สรุปสั้น
FBI ออกมาเรียกร้องเมื่อวันอังคารให้สมาชิกกลุ่มแฮ็กและขู่กรรโชก ShinyHunters เข้ามอบตัว หลังจากมีการจับกุมผู้ต้องสงสัยที่ถูกระบุว่าเป็นหนึ่งในแกนนำของกลุ่ม คือนาย Pepijn van der Stap วัย 24 ปี ชาวอัมสเตอร์ดัม โดยเขาถูกจับเมื่อวันที่ 15 กันยายนในเนเธอร์แลนด์ขณะอยู่ระหว่างทัณฑ์บน หลังเพิ่งรับโทษจำคุกไปสามปีจากโทษสี่ปีที่ศาลตัดสินในปี 2023 ในคดีแฮ็กและกรรโชกทรัพย์ ตำรวจเนเธอร์แลนด์ระบุว่าชายคนนี้ถูกสงสัยว่า “มีบทบาทภายในกลุ่มแฮ็กเกอร์ ShinyHunters” และยังถูกสงสัยว่าวางแผนก่อเหตุฆาตกรรมสองคดีในต่างประเทศ โดยพบข้อมูลจำนวนมากบนแล็ปท็อปของเขาหลังการจับกุม ขณะที่ FBI ระบุว่าตั้งแต่ปี 2025 ผู้ต้องสงสัยรายนี้เกี่ยวพันกับการแฮ็กองค์กรกว่า 140 แห่งและเก็บเงินค่าไถ่อย่างน้อย 70 ล้านดอลลาร์
แม้จะมีการจับกุม กลุ่ม ShinyHunters กลับแสดงท่าทีท้าทายและอ้างว่าการปรากฏเป็นข่าวตลอดสัปดาห์ที่ผ่านมากลับช่วยให้กลุ่มได้รับความสนใจมากขึ้นแทนที่จะกระทบธุรกิจ โดยอ้างว่าการแฮ็กเว็บสมัครงานของ FBI (FBIJobs.gov) และการยื่นคำขาดให้สำนักงานถอนรายงานก่อนหน้าเป็นเพียง “แคมเปญการตลาด” เพื่อปกป้องแบรนด์ของตน ไม่ใช่การขู่กรรโชกหรือมีแรงจูงใจทางการเงิน อย่างไรก็ตามกลุ่มยังออกแถลงการณ์บนเว็บไซต์หลุดข้อมูลผ่านเครือข่าย Tor ยืนยันว่าปฏิบัติการและโครงสร้างพื้นฐานไม่ได้รับผลกระทบ พร้อมเตือนองค์กรที่ตกเป็นเหยื่อให้เจรจาต่อเพื่อไม่ให้ข้อมูลที่ถูกขโมยถูกเปิดเผย ด้านผู้เชี่ยวชาญส่วนใหญ่มองว่าการจับกุมครั้งนี้เป็นการ “รบกวน” ไม่ใช่ “จุดจบ” ของกลุ่ม
รายละเอียดข่าว
เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 30 กันยายน 2569 ว่า FBI ออกแถลงการณ์เรียกร้องให้สมาชิกที่เหลือของกลุ่ม ShinyHunters เข้ามอบตัว โดยนาย Brett Leatherman ผู้ช่วยผู้อำนวยการฝ่าย Cyber Division ของ FBI กล่าวว่ากลุ่มนี้ “มักพุ่งเป้าไปที่ผู้ให้บริการบุคคลที่สามบนแพลตฟอร์มคลาวด์ ขโมยข้อมูลอ่อนไหวแล้วขู่กรรโชกเหยื่อด้วยการจะเผยแพร่ข้อมูลนั้น” และกล่าวต่อสมาชิกที่เหลือว่า “พวกคุณได้ยินเรื่องการจับกุมเพื่อนร่วมกลุ่มแล้ว เรามั่นใจว่าพวกคุณได้เห็นหรือได้ยินสิ่งที่สาธารณชนยังไม่รู้ในช่วงไม่กี่วันมานี้” พร้อมเตือนว่า “ยิ่งอยู่ในวงการนี้นานเท่าไหร่ เรายิ่งรู้จักพวกคุณมากขึ้นเท่านั้น… ผมแนะนำให้ติดต่อเข้ามาก่อนในขณะที่ยังเป็นทางเลือกของคุณเอง”
ก่อนหน้าที่ FBI จะออกแถลงการณ์ กลุ่ม ShinyHunters เคยอ้างว่าได้ขโมยข้อมูลส่วนบุคคล (PII) และข้อมูลสุขภาพที่ได้รับการคุ้มครอง (PHI) ของพนักงาน FBI ทั้งอดีตและปัจจุบันทั้งหมดจากเว็บสมัครงาน และได้ส่งตัวอย่างรายชื่อพนักงาน 5,000 รายให้สื่อหลายสำนัก โดยอ้างว่าขโมยข้อมูลไปราว 2-3 เทราไบต์ สัปดาห์นี้กลุ่มกลับแถลงกลับลำว่า “ตั้งแต่ต้นเราเน้นย้ำอย่างชัดเจนว่านี่ไม่ใช่การขู่กรรโชก ไม่ใช่การเรียกค่าไถ่ และไม่มีแรงจูงใจทางการเงิน ทั้งหมดเป็นแคมเปญการตลาดเพื่อปกป้องธุรกิจและต่อต้านการบิดเบือนข้อมูล” พร้อมระบุว่า “จะไม่มีอะไรเกิดขึ้น” กับข้อมูลที่อ้างว่าถือครองไว้ ซึ่งนับเป็นการกลับลำจากประวัติการก่อเหตุในอดีตของกลุ่มที่มักเผยแพร่หรือขายข้อมูลต่อ
วิธีการโจมตี
ShinyHunters ทำงานในลักษณะของ “แบรนด์” มากกว่ากลุ่มที่มีสมาชิกตายตัว โดยนาย Jason Brown ผู้เชี่ยวชาญจาก iCOUNTER ระบุว่าการโจมตีที่สร้างความเสียหายมากที่สุดของกลุ่มไม่ได้มาจากช่องโหว่ใหม่เพียงอย่างเดียว แต่มาจากการพุ่งเป้าไปที่ “คนใน” ของผู้ให้บริการ ทั้งทีม help desk และผู้ให้บริการ SaaS ที่ถือสิทธิ์การเข้าถึงระดับสูง แล้วอาศัยความไว้วางใจนั้นเจาะไปยังเหยื่อปลายน้ำจำนวนมากพร้อมกัน ด้านนาย Jason Baker จาก GuidePoint Security ประเมินว่าการจับกุมนาย van der Stap ไม่น่าจะนำไปสู่การล่มสลายของกลุ่ม เพราะด้วยลักษณะการทำงานแบบกระจายศูนย์ สมาชิกที่เหลืออาจเปลี่ยนชื่อกลุ่มหรือแยกย้ายไปรวมกับแก๊งแฮ็กอื่น นอกจากนี้ยังมีข้อสังเกตว่าแกนนำคนปัจจุบันของกลุ่มพยายามโยนความรับผิดชอบเรื่องการแฮ็ก FBI ไปให้บุคคลที่กลุ่มเคยเกี่ยวข้องด้วยในอดีต
ผลกระทบ
การจับกุมครั้งนี้เป็นสัญญาณว่าหน่วยงานบังคับใช้กฎหมายกำลังรุกคืบต่อกลุ่มขู่กรรโชกที่พุ่งเป้าซัพพลายเชนคลาวด์และ SaaS แต่ผู้เชี่ยวชาญเตือนว่าการจับกุมสมาชิกเพียงรายเดียว แม้จะเป็นระดับแกนนำ ก็ยากที่จะหยุดกลุ่มที่ทำงานแบบกระจายศูนย์และหมุนเวียนตัวตนได้ ความเสี่ยงที่แท้จริงต่อองค์กรส่วนใหญ่จึงไม่ได้อยู่ที่การไล่ล่าตัวบุคคล แต่อยู่ที่รูปแบบการโจมตีที่อาศัยการเจาะผู้ให้บริการบุคคลที่สามซึ่งถือสิทธิ์เข้าถึงข้อมูลของลูกค้าหลายรายพร้อมกัน ขณะเดียวกันการที่กลุ่มยังเปิดเว็บหลุดข้อมูลและเตือนให้เหยื่อเจรจาต่อ สะท้อนว่าแรงกดดันต่อองค์กรที่ถูกขโมยข้อมูลไปแล้วยังคงอยู่ ไม่ว่ากลุ่มจะนิยามการกระทำของตนว่าอย่างไรก็ตาม
คำแนะนำ
องค์กรควรทบทวนสิทธิ์การเข้าถึงของผู้ให้บริการบุคคลที่สามและแพลตฟอร์ม SaaS โดยเฉพาะบัญชีที่มีสิทธิ์สูงหรือเข้าถึงข้อมูลลูกค้าจำนวนมาก พร้อมบังคับใช้หลักการให้สิทธิ์เท่าที่จำเป็น (least privilege) และเปิดใช้ MFA แบบทนฟิชชิงกับทุกบัญชีที่เกี่ยวข้อง ควรเฝ้าระวังพฤติกรรมผิดปกติในการเข้าถึง SaaS และตั้งการแจ้งเตือนเมื่อมีการดึงข้อมูลปริมาณมากผิดปกติ รวมถึงฝึกอบรมทีม help desk และฝ่ายสนับสนุนให้ระวังเทคนิควิศวกรรมสังคมที่พุ่งเป้าคนใน สำหรับองค์กรที่อาจตกเป็นเหยื่อ ควรประสานงานกับหน่วยงานบังคับใช้กฎหมายและที่ปรึกษาด้านกฎหมายก่อนตัดสินใจใด ๆ เกี่ยวกับการเจรจา และควรประเมินสมมติฐานว่าข้อมูลที่ถูกขโมยอาจรั่วไหลได้แม้กลุ่มจะอ้างว่า “จะไม่มีอะไรเกิดขึ้น”