สรุปสั้น
ฐานข้อมูลกฎหมายแห่งชาติของตำรวจอังกฤษ หรือ Police National Legal Database (PNLD) ยืนยันว่าข้อมูลติดต่อของตำรวจ หน่วยงานรัฐ และลูกค้าถูกเจาะและนำไปเผยแพร่บนดาร์กเว็บ ข้อมูลที่รั่วไหลประกอบด้วยชื่อ ชื่อหน่วยงาน และที่อยู่อีเมลที่ทำงาน ซึ่งเป็นของเจ้าหน้าที่ตำรวจ บุคลากรของสำนักงานตำรวจ ผู้ปฏิบัติงานในกระบวนการยุติธรรมทางอาญา พันธมิตรภาครัฐ และลูกค้าของบริการ เหตุการณ์นี้ถูกตรวจพบเมื่อวันที่ 26 กรกฎาคม และยังทำให้ชื่อกับอีเมลของประชาชนบางส่วนที่เคยส่งคำถามผ่านบริการ Ask the Police หลุดออกไปด้วย ซึ่งตามแนวทางของรัฐบาลอังกฤษระบุว่าข้อมูลลักษณะนี้อาจทำให้ข้อความฟิชชิงที่เจาะจงชื่อเจ้าหน้าที่ดูน่าเชื่อถือมากขึ้น
PNLD ระบุว่า “ไม่มีหลักฐานบ่งชี้ว่ารหัสผ่านหรือข้อมูลรับรองด้านความปลอดภัยอื่นถูกเจาะ” พร้อมชี้แจงขอบเขตของระบบให้ชัดว่า PNLD เป็นผู้ให้ข้อมูล ผลิตภัณฑ์ และบริการด้านกฎหมายแก่กองกำลังตำรวจและองค์กรในกระบวนการยุติธรรมของอังกฤษ ไม่ใช่ระบบ Police National Computer หรือ Police National Database ไม่ใช่ระบบบันทึกคดีอาชญากรรม และไม่ได้เก็บข้อมูลลับเกี่ยวกับผู้เสียหาย พยาน หรือผู้กระทำผิด โดยหน่วยงานได้ติดต่อองค์กรที่ได้รับผลกระทบทั้งหมดแล้ว แจ้งต่อสำนักงานคณะกรรมการข้อมูลข่าวสาร (ICO) และกำลังทำงานร่วมกับสำนักงานอาชญากรรมแห่งชาติ (NCA) และองค์กรผู้เชี่ยวชาญด้านความปลอดภัยไซเบอร์
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 3 สิงหาคม พ.ศ. 2569 ว่า จนถึงวันดังกล่าว PNLD ยังไม่ได้เปิดเผยต่อสาธารณะว่ามีผู้ได้รับผลกระทบจำนวนเท่าใด การบุกรุกเริ่มขึ้นเมื่อใด ผู้โจมตีเข้าถึงระบบได้นานแค่ไหน หรือมีข้อมูลถูกนำออกไปมากน้อยเพียงใด ประกาศแจ้งเหตุข้อมูลรั่วไหลอย่างเป็นทางการอธิบายเพียงว่ามีข้อมูลฟิลด์ใดบ้างที่หลุดออกไป แต่ไม่ได้ให้ยอดรวมของผู้เสียหาย
ตัวเลขที่พอใช้อ้างอิงขนาดของระบบได้คือ PNLD รายงานในสรุปประจำปี 2568-2569 ว่ามีการลงทะเบียนของเจ้าหน้าที่ตำรวจ 108,429 รายการ และให้บริการแก่กองกำลังตำรวจภายใต้กระทรวงมหาดไทยครบทั้ง 43 หน่วย แต่ต้องเน้นว่านี่เป็นตัวเลขฐานผู้ใช้ ไม่ใช่จำนวนผู้เสียหายจากเหตุการณ์นี้ ซึ่งเป็นความแตกต่างที่มักถูกสับสนในการรายงานข่าวข้อมูลรั่วไหล
ในสรุปประจำปี 2566-2567 PNLD เคยระบุว่าฐานข้อมูลของตนใช้เทคโนโลยี Microsoft Power Platform และ The Hacker News ยืนยันเมื่อวันที่ 3 สิงหาคม พ.ศ. 2569 ว่าหน้าประกาศแจ้งเหตุอ้างอิงไฟล์ที่โฮสต์อยู่บนโดเมน content.powerapps.com ของไมโครซอฟท์ ซึ่งสนับสนุนความเชื่อมโยงกับแพลตฟอร์มดังกล่าว แต่ไม่ได้แสดงว่าผู้โจมตีได้ข้อมูลมาด้วยวิธีใด
ด้านกลุ่ม ExfilSquad ประกาศชื่อ PNLD ไว้บนเว็บไซต์เผยแพร่ข้อมูลของตนเมื่อวันที่ 26 กรกฎาคม แต่ PNLD ยังไม่ได้ระบุว่าเหตุการณ์นี้เป็นฝีมือของกลุ่มดังกล่าว ขณะที่บริษัท VenariX ซึ่งตรวจสอบวัสดุหลักฐานของแคมเปญนี้ ระบุว่าไม่พบหลักฐานการวางแรนซัมแวร์ การใช้มัลแวร์ การเคลื่อนตัวด้านข้างภายในเครือข่าย หรือการใช้ช่องโหว่ของซอฟต์แวร์แต่อย่างใด
วิธีการโจมตี
บริษัท VenariX ตรวจสอบตัวอย่างข้อมูลที่เกี่ยวข้องกับเหยื่อ 11 รายจากทั้งหมด 15 รายที่กลุ่ม ExfilSquad อ้างสิทธิ์ และพบโครงสร้างข้อมูลที่สอดคล้องกับ Dataverse ในทั้ง 11 ราย ส่วนในกรณีของเมืองฮูสตัน บริษัทยืนยันได้ว่าพอร์ทัลสาธารณะแห่งหนึ่งคืนค่าข้อมูลออกมาโดยไม่ต้องยืนยันตัวตน และข้อมูลที่ได้สอดคล้องกับข้อมูลที่กลุ่มนำไปเผยแพร่
จากหลักฐานชุดนี้ VenariX ประเมินว่าเส้นทางการโจมตีในระดับแคมเปญน่าจะเป็นเว็บไซต์ Power Pages ที่เปิดสาธารณะและให้สิทธิ์บทบาท Anonymous Users เข้าถึงตารางใน Dataverse อย่างกว้างขวาง โดยเส้นทางนี้ยังต้องอาศัยการเปิดใช้งาน Power Pages Web API หรือฟีด OData แบบเดิมด้วย ซึ่งเอกสารของไมโครซอฟท์ระบุไว้เองว่าการให้สิทธิ์บทบาท Anonymous Users เข้าถึงตารางใด จะทำให้ข้อมูลในตารางนั้นมองเห็นได้โดยทุกคนที่เข้าเว็บไซต์ และเอกสารของ Web API ก็ระบุว่าอินเทอร์เฟซ /_api จะทำงานตามสิทธิ์ตารางที่ผูกกับบทบาทบนเว็บแต่ละบทบาท
อย่างไรก็ตาม จุดสำคัญที่ต้องย้ำคือ VenariX ระบุเองว่าหลักฐาน “ยังไม่ยืนยันว่าทุกองค์กรได้รับผลกระทบผ่านพอร์ทัล Power Apps ที่เปิดออกสู่ภายนอกหรือผ่านปัญหาการตั้งค่าแบบเดียวกัน” และ ณ วันที่ 3 สิงหาคม พ.ศ. 2569 ทั้งประกาศของ PNLD และรายงานของ VenariX ต่างก็ไม่ได้ระบุ endpoint การตั้งค่าสิทธิ์ เส้นทาง API หรือล็อกใด ๆ ที่เจาะจงกับ PNLD เลย ในขั้นนี้ความเชื่อมโยงกับ Power Pages จึงยังเป็นเพียง สมมติฐานที่ต้องพิสูจน์ ไม่ใช่คำอธิบายของเหตุการณ์ที่ PNLD
ผลกระทบ
แม้ข้อมูลที่รั่วจะเป็นเพียงชื่อ ชื่อหน่วยงาน และอีเมลที่ทำงาน ไม่ใช่รหัสผ่านหรือข้อมูลคดี แต่ความเสี่ยงหลักอยู่ที่การนำข้อมูลชุดนี้ไปใช้ต่อ เพราะรายชื่อที่ระบุได้ว่าใครทำงานที่หน่วยงานใดในกระบวนการยุติธรรม เป็นวัตถุดิบชั้นดีสำหรับการทำฟิชชิงแบบเจาะจงเป้าหมาย ข้อความที่อ้างชื่อจริงและหน่วยงานจริงย่อมน่าเชื่อถือกว่าฟิชชิงทั่วไปมาก และกลุ่มเป้าหมายในที่นี้คือผู้ที่เข้าถึงระบบข้อมูลอ่อนไหวของรัฐได้
ประชาชนที่เคยส่งคำถามผ่านบริการ Ask the Police ก็อยู่ในกลุ่มที่ได้รับผลกระทบด้วย ซึ่งเป็นกลุ่มที่ไม่ได้คาดหมายว่าการสอบถามข้อมูลกฎหมายทั่วไปจะทำให้ชื่อและอีเมลของตนไปปรากฏบนดาร์กเว็บ โดยหน่วยงานระบุว่าได้ส่งอีเมลแจ้งข้อมูลและคำแนะนำแก่ผู้ใช้กลุ่มนี้ไปแล้ว
ในภาพกว้าง หากสมมติฐานเรื่อง Power Pages ได้รับการยืนยันในภายหลัง ประเด็นที่น่าสนใจคือเหตุการณ์นี้ไม่ได้เกิดจากช่องโหว่ของซอฟต์แวร์ แต่เกิดจากการตั้งค่าสิทธิ์ที่เปิดกว้างเกินไปบนแพลตฟอร์มที่ทำงานตามที่ออกแบบไว้ทุกประการ ซึ่งเป็นความเสี่ยงประเภทที่การแพตช์ช่วยอะไรไม่ได้ และมักไม่ถูกตรวจพบจนกว่าจะมีคนภายนอกไปลองเรียกข้อมูลดู อย่างไรก็ตาม PNLD ยังไม่ได้เปิดเผยเส้นทางการเข้าถึงที่แท้จริง จำนวนบุคคลที่ได้รับผลกระทบ หรือปริมาณข้อมูลที่ถูกเผยแพร่ทั้งหมด
คำแนะนำ
องค์กรที่ใช้ Microsoft Power Pages ควรตรวจสอบสิทธิ์ตารางที่ผูกกับบทบาท Anonymous Users การตั้งค่า Web API และฟีด OData แบบเดิมทั้งหมด แล้วทดสอบการเข้าถึงจริงจากเซสชันเบราว์เซอร์ที่ยังไม่ได้ยืนยันตัวตน เพื่อดูว่าข้อมูลใดถูกคืนออกมาบ้าง ซึ่งเป็นวิธีตรวจที่ตรงที่สุดสำหรับปัญหาการตั้งค่าประเภทนี้ ทั้งนี้ต้องเข้าใจว่ามาตรการเหล่านี้ตอบโจทย์รูปแบบการตั้งค่าที่ VenariX ระบุ ไม่ใช่ต้นตอที่ยืนยันแล้วของเหตุการณ์ PNLD
ไมโครซอฟท์มีกลไกควบคุมระดับ tenant ที่ปิดกั้นไม่ให้ผู้ใช้ที่ยังไม่ยืนยันตัวตนอ่านข้อมูลใน Dataverse ได้ ในขณะที่ยังเปิดให้ส่งฟอร์มสาธารณะได้ตามปกติ องค์กรที่เปิดพอร์ทัลสาธารณะไว้ควรพิจารณาเปิดใช้กลไกนี้เป็นค่าตั้งต้น แล้วค่อยเปิดสิทธิ์เฉพาะจุดที่จำเป็นจริง แทนการเปิดกว้างไว้ก่อนแล้วค่อยไล่ปิดทีหลัง
สำหรับเจ้าหน้าที่และบุคลากรที่อยู่ในรายชื่อที่รั่วไหล ควรเพิ่มความระมัดระวังกับอีเมลที่อ้างชื่อหน่วยงานหรืออ้างเรื่องงานในช่วงนี้เป็นพิเศษ โดยเฉพาะข้อความที่ขอให้กดลิงก์เพื่อยืนยันตัวตนหรือเปิดไฟล์แนบ และควรรายงานข้อความที่น่าสงสัยเข้าช่องทางภายในทันที ส่วนองค์กรควรทบทวนการตั้งค่าการยืนยันตัวตนของบัญชีที่ใช้อีเมลที่หลุดออกไป เนื่องจากอีเมลที่ทำงานเป็นครึ่งหนึ่งของข้อมูลรับรองอยู่แล้ว