สรุปสั้น

แฮ็กเกอร์ต่างชาติเล็งเป้าระบบเทคโนโลยีปฏิบัติการ (OT) ของการประปาเอกชนขนาดเล็ก 2 แห่งในรัฐโคโลราโด สหรัฐอเมริกา เมื่อช่วงปลายเดือนสิงหาคมที่ผ่านมา โดยมีเจตนาก่อกวนการทำงาน ผู้โจมตีเข้าไปเปลี่ยนค่าตั้งของอุปกรณ์ ปิดการเข้าถึงระยะไกลและสัญญาณเตือน รวมถึงปรับเปลี่ยนรอบการสูบน้ำ ทั้งสองเหตุการณ์เกิดขึ้นในช่วงสั้น ๆ และไม่ส่งผลกระทบต่อบริการน้ำหรือความปลอดภัยของประชาชน โดยการประปาทั้งสองแห่งให้บริการประชากรไม่ถึง 200 คน และมีรายละเอียดทางเทคนิคเปิดเผยออกมาน้อยมาก

ผู้ว่าการรัฐโคโลราโดระบุว่าการโจมตีดำเนินการโดย “ผู้กระทำจากต่างชาติ” แม้ทางการจะยังไม่สามารถยืนยันตัวตนของผู้อยู่เบื้องหลังได้ แต่โฆษกของผู้ว่าการรัฐชี้ว่ามีความตระหนักถึงความพยายามอย่างต่อเนื่องทั่วประเทศของกลุ่มที่ได้รับการหนุนหลังจากอิหร่านในการเข้าถึงระบบน้ำดื่มและน้ำเสีย ตามข้อมูลของ CISA เหตุการณ์นี้เพิ่มโคโลราโดเข้าไปในชุดการเจาะระบบโครงสร้างพื้นฐานด้านน้ำของสหรัฐฯ ที่ขยายวงกว้างขึ้นเรื่อย ๆ ต่อเนื่องจากคลื่นการโจมตีระบบ PLC ที่เปิดสู่อินเทอร์เน็ตเมื่อเดือนกรกฎาคมที่ผ่านมา

รายละเอียดข่าว

เว็บไซต์ Security Affairs รายงานเมื่อวันที่ 21 กันยายน 2569 ว่า แฮ็กเกอร์ต่างชาติได้เล็งเป้าโจมตีระบบ OT ของการประปาเอกชนขนาดเล็ก 2 แห่งในรัฐโคโลราโด โดยหน่วยงานท้องถิ่นยังไม่เปิดเผยว่าการประปาแห่งใดได้รับผลกระทบและใครเป็นผู้โจมตี

นาง Ally Sullivan โฆษกของผู้ว่าการรัฐ นาย Jared Polis ระบุในแถลงการณ์ว่า “เหตุการณ์ทั้งสองนี้ประกอบด้วยการที่บุคคลเข้าไปเปลี่ยนค่าตั้งของอุปกรณ์ ปิดการเข้าถึงระยะไกลและสัญญาณเตือน และปรับเปลี่ยนรอบการสูบน้ำ นี่เป็นเหตุการณ์ระยะสั้น และผู้ให้บริการได้จัดการความเสี่ยงอย่างรวดเร็วด้วยตนเอง ก่อนแจ้งต่อทางรัฐในภายหลัง” พร้อมย้ำว่าการบุกรุกไม่กระทบคุณภาพน้ำดื่มหรือกระบวนการบำบัดน้ำ

แม้จะมีการพาดพิงถึงการโจมตีที่เชื่อมโยงกับอิหร่าน แต่ก็ยังไม่มีการยืนยันว่าการประปาทั้งสองแห่งในโคโลราโดเป็นส่วนหนึ่งของแคมเปญเดียวกับที่โจมตีโรงงานน้ำในอย่างน้อย 12 รัฐของสหรัฐฯ เมื่อเดือนกรกฎาคม เจ้าหน้าที่รัฐบาลกลางยังไม่ได้เผยแพร่รายชื่อการประปาที่ได้รับผลกระทบทั้งหมด แต่เป้าหมายที่ได้รับการยืนยันแล้วรวมถึงโรงงานในรัฐมินนิโซตา มิชิแกน แอละแบมา จอร์เจีย นิวเจอร์ซีย์ เซาท์ดาโคตา และวิสคอนซิน โดยหลักฐานที่มีอยู่ในปัจจุบันยังไม่สามารถเชื่อมโยงการโจมตีเหล่านั้นเข้ากับเหตุการณ์ในโคโลราโดได้โดยตรง

การโจมตีระลอกล่าสุดนี้กระตุ้นความกังวลเรื่องจุดอ่อนด้านความมั่นคงปลอดภัยไซเบอร์ในโครงสร้างพื้นฐานด้านน้ำของสหรัฐฯ อีกครั้ง โดยเฉพาะการประปาขนาดเล็กและในชนบทที่มักมีบุคลากรและทรัพยากรด้านความปลอดภัยจำกัด

วิธีการโจมตี

รูปแบบเบื้องหลังการโจมตีเมื่อเดือนกรกฎาคมนั้นเรียบง่ายอย่างน่าประหลาดใจ ระบบส่วนใหญ่ที่ได้รับผลกระทบคือ Programmable Logic Controller (PLC) ซึ่งเป็นคอมพิวเตอร์อุตสาหกรรมขนาดเล็กที่ควบคุมปั๊มและวาล์ว โดยหลายเครื่องเชื่อมต่อตรงเข้ากับเซลลูลาร์โมเด็ม และไม่มีไฟร์วอลล์หรือเกตเวย์คั่นระหว่างตัวมันกับอินเทอร์เน็ต CISA เตือนว่าการตั้งค่าลักษณะนี้อาจทำให้ PLC เผชิญความเสี่ยงด้านความปลอดภัยอย่างร้ายแรง

แฮ็กเกอร์เข้าถึง PLC ที่เปิดสู่อินเทอร์เน็ตจากระยะไกล เปลี่ยนที่อยู่ IP และรหัสผ่านของอุปกรณ์ และในบางกรณีปิดกระบวนการหยุดทำงานฉุกเฉินและสัญญาณเตือน สร้างสิ่งที่ CISA เรียกว่า “สภาวะที่ไม่ปลอดภัย” โดยไม่มีการแจ้งเตือนผู้ปฏิบัติงานที่ดูแลอุปกรณ์จริง สำหรับเหตุการณ์ในโคโลราโด ผู้โจมตีเปลี่ยนค่าตั้งอุปกรณ์ ปิดการเข้าถึงระยะไกลและสัญญาณเตือน และปรับเปลี่ยนรอบการสูบน้ำในลักษณะเดียวกัน

ในเดือนกรกฎาคม 2569 มีระบบในภาคน้ำและน้ำเสียของสหรัฐฯ ที่เปิดสู่อินเทอร์เน็ตกว่า 100 ระบบถูกโจมตี ทำให้ CISA เผยแพร่คู่มือ “การลดการเปิดเผยสู่อินเทอร์เน็ต” (exposure reduction) เมื่อวันที่ 21 สิงหาคม 2569 ซึ่งอธิบายวิธีที่องค์กรจะค้นหาจุดอ่อนที่หันหน้าสู่อินเทอร์เน็ตของตนเองก่อนที่ผู้โจมตีจะพบ

ผลกระทบ

เหตุการณ์นี้สะท้อนช่องโหว่เชิงโครงสร้างของการประปาขนาดเล็กและในพื้นที่ชนบทที่มักขาดบุคลากรและงบประมาณด้านความปลอดภัย ทำให้อุปกรณ์ควบคุมอุตสาหกรรมถูกเปิดสู่อินเทอร์เน็ตโดยไม่มีการป้องกันที่เพียงพอ และตกเป็นเป้าง่ายของผู้โจมตีระดับรัฐที่ต้องการก่อกวนโครงสร้างพื้นฐานสำคัญ แม้ครั้งนี้จะไม่กระทบบริการหรือความปลอดภัยของประชาชน แต่ก็แสดงให้เห็นว่าการเข้าควบคุมระบบ OT จากระยะไกลทำได้ง่ายเพียงใดเมื่ออุปกรณ์เชื่อมต่ออินเทอร์เน็ตโดยตรง

นับตั้งแต่ปีงบประมาณ 2025 หน่วยงาน EPA ของสหรัฐฯ ระบุช่องโหว่กว่า 900 รายการในระบบน้ำกว่า 650 ระบบ และช่วยแก้ไขไปแล้วราว 700 รายการในการประปากว่า 500 แห่ง อีกทั้งยังดำเนินการประเมินความเสี่ยงด้านไซเบอร์กว่า 710 ครั้ง และให้การสนับสนุนทางเทคนิคแก่การประปาราว 15,900 แห่ง

คำแนะนำ

CISA ย้ำว่าการลดการเปิดเผยสู่อินเทอร์เน็ตไม่ได้หมายถึงการปิดการเข้าถึงระยะไกลที่จำเป็น แต่องค์กรควรถอดการเข้าถึงระยะไกลเมื่อไม่จำเป็น และรักษาความปลอดภัยของช่องทางนั้นเมื่อจำเป็นต้องใช้ ผู้ดูแลระบบน้ำและ OT ควรหลีกเลี่ยงการเชื่อมต่อ PLC ตรงเข้ากับอินเทอร์เน็ตผ่านเซลลูลาร์โมเด็ม ควรมีไฟร์วอลล์หรือเกตเวย์คั่น ตรวจสอบว่าไม่มีอุปกรณ์ควบคุมที่หันหน้าสู่อินเทอร์เน็ตโดยไม่จำเป็น เปลี่ยนรหัสผ่านเริ่มต้นและบังคับใช้การยืนยันตัวตนที่แข็งแรง พร้อมทั้งเฝ้าระวังการเปลี่ยนค่าตั้งอุปกรณ์และการปิดสัญญาณเตือนที่ผิดปกติ ตามแนวทางคู่มือ exposure reduction ของ CISA

แหล่งอ้างอิง