สรุปสั้น

กลุ่มแรนซัมแวร์ Rhysida ทำตามคำขู่ด้วยการทิ้งข้อมูลของฝ่ายบริหารรัฐเบอร์ลินขนาดเกือบหกเทระไบต์ลงบนดาร์กเว็บ หลังทางการท้องถิ่นปฏิเสธจ่ายค่าไถ่ 30 บิตคอยน์ เหตุการณ์นี้เริ่มจากการโจมตีไซเบอร์ต่อเครือข่ายบริหารของนครรัฐเบอร์ลินในเดือนสิงหาคม 2569 ซึ่งรัฐบาลท้องถิ่นออกมายืนยันเมื่อปลายเดือนสิงหาคมว่ากำลังรับมือกับความพยายามกรรโชกทรัพย์ และตัดสินใจไม่จ่ายเงินตามที่ถูกเรียกร้อง

กลุ่ม Rhysida อ้างความรับผิดชอบบนเว็บไซต์เปิดเผยข้อมูลของตัวเองเมื่อวันที่ 28 สิงหาคม 2569 ด้วยรายการที่ตั้งชื่อสั้น ๆ ว่า “Berlin, Germany” พร้อมอ้างว่ามีข้อมูลรวม 5.79 เทระไบต์ กระจายอยู่ในไฟล์ราว 1.44 ล้านไฟล์ และมีข้อมูลส่วนบุคคลของบุคคล 12,076 รายรวมอยู่ด้วย กลุ่มยังอ้างต่อว่าเนื้อหาที่ได้ไปอาจเข้าข่ายการละเมิด GDPR กฎเรื่องข้อมูลลับของเยอรมนี กฎหมายอาญา และข้อกำหนด KRITIS/BSIG ซึ่งทั้งหมดนี้ยังเป็นคำกล่าวอ้างฝ่ายเดียวที่ไม่มีการยืนยันอิสระ

สิ่งที่ทำให้เหตุการณ์ยกระดับจากคดีข้อมูลรั่วไปสู่ประเด็นความมั่นคงของชาติ คือลักษณะของเอกสารที่ถูกรายงานว่าอยู่ในกองข้อมูล ทั้งเอกสารสืบสวนของสำนักงานตำรวจอาชญากรรมประจำรัฐ แผนที่เกี่ยวกับการป้องกันประเทศ ไปจนถึงแฟ้มที่เกี่ยวข้องกับภัยคุกคามทางเคมี ชีวภาพ รังสี และนิวเคลียร์ ล่าสุดรัฐบาลเบอร์ลินประกาศตั้งศูนย์บริหารวิกฤตส่วนกลางขึ้นมาดูแลการตรวจสอบและประเมินข้อมูลที่ถูกเผยแพร่ พร้อมช่วยแจ้งเตือนประชาชนและภาคธุรกิจที่ได้รับผลกระทบ

รายละเอียดข่าว

เว็บไซต์ Security Affairs รายงานเมื่อวันที่ 7 กันยายน 2569 ว่า กลุ่มแรนซัมแวร์ Rhysida เผยแพร่ข้อมูลของฝ่ายบริหารรัฐเบอร์ลินลงดาร์กเว็บแล้ว หลังทางการปฏิเสธค่าไถ่ 30 บิตคอยน์ เรื่องเริ่มเมื่อปลายเดือนสิงหาคม 2569 ที่รัฐบาลนครรัฐเบอร์ลินยืนยันว่ากำลังรับมือการกรรโชกที่ตามมาจากการโจมตีเครือข่ายบริหารของเมืองในเดือนเดียวกัน และปฏิเสธการจ่ายเงินตั้งแต่ต้น วันที่ 28 สิงหาคม 2569 Rhysida จึงประกาศความรับผิดชอบบนเว็บไซต์เปิดเผยข้อมูลของกลุ่มในชื่อ “Berlin, Germany” โดยอ้างว่าได้ข้อมูล 5.79 เทระไบต์ หรือราว 1.44 ล้านไฟล์ ซึ่งมีข้อมูลส่วนบุคคลของ 12,076 ราย กลุ่มยังอ้างว่าเนื้อหาอาจเข้าข่ายละเมิด GDPR ระเบียบข้อมูลชั้นความลับของเยอรมนี กฎหมายอาญา และข้อกำหนดโครงสร้างพื้นฐานสำคัญตาม KRITIS/BSIG ซึ่งเป็นการยกข้อกฎหมายมากดดันตามแบบที่กลุ่มกรรโชกมักใช้ และยังไม่มีหน่วยงานใดยืนยันคำกล่าวอ้างเหล่านี้

ขณะนี้ผู้ตรวจสอบกำลังไล่ดูไฟล์ราว 1.4 ล้านไฟล์ ซึ่งมีทั้งข้อมูลส่วนบุคคลของข้าราชการ บันทึกโครงสร้างพื้นฐานภายใน และข้อมูลของหน่วยงานรัฐที่สำคัญสูง นายลาร์ส วิงเคลส์ดอร์ฟ (Lars Winkelsdorf) นักข่าวสายสืบสวน ระบุบนโซเชียลมีเดียว่านอกจากเอกสารการสืบสวนของ LKA แล้ว ไฟล์ยังมีแผนที่ด้านการป้องกันประเทศ ตั้งแต่ช่องทางสื่อสารลับของรัฐบาลกลางยามเกิดหายนะ บริษัทที่เกี่ยวข้องกับกิจการป้องกันประเทศ ไปจนถึงแผนฉุกเฉินของหน่วยงานรัฐ ส่วน Euronews รายงานว่ามีโฟลเดอร์ชื่อ “AG CBRN-Rahmenplanung” ซึ่ง CBRN หมายถึงภัยเคมี ชีวภาพ รังสี และนิวเคลียร์ ข้อมูลเชิงปฏิบัติการที่ควรอยู่ในวงจำกัดจึงหลุดสู่พื้นที่สาธารณะ ล่าสุด Reuters รายงานว่ารัฐบาลเบอร์ลินตั้งศูนย์บริหารวิกฤตส่วนกลางเพื่อกำกับการตรวจสอบและประเมินข้อมูลที่รั่ว และสนับสนุนการแจ้งเตือนประชาชนกับภาคธุรกิจที่ได้รับผลกระทบ

Rhysida ransomware group leaks Berlin state administration data on the dark web

วิธีการโจมตี

ต้องระบุไว้ตรง ๆ ว่ารายงานที่ออกมายังไม่เปิดเผยช่องทางที่ผู้โจมตีใช้เข้าถึงเครือข่ายบริหารของเบอร์ลิน ไม่มีข้อมูลว่าเป็นการเจาะผ่านช่องโหว่ของอุปกรณ์ขอบเครือข่าย บัญชีที่ถูกขโมยข้อมูลยืนยันตัวตน หรือผู้ให้บริการภายนอก และยังไม่มีการเปิดเผยว่าผู้โจมตีอยู่ในระบบนานเท่าใดก่อนจะดึงข้อมูลออกไปได้ในปริมาณระดับเกือบหกเทระไบต์ ข้อมูลส่วนนี้เป็นสิ่งที่ต้องรอผลการสอบสวนอย่างเป็นทางการ

สิ่งที่พอเห็นได้จากเหตุการณ์คือรูปแบบการกดดันซึ่งเป็นแบบฉบับของ Rhysida กลุ่มนี้ทำงานในโมเดลขโมยข้อมูลก่อนแล้วจึงข่มขู่เผยแพร่ โดยตั้งเส้นตายและเปิดหน้ารายชื่อเหยื่อบนเว็บไซต์ของตัวเอง เมื่อเหยื่อไม่จ่าย กลุ่มก็ปล่อยข้อมูลออกมาจริงเพื่อรักษาความน่าเชื่อถือของคำขู่สำหรับเหยื่อรายถัดไป การยกข้อกฎหมายอย่าง GDPR และ KRITIS/BSIG ขึ้นมาอ้างในประกาศ ก็เป็นการเพิ่มต้นทุนด้านกฎหมายและชื่อเสียงให้เหยื่อรู้สึกว่าการจ่ายเงินคุ้มกว่าการปฏิเสธ

อีกจุดที่สังเกตได้คือขนาดของข้อมูลที่ถูกดึงออกไป ไฟล์ระดับ 1.44 ล้านไฟล์จากเครือข่ายบริหารของนครรัฐ สะท้อนว่าผู้โจมตีเข้าถึงพื้นที่จัดเก็บไฟล์ที่กว้างมาก ไม่ใช่ระบบเดี่ยว ๆ ซึ่งมักหมายถึงการเคลื่อนตัวในแนวขวางไปยังไฟล์เซิร์ฟเวอร์หลายเครื่องหรือการได้บัญชีที่มีสิทธิ์เข้าถึงข้ามหน่วยงาน อย่างไรก็ตามนี่เป็นการอนุมานจากขนาดข้อมูล ไม่ใช่ข้อเท็จจริงที่ได้รับการยืนยัน

ผลกระทบ

ผลกระทบชั้นแรกตกอยู่กับบุคคลที่ข้อมูลส่วนตัวอยู่ในกองไฟล์ ทั้งข้าราชการและประชาชนที่เคยติดต่อกับหน่วยงานของรัฐ ซึ่งกลุ่มอ้างว่ามีอย่างน้อย 12,076 ราย ข้อมูลลักษณะนี้เมื่อออกสู่พื้นที่สาธารณะแล้วจะถูกนำไปใช้ต่อในการหลอกลวงแบบเจาะจงตัวบุคคล การสวมรอย และการกดดันเป้าหมายที่ทำงานในตำแหน่งอ่อนไหวได้ยาวนานหลายปี

ชั้นที่สองซึ่งหนักกว่าคือเอกสารเชิงปฏิบัติการของภาครัฐ แผนรับมือวิกฤต ช่องทางสื่อสารสำรองในภาวะฉุกเฉิน และแฟ้มที่เกี่ยวข้องกับ CBRN เป็นข้อมูลที่มีคุณค่าต่อผู้ไม่ประสงค์ดีในแง่การวางแผนโจมตี เพราะบอกได้ว่าหน่วยงานจะทำอะไรเมื่อเกิดเหตุ ใครเป็นผู้ตัดสินใจ และจุดใดของกระบวนการที่เปราะบางที่สุด ต่างจากข้อมูลบัตรเครดิตที่ยกเลิกแล้วจบ แผนเหล่านี้แก้ไขไม่ได้ด้วยการเปลี่ยนรหัสผ่าน แต่ต้องรื้อและร่างใหม่ทั้งกระบวนการ ซึ่งใช้เวลาและงบประมาณมหาศาล

ชั้นที่สามคือบทเรียนเชิงนโยบาย การปฏิเสธจ่ายค่าไถ่เป็นแนวปฏิบัติที่ถูกต้องในระยะยาวเพราะไม่หล่อเลี้ยงธุรกิจกรรโชก แต่ต้องยอมรับว่ามันไม่ได้หยุดความเสียหายที่เกิดขึ้นแล้ว องค์กรภาครัฐที่ถือข้อมูลระดับความมั่นคงจึงต้องลงทุนกับการแบ่งส่วนเครือข่ายและการจำกัดขอบเขตการเข้าถึงไฟล์ตั้งแต่ก่อนเกิดเหตุ ไม่ใช่รอให้ถึงจุดที่ต้องเลือกระหว่างจ่ายเงินกับปล่อยให้ข้อมูลหลุด

สุดท้ายต้องย้ำข้อจำกัดของข้อมูลชุดนี้ ตัวเลข 5.79 เทระไบต์ จำนวนไฟล์ และรายการประเภทเอกสาร ล้วนมาจากประกาศของกลุ่ม Rhysida เอง ซึ่งมีแรงจูงใจให้ขยายความร้ายแรงเกินจริง ขณะที่การยืนยันจากฝ่ายทางการยังจำกัดอยู่ที่การรับว่ามีเหตุโจมตีและมีการเผยแพร่ข้อมูลจริง ส่วนขอบเขตที่แท้จริงเป็นสิ่งที่ศูนย์บริหารวิกฤตกำลังตรวจสอบอยู่

คำแนะนำ

หน่วยงานภาครัฐควรทบทวนว่าไฟล์แผนปฏิบัติการและเอกสารชั้นความลับถูกเก็บอยู่บนพื้นที่แชร์ที่บัญชีทั่วไปเข้าถึงได้หรือไม่ การแยกข้อมูลกลุ่มนี้ออกจากไฟล์เซิร์ฟเวอร์ที่ใช้งานประจำวัน คือมาตรการที่ลดปริมาณข้อมูลที่ถูกดึงออกไปได้มากที่สุดเมื่อเกิดเหตุจริง

แบ่งส่วนเครือข่ายและจำกัดสิทธิ์การเข้าถึงตามหน้าที่อย่างเคร่งครัด พร้อมทบทวนบัญชีที่มีสิทธิ์ข้ามหน่วยงานเป็นระยะ เพราะการดึงไฟล์ระดับล้านไฟล์ต้องอาศัยบัญชีที่มองเห็นข้อมูลกว้างผิดปกติ

ตั้งการแจ้งเตือนเมื่อมีการอ่านหรือคัดลอกไฟล์ในปริมาณผิดปกติจากพื้นที่จัดเก็บส่วนกลาง เพราะการขโมยข้อมูลระดับเทระไบต์ทิ้งร่องรอยไว้ในล็อกการเข้าถึงไฟล์และปริมาณทราฟฟิกขาออกเสมอ แม้ตัวแรนซัมแวร์จะยังไม่ทำงาน

เตรียมแผนสื่อสารและกระบวนการแจ้งผู้ได้รับผลกระทบไว้ล่วงหน้า รวมถึงกำหนดว่าใครเป็นผู้ตัดสินใจเรื่องการจ่ายหรือไม่จ่ายค่าไถ่ เพื่อไม่ให้ต้องตัดสินใจเรื่องใหญ่ภายใต้แรงกดดันของเส้นตายที่ผู้โจมตีเป็นคนกำหนด

สำหรับองค์กรที่ทำงานร่วมกับหน่วยงานรัฐ ควรถือว่าข้อมูลติดต่อและเอกสารที่เคยส่งให้หน่วยงานอาจอยู่ในชุดข้อมูลที่หลุด และเฝ้าระวังอีเมลหลอกลวงที่อ้างอิงเนื้อหาจากเอกสารจริงซึ่งจะน่าเชื่อถือกว่าฟิชชิงทั่วไปมาก

แหล่งอ้างอิง