สรุปสั้น

แฮ็กเกอร์ใช้รหัสผ่านที่ขโมยมาจากพนักงานของหน่วยงานบริหารภาษีฝรั่งเศสในการดูดข้อมูลภาษีของผู้เสียภาษีหลายแสนรายและนิติบุคคลจำนวนมากในช่วงเดือนมิถุนายนถึงกรกฎาคม ทั้งกรมสรรพากรและหน่วยงานความมั่นคงไซเบอร์แห่งชาติของฝรั่งเศสต่างไม่เห็นข้อมูลไหลออกไป ในรายงานที่เผยแพร่ หน่วยงาน ANSSI ระบุชัดว่าการโจมตีครั้งนี้ไม่ซับซ้อน แต่สำเร็จได้เพราะการป้องกันการล็อกอินที่อ่อนแอ การแยกเครือข่ายที่ทำได้ไม่ดี และช่องโหว่ในการเฝ้าระวัง หน่วยงานนี้มีชื่อย่อว่า DGFIP ซึ่งดูแลเว็บไซต์ภาษี impots.gouv.fr และข้อมูลที่ถูกขโมยมาจาก E-Contact ซึ่งเป็นเครื่องมือที่ผู้เสียภาษีใช้ส่งข้อความถึงกรม

ข้อมูลที่ถูกขโมยครอบคลุมบุคคลมากกว่า 350,000 รายและนิติบุคคลมากกว่า 250,000 ราย โดยบัญชีออนไลน์และรหัสผ่านของผู้เสียภาษีเองไม่ถูกเจาะ สำหรับบุคคล ข้อมูลที่อาจถูกดูหรือคัดลอกรวมถึงเลขประจำตัวผู้เสียภาษี ข้อมูลติดต่อ สถานะครอบครัว รายได้ที่ใช้คำนวณภาษีและอัตราหักภาษี ณ ที่จ่าย พร้อมรายการข้อความที่เคยส่งถึงกรม ส่วนเนื้อหาข้อความจริงอาจถูกขโมยไปสำหรับคนไม่ถึง 250 ราย เหตุนี้ถูกเปิดเผยเมื่อวันที่ 12 สิงหาคม ตอนที่โจรประกาศเองในฟอรัมออนไลน์ หลังจากดูดข้อมูลชุดแรกไปแล้วเจ็ดสัปดาห์

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 29 กันยายน 2569 ว่า หน่วยงาน ANSSI เผยแพร่รายงานเหตุการณ์ (เป็นภาษาฝรั่งเศส) เมื่อวันอังคารที่ 23 กันยายน อธิบายว่าแฮ็กเกอร์ใช้สองเส้นทางแยกกันในการเจาะ เส้นทางแรกเริ่มจากการล็อกอินน่าสงสัยในต้นเดือนพฤษภาคมและนำไปสู่ระบบ E-Contact โดยอาศัยรหัสผ่านหลายสิบรายการของพนักงาน DGFIP ที่ถูกขโมยในช่วงสามเดือน ซึ่งน่าจะถูกขโมยด้วย infostealer ที่แอบคัดลอกข้อมูลล็อกอินที่บันทึกไว้ จากเครื่องที่ DGFIP ไม่ได้บริหารจัดการ มีความเป็นไปได้สูงว่าเป็นอุปกรณ์ส่วนตัวของพนักงานเอง

พอร์ทัลสองตัวที่แฮ็กเกอร์ใช้คือ PIGP และ ADER ขอเพียงรหัสผ่านอย่างเดียว รหัสผ่านที่ขโมยมาจึงใช้งานได้ทันที โดย PIGP เป็นพอร์ทัลสำหรับอีเมลและบริการ HR ส่วน ADER เปิดทางเข้าถึงแอปพลิเคชันบางตัวผ่าน RIE ซึ่งเป็นเครือข่ายที่เชื่อมกระทรวงต่าง ๆ ของรัฐบาลฝรั่งเศส แฮ็กเกอร์เข้าถึง RIE ผ่านระบบของกระทรวงศึกษาธิการที่ถูกเจาะและเชื่อมต่อกับเครือข่ายนี้ และเนื่องจากแอปพลิเคชันสำคัญของ DGFIP ไม่ได้ถูกแยกออกจากส่วนที่เหลือของ RIE จึงถูกเข้าถึงได้จากส่วนของเครือข่ายที่ไม่มีเหตุผลต้องเข้าถึง

เส้นทางที่สองนำไปสู่ข้อมูลทะเบียนที่ดิน ผ่านพอร์ทัลชื่อ APEX สำหรับพันธมิตรอย่างโนตารีและนักสำรวจที่ดิน ซึ่งขอรหัสผ่านและรหัสใช้ครั้งเดียวที่ส่งทางอีเมล การสอบสวนพบว่าเครื่องของนักสำรวจที่ดินในบริษัทเอกชนอาจถูกเจาะ ทำให้แฮ็กเกอร์ข้ามรหัสนั้นได้ ข้อมูลถูกขโมยระหว่างวันที่ 27 กรกฎาคมถึง 8 สิงหาคม เกี่ยวข้องกับครัวเรือนเกือบ 435,000 หลังตามบันทึกของคณะกรรมาธิการการคลังวุฒิสภา

วิธีการโจมตี

จุดที่น่าสนใจที่สุดคือเหตุใดจึงไม่มีใครเห็นการขโมย ทั้งที่ DGFIP มีขั้นตอนรับมือรหัสผ่านพนักงานที่ถูกขโมยอยู่แล้ว เมื่อศูนย์ปฏิบัติการความมั่นคง (SOC) ตรวจพบบัญชีที่ถูกเจาะหรือผู้ให้บริการข่าวกรองภัยคุกคามแจ้งเตือน ทีมจะรีเซ็ตรหัสผ่าน ขั้นตอนนี้จับกิจกรรมของแฮ็กเกอร์ได้บางส่วนแต่ไม่พบการขโมย ในวันที่ 7 มิถุนายน การค้นหาด้วยบัญชีที่ถูกขโมยจุดชนวนแจ้งเตือนและมีการรีเซ็ตรหัสผ่านในวันเดียวกัน แต่ SOC พลาดไม่เห็นว่าแฮ็กเกอร์ย้ายจาก PIGP ไป ADER แล้ว

ในวันที่ 23 มิถุนายน ผู้ให้บริการแจ้งอีกบัญชีหนึ่งที่แฮ็กเกอร์ใช้ และการค้นหาด้วยบัญชีนั้นเปิดตั๋วงานของ SOC เวลา 20:50 น. ตามเวลาปารีส แต่เวลา 04:26 น. ของเช้าวันถัดมา แฮ็กเกอร์เริ่มดึงข้อมูลจาก E-Contact ผ่าน ADER ด้วยเครื่องมือ scraping อัตโนมัติที่คัดลอกข้อมูลทีละหน้า SOC จัดการตั๋วงานเวลา 10:40 น. ด้วยการรีเซ็ตรหัสผ่านของบัญชี แต่การรีเซ็ตนั้นจัดการได้เฉพาะการแจ้งเตือนบน PIGP และไม่ได้ตัด session ที่แฮ็กเกอร์เปิดค้างไว้บน ADER ข้อมูลจึงไหลต่อไปอีกเกือบ 16 ชั่วโมงจนถึงเวลา 02:31 น. ของวันที่ 25 มิถุนายน

SOC ของ DGFIP ไม่ได้เฝ้าระวัง ADER เลย ไม่มีระบบใดเชื่อมโยงสัญญาณเตือน เช่น การล็อกอินกลางดึก การเชื่อมต่อจาก VPN จากที่อยู่ในอินเดีย หรือจากที่อยู่ที่รู้ว่าเป็นอันตราย ปริมาณข้อมูลก็ไม่ได้จุดชนวนแจ้งเตือน รวมถึงข้อมูล 11 GB ที่ไหลระหว่างวันที่ 22 ถึง 25 มิถุนายน และไม่มีการตรวจจำนวนคำขอของผู้ใช้แต่ละราย ทั้งที่การ scraping ต้องใช้หนึ่งคำขอต่อหน้า ส่วนการเฝ้าระวังของ ANSSI เองก็พลาดเช่นกัน เพราะเซ็นเซอร์ตรวจจับวางไว้เฉพาะจุดเข้าออกของ RIE และอินเทอร์เน็ต และหน่วยงานไม่มีสิทธิ์เข้าถึงล็อกระดับแอปพลิเคชัน

ผลกระทบ

เหตุการณ์นี้เป็นกรณีศึกษาว่าการโจมตีที่ไม่ซับซ้อนก็สร้างความเสียหายใหญ่ได้เมื่อการป้องกันพื้นฐานหย่อนยาน แฮ็กเกอร์ไม่ได้ใช้ช่องโหว่ซับซ้อนใด ๆ เพียงอาศัยรหัสผ่านที่ infostealer ขโมยจากอุปกรณ์ส่วนตัวของพนักงาน พอร์ทัลที่ขอแค่รหัสผ่าน และการที่ session ไม่ถูกตัดเมื่อรีเซ็ตรหัสผ่าน จุดอ่อนที่ทำให้การขโมยลอยนวลนานถึงเจ็ดสัปดาห์คือการเฝ้าระวังที่กระจัดกระจาย ไม่มีการเชื่อมโยงสัญญาณเตือนหลายตัวเข้าด้วยกัน ไม่มี SIEM ครอบคลุมทุกแอปพลิเคชัน และไม่มีการตั้งโควตาปริมาณข้อมูลที่เข้าถึงได้ นับเป็นบทเรียนตรงสำหรับทีม SOC ทุกแห่งว่าการรีเซ็ตรหัสผ่านอย่างเดียวไม่พอหากไม่เพิกถอน session ที่เปิดค้างอยู่ และการเฝ้าระวังต้องครอบคลุมถึงชั้นแอปพลิเคชัน ไม่ใช่แค่ขอบเครือข่าย

คำแนะนำ

ANSSI แนะนำให้ DGFIP เพิกถอนทุก session ที่ใช้งานอยู่บนทุกแอปพลิเคชันและพอร์ทัลเสมอเมื่อมีการรีเซ็ตรหัสผ่าน และเมื่อบัญชีถูกรายงานว่าถูกเจาะ ให้ตรวจสอบย้อนว่าบัญชีนั้นทำอะไรไปบ้างนับจากวันที่น่าจะถูกเจาะ ควรใช้การยืนยันตัวตนหลายปัจจัย (MFA) บนทุกแอปพลิเคชัน โดยใช้ปัจจัยที่สองที่ยังปกป้องบัญชีได้แม้รหัสผ่านถูกขโมย เพราะรหัสใช้ครั้งเดียวที่ส่งทางอีเมลไม่เพียงพอหากรหัสผ่านเดียวกันเปิดกล่องอีเมลได้ด้วย จึงควรเลือกฮาร์ดแวร์โทเคนหรือแอปยืนยันตัวตนที่อยู่บนอุปกรณ์แยกต่างหาก

นอกจากนี้ควรเฝ้าระวังทุกแอปพลิเคชันทางธุรกิจผ่าน SIEM ที่รวบรวมล็อกความปลอดภัย พร้อมตั้งโควตาจำนวนระเบียนที่เข้าถึง คำขอที่ส่ง และข้อมูลที่แลกเปลี่ยนในช่วงเวลาหนึ่ง และไม่ควรอนุญาตให้อุปกรณ์ส่วนตัวเข้าถึงทรัพยากรงาน ปัจจุบัน DGFIP ได้ตัดบัญชีพนักงานออกจาก ADER ตั้งแต่ 13 สิงหาคมและจาก PIGP ตั้งแต่ 18 สิงหาคม พร้อมวางแผนขยายการเฝ้าระวังให้ครอบคลุมทุกแอปพลิเคชันและเพิ่มการยืนยันตัวตนที่แข็งแรง

แหล่งอ้างอิง