สรุปสั้น

แชตภายในของกลุ่มรีดไถ Silent Ransom Group (SRG หรือที่รู้จักในชื่อ Luna Moth) ที่หลุดออกมาเผยตัวเลขที่น่าตกใจ ข้อมูลมาจากเซิร์ฟเวอร์ 2 เครื่องของกลุ่ม ครอบคลุมราว 13 เดือนตั้งแต่สิงหาคม 2568 ถึงกันยายน 2569 รวม 5,692 ข้อความ ว่าด้วยการต่อรองค่าไถ่ วิธีเข้าถึงระบบของเหยื่อ และแผนเล็งเป้าหมายรายต่อไป บันทึกภายในของกลุ่มอ้างว่าสำนักงานกฎหมาย 27 แห่งจ่ายค่าไถ่รวมราว 207 ล้านดอลลาร์สหรัฐระหว่างวันที่ 3 เมษายน ถึง 24 กันยายน 2569 ค่ามัธยฐานอยู่ที่ 6 ล้านดอลลาร์ต่อราย และก้อนใหญ่ที่สุดที่กลุ่มบันทึกไว้คือ 30 ล้านดอลลาร์จากสำนักงานกฎหมาย White & Case

สิ่งที่ทำให้กรณีนี้โดดเด่นคือ SRG ไม่ใช้มัลแวร์ ไม่ล็อกไฟล์ และไม่เข้ารหัสข้อมูล แต่อาศัยการโทรศัพท์ปลอมเป็นฝ่าย IT หลอกให้พนักงานอัปโหลดเอกสารหรือมอบสิทธิ์เข้าถึง แล้วขู่เปิดเผยข้อมูลลับของลูกความ บริษัทวิเคราะห์บล็อกเชน Crystal Intelligence ระบุว่าข้อมูลบนเชนยืนยันขนาดของปฏิบัติการได้ แต่ยืนยันตัวเลขที่แน่นอนไม่ได้ ขณะที่บางรายการในแชตก็ขัดกับข้อมูลอื่น ตัวเลข 207 ล้านดอลลาร์จึงเป็นการอ้างของอาชญากรเอง ไม่ใช่ยอดที่ได้รับการตรวจสอบ SRG ปฏิเสธว่าระบบของตนไม่ได้ถูกเจาะ และเรื่องนี้ยังไม่ได้ข้อยุติ

รายละเอียดข่าว

เว็บไซต์ Security Affairs รายงานเมื่อวันที่ 10 ตุลาคม พ.ศ. 2569 โดยอ้างรายงานของเว็บไซต์ DataBreaches.net ที่เผยแพร่เมื่อ 7 ตุลาคม ว่าแชตที่หลุดถูกส่งให้ DataBreaches ครั้งแรกโดยนางสาว Tammy Harper นักวิจัยด้านภัยคุกคาม ในรูปเว็บไซต์ onion ที่มี 5,692 ข้อความ เนื้อหาครอบคลุมการรับเงินจากเหยื่อ วิธีเข้าถึงที่เป็นไปได้ แนวทางเข้าหาเหยื่อรายต่อไป รวมถึงเรื่องส่วนตัว เช่น สมาชิกรายหนึ่งซื้ออพาร์ตเมนต์ในมอสโก และการคุยเรื่องปืนและโดรน บทสนทนาโดยรวมฟังดูเหมือนทีมขายที่แลกเปลี่ยนเคล็ดลับการทำเงินมากกว่าองค์กรอาชญากรรมลับ

ค่าเฉลี่ยเลขคณิตของการจ่ายอยู่ที่ราว 7.66 ล้านดอลลาร์ ซึ่งสูงกว่ามัธยฐานเพราะมีรายการก้อนใหญ่ผิดปกติไม่กี่รายการดึงขึ้น เมื่อได้รับ 30 ล้านดอลลาร์จาก White & Case หัวหน้ากลุ่มรายหนึ่งเขียนเป็นภาษารัสเซียว่า “ทองสถิติใหม่ พี่ชาย ด้วยราคา BTC ที่ขึ้น สุดท้ายได้ 31.25 ล้าน” DataBreaches นำชื่อเหยื่อ 9 จาก 27 รายไปเทียบกับการแจ้งเหตุข้อมูลรั่วต่อสาธารณะในปี 2569 และพบว่าช่วงเวลาตรงกัน สำนักงานกฎหมาย Blank Rome เปิดเผยเหตุเมื่อพฤษภาคมที่ผู้โจมตีปลอมเป็นฝ่าย IT ภายในแล้วหลอกให้ทนายความรายหนึ่งอัปโหลดไฟล์ไปยัง Google Drive ภายนอก ส่วน Goodwin Procter ยืนยันเหตุคล้ายกันว่าพนักงานรายหนึ่งถูกหลอกให้มอบข้อมูลล็อกอินแก่บุคคลที่ไม่ได้รับอนุญาต

อย่างไรก็ดี ไม่ใช่ทุกคำอ้างที่ตรวจสอบแล้วสอดคล้อง DataBreaches พบรายการในแชตที่ระบุว่าสำนักงานกฎหมาย Hogan Lovells Cadwalader เสนอจ่าย 4 ล้านดอลลาร์เมื่อ 2 กันยายน ซึ่งตรงกับภาพหน้าจอที่กลุ่มส่งมาแยกต่างหาก แต่ไม่มีหลักฐานว่าสำนักงานจ่ายเต็มจำนวน “GOLD” ตามที่ SRG อ้างบนเว็บไซต์เผยข้อมูล ส่วนสำนักงาน Sheppard ที่ SRG อ้างว่าเสนอเกือบ 6 ล้านดอลลาร์ ในแชตกลับไม่มีร่องรอยว่าสำนักงานเคยตอบกลุ่มเลย SRG ตกลงให้สัมภาษณ์ในตอนแรกแต่ปฏิเสธว่าระบบของตนถูกเจาะ และเมื่อ 9 ตุลาคม DataBreaches เผยแพร่รายงานติดตามพร้อมหลักฐานเพิ่มเติมที่แย้งคำปฏิเสธนั้น

วิธีการโจมตีและการฟอกเงิน

SRG ไม่มี payload มัลแวร์และไม่เข้ารหัสไฟล์ แต่ใช้ social engineering ผ่านโทรศัพท์ที่เล็งสำนักงานกฎหมายเกือบทั้งหมด รูปแบบที่เห็นจากเหตุของ Blank Rome คือผู้โจมตีโทรปลอมเป็นเจ้าหน้าที่ IT ภายใน แล้วโน้มน้าวให้พนักงานอัปโหลดไฟล์ไปยังพื้นที่จัดเก็บบนคลาวด์ภายนอก หรือส่งมอบข้อมูลล็อกอิน เมื่อได้เอกสารแล้วก็ข่มขู่ว่าจะเปิดเผยข้อมูลลับของลูกความ สำนักงานกฎหมายเป็นเป้าหมายที่ดึงดูดเพราะเก็บข้อมูลอ่อนไหวของลูกความที่ใช้ต่อรองค่าไถ่ก้อนใหญ่ได้ และเพราะการโจมตีไม่ใช้มัลแวร์ เครื่องมือ EDR และแอนติไวรัสจึงมีโอกาสตรวจพบน้อยมาก

Crystal Intelligence วิเคราะห์ธุรกรรมคริปโตและเส้นทางฟอกเงิน พบว่าเงินผ่าน instant exchanger ผู้ส่งเงินสดในมอสโก โต๊ะแลกบิตคอยน์เป็น Zelle และกระเป๋าผสมเหรียญเมื่อเงินถูกตั้งธงว่าน่าสงสัย ผู้ดำเนินการตั้งกฎการใช้กระเป๋าที่เข้มงวดเพื่อกันการติดตาม แต่แชตแสดงว่าพวกเขาไม่ได้ทำตามกฎของตัวเองเสมอ Crystal Intelligence ระบุว่า “การจ่ายก้อนเล็กจำนวนมากเข้าตรงไปยังกระดานเทรดที่มีการกำกับ ซึ่งบัญชีผูกกับตัวตนที่ยืนยันแล้ว นี่คือจุดอ่อนที่สุดของเครือข่าย” ซึ่งเปิดช่องให้หน่วยงานบังคับใช้กฎหมายติดตามตัวผู้รับเงินได้

ผลกระทบ

หากตัวเลขในแชตใกล้เคียงความจริงแม้เพียงบางส่วน SRG จะเป็นหนึ่งในกลุ่มรีดไถที่ทำเงินได้มากที่สุดในปี 2569 โดยไม่ต้องลงทุนพัฒนามัลแวร์หรือเครื่องมือเข้ารหัส กรณีนี้ตอกย้ำแนวโน้มที่กลุ่มอาชญากรรมย้ายจากการเข้ารหัสไฟล์ไปสู่การขโมยข้อมูลแล้วรีดไถอย่างเดียว ซึ่งการสำรองข้อมูลไม่ได้ช่วยอะไร และการป้องกันต้องพึ่งการยืนยันตัวตนของผู้ติดต่อและการควบคุมการส่งข้อมูลออก มากกว่าการตรวจจับมัลแวร์

สำนักงานกฎหมายและธุรกิจบริการวิชาชีพที่ถือข้อมูลลับของลูกค้า เช่น สำนักงานบัญชีและที่ปรึกษา มีความเสี่ยงสูงสุด และกรณีนี้แสดงว่าการอบรมความตระหนักรู้แบบเดิมอาจตามกลวิธีโทรหลอกไม่ทัน ข้อจำกัดของหลักฐานคือ ยอด 207 ล้านดอลลาร์มาจากบันทึกของอาชญากรเอง Crystal Intelligence ยืนยันได้แค่ขนาดโดยรวม บางรายการขัดกับข้อมูลอื่น และชื่อสำนักงานที่ถูกอ้างถึงยังไม่ได้ยืนยันการจ่ายเงินทุกราย

คำแนะนำ

  • กำหนดขั้นตอนยืนยันตัวตนเมื่อมีผู้โทรอ้างเป็นฝ่าย IT เช่น วางสายแล้วโทรกลับเบอร์ภายในที่รู้จัก หรือใช้รหัสยืนยันผ่านระบบ ticket และประกาศชัดเจนว่าฝ่าย IT จะไม่ขอให้อัปโหลดไฟล์ไปยังบริการภายนอก
  • จำกัดการอัปโหลดไปยังบริการจัดเก็บบนคลาวด์ส่วนตัวหรือที่ไม่ได้รับอนุญาต (เช่น Google Drive ส่วนตัว) ด้วย DLP, CASB หรือ web proxy และแจ้งเตือนเมื่อมีการส่งข้อมูลออกปริมาณมาก
  • ห้ามติดตั้งเครื่องมือ remote access ตามคำขอทางโทรศัพท์ และใช้ application allowlist เพื่อกันซอฟต์แวร์ควบคุมระยะไกลที่ไม่ได้รับอนุมัติ
  • ใช้ MFA ที่ต้านฟิชชิงได้และเฝ้าระวังการล็อกอินจากอุปกรณ์หรือตำแหน่งใหม่หลังมีสายโทรเข้าที่น่าสงสัย
  • จัดอบรมจำลองการโทรหลอก (vishing) ให้พนักงานฝ่ายกฎหมาย เลขานุการ และผู้ที่เข้าถึงเอกสารลูกความ ไม่ใช่เฉพาะฟิชชิงทางอีเมล
  • เตรียมแผนรับมือเหตุรีดไถด้วยข้อมูลที่ไม่มีการเข้ารหัส รวมถึงช่องทางแจ้งลูกความและหน่วยงานกำกับ และการประสานหน่วยงานบังคับใช้กฎหมายก่อนตัดสินใจเรื่องการจ่ายเงิน

แหล่งอ้างอิง