เจ้าของ MonsterCloud ถูกตั้งข้อหาฉ้อโกง — อ้างมีเครื่องมือถอดรหัสแรนซัมแวร์เอง แต่แอบจ่ายค่าไถ่ให้แฮ็กเกอร์แล้วเก็บค่าบริการลูกค้ากว่า 19 ล้านดอลลาร์

สรุปสั้น

กระทรวงยุติธรรมสหรัฐฯ (DoJ) ประกาศตั้งข้อหานาย Zohar Pinhasi อายุ 50 ปี สัญชาติสหรัฐฯ และอิสราเอล หรือที่รู้จักในชื่อ “Zack Silver” และ “Zack Green” เจ้าของและผู้บริหารบริษัท MonsterCloud ในรัฐฟลอริดา ซึ่งให้บริการกู้ข้อมูลจากแรนซัมแวร์ ฐานฉ้อโกงทางสายโทรคมนาคม (wire fraud) 2 กระทงและสมคบคิดฉ้อโกงอีก 1 กระทง โดยถูกกล่าวหาว่าหลอกเหยื่อแรนซัมแวร์ว่าบริษัทมี “เครื่องมือเฉพาะ” และ “เทคนิคถอดรหัสขั้นสูง” ที่กู้ข้อมูลได้โดยไม่ต้องจ่ายค่าไถ่ แต่ความจริงแล้วไม่มีเครื่องมือดังกล่าว เขาแอบติดต่อผู้โจมตีและจ่ายค่าไถ่เพื่อแลกกับตัวถอดรหัส แล้วเรียกเก็บค่าบริการจากลูกค้าสูงกว่าค่าไถ่ที่จ่ายจริงอย่างมาก

ตลอดแผนการนี้ นาย Pinhasi ถูกกล่าวหาว่าเก็บเงินลูกค้ารวมกว่า 19 ล้านดอลลาร์สหรัฐ ขณะจ่ายค่าไถ่ไปกว่า 8 ล้านดอลลาร์ ส่วนต่างราว 11 ล้านดอลลาร์จึงเป็นกำไรที่ปกปิดไว้ เคสหนึ่งเมื่อสิงหาคม 2566 เขาจ่ายค่าไถ่ราว 8,200 ดอลลาร์แต่เก็บเงินลูกค้าราว 150,000 ดอลลาร์ หากถูกตัดสินว่ามีความผิด เขาอาจได้รับโทษจำคุกสูงสุด 20 ปีต่อกระทง ทั้งนี้ทั้งหมดยังเป็นข้อกล่าวหา และจำเลยถือว่าบริสุทธิ์จนกว่าศาลจะตัดสิน

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 8 ตุลาคม 2569 ว่า DoJ ประกาศข้อกล่าวหาเมื่อวันพุธที่ 7 ตุลาคม ส่วนเว็บไซต์ SecurityWeek รายงานว่านาย Pinhasi ปรากฏตัวต่อศาลในนิวยอร์กเพื่อรับฟังข้อกล่าวหา คดีนี้อยู่ในความรับผิดชอบของสำนักงานอัยการสหรัฐฯ เขตตะวันออกของนิวยอร์ก ตามคำฟ้อง นาย Pinhasi เตือนเหยื่อแรนซัมแวร์ไม่ให้จ่ายค่าไถ่ และยืนยันว่า MonsterCloud สามารถกู้ข้อมูลที่ถูกเข้ารหัสได้เองโดยไม่ต้องยอมผู้โจมตี

เว็บไซต์ของ MonsterCloud อ้างว่าบริษัทใช้ “เทคนิคถอดรหัสขั้นสูงและเทคโนโลยีล้ำสมัย” ในการกู้ข้อมูล และในส่วน “ควรจ่ายค่าไถ่หรือไม่” ระบุว่า “การจ่ายค่าไถ่ให้อาชญากรไซเบอร์ไม่ได้รับประกันผลลัพธ์ที่ดี และยิ่งเป็นการส่งเสริมพฤติกรรมผิดกฎหมาย” แต่ในหน้าถามตอบ บริษัทตอบคำถามว่าจ่ายค่าไถ่แทนลูกค้าหรือไม่ว่า “แม้เราสนับสนุนอย่างยิ่งให้ลูกค้าไม่จ่ายค่าไถ่เอง แต่เรามีประสบการณ์กว้างขวางในการติดต่อกับผู้ก่อเหตุแรนซัมแวร์ และบางครั้งใช้วิธีอื่นในการแก้ไขเหตุการณ์ให้ลูกค้า เงื่อนไขทั้งหมดเปิดเผยไว้ในสัญญาบริการ” ข้อความนี้จึงอาจเป็นประเด็นที่ฝ่ายจำเลยใช้โต้แย้งในชั้นศาล

รูปแบบการฉ้อโกง

ตามข้อกล่าวหา เมื่อลูกค้าถูกแรนซัมแวร์ นาย Pinhasi จะติดต่อกลุ่มผู้โจมตีที่แฮ็กลูกค้ารายนั้นโดยตรง จ่ายค่าไถ่เพื่อแลกกับกุญแจถอดรหัส แล้วนำกุญแจนั้นมากู้ข้อมูลให้ลูกค้า โดยเรียกเก็บค่าบริการที่ “สูงกว่าอย่างมาก” เมื่อเทียบกับค่าไถ่ที่จ่ายจริง และนำเสนอผลงานว่ามาจากเครื่องมือของบริษัทเอง ตัวอย่างที่ระบุในคำฟ้องได้แก่

นาย Joseph Nocella, Jr. อัยการสหรัฐฯ ประจำเขตตะวันออกของนิวยอร์ก ระบุว่า “การอ้างอย่างเท็จว่าถอดรหัสแรนซัมแวร์ได้โดยไม่ต้องจ่ายเงินให้ผู้เรียกค่าไถ่ ทำให้จำเลยซ้ำเติมลูกค้าให้ตกเป็นเหยื่ออีกครั้ง ขณะที่ตนเองได้กำไรมหาศาล” ด้านนาย James C. Barnacle Jr. ผู้ช่วยผู้อำนวยการ FBI ระบุว่า “นาย Pinhasi อ้างว่าแก้ปัญหาแรนซัมแวร์ แต่ไม่เคยกำจัดภัยคุกคามต้นเหตุเลย เขาเปลี่ยนวิกฤตของเหยื่อให้เป็นแหล่งกำไรของตัวเอง” และนาย A. Tysen Duva ผู้ช่วยอัยการสูงสุด ระบุว่าจำเลยถูกกล่าวหาว่าเสนอทางเลือกแทนการจ่ายค่าไถ่ แต่กลับทำให้เหยื่อตกเป็นเหยื่อซ้ำและก่อการฉ้อโกงเพิ่ม

ผลกระทบ

นอกจากความเสียหายทางการเงินจากค่าบริการที่บวกเกินจริง ลูกค้าของ MonsterCloud อาจเผชิญความเสี่ยงที่ไม่รู้ตัว เพราะการจ่ายค่าไถ่ให้ผู้โจมตีอาจขัดกับนโยบายภายใน เงื่อนไขประกันภัยไซเบอร์ หรือข้อห้ามด้านการคว่ำบาตรของสหรัฐฯ หากผู้รับเงินเป็นกลุ่มหรือบุคคลที่ถูกคว่ำบาตร นอกจากนี้ FBI ชี้ว่าบริษัท “ไม่เคยกำจัดภัยคุกคามต้นเหตุ” ซึ่งหมายความว่าเครือข่ายของลูกค้าอาจยังมีช่องทางเข้าถึงที่ผู้โจมตีทิ้งไว้ และอาจถูกโจมตีซ้ำ

คดีนี้ยังสะท้อนความเสี่ยงของการพึ่งพาผู้ให้บริการภายนอกในช่วงวิกฤต องค์กรที่ถูกแรนซัมแวร์มักตัดสินใจภายใต้แรงกดดันด้านเวลาและข้อมูลไม่ครบ ทำให้ตรวจสอบคำกล่าวอ้างของผู้ให้บริการได้ยาก การกล่าวอ้างว่า “กู้ข้อมูลได้โดยไม่จ่ายค่าไถ่” กับแรนซัมแวร์สมัยใหม่ที่เข้ารหัสถูกต้องตามหลักวิชาการ จึงควรถูกตั้งคำถามเสมอ

คำแนะนำ

• คัดเลือกผู้ให้บริการรับมือเหตุ (IR) และเจรจาค่าไถ่ไว้ล่วงหน้าตั้งแต่ยามปกติ ผ่านบริษัทประกันภัยไซเบอร์หรือรายชื่อที่ตรวจสอบได้ ไม่ใช่ค้นหาตอนเกิดเหตุ
• ขอหลักฐานทางเทคนิคเมื่อผู้ให้บริการอ้างว่าถอดรหัสได้เอง เช่น ชื่อตระกูลแรนซัมแวร์ ข้อบกพร่องในการเข้ารหัสที่ใช้ หรือตัวถอดรหัสสาธารณะจากโครงการอย่าง No More Ransom
• ระบุในสัญญาให้ชัดว่าผู้ให้บริการจะจ่ายค่าไถ่แทนองค์กรได้หรือไม่ ต้องขออนุมัติใคร และต้องรายงานจำนวนเงิน ผู้รับ และธุรกรรมคริปโตทุกครั้ง
• ตรวจสถานะคว่ำบาตรของกลุ่มผู้โจมตีก่อนการจ่ายเงินใด ๆ และแจ้งหน่วยงานบังคับใช้กฎหมายตามข้อกำหนด
• หลังกู้ข้อมูลแล้ว ต้องทำการสืบสวนหาจุดเข้าเริ่มต้นและกำจัดการคงสิทธิ์ของผู้โจมตีให้ครบ ไม่ใช่หยุดแค่การถอดรหัสไฟล์

แหล่งอ้างอิง

• U.S. Department of Justice — Known Cybersecurity Expert and Owner of Florida Ransomware Remediation Company Charged
• The Hacker News — MonsterCloud Owner Accused of Billing Over $19M While Secretly Paying Ransoms to Decrypt Data
• SecurityWeek — Fake Decryption Tools Masked $11M Markup in Ransomware Recovery Scheme