สรุปสั้น
บริษัท Bimbo Bakeries USA ซึ่งเป็นแขนงธุรกิจในสหรัฐอเมริกาของกลุ่มผู้ผลิตขนมปังรายใหญ่ที่สุดของโลก ยืนยันแล้วว่าแฮ็กเกอร์ขโมยข้อมูลพนักงานออกไปได้ด้วยการโจมตีช่องโหว่ zero-day ใน Oracle E-Business Suite (EBS) ทำให้บริษัทกลายเป็นชื่อล่าสุดในรายชื่อองค์กรที่ถูกกวาดเข้าไปในแคมเปญกรรโชกทรัพย์ระดับโลกของกลุ่มเรียกค่าไถ่ Clop ที่เล็งลูกค้าของ Oracle เป็นการเฉพาะ จุดที่ถูกเจาะไม่ได้อยู่ที่ระบบของบริษัทเองโดยตรง แต่ย้อนกลับไปที่ผู้ให้บริการภายนอกรายหนึ่งซึ่งใช้ Oracle EBS ในการทำงานให้ ทำให้ข้อมูลพนักงานของบริษัทตกไปอยู่ในมือผู้โจมตีทั้งที่ระบบของบริษัทเองไม่ได้เป็นประตูบานแรก
สิ่งที่ทำให้เหตุการณ์นี้ต่างจากข่าวข้อมูลรั่วทั่วไปคือช่องว่างของเวลา บริษัทระบุว่าการสอบสวนสรุปได้ตั้งแต่วันที่ 6 ธันวาคม 2568 ว่าผู้โจมตีใช้ช่องโหว่ดังกล่าวดึงไฟล์ที่เก็บอยู่ในแพลตฟอร์มออกไปจริง แต่กว่าจะยืนยันได้ว่าหนึ่งในไฟล์ที่ถูกขโมยมีชื่อและหมายเลขประกันสังคมของผู้เสียหายอยู่ด้วยก็ล่วงเลยไปถึงวันที่ 19 สิงหาคม 2569 ซึ่งเป็นจุดที่กฎหมายแจ้งเหตุข้อมูลรั่วของรัฐบังคับให้ต้องเริ่มกระบวนการแจ้งเตือนอย่างเป็นทางการ นั่นแปลว่าผู้เสียหายรับรู้ว่าข้อมูลตัวเองหลุดหลังเหตุการณ์ผ่านไปแล้วราวแปดเดือน
บริษัทไม่ได้ระบุชื่อช่องโหว่ในจดหมายแจ้งเตือน แต่ทั้งไทม์ไลน์และตัวผลิตภัณฑ์ตรงกับแคมเปญที่ถูกบันทึกไว้อย่างกว้างขวางว่าเชื่อมโยงกับ CVE-2025-61882 ช่องโหว่รันโค้ดระยะไกลระดับวิกฤตที่ไม่ต้องยืนยันตัวตน คะแนน CVSS 9.8 และยังมีสิ่งที่ยังไม่ถูกเปิดเผยอีกหลายอย่าง ทั้งจำนวนผู้ได้รับผลกระทบ การระบุตัวผู้โจมตีอย่างเป็นทางการ และคำยืนยันว่าบริษัทถูกเรียกค่าไถ่หรือไม่
รายละเอียดข่าว
เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 7 กันยายน 2569 ว่า บริษัท Bimbo Bakeries USA ได้ยื่นจดหมายแจ้งเหตุข้อมูลรั่วลงวันที่ 31 สิงหาคม 2569 ต่อสำนักงานอัยการสูงสุดรัฐแคลิฟอร์เนียเมื่อวันที่ 4 กันยายน 2569 โดยระบุว่าเหตุการณ์ย้อนกลับไปที่ผู้ให้บริการภายนอกซึ่งพึ่งพา Oracle EBS ในการดำเนินงาน
ตามเอกสารที่ยื่นไว้ บริษัทระบุว่าการสอบสวนได้ข้อสรุปเมื่อวันที่ 6 ธันวาคม 2568 ว่าผู้โจมตีอาศัยช่องโหว่ zero-day เข้าถึงและดึงไฟล์ที่จัดเก็บอยู่ภายในแพลตฟอร์มออกไป และบริษัทได้ติดตั้งแพตช์ฉุกเฉินของ Oracle ทันทีที่รับทราบเรื่องช่องโหว่ พร้อมเริ่มกระบวนการตรวจพิสูจน์หลักฐานทางดิจิทัลเพื่อระบุให้ชัดว่าข้อมูลชุดใดถูกเปิดเผยออกไปบ้าง
การตรวจสอบดังกล่าวใช้เวลาหลายเดือนกว่าจะเสร็จสิ้น กระทั่งวันที่ 19 สิงหาคม 2569 บริษัทจึงยืนยันได้ว่าไฟล์ที่ถูกขโมยไฟล์หนึ่งมีชื่อและหมายเลขประกันสังคมของผู้เสียหายรวมอยู่ด้วย ซึ่งเป็นเงื่อนไขที่ทำให้ต้องเดินเรื่องแจ้งเตือนตามกฎหมายของรัฐ
แม้จดหมายของบริษัทจะไม่ระบุหมายเลขช่องโหว่ แต่ทั้งช่วงเวลาและผลิตภัณฑ์ที่เกี่ยวข้องสอดคล้องกับแคมเปญที่ถูกบันทึกไว้อย่างละเอียดว่าผูกกับ CVE-2025-61882 ซึ่งเป็นช่องโหว่รันโค้ดระยะไกลแบบไม่ต้องยืนยันตัวตนในคอมโพเนนต์ BI Publisher Integration ของโมดูล Concurrent Processing ใน Oracle EBS
บริษัท Mandiant ในเครือ Google ติดตามร่องรอยการโจมตีย้อนกลับไปได้ถึงเดือนสิงหาคม 2568 ซึ่งเป็นเวลาหลายสัปดาห์ก่อนที่ Oracle จะออกแพตช์ฉุกเฉินในวันที่ 4 ตุลาคม 2568 และนักวิจัยระบุว่าแคมเปญนี้เป็นฝีมือของกลุ่มกรรโชกทรัพย์ Clop ที่ใช้ช่องโหว่เดียวกันดูดข้อมูลจากลูกค้า Oracle EBS จำนวนมาก รวมถึงมหาวิทยาลัย Harvard และหนังสือพิมพ์ The Washington Post ก่อนจะกดดันเหยื่อด้วยการเรียกค่าไถ่
หน่วยงาน CISA ของสหรัฐฯ เพิ่มช่องโหว่นี้เข้าสู่รายการ Known Exploited Vulnerabilities ไม่นานหลัง Oracle เปิดเผยข้อมูล ขณะที่บริษัท Bimbo Bakeries USA ยังไม่เคยชี้ตัวผู้โจมตีว่าเป็น Clop อย่างเป็นทางการ ไม่เปิดเผยจำนวนผู้ได้รับผลกระทบ และไม่ยืนยันว่าได้รับข้อเรียกร้องค่าไถ่หรือไม่
ในด้านการเยียวยา บริษัทระบุว่ากำลัง “ทบทวนความสัมพันธ์กับผู้ให้บริการภายนอกใหม่” และเสนอบริการเฝ้าระวังเครดิตแบบสำนักเดียวพร้อมความช่วยเหลือกรณีถูกฉ้อโกงให้ผู้ได้รับผลกระทบเป็นเวลา 12 เดือน ผ่านผู้ให้บริการ Cyberscout
วิธีการโจมตี
CVE-2025-61882 เป็นช่องโหว่ในคอมโพเนนต์ BI Publisher Integration ของโมดูล Concurrent Processing ใน Oracle E-Business Suite ที่เปิดให้ผู้โจมตีสั่งรันโค้ดตามอำเภอใจบนเซิร์ฟเวอร์ EBS ที่ยังไม่ได้แพตช์ โดยไม่ต้องมีบัญชีผู้ใช้หรือข้อมูลยืนยันตัวตนที่ถูกต้องเลย ซึ่งเป็นเหตุผลที่ช่องโหว่นี้ได้คะแนน CVSS สูงถึง 9.8 และเซิร์ฟเวอร์ EBS ที่เปิดให้เข้าถึงจากอินเทอร์เน็ตจึงกลายเป็นเป้าที่ยิงได้ทันทีโดยไม่ต้องผ่านขั้นตอนยกระดับสิทธิ์ใด ๆ ก่อน
รูปแบบการทำงานของแคมเปญนี้ต่างจากการโจมตีด้วยแรนซัมแวร์แบบเข้ารหัสไฟล์ที่คุ้นเคยกัน กลุ่ม Clop ใช้ช่องโหว่เพื่อดูดข้อมูลออกจากแพลตฟอร์มเป็นหลัก แล้วจึงย้อนกลับมากดดันองค์กรเหยื่อด้วยการขู่เปิดเผยข้อมูล ซึ่งเป็นวิธีเดียวกับที่กลุ่มนี้เคยใช้กับช่องโหว่ในระบบรับส่งไฟล์และแพลตฟอร์มองค์กรอื่นมาก่อน จุดที่ทำให้เหยื่อขยายวงกว้างคือการโจมตีเกิดที่ระดับผลิตภัณฑ์กลางที่หลายองค์กรใช้ร่วมกัน ผู้โจมตีจึงเก็บเกี่ยวข้อมูลจากหลายองค์กรได้จากการพัฒนาชุดโจมตีเพียงชุดเดียว
ในกรณีของ Bimbo Bakeries USA จุดที่ถูกเจาะคือระบบของผู้ให้บริการภายนอก ไม่ใช่ระบบที่บริษัทดูแลเอง นั่นหมายความว่ามาตรการป้องกันภายในองค์กร ไม่ว่าจะเป็นการแพตช์หรือการเฝ้าระวัง ก็ไม่ได้อยู่ในเส้นทางการโจมตีตั้งแต่ต้น ข้อมูลพนักงานที่ส่งมอบให้ผู้ให้บริการไปประมวลผลกลายเป็นสิ่งที่หลุดออกไปโดยที่องค์กรเจ้าของข้อมูลไม่มีโอกาสตรวจจับด้วยตัวเอง
ผลกระทบ
ผลกระทบที่ชัดที่สุดตกอยู่กับพนักงานและบุคคลที่ชื่อกับหมายเลขประกันสังคมหลุดออกไป เพราะข้อมูลชุดนี้ถูกใช้ในสหรัฐฯ เป็นตัวยืนยันตัวตนในการเปิดบัญชี ขอสินเชื่อ และยื่นภาษี ทำให้ความเสี่ยงไม่จบที่การถูกสแปม แต่ต่อเนื่องไปถึงการถูกสวมรอยทางการเงินในระยะยาว และการที่บริษัทเสนอบริการเฝ้าระวังเครดิตให้เพียง 12 เดือนก็สั้นกว่าอายุการใช้งานจริงของข้อมูลชนิดนี้มาก
ในเชิงองค์กร กรณีนี้เป็นตัวอย่างของความเสี่ยงจากผู้ให้บริการภายนอกที่วัดผลได้ยาก บริษัทที่แพตช์ระบบตัวเองครบก็ยังเสียข้อมูลได้ ถ้าคู่ค้าที่ถือข้อมูลแทนไม่ได้อยู่ในมาตรฐานเดียวกัน และช่องว่างระหว่างวันที่ยืนยันว่ามีไฟล์ถูกขโมย (6 ธันวาคม 2568) กับวันที่รู้ว่าไฟล์นั้นมีอะไรอยู่ข้างใน (19 สิงหาคม 2569) ยาวราวแปดเดือน ซึ่งเป็นช่วงเวลาที่ผู้เสียหายไม่มีทางรู้ตัวเพื่อป้องกันตัวเองได้เลย ปัญหานี้ไม่ได้เกิดจากความละเลยเสมอไป แต่สะท้อนว่าการตรวจพิสูจน์ว่า “อะไรอยู่ในไฟล์ที่หลุด” เป็นงานที่กินเวลาจริงเมื่อข้อมูลอยู่ในระบบ ERP ขนาดใหญ่ที่มีไฟล์รายงานจำนวนมาก
สำหรับภาพรวมของแคมเปญ การที่รายชื่อเหยื่อยังทยอยเปิดเผยออกมาเรื่อย ๆ เกือบหนึ่งปีหลังแพตช์ออก แสดงว่าความเสียหายจากช่องโหว่ตัวเดียวไม่ได้จบลงพร้อมกับการปิดช่องโหว่ องค์กรที่แพตช์ทันแล้วแต่ไม่เคยตรวจย้อนหลังว่าถูกดึงข้อมูลไปก่อนหน้าหรือไม่ ก็อาจยังไม่รู้ตัวจนกว่าจะเห็นชื่อตัวเองบนเว็บไซต์ของกลุ่มกรรโชก
คำแนะนำ
องค์กรที่ยังใช้ Oracle E-Business Suite เวอร์ชัน 12.2.3 ถึง 12.2.14 ควรยืนยันให้แน่ชัดว่าแพตช์ฉุกเฉินที่ออกเมื่อเดือนตุลาคม 2568 ถูกติดตั้งครบทุกอินสแตนซ์แล้วจริง ไม่ใช่แค่บนระบบผลิตหลัก แต่รวมถึงระบบทดสอบและระบบสำรองที่มักถูกลืม
ตรวจย้อนล็อกกิจกรรมที่ผิดปกติของ BI Publisher ย้อนหลังไปถึงกลางปี 2568 เป็นอย่างน้อย เพราะการโจมตีเริ่มก่อนแพตช์ออกหลายสัปดาห์ การมีแพตช์แล้วจึงไม่ตอบคำถามว่าเคยถูกดึงข้อมูลไปแล้วหรือไม่
หมุนเปลี่ยนข้อมูลยืนยันตัวตนทุกชุดที่ผูกกับการเชื่อมต่อของ EBS ทั้งบัญชีบริการ คีย์ที่ใช้เชื่อมระบบ และรหัสผ่านของบัญชีที่มีสิทธิ์สูง โดยถือว่าข้อมูลเหล่านั้นอาจอยู่ในไฟล์ที่ถูกดึงออกไปแล้ว
ทบทวนรายชื่อผู้ให้บริการภายนอกที่ถือข้อมูลพนักงานหรือข้อมูลส่วนบุคคลแทนองค์กร พร้อมกำหนดให้ต้องแจ้งเหตุภายในกรอบเวลาที่ชัดเจนในสัญญา และขอหลักฐานสถานะการแพตช์ของระบบที่ใช้ประมวลผลข้อมูลนั้นเป็นระยะ
สำหรับผู้ที่ได้รับจดหมายแจ้งเตือน ควรเฝ้าดูรายงานเครดิตของตัวเอง เปิดการแจ้งเตือนกรณีมีการขอเปิดบัญชีใหม่ และระวังอีเมลหรือข้อความหลอกลวงที่อ้างถึงเหตุการณ์นี้เพื่อหลอกเอาข้อมูลเพิ่ม