สรุปสั้น
กลุ่มรีดไถข้อมูล ShinyHunters ออกมาอ้างความรับผิดชอบต่อเหตุข้อมูลรั่วไหลของบริษัท Ernst & Young (EY) ที่เพิ่งเปิดเผยเมื่อต้นเดือนกรกฎาคมนี้ โดยระบุว่าได้รหัสผ่านสำหรับเข้าระบบบางส่วนของบริษัทมาผ่านการโจมตีห่วงโซ่อุปทาน (Supply Chain) ก่อนหน้านี้ EY เปิดเผยว่าระบบ support ticket ของบุคคลที่สามที่บุคลากรฝ่ายไอทีใช้งานถูกเจาะ และ ticket ที่อาจมีข้อมูลภาษีของลูกค้าถูกขโมยไป โดยบริษัทตรวจพบกิจกรรมผิดปกติเมื่อวันที่ 23 เมษายน และพบว่าผู้โจมตีเข้าถึงแพลตฟอร์มดังกล่าวระหว่างวันที่ 28 มีนาคมถึง 12 เมษายน พร้อมดาวน์โหลดเอกสารหลายรายการ
ล่าสุด ShinyHunters ได้เพิ่มชื่อ Ernst & Young ลงในเว็บไซต์ปล่อยข้อมูล (Data Leak Site) ของกลุ่ม พร้อมขู่ว่าจะปล่อยข้อมูลที่อ้างว่าขโมยมาหากบริษัทไม่ติดต่อกลับภายในวันที่ 31 กรกฎาคม 2569 กลุ่มยังอ้างกับ BleepingComputer ว่ารหัสผ่านของ EY ได้มาจากการโจมตีห่วงโซ่อุปทาน และถูกนำไปใช้เจาะสภาพแวดล้อม Jira, GitHub และ Azure ของบริษัท อย่างไรก็ตาม EY ยังไม่ยืนยันว่า ShinyHunters อยู่เบื้องหลังการโจมตีจริงหรือไม่ และ BleepingComputer เองก็ไม่สามารถตรวจสอบคำกล่าวอ้างของกลุ่มได้อย่างอิสระ
รายละเอียดข่าว
เว็บไซต์ BleepingComputer รายงานเมื่อวันที่ 27 กรกฎาคม พ.ศ. 2569 ว่ากลุ่มรีดไถข้อมูล ShinyHunters ได้ออกมาอ้างความรับผิดชอบต่อเหตุข้อมูลรั่วไหลของบริษัท Ernst & Young ที่เปิดเผยไปก่อนหน้านี้ในเดือนเดียวกัน โดย EY ระบุในหนังสือแจ้งเหตุว่าบริษัทใช้แพลตฟอร์มบริหารจัดการบริการไอที (IT Service Management) ของบุคคลที่สามเพื่อช่วยบุคลากรฝ่ายไอทีสนับสนุนทีมงานที่ทำงานด้านภาษีให้กับลูกค้า และ support ticket ที่ส่งผ่านแพลตฟอร์มนี้อาจมีเอกสารที่บรรจุข้อมูลภาษีของลูกค้า ซึ่งรวมถึงข้อมูลส่วนบุคคลและข้อมูลทางการเงินที่ใช้ประกอบการยื่นภาษี
ทั้งนี้บริษัทยังไม่ได้เปิดเผยชื่อของระบบ support ที่ถูกเจาะ ประเภทข้อมูลที่ถูกเปิดเผยอย่างเจาะจง หรือจำนวนผู้ที่ได้รับผลกระทบแต่อย่างใด และในช่วงที่มีการเปิดเผยเหตุการณ์ครั้งแรกยังไม่มีกลุ่มแรนซัมแวร์หรือกลุ่มรีดไถข้อมูลใดออกมาอ้างความรับผิดชอบ กระทั่ง ShinyHunters นำ EY ขึ้นเว็บไซต์ปล่อยข้อมูลของกลุ่มและตั้งเส้นตายให้บริษัทติดต่อกลับภายในวันที่ 31 กรกฎาคม 2569 มิฉะนั้นจะปล่อยข้อมูลที่อ้างว่าขโมยมา โดยกลุ่มปฏิเสธที่จะระบุว่าบุคคลที่สามที่ถูกเจาะคือรายใดและข้อมูลใดบ้างที่ถูกขโมย แต่อ้างว่าข้อมูลที่ EY ยอมรับว่าถูกเปิดเผยนั้นรั่วออกไปจริง พร้อมข้อมูลอื่นเพิ่มเติมอีก ขณะที่ EY เคยระบุก่อนหน้านี้ว่าได้รักษาความปลอดภัยระบบ กำจัดการเข้าถึงที่ไม่ได้รับอนุญาต และแจ้งหน่วยงานบังคับใช้กฎหมายระดับสหพันธ์แล้ว รวมถึงเสนอบริการเฝ้าระวังและกู้คืนตัวตนเป็นเวลา 24 เดือนแก่ลูกค้าที่ได้รับผลกระทบผ่านบริษัท Experian
รายละเอียดเหตุการณ์
จุดที่น่าสนใจของคำกล่าวอ้างครั้งนี้คือ ShinyHunters ระบุว่าจุดเริ่มต้นของการเจาะไม่ได้มาจากช่องโหว่ในระบบหลักของ Ernst & Young โดยตรง แต่มาจากการโจมตีห่วงโซ่อุปทาน (Supply Chain) ซึ่งกลุ่มได้รหัสผ่านหรือข้อมูลรับรอง (Credentials) ที่เกี่ยวข้องกับ EY มาแล้วนำไปใช้เข้าถึงระบบภายในของบริษัท คำกล่าวอ้างที่ว่าสามารถเจาะเข้าไปยังสภาพแวดล้อม Jira (ระบบบริหารโครงการและติดตามงาน), GitHub (ระบบเก็บซอร์สโค้ด) และ Azure (บริการคลาวด์ของ Microsoft) ได้นั้น หากเป็นจริงจะสะท้อนว่าผู้โจมตีไม่ได้เข้าถึงแค่ระบบ support ticket ที่ EY ยอมรับ แต่อาจเข้าถึงระบบพัฒนาซอฟต์แวร์และโครงสร้างพื้นฐานคลาวด์ที่อ่อนไหวกว่าด้วย อย่างไรก็ตามทั้ง EY และ BleepingComputer ยังไม่สามารถยืนยันความถูกต้องของคำกล่าวอ้างเหล่านี้ได้ และกลุ่ม ShinyHunters เองก็มีประวัติการอ้างความรับผิดชอบเกินจริงในหลายกรณี จึงควรพิจารณาด้วยความระมัดระวัง
ผลกระทบต่อไทย
Ernst & Young เป็นหนึ่งในสี่บริษัทตรวจสอบบัญชีและบริการวิชาชีพรายใหญ่ที่สุดของโลก ให้บริการในกว่า 150 ประเทศรวมถึงประเทศไทยที่มีสำนักงาน EY ให้บริการตรวจสอบบัญชี ภาษี และที่ปรึกษาแก่องค์กรและบริษัทจดทะเบียนจำนวนมาก แม้ขณะนี้ยังไม่มีการยืนยันว่าลูกค้าในไทยได้รับผลกระทบจากเหตุการณ์นี้หรือไม่ แต่การที่กลุ่มรีดไถอ้างว่าเจาะเข้าถึงระบบ Jira, GitHub และ Azure ได้ เป็นเครื่องเตือนใจว่าข้อมูลอ่อนไหวที่องค์กรไทยมอบให้ที่ปรึกษาภายนอกอาจตกอยู่ในความเสี่ยง หากข้อมูลรับรองของผู้ให้บริการหรือระบบของบุคคลที่สามที่เชื่อมโยงกันถูกขโมยไปใช้ องค์กรไทยจึงควรตระหนักถึงความเสี่ยงในห่วงโซ่อุปทาน (Supply Chain) ของบริการวิชาชีพ และควรสอบถามมาตรการปกป้องข้อมูลของผู้ให้บริการที่ตนใช้งานอย่างสม่ำเสมอ
คำแนะนำ
ลูกค้าที่ได้รับหนังสือแจ้งจาก EY ควรลงทะเบียนใช้บริการเฝ้าระวังตัวตนที่บริษัทจัดให้ และเฝ้าระวังกิจกรรมผิดปกติในบัญชีการเงินและข้อมูลภาษีของตนอย่างใกล้ชิด สำหรับองค์กรทั่วไป เหตุการณ์นี้เน้นย้ำว่าการบริหารข้อมูลรับรอง (Credentials) และการควบคุมการเข้าถึงระบบสำคัญอย่าง Jira, GitHub และ Azure เป็นเรื่องที่ต้องให้ความสำคัญสูงสุด ควรเปิดใช้งานการยืนยันตัวตนหลายปัจจัย (MFA) ที่ทนต่อฟิชชิงกับทุกบัญชีที่เข้าถึงระบบพัฒนาและคลาวด์ หมุนเวียนข้อมูลรับรองเป็นระยะ จำกัดสิทธิ์การเข้าถึงตามความจำเป็น และประเมินมาตรการความปลอดภัยของผู้ให้บริการภายนอกก่อนมอบข้อมูลอ่อนไหว รวมถึงตั้งระบบตรวจจับการเข้าถึงที่ผิดปกติเพื่อลดเวลาในการค้นพบเหตุการณ์ให้สั้นที่สุด