สรุปสั้น

อดีตทหารกองทัพบกสหรัฐฯ ถูกศาลตัดสินจำคุก 70 เดือน ฐานแฮ็กเข้าระบบของ AT&T และ Verizon แล้วปล่อยบันทึกรายละเอียดการโทร (call detail records) ของเจ้าหน้าที่รัฐรายหนึ่ง ตามเอกสารที่นำเสนอต่อศาล นาย Cameron John Wagenius วัย 22 ปี ถูกกล่าวหาว่าแฮ็กเข้าฐานข้อมูลของผู้ให้บริการเครือข่ายไร้สายเพื่อดึงข้อมูลอ่อนไหวและนำไปข่มขู่กรรโชกเหยื่อ โดยลงมือในช่วงเดือนเมษายน 2023 ถึงธันวาคม 2024 ขณะยังปฏิบัติหน้าที่ประจำการอยู่

ในเดือนพฤศจิกายน 2024 Wagenius เปิดเผยบันทึกการโทรลับของเจ้าหน้าที่รัฐต่อสาธารณะ พร้อมขู่จะปล่อยข้อมูลลับเพิ่มเติม เขาใช้ฉายาออนไลน์ว่า “kiberphant0m” และร่วมมือกับผู้อื่นฉ้อโกงองค์กรอย่างน้อย 10 แห่ง ด้วยการขโมย credential ผ่านเครื่องมือ SSH Brute และเครื่องมืออื่น ๆ แล้วเข้าถึงระบบของเหยื่อเพื่อดูดข้อมูลออกไป จากนั้นข่มขู่กรรโชกทั้งบนฟอรัมส่วนตัวและสาธารณะ พร้อมขู่จะเผยแพร่ข้อมูลที่ขโมยมา นอกจากโทษจำคุก เขายังถูกสั่งให้ชดใช้เงินคืน 294,978 ดอลลาร์สหรัฐ

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 28 กันยายน พ.ศ. 2569 ว่า ศาลได้ตัดสินจำคุก Wagenius เป็นเวลา 70 เดือน ตามเอกสารคดี กลุ่มผู้ก่ออาชญากรรมได้นำ credential ที่ขโมยมาไปเข้าถึงระบบขององค์กรเหยื่อและดูดข้อมูลออกไป ก่อนนำไปกรรโชก อีกทั้งยังนำข้อมูลบางส่วนไปขายต่อบนฟอรัมอาชญากรรมไซเบอร์และใช้ในกิจกรรมฉ้อโกงอื่น โดยผู้ร่วมขบวนการพยายามกรรโชกเงินจากองค์กรเหยื่อรวมกันอย่างน้อย 1 ล้านดอลลาร์สหรัฐ

Wagenius ถูกจับกุมในเดือนธันวาคม 2024 ต่อมาในเดือนกุมภาพันธ์ 2025 เขายอมรับต่อศาลว่าได้แบ่งปันบันทึกโทรศัพท์ที่เป็นความลับ และในเดือนกรกฎาคม 2025 ได้รับสารภาพในข้อหาสมคบคิดฉ้อโกงทางสายสัญญาณ (wire fraud conspiracy) และข่มขู่กรรโชก ผู้ร่วมขบวนการของเขายังรวมถึงนาย Connor Riley Moucka ชาวแคนาดา (รู้จักในชื่อ Judische) และนาย John Erin Binns พลเมืองสหรัฐฯ ซึ่งพัวพันกับการแฮ็ก AT&T, T-Mobile และแคมเปญโจมตี Snowflake ที่กระทบองค์กรหลายร้อยแห่ง โดย Moucka ได้รับสารภาพไปเมื่อเดือนสิงหาคมที่ผ่านมา

รายละเอียดการโจมตีและคดี

รูปแบบการโจมตีของกลุ่มนี้อาศัยการเดารหัสผ่านและ credential เป็นหลัก โดยใช้เครื่องมืออย่าง SSH Brute เพื่อให้ได้ credential สำหรับเข้าถึงระบบของเป้าหมาย เมื่อเข้าถึงได้ก็ดูดข้อมูลอ่อนไหวออกมา โดยเฉพาะบันทึกรายละเอียดการโทรของลูกค้าผู้ให้บริการเครือข่าย แล้วใช้ข้อมูลนั้นเป็นเครื่องมือกดดันในการข่มขู่กรรโชก ทั้งการเรียกเงินโดยตรงและการขู่เปิดเผยข้อมูลต่อสาธารณะ กรณีที่โดดเด่นคือการเผยแพร่บันทึกการโทรของเจ้าหน้าที่รัฐเพื่อเพิ่มแรงกดดัน คดีนี้เชื่อมโยงกับเครือข่ายอาชญากรรมที่ใหญ่กว่า เพราะผู้ร่วมขบวนการของ Wagenius มีส่วนในแคมเปญโจมตี Snowflake ซึ่งเป็นการใช้ credential ที่ถูกขโมยเข้าถึงบัญชีคลาวด์ของลูกค้าจำนวนมากจนกระทบองค์กรหลายร้อยแห่งทั่วโลก

ผลกระทบ

คดีนี้สะท้อนว่าภัยจากการขโมย credential แล้วนำไปกรรโชกยังคงสร้างความเสียหายในวงกว้าง ทั้งต่อผู้ให้บริการเครือข่ายและลูกค้าที่ข้อมูลการโทรถูกเปิดเผย โดยเฉพาะเมื่อเป้าหมายรวมถึงเจ้าหน้าที่รัฐซึ่งข้อมูลการติดต่ออาจกระทบความมั่นคง จุดที่ต้องขีดเส้นใต้คือผู้ก่อเหตุเป็นบุคคลในเครื่องแบบที่ลงมือขณะยังประจำการ แสดงว่าภัยคุกคามไม่ได้จำกัดอยู่แค่กลุ่มอาชญากรภายนอก อีกทั้งการที่คดีเชื่อมโยงกับแคมเปญ Snowflake และผู้ร่วมขบวนการหลายรายในหลายประเทศ ยังตอกย้ำว่าการบังคับใช้กฎหมายข้ามพรมแดนกำลังไล่ตามเครือข่ายกรรโชกข้อมูลได้ใกล้ขึ้น และการลงโทษที่ชัดเจนอาจเป็นสัญญาณยับยั้งผู้ก่อเหตุรายอื่น

คำแนะนำ

  • องค์กร โดยเฉพาะผู้ให้บริการเครือข่ายและระบบคลาวด์ ควรบังคับใช้ MFA กับทุกบัญชีที่เข้าถึงข้อมูลลูกค้า และเลิกพึ่งรหัสผ่านอย่างเดียวซึ่งเสี่ยงต่อการถูก brute-force
  • เฝ้าระวังการล็อกอินผิดปกติและการเข้าถึง SSH จากแหล่งที่ไม่คุ้นเคย พร้อมตั้งการล็อกบัญชีและแจ้งเตือนเมื่อพบการเดารหัสผ่านซ้ำ ๆ
  • จำกัดและตรวจสอบสิทธิ์เข้าถึงฐานข้อมูลบันทึกการโทรและข้อมูลลูกค้าอ่อนไหว ตามหลัก least privilege พร้อมบันทึก log การเข้าถึงเพื่อตรวจสอบย้อนหลัง
  • เตรียมแผนรับมือกรณีถูกข่มขู่กรรโชกข้อมูล โดยประสานงานกับหน่วยบังคับใช้กฎหมายแต่เนิ่น ๆ แทนการจ่ายเงินตามคำขู่

แหล่งอ้างอิง