สรุปสั้น

กลุ่มกรรโชกข้อมูลชื่อ RansomHouse ประกาศอ้างความรับผิดชอบต่อการโจมตีทางไซเบอร์ต่อ บริษัท พี ซี แอล โฮลดิ้ง จำกัด (มหาชน) หรือ PCL Holding ผู้จัดจำหน่ายเครื่องมือและน้ำยาวินิจฉัยทางการแพทย์รายใหญ่ของไทย โดยข้อความบนเว็บไซต์ปล่อยข้อมูลของกลุ่มระบุว่าข้อมูลอ่อนไหวทั้งหมดของบริษัทถูกเข้ารหัสแล้ว และหากไม่มีการเริ่มเจรจา ข้อมูลทั้งชุดจะถูกปล่อยสู่สาธารณะ การประกาศเกิดขึ้นเมื่อวันที่ 3 สิงหาคม พ.ศ. 2569

PCL Holding เป็นผู้เล่นสำคัญในตลาดการตรวจวินิจฉัยแบบรวมศูนย์ของไทย ก่อตั้งเมื่อปี พ.ศ. 2538 กลุ่มบริษัทประกอบด้วย 6 บริษัท แบ่งเป็นบริษัทเทรดดิ้ง 4 แห่งและผู้ให้บริการ 2 แห่ง ทำทั้งการผลิต นำเข้า และจัดจำหน่ายเครื่องมือวินิจฉัย น้ำยาวินิจฉัย และเครื่องมือวิทยาศาสตร์ พร้อมให้บริการห้องปฏิบัติการทางการแพทย์มาตรฐานแก่หน่วยงานด้านสาธารณสุข ตำแหน่งของบริษัทในห่วงโซ่บริการสาธารณสุขไทยจึงทำให้ข้อมูลที่อยู่ในระบบมีความอ่อนไหวมากกว่าบริษัทจัดจำหน่ายทั่วไป

สิ่งที่ต้องแยกให้ชัดตั้งแต่ต้นคือ ณ เวลาที่รายงาน ข้อมูลทั้งหมดยังเป็นคำกล่าวอ้างฝ่ายเดียวของผู้ก่อเหตุบนเว็บไซต์ปล่อยข้อมูล ยังไม่มีคำยืนยันหรือคำแถลงจาก PCL Holding ยังไม่มีการแจ้งเหตุจากหน่วยงานกำกับดูแลของไทย ยังไม่มีการเปิดเผยปริมาณข้อมูลที่อ้างว่าถูกขโมย ยังไม่มีการปล่อยตัวอย่างข้อมูล และยังไม่มีการระบุช่องทางที่ผู้โจมตีใช้เข้าถึงระบบหรือตัวบ่งชี้การถูกบุกรุกใด ๆ

รายละเอียดข่าว

เว็บไซต์ DeXpose รายงานเมื่อวันที่ 4 สิงหาคม พ.ศ. 2569 ว่าเมื่อวันที่ 3 สิงหาคม กลุ่ม RansomHouse ได้เพิ่มชื่อ PCL Holding Public Company Limited พร้อมโดเมน pclholding.com ลงในรายชื่อเหยื่อบนเว็บไซต์ปล่อยข้อมูลของกลุ่ม โดยระบุประเทศเป้าหมายเป็นประเทศไทย ข้อความของผู้ก่อเหตุที่ปรากฏในรายงานระบุว่า “ข้อมูลอ่อนไหวทั้งหมดจาก PCL Holding ถูกเข้ารหัสแล้ว หากไม่มีการเริ่มเจรจา ข้อมูลทั้งชุดจะถูกเปิดเผยต่อสาธารณะ”

รายงานประเมินว่าบริษัทซึ่งเป็นผู้เล่นสำคัญในภาคสาธารณสุขของไทย กำลังเผชิญทั้งความเสี่ยงที่การดำเนินงานจะหยุดชะงักและความเสี่ยงที่ข้อมูลจะถูกเปิดเผย พร้อมแนะนำให้ผู้มีส่วนได้ส่วนเสียติดตามสถานการณ์อย่างใกล้ชิด เนื่องจากผลของการเจรจาหรือการปล่อยข้อมูลเพิ่มเติมจะกระทบทั้งชื่อเสียงของบริษัทและความเชื่อมั่นของลูกค้า

ข้อมูลบริษัทจากแหล่งสาธารณะระบุว่า PCL Holding เริ่มต้นในปี พ.ศ. 2538 ในฐานะผู้ค้าเครื่องมือและน้ำยาวินิจฉัย ก่อตั้งโดยผู้ถือหุ้น 7 ราย มีสำนักงานใหญ่อยู่ที่ถนนสิรินธร กรุงเทพมหานคร ปัจจุบันกลุ่มบริษัทมี 6 บริษัทในเครือ โดย 4 แห่งดำเนินธุรกิจเทรดดิ้งและอีก 2 แห่งเป็นผู้ให้บริการ กลุ่มบริษัทรักษาตำแหน่งในตลาดผ่านกลยุทธ์การให้เช่าน้ำยาวินิจฉัยควบคู่กับเครื่องมือ และมีรายได้ต่อปีราว 2,060 ล้านบาทตามข้อมูล ณ สิ้นปี พ.ศ. 2565

จนถึงขณะที่เขียนรายงานนี้ ยังไม่พบว่าสื่อไทยรายงานเหตุการณ์ดังกล่าว และยังไม่พบคำแถลงจากบริษัทหรือการแจ้งเหตุต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ซึ่งเป็นสถานการณ์ที่พบได้บ่อยในช่วงแรกของการถูกขึ้นชื่อบนเว็บไซต์ปล่อยข้อมูล เพราะกลุ่มผู้ก่อเหตุมักประกาศชื่อเหยื่อก่อนที่การเจรจาจะเริ่มหรือจบลง

รู้จัก RansomHouse และข้อสังเกตต่อคำกล่าวอ้าง

RansomHouse ปรากฏตัวขึ้นในช่วงปลายปี พ.ศ. 2564 ถึงต้นปี พ.ศ. 2565 และวางตัวเองในลักษณะที่ต่างจากกลุ่มแรนซัมแวร์ทั่วไป โดยตัวแทนของกลุ่มเคยระบุว่าไม่เข้ารหัสข้อมูลของเหยื่อ แต่ใช้วิธีขโมยข้อมูลออกไปแล้วขู่เผยแพร่เพียงอย่างเดียว กลุ่มนี้ถูกเชื่อมโยงกับเครื่องมือของกลุ่มอื่นอย่าง White Rabbit และ Mario ESXi และมีนักวิจัยบางรายตั้งข้อสงสัยว่าผู้ที่อยู่เบื้องหลัง RansomHouse อาจเป็นชุดเดียวกับที่ปฏิบัติการ White Rabbit เป้าหมายที่ผ่านมาของกลุ่มครอบคลุมทั้งภาคการศึกษา หน่วยงานรัฐ ภาคการผลิต และภาคสาธารณสุข

จุดที่น่าสังเกตในกรณีนี้คือถ้อยแถลงที่อ้างว่า “ข้อมูลถูกเข้ารหัสแล้ว” ขัดกับภาพลักษณ์ที่กลุ่มเคยประกาศไว้ว่าเป็นการกรรโชกโดยไม่เข้ารหัส ความไม่สอดคล้องนี้ตีความได้หลายทาง อาจเป็นเพราะกลุ่มปรับรูปแบบปฏิบัติการมาใช้ตัวเข้ารหัสจริงตามที่มีรายงานว่ากลุ่มพัฒนาไปสู่รูปแบบให้บริการแรนซัมแวร์ อาจเป็นเพราะสมาชิกในเครือข่ายเลือกใช้เครื่องมือของตนเอง หรืออาจเป็นเพียงถ้อยคำกดดันที่ไม่ตรงกับสิ่งที่เกิดขึ้นจริง ในทางปฏิบัติ องค์กรที่ตกเป็นเหยื่อไม่ควรอนุมานขอบเขตความเสียหายจากถ้อยแถลงของผู้ก่อเหตุ แต่ควรพิสูจน์จากหลักฐานในระบบของตนเอง

ข้อจำกัดของรายงานต้นทางก็ควรระบุไว้เช่นกัน รายงานชิ้นนี้มาจากผู้ให้บริการข่าวกรองภัยคุกคามที่ติดตามเว็บไซต์ปล่อยข้อมูล เนื้อหาส่วนที่เป็นข้อเท็จจริงจึงจำกัดอยู่ที่รายการบนเว็บไซต์ของกลุ่มเท่านั้น ไม่มีการวิเคราะห์ทางเทคนิค ไม่มีตัวบ่งชี้การถูกบุกรุก ไม่มีการระบุตระกูลมัลแวร์หรือช่องโหว่ที่ถูกใช้ และไม่มีการยืนยันจากฝั่งเหยื่อ

ผลกระทบต่อไทย

ความเสี่ยงที่แท้จริงของกรณีนี้ไม่ได้อยู่ที่ตัวบริษัทผู้จัดจำหน่ายเพียงลำพัง แต่อยู่ที่ตำแหน่งของบริษัทในห่วงโซ่บริการสาธารณสุข PCL Holding ให้บริการห้องปฏิบัติการทางการแพทย์แก่หน่วยงานด้านสาธารณสุข ซึ่งหมายความว่าระบบของบริษัทอาจเก็บผลตรวจทางห้องปฏิบัติการที่เชื่อมโยงกับตัวบุคคล รายชื่อโรงพยาบาลและห้องแล็บที่เป็นลูกค้า สัญญาและข้อมูลราคาที่เกี่ยวกับการจัดซื้อภาครัฐ รวมถึงข้อมูลการเชื่อมต่อระบบกับสถานพยาบาล หากข้อมูลกลุ่มนี้ถูกปล่อยจริง ผลกระทบจะไม่จบที่บริษัทเดียวแต่จะกระจายไปยังสถานพยาบาลที่เป็นคู่ค้า

อีกด้านที่ควรจับตาคือความต่อเนื่องของบริการ โมเดลธุรกิจแบบให้เช่าน้ำยาวินิจฉัยควบคู่กับเครื่องมือทำให้ห้องปฏิบัติการจำนวนหนึ่งพึ่งพาการส่งมอบน้ำยาและบริการบำรุงรักษาจากผู้จัดจำหน่ายรายเดิมโดยตรง หากระบบหลังบ้านของผู้จัดจำหน่ายหยุดทำงาน ผลกระทบจะไปโผล่ที่รอบการส่งมอบและการซ่อมบำรุงเครื่องมือของห้องแล็บปลายทาง ซึ่งเป็นความเสี่ยงเชิงห่วงโซ่อุปทานที่มองไม่เห็นจากด้านนอก

ในทางกฎหมาย หากพิสูจน์ได้ว่ามีข้อมูลส่วนบุคคลของคนไทยหลุดออกไปจริง โดยเฉพาะผลตรวจทางห้องปฏิบัติการซึ่งจัดเป็นข้อมูลอ่อนไหวตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลมีหน้าที่แจ้งเหตุต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมง และต้องแจ้งเจ้าของข้อมูลเมื่อความเสี่ยงสูง ส่วนโรงพยาบาลและห้องแล็บที่เป็นคู่ค้าควรเริ่มตรวจสอบตั้งแต่ตอนนี้ว่าตนเองส่งข้อมูลอะไรให้ผู้จัดจำหน่ายรายนี้บ้าง แทนที่จะรอผลการเจรจาของบริษัท

คำแนะนำ

  • โรงพยาบาล ห้องปฏิบัติการ และหน่วยงานสาธารณสุขที่เป็นคู่ค้ากับ PCL Holding ควรจัดทำรายการทันทีว่าเคยส่งข้อมูลประเภทใดให้บริษัท เชื่อมต่อระบบผ่านช่องทางใด และมีบัญชีของบริษัทเข้าถึงระบบภายในของตนหรือไม่
  • ปิดหรือระงับสิทธิ์การเข้าถึงระยะไกลของผู้จัดจำหน่ายไว้ก่อนจนกว่าสถานการณ์จะชัดเจน โดยเฉพาะช่องทางที่ใช้บำรุงรักษาเครื่องมือจากภายนอก ซึ่งมักถูกลืมจากการทบทวนสิทธิ์ประจำ
  • ตรวจสอบบันทึกล็อกย้อนหลังของการเชื่อมต่อจากเครือข่ายของผู้จัดจำหน่าย มองหาการเข้าถึงนอกเวลาปกติและการโอนถ่ายข้อมูลปริมาณมาก
  • องค์กรที่ตกเป็นเหยื่อไม่ควรอนุมานขอบเขตความเสียหายจากถ้อยแถลงของผู้ก่อเหตุ แต่ควรยืนยันด้วยหลักฐานจากระบบตนเอง เพราะคำอ้างว่าเข้ารหัสหรือขโมยข้อมูลจำนวนมากอาจเกินจริงเพื่อเร่งการเจรจา
  • ผู้ให้บริการในภาคสาธารณสุขควรแยกเครือข่ายที่ให้บริการลูกค้าออกจากระบบธุรกิจภายใน และเก็บสำรองข้อมูลแบบที่แก้ไขไม่ได้และไม่เชื่อมต่อกับเครือข่ายหลัก เพื่อไม่ให้การเข้ารหัสทำลายทางเลือกในการกู้คืน
  • ให้ผู้เชี่ยวชาญด้านการรับมือเหตุการณ์และที่ปรึกษากฎหมายเข้ามาก่อนที่จะเริ่มติดต่อกับกลุ่มผู้ก่อเหตุหรือคนกลางเจรจาค่าไถ่

แหล่งอ้างอิง