สรุปสั้น

บริษัท Huntress เผยแพร่บทความสรุปการสอบสวน 3 ชุดที่ดำเนินการตลอดปี 2569 ซึ่งเป็นการช่วยองค์กรหลายแห่งยืนยันข้อสงสัยว่าพวกเขาได้จ้างคนสัญชาติเกาหลีเหนือที่สวมรอยเป็นแรงงานไอทีถูกกฎหมายเข้ามาทำงาน โดยระบุว่าปฏิบัติการลักษณะนี้ “พัฒนาขึ้นอย่างมีนัยสำคัญและมีปริมาณเพิ่มขึ้นในช่วงไม่กี่ปีที่ผ่านมา” และคนกลุ่มนี้ทำงานได้ดีจริงจนกลมกลืนกับสภาพแวดล้อมไอทีขององค์กรได้โดยไม่มีใครสงสัย

สิ่งที่ทำให้ภัยรูปแบบนี้ต่างจากการเจาะระบบทั่วไปคือ มันเป็นภัยจากคนในที่ถูกกำกับโดยรัฐบาลต่างชาติที่มีทรัพยากรพร้อม และเนื่องจากคนเหล่านี้ถูกจ้างเข้ามาตามกระบวนการปกติเหมือนพนักงานคนอื่น จึงไม่มีการละเมิดข้อมูลแบบดั้งเดิมหรือการยึดบัญชีให้ตรวจจับได้ เมื่อรวมกับการใช้ VPN และบริการพร็อกซีเพื่อบดบังตำแหน่งที่ตั้ง การจับการฉ้อโกงรูปแบบนี้จึงยากเป็นพิเศษ

การสอบสวนชุดแรกในเดือนกุมภาพันธ์เป็นบริษัทด้านสาธารณสุขในออสเตรเลียที่สงสัยว่าพนักงาน 3 คนเป็นคนเกาหลีเหนือที่ปลอมตัวเป็นชาวจีน อีกสองชุดในเดือนสิงหาคมเป็นองค์กรในภาคบริการทางการเงิน ซึ่งพบอุปกรณ์ PiKVM ที่เปิดให้ควบคุมเครื่องในระดับฮาร์ดแวร์จากระยะไกล รูปโปรไฟล์ที่ถูกขโมยและดัดแปลงจากบัญชี GitHub ของคนจริง และเอกสารระบุตัวตนที่ถูกแก้ไขด้วยการสลับรูปถ่าย จุดร่วมที่บริษัท Huntress เน้นคือ ตัวบ่งชี้แต่ละอย่างแยกกันอาจไม่ผิดปกติ แต่การพบหลายอย่างพร้อมกันในบัญชีเดียวคือสิ่งที่ทำให้เรื่องนี้ถูกจับได้

รายละเอียดข่าว

เว็บไซต์ Dark Reading รายงานเมื่อวันที่ 26 สิงหาคม 2569 ว่า แรงงานไอทีปลอมสัญชาติเกาหลีเหนือกำลังแทรกซึมเข้าองค์กรได้เก่งขึ้นเรื่อย ๆ แต่ยังมีตัวบ่งชี้จำนวนหนึ่งที่ช่วยให้องค์กรตรวจจับได้ก่อนที่ความเสียหายจะเกิด โดยอ้างอิงบทความใหม่ของบริษัท Huntress ที่ให้รายละเอียดการสอบสวนหลายชุดตลอดปี 2569

ในช่วงหลายปีที่ผ่านมา ผู้ปฏิบัติการจากสาธารณรัฐประชาธิปไตยประชาชนเกาหลี (DPRK) สวมรอยเป็นแรงงานไอที โดยทั่วไปผ่านตัวตนปลอมหรือตัวตนที่ขโมยมา เพื่อให้ได้รับการว่าจ้างเข้าทำงานในบริษัทต่าง ๆ เมื่อได้งานแล้ว พนักงานเหล่านี้จะส่งค่าจ้างกลับไปให้ระบอบเกาหลีเหนือ และอาจฝังมัลแวร์หรือขโมยข้อมูลด้วย ขึ้นอยู่กับความต้องการของรัฐบาลในขณะนั้น

นาย Jai Minton และนาย James Maclachlan ผู้เขียนบทความระบุว่าตัวแทนเหล่านี้ “พัฒนาขึ้นอย่างมีนัยสำคัญและเพิ่มกิจกรรมมากขึ้นในช่วงไม่กี่ปีที่ผ่านมา” และเน้นว่าคนกลุ่มนี้มีทักษะในงานที่ทำจริง จึงเข้ากันได้กับสภาพแวดล้อมไอทีขององค์กรโดยไม่สะดุดตา

แนวโน้มนี้น่ากังวลในหลายชั้น เพราะเป็นภัยคุกคามจากคนในที่ถูกกำกับโดยรัฐบาลต่างชาติที่มีทรัพยากรพร้อม และเนื่องจากแรงงานระยะไกลเหล่านี้ถูกจ้างเหมือนพนักงานทั่วไป จึงไม่มีการละเมิดข้อมูลแบบดั้งเดิมหรือการเจาะบัญชีให้เห็น เมื่อบวกกับการใช้ VPN และบริการพร็อกซีเพื่อบดบังตำแหน่ง การตรวจจับการฉ้อโกงรูปแบบนี้จึงเป็นเรื่องท้าทาย

บริษัท Huntress แบ่งบทความออกเป็นการสอบสวน 3 ชุด ได้แก่ ชุดหนึ่งในเดือนกุมภาพันธ์ที่เกี่ยวข้องกับภาคสาธารณสุข และอีกสองชุดในเดือนสิงหาคมที่เกี่ยวข้องกับองค์กรในภาคบริการทางการเงิน

ในเดือนกุมภาพันธ์ บริษัทด้านสาธารณสุขในออสเตรเลียติดต่อบริษัท Huntress ด้วยความสงสัยว่าพนักงาน 3 คนเป็นแรงงานเกาหลีเหนือที่ปลอมตัวเป็นชาวจีน ความสงสัยเกิดจากการที่พนักงานเหล่านั้นใช้โครงสร้างพื้นฐานบางอย่าง เช่น Astrill VPN ซึ่งเคยถูกเชื่อมโยงกับการฉ้อโกงแรงงานเกาหลีเหนือมาก่อน

สัญญาณเตือนที่พบในแต่ละเคส

ในเคสของบริษัทสาธารณสุขออสเตรเลีย บริษัท Huntress วิเคราะห์ล็อก ความพยายามยืนยันตัวตน และกิจกรรมย้อนหลัง 6 เดือน แล้วพบว่าพนักงานทั้งสามยังใช้ IPRoyal Proxy ซึ่งเป็นผู้ให้บริการพร็อกซีเชิงพาณิชย์ที่ถูกกฎหมาย และบริการโฮสต์กันกระสุน WorkTitans B.V. ที่ “ดูเหมือนจะถูกหน่วยงานสืบสวนข้อมูลการคลังของเนเธอร์แลนด์ (FIOD) บุกค้น”

นาย Minton และนาย Maclachlan อธิบายว่าการพบ VPN หรือพร็อกซีตัวหนึ่งบนอุปกรณ์ของผู้ใช้คนหนึ่งไม่ได้ผิดปกติในตัวเอง เพราะทั้งสองอย่างมีกรณีใช้งานที่ถูกต้องอยู่ แต่ “การใช้โครงสร้างพื้นฐาน VPN และพร็อกซีอย่างกว้างขวางในทั้งสามบัญชีเบี่ยงเบนไปจากพฤติกรรมของผู้ใช้ปลายทางทั่วไป ซึ่งบ่งชี้ถึงความพยายามซ่อนตำแหน่งที่ตั้งจริงของแต่ละคน”

จุดที่ชี้ชัดกว่านั้นคือหลักฐานฝั่งเอกสาร บริษัท Huntress พบความคล้ายคลึงระหว่างพาสปอร์ตของพนักงานสองคน ซึ่งบ่งชี้ว่าอาจถูกปลอมขึ้นโดยคนคนเดียวกัน และพบบิลค่าไฟฟ้าของจีนที่มีข้อผิดพลาดอยู่ในตำแหน่งเดียวกันเป๊ะ รวมถึงมีลิงก์ไปยังเว็บไซต์ของ Arizona Public Service ซึ่งเป็นการไฟฟ้าในสหรัฐอเมริกา นั่นคือร่องรอยของการนำเทมเพลตเอกสารตัวเดียวกันมาใช้ซ้ำโดยไม่ได้ลบของเดิมออกให้หมด

“เนื่องจากมีเศษหลักฐานหลายอย่างที่อาจเชื่อมโยงบัญชีเหล่านี้กับกิจกรรมที่เกี่ยวข้องกับเกาหลีเหนือ เราจึงรายงานสิ่งที่พบให้องค์กรพันธมิตร และแนะนำอย่างหนักแน่นให้ใช้บริการตอบสนองต่อเหตุการณ์” บทความระบุ

ในการสอบสวนชุดแรกของเดือนสิงหาคม บริษัท Huntress ได้รับแจ้งจากพันธมิตรถึงความเป็นไปได้ว่ามีแรงงานเกาหลีเหนืออยู่ในสภาพแวดล้อมของพันธมิตรรายนั้น จากการแจ้งเตือนของผู้ขายผลิตภัณฑ์ความมั่นคงปลอดภัยบุคคลที่สาม เมื่อวิเคราะห์แล้วพบว่าพนักงานคนดังกล่าวใช้อุปกรณ์ PiKVM ซึ่งเปิดให้ควบคุมคอมพิวเตอร์ในระดับฮาร์ดแวร์จากระยะไกล อุปกรณ์ประเภทนี้พบได้ยากในสภาพแวดล้อมองค์กรและเคยถูกเชื่อมโยงกับแผนการของเกาหลีเหนือมาก่อน นอกจากนี้ยังพบว่ารูปโปรไฟล์ที่ใช้ถูกขโมยและดัดแปลงมาจากบัญชี GitHub ของคนจริง

“เราให้การประเมินแก่องค์กรที่ได้รับผลกระทบว่าอัตลักษณ์ของบุคคลนี้น่าสงสัย” นาย Minton และนาย Maclachlan เขียน “หลังการสอบสวนของเรา พันธมิตรยืนยันข้อสงสัยที่มีต่อพนักงานคนนั้น โดยอ้างถึงการที่เขาปฏิเสธที่จะแสดงให้เห็นห้องที่ตัวเองอยู่ และความไม่เต็มใจที่จะเปิดกล้อง”

หลังจากเหตุการณ์นั้น ทีม Detection Engineering and Threat Hunting ของบริษัท Huntress ได้ออกไล่ล่าตัวบ่งชี้การฉ้อโกงแรงงานเกาหลีเหนือในเชิงรุก แล้วพบอีกกรณีที่น่าจะเข้าข่ายในองค์กรพันธมิตรอีกราย คราวนี้เป็นพนักงานฝ่ายขายและการตลาดที่เพิ่งเริ่มงานได้สองสัปดาห์ เช่นเดียวกับกรณีก่อนหน้า พนักงานคนนี้ถูกพบว่าเชื่อมต่ออุปกรณ์ PiKVM และอุปกรณ์ USB ของ Guermok และบริษัท Huntress ยังพบหลักฐานว่าเอกสารระบุตัวตนที่ถูกต้องตามกฎหมายถูกแก้ไขทางดิจิทัลเพื่อแทนที่รูปถ่ายของคนจริงด้วยรูปของอีกคน

สิ่งที่พบเพิ่มเติมในเคสสุดท้ายคือส่วนขยายของ Chrome ที่ใช้แปลภาษาอังกฤษ บันทึกเสียงและวิดีโอ และช่วยเรื่องการออกเสียงภาษาอังกฤษ เว็บไซต์ทดสอบไมโครโฟนและเสียง ซึ่งเป็นสิ่งที่แรงงานไอทีเกาหลีเหนือใช้กันบ่อย รวมถึงการโพสต์ลิงก์การประชุม Zoom แบบสาธารณะไว้บนเว็บไซต์สำหรับแชร์โค้ด

ผลกระทบต่อไทย

ประเด็นนี้เกี่ยวข้องกับไทยในเชิงโครงสร้างการจ้างงาน ไม่ใช่ในเชิงช่องโหว่ทางเทคนิค เว็บไซต์นี้เคยรายงานไว้ในโพสต์ 07/069 ว่าไทยเป็นหนึ่งในประเทศปลายทางยอดนิยมของการจ้างงานข้ามพรมแดนในเอเชียตะวันออกเฉียงใต้ ซึ่งหมายความว่าองค์กรและสตาร์ตอัปไทยที่รับพนักงานระยะไกลจากต่างประเทศอยู่ในสถานะเดียวกับองค์กรออสเตรเลียในเคสแรกของรายงานฉบับนี้ คือรับคนเข้ามาผ่านกระบวนการจ้างงานปกติโดยไม่เคยเห็นตัวจริง

จุดที่ควรสังเกตคือ เคสที่สามในรายงานไม่ใช่ตำแหน่งวิศวกรหรือนักพัฒนา แต่เป็นพนักงานฝ่ายขายและการตลาด นั่นแปลว่าองค์กรไทยที่จำกัดการตรวจสอบเข้มเฉพาะตำแหน่งสายเทคนิค แล้วปล่อยตำแหน่งสายธุรกิจให้ผ่านกระบวนการตามปกติ จะมีช่องว่างที่รูปแบบนี้เดินผ่านได้ และเนื่องจากคนกลุ่มนี้ทำงานได้จริง ผลการประเมินงานที่ดีจึงไม่ใช่หลักฐานว่าตัวตนถูกต้อง

สัญญาณที่ใช้ได้ทันทีในบริบทไทยคือ การเชื่อมต่ออุปกรณ์ PiKVM หรืออุปกรณ์ USB ควบคุมระยะไกลกับเครื่องของบริษัท ซึ่งแทบไม่มีเหตุผลทางธุรกิจสำหรับพนักงานทั่วไป และการที่บัญชีเดียวใช้ทั้ง VPN เชิงพาณิชย์ พร็อกซี และเส้นทางออกอินเทอร์เน็ตที่เปลี่ยนไปมาโดยไม่สอดคล้องกับที่อยู่ที่แจ้งไว้ตอนจ้าง ส่วนฝั่งเอกสาร การขอให้เอกสารระบุตัวตนของพนักงานใหม่ผ่านการรับรองจากผู้มีอำนาจ และการตรวจข้อมูลเมทาดาทาของไฟล์เอกสารที่ส่งมา เป็นขั้นตอนที่เพิ่มต้นทุนให้ฝ่ายบุคคลไม่มาก แต่ตัดรูปแบบการปลอมเอกสารด้วยเทมเพลตซ้ำ ๆ อย่างที่พบในรายงานออกไปได้

ข้อจำกัดของหลักฐานที่ต้องระบุไว้คือ รายงานฉบับนี้เป็นการสรุปเคสของผู้ขายผลิตภัณฑ์ความมั่นคงปลอดภัยรายเดียว ไม่ได้เปิดเผยชื่อองค์กรที่ได้รับผลกระทบ ไม่ได้ระบุจำนวนเคสทั้งหมดที่ตรวจพบในปีนี้ และไม่ได้ยืนยันว่าพนักงานที่ถูกสงสัยเป็นคนเกาหลีเหนือจริงในทุกกรณี ถ้อยคำที่ใช้คือ “อัตลักษณ์น่าสงสัย” และ “อาจเชื่อมโยง” ไม่ใช่การยืนยันจากหน่วยงานบังคับใช้กฎหมาย นอกจากนี้ยังไม่มีการระบุว่ามีการขโมยข้อมูลหรือฝังมัลแวร์เกิดขึ้นจริงในเคสใด

คำแนะนำ

บริษัท Huntress ให้ข้อแนะนำสำหรับองค์กรที่กังวลเรื่องการฉ้อโกงแรงงานไอที หรือที่สงสัยว่าพนักงานอาจเชื่อมโยงกับปฏิบัติการของเกาหลีเหนือ ดังนี้

  • ตั้งการแจ้งเตือนสำหรับอุปกรณ์ PiKVM และ Guermok โดยเฉพาะเมื่อบัญชีผู้ใช้เดียวใช้ทั้งสองอย่าง
  • เฝ้าระวังบริการบนเว็บและส่วนขยายเบราว์เซอร์ที่เกี่ยวกับการบันทึกหน้าจอ เสียง และวิดีโอ การทดสอบไมโครโฟน การแปลภาษา และการแชร์ไฟล์
  • ตรวจหาการที่พนักงานโพสต์ลิงก์การประชุมประจำไปยังเว็บไซต์แชร์ข้อความสาธารณะ
  • เฝ้าระวังการใช้โครงสร้างพื้นฐาน VPN และพร็อกซีที่มาพร้อมกับตำแหน่งที่ตั้งผิดปกติ
  • ตรวจหากิจกรรมที่เกี่ยวกับอัตลักษณ์ซึ่งผิดปกติ โดยเฉพาะที่เกิดนอกเวลาทำงานปกติอย่างต่อเนื่องเป็นเวลานาน
  • ตรวจสอบรายละเอียดที่ผิดปกติของเอกสารระบุตัวตน โดยผู้เขียนแนะนำว่า “แม้เอกสารระบุตัวตนปลอมจะตรวจด้วยตาเปล่าได้ยากมาก แต่การดูข้อมูลเมทาดาทาและให้ความสนใจเป็นพิเศษกับเอกสารที่เพิ่งออกใหม่ จะทำให้เห็นความผิดปกติที่ตั้งคำถามได้ว่ารูปถ่ายถูกถ่ายอย่างไรและที่ไหน และถูกดัดแปลงหรือไม่” พร้อมเสนอให้กำหนดว่าเอกสารระบุตัวตนของพนักงานใหม่ต้องผ่านการรับรอง
  • เริ่มคัดกรองตั้งแต่ขั้นสัมภาษณ์และตรวจสอบประวัติอย่างเข้มงวดก่อนรับเข้าทำงาน โดยบทความสรุปว่า “เมื่อสงสัย การตรวจสอบประวัติตามมาตรฐาน การค้นหาข้อมูลบุคคลนั้นทางออนไลน์ และการตรวจสอบประวัติการทำงาน จะช่วยคัดแรงงานเกาหลีเหนือออกไปได้ตั้งแต่ต้นกระบวนการสัมภาษณ์”

แหล่งอ้างอิง