สรุปสั้น

ศาลรัฐบาลกลางสหรัฐพิพากษาจำคุกนาย Oleksii Oleksiyovych Lytvynenko ชาวยูเครนวัย 44 ปี เป็นเวลาสี่ปีในสัปดาห์นี้ ในความผิดฐานสมคบคิดฉ้อโกงทางสายสัญญาณ (conspiracy to commit wire fraud) ตามที่กระทรวงยุติธรรมสหรัฐประกาศ จากบทบาทของเขาในปฏิบัติการแรนซัมแวร์ Conti ซึ่งถูกกล่าวโทษว่าทำให้องค์กรกว่า 1,000 แห่งทั่วโลกติดเชื้อ ตามเอกสารของศาล Lytvynenko ซึ่งเคยพำนักที่เมือง Cork ประเทศไอร์แลนด์ ได้สมคบคิดกับผู้อื่นในการปล่อยแรนซัมแวร์ Conti เพื่อกรรโชกทรัพย์เหยื่อและขโมยข้อมูล ระหว่างปี 2563 ถึง 2565 Conti ถูกใช้โจมตีคอมพิวเตอร์และเครือข่ายใน 47 รัฐของสหรัฐ 31 ประเทศ กรุงวอชิงตัน ดี.ซี. และเปอร์โตริโก

สำนักงานสอบสวนกลาง (FBI) ประเมินว่า ณ เดือนมกราคม 2565 ยอดเงินที่เหยื่อจ่ายให้ Conti มีมูลค่าเกิน 150 ล้านดอลลาร์ ตัวเลขเหล่านี้ทำให้ Conti อยู่คนละระดับกับกลุ่มแรนซัมแวร์ส่วนใหญ่ที่ถูกนำขึ้นศาลสหรัฐ สิ่งที่ทำให้ Lytvynenko โดดเด่นคือเขาดูแลทั้งสองด้านของปฏิบัติการ Conti ทั้งเจาะเข้าเครือข่ายเหยื่อและพัฒนาเครื่องมือสำหรับการโจมตี

รายละเอียดข่าว

เว็บไซต์ Security Affairs รายงานเมื่อวันที่ 13 กันยายน 2569 ว่า นาย Oleksii Lytvynenko เคยมีอาชีพด้านกฎหมายที่ค่อนข้างปกติในยูเครนก่อนจะหันมาเขียนมัลแวร์ กระทรวงยุติธรรมสหรัฐระบุว่าเขาได้รับมอบหมายให้เขียนโค้ด “loader” ซึ่งเป็นมัลแวร์ประเภทที่เปิดทางให้ซอฟต์แวร์อันตรายอื่น ๆ ทำงานได้เมื่อเครื่องถูกเจาะแล้ว หลักฐานที่กู้คืนจากบัญชีออนไลน์ของเขาเองแสดงว่าเขาถือครองข้อมูลที่ขโมยมาจากเหยื่อในสหรัฐแปดรายและเหยื่อในต่างประเทศอีกสี่ราย โดยอัยการเชื่อมโยงการกระทำของเขากับการโจมตีบริษัทอย่างน้อยสิบสองแห่ง ซึ่งแสดงว่าเขามีบทบาทลงมือจริง ไม่ใช่เพียงคนวงนอก

รายละเอียดที่โดดเด่นที่สุดในคดีนี้คือสิ่งที่เกิดขึ้นหลังจาก Conti ปิดตัวลง กลุ่มยุติปฏิบัติการในปี 2565 หลังจากบันทึกแชตภายในและซอร์สโค้ดของกลุ่มรั่วสู่สาธารณะ ตามหลังการที่กลุ่มประกาศสนับสนุนการรุกรานยูเครนของรัสเซียอย่างเปิดเผย การรั่วไหลนั้นเปิดโปงปฏิบัติการทั้งหมดต่อทั้งนักวิจัยและหน่วยงานบังคับใช้กฎหมายพร้อมกัน แต่ Lytvynenko ไม่ได้ถือเอาเหตุการณ์นั้นเป็นสัญญาณให้เปลี่ยนไปประกอบอาชีพอื่น

เมื่อตำรวจไอร์แลนด์เข้าตรวจค้นบ้านของเขาในเคาน์ตี Cork เมื่อเดือนกรกฎาคม 2566 มีรายงานว่าพบแล็ปท็อปของเขายังเปิดอยู่ กำลังรัน Cobalt Strike พร้อมเซสชันแชต Rocket.Chat ที่เชื่อมต่อผ่าน Tor อยู่ ซึ่งเป็นการตั้งค่าที่ไม่ใช่ของคนที่วางมือจากอาชญากรรมไซเบอร์อย่างเงียบ ๆ หลักฐานทางนิติวิทยาศาสตร์จากการจับกุมครั้งนั้นยืนยันว่ากิจกรรมแรนซัมแวร์ของเขายังดำเนินต่อเนื่องหลัง Conti ล่มสลาย เขาถูกส่งตัวข้ามแดนจากไอร์แลนด์มายังสหรัฐเมื่อเดือนตุลาคม 2568 กว่าสองปีหลังการตรวจค้นครั้งนั้น

รายละเอียดคดี

Lytvynenko ยอมรับว่าเข้าร่วมกลุ่มราวเดือนกันยายน 2564 และรับสารภาพผิดในข้อหาสมคบคิดฉ้อโกงทางสายสัญญาณเมื่อวันที่ 10 มิถุนายน ซึ่งเป็นข้อหาที่มีโทษสูงสุดตามกฎหมายถึง 20 ปี ทำให้โทษจำคุกสี่ปีเป็นเพียงเศษเสี้ยวของสิ่งที่เขาอาจได้รับตามกฎหมาย ก่อนหน้านี้ในเดือนกันยายน 2566 มีผู้สมคบคิด Conti อีกสี่รายถูกฟ้องในรัฐเทนเนสซี

นาย Brent Daniels ผู้ช่วยผู้อำนวยการสำนักงานปฏิบัติการภาคสนามของหน่วยสืบราชการลับสหรัฐ (Secret Service) ระบุว่าแรนซัมแวร์ Conti สร้างความเสียหายอย่างมหาศาล พุ่งเป้าเหยื่อในเกือบทุกรัฐและหลายสิบประเทศ และทำให้การดำเนินงานที่สำคัญขององค์กรในหลายอุตสาหกรรมหยุดชะงัก โดยคำพิพากษาครั้งนี้เป็นส่วนหนึ่งของมาตรการปราบปรามแรนซัมแวร์ในวงกว้างของสหรัฐ ก่อนหน้านี้ผู้สร้าง Ransom Cartel เพิ่งได้รับโทษ 16 ปี และผู้เจรจาต่อรองของกลุ่ม Karakurt ได้รับโทษ 8 ปีครึ่ง

ผลกระทบ

คดีนี้สะท้อนว่าหน่วยงานบังคับใช้กฎหมายสหรัฐยังคงไล่ล่าผู้ก่อการแรนซัมแวร์ที่ปฏิบัติการจากต่างประเทศ แม้กลุ่มจะปิดตัวไปแล้วก็ตาม การที่ Lytvynenko ยังคงทำกิจกรรมต่อเนื่องหลัง Conti ล่ม จนถูกจับพร้อมหลักฐานสด ตอกย้ำว่าสมาชิกกลุ่มแรนซัมแวร์จำนวนหนึ่งไม่ได้หยุดเพียงเพราะแบรนด์เดิมถูกเปิดโปง แต่มักย้ายไปทำกิจกรรมในรูปแบบหรือกลุ่มใหม่

อย่างไรก็ตาม โทษจำคุกสี่ปีเทียบกับโทษสูงสุด 20 ปี และเทียบกับความเสียหายระดับ 150 ล้านดอลลาร์ เป็นประเด็นที่สะท้อนความท้าทายในการลงโทษอาชญากรไซเบอร์ข้ามชาติ ที่มักได้รับโทษต่ำกว่าความเสียหายที่ก่อไว้มาก แต่การส่งตัวข้ามแดนและดำเนินคดีได้สำเร็จก็ยังเป็นสัญญาณเตือนถึงสมาชิกกลุ่มแรนซัมแวร์รายอื่นที่ยังลอยนวล

คำแนะนำ

แม้ Conti จะยุติปฏิบัติการไปแล้ว แต่ซอร์สโค้ดและเครื่องมือที่รั่วออกมายังถูกนำไปดัดแปลงใช้โดยกลุ่มอื่น องค์กรจึงควรคงมาตรการป้องกันแรนซัมแวร์พื้นฐานให้เข้มแข็ง ทั้งการสำรองข้อมูลแบบแยกออฟไลน์ การจำกัดสิทธิ์ การแพตช์ระบบที่เข้าถึงจากอินเทอร์เน็ต และการเฝ้าระวังเครื่องมือที่ผู้โจมตีใช้บ่อยอย่าง Cobalt Strike

สำหรับทีมความมั่นคง คดีนี้เป็นเครื่องเตือนว่าตัวบ่งชี้ของกลุ่มแรนซัมแวร์เดิม เช่น loader และโครงสร้าง command-and-control อาจยังปรากฏในการโจมตีของกลุ่มที่สืบทอดต่อมา การติดตามข่าวกรองภัยคุกคามและปรับกฎการตรวจจับให้ทันกับเครื่องมือที่หมุนเวียนในระบบนิเวศแรนซัมแวร์จึงยังจำเป็น

แหล่งอ้างอิง