สรุปสั้น

บริษัท Estée Lauder ยักษ์ใหญ่ด้านเครื่องสำอางสัญชาติอเมริกัน เริ่มส่งหนังสือแจ้งเตือนไปยังผู้ได้รับผลกระทบว่าข้อมูลส่วนบุคคลรั่วไหล หลังผู้โจมตีใช้ช่องโหว่ในระบบ Oracle E-Business Suite ซึ่งบริษัทใช้สำหรับงานบริหารทรัพยากรบุคคล (HR) เจาะเข้าไปดึงข้อมูลออกไป โดยบริษัทระบุว่าตรวจพบการบุกรุกเมื่อเดือนที่ผ่านมา แต่การบุกรุกจริงเกิดขึ้นตั้งแต่วันที่ 9 สิงหาคม 2568 ซึ่งหมายความว่าผู้โจมตีเข้าถึงข้อมูลไปแล้วก่อนที่บริษัทจะรู้ตัวนานเกือบ 11 เดือน

ข้อมูลที่รั่วไหลตามตัวอย่างหนังสือแจ้งเตือนถือว่าครอบคลุมและอ่อนไหวมาก ประกอบด้วยชื่อ-นามสกุลเต็ม ที่อยู่ทางไปรษณีย์ ที่อยู่อีเมล วันเดือนปีเกิด หมายเลขประกันสังคม หมายเลขหนังสือเดินทาง ข้อมูลบัญชีการเงินรวมถึงเลขบัญชีธนาคาร ข้อมูลสุขภาพ และข้อมูลการจ้างงานซึ่งรวมถึงข้อมูลเงินเดือนและรายงานผลการปฏิบัติงาน ชุดข้อมูลลักษณะนี้เพียงพอสำหรับการสวมรอยตัวตนได้อย่างสมบูรณ์ ไม่ใช่แค่การส่งอีเมลหลอกลวงทั่วไป

แม้หนังสือแจ้งเตือนของ Estée Lauder จะไม่ระบุว่าเป็นช่องโหว่ตัวใด แต่ช่วงเวลาของการบุกรุกตรงกับแคมเปญโจมตีเป็นวงกว้างที่พุ่งเป้า Oracle E-Business Suite ผ่านช่องโหว่ CVE-2025-61882 ซึ่งกลุ่มแรนซัมแวร์ Clop ใช้เป็นช่องโหว่ Zero-day ขโมยข้อมูลจากองค์กรจำนวนมากทั่วโลก บริษัทเสนอบริการเฝ้าระวังการสวมรอยตัวตนฟรี 24 เดือนผ่าน Kroll ให้แก่ผู้ได้รับผลกระทบ

รายละเอียดข่าว

เว็บไซต์ BleepingComputer รายงานเมื่อวันที่ 20 กรกฎาคม 2569 ว่าบริษัท Estée Lauder กำลังแจ้งเตือนผู้ได้รับผลกระทบเรื่องข้อมูลรั่วไหล หลังผู้โจมตีใช้ช่องโหว่ในระบบ Oracle E-Business Suite ที่บริษัทใช้สำหรับงานบริหารทรัพยากรบุคคล โดยในหนังสือแจ้งเตือนระบุว่า “เราได้รับทราบถึงปัญหาด้านความปลอดภัยไซเบอร์ที่เกี่ยวข้องกับช่องโหว่ในระบบ Oracle E-Business Suite ซึ่งกลุ่มบริษัท Estée Lauder ใช้เพื่อวัตถุประสงค์ด้านการบริหารงานบุคคล”

ไทม์ไลน์ที่บริษัทเปิดเผยคือ “เมื่อวันที่ 19 มิถุนายน 2569 เราได้ข้อสรุปจากการสอบสวนว่า ในราววันที่ 9 สิงหาคม 2568 บุคคลที่สามที่ไม่ได้รับอนุญาตได้เข้าถึงระบบ Oracle E-Business Suite และได้ข้อมูลส่วนบุคคลของบุคคลบางรายไป” ระยะห่างระหว่างวันที่ถูกเจาะกับวันที่ยืนยันผลการสอบสวนกินเวลาเกือบ 11 เดือน ซึ่งเป็นช่วงเวลาที่ผู้เสียหายไม่มีโอกาสรู้ตัวเพื่อป้องกันตนเองเลย

บริษัท Estée Lauder เป็นผู้ผลิตเครื่องสำอางรายใหญ่อันดับสองของโลก มีสำนักงานใหญ่ในนิวยอร์ก รายได้ต่อปีราว 14.3 พันล้านดอลลาร์สหรัฐ มีพนักงาน 57,000 คน และมีทั้งร้านค้าออนไลน์และหน้าร้านทั่วโลก ขนาดขององค์กรบวกกับลักษณะข้อมูลที่หลุด ซึ่งเป็นข้อมูลฝั่ง HR ทำให้กลุ่มผู้เสียหายหลักน่าจะเป็นพนักงานและอดีตพนักงานมากกว่าลูกค้าทั่วไป

ที่น่าสนใจคือนี่ไม่ใช่ครั้งแรกที่ Estée Lauder ตกเป็นเหยื่อของกลุ่ม Clop เพราะเมื่อปี 2566 บริษัทเคยถูกเจาะมาแล้วครั้งหนึ่งจากการที่กลุ่มเดียวกันนี้ใช้ช่องโหว่ Zero-day อีกตัวหนึ่งในแพลตฟอร์ม MOVEit Transfer ซึ่งเป็นเครื่องมือที่บริษัทใช้ภายในองค์กร รูปแบบการโจมตีจึงซ้ำรอยเดิม คือกลุ่ม Clop เลือกเจาะซอฟต์แวร์กลางที่องค์กรใหญ่จำนวนมากใช้ร่วมกัน แล้วกวาดข้อมูลทีเดียวได้หลายองค์กร

รายละเอียดช่องโหว่

ช่องโหว่ CVE-2025-61882 กระทบ Oracle E-Business Suite เวอร์ชัน 12.2.3 ถึง 12.2.14 และเปิดทางให้ผู้โจมตีข้ามการยืนยันตัวตน (Authentication Bypass) แล้วรันโค้ดจากระยะไกลได้ผ่านคอมโพเนนต์ BI Publisher Integration ซึ่งหมายความว่าผู้โจมตีสามารถเข้าถึงข้อมูลฝ่ายบุคคลและข้อมูลธุรกิจที่อ่อนไหวได้โดยไม่ต้องมีบัญชีผู้ใช้ใด ๆ ตั้งแต่แรก

ไทม์ไลน์ของช่องโหว่นี้อธิบายว่าทำไมองค์กรจำนวนมากจึงถูกเจาะในช่วงเวลาไล่เลี่ยกัน บริษัท Oracle ออกแพตช์แก้ไข CVE-2025-61882 เมื่อวันที่ 4 ตุลาคม 2568 แต่หลังจากนั้นไม่นาน บริษัท CrowdStrike ยืนยันว่ากลุ่ม Clop ใช้ช่องโหว่นี้โจมตีมาตั้งแต่ต้นเดือนสิงหาคม 2568 แล้ว นั่นคือมีช่วงเวลาราวสองเดือนที่ผู้โจมตีใช้ช่องโหว่นี้ได้อย่างอิสระโดยที่ยังไม่มีแพตช์ให้ติดตั้ง ต่อมาในเดือนตุลาคม 2568 นักวิจัยจาก Google และ Mandiant ได้ออกมาเตือนถึงคลื่นการโจมตีจากกลุ่มแรนซัมแวร์ Clop ที่ใช้ช่องโหว่นี้ขโมยข้อมูล

เหยื่อรายอื่นที่โดดเด่นจากแคมเปญเดียวกันนี้มีทั้งมหาวิทยาลัย Harvard, มหาวิทยาลัย Pennsylvania, Dartmouth, University of Phoenix, หนังสือพิมพ์ The Washington Post, บริษัท Logitech, GlobalLogic, Cox Enterprises และ Envoy Air ซึ่งเป็นบริษัทลูกของ American Airlines รายชื่อเหล่านี้สะท้อนว่าการโจมตีไม่ได้เลือกอุตสาหกรรม แต่เลือกจากการที่องค์กรใช้ซอฟต์แวร์ตัวเดียวกัน

ผลกระทบต่อไทย

Oracle E-Business Suite เป็นระบบ ERP ที่องค์กรขนาดใหญ่ในประเทศไทยใช้อยู่จำนวนไม่น้อย ทั้งในภาคการผลิต พลังงาน ค้าปลีก และรัฐวิสาหกิจ โดยเฉพาะโมดูลด้านทรัพยากรบุคคลและบัญชีเงินเดือน ซึ่งเก็บข้อมูลชนิดเดียวกับที่รั่วไหลในกรณีนี้ทุกประการ ได้แก่ เลขประจำตัวประชาชน ข้อมูลเงินเดือน ข้อมูลสุขภาพ และเลขบัญชีธนาคาร องค์กรไทยที่ยังใช้เวอร์ชันในช่วง 12.2.3-12.2.14 และยังไม่ได้ติดตั้งแพตช์ของเดือนตุลาคม 2568 จึงยังอยู่ในความเสี่ยงโดยตรง

บทเรียนที่สำคัญกว่าตัวช่องโหว่คือระยะเวลาที่ใช้กว่าจะรู้ตัว กรณีนี้ผู้โจมตีเข้าถึงระบบตั้งแต่สิงหาคม 2568 แต่กว่าบริษัทจะสรุปผลสอบสวนได้ก็เป็นเดือนมิถุนายน 2569 องค์กรไทยจำนวนมากที่ไม่มีการเก็บล็อกย้อนหลังอย่างเพียงพอ หรือไม่มีทีมเฝ้าระวัง จะไม่มีทางตอบได้เลยว่าตนเองเคยถูกเข้าถึงในช่วงเดียวกันหรือไม่ แม้จะติดตั้งแพตช์ไปแล้วก็ตาม เพราะการแพตช์ไม่ได้ลบร่องรอยหรือย้อนเวลาการเข้าถึงที่เกิดขึ้นไปแล้ว

นอกจากนี้ ภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) องค์กรไทยที่พบเหตุลักษณะเดียวกันมีหน้าที่แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายในกรอบเวลาที่กฎหมายกำหนด การไม่มีความสามารถในการสืบย้อนว่าข้อมูลใดถูกเข้าถึงบ้าง จึงไม่ใช่แค่ปัญหาทางเทคนิค แต่เป็นความเสี่ยงด้านการปฏิบัติตามกฎหมายด้วย

คำแนะนำ

องค์กรที่ใช้ Oracle E-Business Suite ควรตรวจสอบเวอร์ชันที่ใช้งานอยู่ทันที และยืนยันว่าได้ติดตั้งแพตช์สำหรับ CVE-2025-61882 ที่ Oracle ออกเมื่อวันที่ 4 ตุลาคม 2568 ครบถ้วนแล้ว โดยให้ความสำคัญเป็นพิเศษกับเซิร์ฟเวอร์ที่เปิดให้เข้าถึงจากอินเทอร์เน็ต และคอมโพเนนต์ BI Publisher Integration ซึ่งเป็นจุดที่ถูกใช้เป็นทางเข้า

เนื่องจากช่องโหว่นี้ถูกใช้โจมตีก่อนมีแพตช์ประมาณสองเดือน องค์กรจึงไม่ควรหยุดที่การแพตช์อย่างเดียว แต่ควรทำการล่าหาร่องรอยย้อนหลังไปถึงช่วงสิงหาคม-ตุลาคม 2568 โดยตรวจสอบล็อกการเข้าถึง การส่งออกข้อมูลปริมาณมากผิดปกติ และการสร้างบัญชีหรือ session ที่ไม่ทราบที่มา หากพบร่องรอยควรเก็บหลักฐานไว้ก่อนดำเนินการล้างระบบ

สำหรับพนักงานและผู้ที่ได้รับหนังสือแจ้งเตือน ควรเฝ้าระวังสัญญาณการสวมรอยตัวตนและการฉ้อโกงอย่างต่อเนื่อง โดยเฉพาะเมื่อข้อมูลที่หลุดมีทั้งวันเกิด หมายเลขประกันสังคม หมายเลขหนังสือเดินทาง และเลขบัญชีธนาคาร ซึ่งเพียงพอให้ผู้ไม่หวังดีใช้เปิดบัญชีหรือยืนยันตัวตนแทนได้ ควรระวังอีเมลหรือโทรศัพท์ที่อ้างชื่อบริษัทหรือหน่วยงานแล้วขอข้อมูลเพิ่มเติม เพราะข้อมูลที่ผู้โจมตีมีอยู่แล้วทำให้บทสนทนาหลอกลวงดูน่าเชื่อถือมาก

ในระดับนโยบาย องค์กรควรทบทวนว่าระบบ ERP และ HR ที่เก็บข้อมูลอ่อนไหวสูงจำเป็นต้องเปิดให้เข้าถึงจากอินเทอร์เน็ตโดยตรงหรือไม่ พร้อมทั้งกำหนดให้มีการเก็บล็อกย้อนหลังในระยะเวลาที่ยาวพอจะสืบสวนเหตุที่ค้นพบช้าได้ เพราะกรณีนี้แสดงให้เห็นชัดว่าเหตุการละเมิดข้อมูลอาจใช้เวลาเกือบหนึ่งปีกว่าจะถูกค้นพบ

แหล่งอ้างอิง