สรุปสั้น

หน่วยงานดิจิทัลของญี่ปุ่น (Digital Agency) เปิดเผยว่าผู้โจมตีใช้ช่องโหว่ในอุปกรณ์ VPN เข้าถึงระบบ Government Solution Service (GSS) ซึ่งอาจทำให้ข้อมูลส่วนบุคคลของเจ้าหน้าที่รัฐ ข้าราชการ และผู้รับเหมาราว 246,000 รายรั่วไหลออกไป ระบบ GSS เป็นโครงสร้างไอทีที่ใช้ร่วมกันเชื่อมต่อ 23 กระทรวงและหน่วยงานของญี่ปุ่น การเจาะแพลตฟอร์มนี้จึงอาจส่งผลต่อหน่วยงานรัฐหลายแห่งพร้อมกัน หน่วยงานตรวจพบกิจกรรมผิดปกติเมื่อวันที่ 25 มิถุนายน 2569 และยืนยันว่าเป็นการเจาะผ่านช่องโหว่ VPN เมื่อวันที่ 9 กรกฎาคม ทำให้การเปิดเผยต่อสาธารณะเกิดขึ้นหลังตรวจพบครั้งแรกถึง 78 วัน และหลังระบุวิธีการเจาะได้แล้ว 63 วัน

จุดสำคัญที่สุดของเหตุการณ์นี้คือช่องโหว่ที่ถูกใช้ไม่ใช่ zero-day หากแต่เป็นช่องโหว่ระดับความรุนแรงปานกลางที่มีแพตช์ออกมาแล้วในขณะที่ถูกโจมตี แต่หน่วยงานยังไม่เปิดเผยยี่ห้อผลิตภัณฑ์ VPN หรือรายละเอียดของช่องโหว่ ข้อมูลที่อาจถูกเปิดเผยประกอบด้วยชื่อ อีเมล และเบอร์โทรศัพท์ แต่ไม่รวมหมายเลข My Number หมายเลขบัญชีสถาบันการเงิน หรือหมายเลขบำนาญ และยังไม่มีรายงานการนำข้อมูลไปใช้ในทางที่ผิดที่ได้รับการยืนยัน

รายละเอียดข่าว

เว็บไซต์ Security Affairs รายงานเมื่อวันที่ 15 กันยายน 2569 ว่าหน่วยงานดิจิทัลของญี่ปุ่นเปิดเผยว่ามีการเข้าถึงจากภายนอกโดยไม่ได้รับอนุญาต ทำให้ไฟล์บางส่วนที่มีข้อมูลส่วนบุคคลซึ่งจัดการอยู่บนระบบ GSS อาจรั่วไหลไปยังบุคคลภายนอก โดยข้อมูลที่อาจรั่วเป็นของเจ้าหน้าที่จากกระทรวงและหน่วยงานต่าง ๆ ที่ใช้ระบบ GSS และผู้ที่เกี่ยวข้องกับงานของหน่วยงานเหล่านั้น ไม่รวมข้อมูลส่วนบุคคลของประชาชนทั่วไป ระบบ GSS เชื่อมต่อ 23 กระทรวงและหน่วยงานของญี่ปุ่นผ่านโครงสร้างไอทีที่ใช้ร่วมกัน การเจาะแพลตฟอร์มลักษณะนี้จึงอาจกระทบหน่วยงานรัฐหลายแห่งได้ในคราวเดียว

เส้นทางการโจมตีค่อนข้างตรงไปตรงมา ผู้โจมตีจากภายนอกใช้ช่องโหว่ในอุปกรณ์ VPN ที่ให้บริการเครือข่าย GSS เข้าถึงระบบด้วยบัญชีของเจ้าหน้าที่ฝ่ายบำรุงรักษาและปฏิบัติการ แล้วเปิดดูไฟล์จำนวนมากบนเซิร์ฟเวอร์ หน่วยงานตรวจพบกิจกรรมผิดปกติเมื่อวันที่ 25 มิถุนายน 2569 และเริ่มการสอบสวน ต่อมาในวันที่ 9 กรกฎาคมจึงพบว่าบุคคลภายนอกได้ใช้ช่องโหว่ในอุปกรณ์เชื่อมต่อเครือข่าย (VPN) แทรกซึมเข้าสู่ระบบ ในวันเดียวกันนั้นหน่วยงานได้ระงับบัญชีของเจ้าหน้าที่ฝ่ายบำรุงรักษาและตัดการสื่อสารระหว่างอุปกรณ์ที่ถูกเจาะกับภายนอกเพื่อป้องกันการเข้าถึงเพิ่มเติม และการสอบสวนร่วมกับบริษัทผู้เชี่ยวชาญด้านความปลอดภัยภายนอกยืนยันในภายหลังว่ามีความเป็นไปได้ที่ไฟล์ที่มีข้อมูลส่วนบุคคลจะถูกดึงออกไป

Attackers exploited a patchable VPN flaw to breach Japan's Digital Agency GSS platform exposing 246,000 records

วิธีการโจมตี

ข้อมูลที่อาจถูกเปิดเผยแบ่งเป็นชื่อประมาณ 236,000 รายการ อีเมลราว 231,000 รายการ เบอร์โทรศัพท์ราว 94,000 รายการ และที่อยู่ทางกายภาพประมาณ 1,000 รายการ จากทั้งหมด 246,000 รายการ ราว 189,000 รายการเป็นของเจ้าหน้าที่ในหน่วยงานที่ใช้ GSS และข้าราชการที่เกี่ยวข้องกับงานของหน่วยงานเหล่านั้น รวมถึงเจ้าหน้าที่ในหน่วยงานบริหารอิสระ ส่วนอีก 57,000 รายการเกี่ยวข้องกับธุรกิจและบุคคลที่รับจ้างสนับสนุนหน่วยงานดังกล่าว ข้อมูลชุดนี้ไม่รวมหมายเลข My Number หมายเลขบัญชีสถาบันการเงิน หรือหมายเลขบำนาญ

หน่วยงานระบุว่าช่องโหว่ VPN ที่ถูกใช้มีระดับความรุนแรงปานกลางและไม่ใช่ zero-day โดยมีแพตช์ออกมาแล้วในขณะที่ผู้โจมตีนำมาใช้ แต่หน่วยงานยังไม่เปิดเผยว่าเป็นผลิตภัณฑ์ VPN ยี่ห้อใดหรือช่องโหว่ตัวใด หน่วยงานกำกับดูแลด้านความเป็นส่วนตัวของญี่ปุ่นได้รับแจ้งเมื่อวันที่ 15 กรกฎาคม ซึ่งเป็นเวลาหกวันหลังยืนยันการโจมตี โดยหน่วยงานระบุว่าความล่าช้ามาจากความยากในการสืบสาวการโจมตี การประเมินข้อมูลที่ได้รับผลกระทบ และการระบุตัวผู้เกี่ยวข้อง เหตุการณ์นี้ยังสะท้อนความเสี่ยงของการปล่อยช่องโหว่ที่รู้จักและแพตช์ได้ทิ้งไว้บนโครงสร้างพื้นฐานที่ใช้ร่วมกันโดย 23 กระทรวง

ผลกระทบ

แม้ยังไม่มีรายงานการนำข้อมูลที่รั่วไปใช้ในทางที่ผิดที่ได้รับการยืนยัน แต่ชื่อ อีเมล และเบอร์โทรศัพท์ที่หลุดออกไปอาจถูกนำไปใช้ทำฟิชชิงและวิศวกรรมสังคมแบบเจาะจงเป้าหมาย รวมถึงการหลอกลวงโดยแอบอ้างเป็นหน่วยงานดิจิทัลของญี่ปุ่น ซึ่งหน่วยงานยืนยันว่าจะติดต่อผู้ได้รับผลกระทบโดยตรง และจะไม่มีวันขอรหัสผ่านหรือการชำระเงินผ่านอีเมลหรือโทรศัพท์ เหตุการณ์นี้เป็นหนึ่งในชุดเหตุการณ์ด้านความปลอดภัยที่กระทบสถาบันของญี่ปุ่นอย่างต่อเนื่อง โดยก่อนหน้านี้ NISC ซึ่งเป็นศูนย์ความพร้อมและยุทธศาสตร์รับมือเหตุไซเบอร์แห่งชาติของญี่ปุ่นเปิดเผยการถูกเจาะระบบอีเมลในปี 2566 และองค์การสำรวจอวกาศญี่ปุ่น (JAXA) รายงานการถูกเข้าถึงระบบโดยไม่ได้รับอนุญาตในปี 2567 รูปแบบนี้ชี้ให้เห็นถึงความท้าทายเชิงระบบในการจัดการแพตช์และการควบคุมการเข้าถึงในโครงสร้างพื้นฐานภาครัฐของญี่ปุ่น มากกว่าจะเป็นความล้มเหลวที่เกิดขึ้นอย่างโดดเดี่ยว

คำแนะนำ

บทเรียนสำคัญคือช่องโหว่ที่รู้จักและมีแพตช์แล้วบนโครงสร้างพื้นฐานที่ใช้ร่วมกันหลายหน่วยงานต้องได้รับการแก้ไขโดยเร็ว องค์กรที่ดูแลระบบลักษณะเดียวกันควรเร่งอัปเดตอุปกรณ์ VPN และอุปกรณ์ปลายทางที่เปิดสู่ภายนอกให้ทันเวลา จำกัดสิทธิ์และเฝ้าระวังบัญชีของฝ่ายบำรุงรักษาและปฏิบัติการซึ่งมักมีสิทธิ์เข้าถึงกว้างและเป็นเป้าหมายที่มีมูลค่าสูง รวมถึงแบ่งแยกส่วน (segmentation) ของแพลตฟอร์มที่ใช้ร่วมกันเพื่อลดโอกาสที่การเจาะจุดเดียวจะลามไปทั้งระบบ นอกจากนี้ผู้ใช้และเจ้าหน้าที่ที่อาจได้รับผลกระทบควรระวังอีเมลหรือการติดต่อที่แอบอ้างเป็นหน่วยงานรัฐ และไม่เปิดเผยรหัสผ่านหรือชำระเงินตามคำขอที่มาทางอีเมลหรือโทรศัพท์

แหล่งอ้างอิง