สรุปสั้น

กลุ่มแฮ็กเกอร์ที่สนับสนุนรัสเซียออกมาอ้างความรับผิดชอบเมื่อวันพุธที่ 26 สิงหาคม 2569 ต่อการโจมตีทางไซเบอร์ที่ส่งผลกระทบต่อบริการดิจิทัลของรัฐบาลนอร์เวย์หลายรายการตลอดสามวันก่อนหน้า โดยนาย Are Kvistad โฆษกของสำนักงานดิจิทัลไลเซชันแห่งนอร์เวย์ หรือ Digdir ซึ่งเป็นหน่วยงานรัฐที่รับผิดชอบการทำให้บริการสาธารณะของนอร์เวย์เป็นดิจิทัลและใช้งานง่ายขึ้น ให้สัมภาษณ์กับสำนักข่าว The Associated Press ว่าการโจมตีดำเนินมาตั้งแต่วันจันทร์ที่ 24 สิงหาคม และระบุตรง ๆ ว่า “นี่คือการโจมตีที่ใหญ่ที่สุดต่อโซลูชันของ Digdir เท่าที่เราเคยประสบมา”

รูปแบบการโจมตีคือการปฏิเสธการให้บริการ ซึ่งผู้โจมตีอัดทราฟฟิกปริมาณมหาศาลใส่หน่วยงานเพื่อขวางไม่ให้บริการทำงาน หนึ่งในบริการที่ถูกเล็งคือระบบที่ให้ประชาชนใช้การล็อกอินเพียงชุดเดียวเข้าถึงบริการสาธารณะได้หลายตัว อย่างไรก็ตามโฆษกของ Digdir ระบุว่าหน่วยงานสามารถประคองบริการให้ทำงานต่อได้ “แทบตลอดเวลา” ซึ่งเป็นจุดที่ต้องอ่านให้ครบ เพราะคำอ้างของผู้โจมตีว่าโจมตีสำเร็จกับผลกระทบที่เกิดขึ้นจริงนั้นไม่เท่ากัน

กลุ่มที่อ้างความรับผิดชอบคือ Server Killers ซึ่งโพสต์ผ่านช่องทาง Telegram เมื่อวันพุธ และถูกสื่อนอร์เวย์รายงานต่ออย่างกว้างขวาง โดยระบุว่าได้ประกาศสงครามไซเบอร์กับนอร์เวย์หลังจากประเทศต่ออายุความร่วมมือด้านความมั่นคงกับยูเครนเมื่อวันที่ 23 สิงหาคม 2569 ทั้งนี้เจ้าหน้าที่นอร์เวย์ยังไม่ได้ให้ความเห็นต่อคำกล่าวอ้างของกลุ่มแฮ็กเกอร์ ณ เวลาที่รายงานต้นฉบับเผยแพร่

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 27 สิงหาคม 2569 โดยอ้างรายงานของสำนักข่าว The Associated Press ว่า กลุ่มแฮ็กเกอร์ที่สนับสนุนรัสเซียกลุ่มหนึ่งอ้างความรับผิดชอบต่อการโจมตีทางไซเบอร์ที่กระทบบริการดิจิทัลของรัฐบาลนอร์เวย์หลายรายการในช่วงสามวันที่ผ่านมา

บริบทที่กลุ่มยกขึ้นมาเป็นเหตุผลคือท่าทีของนอร์เวย์ต่อสงครามในยูเครน โดยเมื่อวันอาทิตย์ที่ 23 สิงหาคม นาย Jonas Gahr Støre นายกรัฐมนตรีนอร์เวย์ ประกาศระหว่างการเยือนกรุงเคียฟว่านอร์เวย์จะให้เงินสนับสนุนยูเครนจำนวน 85,000 ล้านโครนนอร์เวย์ หรือราว 9,200 ล้านดอลลาร์สหรัฐ จากงบประมาณแผ่นดินของปีถัดไป ซึ่งเป็นการให้ต่อเนื่องเป็นปีที่สาม พร้อมกันนั้นทั้งสองประเทศยังตกลงร่วมมือกันเพิ่มเติมในด้านเทคโนโลยีโดรนและรูปแบบอื่นของสงครามสมัยใหม่

ภาพรวมในระดับภูมิภาคคือทุกประเทศในยุโรปอยู่ในภาวะเฝ้าระวังระดับสูง หลังรัสเซียเพิ่มระดับปฏิบัติการก่อวินาศกรรมและกิจกรรมมุ่งร้ายทั่วทั้งทวีปนับตั้งแต่การรุกรานยูเครนเต็มรูปแบบเมื่อเดือนกุมภาพันธ์ 2565 โดยเจ้าหน้าที่ในยุโรปประเมินว่าการโจมตีเหล่านี้มีเป้าหมายเพื่อบั่นทอนการสนับสนุนยูเครน แพร่ความหวาดกลัวและความแตกแยกในสังคมยุโรป และดูดทรัพยากรของหน่วยงานสืบสวนให้หมดไปกับการตามเรื่องเหล่านี้

นอร์เวย์เองไม่ใช่เป้าหมายครั้งแรก เมื่อปี 2568 ทางการนอร์เวย์ระบุว่าแฮ็กเกอร์รัสเซียมีแนวโน้มอยู่เบื้องหลังเหตุต้องสงสัยว่าเป็นการก่อวินาศกรรมที่เขื่อนแห่งหนึ่งในประเทศ โดยในเหตุการณ์ครั้งนั้นผู้โจมตีเข้าถึงระบบดิจิทัลที่ควบคุมวาล์วตัวหนึ่งของเขื่อนจากระยะไกล แล้วเปิดวาล์วเพื่อเพิ่มอัตราการไหลของน้ำ และมีการเผยแพร่คลิปวิดีโอความยาวสามนาทีที่แสดงแผงควบคุมของเขื่อนพร้อมเครื่องหมายที่ระบุถึงกลุ่มอาชญากรไซเบอร์หนุนรัสเซียลงบน Telegram ตามที่ตำรวจระบุ

รูปแบบเดียวกันนี้ยังปรากฏในเดนมาร์ก โดยเมื่อปีที่ผ่านมา ทางการเดนมาร์กชี้ว่ารัสเซียอยู่เบื้องหลังการโจมตีทางไซเบอร์ต่อโครงสร้างพื้นฐานและเว็บไซต์ในเดนมาร์กช่วงปี 2567 และ 2568 โดยระบุว่ากลุ่มหนุนรัสเซียชื่อ Z-Pentest ก่อ “การโจมตีเชิงทำลาย” ต่อบริษัทสาธารณูปโภคด้านน้ำในปี 2567 ส่วนอีกกลุ่มหนึ่งคือ NoName057(16) รับผิดชอบการโจมตีเว็บไซต์ของเดนมาร์กก่อนการเลือกตั้งท้องถิ่นปี 2568 ซึ่งเจ้าหน้าที่เดนมาร์กระบุว่าทั้งสองกลุ่มมีความเชื่อมโยงกับรัฐรัสเซีย

สำหรับเหตุการณ์ในนอร์เวย์ครั้งนี้ ยังไม่มีการยืนยันอย่างเป็นทางการว่าคำกล่าวอ้างของ Server Killers ตรงกับข้อเท็จจริงหรือไม่ และรายงานต้นฉบับไม่ได้ระบุปริมาณทราฟฟิก จำนวนบริการที่ล่ม ระยะเวลาที่บริการขัดข้องจริง หรือรายชื่อระบบที่ได้รับผลกระทบอย่างครบถ้วน สิ่งที่ยืนยันได้จากฝั่งหน่วยงานมีเพียงว่าการโจมตีเกิดขึ้นจริง เป็นการโจมตีที่หนักที่สุดที่ Digdir เคยเจอ และบริการยังทำงานได้แทบตลอดช่วงเวลาดังกล่าว

วิธีการโจมตี

การโจมตีแบบปฏิเสธการให้บริการที่กลุ่มแฮ็กติวิสต์ใช้ ไม่ได้อาศัยช่องโหว่ในระบบเป้าหมาย และไม่ได้เข้าถึงข้อมูลใด ๆ สิ่งที่ทำคือส่งคำขอปริมาณมหาศาลเข้าไปจนทรัพยากรของระบบหรือแบนด์วิดท์ปลายทางหมด ทำให้ผู้ใช้จริงเข้าถึงบริการไม่ได้ ต้นทุนในการก่อเหตุจึงต่ำมากเมื่อเทียบกับการเจาะระบบ และผู้โจมตีไม่จำเป็นต้องมีความสามารถทางเทคนิคระดับสูงหรือความรู้เฉพาะเกี่ยวกับระบบของเป้าหมายเลย

จุดที่ทำให้การเลือกเป้าหมายครั้งนี้มีความหมายคือระบบล็อกอินกลาง บริการที่ให้ประชาชนใช้ชุดล็อกอินเดียวเข้าถึงบริการสาธารณะหลายตัวเป็นจุดที่การขัดขวางเพียงจุดเดียวส่งผลลูกโซ่ไปยังบริการปลายทางทั้งหมดที่พึ่งพามัน ผลกระทบต่อประชาชนจึงกว้างกว่าการยิงเว็บไซต์หน่วยงานใดหน่วยงานหนึ่ง โดยที่ผู้โจมตีไม่ต้องเพิ่มความพยายามขึ้นเลย

รูปแบบการปฏิบัติการของกลุ่มแฮ็กติวิสต์ประเภทนี้มีองค์ประกอบที่ซ้ำเดิมสามอย่าง คือเลือกเป้าหมายตามจุดยืนทางการเมืองของประเทศนั้นในความขัดแย้ง ประกาศความรับผิดชอบผ่าน Telegram ทันทีเพื่อสร้างการรับรู้ และอาศัยการรายงานข่าวเป็นส่วนหนึ่งของผลลัพธ์ที่ต้องการ ซึ่งหมายความว่าความสำเร็จของปฏิบัติการในสายตาของกลุ่มไม่ได้วัดจากเวลาที่ระบบล่มจริงเพียงอย่างเดียว แต่รวมถึงปริมาณการพูดถึงที่ตามมาด้วย เว็บไซต์นี้เคยรายงานการปราบปรามกลุ่มแฮ็กติวิสต์หนุนรัสเซียในลักษณะเดียวกันไว้แล้วในโพสต์ 07/084

ผลกระทบ

บทเรียนที่ตรงที่สุดสำหรับหน่วยงานที่ให้บริการประชาชนคือ ระบบยืนยันตัวตนกลางเป็นจุดรวมความเสี่ยงพอ ๆ กับที่เป็นจุดรวมความสะดวก เมื่อทุกบริการปลายทางพึ่งการล็อกอินชุดเดียวกัน การทำให้ระบบนั้นตอบสนองช้าลงเพียงพอก็เท่ากับปิดบริการปลายทางทั้งหมดพร้อมกัน โดยไม่ต้องแตะระบบเหล่านั้นเลยแม้แต่ระบบเดียว การวางแผนรับมือจึงต้องมองระบบล็อกอินกลางเป็นบริการที่ต้องมีความทนทานสูงกว่าบริการทั่วไปในองค์กร ไม่ใช่แค่บริการสนับสนุน

อีกประเด็นคือช่องว่างระหว่างคำอ้างของผู้โจมตีกับผลกระทบจริง กรณีนี้กลุ่มอ้างว่าโจมตีใหญ่ ขณะที่หน่วยงานยืนยันว่าบริการยังทำงานได้แทบตลอด ทั้งสองข้อความอาจจริงพร้อมกันได้ เพราะปริมาณการโจมตีที่สูงเป็นประวัติการณ์ไม่ได้แปลว่าระบบล่ม องค์กรที่ติดตามข่าวลักษณะนี้ควรระวังไม่ประเมินความเสียหายจากโพสต์ Telegram ของผู้ก่อเหตุ ซึ่งมีแรงจูงใจให้ขยายผลงานของตัวเองอยู่แล้ว

ในเชิงยุทธศาสตร์ เหตุการณ์นี้ยืนยันรูปแบบที่เห็นซ้ำในยุโรป คือการตัดสินใจเชิงนโยบายต่างประเทศแปลงเป็นความเสี่ยงไซเบอร์ต่อบริการพลเรือนภายในไม่กี่วัน การประกาศสนับสนุนยูเครนเมื่อวันอาทิตย์ตามมาด้วยการโจมตีตั้งแต่วันจันทร์ ทำให้หน่วยงานที่ดูแลระบบสาธารณะกลายเป็นผู้รับผลของการตัดสินใจที่ตัวเองไม่ได้มีส่วนร่วม และต้องเตรียมความพร้อมล่วงหน้าตามปฏิทินทางการเมือง ไม่ใช่ตามสัญญาณทางเทคนิค

ข้อจำกัดของข้อมูลที่ต้องระบุไว้คือ การระบุตัวผู้ก่อเหตุมาจากคำกล่าวอ้างของกลุ่มเองบน Telegram ไม่ใช่การยืนยันจากทางการนอร์เวย์ ซึ่งยังไม่ให้ความเห็นต่อคำกล่าวอ้างดังกล่าว ไม่มีการเปิดเผยตัวเลขทางเทคนิคของการโจมตี ไม่มีการยืนยันความเชื่อมโยงระหว่าง Server Killers กับรัฐรัสเซียในเหตุการณ์นี้ และการอ้างอิงถึงเหตุการณ์ที่เขื่อนในนอร์เวย์เมื่อปี 2568 กับเหตุการณ์ในเดนมาร์ก เป็นการประเมินของทางการประเทศนั้น ๆ ที่แยกต่างหากจากเหตุการณ์ครั้งนี้

คำแนะนำ

  • จัดชั้นความสำคัญของระบบยืนยันตัวตนกลางและระบบล็อกอินร่วมให้สูงกว่าบริการปลายทางที่พึ่งพามัน และทดสอบสถานการณ์ที่ระบบนี้ตอบสนองช้าหรือใช้ไม่ได้ ว่าบริการปลายทางจะเสื่อมสภาพอย่างไร
  • วางบริการสาธารณะที่เปิดสู่อินเทอร์เน็ตไว้หลังบริการป้องกัน DDoS ที่รองรับการดูดซับทราฟฟิกระดับปริมาณสูง และตกลงเงื่อนไขการยกระดับกับผู้ให้บริการไว้ล่วงหน้า ไม่ใช่ตอนถูกโจมตีแล้ว
  • เตรียมโหมดให้บริการแบบลดทอนไว้ล่วงหน้า เช่นช่องทางสำรองสำหรับงานที่จำเป็นที่สุด เพื่อให้ประชาชนยังทำธุรกรรมสำคัญได้แม้ระบบหลักถูกกดดัน
  • ซ้อมการสื่อสารต่อสาธารณะสำหรับเหตุ DDoS โดยเฉพาะ เพราะการนิ่งเงียบเปิดพื้นที่ให้คำกล่าวอ้างของผู้ก่อเหตุกลายเป็นเรื่องเล่าเดียวที่สื่อมี
  • เฝ้าระวังเชิงรุกในช่วงที่ประเทศมีการตัดสินใจหรือประกาศเชิงนโยบายที่กระทบความขัดแย้งระหว่างประเทศ เพราะเป็นช่วงเวลาที่กลุ่มแฮ็กติวิสต์เลือกลงมือมากที่สุด
  • อย่าประเมินความเสียหายจากคำกล่าวอ้างบนช่องทางของผู้ก่อเหตุ ให้ยืนยันด้วยข้อมูลความพร้อมใช้งานของระบบตัวเองก่อนสื่อสารหรือยกระดับเหตุการณ์

แหล่งอ้างอิง