สรุปสั้น

ผู้สืบสวนของรัฐบาลกลางสหรัฐฯ สงสัยว่าผู้บริหารของบริษัทที่ปรึกษาในสหรัฐฯ ช่วยกลุ่ม ShinyHunters ดูแลเว็บไซต์ shinywire[.]com ที่ใช้กดดันบริษัทที่ถูกแฮ็กให้จ่ายค่าไถ่ เว็บนี้เปิดราววันที่ 3 พฤษภาคมถึง 16 ตุลาคม 2569 แสดงรายชื่อองค์กรเกือบ 100 แห่งที่ตกเป็นเป้า พร้อมตัวอย่างไฟล์ที่ขโมยมา และบอกให้เหยื่อติดต่อกลุ่มเพื่อตกลงเงื่อนไขการจ่ายเงิน KrebsOnSecurity อ้างแหล่งข่าว 2 รายว่าผู้สืบสวนเชื่อว่าผู้บริหารคนหนึ่งของบริษัทที่ปรึกษารายใหญ่ของสหรัฐฯ ที่มีบุคลากรกว่า 1,000 คน มีส่วนช่วยดูแล Shinywire อย่างแข็งขัน แต่สื่อไม่เปิดชื่อบุคคลและบริษัท เพราะยังไม่มีการตั้งข้อหา

กรณีนี้ต่อเนื่องจากการจับนาย Edward Dubrovsky ผู้บริหารด้านความปลอดภัยไซเบอร์ชาวแคนาดาวัย 54 ปี เมื่อวันที่ 8 ตุลาคมในรัฐเพนซิลเวเนีย ซึ่งเว็บนี้รายงานไว้ใน 2026/10/063 และ 2026/10/093 รายงานล่าสุดไม่ได้ยืนยันว่านาย Dubrovsky เป็นผู้ดูแลเว็บไซต์ดังกล่าว เบาะแสสำคัญมาจากข้อความ Signal ในเครื่องของนาย Pepijn van der Stap ผู้ต้องสงสัย ShinyHunters ที่ตำรวจเนเธอร์แลนด์จับเมื่อกันยายน ข้อความเหล่านั้นแสดงว่าเขาติดต่อบ่อยครั้งกับนาย Dubrovsky และผู้บริหารของบริษัทที่ปรึกษาที่ไม่เปิดชื่อ ข้อกล่าวหาทั้งหมดยังมาจากแหล่งข่าว ไม่ใช่หลักฐานที่ผ่านการพิสูจน์ในศาล

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 20 ตุลาคม 2569 อ้างการรายงานของ KrebsOnSecurity ว่าหน้าของเหยื่อแต่ละรายบน Shinywire แสดงตัวอย่างไฟล์ที่ขโมยมาเพื่อยืนยันคำขู่ องค์กรที่ไม่ติดต่อกลับภายใน 7 วันจะถูกนำข้อมูลไปเผยแพร่บนเว็บปล่อยข้อมูลอีกแห่งของ ShinyHunters ที่เข้าถึงผ่าน Tor รูปแบบนี้ใช้การประจานต่อสาธารณะและเส้นตายบีบให้บริษัทเข้าสู่การเจรจา

ตามแหล่งข่าว ตำรวจเนเธอร์แลนด์เข้าถึงบทสนทนา Signal ล่าสุดของนาย van der Stap ได้เพราะเขายังล็อกอินอยู่ขณะถูกจับ บางข้อความชี้ว่าผู้บริหารทั้งสองรู้รายละเอียดของเหยื่อรายใหม่ของ ShinyHunters ก่อนที่องค์กรเหล่านั้นจะรู้ตัวว่าถูกเจาะ อีกข้อกล่าวหาคือนาย Dubrovsky รู้ว่าข้อมูลอ่อนไหวของ FBI ถูกขโมยไปก่อนที่กลุ่มจะประกาศขู่เผยแพร่

การสืบสวนเร่งขึ้นหลัง ShinyHunters เล็งเว็บไซต์รับสมัครงานของ FBI เมื่อกันยายน ข้อมูลที่รายงานว่าถูกขโมยรวมถึงหมายเลขประกันสังคม ที่อยู่บ้าน ข้อมูลทางการแพทย์ และรายละเอียดการมอบหมายงานของพนักงาน KrebsOnSecurity ระบุว่า FBI ประเมินว่ากลุ่มนี้ได้รับเงินค่าไถ่ในปี 2569 กว่า 70 ล้านดอลลาร์

สำนวนคดีสาธารณะบันทึกการจับกุมนาย Dubrovsky และการส่งตัวไปศาลเขต Eastern District of Texas มีการแต่งตั้งทนายของรัฐ และศาลสั่งควบคุมตัวไว้ระหว่างรอไต่สวนในเขตที่ตั้งข้อหา แต่คำร้องยังถูกปิดผนึก ข้อหาที่เขาเผชิญคือสมคบกันขู่เปิดเผยข้อมูลลับเพื่อเรียกเงิน และแทรกแซงการค้าด้วยการข่มขู่

วิธีการโจมตี

ShinyHunters มักขโมย credential ผ่านฟิชชิง แล้วใช้บัญชีที่ยึดได้ดึงข้อมูลออกจากบริการคลาวด์ จากนั้นขู่เผยแพร่หากเหยื่อไม่จ่าย ซึ่งเป็นการขู่กรรโชกจากข้อมูลที่ขโมยมาโดยไม่ต้องเข้ารหัสเครื่องของเหยื่อเลย Shinywire ทำหน้าที่เป็นช่องทางเจรจาฝั่งหน้าร้าน ส่วนเว็บบน Tor เป็นจุดปล่อยข้อมูลเมื่อการเจรจาล้มเหลว

ประกาศของ FBI เมื่อวันที่ 15 พฤษภาคมเตือนว่าผู้โจมตีอาจใช้ข้อมูลที่ขโมยมาร่วมกับข้อความข่มขู่ การโทร และการคุกคามบุคคล บทเรียนจากคดี PowerSchool ยังแสดงว่าการจ่ายเงินไม่ได้รับประกันว่าข้อมูลจะถูกลบ บริษัทจ่ายราว 2.85 ล้านดอลลาร์ แต่เขตการศึกษาที่ได้รับผลกระทบยังถูกเรียกค่าไถ่ซ้ำภายหลังด้วยข้อมูลชุดเดิม

ผลกระทบ

หากข้อกล่าวหาเป็นจริง กรณีนี้เป็นการละเมิดความไว้วางใจร้ายแรงในอุตสาหกรรมรับมือเหตุการณ์และเจรจาค่าไถ่ เพราะบุคคลที่องค์กรเหยื่อไว้ใจให้ช่วยเหลืออาจอยู่ฝั่งเดียวกับผู้ขู่กรรโชก และรู้ข้อมูลภายในของเหยื่อทั้งก่อนและระหว่างการเจรจา ซึ่งต่างจากความเสี่ยงที่องค์กรส่วนใหญ่ประเมินไว้ในแผนรับมือเหตุการณ์

นาย Mark Camillo ซีอีโอของบริษัท CyberAcuView ยังชี้ปัญหาโครงสร้างค่าธรรมเนียมของผู้เจรจาที่คิดตามสัดส่วนค่าไถ่ที่จ่ายจริง ซึ่งทำให้ผู้เจรจาได้ประโยชน์เมื่อเหยื่อจ่ายมากขึ้น และเรียกร้องให้เปิดเผยค่าธรรมเนียม ค่าใช้จ่ายด้านคริปโต และผลประโยชน์ทางการเงินที่เกี่ยวข้องให้โปร่งใสมากขึ้น ขณะนี้ทั้งข้อกล่าวหาต่อผู้บริหารที่ไม่เปิดชื่อและคดีของนาย Dubrovsky ยังไม่มีคำพิพากษา จึงยังไม่ควรถือว่าเป็นความผิดที่พิสูจน์แล้ว

คำแนะนำ

  • คัดเลือกผู้ให้บริการรับมือเหตุการณ์และผู้เจรจาค่าไถ่ล่วงหน้า ตรวจประวัติ และกำหนดในสัญญาให้เปิดเผยโครงสร้างค่าธรรมเนียมและผลประโยชน์ทับซ้อน หลีกเลี่ยงค่าธรรมเนียมที่คิดเป็นสัดส่วนของค่าไถ่
  • จำกัดข้อมูลที่ส่งให้บุคคลภายนอกระหว่างรับมือเหตุการณ์เฉพาะที่จำเป็น และบันทึกว่าใครเข้าถึงข้อมูลใดเมื่อใด
  • อย่าเชื่อคำสัญญาว่าจะลบข้อมูลหลังจ่ายเงิน และเตรียมแผนรับมือการถูกเรียกค่าไถ่ซ้ำ
  • บุคคลที่ถูกติดต่อข่มขู่โดยตรงไม่ควรจ่ายเงินหรือตอบกลับ ให้เก็บหลักฐานการสื่อสารทั้งหมดและแจ้งหน่วยงานบังคับใช้กฎหมาย
  • ป้องกันจุดเริ่มต้นของ ShinyHunters ด้วย MFA ที่ทนต่อฟิชชิง และเฝ้าระวังการดึงข้อมูลปริมาณมากผิดปกติจากบริการคลาวด์และ SaaS

แหล่งอ้างอิง