สรุปสั้น
บริษัท Abbott Laboratories ยักษ์ใหญ่ด้านอุปกรณ์การแพทย์และการวินิจฉัยโรค กำลังสอบสวนเหตุการณ์ด้านความปลอดภัยไซเบอร์ 2 กรณีที่แยกจากกัน หลังยืนยันว่ามีการเข้าถึงระบบเก่าของ Exact Sciences ในธุรกิจ Cancer Diagnostics โดยไม่ได้รับอนุญาต พร้อมกับสอบสวนคำกล่าวอ้างอีกกรณีหนึ่งว่าผู้โจมตีเจาะเข้าพอร์ทัล LabCentral ของบริษัทและขโมยข้อมูลออกไป โดยบริษัทออกมายืนยันเหตุการณ์แรกหลังกลุ่มขู่กรรโชก ShinyHunters นำชื่อ Abbott ขึ้นเว็บไซต์ปล่อยข้อมูลของตน พร้อมขู่จะเผยแพร่ข้อมูลที่อ้างว่าขโมยมาหลังวันที่ 18 กรกฎาคม ก่อนจะเลื่อนเส้นตายออกไปเป็นวันที่ 21 กรกฎาคม
กลุ่ม ShinyHunters อ้างกับ BleepingComputer ว่าเข้าถึงระบบได้ผ่านการโจมตีแบบหลอกทางโทรศัพท์ (Vishing) ที่มุ่งเป้าพนักงาน Abbott หลายรายเมื่อกลางเดือนมิถุนายน จนสามารถยึดบัญชี Microsoft Entra แบบลงชื่อเข้าใช้ครั้งเดียว (SSO) และเข้าถึงระบบภายในได้ กลุ่มดังกล่าวอ้างว่าขโมยข้อมูลระบุตัวบุคคลของลูกค้าไปมากกว่า 30 ล้านรายการ รวมถึงหมายเลขประกันสังคมกว่าหนึ่งล้านหมายเลข และบันทึกการสนทนาระหว่างแพทย์กับผู้ป่วยกว่า 22 ล้านรายการ ขณะที่ฝั่ง Abbott ยืนยันว่าเหตุการณ์นี้ไม่กระทบการดำเนินธุรกิจ ผลิตภัณฑ์ การผลิต การทำงานของห้องปฏิบัติการ หรือความสามารถในการดูแลผู้ป่วย โดย BleepingComputer ยังไม่สามารถตรวจสอบยืนยันคำกล่าวอ้างเรื่องข้อมูลที่ถูกขโมยได้อย่างอิสระ
รายละเอียดข่าว
เว็บไซต์ BleepingComputer รายงานเมื่อวันที่ 17 กรกฎาคม 2569 ว่า บริษัท Abbott Laboratories กำลังสอบสวนเหตุการณ์ด้านความปลอดภัยไซเบอร์ 2 กรณีที่แยกจากกัน โดยกรณีแรกเกี่ยวข้องกับการเข้าถึงระบบเก่าของ Exact Sciences ในธุรกิจ Cancer Diagnostics โดยไม่ได้รับอนุญาต ส่วนกรณีที่สองเป็นคำกล่าวอ้างว่ามีผู้โจมตีเจาะพอร์ทัล LabCentral และขโมยข้อมูลของบริษัทออกไป
เมื่อ BleepingComputer สอบถามไปยัง Abbott เกี่ยวกับเหตุการณ์ที่ ShinyHunters อ้าง บริษัทได้ชี้ไปยังแถลงการณ์ที่เผยแพร่บนเว็บไซต์ของตนเอง ซึ่งระบุว่า “Abbott กำลังสอบสวนเหตุการณ์ทางไซเบอร์ที่มีการเข้าถึงระบบภายในจำนวนจำกัดโดยไม่ได้รับอนุญาต เฉพาะในธุรกิจ Cancer Diagnostics ของเราเท่านั้น” และเสริมว่า “เหตุการณ์นี้ไม่ส่งผลกระทบต่อการดำเนินธุรกิจ ผลิตภัณฑ์ ความพร้อมของผลิตภัณฑ์ การผลิต หรือการดำเนินงานของห้องปฏิบัติการ หรือความสามารถของเราในการให้บริการผู้ป่วยแต่อย่างใด” บริษัทยังระบุด้วยว่าเหตุการณ์นี้ไม่กระทบธุรกิจหรือระบบอื่นของ Abbott และย้ำว่าระบบเก่าของ Exact Sciences นั้นแยกต่างหากจากระบบของ Abbott โดยบริษัทได้เริ่มกระบวนการตอบสนองต่อเหตุการณ์ ว่าจ้างผู้เชี่ยวชาญด้านความปลอดภัยไซเบอร์ และแจ้งหน่วยงานบังคับใช้กฎหมายแล้ว พร้อมระบุว่าไม่คาดว่าเหตุการณ์นี้จะส่งผลกระทบอย่างมีนัยสำคัญต่อธุรกิจหรือผลประกอบการทางการเงิน
เมื่อถูกถามว่าข้อมูลใดบ้างที่ถูกขโมยไป กลุ่ม ShinyHunters อ้างว่าได้ดึงข้อมูลออกจาก Microsoft Entra, ServiceNow, SharePoint, Databricks และ Coupa ซึ่งรวมถึงเอกสารภายใน สัญญา และข้อมูลลูกค้า โดยอ้างต่อว่าขโมยข้อมูลระบุตัวบุคคล (PII) ของลูกค้าไปมากกว่า 30 ล้านแถวจากชุดข้อมูลหลายชุด ประกอบด้วยชื่อ ที่อยู่อีเมล หมายเลขโทรศัพท์ ที่อยู่ตามจริง วันเกิด และหมายเลขประกันสังคมมากกว่าหนึ่งล้านหมายเลข นอกจากนี้ยังอ้างว่าขโมยบันทึกของลูกค้ากว่า 22 ล้านรายการที่มีเนื้อหาการสนทนาระหว่างแพทย์กับผู้ป่วย คำสั่งทางการแพทย์กว่า 20 ล้านรายการ รวมถึงข้อตกลงกับลูกค้าและสัญญาไม่เปิดเผยข้อมูล (NDA) ทั้งนี้ BleepingComputer ยังไม่สามารถตรวจสอบยืนยันคำกล่าวอ้างเหล่านี้ได้อย่างอิสระ
วิธีการโจมตี
กลุ่ม ShinyHunters ระบุว่าเข้าถึงระบบของ Abbott ได้ผ่านการโจมตีแบบหลอกทางโทรศัพท์ (Vishing) ที่มุ่งเป้าพนักงานหลายรายเมื่อกลางเดือนมิถุนายน โดยการโจมตีดังกล่าวทำให้กลุ่มสามารถยึดบัญชี Microsoft Entra แบบลงชื่อเข้าใช้ครั้งเดียว (Single Sign-On หรือ SSO) และเข้าถึงระบบภายในได้ ซึ่งเป็นรูปแบบเดียวกับที่กลุ่มนี้ใช้มาตลอดตั้งแต่ปีที่แล้ว นั่นคือปฏิบัติการวิศวกรรมสังคมที่มุ่งเป้าบัญชี SSO ของพนักงานบนแพลตฟอร์ม Microsoft Entra, Okta และ Google
จุดสำคัญคือเมื่อยึดบัญชี SSO ขององค์กรได้แล้ว ผู้โจมตีจะขโมยข้อมูลจากแอปพลิเคชันแบบ SaaS ที่เชื่อมต่ออยู่กับบัญชีนั้นทั้งหมด ไม่ว่าจะเป็น Salesforce, Microsoft 365, Google Workspace, SAP, Slack, Adobe, Atlassian, Zendesk, Dropbox และอีกจำนวนมาก ซึ่งหมายความว่าบัญชีพนักงานเพียงบัญชีเดียวที่ถูกยึดสามารถเปิดประตูสู่ข้อมูลที่กระจายอยู่ในระบบคลาวด์หลายสิบระบบพร้อมกัน โดยไม่จำเป็นต้องอาศัยช่องโหว่ทางเทคนิคใดๆ เลย
กลุ่มขู่กรรโชกรายนี้มุ่งเป้าบริษัทในกลุ่มเทคโนโลยีการแพทย์มากขึ้นเรื่อยๆ โดยก่อนหน้านี้มีทั้ง Medtronic, OneMedical และ AdaptHealth ขณะที่ BleepingComputer ยังทราบมาว่า ShinyHunters อยู่เบื้องหลังเหตุข้อมูลรั่วของ iRhythm และเคยมุ่งเป้าบริษัท Stryker ไม่นานหลังจากบริษัทฟื้นตัวจากการโจมตีแบบล้างข้อมูลของอิหร่าน
สำหรับเหตุการณ์ที่สอง เกี่ยวข้องกับผู้โจมตีที่ใช้ชื่อว่า ShadowByt3$ ซึ่งติดต่อมายัง BleepingComputer โดยอ้างว่าเจาะเข้าธุรกิจ Core Laboratory diagnostics ของ Abbott ผ่านพอร์ทัลลูกค้า LabCentral ผู้โจมตีระบุว่าใช้ข้อมูลรับรองของลูกค้าที่ถูกขโมยมา หลังพบสิ่งที่ตนเรียกว่า “จุดอ่อน” ในสภาพแวดล้อมนั้น และอ้างว่าเข้าถึงระบบได้เมื่อวันที่ 4 กรกฎาคม 2569 จากนั้นจึงค่อยๆ ทยอยดึงไฟล์ออกโดยมุ่งเป้าไปที่จุดปลายทาง API กลุ่มดังกล่าวอ้างว่าข้อมูลที่ขโมยไปรวมถึงใบรับรองการผลิต CE คู่มือการใช้งาน ข้อกำหนดทางเทคนิค เอกสารด้านกฎระเบียบ และเอกสารผลิตภัณฑ์อื่นๆ ที่เกี่ยวกับระบบวินิจฉัยในห้องปฏิบัติการ พร้อมยืนยันว่าไม่มีข้อมูลลูกค้าถูกขโมย แต่อ้างว่าได้เอกสารทางธุรกิจที่อ่อนไหวและทรัพย์สินทางปัญญาไป
ทางบริษัท Abbott ยืนยันกับ BleepingComputer ว่ารับทราบถึงเหตุการณ์ทางไซเบอร์ที่ “อาจเกิดขึ้น” นี้ แต่โต้แย้งคำอธิบายของผู้โจมตีเกี่ยวกับข้อมูลที่อ้างว่าขโมยไป โดยระบุว่าข้อมูลทั้งหมดที่จัดเก็บในสภาพแวดล้อมดังกล่าวเป็นข้อมูลสาธารณะและไม่มีความอ่อนไหว โฆษกของ Abbott อธิบายว่า “LabCentral เป็นพอร์ทัลที่โฮสต์โดยบุคคลที่สามและเปิดสู่ภายนอก ใช้โดยธุรกิจ core laboratory diagnostics ของ Abbott ซึ่งบรรจุเอกสารอ้างอิงทางเทคนิคของผลิตภัณฑ์ที่เปิดเผยต่อสาธารณะอยู่แล้ว รวมถึงคู่มือการใช้งาน รายการตรวจสอบการแก้ปัญหา และข้อกำหนดของผลิตภัณฑ์ และไม่มีข้อมูลลูกค้าหรือข้อมูลทางธุรกิจที่เป็นกรรมสิทธิ์หรืออ่อนไหว” ณ ขณะนี้ทั้ง ShinyHunters และ ShadowByt3$ ยังไม่ได้เผยแพร่ข้อมูลที่อ้างว่าขโมยมาจาก Abbott ต่อสาธารณะ
ผลกระทบต่อไทย
บริษัท Abbott เป็นผู้ผลิตอุปกรณ์การแพทย์และชุดตรวจวินิจฉัยที่ใช้งานแพร่หลายในโรงพยาบาลและห้องปฏิบัติการทั่วประเทศไทย ทั้งเครื่องวิเคราะห์ในห้องแล็บ ชุดตรวจวินิจฉัย และอุปกรณ์ติดตามระดับน้ำตาลในเลือด แม้บริษัทจะยืนยันว่าเหตุการณ์นี้ไม่กระทบการผลิตหรือความพร้อมของผลิตภัณฑ์ แต่โรงพยาบาลและห้องปฏิบัติการไทยที่ใช้พอร์ทัลลูกค้าของผู้ผลิตอุปกรณ์การแพทย์ควรถือโอกาสนี้ทบทวนว่าข้อมูลรับรองที่ใช้เข้าพอร์ทัลเหล่านั้นถูกใช้ซ้ำกับระบบอื่นหรือไม่ เพราะกรณี LabCentral เกิดจากการใช้ข้อมูลรับรองของลูกค้าที่ถูกขโมยมา
บทเรียนที่สำคัญกว่าสำหรับองค์กรไทยคือรูปแบบการโจมตีของ ShinyHunters ซึ่งไม่ได้อาศัยช่องโหว่ทางเทคนิคเลย แต่ใช้การโทรศัพท์หลอกพนักงานเพื่อยึดบัญชี SSO แล้วกวาดข้อมูลจากบริการคลาวด์ทุกตัวที่ผูกกับบัญชีนั้น องค์กรไทยจำนวนมากกำลังรวมการเข้าถึงระบบทั้งหมดไว้กับ SSO ตัวเดียวเพื่อความสะดวก ซึ่งช่วยลดภาระการจัดการรหัสผ่านได้จริง แต่ก็ทำให้บัญชีเดียวกลายเป็นกุญแจดอกเดียวที่เปิดได้ทั้งบ้าน หากไม่มีมาตรการยืนยันตัวตนที่ต้านฟิชชิงได้และไม่มีกระบวนการตรวจสอบตัวตนที่รัดกุมในฝ่ายบริการช่วยเหลือ ความเสี่ยงจะกระจุกตัวอยู่ที่จุดเดียวอย่างอันตราย นอกจากนี้สถานพยาบาลไทยยังต้องระวังเป็นพิเศษ เพราะข้อมูลผู้ป่วยถือเป็นข้อมูลอ่อนไหวภายใต้ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล ที่มีบทลงโทษสูงกว่าข้อมูลทั่วไป
คำแนะนำ
มาตรการที่ตรงจุดที่สุดสำหรับการโจมตีรูปแบบนี้คือ การเปลี่ยนไปใช้การยืนยันตัวตนหลายปัจจัยที่ต้านฟิชชิงได้ เช่น FIDO2 หรือกุญแจความปลอดภัยแบบฮาร์ดแวร์ แทนรหัสผ่านครั้งเดียวทาง SMS หรือการกดยืนยันในแอป ซึ่งผู้โจมตีสามารถหลอกให้พนักงานอ่านหรือกดยืนยันทางโทรศัพท์ได้ ควบคู่กับการวางกระบวนการยืนยันตัวตนที่รัดกุมสำหรับฝ่ายบริการช่วยเหลือ โดยเฉพาะเมื่อมีการร้องขอรีเซ็ตรหัสผ่าน ลงทะเบียนอุปกรณ์ใหม่ หรือปิดการยืนยันตัวตนหลายปัจจัยชั่วคราว
ในระดับระบบ ควรทบทวนว่าบัญชี SSO แต่ละบัญชีเข้าถึงบริการ SaaS ใดได้บ้าง และตัดสิทธิ์ที่เกินความจำเป็นออกตามหลักสิทธิ์น้อยที่สุด (Least Privilege) เพราะกรณีนี้แสดงชัดว่าบัญชีเดียวสามารถเปิดทางไปยัง Microsoft Entra, ServiceNow, SharePoint, Databricks และ Coupa พร้อมกันได้ พร้อมทั้งเปิดบันทึกล็อกและตั้งการแจ้งเตือนสำหรับการดาวน์โหลดข้อมูลปริมาณมากผิดปกติจากบริการคลาวด์ ซึ่งเป็นสัญญาณที่จะจับการขโมยข้อมูลได้ก่อนที่ผู้โจมตีจะดึงข้อมูลออกไปครบ
องค์กรควรจัดอบรมพนักงานให้รู้เท่าทันการหลอกทางโทรศัพท์โดยเฉพาะ เพราะการโจมตีแบบ Vishing อาศัยความเร่งด่วนและการแอบอ้างเป็นฝ่ายไอทีเป็นหลัก โดยควรกำหนดกฎชัดเจนว่าฝ่ายไอทีจะไม่ขอรหัสผ่านหรือรหัสยืนยันทางโทรศัพท์เด็ดขาด และให้พนักงานวางสายแล้วโทรกลับผ่านช่องทางที่ตรวจสอบได้เสมอ สุดท้ายควรทบทวนความเสี่ยงจากระบบเก่าที่ตกทอดมาจากการควบรวมกิจการ ซึ่งกรณีนี้คือระบบของ Exact Sciences ที่ยังแยกจากระบบหลักอยู่ เพราะระบบกลุ่มนี้มักถูกละเลยจากมาตรการความปลอดภัยที่ใช้กับระบบหลักขององค์กร