สรุปสั้น
กลุ่มรีดไถชื่อกระฉ่อน ShinyHunters ได้ปล่อยข้อมูลกว่า 41 กิกะไบต์ที่อ้างว่าขโมยมาจากบริษัท Brinks Home ผู้ให้บริการระบบรักษาความปลอดภัยทางกายภาพซึ่งมีสำนักงานใหญ่อยู่ที่เมืองดัลลัส รัฐเท็กซัส สหรัฐอเมริกา โดยบริษัทให้บริการระบบรักษาความปลอดภัยบ้านที่มีศูนย์ตอบสนองสัญญาณเตือนภัยรองรับอยู่เบื้องหลัง
เมื่อสัปดาห์ก่อน Brinks Home ได้ประกาศว่ามีแฮ็กเกอร์เข้าถึงระบบไอทีบางส่วนของบริษัท และถูกขู่ว่าจะเปิดเผยข้อมูลที่อ้างว่าขโมยไประหว่างเหตุการณ์ดังกล่าว ซึ่ง Cloud Thunder ได้รายงานไว้แล้วในโพสต์ก่อนหน้า ครั้งนี้เป็นความคืบหน้าที่ผู้โจมตีลงมือปล่อยข้อมูลจริงหลังบริษัทไม่ยอมจ่ายค่าไถ่
จุดที่ยังต้องระวังคือ ตัวเลข 4.9 ล้านรายการและเนื้อหาของไฟล์ที่ปล่อยออกมาเป็นคำกล่าวอ้างของฝ่ายผู้โจมตีทั้งหมด SecurityWeek ระบุชัดว่ายังยืนยันความถูกต้องของคำกล่าวอ้างเหล่านั้นอย่างเป็นอิสระไม่ได้ ขณะที่ Brinks Home เองก็ยังไม่เปิดเผยว่าใครเป็นผู้ก่อเหตุ และยังอยู่ระหว่างพิจารณาว่าข้อมูลใดถูกกระทบและใครได้รับผลบ้าง
รายละเอียดข่าว
เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 3 สิงหาคม 2569 ว่า กลุ่มรีดไถ ShinyHunters ได้ปล่อยไฟล์กว่า 41 กิกะไบต์ที่อ้างว่าขโมยมาจากบริษัท Brinks Home ออกสู่สาธารณะ หลังบริษัทไม่ยอมจ่ายค่าไถ่
ในประกาศแจ้งเหตุ บริษัทระบุว่า “เราทราบว่าเนื้อหาดังกล่าวอาจถูกเผยแพร่ต่อสาธารณะ Brinks Home กำลังเร่งตรวจสอบว่าข้อมูลใดเกี่ยวข้อง และใครบ้างที่อาจได้รับผลกระทบ” พร้อมระบุว่าจะแจ้งผู้ที่อาจได้รับผลกระทบหากพบว่าข้อมูลส่วนบุคคลของพวกเขาถูกกระทบจริง
บริษัทยังเตือนลูกค้าให้ “ระมัดระวังอีเมล ข้อความ หรือสายโทรศัพท์ที่ติดต่อเข้ามาโดยไม่ได้ร้องขอ ซึ่งขอข้อมูลส่วนบุคคลหรือข้อมูลรับรองบัญชี” ซึ่งเป็นคำเตือนที่ตรงกับรูปแบบการโจมตีต่อเนื่องที่มักตามมาหลังข้อมูลลูกค้ารั่ว
Brinks Home ยืนยันว่าการเฝ้าระวังสัญญาณเตือนภัยและการทำงานของระบบยังไม่ได้รับผลกระทบ เนื่องจากผู้โจมตีไม่ได้เข้าถึงตัวผลิตภัณฑ์หรือบริการของบริษัท ซึ่งเป็นประเด็นสำคัญสำหรับลูกค้าที่พึ่งพาระบบนี้ในการดูแลความปลอดภัยบ้าน
บริษัทไม่ได้เปิดเผยรายละเอียดว่าผู้ก่อภัยรายใดอยู่เบื้องหลังเหตุการณ์นี้ แต่การเปิดเผยของบริษัทเกิดขึ้นในช่วงเวลาไล่เลี่ยกับที่ ShinyHunters เพิ่มชื่อ Brinks Home ลงบนเว็บไซต์เปิดเผยข้อมูลที่ทำงานบนเครือข่าย Tor ของกลุ่ม
ฝั่งกลุ่มรีดไถอ้างว่าได้ขโมยข้อมูลจากระบบ Salesforce ของ Brinks Home ไปมากกว่า 4.9 ล้านรายการระหว่างเหตุการณ์ และเมื่อบริษัทไม่จ่ายค่าไถ่ กลุ่มจึงปล่อยไฟล์กว่า 41 กิกะไบต์ออกมา โดยอ้างว่าข้อมูลบางส่วนมีข้อมูลที่ระบุตัวบุคคลได้ (PII) รวมอยู่ด้วย ทั้งนี้ SecurityWeek ระบุว่ายังไม่สามารถยืนยันคำกล่าวอ้างของผู้โจมตีได้ด้วยตัวเอง
วิธีการโจมตี
เท่าที่มีการเปิดเผย เหตุการณ์นี้เดินตามรูปแบบที่ ShinyHunters ใช้กับเหยื่อรายอื่นในช่วงที่ผ่านมา คือมุ่งเป้าไปที่ข้อมูลใน Salesforce ของบริษัทเหยื่อ แล้วดูดข้อมูลออกมาก่อนจะเปิดการเจรจาขู่เรียกค่าไถ่ ตามด้วยการเพิ่มชื่อเหยื่อลงเว็บไซต์เปิดเผยข้อมูลบน Tor เพื่อกดดัน
ในรายงานฉบับก่อนหน้าที่ Cloud Thunder เผยแพร่ กลุ่มดังกล่าวอ้างว่าใช้วิธีโทรหลอกพนักงานให้ยืนยันตัวตนบน Microsoft Entra เพื่อเข้าถึงระบบ ก่อนดูดข้อมูลออกจาก Salesforce แต่ Brinks Home ไม่เคยยืนยันรายละเอียดวิธีการนี้ และการรายงานข่าวรอบล่าสุดก็ไม่ได้ให้ข้อมูลเพิ่มเติมเกี่ยวกับจุดเริ่มต้นของการบุกรุก
สิ่งที่เปลี่ยนไปในรอบนี้จึงไม่ใช่เทคนิคการโจมตี แต่คือขั้นตอนสุดท้ายของกระบวนการรีดไถ นั่นคือเมื่อการเจรจาล้มเหลว ผู้โจมตีเดินหน้าปล่อยข้อมูลจริงตามที่ขู่ไว้
ผลกระทบ
สำหรับลูกค้าของ Brinks Home ผลกระทบที่จับต้องได้ที่สุดคือข้อมูลส่วนบุคคลที่อาจอยู่ในไฟล์ 41 กิกะไบต์ที่ถูกปล่อยออกมา เมื่อข้อมูลอยู่ในมือสาธารณะแล้ว การเพิกถอนย้อนหลังทำไม่ได้ และข้อมูลชุดนี้จะถูกนำไปใช้ตั้งต้นการหลอกลวงแบบเจาะจงตัวบุคคลได้ต่อไปอีกนาน โดยเฉพาะการแอบอ้างเป็นเจ้าหน้าที่ของบริษัทติดต่อลูกค้าที่ติดตั้งระบบรักษาความปลอดภัยบ้านไว้
ในแง่ความเสี่ยงทางกายภาพ ข้อมูลลูกค้าของผู้ให้บริการระบบรักษาความปลอดภัยบ้านมีน้ำหนักต่างจากข้อมูลลูกค้าทั่วไป เพราะบ่งชี้ได้ว่าใครอาศัยอยู่ที่ไหนและติดตั้งอุปกรณ์อะไรไว้บ้าง อย่างไรก็ตาม ยังไม่มีการเปิดเผยว่าไฟล์ที่รั่วมีข้อมูลระดับนั้นอยู่จริงหรือไม่ และบริษัทยืนยันว่าผู้โจมตีไม่ได้เข้าถึงตัวผลิตภัณฑ์หรือระบบเฝ้าระวังสัญญาณ
กรณีนี้ยังเป็นตัวอย่างว่าการตัดสินใจไม่จ่ายค่าไถ่มีต้นทุนที่ต้องยอมรับ องค์กรที่เลือกเส้นทางนี้ต้องเตรียมแผนสื่อสารและแผนรับมือผลกระทบต่อลูกค้าไว้ล่วงหน้า เพราะการปล่อยข้อมูลเป็นผลลัพธ์ที่คาดเดาได้
ข้อจำกัดของหลักฐานยังมีอยู่มาก ตัวเลข 4.9 ล้านรายการและขนาดไฟล์ 41 กิกะไบต์มาจากฝั่งผู้โจมตีทั้งหมด ยังไม่มีการยืนยันจากบริษัทหรือหน่วยงานอิสระ บริษัทเองก็ยังไม่ระบุจำนวนผู้ได้รับผลกระทบ ไม่ระบุประเภทข้อมูลที่รั่ว และไม่เอ่ยชื่อผู้ก่อเหตุ
คำแนะนำ
ลูกค้าของ Brinks Home ควรถือว่าข้อมูลติดต่อของตนอาจอยู่ในมือผู้ไม่ประสงค์ดีแล้ว และเพิ่มความระมัดระวังกับอีเมล ข้อความ หรือสายโทรศัพท์ที่อ้างตัวเป็นบริษัทและขอข้อมูลบัญชี ควรวางสายแล้วโทรกลับผ่านหมายเลขที่ระบุบนใบแจ้งหนี้หรือเว็บไซต์ทางการเท่านั้น รวมถึงเปลี่ยนรหัสผ่านบัญชีและเปิดใช้การยืนยันตัวตนหลายปัจจัย
องค์กรที่ใช้ Salesforce หรือแพลตฟอร์ม SaaS ที่เก็บข้อมูลลูกค้าจำนวนมาก ควรทบทวนสิทธิ์ของบัญชีและแอปที่เชื่อมต่ออยู่ จำกัดปริมาณข้อมูลที่บัญชีเดียวดึงออกได้ และตั้งการแจ้งเตือนเมื่อมีการส่งออกข้อมูลปริมาณผิดปกติ เพราะรูปแบบการโจมตีของกลุ่มนี้อาศัยการดูดข้อมูลจำนวนมากออกในคราวเดียว
เนื่องจากจุดตั้งต้นของแคมเปญลักษณะนี้มักเป็นการหลอกพนักงานทางโทรศัพท์ให้ยืนยันตัวตน ทีมงานควรกำหนดขั้นตอนยืนยันตัวตนสำหรับคำขอรีเซ็ต MFA ที่ไม่พึ่งการโทรศัพท์อย่างเดียว และซักซ้อมกับทีมช่วยเหลือผู้ใช้ให้รู้จักรูปแบบการหลอกลวงนี้
องค์กรที่ยังไม่ถูกโจมตีควรใช้กรณีนี้ซ้อมแผนล่วงหน้าว่าจะทำอย่างไรหากถูกขู่เผยแพร่ข้อมูล ทั้งเรื่องการตัดสินใจจ่ายหรือไม่จ่าย การแจ้งผู้ได้รับผลกระทบ และการสื่อสารต่อสาธารณะ เพราะการตัดสินใจเหล่านี้ใช้เวลานานเกินกว่าจะคิดสด ๆ ตอนเกิดเหตุ