สรุปสั้น

Legal Aid Agency (LAA) หน่วยงานด้านความช่วยเหลือทางกฎหมายในสังกัดกระทรวงยุติธรรมของสหราชอาณาจักร เผยแพร่ความคืบหน้าของเหตุถูกเจาะระบบเมื่อเดือนเมษายน 2568 ว่าการตรวจพิสูจน์หลักฐานดิจิทัลพบข้อมูลที่ถูกขโมยย้อนหลังไปถึงปี 2521 จากเดิมที่เมื่อพฤษภาคม 2568 หน่วยงานแจ้งเพียงว่าแฮ็กเกอร์เข้าถึงและนำข้อมูลส่วนบุคคลของผู้ยื่นขอความช่วยเหลือทางกฎหมายออกไป โดยยังไม่เปิดเผยขอบเขตทั้งหมด ข้อมูลส่วนใหญ่เป็นคำขอ การเบิกจ่าย และการชำระเงินระหว่างปี 2550-2568 แต่ยังมีบันทึกที่เก่ากว่าปี 2550 อีกราว 250,000 รายการ ซึ่งส่วนใหญ่มาจากทศวรรษ 2530-2540

ข้อมูลที่หลุดครอบคลุมทั้งผู้ยื่นขอและผู้รับความช่วยเหลือ ผู้ประกอบวิชาชีพกฎหมาย ผู้พิพากษา ทนายความ คู่ความในคดีแพ่ง และที่สำคัญคือข้อมูลบางส่วนของผู้ต้องโทษที่อยู่ในความดูแลของงานคุมประพฤติระหว่างปี 2553-2560 LAA อธิบายว่าการสืบสวนใช้เวลานานเพราะการโจมตีกระทบหลายระบบและข้อมูลส่วนใหญ่ไม่มีโครงสร้าง กระจัดกระจาย หรือไม่สมบูรณ์ และยืนยันว่ายังไม่พบหลักฐานว่าข้อมูลถูกเผยแพร่หรือขาย

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 15 ตุลาคม 2569 ว่า LAA ได้เผยแพร่ประกาศอัปเดตข้อมูลเหตุการณ์ในสัปดาห์นี้ ระบุว่า “บันทึกส่วนใหญ่มาจากทศวรรษ 1990 และ 2000 มีเพียงส่วนน้อยมากที่เก่ากว่าปี 1990 และบันทึกที่เก่าที่สุดที่ยืนยันได้ในขณะนี้มาจากปี 1978” (ตรงกับ พ.ศ. 2521)

ข้อมูลของผู้ยื่นขอและผู้รับความช่วยเหลือทางกฎหมายที่อาจถูกขโมย ได้แก่ ชื่อ ที่อยู่ วันเกิด เลข National Insurance รหัสไปรษณีย์ เลขอ้างอิงคดี คำตอบที่กรอกในระบบ Client and Cost Management System (CCMS) หมายเลขโทรศัพท์ และข้อมูลประเภทอื่น ส่วนผู้ประกอบวิชาชีพกฎหมายที่ทำงานร่วมกับ LAA ถูกขโมยสัญญา ตารางงาน ที่ตั้งสำนักงาน ข้อมูลการชำระเงิน และข้อมูลล็อกอินบัญชีผู้ใช้ กลุ่มอื่นที่ได้รับผลกระทบรวมถึงผู้พิพากษา ทนายความ ผู้ว่าความ คู่ความในคดีแพ่งที่ได้รับใบรับรอง และผู้ดูแลจุดรับชำระเงิน

LAA ระบุว่า “ขีดความสามารถด้านไซเบอร์ที่พัฒนาขึ้นยังพบว่าข้อมูลของผู้รับบริการคุมประพฤติถูกเข้าถึงด้วย ข้อมูลที่ผู้โจมตีนำออกไปรวมถึงชื่อ วันเกิด สัญชาติ และเลขอ้างอิงคดีของผู้กระทำผิดจำนวนค่อนข้างน้อยที่อยู่ในความดูแลของงานคุมประพฤติระหว่างปี 2010 ถึง 2017” หน่วยงานระบุว่าทีมเทคนิคและทีมข้อมูลเฉพาะทางต้องใช้เวลานานในการวิเคราะห์ว่าผู้โจมตีเข้าถึงและนำข้อมูลใดออกไป

วิธีการโจมตี

ประกาศล่าสุดของ LAA และรายงานของ SecurityWeek ไม่ได้เปิดเผยช่องทางเข้าระบบ เครื่องมือ หรือกลุ่มผู้โจมตี ระบุเพียงว่าการโจมตีเกิดเมื่อเดือนเมษายน 2568 กระทบหลายระบบ และมีการนำข้อมูลออก (exfiltration) จำนวนมาก โดยข้อมูลจำนวนมากเป็นข้อมูลไม่มีโครงสร้างที่สะสมมาหลายสิบปี ซึ่งเป็นเหตุผลที่การประเมินขอบเขตใช้เวลานานกว่าหนึ่งปี

ผลกระทบ

ความรุนแรงของเหตุนี้อยู่ที่ลักษณะของข้อมูลมากกว่าจำนวน ข้อมูลคำขอความช่วยเหลือทางกฎหมายมักผูกกับคดีครอบครัว ความรุนแรงในครอบครัว คดีอาญา และสถานะทางการเงินของกลุ่มเปราะบาง เมื่อรวมกับเลข National Insurance และวันเกิด จึงเพียงพอต่อการสวมรอยและการหลอกลวงแบบเจาะจง ข้อมูลผู้ต้องโทษในความดูแลคุมประพฤติก็เพิ่มความเสี่ยงด้านความปลอดภัยส่วนบุคคล ส่วนข้อมูลล็อกอินและการชำระเงินของสำนักงานกฎหมายเปิดช่องให้ฉ้อโกงการเบิกจ่ายหรือเข้าระบบต่อได้หากยังไม่เปลี่ยนรหัสผ่าน

กรณีนี้ยังสะท้อนต้นทุนของการเก็บข้อมูลเก่าเกินจำเป็น ข้อมูลอายุเกือบ 50 ปีที่ไม่ควรอยู่ในระบบออนไลน์กลายเป็นส่วนหนึ่งของความเสียหาย และขอบเขตที่ขยายเพิ่มหลังผ่านไปกว่าหนึ่งปีแสดงให้เห็นว่าการประเมินความเสียหายเบื้องต้นมักต่ำกว่าความจริง

คำแนะนำ

  • ทบทวนนโยบายการเก็บรักษาข้อมูล (data retention) ลบหรือย้ายข้อมูลที่หมดความจำเป็นออกจากระบบที่เข้าถึงได้จากเครือข่าย
  • ทำบัญชีข้อมูลไม่มีโครงสร้าง (ไฟล์ร่วม เอกสารสแกน อีเมลเก่า) ล่วงหน้า เพื่อให้ประเมินขอบเขตได้เร็วเมื่อเกิดเหตุ
  • บังคับเปลี่ยนรหัสผ่านและเปิด MFA สำหรับบัญชีของคู่ค้าภายนอกที่เข้าถึงระบบเบิกจ่าย และเฝ้าระวังคำขอเปลี่ยนบัญชีรับเงิน
  • แยกข้อมูลอ่อนไหวสูง (คดีอาญา งานคุมประพฤติ) ออกจากระบบงานทั่วไป และจำกัดสิทธิ์ตามหลัก least privilege
  • เตรียมแผนสื่อสารแบบเป็นระยะ เพราะการแจ้งขอบเขตเพิ่มภายหลังอาจกระทบความเชื่อมั่นมากกว่าการแจ้งว่ายังอยู่ระหว่างตรวจสอบตั้งแต่ต้น

แหล่งอ้างอิง