สรุปสั้น

หน่วยงานการคลังสาธารณะของฝรั่งเศสหรือ Directorate General of Public Finances ที่เรียกย่อว่า DGFiP เปิดเผยเหตุการณ์ข้อมูลรั่วที่กระทบบุคคลราว 680,000 ราย โดยเหตุการณ์ถูกเปิดเผยหลังจากผู้ก่อภัยคุกคามรายหนึ่งโอ้อวดบนเว็บบอร์ดแฮ็กเกอร์ว่าสามารถเข้าถึงระบบภายในของ DGFiP และนำข้อมูลออกไปได้ ซึ่งเป็นรูปแบบที่พบซ้ำแล้วซ้ำเล่าในช่วงหลัง คือหน่วยงานรู้ตัวว่าข้อมูลถูกนำออกไปจริงก็ต่อเมื่อผู้โจมตีเป็นฝ่ายประกาศเอง

ตามข้อมูลของ DGFiP ผู้ก่อภัยคุกคามเข้าถึงระบบในช่วงเดือนมิถุนายนและกรกฎาคม และการเข้าถึงโดยไม่ได้รับอนุญาตถูกระงับทันทีเมื่อตรวจพบ แต่จุดที่ต้องอ่านให้ละเอียดคือหน่วยงานระบุว่าในตอนนั้นยังไม่พบหลักฐานว่ามีการนำข้อมูลออกไป จนกระทั่งสัปดาห์ที่ผ่านมา DGFiP จึงยืนยันว่าผู้โจมตีใช้ข้อมูลยืนยันตัวตนที่ถูกยึดของพนักงานคนหนึ่งและของบัญชีบุคคลที่สามในการเข้าถึงระบบ แล้วขโมยข้อมูลของผู้ใช้ไป 678,000 ราย

ข้อมูลที่ถูกกระทบตามที่หน่วยงานการคลังระบุประกอบด้วยรายได้ที่ใช้อ้างอิงทางภาษี อัตราการหักภาษี ณ ที่จ่าย ชื่อบริษัทและตัวระบุเฉพาะ รวมถึงข้อมูลระวางที่ดินเกี่ยวกับที่อยู่และพื้นที่ของอสังหาริมทรัพย์ โดยไม่มีข้อมูลอื่นถูกกระทบ รวมถึงชื่อผู้ใช้และรหัสผ่าน และเหตุการณ์นี้ถูกรายงานต่อ CNIL ซึ่งเป็นหน่วยงานคุ้มครองข้อมูลของฝรั่งเศสทันที

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 17 สิงหาคม 2569 ว่า DGFiP ยังคงสอบสวนลักษณะและขอบเขตของเหตุข้อมูลรั่วต่อไป รวมถึงจำนวนบุคคลที่อาจได้รับผลกระทบที่แน่นอน โดยหน่วยงานระบุว่าจะติดต่อผู้ได้รับผลกระทบแต่ละรายโดยตรง ซึ่งสะท้อนว่าตัวเลข 680,000 รายที่ประกาศออกมายังเป็นตัวเลขประมาณการที่อาจเปลี่ยนแปลงได้

เหตุการณ์นี้เกิดขึ้นราวหนึ่งเดือนหลังจากหน่วยงานรัฐของยุโรปอีกแห่งหนึ่งตกเป็นเหยื่อการโจมตีไซเบอร์ที่สร้างความเสียหายรุนแรงกว่า นั่นคือสำนักงานทะเบียนที่ดินและทรัพย์สินแห่งชาติของโรมาเนียหรือ ANCPI ซึ่งมีรายงานว่าถูกแฮ็กโดยผู้ก่อภัยคุกคามที่ใช้ชื่อว่า ByteToBreach ผู้ขโมยข้อมูลรวมถึงข้อมูลยืนยันตัวตนของพนักงานและเอกสารภายใน แล้วพยายามเรียกค่าไถ่จากหน่วยงาน

เมื่อความพยายามเรียกค่าไถ่ล้มเหลว มีรายงานว่าแฮ็กเกอร์รายนั้นลบข้อมูลที่ถูกเข้ารหัสทิ้ง ส่งผลให้แอปพลิเคชัน เว็บไซต์ และบริการอีเมลอย่างเป็นทางการหยุดชะงัก และทำให้ตลาดอสังหาริมทรัพย์ของโรมาเนียหยุดนิ่งไปชั่วขณะ อย่างไรก็ตามฐานข้อมูลกลางของระบบทะเบียนที่ดินซึ่งเก็บบันทึกทรัพย์สินและสิทธิในอสังหาริมทรัพย์ไม่ได้รับผลกระทบ แต่ ANCPI ก็ต้องใช้เวลาราวสามสัปดาห์ในการสร้างเซิร์ฟเวอร์ขึ้นใหม่และกู้คืนแอปพลิเคชันที่เสียหาย

สิ่งที่เชื่อมสองเหตุการณ์นี้เข้าด้วยกันไม่ใช่ผู้ก่อเหตุ แต่คือทางเข้า ทั้งสองกรณีเป็นการโจมตีที่ตั้งต้นจากข้อมูลยืนยันตัวตนที่ถูกยึด ไม่ใช่ช่องโหว่ซอฟต์แวร์ที่ต้องอาศัยโค้ดโจมตีซับซ้อน และทั้งสองกรณีเป้าหมายคือหน่วยงานรัฐที่ถือข้อมูลทางการเงินและทรัพย์สินของประชาชนทั้งประเทศไว้ในระบบเดียว

วิธีการโจมตี

จากข้อมูลที่หน่วยงานเปิดเผย ทางเข้าของผู้โจมตีคือข้อมูลยืนยันตัวตนที่ถูกยึดมาสองชุด ได้แก่ ของพนักงานคนหนึ่งและของบัญชีบุคคลที่สาม ซึ่งเป็นรูปแบบที่ตรงไปตรงมาแต่ได้ผลเสมอ เพราะเมื่อผู้โจมตีล็อกอินด้วยบัญชีที่ถูกต้องแล้ว กิจกรรมของเขาจะปะปนกับกิจกรรมปกติของผู้ใช้จริง และไม่กระตุ้นการแจ้งเตือนที่ออกแบบมาจับการเจาะระบบ

การเข้าถึงเกิดขึ้นในช่วงเดือนมิถุนายนและกรกฎาคม และถูกระงับทันทีเมื่อตรวจพบ แต่ประเด็นที่ควรจับตาคือช่องว่างระหว่างการตรวจพบการเข้าถึงกับการยืนยันว่ามีการนำข้อมูลออก ในตอนที่ระงับการเข้าถึง หน่วยงานยังไม่พบหลักฐานการนำข้อมูลออกไป และเพิ่งมายืนยันได้หลังจากผู้โจมตีประกาศบนเว็บบอร์ดแฮ็กเกอร์ ซึ่งบ่งชี้ว่าความสามารถในการมองเห็นการเคลื่อนย้ายข้อมูลออกจากระบบยังไม่เพียงพอที่จะสรุปได้ด้วยตัวเองในตอนนั้น

ในกรณีของ ANCPI ที่โรมาเนีย ทางเข้าก็เป็นข้อมูลยืนยันตัวตนของพนักงานเช่นกัน แต่ผู้โจมตีเลือกเดินหน้าไปสู่การเรียกค่าไถ่ และเมื่อไม่ได้ผลก็หันไปทำลายข้อมูล ซึ่งแสดงให้เห็นว่าผลลัพธ์ของการโจมตีที่ตั้งต้นเหมือนกันอาจแตกต่างกันมากตามการตัดสินใจของผู้โจมตีและระดับการเตรียมพร้อมด้านการกู้คืนของเหยื่อ

ผลกระทบ

ผู้ที่รับผลกระทบตรงที่สุดคือผู้เสียภาษีชาวฝรั่งเศสราว 680,000 ราย ซึ่งข้อมูลที่หลุดออกไปมีลักษณะเฉพาะที่ทำให้อันตรายในระยะยาว รายได้ที่ใช้อ้างอิงทางภาษีและอัตราหักภาษี ณ ที่จ่ายบอกฐานะทางการเงินของบุคคลได้ค่อนข้างแม่นยำ ส่วนข้อมูลระวางที่ดินระบุที่อยู่และขนาดของอสังหาริมทรัพย์ที่ถือครอง เมื่อนำสองอย่างมารวมกัน ผู้โจมตีจะได้รายชื่อที่คัดกรองแล้วว่าใครมีทรัพย์สินมากและอยู่ที่ไหน ซึ่งเป็นวัตถุดิบชั้นดีสำหรับการหลอกลวงที่พุ่งเป้าเฉพาะบุคคล

การที่หน่วยงานยืนยันว่าชื่อผู้ใช้และรหัสผ่านไม่ได้ถูกกระทบเป็นข่าวดีในแง่การเข้าถึงบัญชีโดยตรง แต่ไม่ได้ลดความเสี่ยงจากการปลอมตัวเป็นเจ้าหน้าที่สรรพากรลงเลย เพราะผู้ที่ถือข้อมูลรายได้และข้อมูลทรัพย์สินของเป้าหมายอยู่ในมือ สามารถสร้างบทสนทนาที่น่าเชื่อถือได้มากกว่ามิจฉาชีพทั่วไปหลายเท่า

ในระดับโครงสร้าง เหตุการณ์นี้ตอกย้ำว่าบัญชีของบุคคลที่สามคือจุดอ่อนที่หน่วยงานรัฐมักควบคุมได้น้อยที่สุด บัญชีเหล่านี้ถูกสร้างขึ้นเพื่อความสะดวกในการทำงานร่วมกับผู้รับเหมาและผู้ให้บริการ แต่มักไม่ได้อยู่ในขอบเขตการตรวจสอบเดียวกับบัญชีพนักงาน และมักไม่ได้บังคับใช้การยืนยันตัวตนหลายปัจจัยอย่างเข้มงวดเท่ากัน

ข้อจำกัดของข้อมูลที่ต้องระบุคือ DGFiP ยังไม่ระบุตัวผู้อยู่เบื้องหลัง ไม่เปิดเผยว่าข้อมูลยืนยันตัวตนที่ถูกยึดมานั้นหลุดออกไปได้อย่างไร ไม่ระบุว่าบัญชีบุคคลที่สามนั้นเป็นของผู้ให้บริการรายใด และตัวเลขผู้ได้รับผลกระทบยังไม่นิ่ง โดยตัวเลขที่ประกาศมีทั้ง 680,000 รายแบบประมาณการและ 678,000 รายจากการยืนยันภายหลัง นอกจากนี้ยังไม่มีการยืนยันว่าข้อมูลถูกนำไปเผยแพร่หรือขายต่อแล้วหรือไม่

คำแนะนำ

  • บังคับใช้การยืนยันตัวตนหลายปัจจัยกับบัญชีของบุคคลที่สามและผู้รับเหมาในระดับเดียวกับบัญชีพนักงาน เพราะเคสนี้ทางเข้าคือบัญชีทั้งสองประเภทพร้อมกัน ไม่ใช่ช่องโหว่ซอฟต์แวร์
  • จัดทำบัญชีรายการบัญชีภายนอกทั้งหมดที่เข้าถึงระบบขององค์กรได้ พร้อมกำหนดวันหมดอายุและทบทวนสิทธิ์เป็นรอบ เพื่อไม่ให้มีบัญชีที่ยังใช้งานได้ค้างอยู่หลังจบสัญญา
  • ลงทุนกับความสามารถตรวจจับการเคลื่อนย้ายข้อมูลออกจากระบบ ไม่ใช่แค่การตรวจจับการล็อกอินผิดปกติ เนื่องจากในเคสนี้หน่วยงานระงับการเข้าถึงได้แต่ยังสรุปไม่ได้ว่ามีข้อมูลถูกนำออกไปหรือไม่
  • ตั้งเพดานปริมาณข้อมูลที่บัญชีหนึ่งดึงออกจากระบบได้ในช่วงเวลาหนึ่ง และแจ้งเตือนเมื่อเกินเกณฑ์ เพราะบัญชีที่ถูกยึดมักถูกใช้ดึงข้อมูลในปริมาณที่ผิดปกติจากพฤติกรรมเดิมของเจ้าของบัญชี
  • เตรียมแผนกู้คืนที่รองรับกรณีข้อมูลถูกทำลายหลังการเรียกค่าไถ่ล้มเหลว ตามบทเรียนจาก ANCPI ที่ต้องใช้เวลาราวสามสัปดาห์ในการสร้างระบบขึ้นใหม่ และทดสอบการกู้คืนจริงไม่ใช่แค่มีสำเนาสำรอง
  • แจ้งเตือนผู้ที่อาจได้รับผลกระทบให้ระวังการติดต่อที่อ้างว่ามาจากหน่วยงานภาษี โดยเฉพาะกรณีที่ผู้ติดต่อรู้ข้อมูลรายได้หรือข้อมูลอสังหาริมทรัพย์ของเป้าหมายอยู่แล้ว เพราะข้อมูลชุดนั้นคือสิ่งที่หลุดออกไป
  • สำหรับหน่วยงานที่ถือข้อมูลภาษีและทะเบียนทรัพย์สิน ให้แยกสิทธิ์การเข้าถึงข้อมูลรวมทั้งฐานออกจากสิทธิ์การทำงานประจำวัน เพื่อไม่ให้บัญชีเดียวที่ถูกยึดเข้าถึงข้อมูลทั้งประเทศได้

แหล่งอ้างอิง