉลี่ย 3,080 โพสต์, วันอังคาร 3,073 โพสต์, แต่วันอาทิตย์มีการโพสต์เพียง 1,189 โพสต์ เท่านั้น จากการเก็บข้อมูลคลอดช่วงเวลา 24 เดือน
• ช่วงเวลาในการโพสต์นั้นก็มีการตรวจพบว่า 50% ของ 16,699 โพสต์ นั้น มีการโพสต์ระหว่างเวลา 15:00 นาฬิกา ถึง 22:59 นาฬิกา ตามเวลามาตรฐาน UTC ซึ่งเทียบเทียบกับเวลา 11:00 นาฬิกา ถึง 18:00 นาฬิกา ของเวลาอเมริกาตะวันออก และ 16:00 นาฬิกา ถึง 23:00 นาฬิกา ของเวลายุโรปกลาง
• สิ่งที่น่าสนใจคือ ในระหว่างช่วงเวลานี้ ช่วงเวลา 4 โมงเย็น ตามมาตรฐาน UTC นั้นมีการโพสต์น้อยสุด เพียงแค่ 215 โพสต์ ในตลอดช่วงเวลา 2 ปีของการเก็บข้อมูล

ภาพจาก : https://securityaffairs.com/192969/cyber-crime/ransomware-operators-keep-business-hours-the-data-proves-it.html

นอกจากนั้นก็ยังมีสถิติของแรนซัมแวร์ทั้งตัวใหม่และเก่า ที่เริ่มเข้ามามีบทบาทสำคัญหลังจากที่แรนซัมแวร์ตัวดัง RansomHub ถูกปราบไปในปี ค.ศ. 2025 (พ.ศ. 2568) ดังนี้

• กลุ่มแรนซัมแวร์ The Gentlemen เริ่มโพสต์ข้อมูลที่หลุดออกมาในช่วงเดือนกันยายน ค.ศ. 2025 (พ.ศ. 2568) ซึ่งเมื่อนับแล้วทางกลุ่มมีเหยื่อทั้งหมด 408 ราย จากการโจมตีตลอดช่วงเวลา 246 วัน
• กลุ่มแรนซัมแวร์ Qilin ได้กลายมาเป็นกลุ่มใหญ่แทน โดยสามารถเล่นงานเหยื่อได้ถึง 1,690 ราย ในช่วงเวลา 731 วัน มีจำนวนการโพสต์ข้อมูลที่ขโมยมาได้เฉลี่ย 2.3 โพสต์ต่อวัน
• กลุ่มแรนซัมแวร์ Akira มาเป็นอันดับ 2 กับเหยื่อที่มากถึง 1,124 ราย
• กลุ่ม RansomHub ก่อนที่จะโดนปราบไปนั้นสามารถจัดการเหยื่อได้ถึง 801 ราย ในช่วงเวลา 322 วัน
• กลุ่ม Safepay ที่พึ่งเริ่มทำการในช่วงเดือนพฤศจิกายน ค.ศ. 2024 (พ.ศ. 2567) นั้น สามารถจัดการเหยื่อไปได้ 475 ราย