สรุปสั้น
บริษัทพลังงานข้ามชาติ Shell ได้เปิดการสอบสวนอย่างเป็นทางการ หลังกลุ่มขู่กรรโชกชื่อดังอย่าง Cl0p ออกมาอ้างความรับผิดชอบว่าได้ขโมยข้อมูลภายในที่มีความอ่อนไหวของบริษัทออกไป โดยกลุ่มดังกล่าวนำชื่อ Shell ขึ้นแสดงบนเว็บไซต์เปิดเผยข้อมูลของตนบนดาร์กเว็บ พร้อมอ้างว่าได้ข้อมูลของบริษัทไปราว 89 กิกะไบต์
ตามข้อความที่กลุ่มอาชญากรไซเบอร์เผยแพร่บนเว็บไซต์ของตน ไฟล์ที่ถูกขโมยไปนั้นอ้างว่ารวมถึงแบบวาดทางวิศวกรรม ภาพถ่ายของโรงงาน แผนงานของโครงการ และรายงานผลการทดสอบ ซึ่งเป็นรูปแบบการเปิดเผยตัวอย่างที่ผู้โจมตีมักใช้เพื่อกดดันเหยื่อระดับองค์กรให้มากที่สุดก่อนจะปล่อยชุดข้อมูลทั้งหมดออกมา
Shell รับทราบข้อกล่าวอ้างดังกล่าวและเปิดใช้กระบวนการตอบสนองเหตุการณ์ทางไซเบอร์ภายในเพื่อประเมินความสมบูรณ์ของเครือข่าย โดยตัวแทนบริษัทระบุว่าการสอบสวนยังดำเนินอยู่ควบคู่กับบริษัทนิติวิทยาศาสตร์ดิจิทัลภายนอก เพื่อพิจารณาว่าสภาพแวดล้อมการผลิตหรือทรัพย์สินของพนักงานถูกเข้าถึงโดยไม่ได้รับอนุญาตหรือไม่ ขณะที่บริษัทยังไม่ยืนยันว่ามีการหยุดชะงักในโรงกลั่น การขุดเจาะ หรือโครงสร้างพื้นฐานไอทีหลักแต่อย่างใด
รายละเอียดข่าว
เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 15 สิงหาคม 2569 ว่า บริษัท Shell ยักษ์ใหญ่ด้านพลังงานข้ามชาติ ได้เริ่มการสอบสวนเชิงรุกหลังกลุ่มขู่กรรโชก Cl0p อ้างความรับผิดชอบในการนำข้อมูลภายในที่มีความอ่อนไหวออกไปจากระบบของบริษัท
นักวิจัยด้านความมั่นคงปลอดภัยและทีมป้องกันขององค์กรต่าง ๆ กำลังจับตาสถานการณ์นี้อย่างใกล้ชิด ขณะที่ทีมนิติวิทยาศาสตร์ดิจิทัลกำลังทำงานเพื่อประเมินว่าข้อกล่าวอ้างนั้นเป็นความจริงหรือไม่ และขอบเขตของการโจมตีครอบคลุมแค่ไหน
กลุ่ม Cl0p นำชื่อ Shell ขึ้นแสดงบนพอร์ทัลเปิดเผยข้อมูลบนดาร์กเว็บของตน โดยอ้างว่าได้ขโมยข้อมูลองค์กรที่เป็นทรัพย์สินทางปัญญาไปประมาณ 89 กิกะไบต์ และระบุว่าไฟล์ที่ถูกบุกรุกรวมถึงแบบวาดทางวิศวกรรม ภาพถ่ายสถานที่ปฏิบัติงาน แผนงานของโครงการ และรายงานผลการทดสอบ
Shell ระบุผ่านโฆษกของบริษัทว่า “เรากำลังทำงานร่วมกับทีมความมั่นคงปลอดภัยของเราและผู้เชี่ยวชาญที่เกี่ยวข้องเพื่อสอบสวนสถานการณ์นี้” โดยผู้ตอบสนองเหตุการณ์ยังคงวิเคราะห์ข้อมูลเทเลเมทรีที่ขอบเครือข่าย ล็อกการยืนยันตัวตน และการติดตั้งซอฟต์แวร์ของบุคคลที่สาม เพื่อระบุช่องทางที่ผู้โจมตีอาจใช้เข้าถึงระบบเป็นครั้งแรก
กลุ่ม Cl0p ซึ่งถูกติดตามในชื่อกลุ่มพันธมิตรของ TA505 หรือ FIN11 ด้วย มีประวัติยาวนานในการโจมตีแบบอัตโนมัติเป็นวงกว้างต่อซอฟต์แวร์ระดับองค์กร โดยเคยลงมือโจมตีห่วงโซ่อุปทานด้วยช่องโหว่ zero-day ต่อแพลตฟอร์มรับส่งไฟล์ที่มีการจัดการ ซึ่งรวมถึง MOVEit Transfer และ Accellion FTA จนกระทบองค์กรหลายร้อยแห่งทั่วโลก
รายงานข่าวกรองภัยคุกคามในช่วงหลังยังเชื่อมโยงกลุ่มนี้เข้ากับแคมเปญที่พุ่งเป้าไปยังแพลตฟอร์มเว็บระดับองค์กรที่เปิดออกสู่อินเทอร์เน็ต และเครื่องมือบริหารจัดการวงจรชีวิตผลิตภัณฑ์ ซึ่งสอดคล้องกับที่เว็บไซต์ Cloud Thunder เคยรายงานไว้ในโพสต์ 2026/07/273 กรณี Cl0p เจาะ PTC Windchill และ FlexPLM ที่เปิดสู่อินเทอร์เน็ตผ่านช่องโหว่ RCE ที่ไม่ต้องล็อกอิน
ทั้งนี้ ต้องย้ำข้อจำกัดของข้อมูลชุดนี้ว่า ทั้งหมดยังเป็นเพียงคำกล่าวอ้างของฝ่ายผู้โจมตีที่ยังไม่ได้รับการยืนยันจากอิสระ ไม่มีการเปิดเผยว่าผู้โจมตีเข้าถึงระบบด้วยวิธีใด ไม่มีการระบุช่วงเวลาที่เกิดเหตุ และ Shell เองก็ยังไม่ยืนยันว่ามีข้อมูลรั่วไหลจริงหรือไม่ การตรวจสอบความแท้จริงของไฟล์ยังคงเป็นขั้นตอนมาตรฐานที่ต้องทำในเหตุการณ์ขู่กรรโชกลักษณะนี้
วิธีการโจมตี
รูปแบบการทำงานของ Cl0p ต่างจากภาพจำของแรนซัมแวร์ทั่วไปอย่างมีนัยสำคัญ เพราะกลุ่มนี้มักไม่เข้ารหัสไฟล์ของเหยื่อ แต่ใช้วิธีขู่กรรโชกล้วน ๆ ด้วยการนำข้อมูลออกไปแล้วเรียกค่าไถ่หลายล้านดอลลาร์เพื่อแลกกับการไม่เผยแพร่ข้อมูลนั้น
ในทางปฏิบัติ ผู้โจมตีจะนำฐานข้อมูลที่มีโครงสร้างและไฟล์ที่ไม่ได้เข้ารหัสออกไปด้วยเว็บเชลล์ที่พัฒนาขึ้นเอง ซึ่งเป็นวิธีที่ทำให้การประเมินเหตุการณ์ในองค์กรยากขึ้น เพราะระบบไฟล์ยังทำงานตามปกติทุกอย่าง ไม่มีไฟล์ถูกล็อก ไม่มีข้อความเรียกค่าไถ่ปรากฏบนหน้าจอ แต่ข้อมูลลับกลับถูกนำออกไปเรียบร้อยแล้ว
แบบแผนการโจมตีที่กลุ่มนี้ใช้ซ้ำ ๆ คือการโจมตีเป็นวงกว้างแบบอัตโนมัติต่อซอฟต์แวร์ระดับองค์กรที่เปิดออกสู่อินเทอร์เน็ต โดยเฉพาะระบบรับส่งไฟล์และแพลตฟอร์มบริหารจัดการที่มักถูกวางไว้ที่ขอบเครือข่าย แทนการเจาะเป้าหมายรายตัว วิธีนี้ทำให้กลุ่มเก็บเกี่ยวเหยื่อได้ครั้งละหลายสิบถึงหลายร้อยองค์กรจากช่องโหว่เดียว
อย่างไรก็ตาม ในกรณีของ Shell ยังไม่มีข้อมูลใดยืนยันว่าผู้โจมตีใช้ช่องทางใดเข้าถึงระบบ รายงานระบุเพียงว่าผู้ตอบสนองเหตุการณ์กำลังวิเคราะห์เทเลเมทรีที่ขอบเครือข่าย ล็อกการยืนยันตัวตน และซอฟต์แวร์ของบุคคลที่สามที่ติดตั้งอยู่ เพื่อหาคำตอบดังกล่าว
ผลกระทบ
การขู่กรรโชกและการจารกรรมที่พุ่งเป้าไปยังโครงสร้างพื้นฐานด้านพลังงานมีนัยสำคัญทั้งต่อการปฏิบัติงานและต่อห่วงโซ่อุปทาน แม้ในอดีต Cl0p จะเน้นการขู่กรรโชกด้วยการนำข้อมูลออกไปมากกว่าการปล่อยตัวเข้ารหัสในเครือข่ายเทคโนโลยีเชิงปฏิบัติการก็ตาม
สิ่งที่ทำให้กรณีนี้ต่างจากเหตุข้อมูลรั่วทั่วไปคือลักษณะของข้อมูลที่ถูกอ้างว่าถูกขโมย แบบวาดทางวิศวกรรม ภาพถ่ายโรงงาน และรายงานผลทดสอบ ไม่ใช่ข้อมูลที่หมดคุณค่าเมื่อเปลี่ยนรหัสผ่าน แต่เป็นข้อมูลที่บอกโครงสร้างและจุดอ่อนของสถานที่จริง การเปิดเผยข้อมูลลักษณะนี้จึงสร้างความเสี่ยงทั้งด้านความปลอดภัยเชิงกายภาพและด้านความมั่นคงของคู่สัญญาที่เกี่ยวข้อง
นักวิเคราะห์ย้ำว่าการตรวจสอบความแท้จริงของไฟล์ยังคงเป็นขั้นตอนมาตรฐานในเหตุการณ์ขู่กรรโชก เพราะกลุ่มผู้โจมตีมีแรงจูงใจที่จะขยายความเสียหายให้ดูใหญ่กว่าความจริงเพื่อเพิ่มแรงกดดันในการเจรจา ตัวเลข 89 กิกะไบต์และรายการประเภทไฟล์ที่อ้างไว้จึงยังต้องถือเป็นข้อมูลฝั่งผู้โจมตีจนกว่าจะมีการยืนยัน
สำหรับองค์กรอื่นในภาคพลังงาน บทเรียนที่ใช้ได้ทันทีคือรูปแบบการโจมตีของกลุ่มนี้มุ่งไปที่อุปกรณ์และแพลตฟอร์มที่เปิดออกสู่ภายนอกเป็นหลัก ไม่ใช่การเจาะผ่านพนักงานรายบุคคล ดังนั้นบัญชีทรัพย์สินที่เปิดสู่อินเทอร์เน็ตและการควบคุมการเข้าถึงของผู้ให้บริการภายนอกจึงเป็นจุดที่ให้ผลตอบแทนสูงสุดในการป้องกัน
คำแนะนำ
ทีมความมั่นคงปลอดภัยที่ดูแลสินทรัพย์โครงสร้างพื้นฐานสำคัญควรบังคับใช้การควบคุมที่ขอบเครือข่ายอย่างเข้มงวด และกำหนดนโยบายการเข้าถึงของผู้ให้บริการภายนอกให้ชัดเจน โดยเริ่มจากการระบุอุปกรณ์บริหารจัดการทุกตัวที่เปิดออกสู่อินเทอร์เน็ต ตรวจสอบสิ่งที่พึ่งพาจากภายนอก และเร่งติดตั้งแพตช์อุปกรณ์ที่ขอบเครือข่ายสำหรับช่องโหว่ที่ทราบแล้ว
ควรรวมศูนย์การจัดเก็บล็อกจากเกตเวย์การยืนยันตัวตนทั้งหมด เปิดใช้การยืนยันตัวตนหลายปัจจัยกับบริการสำหรับผู้ดูแลระบบทุกตัว และตรวจสอบทราฟฟิกขาออกเพื่อหาความผิดปกติที่บ่งชี้ถึงการนำข้อมูลออกในปริมาณมากผิดปกติ ซึ่งเป็นสัญญาณสำคัญของการโจมตีแบบขู่กรรโชกที่ไม่มีการเข้ารหัสไฟล์ให้เห็น
องค์กรในภาคพลังงานควรทบทวนว่าตนเองมีความเสี่ยงต่อโครงสร้างพื้นฐานของกลุ่มผู้โจมตีที่ทราบแล้วมากน้อยเพียงใด และควรมีแผนการสื่อสารในภาวะเหตุการณ์ที่ผ่านการทดสอบมาแล้ว เพราะในกรณีขู่กรรโชกด้วยข้อมูล ฝ่ายผู้โจมตีมักเป็นผู้ประกาศข่าวก่อนองค์กรเสมอ