สรุปสั้น

แก๊งแรนซัมแวร์ Anubis ได้ออกมาอ้างความรับผิดชอบต่อเหตุโจมตีทางไซเบอร์ที่บริษัท Fairlife ซึ่งเป็นบริษัทลูกด้านผลิตภัณฑ์นมของ Coca-Cola พร้อมขู่ว่าจะเผยแพร่ข้อมูลองค์กรที่อ้างว่าขโมยมาได้ หากบริษัทไม่ยอมจ่ายค่าไถ่ โดย Fairlife เป็นหนึ่งในแบรนด์นมของ Coca-Cola ที่ผลิตนมกรองพิเศษ (ultra-filtered milk) โปรตีนเชค และเครื่องดื่มเสริมอาหารที่วางขายทั่วสหรัฐฯ ภายใต้ชื่อ Ultra-Filtered Milk, Core Power Protein Shakes และ Nutrition Plan ก่อนหน้านี้เมื่อวันที่ 16 กรกฎาคม บริษัท Coca-Cola เปิดเผยว่าการโจมตีด้วยแรนซัมแวร์ทำให้การดำเนินงานของ Fairlife หยุดชะงัก จนต้องระงับการผลิตในโรงงานที่สหรัฐฯ ชั่วคราว

บริษัทระบุในตอนนั้นว่าผู้โจมตีเข้าถึงระบบบางส่วนของ Fairlife โดยไม่ได้รับอนุญาต รวมถึงระบบที่เกี่ยวข้องกับการผลิต จึงเปิดใช้แผนตอบสนองเหตุและแผนความต่อเนื่องทางธุรกิจ พร้อมยืนยันว่าคุณภาพและความปลอดภัยของสินค้าไม่ได้รับผลกระทบ และการผลิตในแคนาดายังดำเนินไปตามปกติ ในตอนนั้น Coca-Cola ยังไม่เปิดเผยว่ามีข้อมูลถูกขโมยหรือไม่ ได้รับข้อเรียกร้องค่าไถ่หรือไม่ และแก๊งแรนซัมแวร์กลุ่มใดเป็นผู้ก่อเหตุ ซึ่งข่าวนี้เป็นการต่อยอดจากเหตุการณ์เดิมที่รายงานไว้ก่อนหน้า โดยตอนนี้มีแก๊ง Anubis ออกมาอ้างตัวเป็นผู้ลงมือและเพิ่มการข่มขู่ด้วยการปล่อยข้อมูลเข้ามา

รายละเอียดข่าว

เว็บไซต์ BleepingComputer รายงานเมื่อวันที่ 21 กรกฎาคม 2569 ว่า แก๊งแรนซัมแวร์ Anubis ได้เพิ่มชื่อ Fairlife ลงในเว็บไซต์ปล่อยข้อมูล (data leak site) บนดาร์กเว็บของตนเมื่อวันจันทร์ พร้อมอ้างความรับผิดชอบต่อการโจมตีและอ้างว่าได้ขโมยข้อมูลองค์กรไปประมาณหนึ่งเทระไบต์ (1 TB)

แก๊งดังกล่าวเตือนว่าจะเผยแพร่ข้อมูลที่ขโมยมา เว้นแต่บริษัทจะเข้าสู่การเจรจาภายในสิ้นสัปดาห์ โดยอ้างว่าได้โจมตีระบบของ Fairlife ราวหนึ่งสัปดาห์ก่อนที่บริษัทจะเปิดเผยเหตุการณ์ต่อสาธารณะ และได้เข้ารหัสโครงสร้างพื้นฐาน Nutanix ของบริษัท Anubis กล่าวกับ BleepingComputer ว่า “เราโจมตีระบบของพวกเขาเมื่อสัปดาห์ที่แล้ว เพียงไม่กี่วันต่อมาพวกเขาก็รีบรายงานเหตุการณ์ทันทีโดยไม่พยายามทำตามคำสั่งที่เราทิ้งไว้ในเครือข่าย” และอ้างว่า “เราเข้ารหัสระบบ Nutanix ของพวกเขาไปทั้งหมดแล้ว พวกเขาไม่มีทางกู้คืนได้เลยหากไม่มีคีย์ถอดรหัสของเรา”

อย่างไรก็ตาม BleepingComputer ไม่สามารถยืนยันคำกล่าวอ้างของแก๊งได้อย่างเป็นอิสระ ทั้งเรื่องการขโมยข้อมูล การเข้ารหัสระบบของ Fairlife และปริมาณข้อมูลที่อ้างว่าขโมยมา และเมื่อถูกสอบถามเกี่ยวกับคำกล่าวอ้างเหล่านี้ Coca-Cola ปฏิเสธที่จะให้ความเห็น ทั้งนี้ Anubis เป็นปฏิบัติการแบบ ransomware-as-a-service (RaaS) ที่ปรากฏตัวขึ้นเมื่อเดือนธันวาคม 2567 และนับแต่นั้นได้โจมตีองค์กรทั่วโลกในหลายอุตสาหกรรม

anubis ransomware claims coca cola fairlife attack threatens data leak

วิธีการโจมตีและพฤติกรรมของกลุ่ม

Anubis เป็นที่รู้จักในการผสมผสานการขโมยข้อมูลเข้ากับการเข้ารหัสไฟล์ แล้วใช้ข้อมูลที่ขโมยมาเป็นเครื่องมือกดดันให้เหยื่อยอมจ่ายค่าไถ่ ซึ่งเป็นรูปแบบ double extortion ที่แก๊งแรนซัมแวร์ยุคใหม่นิยมใช้ จุดที่ทำให้ Anubis อันตรายเป็นพิเศษคือเมื่อปีที่ผ่านมา กลุ่มได้เพิ่มเครื่องมือลบล้างข้อมูล (data wiper) เข้าไปในคลังอาวุธ ซึ่งจะทำลายไฟล์ของเหยื่อให้กู้คืนไม่ได้อีก ทำให้เหยื่อไม่มีทางเลือกอื่นนอกจากยอมทำตามข้อเรียกร้อง หรือเสี่ยงสูญเสียข้อมูลถาวรแม้จะมีการสำรองข้อมูลไว้บางส่วนก็ตาม การที่แก๊งอ้างว่าเข้ารหัสระบบ Nutanix ทั้งหมดยังสะท้อนว่าแก๊งมุ่งโจมตีโครงสร้างพื้นฐานเวอร์ชวลไลเซชันและ hyperconverged infrastructure ที่เป็นแกนกลางของการดำเนินงานองค์กร ซึ่งเมื่อถูกเข้ารหัสจะกระทบระบบจำนวนมากพร้อมกันและกู้คืนได้ยาก

ผลกระทบต่อไทย

แม้เหตุการณ์นี้จะเกิดกับบริษัทในสหรัฐฯ แต่รูปแบบการโจมตีของ Anubis เป็นบทเรียนโดยตรงต่อองค์กรไทย โดยเฉพาะภาคการผลิตอาหารและเครื่องดื่ม โลจิสติกส์ และอุตสาหกรรมที่พึ่งพาระบบควบคุมการผลิต (OT) ที่การหยุดชะงักส่งผลต่อสายการผลิตทันที การที่แก๊งมุ่งเข้ารหัสโครงสร้าง Nutanix และระบบเวอร์ชวลไลเซชันชี้ให้เห็นว่าองค์กรไทยที่ใช้ hyperconverged infrastructure ต้องให้ความสำคัญกับการแบ่งแยกเครือข่าย (network segmentation) ระหว่างระบบไอทีและระบบการผลิต รวมถึงการสำรองข้อมูลแบบออฟไลน์ที่แก๊งเข้าถึงไม่ได้ นอกจากนี้การที่ Anubis มี data wiper ยังเน้นย้ำว่าองค์กรไทยไม่ควรพึ่งพาการจ่ายค่าไถ่ แต่ต้องมีแผนกู้คืนที่ทดสอบแล้วและสำรองข้อมูลหลายชั้น

คำแนะนำ

องค์กรควรแบ่งแยกเครือข่ายระหว่างระบบไอทีสำนักงานและระบบการผลิต/OT อย่างเข้มงวด เพื่อจำกัดการแพร่กระจายของแรนซัมแวร์ พร้อมสำรองข้อมูลสำคัญแบบออฟไลน์หรือ immutable ที่ผู้โจมตีไม่สามารถเข้ารหัสหรือลบได้ และทดสอบการกู้คืนอย่างสม่ำเสมอ ควรเสริมความแข็งแกร่งของโครงสร้างเวอร์ชวลไลเซชันอย่าง Nutanix ด้วยการจำกัดสิทธิ์ผู้ดูแล เปิดใช้การยืนยันตัวตนสองชั้นสำหรับบัญชีที่มีสิทธิ์สูง และเฝ้าระวังการเข้าถึงที่ผิดปกติ องค์กรควรมีแผนตอบสนองเหตุที่ครอบคลุมสถานการณ์ double extortion และ data wiper รวมถึงเตรียมช่องทางสื่อสารสำรอง เพื่อไม่ต้องตัดสินใจภายใต้แรงกดดันของเส้นตายที่ผู้โจมตีกำหนด และควรแจ้งหน่วยงานที่เกี่ยวข้องทันทีเมื่อพบเหตุ

แหล่งอ้างอิง