สรุปสั้น

ไม่ใช่ทุกเหตุข้อมูลรั่วที่เริ่มจากช่องโหว่ zero-day หรือแคมเปญฟิชชิงที่ซับซ้อนขึ้นเรื่อย ๆ บางเหตุการณ์เริ่มจากพนักงานที่ตัดสินใจเปิดประตูหน้าให้ผู้โจมตีเดินเข้ามาเอง สถานการณ์ที่นักวิจัยหลายรายกำลังจับตาคือ เมื่อองค์กรยกระดับมาตรการป้องกันจนเจาะเข้าได้ยากขึ้น อาชญากรไซเบอร์ก็หันไปหาสิ่งเดียวที่ไฟร์วอลล์และ VPN ป้องกันไม่ได้ นั่นคือคนที่มีสิทธิ์เข้าถึงระบบโดยชอบอยู่แล้ว

ในเชิงตัวเลข บริษัท SentinelOne ระบุว่าต้นทุนรายปีของภัยคุกคามจากคนในแตะระดับ 19.5 ล้านดอลลาร์สหรัฐฯ ต่อองค์กรในปี 2569 โดย 56% ของเหตุการณ์มาจากคนในที่ประมาทเลินเล่อ ทั้งการหลงกลฟิชชิงและการทำอุปกรณ์ของบริษัทหาย แต่เหตุการณ์ที่เกิดจากคนในที่มีเจตนาร้ายและถือสิทธิ์สูง สร้างความเสียหายเฉลี่ยราว 4.9 ล้านดอลลาร์สหรัฐฯ ต่อครั้ง ซึ่ง SentinelOne จัดว่าอยู่ในกลุ่มสถานการณ์ที่แพงที่สุดเท่าที่ติดตามมา ขณะที่รายงาน “The State of Human Risk 2026” ของบริษัท Mimecast พบว่าองค์กรเจอเหตุการณ์จากคนในที่มีเจตนาร้ายเพิ่มขึ้น 42% ในรอบปีที่ผ่านมา

ฝั่งตลาดใต้ดินก็สะท้อนภาพเดียวกัน บริษัท Flashpoint ที่สำรวจแนวโน้มการชักชวนคนในบนดาร์กเว็บเมื่อเดือนกรกฎาคม พบว่าโพสต์ของผู้คุกคามที่ไม่ซ้ำกันมากกว่า 75% มาจากคนในที่ประกาศขายการเข้าถึงให้บุคคลที่สามที่มีเจตนาร้ายด้วยตัวเอง ไม่ใช่จากผู้โจมตีที่ประกาศตามหาคนใน ซึ่งชี้ว่าเป็นภูมิทัศน์ที่ฝั่งอุปทานมีแรงจูงใจสูงมาก

รายละเอียดข่าว

เว็บไซต์ Dark Reading รายงานเมื่อวันที่ 1 กันยายน 2569 ว่า นักวิจัยความปลอดภัยบางส่วนสังเกตเห็นการเพิ่มขึ้นของการโจมตีด้วยแรนซัมแวร์ที่มีคนในช่วยเหลือ ควบคู่ไปกับภัยคุกคามรูปแบบอื่นจากคนในที่มีเจตนาร้ายซึ่งสร้างความเสียหายให้องค์กรระดับหลายล้านดอลลาร์ ผลลัพธ์ที่ตามมาจากเหตุการณ์ประเภทนี้มีตั้งแต่การถูกวางแรนซัมแวร์ ความสูญเสียทางการเงินโดยตรง การละเมิดข้อกำหนดที่ต้องปฏิบัติตาม ไปจนถึงการถูกดูดข้อมูลออกไปทั้งหมด

พนักงานที่ไม่พอใจองค์กรเป็นต้นเหตุของสถานการณ์คนในที่มีเจตนาร้ายมาโดยตลอด ตัวอย่างที่ถูกยกขึ้นมาคือคดีเมื่อปี 2563 ที่สำนักงานอัยการสหรัฐฯ เขตเหนือของรัฐจอร์เจียสั่งจำคุกนาย Christopher Dobbins ฐานแฮ็กระบบของอดีตนายจ้างซึ่งเป็นบริษัทบรรจุภัณฑ์ทางการแพทย์ และก่อกวนบันทึกการจัดส่งอิเล็กทรอนิกส์ ทำให้บริษัทเสียหายกว่า 200,000 ดอลลาร์สหรัฐฯ และทำให้การจัดส่งอุปกรณ์ป้องกันส่วนบุคคลล่าช้าในช่วงการระบาดของโควิด-19

นาย Justin Miller อดีตเจ้าหน้าที่พิเศษอาวุโสของหน่วยสืบราชการลับสหรัฐฯ ซึ่งปัจจุบันเป็นรองศาสตราจารย์ด้านการปฏิบัติสาขาไซเบอร์ที่ University of Tulsa เล่าถึงคดีที่เขาเคยทำ ซึ่งผู้อำนวยการฝ่ายไอทีหลักถูกไล่ออกตอนแปดโมงเช้าแต่ยังต้องอยู่ทำงานให้จบกะ ไม่มีใครเก็บกุญแจหรือเพิกถอนสิทธิ์เข้าถึงของเขา เขาจึงกลับมาตอนตีสองเพื่อแก้แค้นด้วยการวางมัลแวร์ล็อกระบบทั้งหมดของบริษัท “คุณไม่อยากไปทำให้คนที่คุมเครือข่ายของคุณโกรธหรอก” Miller กล่าว

นาง Jamie Levy ผู้อำนวยการอาวุโสด้านกลวิธีฝ่ายตรงข้ามของบริษัท Huntress อธิบายว่า หลายบริษัทเชื่อว่าตัวเองอยู่ในลำดับล่างของรายชื่อเป้าหมายที่มีมูลค่าสูง หรือเชื่อว่ามีการป้องกันที่ดีที่สุดแล้ว แต่ความจริงคือแม้จะป้องกันครบถ้วน จุดอ่อนก็อาจเป็นคนในที่ทำงานร่วมกับผู้ปฏิบัติการแรนซัมแวร์ โดยยกกรณีกลุ่ม Scattered Spider ที่ติดสินบนพนักงานผู้ให้บริการโทรคมนาคมเพื่อช่วยทำการโจมตีแบบสลับซิมใส่ผู้ใช้ที่เป็นเป้าหมาย

นางสาว Shelley Ma หัวหน้าทีมรับมือเหตุการณ์ของบริษัท Coalition ระบุว่าเมื่อเดือนที่ผ่านมาบริษัทเพิ่งประเมินขอบเขตของคดีคนในที่มีเจตนาร้าย ซึ่งพนักงานคนหนึ่งดูดเงินจากเหยื่อเข้าบัญชีธนาคารส่วนตัวของตัวเอง โดย Ma ระบุว่าเธอเจอคนในที่มีเจตนาร้ายจริง ๆ ประมาณสองปีครั้ง ขณะที่นางสาว Leeann Nicolo ผู้อำนวยการฝ่ายรับมือเหตุการณ์ของ Coalition เสริมว่าลูกค้ามักถามบริษัทประกันว่ามีคนในเกี่ยวข้องหรือไม่หลังถูกโจมตีด้วยแรนซัมแวร์ ซึ่งตัดความเป็นไปได้นี้ทิ้งไม่ได้ แม้คำอธิบายอย่างข้อมูลรับรองรั่วหรือระบบที่ไม่ได้แพตช์จะมีความเป็นไปได้มากกว่า

รูปแบบการชักชวนคนใน

ภัยที่เคยเกิดไม่บ่อยนี้อาจกำลังเพิ่มขึ้น โดยเฉพาะในกรณีของแรนซัมแวร์ เมื่อปีที่แล้วผู้ที่อ้างตัวว่าเป็นสมาชิกของกลุ่มแรนซัมแวร์แบบบริการชื่อ Medusa เสนอส่วนแบ่ง 25% ของค่าไถ่ให้นาย Joe Tidy ผู้สื่อข่าวสายไซเบอร์ของ BBC World Service เพื่อแลกกับการเข้าถึงเครื่องคอมพิวเตอร์ของเขา Tidy เล่นตามน้ำเพื่อดูรายละเอียด และพบว่าผู้คุกคามต้องการทำข้อตกลงเพื่อขายกุญแจสู่อาณาจักรของบริษัทที่เขาสังกัดอย่างลับ ๆ แลกกับเงินก้อนโต

นาย Tim Rawlins ที่ปรึกษาอาวุโสและผู้อำนวยการด้านความปลอดภัยของบริษัท NCC Group อธิบายว่า งานวิจัยของบริษัทเมื่อปลายปีที่แล้วพบว่ากลุ่มแรนซัมแวร์แบบบริการมองพนักงาน ผู้รับเหมา และพันธมิตรที่ได้รับความไว้วางใจเป็นประตูเข้าสู่องค์กรเป้าหมายมากขึ้น แต่การขาดทัศนวิสัยทำให้ยากที่จะระบุตัวเลขที่แท้จริง โดยเขาสรุปว่าแรนซัมแวร์ที่มีคนในช่วยเหลือนั้นมีอยู่จริง แต่ยังไม่ใช่เส้นทางหลักในการเข้าสู่องค์กร

เหตุผลหนึ่งที่ยังไม่ใช่เส้นทางหลักคือการชักชวนคนในมีความเสี่ยงต่อผู้ปฏิบัติการแรนซัมแวร์เอง เพราะพนักงานที่ถูกทาบทามอาจแจ้งความ เหมือนกรณีของ Tidy อย่างไรก็ตาม นาย Satnam Narang วิศวกรวิจัยอาวุโสของบริษัท Tenable ชี้ว่าความเสี่ยงนั้นมาพร้อมผลตอบแทน เพราะทำให้ผู้โจมตีเดินเข้าองค์กรได้ตรง ๆ แทนที่จะต้องหาทางเข้าเอง โดยยกตัวอย่างกลุ่ม LockBit 2.0 ที่เคยลองวิธีนี้ด้วยการใส่ข้อความชักชวนคนในลงในจดหมายเรียกค่าไถ่และในภาพพื้นหลังของเครื่องที่ติดเชื้อ เพื่อตามหาคนในที่จะให้ข้อมูลรับรองของ VPN โปรโตคอลเดสก์ท็อประยะไกล และอีเมล

นางสาว Tammy Harper นักสืบดาร์กเว็บที่ได้รับการรับรองและผู้เชี่ยวชาญด้านแรนซัมแวร์ของบริษัท Flare อธิบายว่า เมื่อองค์กรเติบโตขึ้นและระบบป้องกันดีขึ้น องค์กรกำลังเป็นฝ่ายชนะในสมรภูมินั้น ผู้คุกคามจึงมองหาวิธีใหม่ในการเข้าถึงครั้งแรก และการดึงคนในมาเป็นพวกกำลังแพร่หลายขึ้นในกลุ่มเป้าหมายมูลค่าสูง เช่น บริษัทรายได้สูงในยุโรป สหรัฐฯ และแคนาดา โดยเธอระบุว่าเคยเห็นคนในอ้างว่าได้ค่าตอบแทนสูงถึง 15,000 ดอลลาร์สหรัฐฯ สำหรับสินทรัพย์ที่ดี หรือผู้คุกคามจำนวนมากจะเสนอส่วนแบ่งจากค่าไถ่เมื่อได้รับเงิน ซึ่งเป็นข้อเสนอที่เสี่ยงมากเพราะไม่มีอะไรรับประกัน เนื่องจากอีกฝ่ายคืออาชญากร

Harper ยังเชื่อมโยงการเพิ่มขึ้นของแรนซัมแวร์ที่มีคนในช่วยเหลือเข้ากับการเลิกจ้าง เพราะการเลิกจ้างที่มากขึ้นหมายถึงพนักงานและลูกค้าที่อาจไม่พอใจมากขึ้น และยังทำให้เกิดช่องว่างของทัศนวิสัยระหว่างกระบวนการนำพนักงานออกจากระบบ บัญชีอาจยังเปิดอยู่โดยไม่มีใครเฝ้าดู ซึ่ง Levy เห็นตรงกันว่าขั้นตอนการนำพนักงานออกจากระบบคือจังหวะที่คนในที่มีเจตนาร้ายลงมือ

ผลกระทบ

สิ่งที่ตัวเลขจากรายงานเหล่านี้บอกคือ การลงทุนด้านการป้องกันที่ได้ผลไม่ได้ทำให้ความเสี่ยงหายไป แต่ย้ายความเสี่ยงไปอยู่ที่จุดที่การควบคุมทางเทคนิคเข้าไม่ถึง องค์กรที่ปิดช่องทางเข้าจากภายนอกได้ดีขึ้นเรื่อย ๆ กำลังกลายเป็นองค์กรที่ผู้โจมตีคุ้มค่าจะจ่ายเงินซื้อคนในมากขึ้น ซึ่งเป็นความสัมพันธ์แบบผกผันที่แผนความปลอดภัยส่วนใหญ่ยังไม่ได้คิดเผื่อไว้

จุดที่ควรสังเกตเป็นพิเศษคือด้านอุปทาน ข้อมูลของ Flashpoint ที่ระบุว่าโพสต์กว่า 75% มาจากคนในที่ประกาศขายการเข้าถึงเอง แปลว่าองค์กรไม่ได้กำลังรับมือเฉพาะผู้โจมตีที่พยายามทาบทามพนักงาน แต่ยังต้องรับมือกับพนักงานที่เดินไปเสนอตัวเอง ซึ่งเป็นสถานการณ์ที่การอบรมสร้างความตระหนักแบบเดิมออกแบบมาไม่ตรงกับปัญหา

ในเชิงเครื่องมือ Levy ระบุว่าการใช้เครื่องมือเฝ้าระวังและจัดการระยะไกลในทางที่ผิดเพิ่มขึ้น 277% เมื่อเทียบกับปีก่อน และเป็นวิธีที่พบบ่อยที่สุดวิธีเดียวที่ทั้งคนในและคนนอกใช้คงการเข้าถึงแบบเงียบ ๆ ที่ดูเหมือนถูกต้องตามกฎ นั่นหมายความว่าการเข้าถึงระยะไกลที่ไม่ได้รับอนุมัติควรถูกจัดเป็นข้อค้นพบระดับวิกฤต ไม่ใช่ใบงานเรื่องสุขอนามัยของระบบไอที

อีกด้านที่มีน้ำหนักคือความเข้มข้นของความเสียหายต่อหนึ่งเหตุการณ์ Levy ชี้ว่าคนในที่มีสิทธิ์เข้าถึงไฮเปอร์ไวเซอร์สามารถเข้ารหัสเครื่องเสมือนหลายร้อยเครื่องได้จากโฮสต์เดียว ซึ่งทำให้สามสิ่งที่ผู้ปฏิบัติการแรนซัมแวร์ต้องการมากที่สุด คือข้อมูลสำรอง ไฮเปอร์ไวเซอร์ และคอนโซลของระบบตรวจจับและตอบสนองที่ปลายทาง กลายเป็นจุดที่ต้องแยกการควบคุมออกมาต่างหาก

คำแนะนำ

  • ถอนสิทธิ์พนักงานที่ออกจากองค์กรภายในชั่วโมงเดียวกันให้ครบทุกระบบ ทั้ง single sign-on, VPN, ซอฟต์แวร์แบบบริการ ที่เก็บซอร์สโค้ด และคอนโซลคลาวด์ พร้อมเพิกถอนโทเคนของเซสชันและการให้ความยินยอมของแอปพลิเคชัน ไม่ใช่เปลี่ยนแค่รหัสผ่าน
  • จัดการเข้าถึงระยะไกลที่ไม่ได้รับอนุมัติเป็นข้อค้นพบระดับวิกฤต และเฝ้าระวังการติดตั้งเครื่องมือ RMM บนเครื่องปลายทางอย่างต่อเนื่อง
  • ทำให้สิทธิ์สูงมีต้นทุนและมีอายุจำกัด โดยแยกข้อมูลรับรอง กระบวนการอนุมัติ และการยืนยันตัวตนหลายปัจจัยสำหรับข้อมูลสำรอง ไฮเปอร์ไวเซอร์ และคอนโซล EDR ออกจากสิทธิ์ทั่วไป
  • ใช้หลักสิทธิ์น้อยที่สุด ระบบจัดการการเข้าถึงสิทธิ์สูง การแบ่งแยกหน้าที่ การให้สิทธิ์ผู้ให้บริการภายนอกแบบมีกำหนดเวลา และการทบทวนรับรองสิทธิ์เป็นระยะ
  • สร้างวัฒนธรรมการรายงานที่ปลอดภัยและรวดเร็ว โดยโปร่งใสว่าองค์กรเฝ้าระวังอะไรและเพราะอะไร เพราะโครงการรับมือภัยจากคนในมักล้มเหลวเมื่อพนักงานอ่านว่าเป็นการสอดส่อง
  • เฝ้าระวังช่วงเลิกจ้างเป็นพิเศษ ทั้งช่องว่างของกระบวนการนำออกจากระบบและบัญชีที่ยังเปิดค้างไว้โดยไม่มีผู้ดูแล
  • ประสานงานข้ามฝ่ายในการจัดการความเสี่ยงนี้ ทั้งความปลอดภัยไซเบอร์ ความปลอดภัยด้านบุคคล ทรัพยากรบุคคล ฝ่ายจัดซื้อ และการรับประกันคุณภาพผู้ให้บริการ

แหล่งอ้างอิง