สรุปสั้น
สหรัฐฯ ตั้งข้อหาชาวอิหร่าน 17 ราย ซึ่งถูกกล่าวหาว่าเป็นสมาชิกของบริษัทรับจ้างแฮ็กชื่อ Mabna Institute ในปฏิบัติการที่กินเวลาหลายปีและขโมยข้อมูลจากองค์กรอเมริกัน โดยในจำนวนนี้มี 9 รายที่เคยถูกตั้งข้อหาไปแล้วตามคำฟ้องเมื่อเดือนมีนาคม 2561 ฐานแฮ็กมหาวิทยาลัยและบริษัทเอกชนมากกว่า 300 แห่ง ส่วนผู้ถูกตั้งข้อหาใหม่อีก 8 รายถูกกล่าวหาว่าขโมยงานวิจัยทางวิชาการ ทรัพย์สินทางปัญญา อีเมล และข้อมูลกรรมสิทธิ์อื่น ๆ กระทรวงยุติธรรมสหรัฐฯ ระบุว่าชาวอิหร่านกลุ่มนี้มีส่วนร่วมในปฏิบัติการไซเบอร์ให้กับกองกำลังพิทักษ์การปฏิวัติอิสลามหรือ IRGC หน่วยงานรัฐอื่นของอิหร่าน มหาวิทยาลัย และลูกค้าที่จ่ายเงินจ้าง
ตัวเลขความเสียหายที่ประกาศออกมาสะท้อนขนาดของปฏิบัติการได้ชัด กระทรวงยุติธรรมระบุว่าปฏิบัติการเชื่อว่าเริ่มขึ้นราวปี 2556 และเล็งบัญชีของอาจารย์ทั่วโลกมากกว่า 100,000 ราย โดยเจาะสำเร็จราว 8,000 ราย จากนั้นใช้สิทธิ์เข้าถึงบัญชีเหล่านั้นขโมยข้อมูลวิชาการออกไป 31.5 เทระไบต์ ทั้งวารสาร วิทยานิพนธ์ ดุษฎีนิพนธ์ หนังสืออิเล็กทรอนิกส์ และงานวิจัยข้ามสาขาจำนวนมาก คิดเป็นมูลค่าราว 3.4 พันล้านดอลลาร์สหรัฐ กิจกรรมนี้กระทบมหาวิทยาลัย 178 แห่ง โดย 144 แห่งอยู่ในสหรัฐฯ บริษัทเอกชนอย่างน้อย 53 แห่ง โดย 42 แห่งอยู่ในสหรัฐฯ องค์กรพัฒนาเอกชน 2 แห่ง และหน่วยงานระดับมลรัฐของสหรัฐฯ อย่างน้อย 10 แห่ง
รายละเอียดข่าว
เว็บไซต์ BleepingComputer รายงานเมื่อวันที่ 19 สิงหาคม 2569 ว่ากระทรวงยุติธรรมสหรัฐฯ ได้ประกาศตั้งข้อหาชุดใหม่พร้อมกับตั้งเงินรางวัลสูงถึง 10 ล้านดอลลาร์สหรัฐ สำหรับข้อมูลที่นำไปสู่ที่อยู่ของจำเลย 5 รายจากทั้งหมด 17 ราย
รายชื่อจำเลยที่กระทรวงยุติธรรมระบุว่ามีส่วนร่วมในปฏิบัติการไซเบอร์ให้กับ IRGC และหน่วยงานอื่นของอิหร่าน ประกอบด้วยนาย Saeid Houshyar, นาย Behzad Mesri ที่ใช้ฉายา “Skote Vahshat”, นาย Manouchehr Hashemloo, นาย Keyvan Fayaz ที่ใช้ฉายา “Achilles” “The Joker” และ “bc.monster”, นาย Amir Barati, นาย Saber Shahbazi Ballojeh, นาย Arman Kahzadian และนาย Mojtaba Galekuhi ที่ใช้อีกชื่อว่า “Mojtaba Ghaleh Koui”
นาย Jamie McDonald อัยการสหรัฐฯ ระบุว่า “ข้อหาในวันนี้ซึ่งรวมจำเลยเพิ่มอีก 8 ราย เผยให้เห็นเครือข่ายที่กว้างกว่าเดิมซึ่งถูกกล่าวหาว่าอยู่เบื้องหลังแคมเปญที่รัฐหนุนหลังอย่างกว้างขวาง เพื่อขโมยงานวิจัยและทรัพย์สินทางปัญญาจากมหาวิทยาลัย ภาคธุรกิจ และสถาบันของรัฐในสหรัฐฯ” พร้อมเสริมว่า “แปดปีเศษหลังจากเปิดเผยคำฟ้องฉบับแรกต่อสาธารณะ ข้อหาชุดนี้แสดงให้เห็นชัดว่าเวลาที่ผ่านไปจะไม่ทำให้เราหยุดระบุตัวและไล่ตามผู้ที่โจมตีสหรัฐฯ จากต่างแดน”
หนึ่งในเหยื่อที่ถูกหยิบยกขึ้นมาในประกาศคือ HBO ซึ่งมีรายงานว่าถูกกรรโชกเป็นบิตคอยน์มูลค่า 6 ล้านดอลลาร์สหรัฐ ปัจจุบันจำเลยทั้งหมดเผชิญข้อหาที่เกี่ยวข้องกับการสมคบคิดเพื่อบุกรุกระบบคอมพิวเตอร์ การฉ้อโกงผ่านสื่ออิเล็กทรอนิกส์ การเข้าถึงโดยไม่ได้รับอนุญาตเพื่อผลประโยชน์ทางการเงิน และการโจรกรรมอัตลักษณ์บุคคลในลักษณะร้ายแรง ซึ่งมีโทษสูงสุดรวมกันได้ถึงจำคุก 20 ปี
นอกจากนี้กระทรวงการต่างประเทศสหรัฐฯ ยังประกาศให้เงินรางวัลสูงถึง 10 ล้านดอลลาร์สหรัฐ สำหรับข้อมูลที่นำไปสู่ที่อยู่ของนาย Behzad Mesri, นาย Mojtaba Galekuhi, นาย Arman Kahzadian, นาย Keyvan Fayaz และนาย Saber Shahbazi Ballojeh พร้อมเปิดลิงก์บนเครือข่าย Tor ให้ส่งข้อมูลแบบไม่เปิดเผยตัวตนได้ ทั้งนี้จำเลยทุกรายยังถือว่าเป็นผู้บริสุทธิ์จนกว่าศาลจะพิสูจน์ว่ามีความผิด
วิธีการโจมตี
รูปแบบของปฏิบัติการที่ปรากฏจากตัวเลขในคำฟ้องคือการโจมตีที่กระจายวงกว้างแล้วคัดเก็บผลจากส่วนที่สำเร็จ การเล็งบัญชีอาจารย์มากกว่า 100,000 รายแล้วเจาะสำเร็จราว 8,000 ราย คิดเป็นอัตราความสำเร็จราว 8 เปอร์เซ็นต์ ซึ่งเป็นสัดส่วนที่สอดคล้องกับการโจมตีที่อาศัยการหลอกเอาข้อมูลรับรองในปริมาณมาก มากกว่าการเจาะระบบเป็นรายแห่งด้วยช่องโหว่ทางเทคนิค
จุดที่ทำให้ปฏิบัติการนี้ให้ผลตอบแทนสูงคือการเลือกเป้าที่บัญชีบุคคลแทนที่จะเป็นระบบขององค์กร บัญชีของอาจารย์มหาวิทยาลัยหนึ่งบัญชีมาพร้อมสิทธิ์เข้าถึงฐานข้อมูลวารสารและคลังทรัพยากรของห้องสมุดที่สถาบันจ่ายค่าสมาชิกไว้ ซึ่งเป็นเนื้อหาที่มีมูลค่าทางการค้าสูงและถูกออกแบบมาให้ผู้ใช้ที่ถูกต้องดึงได้อยู่แล้ว การขโมยข้อมูลจึงเกิดขึ้นผ่านช่องทางที่ระบบมองว่าเป็นการใช้งานปกติ นี่คือเหตุผลที่ข้อมูลปริมาณ 31.5 เทระไบต์ไหลออกไปได้โดยไม่ถูกสกัด
อย่างไรก็ตาม ต้องระบุข้อจำกัดของหลักฐานให้ชัดว่า ประกาศของกระทรวงยุติธรรมและรายงานข่าวไม่ได้ลงรายละเอียดว่าบัญชีทั้ง 8,000 รายถูกยึดด้วยวิธีใดในเชิงเทคนิค ไม่ได้ระบุเครื่องมือหรือมัลแวร์ที่ใช้ และไม่ได้อธิบายว่าเหตุใดการดึงข้อมูลปริมาณมหาศาลเช่นนี้จึงไม่ถูกตรวจพบในเวลาอันสมควร สิ่งที่ยืนยันได้จากเอกสารคือขอบเขต ระยะเวลา และมูลค่าที่รัฐบาลสหรัฐฯ ประเมิน ไม่ใช่รายละเอียดของห่วงโซ่การโจมตี
ผลกระทบ
สิ่งที่คดีนี้บอกไม่ใช่แค่เรื่องอิหร่าน แต่คือโครงสร้างของตลาดรับจ้างแฮ็กที่เชื่อมรัฐกับเอกชนเข้าด้วยกัน กระทรวงยุติธรรมระบุชัดว่า Mabna Institute ทำงานให้ทั้ง IRGC หน่วยงานรัฐอื่น มหาวิทยาลัย และลูกค้าที่จ่ายเงิน ซึ่งหมายความว่าโครงสร้างพื้นฐานและความสามารถชุดเดียวถูกใช้ทั้งเพื่อภารกิจของรัฐและเพื่อธุรกิจ นี่ทำให้เส้นแบ่งระหว่างการจารกรรมโดยรัฐกับอาชญากรรมไซเบอร์เพื่อกำไรพร่าเลือน และทำให้การประเมินแรงจูงใจจากพฤติกรรมที่สังเกตได้ยากขึ้นสำหรับผู้ป้องกัน
กรณี HBO ที่ถูกกรรโชกเป็นบิตคอยน์มูลค่า 6 ล้านดอลลาร์ในบริบทเดียวกันนี้เป็นตัวอย่างที่ชัดที่สุดของการทับซ้อนดังกล่าว เพราะการกรรโชกเงินไม่ใช่พฤติกรรมที่ปฏิบัติการจารกรรมของรัฐทำเป็นปกติ แต่เป็นสิ่งที่เกิดขึ้นเมื่อทีมเดียวกันรับงานหลายประเภท
สำหรับภาคการศึกษาโดยรวม บทเรียนที่ใช้ได้ทันทีคือ ทรัพย์สินที่มีค่าที่สุดของมหาวิทยาลัยไม่ได้อยู่ในระบบที่มีการป้องกันแน่นหนาที่สุดเสมอไป งานวิจัยที่ยังไม่ตีพิมพ์ ข้อมูลความร่วมมือกับภาคเอกชน และสิทธิ์เข้าถึงฐานข้อมูลที่สถาบันจ่ายค่าสมาชิก ล้วนผูกอยู่กับบัญชีของบุคลากรรายคน ซึ่งมักได้รับการป้องกันน้อยกว่าระบบส่วนกลาง และเป็นจุดที่การบังคับใช้การยืนยันตัวตนหลายปัจจัยให้ผลตอบแทนสูงที่สุด
อีกประเด็นที่ควรบันทึกไว้คือกรอบเวลา ปฏิบัติการเริ่มราวปี 2556 คำฟ้องฉบับแรกออกปี 2561 และการตั้งข้อหาเพิ่มเกิดขึ้นในปี 2569 ระยะห่างกว่าแปดปีระหว่างคำฟ้องสองฉบับสะท้อนว่าการดำเนินคดีข้ามพรมแดนกับผู้ต้องหาที่อยู่ในประเทศซึ่งไม่มีสนธิสัญญาส่งผู้ร้ายข้ามแดนกับสหรัฐฯ เป็นกระบวนการที่ยาวนาน และเครื่องมือหลักที่เหลืออยู่คือการเปิดเผยตัวตน การตั้งเงินรางวัล และการจำกัดการเดินทางของผู้ต้องหา มากกว่าการจับกุมจริง
คำแนะนำ
สำหรับสถาบันการศึกษาและองค์กรวิจัย มาตรการที่ตรงกับรูปแบบการโจมตีนี้มากที่สุดคือการบังคับใช้การยืนยันตัวตนหลายปัจจัยกับบัญชีของบุคลากรทุกคน โดยเฉพาะบัญชีอีเมลและบัญชีที่ผูกกับสิทธิ์เข้าถึงฐานข้อมูลของห้องสมุด เพราะการยึดบัญชีคือขั้นตอนแรกและขั้นตอนเดียวที่จำเป็นในห่วงโซ่นี้ หากขั้นนี้ล้มเหลว ขั้นที่เหลือจะเกิดขึ้นผ่านการใช้งานที่ดูปกติทั้งหมด
ควรตั้งการเฝ้าระวังปริมาณการดาวน์โหลดจากฐานข้อมูลวารสารและคลังทรัพยากรในระดับบัญชีผู้ใช้ พร้อมกำหนดเกณฑ์แจ้งเตือนเมื่อบัญชีเดียวดึงข้อมูลเกินรูปแบบการใช้งานปกติของตัวเองอย่างมีนัยสำคัญ เพราะการดึงข้อมูล 31.5 เทระไบต์ไม่ได้เกิดขึ้นในวันเดียว แต่สะสมจากบัญชีจำนวนมากที่ต่างคนต่างดึงในปริมาณที่ดูไม่ผิดปกติเมื่อมองทีละบัญชี การตรวจจับจึงต้องมองทั้งในระดับบัญชีและระดับภาพรวมของสถาบันพร้อมกัน
นอกจากนี้ องค์กรที่มีความร่วมมือด้านวิจัยกับต่างประเทศควรทบทวนว่าข้อมูลที่ยังไม่ตีพิมพ์ถูกเก็บไว้ที่ใดและใครเข้าถึงได้บ้าง รวมถึงจำกัดสิทธิ์เข้าถึงตามความจำเป็นจริงแทนการให้สิทธิ์ตามตำแหน่ง และสำหรับบุคลากรที่มีบัญชีถูกเจาะไปแล้วในอดีต ควรถือว่าข้อมูลรับรองเก่ายังมีมูลค่าอยู่ เพราะปฏิบัติการลักษณะนี้เก็บสะสมข้อมูลรับรองไว้ใช้ในระยะยาว