สรุปสั้น

บริษัท GMO Internet ผู้ให้บริการ Onamae.com ของญี่ปุ่น ยืนยันว่ามีผู้บุกรุกเข้าถึงบริการ Desktop Cloud โดยไม่ได้รับอนุญาต และติดตั้งโปรแกรมอันตรายในสภาพแวดล้อมเซิร์ฟเวอร์ของลูกค้า บริษัทยืนยันการติดตั้งดังกล่าวเมื่อวันที่ 20 ตุลาคม 2569 และประกาศเมื่อวันที่ 21 ตุลาคมว่าจะทยอยปิดเซิร์ฟเวอร์ทุกแพ็กเกจตั้งแต่ 04:00 น. ตามเวลาญี่ปุ่น เพื่อกันความเสียหายลุกลามระหว่างตรวจสอบ เซิร์ฟเวอร์ที่อาจได้รับผลกระทบมี 26,739 เครื่อง และข้อมูลที่เก็บในเครื่องเหล่านั้นอาจถูกเปิดดู ยังไม่มีกำหนดวันกลับมาให้บริการ

ประเด็นที่ทำให้เหตุนี้ร้ายแรงขึ้นคือ Desktop Cloud เป็นเซิร์ฟเวอร์เสมือนที่ใช้งานผ่านรีโมต และนิยมใช้รันโปรแกรมเทรดฟอเร็กซ์อัตโนมัติตลอด 24 ชั่วโมง บริษัทโบรกเกอร์ OANDA Japan จึงเตือนลูกค้าเมื่อวันที่ 22 ตุลาคมว่า ID และรหัสผ่านที่ใช้กับแพลตฟอร์ม MetaTrader 4 และ 5 บน Desktop Cloud อาจถูกบุคคลที่สามเห็นแล้ว ขณะที่ประกาศของ Onamae.com ไม่ระบุชนิดมัลแวร์ ช่องทางเจาะเข้า ช่องโหว่ที่ใช้ หรือ IoC ใด ๆ ทำให้ลูกค้าล่าภัยเองไม่ได้ สิ่งที่ทำได้ทันทีคือเปลี่ยนข้อมูลรับรองทุกอย่างที่เก็บหรือใช้บนเซิร์ฟเวอร์

รายละเอียดข่าว

เว็บไซต์ GBHackers รายงานเมื่อวันที่ 22 ตุลาคม 2569 ว่าแฮ็กเกอร์เข้าถึงบริการ Onamae.com Desktop Cloud โดยไม่ได้รับอนุญาต และติดตั้งโปรแกรมอันตรายในสภาพแวดล้อมเซิร์ฟเวอร์ของลูกค้า ทำให้ผู้ให้บริการญี่ปุ่นรายนี้ต้องระงับบริการทุกแพ็กเกจ

GMO Internet ยืนยันการติดตั้งโปรแกรมอันตรายเมื่อวันที่ 20 ตุลาคม และในประกาศวันที่ 21 ตุลาคมแจ้งว่าจะทยอยปิดเซิร์ฟเวอร์ตั้งแต่ 04:00 น. ตามเวลาญี่ปุ่น ระหว่างที่ผู้สอบสวนตรวจสภาพแวดล้อมของลูกค้า ตัวเลข 26,739 เครื่องคือเซิร์ฟเวอร์ที่อาจได้รับผลกระทบ ไม่ใช่จำนวนเครื่องที่ยืนยันว่าติดมัลแวร์หรือจำนวนลูกค้า บริษัทยืนยันว่าพบโปรแกรมอันตรายเพียงในสภาพแวดล้อมของลูกค้าบางราย

Onamae.com ระบุว่ายังไม่พบการรั่วไหลของข้อมูลส่วนบุคคลของลูกค้าที่ฝากไว้กับบริษัท หรือการนำข้อมูลที่อาจถูกเปิดดูไปใช้ในทางที่ผิด และบริษัทไม่ได้เก็บข้อมูลการชำระเงินรวมถึงข้อมูลบัตรเครดิต แต่คำชี้แจงนี้ไม่ได้ยืนยันว่าข้อมูลที่เก็บอยู่ในเซิร์ฟเวอร์ของลูกค้าเองปลอดภัย

ข้อจำกัดของหลักฐานคือ ประกาศไม่ระบุว่าผู้โจมตีเจาะส่วนจัดการกลางของบริการ เจาะเซิร์ฟเวอร์เสมือนทีละเครื่อง หรือเจาะส่วนอื่น ไม่ระบุชื่อหรือประเภทของมัลแวร์ว่าเป็นแรนซัมแวร์ ตัวขโมยข้อมูลรับรอง หรือตัวขุดคริปโต และไม่มีหลักฐานโยงกับกลุ่มผู้ก่อภัยใด การปิดบริการครอบคลุม Desktop Cloud ทุกแพ็กเกจ แต่ไม่มีการประกาศระงับบริการอื่นของ Onamae.com

วิธีการโจมตี

ยังไม่มีข้อมูลเทคนิคการโจมตีจากผู้ให้บริการ สิ่งที่ยืนยันได้คือผู้บุกรุกสามารถติดตั้งโปรแกรมลงในสภาพแวดล้อมเซิร์ฟเวอร์ของลูกค้าหลายรายในบริการเดียวกัน ซึ่งการที่บริษัทเลือกปิดทุกแพ็กเกจพร้อมกันบ่งชี้ว่ายังไม่สามารถแยกขอบเขตได้ว่าเครื่องใดปลอดภัย

จุดที่ทำให้ข้อมูลรับรองเสี่ยงคือลักษณะการใช้งานของ Desktop Cloud ลูกค้าจำนวนมากใช้เป็นเครื่อง VPS แบบ Windows รันโปรแกรม MetaTrader พร้อม Expert Advisor (EA) เทรดอัตโนมัติ ซึ่งต้องเก็บ ID และรหัสผ่านบัญชีเทรดไว้ในเครื่องตลอดเวลา OANDA Japan จึงแนะนำให้ลูกค้าเปลี่ยนรหัสผ่านของ My Page และ MT4/MT5 เปิดการยืนยันตัวตนสองขั้นตอนที่มี ตรวจประวัติการเทรด และติดต่อฝ่ายสนับสนุนหากพบธุรกรรมน่าสงสัย ทั้งนี้คำเตือนของ OANDA ไม่ได้ยืนยันว่ามีการเทรดโดยไม่ได้รับอนุญาตเกิดขึ้นแล้ว

ผลกระทบ

ผลกระทบมีทั้งด้านความพร้อมใช้งานและด้านบัญชี งานที่ต้องรันตลอดเวลาอย่างการเทรดอัตโนมัติหยุดทั้งหมดโดยไม่มีกำหนดเปิด ขณะเดียวกันข้อมูลรับรองบัญชีเทรด บัญชีอีเมล หรือระบบอื่นที่เก็บไว้ในเครื่องอาจถูกนำไปใช้ต่อ โดยเฉพาะผู้ใช้ที่ใช้รหัสผ่านซ้ำกับบริการอื่น การที่ผู้ให้บริการไม่เปิดเผย IoC ยังทำให้ลูกค้าตรวจไม่ได้ว่าเครื่องของตนติดหรือไม่ จึงต้องถือว่าทุกข้อมูลรับรองบนเครื่องรั่วไว้ก่อน

เหตุนี้เป็นอีกตัวอย่างของความเสี่ยงจากผู้ให้บริการโครงสร้างพื้นฐานที่ถูกเจาะแล้วกระทบลูกค้าจำนวนมากพร้อมกัน ลักษณะเดียวกับกรณี Railway ที่ตัวแปรสภาพแวดล้อมของลูกค้าหลุดในสัปดาห์เดียวกัน (โพสต์ 10/230) นอกจากนี้ Onamae.com ยังเตือนว่าจะมีข้อความฟิชชิงที่อาศัยเหตุการณ์นี้ตามมา

คำแนะนำ

  • ลูกค้า Desktop Cloud เปลี่ยนข้อมูลรับรองทุกอย่างที่เก็บหรือใช้บนเซิร์ฟเวอร์ทันที ทั้งรหัสผ่าน Windows/RDP บัญชีโบรกเกอร์ บัญชีอีเมล และคีย์ API และเปลี่ยนในบริการอื่นที่ใช้รหัสผ่านซ้ำด้วย
  • ผู้ใช้ MT4/MT5 เปลี่ยนรหัสผ่านบัญชีเทรดและหน้า My Page ของโบรกเกอร์ เปิดการยืนยันตัวตนสองขั้นตอน และตรวจประวัติการเทรดและการถอนเงิน
  • อย่าย้ายข้อมูลหรือเปิดเครื่องกลับมาใช้ก่อนผู้ให้บริการยืนยันผลตรวจ และเมื่อกลับมาให้พิจารณาติดตั้งเครื่องใหม่แทนการใช้อิมเมจเดิม
  • ระวังอีเมลหรือโทรศัพท์ที่อ้างเหตุการณ์นี้ Onamae.com ยืนยันว่าเจ้าหน้าที่จะไม่ขอรหัสผ่านหรือข้อมูลบัตรเครดิตทางอีเมลหรือโทรศัพท์
  • องค์กรที่ใช้ VPS ของผู้ให้บริการรายใดก็ตาม ควรเก็บข้อมูลรับรองสำคัญใน secret manager หรือแยกบัญชีที่มีสิทธิ์จำกัด แทนการเก็บไว้ในเครื่องแบบถาวร

แหล่งอ้างอิง