สรุปสั้น

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลของเกาหลีใต้ หรือ Personal Information Protection Commission (PIPC) มีคำสั่งปรับบริษัท KT Corporation ยักษ์ใหญ่ด้านโทรคมนาคม เป็นเงิน 53,979 ล้านวอน หรือราว 39 ล้านดอลลาร์สหรัฐ จากการละเมิดกฎหมายคุ้มครองข้อมูล โทษปรับนี้มาจากเหตุที่เครือข่ายภายในของบริษัทถูกเจาะและผู้บุกรุกฝังตัวอยู่ได้นานเกือบ 11 เดือน ตั้งแต่วันที่ 8 ตุลาคม 2567 ถึง 5 กันยายน 2568 โดยหน่วยงานกำกับดูแลเริ่มสอบสวนเมื่อวันที่ 10 กันยายน 2568 หลังผู้ใช้บริการแจ้งว่าถูกเรียกเก็บเงินจากการชำระเงินรายย่อยที่ตนไม่ได้ทำ

ในตอนแรกบริษัทแจ้งเหตุข้อมูลรั่วไหลว่ากระทบลูกค้าราว 5,500 ราย แต่ผลการสอบสวนของหน่วยงานกำกับดูแลพบว่าเหตุการณ์นี้ทำให้ข้อมูลส่วนบุคคลของผู้ใช้บริการ KT รั่วไหลถึง 16,647 ราย และก่อให้เกิดการชำระเงินผ่านมือถือโดยฉ้อฉลรวม 240 ล้านวอน หรือราว 167,400 ดอลลาร์ กับลูกค้าอย่างน้อย 368 ราย บริษัท KT เป็นผู้ให้บริการโทรคมนาคมรายใหญ่ที่สุดของเกาหลีใต้ มีพนักงาน 23,300 คน ให้บริการผู้ใช้มือถือกว่า 13.5 ล้านราย ครองส่วนแบ่งผู้ใช้โทรศัพท์พื้นฐาน 90% และผู้ใช้อินเทอร์เน็ตความเร็วสูง 45% ของประเทศ

ที่หนักไปกว่านั้นคือ ระหว่างการสอบสวน หน่วยงานยังพบว่าเซิร์ฟเวอร์ในเครือข่ายบริการไอทีของ KT จำนวน 38 เครื่องถูกฝังมัลแวร์ รวมถึงแบ็กดอร์ชื่อ BPFDoor มาตั้งแต่เดือนมีนาคม 2567 และกล่าวหาว่าบริษัทรับรู้เรื่องการติดมัลแวร์มาตลอดแต่ไม่ได้รายงานต่อหน่วยงานกำกับ กลับจัดการภายในโดยไม่เปิดเผยต่อลูกค้า ยิ่งกว่านั้นยังมีการลบล็อกออกจากเซิร์ฟเวอร์บางเครื่องระหว่างการตรวจสอบมัลแวร์ ทำให้คณะกรรมการไม่สามารถระบุได้ว่ามีข้อมูลลูกค้าเพิ่มเติมถูกขโมยออกไปอีกหรือไม่

รายละเอียดข่าว

เว็บไซต์ BleepingComputer รายงานเมื่อวันที่ 30 กรกฎาคม 2569 ว่าคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลของเกาหลีใต้ได้สั่งปรับบริษัท KT Corporation เป็นเงิน 53,979 ล้านวอน จากการละเมิดมาตรการคุ้มครองข้อมูล โดยบทลงโทษดังกล่าวเกิดจากการที่เครือข่ายภายในถูกเจาะและผู้บุกรุกยังคงอยู่ในระบบต่อเนื่องยาวนานเกือบ 11 เดือน

จุดที่ถูกใช้เป็นทางเข้าคือสถานีฐานเซลลูลาร์ขนาดเล็กของ KT ที่เรียกว่าเฟมโตเซลล์ ซึ่งสูญหายไปและภายในบรรจุใบรับรองสำหรับยืนยันตัวตนที่ยังใช้งานได้อยู่ ผู้โจมตีดึงใบรับรองดังกล่าวออกมาแล้วนำไปติดตั้งบนอุปกรณ์ที่ประกอบขึ้นเอง ทำให้อุปกรณ์นั้นปรากฏต่อระบบเสมือนเป็นส่วนหนึ่งของเครือข่าย KT อย่างถูกต้อง และเริ่มดักจับทราฟฟิกเซลลูลาร์จากอุปกรณ์ที่อยู่ใกล้เคียงซึ่งเชื่อมต่อเข้ามายังเฟมโตเซลล์ปลอมตัวนี้

คณะกรรมการระบุว่า KT เป็นผู้ติดตั้งเฟมโตเซลล์เอง เป็นเจ้าของอุปกรณ์เต็มรูปแบบ และควบคุมการยืนยันตัวตนกับการอนุญาตบนเครือข่ายด้วยตนเอง จึงถือว่ามาตรการควบคุมความปลอดภัยของบริษัทไม่เพียงพอ ด้วยเหตุผลสามข้อ คือใบรับรองของเฟมโตเซลล์มีอายุใช้งานนานถึง 10 ปี การเชื่อมต่อไม่ได้ถูกจำกัดตามหมายเลขไอพีต้นทาง และยังมีเส้นทางที่สามารถข้ามเซิร์ฟเวอร์บริหารจัดการเฟมโตเซลล์ไปได้ จุดอ่อนเหล่านี้เองที่ทำให้ผู้โจมตีเชื่อมต่ออยู่กับเครือข่ายของ KT และเก็บข้อมูลอ่อนไหวของลูกค้าได้นานถึง 11 เดือนโดยไม่ถูกตรวจพบ

คณะกรรมการยังกล่าวถึงพฤติกรรมการทำลายหลักฐาน โดยชี้ว่า KT ลบล็อกเครือข่ายย้อนหลังทิ้ง ซึ่งเป็นรูปแบบเดียวกับที่ผู้ให้บริการโทรคมนาคมอีกรายคือ LG U+ เคยทำ ด้วยการติดตั้งระบบปฏิบัติการใหม่และกำจัดเซิร์ฟเวอร์ทิ้งก่อนที่ผู้สอบสวนจะระบุผลกระทบทั้งหมดได้

ในคำสั่งบังคับใช้กฎหมาย คณะกรรมการสั่งให้ KT ยกระดับมาตรการควบคุมความปลอดภัยของเฟมโตเซลล์และอุปกรณ์โทรคมนาคมอื่น เสริมสร้างธรรมาภิบาลด้านการคุ้มครองข้อมูลส่วนบุคคล กำหนดให้ประธานเจ้าหน้าที่คุ้มครองข้อมูลมีบทบาทกำกับดูแลอย่างมีนัยสำคัญจริง และขยายขอบเขตการรับรอง ISMS-P ให้ครอบคลุมระบบเครือข่ายมือถือด้วย พร้อมกันนี้ยังประกาศแผนผลักดันการแก้กฎหมายเพื่อเพิ่มบทลงโทษสำหรับบริษัทที่ปกปิดหรือทำลายหลักฐานก่อนหรือระหว่างการสอบสวน

วิธีการโจมตี

การโจมตีเริ่มจากอุปกรณ์ทางกายภาพ ไม่ใช่ช่องโหว่ซอฟต์แวร์ ผู้โจมตีได้เฟมโตเซลล์ของ KT ที่สูญหายไปมาครอบครอง แล้วดึงใบรับรองยืนยันตัวตนที่ฝังอยู่ภายในออกมา เนื่องจากใบรับรองมีอายุยาวถึง 10 ปีและระบบไม่ได้จำกัดว่าจะต้องเชื่อมต่อจากหมายเลขไอพีใด ผู้โจมตีจึงนำใบรับรองไปติดตั้งบนอุปกรณ์ที่สร้างขึ้นเอง แล้วเชื่อมต่อกลับเข้าเครือข่ายของ KT ในฐานะสถานีฐานที่ระบบมองว่าถูกต้อง

เมื่ออุปกรณ์ปลอมเข้าเป็นส่วนหนึ่งของเครือข่ายแล้ว มันจะทำหน้าที่เป็นตัวกลางดักการสื่อสารระหว่างอุปกรณ์ของผู้ใช้กับเครือข่ายแกนหลักของ KT ข้อมูลที่ถูกดักได้รวมถึงหมายเลขโทรศัพท์ หมายเลขประจำตัวผู้ใช้บริการ IMSI และหมายเลขประจำเครื่อง IMEI จากนั้นผู้โจมตีนำข้อมูลที่ดักได้มาผสมกับข้อมูลส่วนบุคคลจากแหล่งอื่น พร้อมกับดักรหัสยืนยันตัวตนที่ส่งผ่าน SMS และระบบตอบรับอัตโนมัติ ARS ซึ่งใช้สำหรับอนุมัติการชำระเงินรายย่อยผ่านมือถือ จนนำไปสู่การเรียกเก็บเงินโดยฉ้อฉลกับลูกค้าอย่างน้อย 368 ราย

อีกส่วนหนึ่งของเหตุการณ์คือมัลแวร์ BPFDoor ที่พบบนเซิร์ฟเวอร์ 38 เครื่องในเครือข่ายบริการไอที BPFDoor เป็นแบ็กดอร์สำหรับ Linux และ Solaris ที่ถูกเปิดเผยต่อสาธารณะครั้งแรกในปี 2565 หลังหลบการตรวจจับมาได้นานกว่าห้าปี ต่อมาบริษัท PwC เชื่อมโยงการใช้งานมัลแวร์นี้เข้ากับกลุ่มจารกรรม Red Menshen ที่เชื่อมโยงกับจีน ซึ่งมุ่งเป้าผู้ให้บริการโทรคมนาคมและองค์กรในภาคส่วนสำคัญอื่น ๆ

จุดที่ทำให้ BPFDoor ตรวจจับได้ยากคือการใช้เทคโนโลยี Berkeley Packet Filter เฝ้าดูทราฟฟิกเครือข่ายแบบพาสซีฟ ทำให้ผู้โจมตีปลุกมัลแวร์ให้ทำงานได้ด้วยแพ็กเก็ตพิเศษที่เรียกว่า magic packet โดยไม่ต้องเปิดพอร์ตรอรับการเชื่อมต่อเลย ซึ่งเท่ากับข้ามการป้องกันของไฟร์วอลล์ไปได้ทั้งหมด และเปิดช่องเชลล์ระยะไกลแบบซ่อนตัวให้ผู้โจมตีใช้งาน

ผลกระทบ

กรณีนี้เป็นตัวอย่างชัดเจนว่าอุปกรณ์เครือข่ายที่กระจายอยู่นอกศูนย์ข้อมูล เช่น เฟมโตเซลล์ อุปกรณ์กระจายสัญญาณ หรือเกตเวย์ตามสาขา ล้วนเป็นสินทรัพย์ที่ต้องบริหารความเสี่ยงเหมือนเซิร์ฟเวอร์ในห้องเซิร์ฟเวอร์ เพราะเมื่ออุปกรณ์หนึ่งหลุดออกจากการควบคุม ใบรับรองที่ฝังอยู่ภายในก็กลายเป็นกุญแจเข้าเครือข่ายทันที ปัญหาที่หน่วยงานกำกับชี้ทั้งสามข้อ ทั้งอายุใบรับรองที่ยาวเกินไป การไม่ผูกการเชื่อมต่อกับไอพีต้นทาง และเส้นทางที่ข้ามเซิร์ฟเวอร์บริหารจัดการได้ ล้วนเป็นข้อบกพร่องเชิงออกแบบที่พบได้ทั่วไปในเครือข่ายโทรคมนาคมและองค์กรขนาดใหญ่หลายแห่ง

อีกประเด็นที่มีน้ำหนักไม่แพ้กันคือบทลงโทษที่มุ่งไปยัง “พฤติกรรมหลังเกิดเหตุ” ไม่ใช่แค่ตัวเหตุการณ์ การที่หน่วยงานกำกับระบุว่าบริษัทรู้เรื่องมัลแวร์ตั้งแต่ปี 2567 แต่ไม่รายงาน และยังลบล็อกจนสอบสวนต่อไม่ได้ กลายเป็นปัจจัยที่ทำให้โทษหนักขึ้นและนำไปสู่แผนแก้กฎหมายเพิ่มบทลงโทษสำหรับการทำลายหลักฐาน สำหรับผู้ให้บริการโทรคมนาคมและองค์กรที่ถือข้อมูลผู้ใช้จำนวนมากในประเทศอื่น รวมถึงในไทยที่มี พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลบังคับใช้อยู่แล้ว บทเรียนคือการเก็บรักษาล็อกและการแจ้งเหตุตามกรอบเวลาไม่ใช่แค่ภาระด้านเอกสาร แต่เป็นสิ่งที่กำหนดว่าองค์กรจะพิสูจน์ขอบเขตความเสียหายของตัวเองได้หรือไม่เมื่อถูกตรวจสอบ

คำแนะนำ

  • ทำบัญชีอุปกรณ์เครือข่ายที่กระจายอยู่นอกสถานที่ทั้งหมด และกำหนดกระบวนการเพิกถอนใบรับรองทันทีเมื่ออุปกรณ์สูญหาย ถูกขโมย หรือถูกปลดระวาง
  • ลดอายุใบรับรองของอุปกรณ์เครือข่ายให้สั้นลงและหมุนเปลี่ยนอัตโนมัติ แทนการออกใบรับรองอายุยาวหลายปีซึ่งกลายเป็นกุญแจถาวรหากหลุดออกไป
  • ผูกการยืนยันตัวตนของอุปกรณ์เข้ากับปัจจัยเพิ่มเติมนอกเหนือจากใบรับรอง เช่น การจำกัดหมายเลขไอพีต้นทาง การผูกกับข้อมูลระบุตัวฮาร์ดแวร์ และการตรวจสอบตำแหน่งที่เชื่อมต่อ
  • ปิดเส้นทางที่สามารถข้ามเซิร์ฟเวอร์บริหารจัดการอุปกรณ์ และทบทวนสถาปัตยกรรมเครือข่ายว่ามีทางลัดใดที่หลุดจากการควบคุมส่วนกลางหรือไม่
  • ตรวจหาร่องรอยของ BPFDoor และแบ็กดอร์ตระกูลเดียวกันบนเซิร์ฟเวอร์ Linux และ Solaris โดยเน้นการตรวจ BPF filter ที่ผิดปกติและกระบวนการที่ไม่เปิดพอร์ตรอรับแต่ตอบสนองต่อแพ็กเก็ตเฉพาะ
  • เก็บรักษาล็อกเครือข่ายและล็อกเซิร์ฟเวอร์ตามระยะเวลาที่กฎหมายกำหนด และห้ามลบหรือติดตั้งระบบใหม่ทับเครื่องที่เกี่ยวข้องกับเหตุการณ์ก่อนเก็บหลักฐานทางนิติวิทยาศาสตร์ให้ครบถ้วน

แหล่งอ้างอิง