สรุปสั้น

หน่วยข่าวกรองพลเรือน AIVD และหน่วยข่าวกรองทางทหาร MIVD ของประเทศเนเธอร์แลนด์ ออกประกาศเตือนด้านความปลอดภัยไซเบอร์เมื่อวันที่ 10 กรกฎาคม พ.ศ. 2569 ระบุว่าหน่วยข่าวกรองของรัสเซียอย่างน้อยหนึ่งหน่วยกำลังยึดกล้องวงจรปิดที่เชื่อมต่ออินเทอร์เน็ตทั่วยุโรปและยูเครนอย่างเป็นระบบ แล้วใช้ภาพจากกล้องเหล่านั้นเฝ้าดูเส้นทางลำเลียงทางทหาร การขนส่งอาวุธที่มุ่งหน้าไปยังกรุงเคียฟ รวมถึงตำแหน่งของกำลังพลยูเครน โดยทั้งสองหน่วยงานระบุว่าปฏิบัติการนี้ยังดำเนินอยู่ในขณะนี้ ที่ร้ายแรงกว่านั้นคือในยูเครน การสอดส่องไม่ได้หยุดอยู่แค่การเฝ้าดูเฉยๆ เพราะการเข้าถึงกล้องถูกนำไปใช้ในความพยายามสังหารกำลังพลทหารยูเครนและทำลายยุทโธปกรณ์ เท่ากับเปลี่ยนกล้องริมถนนหรือกล้องหน้าร้านธรรมดาให้กลายเป็นเครื่องช่วยชี้เป้า

จุดที่ทำให้ภัยนี้น่ากังวลเป็นพิเศษคือ ผู้โจมตีแทบไม่ต้องใช้เทคนิคขั้นสูงใดๆ เลย พวกเขาเพียงกวาดหาอุปกรณ์ที่เปิดสู่อินเทอร์เน็ต ระบุยี่ห้อของกล้อง IP แล้วเดินเข้าไปในเครื่องที่ยังใช้รหัสผ่านค่าเริ่มต้น เฟิร์มแวร์ที่ล้าสมัย และการตั้งค่าจากโรงงานที่ไม่มีใครแตะต้อง จากนั้นจึงใช้ซอฟต์แวร์รู้จำภาพ (image recognition) ทำหน้าที่เฝ้าดูแทนคน โดยไล่ค้นหายานพาหนะทางทหารและสินค้าที่บรรทุกมาในภาพวิดีโอโดยอัตโนมัติ ไม่มีขั้นตอนใดในรายงานนี้ที่ต้องอาศัยช่องโหว่ Zero-Day เลย นอกจากในยูเครนแล้ว การเข้าถึงกล้องแบบเดียวกันนี้ยังถูกใช้เก็บข่าวกรองทางทหารในประเทศสมาชิกสหภาพยุโรปและนาโตที่ไม่เกี่ยวข้องกับสงครามอีกด้วย

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 20 กรกฎาคม พ.ศ. 2569 ว่า หน่วยข่าวกรองของรัสเซียกำลังยึดกล้องรักษาความปลอดภัยที่เชื่อมต่ออินเทอร์เน็ตทั่วยุโรปและยูเครนอย่างเป็นระบบ ตามผลการวิเคราะห์ในประกาศเตือนด้านความปลอดภัยไซเบอร์ที่หน่วยข่าวกรอง AIVD และ MIVD ของเนเธอร์แลนด์เผยแพร่เมื่อวันที่ 10 กรกฎาคม ซึ่งอธิบายว่าปฏิบัติการดังกล่าวยังคงดำเนินอยู่ ทั้งสองหน่วยงานระบุว่ากล้องที่ถูกยึดถูกใช้เฝ้าดูเส้นทางขนส่งทางทหาร การลำเลียงอาวุธที่ส่งไปยังกรุงเคียฟ และตำแหน่งของทหารยูเครน

ในฝั่งยูเครน การเข้าถึงกล้องถูกนำไปใช้ในความพยายามกำจัดกำลังพลทหารยูเครนและทำลายอุปกรณ์ของพวกเขา ซึ่งหมายความว่าภาพจากกล้องกลายเป็นข้อมูลประกอบการเล็งเป้าโจมตีทางกายภาพโดยตรง ส่วนในประเทศสมาชิกสหภาพยุโรปและนาโต การเข้าถึงกล้องแบบเดียวกันถูกใช้รวบรวมข่าวกรองทางทหารที่ไม่เกี่ยวข้องกับสงครามในยูเครนเลยด้วย

ในประเด็นขนาดของพื้นผิวการโจมตี บริษัท Censys ซึ่งเป็นผู้ให้บริการสแกนอินเทอร์เน็ต ได้เผยแพร่บทวิเคราะห์ของตัวเองประกอบ โดยนาย Martijn Grooten นักวิจัยด้านความปลอดภัยระดับ Principal ของบริษัท เตือนไว้ก่อนว่าการที่กล้องเข้าถึงได้จากอินเทอร์เน็ตไม่ได้แปลว่ากล้องนั้นถูกแฮ็กได้เสมอไป อย่างไรก็ตามตัวเลขที่ Censys นับได้นั้นมหาศาล โดยทั่วสหภาพยุโรป ประเทศสมาชิกนาโต และยูเครน บริษัทนับกล้องที่ต่ออินเทอร์เน็ตซึ่งรันบริการที่เวอร์ชันตรงกับช่องโหว่ที่เคยถูกใช้โจมตีจริงได้มากกว่า 87,000 ตัว และระบุว่าเป็นเพียงตัวเลขขั้นต่ำ ในจำนวนนี้มีมากกว่า 4,000 ตัวอยู่ในยูเครน เฉพาะในเนเธอร์แลนด์ Censys พบกล้องที่เข้าถึงได้จากอินเทอร์เน็ตสาธารณะ 45,386 ตัว และตั้งธงว่า 1,992 ตัวรันบริการที่มีช่องโหว่ซึ่งเคยถูกใช้โจมตีจริง

ตัวเลขเหล่านี้มีข้อควรระวังที่ Censys เองก็ยกขึ้นมา นั่นคือมันนับโฮสต์ที่รันบริการใดก็ตามที่มีช่องโหว่ ไม่ใช่เฉพาะกล้องที่ซอฟต์แวร์ของตัวกล้องเองมีปัญหา หากแคบลงมาเหลือเฉพาะบั๊กในซอฟต์แวร์ของกล้องจริงๆ ตัวเลขจะลดเหลือ 541 ตัว ทั้งนี้ Censys เลือกใช้ตัวเลขกว้างด้วยเหตุผลว่า การยึดหัวหาดได้จากบริการหนึ่งมักถูกต่อยอดไปยึดทั้งเครื่องได้อยู่ดี

นอกจากนี้การจับคู่ด้วยหมายเลขเวอร์ชันยังมีข้อจำกัดในตัวเอง เพราะแบนเนอร์ของบริการไม่เท่ากับช่องโหว่ที่โจมตีได้จริง ตัวอย่างเช่นช่องโหว่ 2 รายการที่ Censys หยิบยกมา รายการแรกคือ CVE-2016-7407 ซึ่งอยู่ใน dropbearconvert อันเป็นเครื่องมือนำเข้ากุญแจแบบทำงานบนเครื่องของ Dropbear SSH server และจะรันโค้ดก็ต่อเมื่อมีคนแปลงไฟล์กุญแจที่เป็นอันตรายเท่านั้น ช่องโหว่นี้ถูกแก้ไปตั้งแต่เดือนกรกฎาคม 2559 และ Censys ตั้งธงโฮสต์ในเนเธอร์แลนด์ไว้ 159 เครื่อง ส่วนรายการที่สองคือ CVE-2021-39275 ซึ่งเป็นการเขียนข้อมูลนอกขอบเขต (out-of-bounds write) ที่ทางโครงการ Apache เองให้ระดับความรุนแรงต่ำ เนื่องจากไม่มีโมดูลที่มากับตัวติดตั้งใดป้อนข้อมูลที่ไม่น่าเชื่อถือเข้าฟังก์ชันที่ได้รับผลกระทบ แม้โมดูลจากผู้พัฒนาภายนอกอาจทำได้ก็ตาม ช่องโหว่นี้แก้ไปแล้วใน Apache 2.4.49 เมื่อปี 2564 และมีโฮสต์ในเนเธอร์แลนด์ 112 เครื่องที่รันเวอร์ชันตรงกัน โดย Censys นับทั้งสองรายการว่าเคยถูกใช้โจมตีจริง แม้ทั้งคู่จะไม่ได้อยู่ในบัญชี Known Exploited Vulnerabilities (KEV) ของ CISA ก็ตาม

เมื่อนำพื้นผิวที่เปิดอยู่มาเทียบกับการบุกรุกที่ยืนยันได้ หน่วยงานของเนเธอร์แลนด์ระบุในแถลงการณ์แยกอีกฉบับว่า จริงๆ แล้วพวกเขาจับได้ว่ามีกล้องถูกเจาะเพียงจำนวนไม่มาก โดยเป็นกล้องที่ตั้งอยู่บนเส้นทางลำเลียงทางทหารภายในประเทศเนเธอร์แลนด์โดยตรง และองค์กรที่ดูแลกล้องเหล่านั้นได้รับการแจ้งเตือนแล้วเพื่อให้ไปปิดช่องโหว่ ทั้งนี้ The Hacker News ได้สอบถามไปยัง Censys ว่าตัวเลขที่นับมานั้นเป็นเพียงการจับคู่เวอร์ชัน หรือยืนยันการตั้งค่าที่มีช่องโหว่จริง และใช้หลักฐานใดจัดว่าช่องโหว่ทั้งสองถูกใช้โจมตีจริง ซึ่งยังรอคำตอบอยู่

วิธีการโจมตี

สิ่งที่ทำให้ปฏิบัติการนี้น่ากลัวคือความธรรมดาของมัน ขั้นตอนเริ่มจากการกวาดสแกนอินเทอร์เน็ตเพื่อหาอุปกรณ์ที่เปิดเผยตัวออกมา จากนั้นทำการระบุลักษณะเฉพาะ (fingerprint) ของกล้อง IP แยกตามยี่ห้อ แล้วจึงเข้าไปยังกล้องที่ยังใช้รหัสผ่านค่าเริ่มต้นจากโรงงาน ใช้เฟิร์มแวร์รุ่นเก่าที่เลิกสนับสนุนแล้ว หรือคงค่าตั้งต้นที่ไม่เคยมีใครไปเปลี่ยน ไม่มีขั้นตอนใดที่ต้องอาศัยช่องโหว่ Zero-Day หรือเครื่องมือระดับรัฐราคาแพง

จุดที่ยกระดับปฏิบัติการนี้ให้เป็นงานข่าวกรองระดับอุตสาหกรรมคือขั้นตอนหลังยึดกล้องได้ ผู้โจมตีใช้ซอฟต์แวร์รู้จำภาพไล่ค้นหาในสตรีมวิดีโอโดยอัตโนมัติ เพื่อมองหายานพาหนะทางทหารและสินค้าที่บรรทุกอยู่ ซึ่งหมายความว่าไม่จำเป็นต้องมีเจ้าหน้าที่นั่งจ้องจอทีละกล้อง ระบบสามารถเฝ้าดูกล้องจำนวนมากพร้อมกันตลอดเวลา และแจ้งเตือนเฉพาะตอนที่เห็นสิ่งที่สนใจ นี่คือเหตุผลที่กล้องธรรมดาหลายพันตัวสามารถกลายเป็นเครือข่ายสอดแนมขนาดใหญ่ได้จริงในทางปฏิบัติ

คุณค่าของกล้องแต่ละตัวไม่ได้ถูกกำหนดโดยความซับซ้อนทางเทคนิค แต่ถูกกำหนดโดยตำแหน่งที่กล้องหันไปมองเป็นหลัก กล้องที่ส่องเส้นทางขนส่ง ท่าเรือ ประตูโรงงาน หรือลานขนถ่ายสินค้า จะให้ข้อมูลว่ารถบรรทุกเคลื่อนไหวเมื่อใด ใครเข้าออกบ้าง และของถูกลำเลียงไปทางไหน ซึ่งเป็นข้อมูลการปฏิบัติงานทางกายภาพแบบเรียลไทม์ที่ผู้โจมตีได้มาโดยไม่ต้องเจาะเข้าเครือข่ายภายในขององค์กรเลยแม้แต่น้อย ทางหน่วยงานของเนเธอร์แลนด์ระบุว่ายังไม่พบว่าข่าวกรองที่ได้จากกล้องถูกนำไปใช้ในการโจมตีทางทหารนอกยูเครน แต่ความง่ายของทั้งขั้นตอนเข้าและขั้นตอนใช้ประโยชน์ ทำให้เทคนิคนี้ย้ายไปใช้ที่ไหนก็ได้

ผลกระทบต่อไทย

แม้ข่าวนี้จะเกิดในบริบทของสงครามในยูเครนและประเทศสมาชิกนาโต แต่บทเรียนตรงกับสถานการณ์ในไทยอย่างมาก เพราะประเทศไทยมีกล้องวงจรปิดที่ต่ออินเทอร์เน็ตจำนวนมหาศาลทั้งของหน่วยงานรัฐ ท้องถิ่น นิคมอุตสาหกรรม ท่าเรือ คลังสินค้า และภาคเอกชน โดยจำนวนไม่น้อยเป็นกล้องราคาประหยัดที่ติดตั้งโดยผู้รับเหมาแล้วส่งมอบไป ไม่เคยเปลี่ยนรหัสผ่านค่าเริ่มต้น ไม่เคยอัปเดตเฟิร์มแวร์ และมักเปิดพอร์ตออกอินเทอร์เน็ตเพื่อให้ผู้ดูแลเข้าดูจากที่บ้านได้สะดวก

ความเสี่ยงในบริบทไทยไม่จำเป็นต้องเป็นเรื่องข่าวกรองทางทหารเสมอไป กล้องที่ส่องประตูโรงงาน ลานขนถ่ายสินค้าของศูนย์กระจายสินค้า จุดจอดรถขนเงิน หรือทางเข้าออกของสถานที่สำคัญ ล้วนให้ข้อมูลรูปแบบการทำงานที่มีค่าต่อทั้งกลุ่มอาชญากรรมทั่วไปและกลุ่มที่มีแรงจูงใจทางการเมือง นอกจากนี้กล้องที่ถูกยึดยังมักถูกนำไปใช้เป็นสมาชิกบอตเน็ตหรือใช้เป็นจุดกระโดดเข้าสู่เครือข่ายภายในต่อไป ซึ่งเป็นรูปแบบที่พบซ้ำในหลายเหตุการณ์ที่ผ่านมา

สำหรับหน่วยงานที่เกี่ยวข้องกับโครงสร้างพื้นฐานสำคัญของประเทศ ทั้งท่าเรือ สนามบิน ระบบราง คลังน้ำมัน และคลังสินค้าขนาดใหญ่ ควรถือว่ากล้องวงจรปิดเป็นทรัพย์สินด้านความมั่นคงที่ต้องบริหารจัดการ ไม่ใช่อุปกรณ์อำนวยความสะดวกที่ติดตั้งแล้วปล่อยทิ้ง เพราะมุมกล้องเพียงตัวเดียวที่หันไปผิดทิศและเข้าถึงได้จากอินเทอร์เน็ต ก็เพียงพอที่จะเปิดเผยจังหวะการเคลื่อนย้ายของทั้งองค์กรให้คนนอกเห็นได้ทุกวัน

คำแนะนำ

ขั้นตอนแรกคือสำรวจให้รู้ว่ามีกล้องตัวใดบ้างที่เข้าถึงได้จากอินเทอร์เน็ตสาธารณะ ไม่ว่าจะผ่านการทำ port forward ที่ลืมปิดไว้ การแมปพอร์ตอัตโนมัติด้วย UPnP หรือบริการรีเลย์ผ่านคลาวด์ของผู้ผลิต โดยให้ความสำคัญเป็นลำดับแรกกับกล้องที่ส่องเส้นทางขนส่ง ท่าเรือ และสถานที่อ่อนไหวอื่นๆ พร้อมทั้งตรวจล็อกการเข้าถึงย้อนหลังว่ามีการเข้าดูที่ไม่รู้จักหรือไม่

ถัดมาคือเอาสตรีมวิดีโอออกจากอินเทอร์เน็ตสาธารณะ โดยปิด port forwarding และ UPnP แล้วให้ผู้ดูแลเข้าถึงกล้องผ่าน VPN แทน พร้อมกันนั้นต้องเปลี่ยนรหัสผ่านค่าเริ่มต้นทุกตัวและเปิดการยืนยันตัวตนหลายปัจจัย (MFA) ในอุปกรณ์ที่รองรับ ส่วนอุปกรณ์ที่ไม่รองรับ MFA ก็ไม่ควรให้เข้าถึงได้จากอินเทอร์เน็ตสาธารณะโดยเด็ดขาด

อีกมาตรการที่มักถูกมองข้ามคือการเล็งมุมกล้องอย่างตั้งใจ ควรจัดให้เส้นทางลำเลียง ลานขนถ่ายสินค้า และจุดอ่อนไหวอื่นๆ อยู่นอกกรอบภาพเท่าที่ทำได้ และใช้การปิดบังพื้นที่ (masking) กับส่วนที่หลีกเลี่ยงไม่ได้ เพราะมาตรการนี้ลดคุณค่าของกล้องในสายตาผู้โจมตีได้ทันทีแม้กล้องจะถูกยึดไปแล้ว

สุดท้ายคือการอัปเดตเฟิร์มแวร์และซอฟต์แวร์ให้เป็นปัจจุบันอย่างสม่ำเสมอ และเมื่อถึงเวลาจัดซื้อใหม่ ควรเลือกกล้องที่ผู้ผลิตให้การสนับสนุนด้านความปลอดภัยยาวเป็นปี ไม่ใช่เพียงไม่กี่เดือน โดยควรกำหนดเรื่องระยะเวลาสนับสนุนด้านความปลอดภัยไว้ในเงื่อนไขการจัดซื้อจัดจ้างตั้งแต่ต้น เพื่อไม่ให้องค์กรต้องแบกอุปกรณ์ที่หมดอายุการดูแลไปอีกหลายปี

แหล่งอ้างอิง