สรุปสั้น

ศาลรัฐบาลกลางสหรัฐฯ พิพากษาจำคุกนาย Karen Vardanyan ชาวอาร์เมเนียวัย 35 ปี เป็นเวลา 24 เดือน พร้อมคุมประพฤติต่ออีก 3 ปี และสั่งให้ชดใช้ค่าเสียหายแก่ผู้เสียหายเป็นเงิน 1,219,106 ดอลลาร์ จากบทบาทในการโจมตีด้วยแรนซัมแวร์ Ryuk ที่เล่นงานองค์กรอเมริกันในช่วงปี 2562 ถึง 2563 นาย Vardanyan ซึ่งใช้ชื่อออนไลน์ว่า “Maneeken” และ “Karl Lagerfeld” ถูกส่งตัวข้ามแดนมาจากยูเครนหลังถูกจับกุมในปี 2568 และรับสารภาพในสหรัฐฯ เมื่อเดือนกรกฎาคม 2569

จากคำฟ้อง นาย Vardanyan มีบทบาทเป็นผู้จัดหาช่องทางเข้าถึงเครือข่ายองค์กร (initial access) ซึ่งเปิดทางให้มีการติดตั้งแรนซัมแวร์ตามมา ระหว่างเดือนพฤศจิกายน 2562 ถึงเมษายน 2563 เขาเข้าถึงเครือข่ายองค์กรอย่างผิดกฎหมายและช่วยติดตั้ง Ryuk ลงบนเซิร์ฟเวอร์และเครื่องเวิร์กสเตชันหลายร้อยเครื่อง ทั้งนี้เขาถูกคณะลูกขุนใหญ่ตั้งข้อหาตั้งแต่เดือนกุมภาพันธ์ 2567 ในความผิดฐานสมคบคิด ฉ้อโกง และกรรโชกที่เกี่ยวข้องกับคอมพิวเตอร์ (คดีนี้เป็นการพิพากษาต่อเนื่องจากการรับสารภาพที่เคยรายงานไว้ในโพสต์ 112 )

รายละเอียดข่าว

เว็บไซต์ Security Affairs รายงานเมื่อวันที่ 24 กันยายน 2569 อ้างประกาศของกระทรวงยุติธรรมสหรัฐฯ ว่า นาย Karen Vardanyan ถูกศาลพิพากษาจำคุก 24 เดือน คุมประพฤติต่ออีก 3 ปี และสั่งชดใช้เงิน 1,219,106 ดอลลาร์แก่ผู้เสียหายในคดี

การโจมตีด้วย Ryuk เข้ารหัสข้อมูลของเหยื่อและเรียกค่าไถ่เป็นบิตคอยน์เพื่อแลกกับกุญแจถอดรหัส ในบรรดาเหยื่อมีบริษัทในรัฐมิชิแกนที่จ่ายค่าไถ่ไป 200 บิตคอยน์ (มูลค่าขณะนั้นกว่า 1.1 ล้านดอลลาร์) บริษัทในรัฐโอเรกอน และโรงเรียนแห่งหนึ่งในรัฐเท็กซัส โดยรวมแล้วเชื่อว่ากลุ่มนี้รวบรวมบิตคอยน์ได้ราว 1,610 เหรียญ คิดเป็นมูลค่ากว่า 15 ล้านดอลลาร์เมื่อคำนวณ ณ เวลาที่มีการจ่ายค่าไถ่

ตามข้อมูลของทางการ นาย Vardanyan ถูกจับกุมในยูเครนเมื่อเดือนเมษายน 2568 และถูกส่งตัวข้ามแดนมายังสหรัฐฯ ในเดือนมิถุนายน 2568 เนื่องจากกฎหมายรัฐบาลกลางให้นับระยะเวลาที่ถูกคุมขังก่อนพิจารณาคดีรวมเข้ากับโทษจำคุกด้วย และเขาถูกคุมขังมาตั้งแต่ถูกส่งตัวข้ามแดน จึงถือว่ารับโทษไปแล้วเป็นส่วนใหญ่ของ 24 เดือน โดย FBI เป็นผู้สืบสวนคดี และสำนักงานกิจการระหว่างประเทศของกระทรวงยุติธรรมเป็นผู้ดำเนินการส่งตัวข้ามแดน พร้อมขอบคุณทางการยูเครนที่ให้ความร่วมมือ ซึ่งเป็นรายละเอียดที่สำคัญเมื่อพิจารณาว่าผู้ก่อการแรนซัมแวร์มักหลบซ่อนอยู่หลังพรมแดนที่ไม่ให้ความร่วมมือกับหน่วยงานบังคับใช้กฎหมายสหรัฐฯ

เบื้องหลังปฏิบัติการ Ryuk

Ryuk เป็นปฏิบัติการแรนซัมแวร์ที่ทำกำไรสูงมาก จากรายงานของ Advanced Intel และ HYAS ในปี 2564 ประเมินว่ากลุ่มนี้สร้างรายได้จากค่าไถ่เป็นบิตคอยน์ราว 150 ล้านดอลลาร์ นักวิจัยตามรอยกระเป๋าเงินคริปโต 61 แอดเดรสที่เชื่อมโยงกับกลุ่ม และพบกลไกฟอกเงินที่อาศัยนายหน้า กระเป๋าเงินตัวกลาง และตลาดแลกเปลี่ยนคริปโตอย่าง Binance และ Huobi

Ryuk ในรูปแบบ RaaS ดำเนินการโดยทีมที่รู้จักกันในชื่อ Wizard Spider ซึ่งกลายเป็นหนึ่งในภัยคุกคามที่โดดเด่นที่สุดในช่วงต้นของการระบาดใหญ่ โดยเล่นงานโรงพยาบาลอย่างหนักในขณะที่ระบบสาธารณสุขกำลังตึงตัวถึงขีดสุด ในช่วงพีค กลุ่มนี้เจาะองค์กรได้ราว 20 แห่งต่อสัปดาห์ และทำเงินค่าไถ่ได้กว่า 150 ล้านดอลลาร์ก่อนจะปิดตัวลงในปี 2563 อย่างไรก็ตาม Ryuk ไม่ได้หายไปจริง ๆ เพราะ Wizard Spider ต่อมาได้เปลี่ยนชื่อเป็น Conti ซึ่งเติบโตใหญ่ขึ้นอีกก่อนที่บทสนทนาภายในและซอร์สโค้ดจะรั่วไหลในปี 2565 จากนั้นกลุ่มก็แตกออกเป็นทีมย่อย บางส่วนไปร่วมกับปฏิบัติการแรนซัมแวร์อื่น บางส่วนสร้างกลุ่มใหม่ ทำให้ความเชื่อมโยงจาก Ryuk สู่ Conti ยังคงมองเห็นได้ในระบบนิเวศแรนซัมแวร์ปัจจุบัน

ผลกระทบ

คดีนี้เป็นตัวอย่างที่ชัดเจนว่าผู้จัดหาช่องทางเข้าถึงเครือข่าย ซึ่งเป็นเพียง “คนเปิดประตู” ให้ปฏิบัติการแรนซัมแวร์ ก็สามารถสร้างความเสียหายมหาศาลได้ เพราะแม้เขาจะไม่ใช่คนลงมือเข้ารหัสข้อมูลเอง แต่หากไม่มีการเข้าถึงในขั้นแรก การโจมตีทั้งหมดก็เกิดขึ้นไม่ได้ สำหรับทีมที่ป้องกันเครือข่าย นี่คือเครื่องเตือนใจว่าการสกัดผู้บุกรุกตั้งแต่ขั้นเข้าถึงครั้งแรกคือแนวป้องกันที่คุ้มค่าที่สุด ในเชิงการบังคับใช้กฎหมาย แม้จะมีคำถามว่าโทษจำคุก 24 เดือนสมน้ำสมเนื้อกับค่าเสียหายกว่า 1 ล้านดอลลาร์และบทบาทในขบวนการมูลค่ากว่า 15 ล้านดอลลาร์หรือไม่ แต่การส่งตัวข้ามแดนครั้งนี้ก็ส่งสารชัดเจนว่าการหลบอยู่หลังพรมแดนประเทศไม่ใช่หลักประกันความปลอดภัยของอาชญากรไซเบอร์อีกต่อไป ทั้งนี้ในปี 2569 ยังมีผู้เกี่ยวข้องกับแรนซัมแวร์ถูกตัดสินจำคุกอีกหลายราย เช่น นักพัฒนา Conti ชาวยูเครนที่ได้รับโทษจำคุก 4 ปีในสหรัฐฯ และชาวยูเครนที่ถูกกล่าวหาว่าสร้างแรนซัมแวร์ Lockergoga, MegaCortex และ Nefilim ซึ่งถูกศาลสวิสพิพากษาจำคุก 13 ปี

คำแนะนำ

องค์กรควรให้ความสำคัญกับการสกัดกั้นการเข้าถึงเครือข่ายในขั้นแรก ซึ่งเป็นจุดที่ผู้จัดหา initial access ใช้เจาะเข้ามา ด้วยการบังคับใช้การยืนยันตัวตนหลายปัจจัย (MFA) กับทุกช่องทางเข้าถึงจากภายนอกโดยเฉพาะ VPN และ RDP หมั่นตรวจสอบและปิดบัญชีหรือ credential ที่ถูกขโมย เฝ้าระวังพฤติกรรมการเคลื่อนไหวด้านข้าง (lateral movement) และการยกระดับสิทธิ์ในเครือข่าย รวมถึงสำรองข้อมูลแบบออฟไลน์และทดสอบการกู้คืนอย่างสม่ำเสมอเพื่อลดผลกระทบหากถูกเข้ารหัส นอกจากนี้การรายงานเหตุและร่วมมือกับหน่วยงานบังคับใช้กฎหมายยังช่วยเพิ่มโอกาสในการตามจับและดำเนินคดีกับผู้ก่อการข้ามพรมแดน

แหล่งอ้างอิง