สรุปสั้น
กลุ่มขู่กรรโชกทางไซเบอร์ที่รู้จักกันในชื่อ ShinyHunters ออกมาอ้างเมื่อวันอังคารว่าตนได้เจาะเข้าสำนักงานสอบสวนกลางสหรัฐ (FBI) และขโมยข้อมูลของพนักงานทั้งอดีตและปัจจุบัน รวมถึงบุคคลที่เคยยื่นใบสมัครงานกับหน่วยงาน กลุ่มระบุผ่านเว็บไซต์บนดาร์กเว็บว่า “เราได้เจาะ FBI เราถือข้อมูลอ่อนไหวอย่างยิ่งของเจ้าหน้าที่ FBI แทบทุกคนและผู้ที่ยื่นใบสมัครงาน” โดยอ้างว่าบริการภายในที่ถูกเจาะได้แก่ Criminal Justice, HR, Medlink และอื่น ๆ ทาง FBI ยืนยันว่ากำลังสอบสวนข้อกล่าวอ้างเรื่องกิจกรรมที่กระทบ FBIjobs.gov แต่ยังไม่สามารถระบุได้ว่าจุดที่ถูกเจาะเป็นระบบของ FBI เองหรือของผู้ให้บริการภายนอก กลุ่มยังอ้างว่าการโจมตีนี้ไม่ได้มีแรงจูงใจทางการเงิน แต่ทำเพื่อ “แก้ข้อเท็จจริงให้ตรง” หลังจาก FBI เคยออกประกาศเตือนภัยเกี่ยวกับกลุ่มเมื่อเดือนพฤษภาคม
อัปเดต 6 ตุลาคม 2569: FBI ระบุผลการสอบสวนเบื้องต้นว่าเหตุเกิดจากแพลตฟอร์มที่บุคคลที่สามดูแล หลังผู้รับเหมาไม่ติดตั้งแพตช์ความปลอดภัยที่ออกมาเพื่อป้องกันแพลตฟอร์มนั้นโดยเฉพาะ และได้ถอดผู้รับเหมาออกแล้ว สำนักข่าว Reuters รายงานว่าผู้รับเหมารายนี้เป็นของบริษัท Accenture และแพลตฟอร์มดังกล่าวคือ Oracle PeopleSoft ขณะที่บริษัท Mandiant ประเมินว่า ShinyHunters ใช้เทคนิค URL-encoding หลบกฎ WAF ที่ใช้บล็อก endpoint ที่มีช่องโหว่ CVE-2026-35273 ไม่ใช่ zero-day ตัวใหม่ตามที่กลุ่มอ้าง
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 23 กันยายน พ.ศ. 2569 ว่า กลุ่ม ShinyHunters ออกมาอ้างว่าเจาะเข้า FBI และขโมยข้อมูลของเจ้าหน้าที่และผู้สมัครงาน โดยข่าวนี้ถูกรายงานเป็นครั้งแรกโดยสำนักข่าว 404 Media
ShinyHunters ระบุว่าเลือกโจมตี FBI เพื่อตอบโต้ประกาศบริการสาธารณะ (PSA) เมื่อเดือนพฤษภาคม 2569 ที่ให้รายละเอียดการที่กลุ่มมุ่งเป้าโจมตีระบบจัดการการเรียนรู้ออนไลน์ (LMS) ชื่อ Canvas และกระตุ้นให้เหยื่อไม่จ่ายค่าไถ่ ในประกาศโต้กลับของตนเอง กลุ่มเรียกข้อกล่าวหาเหล่านั้นว่าเป็น “ข้อกล่าวหาเท็จที่มีนัยสำคัญ” และกล่าวว่า “รู้สึกผิดหวังอย่างยิ่งที่หน่วยงานระดับคุณเลือกใช้วิธีเผยแพร่ข้อมูลบิดเบือนเพื่อพยายามขัดขวางปฏิบัติการของเรา ซึ่งท้ายที่สุดก็ไม่สำเร็จ”
โฆษกของ ShinyHunters บอกกับ The Register ว่า กลุ่มใช้ช่องโหว่ zero-day ตัวใหม่ใน Oracle PeopleSoft เพื่อรันโค้ดจากระยะไกลและเปลี่ยนหน้าเว็บไซต์รับสมัครงานของ FBI ให้แสดงแบนเนอร์ข้อความว่า “เว็บไซต์นี้ถูกยึดโดย ShinyHunters” ปัจจุบันหน้าเว็บดังกล่าวแสดงข้อความว่า “อยู่ระหว่างการบำรุงรักษาตามกำหนด” ทั้งนี้ยังไม่มีรายละเอียดของช่องโหว่ zero-day ที่รันโค้ดก่อนยืนยันตัวตนใน PeopleSoft ตัวนี้ อย่างไรก็ตาม ShinyHunters เคยนำช่องโหว่ลักษณะคล้ายกัน (CVE-2026-35273) มาใช้เจาะเครือข่ายองค์กรและขู่กรรโชกเหยื่อเมื่อเดือนมิถุนายน 2569
ในถ้อยแถลงที่ให้กับสำนักข่าว Reuters ทาง FBI ระบุว่า “รับทราบข้อกล่าวอ้างเกี่ยวกับกิจกรรมที่ไม่ได้รับอนุญาตซึ่งกระทบ FBIjobs.gov และกำลังสอบสวนอยู่”
รายละเอียดเหตุการณ์
การเปิดเผยครั้งนี้เกิดขึ้นหลังจากกลุ่มเพิ่งเข้าไปยึดเว็บไซต์แฉข้อมูลบนดาร์กเว็บของกลุ่มแรนซัมแวร์ Clop โดยในโพสต์ที่แชร์บน X ทาง FBI ระบุว่า “รับทราบว่ามีกลุ่มองค์กรอาชญากรรมไซเบอร์อ้างว่าเจาะพอร์ทัล FBIJobs.gov และอ้างว่ากระทบข้อมูลส่วนบุคคลที่ระบุตัวตนได้ (PII) ของพนักงาน FBI” พร้อมเสริมว่า “แม้จุดที่ถูกเจาะจะยังไม่ชัดเจนว่าเป็นผู้ให้บริการภายนอกหรือระบบภายในของ FBI เอง แต่เรากำลังสอบสวนเรื่องนี้อย่างจริงจังและทำงานร่วมกับผู้ให้บริการภายนอกที่สนับสนุน FBIJobs.gov เพื่อลดความเสี่ยงทั้งหมด”
ในถ้อยแถลงที่ให้กับ The Hacker News โฆษกของ ShinyHunters ระบุว่าข้อมูลที่ขโมยมามีขนาดราว 2 TB และมีข้อมูลจากหลายบริการของ FBI โดยกล่าวว่า “เมื่อการตรวจสอบของเราคืบหน้า เราสามารถยืนยันการรั่วไหลของข้อมูลที่เกี่ยวข้องกับ FBI PEGA, Medlink, FBIJOBS, HR, CJ, PHIRE และเชื่อว่ายังมีบริการภายในอื่น ๆ ของ FBI ที่ได้รับผลกระทบอีก” กลุ่มยังเน้นว่าการเจาะครั้งนี้ไม่ได้มีแรงจูงใจทางการเงินและต้องการ “แก้ข้อเท็จจริงให้ตรง”
นาย Etay Maor รองประธานฝ่ายข่าวกรองภัยคุกคามของบริษัท Cato Networks ให้ความเห็นว่า การที่ ShinyHunters อ้างว่าเจาะ FBI ได้ถือเป็นการเคลื่อนไหวที่ยั่วยุอย่างผิดปกติในการช่วงชิงระหว่างฝ่ายบังคับใช้กฎหมายกับกลุ่มอาชญากรรมไซเบอร์ และควรถูกพิจารณาอย่างจริงจัง เขายังชี้ว่าแม้เคยมีรัฐชาติหรือกลุ่มที่เชื่อมโยงกับรัฐเจาะองค์กรบังคับใช้กฎหมายมาก่อน เช่นกรณีการเจาะ OPM เมื่อปี 2558 แต่การที่แบรนด์อาชญากรรมไซเบอร์ออกมาอ้างต่อสาธารณะว่าเจาะ FBI นั้นแตกต่างออกไป นาย Maor ตั้งข้อสังเกตว่าโพสต์ของกลุ่มมีการประทับเวลาวันที่ 23 กันยายน ขณะที่ข่าวปรากฏวันที่ 22 กันยายนในสหรัฐ หากการประทับเวลานี้สะท้อนสภาพแวดล้อมการทำงานจริงของกลุ่ม ก็อาจชี้ไปที่กิจกรรมในภูมิภาคเอเชีย แม้จะยังไม่ใช่การระบุที่มาแบบชี้ชัดก็ตาม
ผลการสอบสวนของ FBI และการตอบสนอง
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 6 ตุลาคม 2569 อ้างสำนักข่าว Reuters ซึ่งอ้างแหล่งข่าวสองรายที่รู้เรื่องนี้ว่า FBI ได้ถอดผู้รับเหมาของบริษัท Accenture ออก จากบทบาทที่เกี่ยวข้องกับเหตุ ShinyHunters ขโมยข้อมูลส่วนตัวของบุคลากร FBI หลายพันราย นาย Brett Leatherman ผู้ช่วยผู้อำนวยการฝ่ายไซเบอร์ของ FBI ให้สัมภาษณ์กับ Reuters ว่า “จากการตรวจสอบจนถึงขณะนี้ เราพบว่าเหตุการณ์เกิดจากความล้มเหลวด้านความปลอดภัยของแพลตฟอร์มที่องค์กรบุคคลที่สามเป็นผู้ดูแล หลังผู้รับเหมาไม่ได้ติดตั้งแพตช์ความปลอดภัยที่ออกมาเพื่อป้องกันแพลตฟอร์มนั้นโดยเฉพาะ” และ “FBI จึงได้ถอดผู้รับเหมาออก และดำเนินการที่จำเป็นทั้งหมดเพื่อลดความเสี่ยงเพิ่มเติมและปกป้องบุคลากรของเรา”
FBI ไม่ได้เปิดเผยชื่อแพลตฟอร์มของบุคคลที่สาม แต่ Reuters รายงานว่าคือ Oracle PeopleSoft ซึ่งตรงกับที่ ShinyHunters อ้างว่าใช้เจาะพอร์ทัลรับสมัครงานของ FBI เมื่อเดือนกันยายน ส่วนรายงานของบริษัท Mandiant ในเครือ Google ประเมินว่ากลุ่มใช้วิธีเลี่ยงการบรรเทาช่องโหว่ CVE-2026-35273 ด้วยเทคนิค URL-encoding เพื่อหลบกฎ web application firewall (WAF) ที่ออกแบบมาบล็อก endpoint Environment Management Hub (PSEMHUB) ที่มีช่องโหว่ ข้อมูลนี้จึงขัดกับคำอ้างช่วงแรกของกลุ่มที่ว่าใช้ zero-day ตัวใหม่ และสอดคล้องกับคำชี้แจงของ FBI ว่าแพตช์มีอยู่แล้วแต่ไม่ได้ถูกติดตั้ง บริษัท Accenture ให้ถ้อยแถลงกับ Reuters เพียงว่า “ภูมิใจที่ได้สนับสนุนภารกิจของ FBI และจะสนับสนุนต่อไป” โดยไม่ได้ตอบประเด็นแพตช์โดยตรง
ความคืบหน้านี้เกิดขึ้นขณะที่การสอบสวนของ FBI นำไปสู่การจับกุมผู้เกี่ยวข้องกับ ShinyHunters แล้วสองราย ได้แก่ ชายวัย 24 ปีที่ตำรวจเนเธอร์แลนด์จับกุม (โพสต์ 2026/09/234 ) และ Rey ที่ถูกควบคุมตัวในจอร์แดน (โพสต์ 2026/10/016 ) โดย FBI ระบุว่ากำลังทำงานร่วมกับพันธมิตรเพื่อติดตามเบาะแสเพิ่มเติม และเตือนว่าน่าจะมีการจับกุมเพิ่มอีก บทเรียนสำคัญจากผลสอบสวนรอบนี้คือ จุดที่ถูกเจาะไม่ใช่ระบบภายในของ FBI แต่เป็นระบบ ERP ที่ผู้รับเหมาดูแลแทน และความเสียหายเกิดจากแพตช์ที่ออกแล้วแต่ไม่ได้ติดตั้ง ประกอบกับการพึ่งกฎ WAF เป็นมาตรการชั่วคราวที่ผู้โจมตีหาทางเลี่ยงได้
ผลกระทบ
หากข้อกล่าวอ้างเป็นจริง ข้อมูลที่รั่วจะมีความอ่อนไหวสูงมาก เพราะครอบคลุมถึงเจ้าหน้าที่ FBI จำนวนมากและผู้สมัครงาน โดยเฉพาะข้อมูลจากระบบ Medlink ที่กลุ่มอ้างว่ามีข้อมูลทางการแพทย์ ใบสั่งยา และประวัติการรักษาของเจ้าหน้าที่ ซึ่งเป็นข้อมูลที่ใช้ระบุตัวตนและอาจถูกนำไปใช้กดดันหรือคุกคามบุคลากรด้านความมั่นคงได้ นาย Maor อธิบายว่า ShinyHunters เป็นแบรนด์อาชญากรรมที่ยืดหยุ่นและอยู่รอดผ่านการปราบปราม การจับกุม และการยึดฟอรัมมาได้ด้วยการปรับเปลี่ยนวิธีการและดึงผู้ดำเนินการรายใหม่เข้ามา จนน่าจะเป็นมากกว่ากลุ่มคนหรือโครงสร้างพื้นฐานที่ตายตัว เขาชี้ว่าบทเรียนสำคัญคือ องค์กรรวมถึงหน่วยงานภาครัฐต้องปกป้องเส้นทางยืนยันตัวตนและความสัมพันธ์กับผู้ให้บริการภายนอกที่ผู้โจมตีนิยมใช้ประโยชน์มากขึ้น ทั้งจากการหลอกทีมช่วยเหลือ (help-desk social engineering) แอปพลิเคชัน OAuth ที่เป็นอันตราย และโทเคนเชื่อมต่อ SaaS ที่ถูกขโมย มากกว่าการเจาะกำแพงทางเทคนิคตรง ๆ
คำแนะนำ
องค์กรควรทบทวนความปลอดภัยของเส้นทางยืนยันตัวตนและการเชื่อมต่อกับผู้ให้บริการภายนอกเป็นลำดับต้น ๆ เนื่องจากกลุ่มลักษณะนี้มักอาศัยการหลอกทีมช่วยเหลือทางโทรศัพท์ (vishing) การหลอกให้อนุมัติแอป OAuth และการขโมยโทเคนของบริการ SaaS แทนการเจาะทางเทคนิคโดยตรง ควรบังคับใช้การยืนยันตัวตนหลายปัจจัยที่ต้านฟิชชิงได้กับผู้ให้บริการอัตลักษณ์อย่าง Okta และ Entra จำกัดสิทธิ์ของแอปที่เชื่อมต่อผ่าน OAuth และเฝ้าระวังการมอบสิทธิ์ที่ผิดปกติ สำหรับระบบที่พึ่งพา Oracle PeopleSoft ควรเร่งประเมินและแพตช์ตามคำแนะนำของผู้ผลิตทันทีที่มีข้อมูลช่องโหว่ พร้อมทั้งตรวจสอบร่องรอยการเข้าถึงที่ผิดปกติในพอร์ทัลที่เปิดสู่อินเทอร์เน็ต