สรุปสั้น
รัฐบาลเกาหลีใต้เปิดเผยว่าแฮ็กเกอร์ได้เจาะระบบการศึกษาออนไลน์ของสถาบันการทูตแห่งชาติ (National Diplomatic Academy) เป็นเวลานานถึง 10 เดือน และขโมยข้อมูลส่วนบุคคลของเจ้าหน้าที่กระทรวงการต่างประเทศ (MFA) ทั้งอดีตและปัจจุบัน รวมถึงนักการทูตที่ประจำอยู่ในต่างประเทศ เหตุการณ์เริ่มขึ้นเมื่อเดือนเมษายน พ.ศ. 2568 หลังผู้ไม่หวังดีที่ไม่ทราบตัวตนฉวยใช้ช่องโหว่ในเซิร์ฟเวอร์ของสถาบัน ส่งผลกระทบต่อบุคคลอย่างน้อย 6,000 คน โดย 350 คนเป็นทูตของรัฐบาลที่ปฏิบัติงานอยู่ต่างแดน
แพลตฟอร์มการศึกษาดังกล่าวถูกตั้งขึ้นในปี พ.ศ. 2565 เพื่อรองรับการฝึกอบรมทางไกลในช่วงการระบาดของโควิด-19 และถูกใช้ต่อเนื่องสำหรับการฝึกอบรมบุคลากรภาครัฐและการประชุมทางวิดีโอ ข้อมูลถูกลอบดึงออกไปในช่วงเดือนเมษายน พ.ศ. 2568 ถึงกุมภาพันธ์ พ.ศ. 2569 คาดว่าประกอบด้วยไอดี ชื่อ ที่อยู่อีเมล และรหัสผ่านที่ถูกเข้ารหัสของผู้ลงทะเบียนในระบบ กระทรวงการต่างประเทศระบุว่าไม่มีเลขประจำตัวเฉพาะ ข้อมูลอ่อนไหว เบอร์โทรศัพท์มือถือ รูปถ่าย หรือที่อยู่บ้านถูกเปิดเผยในเหตุการณ์นี้
รายละเอียดข่าว
เว็บไซต์ BleepingComputer รายงานเมื่อวันที่ 22 กรกฎาคม พ.ศ. 2569 ว่าเกาหลีใต้ได้เปิดเผยเหตุการณ์ข้อมูลรั่วไหลจากการที่แฮ็กเกอร์เจาะระบบการศึกษาออนไลน์ของสถาบันการทูตแห่งชาติ และขโมยข้อมูลส่วนบุคคลของเจ้าหน้าที่กระทรวงการต่างประเทศทั้งอดีตและปัจจุบัน โดยเหตุเกิดขึ้นเมื่อเดือนเมษายน พ.ศ. 2568 หลังผู้โจมตีที่ไม่ทราบตัวตนใช้ช่องโหว่ในเซิร์ฟเวอร์ของสถาบัน กระทบบุคคลอย่างน้อย 6,000 คน ในจำนวนนี้ 350 คนเป็นทูตที่ประจำการอยู่ต่างประเทศ
ตามประกาศของรัฐบาลเกาหลีใต้ ข้อมูลถูกลอบดึงออกไปในช่วงเดือนเมษายน พ.ศ. 2568 ถึงกุมภาพันธ์ พ.ศ. 2569 โดยระบุว่า “ข้อมูลส่วนบุคคลของเจ้าหน้าที่ทั้งอดีตและปัจจุบันของสำนักงานใหญ่กระทรวงการต่างประเทศและคณะผู้แทนในต่างประเทศ รวมถึงบุคลากรอื่นๆ ถูกลอบดึงออกไประหว่างเดือนเมษายน 2568 ถึงกุมภาพันธ์ 2569” ข้อมูลที่รั่วคาดว่าประกอบด้วยไอดี ชื่อ ที่อยู่อีเมล และรหัสผ่านที่ถูกเข้ารหัสของผู้ลงทะเบียนในระบบการศึกษา
ในการแถลงข่าว โฆษกกระทรวงการต่างประเทศระบุว่ากระทรวงเลื่อนการเปิดเผยเหตุการณ์ออกไปเพราะความอ่อนไหวของเรื่องและความจำเป็นต้องวิเคราะห์และตรวจสอบอย่างละเอียดก่อนเผยแพร่ต่อสาธารณะ กระทรวงได้บล็อกการเข้าถึงระบบการศึกษาออนไลน์และเพิ่มมาตรการเสริมความปลอดภัยแล้ว พร้อมแนะนำให้บุคคลที่อาจได้รับผลกระทบเฝ้าระวังการติดต่อที่น่าสงสัยและรายงานทันที โดยเตือนให้ “ระมัดระวังเป็นพิเศษเมื่อได้รับอีเมลจากแหล่งที่ไม่ชัดเจนหรือไม่รู้จัก”
รายละเอียดการโจมตี
สื่อเกาหลีรายงานว่าจำนวนผู้ได้รับผลกระทบอาจสูงถึง 10,000 คน ขณะที่บางแหล่งรายงานตัวเลขต่ำกว่านั้น และยังระบุว่าตำแหน่งงานทางการและสังกัดหน่วยงานของบุคคลถูกเปิดเผยด้วย ประเด็นที่น่ากังวลเป็นพิเศษคือสาเหตุที่การเจาะระบบนี้ไม่ถูกตรวจพบได้นานถึงราว 10 เดือน โดยมีรายงานว่าเซิร์ฟเวอร์ที่ถูกเจาะตั้งอยู่ภายในสำนักงานใหญ่ของกระทรวงการต่างประเทศ และถูกยกเว้นจากการตรวจสอบความปลอดภัยตามปกติ ทำให้กลายเป็นจุดบอดที่ผู้โจมตีฝังตัวได้ยาวนาน
รายงานเดียวกันยังระบุว่าการเจาะระบบถูกค้นพบเมื่อเดือนกุมภาพันธ์ พ.ศ. 2569 โดยหน่วยข่าวกรองแห่งชาติ (National Intelligence Service) ของเกาหลีใต้ ซึ่งเป็นผู้แจ้งเตือนกระทรวงการต่างประเทศถึงการถูกบุกรุก แม้ทางการยังไม่ได้ระบุกลุ่มผู้อยู่เบื้องหลัง แต่ลักษณะเป้าหมายที่เป็นข้อมูลของนักการทูตประจำต่างประเทศ ประกอบกับระยะเวลาการฝังตัวที่ยาวนานและการเลือกเจาะระบบที่อยู่นอกขอบเขตการตรวจสอบ สะท้อนรูปแบบของการจารกรรมข้อมูลมากกว่าอาชญากรรมไซเบอร์ที่หวังผลทางการเงิน
ผลกระทบต่อไทย
เหตุการณ์นี้เป็นบทเรียนสำคัญสำหรับหน่วยงานภาครัฐและกระทรวงการต่างประเทศของไทย โดยเฉพาะประเด็นที่เซิร์ฟเวอร์ซึ่งตั้งอยู่ภายในสำนักงานใหญ่กลับถูกยกเว้นจากการตรวจสอบความปลอดภัยตามปกติ จนกลายเป็นช่องให้ผู้โจมตีฝังตัวได้นานถึง 10 เดือน ระบบที่ถูกตั้งขึ้นชั่วคราวในช่วงโควิด-19 เพื่อการอบรมทางไกลหรือประชุมออนไลน์ แล้วถูกใช้ต่อเนื่องโดยขาดการดูแล เป็นความเสี่ยงที่หลายหน่วยงานไทยมีเหมือนกัน ข้อมูลของนักการทูตและเจ้าหน้าที่ที่ประจำต่างประเทศเป็นเป้าหมายมูลค่าสูงสำหรับการจารกรรมของรัฐต่างชาติ แม้ข้อมูลที่รั่วในกรณีนี้จะไม่รวมเลขประจำตัวหรือข้อมูลอ่อนไหวที่สุด แต่ชื่อ อีเมล ตำแหน่ง และสังกัดก็เพียงพอให้ผู้โจมตีนำไปใช้ทำฟิชชิงแบบเจาะจงเป้าหมาย (spear phishing) ต่อบุคลากรทางการทูตได้
คำแนะนำ
หน่วยงานภาครัฐควรจัดทำบัญชีทรัพย์สินดิจิทัล (asset inventory) ให้ครบถ้วน และไม่ยกเว้นเซิร์ฟเวอร์ใดๆ ออกจากการสแกนและตรวจสอบความปลอดภัยตามรอบ โดยเฉพาะระบบที่ตั้งขึ้นชั่วคราวหรือระบบภายในที่มักถูกมองข้าม ควรทบทวนและปิดระบบที่หมดความจำเป็น เช่นแพลตฟอร์มอบรมออนไลน์ยุคโควิดที่ไม่ได้ใช้แล้ว รวมถึงหมั่นแพตช์ช่องโหว่ของเซิร์ฟเวอร์ที่เปิดสู่อินเทอร์เน็ต สำหรับบุคลากรที่อาจได้รับผลกระทบ ควรเฝ้าระวังอีเมลและการติดต่อจากแหล่งที่ไม่รู้จัก เพราะข้อมูลที่รั่วมักถูกนำไปใช้ต่อยอดโจมตีแบบฟิชชิง องค์กรควรบังคับรีเซ็ตรหัสผ่านของผู้ใช้ในระบบที่ถูกเจาะ เปิดใช้การยืนยันตัวตนหลายปัจจัย (MFA) และวางระบบตรวจจับการเข้าถึงผิดปกติเพื่อลดโอกาสที่ผู้โจมตีจะฝังตัวได้นานโดยไม่ถูกตรวจพบ