สรุปสั้น
บริษัท Flare ผู้ให้บริการข่าวกรองภัยคุกคาม เผยแพร่บทวิเคราะห์ที่ชี้ว่า Scattered Spider, LAPSUS$ และ ShinyHunters เป็นกลุ่มปฏิบัติการ (intrusion cluster) ที่แยกจากกันภายใน The Com หรือ “The Community” ชุมชนอาชญากรไซเบอร์แบบกระจายศูนย์ที่สมาชิกส่วนใหญ่ใช้ภาษาอังกฤษและรวมตัวกันบนแพลตฟอร์มแชตและเกม ไม่ใช่ชื่อเรียกสลับกันได้ขององค์กรเดียว ส่วน SP1D3R HUNTERS หรือ Scattered LAPSUS$ Hunters (SLH) ที่โด่งดังในปีนี้ Flare มองว่าเป็นแบรนด์และชั้นประสานงานร่วม ไม่ใช่กลุ่มปฏิบัติการที่สี่ ข้อสรุปนี้สำคัญกับงานระบุตัวผู้โจมตี เพราะการมีสมาชิกร่วมกัน ใช้เทคนิควิศวกรรมสังคมคล้ายกัน หรืออยู่ในช่องแชตเดียวกัน ไม่ได้พิสูจน์ว่าปฏิบัติการคนละครั้งเป็นฝีมือผู้โจมตีรายเดียวกัน
Flare ประเมินว่า LAPSUS$ ชุดดั้งเดิมเคลื่อนไหวต่อสาธารณะระหว่างธันวาคม 2564 ถึงกันยายน 2565 และสิ้นสภาพไปแล้ว เหตุโจมตีหลังจากนั้นจึงไม่ควรถูกโยงกลับไปหากลุ่มเดิมเพียงเพราะผู้โจมตีใช้ชื่อหรือเทคนิคซ้ำ เช่นเดียวกับกิจกรรมที่ติดแบรนด์ ShinyHunters ซึ่งบริษัท Google แยกติดตามเป็นหลายคลัสเตอร์ คำเตือนหลักคือการรวมสัญญาณทั้งหมดเป็นตัวตนเดียวจะพาการสอบสวนไปผิดทาง ทำให้รายงานถึงผู้บริหารคลาดเคลื่อน และทำให้องค์กรจัดลำดับการป้องกันผิดรูปแบบการโจมตี
รายละเอียดข่าว
เว็บไซต์ GBHackers รายงานเมื่อวันที่ 21 ตุลาคม 2569 ว่า บทวิเคราะห์ของ Flare อธิบายว่าโครงสร้างของ The Com ผสมแรงจูงใจด้านเงินเข้ากับการแข่งขันกันสร้างชื่อเสียง ผู้โจมตีจึงแลกเปลี่ยนเทคนิค ย้ายสังกัด และหยิบชื่อที่คนจำได้มาใช้ซ้ำ โดยที่ปฏิบัติการเบื้องหลังไม่ได้ควบรวมกันจริง โครงสร้างนี้อธิบายด้วยว่าทำไมการจับกุมจึงหยุดผู้ปฏิบัติการรายบุคคลได้ แต่ไม่ได้ทำให้ระบบนิเวศหายไป
Flare แยกระหว่างการที่ปฏิบัติการของ Scattered Spider ชุดเดิมถูกขัดขวางจากการจับกุม กับการที่บุคลากรและวิธีการทำงานยังคงอยู่ภายใต้แบรนด์ที่กว้างขึ้น โดยเน้นว่าการยังใช้ชื่อเดิมอยู่ไม่ได้พิสูจน์ว่าปฏิบัติการยังต่อเนื่องจากกลุ่มเดิม ซึ่งเกี่ยวโยงกับข่าวการดำเนินคดีสมาชิก Scattered Spider ที่เคยรายงานไว้ในโพสต์ 2026/06/160, 2026/07/027 และ 2026/07/174 รวมถึงปฏิบัติการของ Europol ต่อเครือข่าย The Com ในโพสต์ 2026/07/266
ในฝั่ง ShinyHunters บริษัท Google แยกการโทรหลอก (voice phishing) ที่เล็งระบบ Salesforce ซึ่งติดตามในชื่อ UNC6040 ออกจากการรีดไถในขั้นต่อมาที่ติดตามในชื่อ UNC6240 แสดงว่าการเจาะเข้าครั้งแรกกับการหาเงินอาจเป็นฝีมือคนละคลัสเตอร์ และงานวิจัยของ Google เมื่อมกราคม 2569 ยังติดตามกิจกรรมที่ติดแบรนด์ ShinyHunters แยกเป็น UNC6661, UNC6671 และ UNC6240 เพื่อรองรับการจับมือกันที่เปลี่ยนไปเรื่อย ๆ และความเป็นไปได้ที่จะมีผู้แอบอ้างชื่อ Flare จึงสรุปว่าแบรนด์ให้บริบท แต่ไม่ใช่หลักฐานชี้ขาดว่าใครอยู่เบื้องหลังการบุกรุก
วิธีการโจมตี
Scattered Spider (ติดตามในชื่อ UNC3944, Octo Tempest และ Muddled Libra) เล็งกระบวนการด้าน identity ขององค์กรอย่างเป็นระบบ ผู้โจมตีปลอมตัวเป็นพนักงานหรือเจ้าหน้าที่ฝ่ายสนับสนุน หลอกให้รีเซ็ตรหัสผ่าน ย้ายการลงทะเบียน MFA ไปยังอุปกรณ์ของตัวเอง ใช้ SIM swapping หรือยิงคำขอยืนยันตัวตนซ้ำ ๆ จนเหยื่อกดยอมรับ ประกาศร่วมของ CISA บันทึกว่าหลังเข้าได้ กลุ่มนี้ใช้ซอฟต์แวร์บริหารระยะไกลที่ถูกกฎหมาย ลงทะเบียน MFA ที่ตัวเองควบคุม สำรวจระบบภายใน และขโมยข้อมูลออก ซึ่งตรวจจับยากเพราะงานดูแลระบบปกติกับกิจกรรมอันตรายใช้แอปพลิเคชันตัวเดียวกัน บทวิเคราะห์ Octo Tempest ของบริษัท Microsoft ยังพบการปล่อยแรนซัมแวร์ DragonForce เข้าโจมตีสภาพแวดล้อม VMware ด้วย
LAPSUS$ ชุดดั้งเดิม ซึ่ง Microsoft ติดตามในชื่อ DEV-0537 มีรูปแบบที่ต่างออกไป คือเน้นขโมยข้อมูล รีดไถ และทำลายระบบ โดยไม่ใช้แรนซัมแวร์เข้ารหัสไฟล์ อาศัยการซื้อตัวคนในองค์กร บัญชีที่ถูกยึด และวิศวกรรมสังคมเป็นหลัก การเรียก LAPSUS$ ว่า “แก๊งแรนซัมแวร์” จึงไม่ตรงกับพฤติกรรมที่มีการบันทึกไว้ ความต่างด้านการหาเงินนี้เองที่ Flare ใช้แยก Scattered Spider ออกจาก LAPSUS$
ShinyHunters ผูกกับการบุกรุกระบบคลาวด์และ SaaS โดยเฉพาะการโทรหลอกเพื่อให้เหยื่อเชื่อมแอปของผู้โจมตีเข้ากับ Salesforce แล้วดึงข้อมูลออกไปรีดไถ แต่ดังที่ Google แยกคลัสเตอร์ไว้ ผู้ที่เจาะเข้าครั้งแรกกับผู้ที่ส่งข้อความรีดไถอาจไม่ใช่คนกลุ่มเดียวกัน
SLH (Scattered LAPSUS$ Hunters) ตามการประเมินของ Flare ทำหน้าที่เป็นแบรนด์และพื้นที่ประสานงานที่หลายกลุ่มใช้ร่วมกัน ไม่ใช่กลุ่มปฏิบัติการที่มีโครงสร้างโจมตีของตัวเองแยกออกมา
ผลกระทบ
ผลกระทบหลักตกอยู่กับทีมรับมือเหตุการณ์และทีมข่าวกรองภัยคุกคาม หากองค์กรตัดสินจากชื่อที่ผู้โจมตีประกาศเอง เช่น เห็นข้อความรีดไถติดแบรนด์ ShinyHunters แล้วสรุปว่าเป็นกลุ่มเดียวกับเหตุ Salesforce ครั้งก่อน อาจไล่หาช่องทางเข้าผิดจุด มองข้ามว่าการเจาะครั้งแรกเกิดจากการหลอก help desk หรือการย้าย MFA และอาจลงทุนป้องกันแรนซัมแวร์ทั้งที่ความเสี่ยงจริงคือการขโมยข้อมูลแล้วรีดไถ ในระดับผู้บริหาร รายงานที่โยงทุกเหตุเข้ากับกลุ่มเดียวยังทำให้ประเมินขนาดภัยคุกคามผิด ทั้งเกินจริงและต่ำกว่าความจริง
อีกด้านหนึ่ง บทวิเคราะห์นี้ตอกย้ำว่าการจับกุมสมาชิกบางคนไม่ได้ลดความเสี่ยงลงมากนัก เพราะเทคนิคเจาะ identity ด้วยวิศวกรรมสังคมยังถูกส่งต่อกันในชุมชน และชื่อแบรนด์ถูกหยิบใช้ต่อได้เรื่อย ๆ ข้อจำกัดที่ควรรู้คือการแบ่งคลัสเตอร์นี้เป็นการประเมินของ Flare ประกอบกับรายงานของ Microsoft, Google และ CISA ซึ่งแต่ละสำนักใช้ชื่อเรียกและขอบเขตคลัสเตอร์ไม่ตรงกันทั้งหมด
คำแนะนำ
- ระบุกลุ่มผู้โจมตีจากหลักฐานที่ตรวจสอบได้ ได้แก่ โครงสร้างพื้นฐาน เทเลเมทรีด้าน identity ร่องรอยนิติวิทยาศาสตร์ และความเชื่อมโยงที่มีหลักฐานอิสระรองรับ ไม่ใช่จากชื่อที่ผู้โจมตีประกาศเอง
- ในรายงานเหตุการณ์ แยกให้ชัดระหว่างพฤติกรรมที่สังเกตได้ การประเมินว่าเป็นคลัสเตอร์ใด และแบรนด์ที่ผู้โจมตีใช้ ตลอดทั้งรายงานและแผนแก้ไข
- ใช้ MFA ที่ทนต่อฟิชชิง (FIDO2/passkey) โดยเฉพาะกับบัญชีผู้ดูแลระบบและฝ่าย help desk
- ทำขั้นตอนยืนยันตัวตนเข้มงวดสำหรับคำขอรีเซ็ตรหัสผ่านและการย้ายอุปกรณ์ MFA เช่น โทรกลับเบอร์ที่ลงทะเบียนไว้หรือให้หัวหน้ายืนยัน
- จำกัดซอฟต์แวร์บริหารระยะไกลให้ใช้ได้เฉพาะตัวที่อนุมัติ และแจ้งเตือนเมื่อมีการติดตั้งหรือเชื่อมต่อจากเครื่องมือที่ไม่อยู่ในรายการ
- เฝ้าระวังการลงทะเบียน MFA ใหม่ การเชื่อมแอปภายนอกเข้ากับ SaaS อย่าง Salesforce และการดึงข้อมูลปริมาณมากผิดปกติ