สรุปสั้น

กระทรวงการต่างประเทศอิตาลี (Ministero degli Affari Esteri หรือที่เรียกกันว่า Farnesina) แถลงเมื่อเช้าวันที่ 8 ตุลาคม 2569 ว่าเว็บไซต์ของกระทรวงกำลังถูกโจมตี แต่ระบบป้องกันลดผลกระทบได้และยังไม่มีบริการใดหยุดชะงัก กระทรวงเฝ้าติดตามสถานการณ์ร่วมกับ Polo Strategico Nazionale ซึ่งเป็นศูนย์คลาวด์แห่งชาติของอิตาลีและหน่วยงานที่เกี่ยวข้อง ขณะเดียวกันนักวิเคราะห์ก็ตรวจเว็บไซต์สถานทูตและสถานกงสุลอิตาลีในต่างประเทศว่ามีความพยายามโจมตีลักษณะเดียวกันหรือไม่ ทั้งนี้แถลงการณ์ไม่ได้ระบุว่าใครอยู่เบื้องหลังหรือเป็นการโจมตีประเภทใด

ยังไม่มีกลุ่มใดอ้างความรับผิดชอบ แต่นาย Pierluigi Paganini ผู้เขียนของ Security Affairs ตรวจรายชื่อเป้าหมายที่แชร์ในแพลตฟอร์ม DDoSia ของกลุ่มแฮ็กเกอร์นิยมรัสเซีย NoName057(16) ในวันเดียวกัน และพบว่ามีทั้ง Farnesina เว็บไซต์สถานทูตอิตาลี 5 แห่ง บริการหลายรายการของกระทรวงมหาดไทยและกระทรวงกลาโหม รวมถึงองค์กรอิตาลีอื่น ๆ นาย Antonio Tajani รัฐมนตรีว่าการกระทรวงการต่างประเทศระบุว่ากระทรวงเสริมขีดความสามารถด้านป้องกัน เฝ้าระวัง และตอบสนองมาตลอดหลายเดือนที่ผ่านมา และอิตาลีจะร่วมมือกับโรมาเนียและรัฐสมาชิก EU อื่นผลักดันข้อเสนอให้ระบุชื่อผู้อยู่เบื้องหลังการโจมตีไซเบอร์ต่อสถาบันของอิตาลีในการประชุมระดับยุโรปครั้งถัดไป

รายละเอียดข่าว

เว็บไซต์ Security Affairs รายงานเมื่อวันที่ 8 ตุลาคม 2569 ว่ากระทรวงการต่างประเทศอิตาลีออกแถลงการณ์ยืนยันว่าเว็บไซต์ถูกโจมตีในช่วงเช้า และระบบป้องกันลดผลกระทบได้จนถึงขณะออกแถลงการณ์ นาย Tajani โยงการรับมือครั้งนี้เข้ากับการปฏิรูปกระทรวงที่ผ่านความเห็นชอบเมื่อปีก่อน ซึ่งกำหนดให้ความมั่นคงปลอดภัยไซเบอร์เป็นหัวใจของการปฏิรูป แถลงการณ์ยังระบุว่านาย Tajani เคยอธิบายขีดความสามารถของห้องปฏิบัติการ CSIRT ของกระทรวงให้นาย Johann Wadephul รัฐมนตรีว่าการกระทรวงการต่างประเทศเยอรมนีฟังระหว่างเยือนกรุงโรมไม่นานมานี้

ส่วนที่แถลงการณ์ให้น้ำหนักคือการทูต อิตาลีจะทำงานร่วมกับโรมาเนียและรัฐสมาชิกอื่นเพื่อบรรจุข้อเสนอ “ระบุตัวผู้กระทำที่รับผิดชอบต่อการโจมตีไซเบอร์” เข้าวาระการประชุม EU ครั้งถัดไป Security Affairs มองว่าหน้าเว็บที่ถูกบล็อกจะถูกลืมภายในวันเดียว แต่ชื่อที่อยู่ในบัญชีทางการนั้นปัดทิ้งได้ยากกว่า แนวทางนี้จึงอาจทำให้การโจมตีมีต้นทุนสูงขึ้นสำหรับผู้โจมตีมากกว่าการแค่ทำให้เว็บล่ม

แม้ไม่มีผู้อ้างความรับผิดชอบ แต่รูปแบบคุ้นเคย NoName057(16) เป็นกลุ่มนิยมรัสเซียที่ประกาศตัวในเดือนมีนาคม 2565 และประกาศเป้าหมายผ่าน Telegram นักวิจัยของบริษัท Avast เคยพบกลุ่มนี้ใช้บอตเน็ต Bobik ทำ DDoS ตั้งแต่กันยายน 2565 ก่อนจะพัฒนาเป็นโครงการ DDoSia ที่เปิดให้อาสาสมัครร่วมยิง DDoS ใส่รัฐบาลที่สนับสนุนยูเครน อิตาลีเป็นเป้าประจำ ช่วงสุดสัปดาห์ในเดือนมกราคม 2568 ระหว่างที่ประธานาธิบดี Zelensky เยือนกรุงโรม กลุ่มนี้ยิงเว็บไซต์กระทรวงและหน่วยงานรัฐในวันเสาร์ แล้วเปลี่ยนไปยิงธนาคาร Intesa และ Monte dei Paschi di Siena รวมถึงท่าเรือทารันโตและตรีเอสเตในวันอาทิตย์ ปลายเดือนธันวาคม 2567 กลุ่มยิงสนามบิน Malpensa และ Linate และในเดือนกุมภาพันธ์ 2568 ผูกการโจมตีระลอกใหม่เข้ากับสุนทรพจน์ของประธานาธิบดี Mattarella ตามรายงานของ Infosecurity Magazine จังหวะการโจมตีจึงเดินตามเหตุการณ์การเมือง

Farnesina เองก็เคยเจอมาก่อน สำนักข่าว ANSA รายงานว่าแฮ็กเกอร์รัสเซียทำให้เว็บไซต์กระทรวงล่มช่วงปลายเดือนธันวาคม 2567 และกลับมาใช้งานได้ในวันถัดไป ย้อนไปปี 2560 หนังสือพิมพ์ The Guardian เคยรายงานการบุกรุกระบบของกระทรวงที่กินเวลาหลายเดือน โดยสื่ออิตาลีรายงานภายหลังว่าผู้โจมตีเล็งบัญชีอีเมลของเจ้าหน้าที่กระทรวงและสถานทูต ไม่ใช่ระบบเข้ารหัสที่ใช้สื่อสารข้อมูลอ่อนไหว ขณะที่เครมลินปฏิเสธว่าไม่เกี่ยวข้อง

วิธีการโจมตี

แถลงการณ์ของกระทรวงไม่ได้ระบุประเภทการโจมตี การเชื่อมโยงกับ DDoS ของ NoName057(16) จึงมาจากรายชื่อเป้าหมายใน DDoSia ที่ Security Affairs ตรวจพบในวันเดียวกัน ไม่ใช่การยืนยันจากทางการอิตาลี DDoSia ทำงานแบบ crowdsourcing ผู้ดูแลกลุ่มเผยแพร่รายชื่อเป้าหมาย แล้วอาสาสมัครที่ติดตั้งเครื่องมือของกลุ่มจะยิงทราฟฟิกปริมาณมากใส่เป้าเหล่านั้นพร้อมกัน เพื่อแลกกับค่าตอบแทนเป็นคริปโท

DDoS กระทบความพร้อมใช้งาน (availability) ไม่ใช่ข้อมูล เว็บไซต์จะดับแล้วกลับมาใหม่ ในมุมเทคนิคการโจมตีลักษณะนี้มักไม่ซับซ้อนสำหรับหน่วยงานรัฐที่มีระบบป้องกัน DDoS และแบนด์วิดท์เพียงพอ อย่างไรก็ดี Security Affairs เตือนว่าการโจมตีที่เสียงดังอาจดึงความสนใจของทีมป้องกันออกจากปฏิบัติการที่เงียบกว่าซึ่งเกิดขึ้นที่อื่น และย้ำว่านี่เป็นเหตุผลให้ตรวจสอบเพิ่ม ไม่ใช่ข้อกล่าวหาว่าเกิดขึ้นในกรณีนี้ จนถึงตอนนี้ยังไม่มีหลักฐานการบุกรุก ขโมยข้อมูล หรือยึดระบบใด ๆ

ผลกระทบ

ผลกระทบโดยตรงยังจำกัด เพราะกระทรวงระบุว่าบริการไม่สะดุด แต่ส่วนที่ Security Affairs ชี้ว่าน่าห่วงกว่าคือเครือข่ายสถานทูตและสถานกงสุล เว็บไซต์เหล่านี้เป็นช่องทางที่พลเมืองในต่างประเทศใช้นัดหมาย หาเบอร์ติดต่อ และรับคำแนะนำ ถ้าล่มในช่วงวิกฤตต่างประเทศจะกระทบคนจริง ๆ ทุกเว็บยังเป็นพื้นผิวที่ต้องป้องกันเพิ่ม และหน้าเว็บปลอมที่เลียนแบบสถานทูตก็เป็นช่องทางง่ายสำหรับหลอกลวงคนที่กำลังเครียดอยู่แล้ว

อีกความเสี่ยงคือเรื่องเล่าที่สร้างขึ้นรอบการโจมตี รายชื่อเป้าหมายยาว ๆ ทำให้ภัยดูร้ายแรงกว่าผลกระทบทางเทคนิคจริง และคนนอกวงการอาจตีความว่าเว็บรัฐถูกโจมตีเท่ากับรัฐบาลถูกเจาะอย่างหนัก DDoS จึงกลายเป็นเครื่องมือโฆษณาชวนเชื่อที่ใช้ทรัพยากรน้อยแต่สร้างความกลัวได้มาก รัฐบาลจึงต้องรับมือกับการหยุดชะงักโดยไม่ให้การโจมตีที่ไร้ผลทางเทคนิคได้คุณค่าเชิงยุทธศาสตร์เกินจริง และต้องแน่ใจว่าเสียงดังนั้นไม่ได้กลบสิ่งที่ร้ายแรงกว่า

คำแนะนำ

  • หน่วยงานรัฐและหน่วยงานการทูตควรใช้บริการป้องกัน DDoS ระดับเครือข่ายหรือ CDN ครอบคลุมทั้งเว็บไซต์หลักและเว็บไซต์ของสำนักงานในต่างประเทศ ไม่ใช่เฉพาะหน้าแรกของกระทรวง
  • ติดตามรายชื่อเป้าหมายที่กลุ่ม hacktivist อย่าง NoName057(16) เผยแพร่ผ่าน Telegram/DDoSia เพื่อเตรียมรับมือล่วงหน้า โดยเฉพาะช่วงที่มีเหตุการณ์การเมืองหรือการเยือนของผู้นำต่างประเทศ
  • ระหว่างรับมือ DDoS ให้ทีม SOC เฝ้าระวังสัญญาณการบุกรุกอื่นคู่ขนาน เช่น การเข้าสู่ระบบผิดปกติ ฟิชชิงที่เล็งบัญชีอีเมลของเจ้าหน้าที่ และการเปลี่ยนแปลงคอนฟิก เพื่อไม่ให้การโจมตีที่เสียงดังกลบปฏิบัติการที่เงียบกว่า
  • เฝ้าระวังโดเมนและหน้าเว็บที่เลียนแบบเว็บไซต์สถานทูตหรือบริการกงสุล และเตรียมช่องทางสำรองแจ้งข้อมูลแก่ประชาชนเมื่อเว็บไซต์หลักใช้งานไม่ได้
  • สื่อสารสถานะอย่างตรงไปตรงมาว่าเป็นการโจมตีด้านความพร้อมใช้งาน และมีข้อมูลรั่วไหลหรือไม่ เพื่อลดผลทางจิตวิทยาที่กลุ่มผู้โจมตีต้องการ

แหล่งอ้างอิง