สรุปสั้น

นาย Connor Riley Moucka วัย 26 ปี ชาวเมืองคิตเชนเนอร์ รัฐออนแทรีโอ ประเทศแคนาดา รับสารภาพต่อศาลรัฐบาลกลางเมืองซีแอตเทิลในข้อหาฉ้อโกงคอมพิวเตอร์ ฉ้อโกงทางสาย การโจรกรรมอัตลักษณ์ระดับร้ายแรง และการสมคบคิดที่เกี่ยวเนื่อง จากกรณีเจาะบัญชีลูกค้าของแพลตฟอร์ม Snowflake เมื่อปี 2567 ซึ่งเป็นหนึ่งในเหตุการณ์ข้อมูลรั่วไหลครั้งใหญ่ที่สุดของทศวรรษ

การบุกรุกครั้งนี้ลุกลามไปยังองค์กรอย่างน้อย 165 แห่ง และทำให้ข้อมูลของผู้คนอย่างน้อย 100 ล้านรายถูกเปิดเผย โดย Moucka ได้เงินจากค่าไถ่และการขายข้อมูลไปอย่างน้อย 495,000 ดอลลาร์สหรัฐ เขามีกำหนดฟังคำพิพากษาในวันที่ 27 ตุลาคม และต้องเผชิญโทษจำคุกขั้นต่ำบังคับ 2 ปีในข้อหาโจรกรรมอัตลักษณ์ บวกกับโทษสูงสุดถึง 30 ปีในข้อหาที่เหลือ

สิ่งที่ทำให้คดีนี้ยังถูกพูดถึงจนถึงวันนี้ไม่ใช่ความซับซ้อนของเทคนิค แต่คือความเรียบง่ายของมัน ทางเข้าคือรหัสผ่านเก่า ข้อมูลรับรองเหล่านั้นถูกมัลแวร์ประเภทขโมยข้อมูล (infostealer) ดูดไปตั้งแต่หลายปีก่อนและไม่เคยถูกเปลี่ยน ขณะที่บัญชีที่ถูกเจาะก็ปิดการยืนยันตัวตนหลายชั้น (MFA) ไว้ ไม่มีการใช้ช่องโหว่ ไม่มีจุดบกพร่องในตัวแพลตฟอร์ม

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 6 สิงหาคม 2569 ว่า Moucka รับสารภาพเมื่อวันพุธที่ผ่านมา โดยกระทรวงยุติธรรมสหรัฐฯ ไม่เคยระบุชื่อบริษัทที่ตกเป็นเหยื่อเลย ทั้งในประกาศฉบับล่าสุดและในคำฟ้องเมื่อเดือนตุลาคม 2567 โดยเรียกเพียงว่าเป็นผู้ให้บริการซอฟต์แวร์แบบ SaaS ของสหรัฐฯ ชื่อแพลตฟอร์มปรากฏต่อสาธารณะเพราะ Snowflake และบริษัท Mandiant เป็นผู้เปิดเผยเองในปี 2567

นอกจากการขโมยข้อมูลแล้ว อัยการระบุว่า Moucka ยังกลับมาข่มขู่กรรโชกเหยื่ออย่างน้อยหนึ่งรายซ้ำอีกครั้ง โดยขู่จะเปิดเผยข้อมูลเพิ่มเติมด้วยการใช้ข้อมูลที่ขโมยมาของเจ้าหน้าที่รัฐรายหนึ่ง รวมถึงข้อมูลของสมาชิกในครอบครัวใกล้ชิดของอดีตเจ้าหน้าที่รัฐอีกรายหนึ่ง ซึ่งกระทรวงยุติธรรมไม่ได้เปิดเผยชื่อทั้งสองราย นาย W. Mike Herrington เจ้าหน้าที่พิเศษผู้ควบคุมสำนักงานภาคสนามซีแอตเทิลของ FBI เรียกยุทธวิธีนี้ว่า “คำนวณมาแล้วและมีลักษณะล่าเหยื่อ”

ตัวเลข 165 องค์กรมีความหมายที่เปลี่ยนไปตั้งแต่ปี 2567 เดิมทีมันคือจำนวนองค์กรที่ Mandiant และ Snowflake แจ้งเตือนว่า อาจ ได้รับผลกระทบ แต่ปัจจุบันอัยการใช้ตัวเลขเดียวกันนี้ในความหมายว่าเป็นลูกค้าที่ถูกเจาะจริง อนึ่ง เอกสารเผยแพร่ของกระทรวงยุติธรรมเองก็ยังไม่ลงตัวเลขเดียวกัน โดยเนื้อความระบุว่ามากกว่า 165 องค์กร ขณะที่คำแถลงของนาย A. Tysen Duva ผู้ช่วยอัยการสูงสุด ระบุว่ามากกว่า 150 องค์กร ส่วนความเสียหายที่เกิดขึ้นจริงกับบริษัทที่ตกเป็นเหยื่ออยู่ที่มากกว่า 9.5 ล้านดอลลาร์สหรัฐ ซึ่งเป็นตัวเลขที่ยังไม่รวมความเสียหายที่ตกกับลูกค้าของบริษัทเหล่านั้น

ข้อมูลที่ถูกดูดออกไปครอบคลุมประวัติการโทรและข้อความแบบไม่รวมเนื้อหา ข้อมูลบัญชีเงินเดือน หมายเลขทะเบียนของสำนักงานปราบปรามยาเสพติดสหรัฐฯ (DEA) หมายเลขหนังสือเดินทาง และหมายเลขประกันสังคม โดยบริษัท AT&T ยืนยันเมื่อเดือนกรกฎาคม 2567 ว่าข้อมูลการโทรและข้อความของลูกค้าเครือข่ายมือถือแทบทั้งหมดในช่วงวันที่ 1 พฤษภาคมถึง 31 ตุลาคม 2565 ถูกขโมยไปจากพื้นที่ทำงานของบริษัทบนแพลตฟอร์มคลาวด์ของบุคคลที่สาม

ในบรรดาผู้ถูกตั้งข้อหาสองรายเมื่อปี 2567 มีเพียง Moucka ที่อยู่ในการควบคุมตัวของสหรัฐฯ ส่วนนาย John Erin Binns จำเลยร่วมยังอยู่นอกการควบคุมตัว ณ วันที่ศาลอัปเดตสถานะคดีเมื่อวันที่ 4 สิงหาคม ขณะที่นาย Cameron John Wagenius อดีตทหารกองทัพบกสหรัฐฯ ที่อัยการเชื่อมโยงกับการบุกรุกชุดเดียวกัน ได้รับสารภาพในคดีที่เกี่ยวเนื่องไปแล้วเมื่อเดือนกรกฎาคม 2568

วิธีการโจมตี

บริษัท Mandiant ซึ่งสอบสวนร่วมกับ Snowflake และติดตามผู้ก่อเหตุในชื่อ UNC5537 พบว่าทุกเหตุการณ์ที่เข้าไปตรวจสอบล้วนย้อนกลับไปที่ข้อมูลรับรองของลูกค้าที่ถูกมัลแวร์ขโมยข้อมูลดูดไป โดยบางชุดถูกเก็บเกี่ยวไปตั้งแต่เดือนพฤศจิกายน 2563 แต่ยังใช้งานได้อยู่หลายปีต่อมา นอกจากนี้บัญชีที่กลุ่มนี้ใช้เข้าระบบอย่างน้อย 79.7% เคยมีประวัติข้อมูลรับรองรั่วไหลมาก่อน และอินสแตนซ์ที่ถูกเจาะก็ไม่ได้ตั้งรายการอนุญาตเครือข่าย (network allow list) ไว้เลย

Mandiant เขียนไว้ตรงไปตรงมาว่าแคมเปญนี้ “ไม่ได้เป็นผลมาจากเครื่องมือ เทคนิค หรือกระบวนการที่แปลกใหม่หรือซับซ้อนแต่อย่างใด” และอธิบายว่าขนาดของความเสียหายมาจากสองปัจจัย คือขนาดของตลาดซื้อขายข้อมูลจากมัลแวร์ขโมยข้อมูลที่ใหญ่มาก และการที่ข้อมูลรับรองถูกปล่อยไว้โดยไม่เปลี่ยนนานถึงสี่ปี

โครงสร้างของเหตุการณ์จึงมีสามชั้นซ้อนกัน ชั้นแรกคือเครื่องของพนักงานหรือผู้รับเหมาติดมัลแวร์ขโมยข้อมูลและรหัสผ่านหลุดออกไปสู่ตลาดใต้ดิน ชั้นที่สองคือองค์กรไม่เคยหมุนเวียนรหัสผ่านนั้นและไม่ได้บังคับ MFA บนบัญชีที่เข้าถึงคลังข้อมูล ชั้นที่สามคือไม่มีการจำกัดว่าบัญชีนั้นล็อกอินจากที่ไหนได้บ้าง เมื่อทั้งสามชั้นพลาดพร้อมกัน การเข้าถึงคลังข้อมูลขององค์กรจึงเหลือเพียงการพิมพ์ชื่อผู้ใช้และรหัสผ่านที่ซื้อมา

ผลกระทบ

ผลกระทบที่เห็นชัดที่สุดคือสเกลของมัน ข้อมูลของผู้คนอย่างน้อย 100 ล้านรายถูกเปิดเผยจากการเจาะบัญชีที่ไม่ได้ต้องใช้ทักษะการเจาะระบบขั้นสูงเลย และประเภทของข้อมูลที่หลุด ทั้งหมายเลขประกันสังคม หมายเลขหนังสือเดินทาง และประวัติการติดต่อสื่อสาร ล้วนเป็นข้อมูลที่เปลี่ยนใหม่ไม่ได้ ผลจึงยืดยาวไปอีกหลายปีหลังคดีจบ

สำหรับองค์กรที่ใช้บริการคลังข้อมูลบนคลาวด์ บทเรียนที่ตรงที่สุดคือรูปแบบความรับผิดชอบร่วม ช่องทางเข้าไม่ได้อยู่ที่ผู้ให้บริการ แต่อยู่ที่การตั้งค่าฝั่งลูกค้าล้วนๆ ซึ่งหมายความว่าองค์กรที่คิดว่า “ใช้บริการคลาวด์รายใหญ่แล้วปลอดภัย” ยังคงเปิดช่องเดิมนี้ไว้อยู่ ตราบใดที่ยังมีบัญชีที่ล็อกอินด้วยรหัสผ่านอย่างเดียวและไม่จำกัดแหล่งที่มาของการเชื่อมต่อ

ในฝั่งของ Snowflake เอง บริษัทได้บังคับใช้ MFA เป็นค่าเริ่มต้นสำหรับผู้ใช้ที่เป็นบุคคลบนบัญชีที่สร้างขึ้นตั้งแต่เดือนตุลาคม 2567 แต่การล็อกอินด้วยรหัสผ่านอย่างเดียวยังไม่หายไปทั้งหมด เอกสารของบริษัทที่ The Hacker News ตรวจสอบเมื่อวันที่ 6 สิงหาคม ระบุว่าเฟสสุดท้ายจะอยู่ระหว่างเดือนสิงหาคมถึงตุลาคม 2569 โดยทยอยบังคับใช้ทีละบัญชี และเมื่อถึงตอนนั้นเท่านั้นที่รหัสผ่านจะถูกปิดกั้นไม่ให้ใช้เป็นปัจจัยเดียวสำหรับผู้ใช้ที่เป็นบุคคลและบัญชีบริการที่เหลือทั้งหมด ทั้งนี้บัญชีประเภท reader และบัญชีทดลองใช้ได้รับการยกเว้น

ข้อจำกัดของข้อมูลที่ควรระบุไว้คือ ตัวเลขจำนวนองค์กรที่ได้รับผลกระทบยังไม่นิ่ง ทั้งความหมายที่เปลี่ยนไปจากปี 2567 และความไม่ตรงกันระหว่าง 165 กับ 150 ในเอกสารฉบับเดียวกันของกระทรวงยุติธรรม ส่วนตัวเลขความเสียหาย 9.5 ล้านดอลลาร์เป็นความเสียหายของบริษัทที่ตกเป็นเหยื่อเท่านั้น ไม่ได้สะท้อนความเสียหายที่แท้จริงต่อประชาชนที่ข้อมูลรั่ว

คำแนะนำ

ให้ถือว่าข้อมูลรับรองที่ใช้เข้าถึงระบบ SaaS และคลังข้อมูลบนคลาวด์มีโอกาสรั่วอยู่เสมอ และออกแบบระบบโดยตั้งสมมติฐานว่ารหัสผ่านรั่วไปแล้ว มาตรการที่ต้องมีคู่กันคือบังคับ MFA กับทุกบัญชีที่เข้าถึงข้อมูล ไม่ยกเว้นบัญชีบริการหรือบัญชีที่ใช้ทำงานอัตโนมัติ ซึ่งบัญชีกลุ่มหลังนี้มักถูกละเว้นและกลายเป็นช่องทางที่เหลืออยู่

ตั้งรายการอนุญาตเครือข่ายให้บัญชีที่เข้าถึงคลังข้อมูล เพื่อให้แม้รหัสผ่านหลุดไปแล้ว การล็อกอินจากที่อยู่ไอพีนอกองค์กรก็ยังถูกปฏิเสธ ในเคสนี้ Mandiant ระบุชัดว่าอินสแตนซ์ที่ถูกเจาะไม่มีการตั้งค่านี้เลย

กำหนดรอบหมุนเวียนข้อมูลรับรองให้เป็นกระบวนการจริง ไม่ใช่แนวปฏิบัติที่ทำเมื่อนึกได้ เพราะประเด็นที่ทำให้เหตุการณ์นี้รุนแรงคือรหัสผ่านที่หลุดตั้งแต่ปี 2563 ยังใช้ล็อกอินได้ในปี 2567 พร้อมกับเฝ้าติดตามข้อมูลรับรองขององค์กรที่โผล่ในบันทึกของมัลแวร์ขโมยข้อมูล และรีเซ็ตทันทีเมื่อพบ

สุดท้าย ให้ประเมินความเสี่ยงของเครื่องพนักงานที่ใช้เข้าถึงระบบสำคัญเป็นส่วนหนึ่งของความปลอดภัยของคลาวด์ เพราะจุดเริ่มต้นของห่วงโซ่นี้ไม่ได้อยู่บนคลาวด์ แต่อยู่ที่เครื่องปลายทางที่ติดมัลแวร์ขโมยข้อมูลไปก่อนหน้าหลายปี

แหล่งอ้างอิง