สรุปสั้น

กระทรวงการต่างประเทศสหรัฐฯ ผ่านโครงการ Rewards for Justice ตั้งรางวัลสูงสุด 10 ล้านดอลลาร์สหรัฐสำหรับข้อมูลเกี่ยวกับนาย Zhang Yu ชาวจีนที่ถูกกล่าวหาว่าช่วยแฮ็กเกอร์เล็งเป้างานวิจัยโควิด-19 ของสหรัฐฯ ประกาศขอข้อมูลเกี่ยวกับตัว Zhang ผู้ร่วมงาน และกิจกรรมไซเบอร์ของพวกเขา แหล่งข่าวที่มีคุณสมบัติอาจได้รับเงินรางวัลและความช่วยเหลือในการย้ายถิ่นฐาน ทางการสหรัฐฯ กล่าวหาว่า Zhang ทำงานให้สำนักงานความมั่นคงแห่งรัฐเซี่ยงไฮ้ (Shanghai State Security Bureau) ซึ่งสังกัดกระทรวงความมั่นคงแห่งรัฐ (MSS) ของจีน กองไซเบอร์ของ FBI เผยแพร่ประกาศรางวัลนี้พร้อมชี้ไปยังคดีของนาย Xu Zewei ผู้ที่ถูกกล่าวหาว่าเป็นคู่หูของเขา ซึ่งอยู่ในการควบคุมตัวของสหรัฐฯ แล้ว

ตามคดี การบุกรุกเกิดขึ้นตั้งแต่กุมภาพันธ์ 2563 ถึงมิถุนายน 2564 เป้าหมายช่วงแรกคือมหาวิทยาลัย นักภูมิคุ้มกันวิทยา และนักไวรัสวิทยาในสหรัฐฯ ที่ทำงานด้านวัคซีน การรักษา และการตรวจโควิด-19 โดยมีเจ้าหน้าที่ข่าวกรองเป็นผู้สั่งการและรับรายงานความคืบหน้า คดียังโยงทั้งคู่กับแคมเปญ HAFNIUM ที่เจาะ Microsoft Exchange Server ตั้งแต่ปลายปี 2563 Xu ถูกจับที่มิลานเมื่อ 3 กรกฎาคม 2568 และส่งตัวถึงสหรัฐฯ เมื่อ 25 เมษายน 2569 ส่วน Zhang ยังหลบหนี ทั้งคู่ถูกฟ้องรวม 9 ข้อหา ซึ่งยังไม่ได้พิสูจน์ในชั้นศาล

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 8 ตุลาคม พ.ศ. 2569 ว่า เอกสารศาลตามสรุปคดีของกระทรวงยุติธรรมสหรัฐฯ บรรยายลำดับเหตุการณ์ไว้ชัดเจน ราววันที่ 19 กุมภาพันธ์ 2563 Xu แจ้งเจ้าหน้าที่ของสำนักงานความมั่นคงแห่งรัฐเซี่ยงไฮ้ว่าเจาะมหาวิทยาลัยวิจัยแห่งหนึ่งในเขตตอนใต้ของรัฐเท็กซัสได้แล้ว สามวันต่อมา เจ้าหน้าที่สั่งให้เขาเข้าถึงกล่องอีเมลเฉพาะของนักวิจัยที่ศึกษาโควิด-19 และต่อมา Xu รายงานว่าได้เนื้อหาในกล่องอีเมลเหล่านั้นมาแล้ว คดีนี้จึงเป็นการกล่าวหาว่าขโมยข้อมูลได้จริง ไม่ใช่แค่ความพยายาม แม้หัวข้อข่าวจะใช้คำว่า “พยายามขโมย” ก็ตาม แต่สรุปคดีที่เปิดเผยไม่ได้ระบุชื่อมหาวิทยาลัยหรือรายการเอกสารที่ถูกนำไป

ทางการอิตาลีจับกุม Xu ที่มิลานเมื่อวันที่ 3 กรกฎาคม 2568 ตามคำร้องของสหรัฐฯ เขาถูกส่งตัวเมื่อวันที่ 25 เมษายน 2569 และขึ้นศาลรัฐบาลกลางในฮิวสตันเมื่อวันที่ 27 เมษายน Cyber Security News เคยตรวจสอบบริษัทจีนที่โยงกับทั้งคู่ และพบสิทธิบัตรเครื่องมือเก็บข้อมูล รายงานนั้นระบุว่า Xu ทำงานให้ Shanghai Powerock ส่วน Zhang ทำงานให้ Shanghai Firetech ซึ่งช่วยให้เห็นเครือข่ายบริษัทรับจ้างเบื้องหลังปฏิบัติการ แต่สิทธิบัตรเหล่านั้นไม่ได้พิสูจน์ว่าเครื่องมือใดถูกใช้ในการบุกรุกเหล่านี้

ที่มาของประกาศรางวัลและบทบาทของ Zhang ในคดี

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 8 ตุลาคม พ.ศ. 2569 โดยอ้างสถานีข่าว NTD ว่าประกาศของ Rewards for Justice ระบุว่า Zhang เป็นที่ต้องการตัวจาก “กิจกรรมไซเบอร์ที่มุ่งร้ายต่อโครงสร้างพื้นฐานสำคัญของสหรัฐฯ” แต่ The Hacker News ชี้ว่าทั้งวงเงิน 10 ล้านดอลลาร์และถ้อยคำนี้ตรงกับประกาศรางวัลแบบกว้างที่โครงการใช้มาตั้งแต่มกราคม 2568 สำหรับผู้ที่แฮ็กโครงสร้างพื้นฐานสำคัญของสหรัฐฯ ตามคำสั่งรัฐบาลต่างชาติ จึงควรอ่านว่าเป็นการนำชื่อ Zhang เข้าสู่กรอบรางวัลเดิม มากกว่าเป็นรางวัลที่ตั้งขึ้นใหม่เฉพาะคดีนี้ โครงการ Rewards for Justice ระบุว่าจ่ายเงินรางวัลไปแล้วกว่า 250 ล้านดอลลาร์ให้ผู้ให้ข้อมูลกว่า 125 รายนับตั้งแต่ปี 2527

ทางการสหรัฐฯ ระบุว่า Zhang เป็นผู้อำนวยการของบริษัท Shanghai Firetech Information Science and Technology ตามคำฟ้อง เขารับงานที่สำนักงานความมั่นคงแห่งรัฐเซี่ยงไฮ้มอบหมาย ควบคุมการแฮ็กของพนักงาน Firetech คนอื่น และประสานงานกับ Xu ซึ่งทำงานให้บริษัท Shanghai Powerock Network ที่กระทรวงยุติธรรมสหรัฐฯ เรียกว่าหนึ่งในบริษัท “enabling” ที่แฮ็กให้รัฐบาลจีน คำฟ้อง 9 ข้อหาจัดทำตั้งแต่พฤศจิกายน 2566 และเปิดเผยต่อสาธารณะเมื่อกรกฎาคม 2568 เหยื่อที่ถูกกล่าวหาได้แก่มหาวิทยาลัย 2 แห่งในรัฐเท็กซัส และสำนักงานกฎหมายระหว่างประเทศที่มีสำนักงานในกรุงวอชิงตัน ดี.ซี. โดยราววันที่ 30 มกราคม 2564 Xu แจ้ง Zhang ว่าเจาะเครือข่ายของมหาวิทยาลัยในเท็กซัสได้แล้ว ตอนส่งตัว Xu นาย Brett Leatherman ผู้ช่วยผู้อำนวยการกองไซเบอร์ของ FBI กล่าวว่า Xu “เป็นหนึ่งในผู้รับจ้างจำนวนมากที่รัฐบาลจีนใช้ปกปิดบทบาทของตนในปฏิบัติการไซเบอร์ และคนอื่นที่ทำแบบเดียวกันก็เผชิญความเสี่ยงเดียวกัน”

ในส่วนการระบุตัวผู้โจมตี บริษัท Microsoft เปิดเผยการโจมตี Exchange เมื่อ 2 มีนาคม 2564 พร้อมแพตช์ซีโรเดย์ 4 ตัว รวมถึง ProxyLogon และระบุว่าเป็นฝีมือ HAFNIUM ซึ่งปัจจุบันติดตามในชื่อ Silk Typhoon ภายในไม่กี่วันก็พบกลุ่มอื่นใช้ช่องโหว่ชุดเดียวกัน ต่อมากรกฎาคม 2564 สหรัฐฯ และรัฐบาลพันธมิตรระบุร่วมกันว่าแฮ็กเกอร์ที่โยงกับ MSS อยู่เบื้องหลัง ขณะที่ชื่อ Xu Zewei และ Zhang Yu มาจากคำฟ้องของสหรัฐฯ เท่านั้น รายงานของ Microsoft ปี 2564 ระบุแค่ชื่อกลุ่มและประเทศ

วิธีการโจมตี

นอกจากการเจาะกล่องอีเมลนักวิจัยโควิด-19 อัยการกล่าวหาว่ากลุ่มนี้ใช้ช่องโหว่ของ Microsoft Exchange Server เจาะระบบอีเมลตั้งแต่ปลายปี 2563 ในแคมเปญที่ Microsoft เปิดเผยต่อสาธารณะในชื่อ HAFNIUM เมื่อมีนาคม 2564 ซึ่งนำไปสู่แพตช์ เครื่องมือตรวจจับ และคำแนะนำจากภาครัฐจำนวนมาก หลังเข้าระบบได้ ผู้โจมตีติดตั้งเว็บเชลล์เพื่อควบคุมเซิร์ฟเวอร์ระยะไกล แล้วใช้ค้นหาและดึงข้อมูลในกล่องอีเมล ที่สำนักงานกฎหมายแห่งหนึ่ง ผู้สืบสวนพบว่าผู้โจมตีค้นคำอย่าง “Chinese sources”, “MSS” และ “HongKong” ซึ่งชี้ว่ากำลังหาข้อมูลที่เกี่ยวกับการข่าวกรองของจีนเอง

FBI ระบุว่าแคมเปญ HAFNIUM ในภาพรวมเจาะองค์กรในสหรัฐฯ ได้กว่า 12,700 แห่ง แต่ตัวเลขนี้เป็นของแคมเปญทั้งหมด ไม่ใช่จำนวนเหยื่องานวิจัยโควิด-19 ที่ยืนยันแล้ว หรือจำนวนองค์กรที่ Zhang เจาะเองโดยตรง

ผลกระทบ

คดีนี้เป็นตัวอย่างของรูปแบบที่จีนใช้บริษัทเอกชนเป็นผู้รับจ้างทำงานข่าวกรอง กระทรวงยุติธรรมสหรัฐฯ ชี้ว่าการใช้บริษัทเอกชนช่วยปกปิดบทบาทของรัฐ และการเจาะระบบแบบกวาดวงกว้างอย่าง HAFNIUM ทิ้งระบบไว้ในสภาพที่เปิดให้ผู้ก่อภัยรายอื่นที่หวังผลทางการเงินเข้ามาโจมตีต่อได้ ซึ่งเกิดขึ้นจริงในปี 2564 เมื่อเว็บเชลล์บน Exchange ที่ไม่ได้รับการแก้ไขถูกกลุ่มแรนซัมแวร์และนักขุดคริปโตนำไปใช้ต่อ

ในเชิงบังคับใช้กฎหมาย การจับกุม Xu ได้เพราะเขาเดินทางไปอิตาลี และการตั้งรางวัลตามตัว Zhang แสดงว่าสหรัฐฯ ยังติดตามคดีไซเบอร์ที่เกิดเมื่อหลายปีก่อน ผลจริงอาจจำกัดเพราะ Zhang น่าจะอยู่ในจีน แต่คดีลักษณะนี้จำกัดการเดินทางของผู้ต้องหา และเพิ่มต้นทุนของบริษัทที่รับงานจากรัฐ

คำแนะนำ

  • องค์กรที่ยังใช้ Exchange Server แบบติดตั้งเอง ควรอัปเดตเป็นเวอร์ชันที่ยังได้รับการสนับสนุน และตรวจหาเว็บเชลล์ในไดเรกทอรีของ IIS และ Exchange เป็นระยะ แม้แพตช์ HAFNIUM จะติดตั้งไปนานแล้ว เพราะเว็บเชลล์ที่วางไว้ก่อนแพตช์ยังทำงานต่อได้
  • สถาบันวิจัยและมหาวิทยาลัยควรเฝ้าระวังการเข้าถึงกล่องอีเมลของนักวิจัยในหัวข้อที่มีมูลค่าเชิงยุทธศาสตร์ เช่น การส่งต่ออีเมลอัตโนมัติ การ export กล่องอีเมล และการเข้าถึงด้วยสิทธิ์ผู้ดูแล
  • เปิดและเก็บ audit log ของการค้นหาและเข้าถึงกล่องอีเมล เพื่อให้ตรวจย้อนหลังได้ว่ามีการค้นด้วยคำสำคัญผิดปกติหรือไม่
  • ผู้ที่มีข้อมูลเกี่ยวกับ Zhang Yu หรือเครือข่ายนี้ ส่งข้อมูลได้ผ่านช่องทางรายงานบน Tor ของ Rewards for Justice

แหล่งอ้างอิง