สรุปสั้น

สำนักข่าว Reuters รายงานโดยอ้างแหล่งข่าวที่รู้เรื่องนี้ 3 รายว่าทางการจอร์แดนได้ควบคุมตัวผู้ต้องสงสัยเป็นสมาชิกกลุ่มขู่กรรโชกทางไซเบอร์ ShinyHunters ซึ่งใช้ชื่อในโลกออนไลน์ว่า “Rey” หรือ “ReyXBF” ชื่อจริงคือนาย Saif al-Din Khader โดยถูกควบคุมตัวตั้งแต่วันที่ 29 กันยายน 2026 และขณะนี้กำลังให้ความร่วมมือกับสำนักงานสอบสวนกลางสหรัฐฯ (FBI) และหน่วยบังคับใช้กฎหมายในการระบุตัวสมาชิกคนอื่นของกลุ่ม แหล่งข่าวรายหนึ่งระบุว่า “ความร่วมมือของเขามีความสำคัญอย่างยิ่งต่อความพยายามจับกุมแฮ็กเกอร์กลุ่มนี้” Rey ไม่ใช่ชื่อใหม่ในวงการ เพราะนาย Brian Krebs นักข่าวสายความปลอดภัยอิสระเคยระบุตั้งแต่เดือนพฤศจิกายน 2025 ว่าเขาเป็นหนึ่งในสามแอดมินของ Scattered LAPSUS$ Hunters ซึ่งเป็นการรวมตัวของ Scattered Spider, LAPSUS$ และ ShinyHunters

การควบคุมตัวครั้งนี้เกิดขึ้นเพียงไม่กี่วันหลังตำรวจเนเธอร์แลนด์จับกุมชายวัย 24 ปีในอัมสเตอร์ดัมในคดีเดียวกัน ซึ่งสื่ออิสระระบุว่าคือนาย Pepijn van der Stap (Cloud Thunder รายงานไว้ที่ 09/234) และหลังกลุ่ม ShinyHunters ก่อเหตุใหญ่ติดกันในเดือนกันยายน ทั้งการยึดเว็บไซต์ลับของกลุ่มแรนซัมแวร์ Cl0p (09/152) และการเจาะพอร์ทัลรับสมัครงานของ FBI (09/167) ผู้อำนวยการ FBI นาย Kash Patel ประกาศว่า “จะมีการจับกุมเพิ่มอีก” ขณะที่ FBI ระบุว่าเครือข่ายนี้เจาะองค์กรมากกว่า 140 แห่ง และได้เงินค่าขู่กรรโชกไปอย่างน้อย 70 ล้านดอลลาร์สหรัฐ

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 4 ตุลาคม 2569 โดยอ้างสำนักข่าว Reuters ว่านาย Khader ถูกควบคุมตัวในจอร์แดนและกำลังช่วย FBI ระบุตัวสมาชิกคนอื่นของกลุ่ม ประวัติของ Rey ที่นาย Krebs เคยเปิดเผยไว้ระบุว่า ก่อนหน้านี้เขาเคยเป็นแอดมินเว็บไซต์เผยแพร่ข้อมูลรั่วของกลุ่มแรนซัมแวร์ Hellcat ที่ปรากฏตัวช่วงปลายปี 2024 และในปีเดียวกันยังขึ้นเป็นแอดมินของ BreachForums เวอร์ชันล่าสุด จุดที่น่าสนใจคือนาย Khader เคยบอกนาย Krebs เองว่าเขาให้ความร่วมมือกับหน่วยบังคับใช้กฎหมายมาตั้งแต่อย่างน้อยเดือนมิถุนายน 2025 แล้ว

รายงานแต่ละสำนักยังให้ภาพบทบาทของ Rey ไม่ตรงกัน เว็บไซต์ The Hacker News เรียกเขาว่า “ผู้ต้องสงสัยเป็นสมาชิก” ขณะที่เว็บไซต์ SecurityWeek ซึ่งรายงานเมื่อวันที่ 5 ตุลาคม 2569 เรียกว่า “ผู้ต้องสงสัยเป็นหัวหน้ากลุ่ม” และระบุว่าเป็นวัยรุ่นจากกรุงอัมมาน อีกทั้งยังระบุว่ายังไม่ชัดเจนว่าเขาถูกควบคุมตัวอยู่ที่ใด ส่วนนาย Brett Leatherman ผู้ช่วยผู้อำนวยการฝ่ายไซเบอร์ของ FBI ก่อนหน้านี้ก็เรียกนาย van der Stap ว่าเป็นผู้ต้องสงสัยเป็นหัวหน้ากลุ่มเช่นกัน ภาพที่ได้จึงสอดคล้องกับข้อสรุปของนักวิจัยว่า ShinyHunters ไม่ได้มีผู้นำคนเดียว

SecurityWeek ยังให้รายละเอียดเพิ่มว่าการควบคุมตัวเกิดขึ้นไม่นานหลังกลุ่มเจาะและเปลี่ยนหน้าเว็บไซต์ FBIJobs.gov โดยอ้างว่าขโมยข้อมูลได้ 2–3 เทราไบต์ และส่งรายชื่อตัวอย่างพนักงาน FBI 5,000 รายให้สื่อ พร้อมอ้างว่ามีข้อมูลส่วนตัวและข้อมูลสุขภาพของพนักงาน FBI ทั้งในปัจจุบันและอดีต ข้อมูลจากนาย Krebs ระบุว่านาย Khader ดูเหมือนจะพยายามโยนความผิดเหตุเจาะ FBI ไปให้นาย van der Stap ด้วยการใช้ภาพตัวละคร Umbreon จากโปเกมอนในหน้าเว็บที่ถูกเปลี่ยน เนื่องจาก Umbreon เป็นชื่อเล่นที่นาย van der Stap ใช้ในการขู่กรรโชก ทั้งนี้ นาย van der Stap เคยถูกตัดสินลงโทษในปี 2023 จากการแฮ็กและขู่กรรโชกหลายองค์กร และอยู่ระหว่างการปล่อยตัวภายใต้การกำกับดูแลหลังรับโทษจำคุก 3 ปี ขณะที่โฆษกของ ShinyHunters ปฏิเสธว่าไม่มีความเชื่อมโยงกับเขา

วิธีการโจมตี

นาย Leatherman อธิบายรูปแบบการทำงานของเครือข่ายนี้ว่า “มักเล็งเป้าไปที่ผู้ให้บริการบุคคลที่สามบนแพลตฟอร์มคลาวด์ ขโมยข้อมูลอ่อนไหว แล้วขู่เหยื่อว่าจะเผยแพร่ข้อมูลนั้น” กล่าวคือกลุ่มนี้ไม่ได้เน้นเข้ารหัสไฟล์แบบแรนซัมแวร์ทั่วไป แต่ใช้วิศวกรรมสังคมเพื่อให้ได้สิทธิ์เข้าถึงระบบ SaaS หรือผู้ให้บริการที่ถือข้อมูลขององค์กรจำนวนมาก แล้วขโมยข้อมูลออกไปเพื่อเรียกค่าไถ่ ในเหตุการณ์ช่วงหลัง กลุ่มยังใช้ช่องโหว่ที่ไม่ได้แพตช์ใน Grav CMS เจาะเว็บไซต์ลับของกลุ่ม Cl0p และอ้างว่าเหตุเจาะ FBI ไม่ได้มุ่งหวังเงิน แต่ต้องการกดดันให้ FBI แก้สิ่งที่กลุ่มเรียกว่าข้อกล่าวหาเท็จ โดยเฉพาะการโยงกลุ่มกับ The Com เครือข่ายอาชญากรไซเบอร์หลวม ๆ ที่ขึ้นชื่อเรื่องวิศวกรรมสังคม ฟิชชิง SIM swapping การขู่กรรโชก และความรุนแรงทางกายภาพ

รายงานเชิงลึกของบริษัท Sekoia ร่วมกับบริษัท Beazley Security ช่วยอธิบายว่าทำไมการจับกุมรายบุคคลจึงหยุดกลุ่มนี้ไม่ได้ง่าย ๆ นักวิจัยนาย Enzo Saez และนาย Robert (Bobby) Venal สืบรากของ ShinyHunters ย้อนไปถึงกลุ่มขู่กรรโชกรุ่นก่อนอย่าง TheDarkOverlord และ GnosticPlayers ส่วนแบรนด์ ShinyHunters ปรากฏต่อสาธารณะราวเดือนเมษายนถึงพฤษภาคม 2020 นักวิจัยสรุปว่า “หกปีผ่านไป ShinyHunters ไม่ได้เป็นกลุ่มอีกต่อไป แต่เป็นแบรนด์และโมเดลธุรกิจที่อยู่รอดนานกว่าผู้ก่อตั้ง” ความยืดหยุ่นนี้มาจากการแบ่งงานกันแบบเกือบเป็นโมดูล คือ ทีมวิศวกรรมสังคมหาช่องทางเข้า กลุ่มใกล้เคียงช่วยขยายผลและหาคนใหม่ และสร้างรายได้ภายใต้แบรนด์เดียวกันที่คนจดจำได้ กลุ่มจึงผ่านทั้งการฟ้องร้อง การจับกุม และการยึดฟอรัมมาได้โดยไม่เคยเงียบไปนาน

ผลกระทบ

การที่ผู้ต้องสงสัยระดับแอดมินให้ความร่วมมือกับ FBI ทำให้สมาชิกที่เหลือเสี่ยงถูกระบุตัวมากขึ้น ซึ่งนาย Leatherman ใช้เป็นแรงกดดันโดยตรง ด้วยการกล่าวว่า “การจับกุมมักเปลี่ยนว่าใครพร้อมจะพูด และโครงสร้างพื้นฐานที่ยึดมาได้ก็มักบอกเราว่ายังเหลือใคร” พร้อมเรียกร้องให้สมาชิกที่เหลือติดต่อ FBI ก่อน อย่างไรก็ตาม ประวัติของนาย Khader เองชี้ว่าการให้ความร่วมมือกับเจ้าหน้าที่ไม่ได้หยุดกิจกรรมของกลุ่มทันที เพราะเขาอ้างว่าร่วมมือมาตั้งแต่กลางปี 2025 แต่กลุ่มยังก่อเหตุใหญ่ต่อเนื่องมาจนถึงเดือนกันยายน 2026

สำหรับองค์กรที่ตกเป็นเหยื่อ ข้อสรุปของ Sekoia และ Beazley Security มีนัยสำคัญกว่าข่าวการจับกุม หากแบรนด์ ShinyHunters ทำงานแบบโมดูลจริง การจับกุมแกนนำอาจทำให้กิจกรรมชะลอลงชั่วคราว แต่วิธีการโจมตีผ่านวิศวกรรมสังคมและผู้ให้บริการบุคคลที่สามจะยังอยู่ และอาจกลับมาภายใต้ชื่อเดิมหรือชื่อใหม่ ข้อมูลที่ถูกขโมยไปก่อนหน้านี้ก็ยังอาจถูกนำมาขู่หรือขายต่อได้ไม่ว่าแกนนำจะถูกจับหรือไม่

คำแนะนำ

  • ตรวจสอบสิทธิ์และการเชื่อมต่อของผู้ให้บริการบุคคลที่สามบนแพลตฟอร์ม SaaS เช่น OAuth app, connected app และ API token พร้อมเพิกถอนสิทธิ์ที่ไม่ได้ใช้งาน
  • ฝึกอบรมเจ้าหน้าที่ help desk ให้ยืนยันตัวตนผู้โทรขอรีเซ็ตรหัสผ่านหรือ MFA ด้วยช่องทางที่สอง เพราะวิศวกรรมสังคมทางโทรศัพท์เป็นช่องทางเข้าหลักของเครือข่ายนี้
  • ใช้ MFA ที่ทนต่อฟิชชิง เช่น FIDO2 หรือ passkey สำหรับบัญชีผู้ดูแลระบบและบัญชีที่เข้าถึงข้อมูลลูกค้า
  • เฝ้าระวังการดาวน์โหลดหรือส่งออกข้อมูลปริมาณมากผิดปกติจากระบบ CRM ระบบจัดการตั๋ว และคลังข้อมูลบนคลาวด์
  • เตรียมแผนรับมือการขู่กรรโชกด้วยข้อมูลรั่ว ทั้งด้านกฎหมาย การสื่อสาร และการแจ้งหน่วยงานที่เกี่ยวข้อง แทนการพึ่งการจ่ายค่าไถ่

แหล่งอ้างอิง