สรุปสั้น
กลุ่มอาชญากรไซเบอร์ ShinyHunters ดูเหมือนจะเจาะกลุ่มแรนซัมแวร์คู่แข่งอย่าง Clop ได้สำเร็จเมื่อสัปดาห์ที่ผ่านมา และเหตุการณ์นี้อาจก่อความเสี่ยงเพิ่มเติมต่อองค์กรเหยื่อที่ติดอยู่ตรงกลาง โดยในช่วงสุดสัปดาห์ ShinyHunters ได้เปลี่ยนโฉมหน้าเว็บไซต์รั่วข้อมูลบนดาร์กเว็บของ Clop ด้วยข้อความ “DOMAIN SEIZED BY SHINYHUNTERS” พร้อมอ้างว่าเริ่มโจมตีตั้งแต่คืนวันศุกร์ผ่านช่องโหว่อัปโหลดไฟล์แบบไม่ต้องยืนยันตัวตนในระบบ Grav CMS ที่เว็บรั่วข้อมูลของ Clop ใช้งานอยู่
ผู้โจมตีอ้างว่าเข้าถึงเซิร์ฟเวอร์เว็บรั่วข้อมูลของ Clop ได้เต็มรูปแบบ และขโมยซอร์สโค้ด ปลั๊กอิน Grav CMS ล็อกระบบ คีย์ส่วนตัวของบริการ Onion และข้อมูลอื่น ๆ แม้คำกล่าวอ้างเรื่องการขโมยข้อมูลยังไม่ได้รับการยืนยันจากภายนอกก็ตาม ที่น่ากังวลกว่าคือ ShinyHunters ขู่จะเปิดเผยรายชื่อบริษัทที่ถูกกล่าวหาว่าจ่ายค่าไถ่ให้ Clop รวมถึงจำนวนเงินและที่อยู่บิตคอยน์ ทำให้องค์กรที่เคยจ่ายค่าไถ่ไปแล้วอาจต้องเผชิญการกรรโชกรอบใหม่
รายละเอียดข่าว
เว็บไซต์ Dark Reading รายงานเมื่อวันที่ 21 กันยายน 2569 ว่า ShinyHunters ได้เปลี่ยนโฉมหน้าเว็บไซต์รั่วข้อมูลบนดาร์กเว็บของกลุ่มแรนซัมแวร์ Clop และอ้างว่าขโมยข้อมูลเหยื่อไปได้ ซึ่งอาจทำให้องค์กรที่เคยจ่ายค่าไถ่เสี่ยงถูกกรรโชกซ้ำ
ShinyHunters เป็นกลุ่มอาชญากรไซเบอร์ที่มีแรงจูงใจทางการเงิน ขึ้นชื่อเรื่องการขโมยข้อมูลและการกรรโชก โดยตัวตนของกลุ่มมีความไหลลื่นมากขึ้นเรื่อย ๆ นักวิจัยพบความเชื่อมโยงและการร่วมมือกับอาชญากรไซเบอร์ที่เกี่ยวข้องกับกลุ่ม Scattered Spider และ Lapsus$ ขณะที่ Clop เป็นกลุ่มแรนซัมแวร์ฉาวโฉ่ที่รู้จักกันดีจากแคมเปญกรรโชกข้อมูลขนาดใหญ่ โดยเฉพาะการใช้ช่องโหว่ zero-day เช่น แคมเปญปี 2023 ที่ใช้ช่องโหว่ในซอฟต์แวร์รับส่งไฟล์ MOVEit ของบริษัท Progress Software และแคมเปญที่ใช้ช่องโหว่ Fortra GoAnywhere ในปีเดียวกัน
เมื่อวันที่ 19 กันยายน มีข้อความที่อ้างว่าเป็นของ ShinyHunters เรียกร้องเงินบิตคอยน์จำนวนไม่ระบุระดับ 8 หลัก และในวันที่ 20 กันยายน ผู้โจมตีเขียนข้อความบนหน้าเว็บของ Clop ว่า “ฉันต้องการเงินทั้งหมดที่แกทำได้จากแคมเปญ EBS บวกเพิ่มอีก และพร้อมดอกเบี้ย ก่อนที่ฉันจะเริ่มปล่อยข้อมูลเกี่ยวกับบริษัทที่จ่ายเงินให้แก จ่ายเท่าไหร่ และจ่ายไปที่กระเป๋าบิตคอยน์ไหน” การอ้างถึง “EBS” น่าจะหมายถึงแคมเปญกรรโชกของ Clop ที่เล่นงานลูกค้าที่ได้รับผลกระทบจากช่องโหว่ zero-day ร้ายแรงในระบบ Oracle E-Business Suite (CVE-2025-61882) เมื่อปลายปีที่แล้ว
อย่างไรก็ตาม Dark Reading ยืนยันว่า ณ เวลาที่รายงาน เว็บรั่วข้อมูลของ Clop ได้ลบข้อความเปลี่ยนโฉมหน้าออกไปแล้ว และแสดงข้อความธรรมดาที่อาจมาจาก Clop เอง โดยอ้างว่าที่อยู่อีเมลของ ShinyHunters ใช้งานไม่ได้ ทั้งนี้การทะเลาะเบาะแว้งและโจมตีกันเองระหว่างกลุ่มอาชญากรไซเบอร์ไม่ใช่เรื่องแปลก โดยต้นปีนี้เคยมีกลุ่มแรนซัมแวร์หน้าใหม่ 2 กลุ่มแฮ็กและปล่อยข้อมูลภายในของกันและกันมาแล้ว
วิธีการโจมตี
ShinyHunters อ้างว่าการโจมตีเริ่มขึ้นในคืนวันศุกร์ โดยใช้ช่องโหว่อัปโหลดไฟล์แบบไม่ต้องยืนยันตัวตน (unauthenticated file upload) ในระบบจัดการเนื้อหา Grav CMS ที่เว็บรั่วข้อมูลของ Clop ใช้งานอยู่ ตามที่ BleepingComputer รายงานเป็นรายแรก จากนั้นผู้โจมตีอ้างว่าเข้าถึงเซิร์ฟเวอร์เว็บรั่วข้อมูลได้เต็มรูปแบบ และขโมยซอร์สโค้ด ปลั๊กอิน Grav CMS ล็อกระบบ คีย์ส่วนตัวของบริการ Onion และข้อมูลอื่น ๆ ออกไป แม้ข้ออ้างเรื่องการขโมยข้อมูลเหล่านี้จะยังไม่ได้รับการยืนยันโดยอิสระ
ผู้โจมตียังคงทิ้งข้อความบนเว็บของ Clop อย่างต่อเนื่องเพื่อเยาะเย้ยและพยายามกรรโชก โดยข้อความล่าสุดระบุว่า “ทุก 24 ชั่วโมงที่แกไม่ยอมติดต่อกับเรา ข้อเรียกร้องจะเพิ่มขึ้น ตอนนี้รวมถึงการต้องออกคำขอโทษต่อสาธารณะโดยตรงต่อฉันด้วย”
ผลกระทบ
ในด้านหนึ่ง การที่กลุ่มอาชญากรไซเบอร์หันมาห้ำหั่นกันเองอาจดูเป็นเรื่องดี เพราะขณะที่พวกเขาไล่ล่ากันเอง ก็น่าจะมีเวลาโจมตีธุรกิจที่ถูกต้องตามกฎหมายน้อยลง ตามที่นาย Pieter Arntz จาก Malwarebytes ตั้งข้อสังเกตไว้ แต่ในอีกด้านหนึ่ง ยังไม่ทราบว่า ShinyHunters ได้ข้อมูลเกี่ยวกับเหยื่อของ Clop ไปจริงหรือไม่ และกลุ่มก็ยังไม่ได้แสดงหลักฐานว่าครอบครองข้อมูลดังกล่าว หาก ShinyHunters ได้ข้อมูลที่เชื่อมโยงกับเหยื่อของ Clop เพิ่มเติมจริง องค์กรเหล่านั้นอาจต้องเผชิญการเปิดเผยข้อมูลหรือแม้กระทั่งการกรรโชกรอบใหม่
นาย Jon Baker จาก AttackIQ ชี้ว่ายังไม่มีหลักฐานว่า ShinyHunters ได้ไฟล์เหยื่อของ Clop ไปจริง แต่ประเด็นที่ใหญ่กว่าคือ “ข้อมูลที่ถูกขโมยไม่มีวันเกษียณ” มันจะอยู่บนเซิร์ฟเวอร์ของกลุ่มต้นทาง พันธมิตร และผู้ให้บริการโครงสร้างพื้นฐานของพวกเขา และทุกสำเนาคือโอกาสของการถูกขโมย ขายต่อ หรือเปิดเผยซ้ำ สอดคล้องกับนาย Darren Guccione จาก Keeper Security ที่ย้ำว่า “คุณพึ่งพาให้อาชญากรทำตามข้อตกลงไม่ได้” การจ่ายเงินเพื่อให้ลบข้อมูลตั้งอยู่บนสมมติฐานว่าอาชญากรจะทำลายข้อมูลจริง ทั้งที่ไม่มีกลไกตรวจสอบ ไม่มีร่องรอยการตรวจสอบ และไม่มีทางเรียกร้องหากผิดสัญญา เหตุการณ์นี้จึงสะท้อนความเสี่ยงที่เริ่มต้นตั้งแต่วินาทีที่ข้อมูลถูกขโมยออกไป
คำแนะนำ
องค์กรควรตระหนักว่าการจ่ายค่าไถ่ไม่ได้รับประกันว่าข้อมูลจะถูกทำลาย และข้อมูลที่หลุดออกไปแล้วอาจถูกนำมาใช้กรรโชกซ้ำได้ทุกเมื่อ แม้กระทั่งจากกลุ่มอื่นที่มาแฮ็กกลุ่มเดิม ควรมุ่งเน้นการป้องกันการถูกขโมยข้อมูลตั้งแต่ต้นทางด้วยการทำ segmentation จำกัดสิทธิ์เข้าถึงข้อมูลสำคัญ เข้ารหัสข้อมูลที่จัดเก็บ และเฝ้าระวังการรั่วไหลของข้อมูลออกนอกองค์กร (data exfiltration) สำหรับองค์กรที่เคยตกเป็นเหยื่อแคมเปญ Oracle EBS ควรเตรียมแผนรับมือกรณีข้อมูลถูกนำมาเปิดเผยหรือกรรโชกซ้ำ รวมถึงประเมินความเสี่ยงทางกฎหมายและการแจ้งเตือนผู้ที่ได้รับผลกระทบ