สรุปสั้น
บริษัท Foresiet เปิดเผยรายงานเกี่ยวกับ ScarlettGroup แก๊งรีดไถข้อมูลหน้าใหม่ที่ประจานชื่อบริษัทบนเว็บไซต์รั่วไหลข้อมูลในเครือข่าย Tor พร้อมนาฬิกานับถอยหลังขู่ปล่อยข้อมูลที่อ้างว่าขโมยมา เพื่อกดดันให้องค์กรที่ถูกระบุชื่อติดต่อเจรจาก่อนที่จะมีใครตรวจสอบได้ว่าการอ้างว่าเจาะระบบนั้นเป็นเรื่องจริง แก๊งเริ่มปรากฏในบันทึกการเฝ้าระวังภัยคุกคามราวเดือนกันยายน 2569 และเด่นขึ้นในเดือนตุลาคม รายชื่อเหยื่อที่อ้างครอบคลุมภาคเทคโนโลยี การศึกษา รัฐบาล และบันเทิง โดยยังไม่เห็นการเจาะจงอุตสาหกรรมใด
ข้อจำกัดของข่าวนี้สำคัญพอ ๆ กับตัวข่าว Foresiet ยังไม่พบว่าแก๊งเจาะระบบด้วยวิธีใด ใช้มัลแวร์ตัวไหน หรือเข้ารหัสไฟล์แบบแรนซัมแวร์หรือไม่ ไม่มีช่องโหว่ที่ถูกใช้ ไม่มีจำนวนเหยื่อที่ยืนยัน และไม่มี IoC ที่เผยแพร่ สิ่งเดียวที่ยืนยันได้ชัดคือกระบวนการรีดไถที่แก๊งประกาศต่อสาธารณะ ดังนั้นองค์กรที่ถูกระบุชื่อบนเว็บนี้ควรสอบสวนจากหลักฐานในระบบของตัวเอง ไม่ใช่ถือว่ารายชื่อบนเว็บเป็นการยืนยันว่าถูกเจาะแล้ว
รายละเอียดข่าว
เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 22 ตุลาคม 2569 ว่าแก๊งรีดไถหน้าใหม่ ScarlettGroup กำลังประจานชื่อบริษัทบนเว็บมืดและนับถอยหลังสู่การปล่อยข้อมูล อ้างอิงรายงานของ Foresiet ที่เผยแพร่เมื่อวันที่ 21 ตุลาคม 2569
Foresiet อธิบายว่าสิ่งที่ติดตามอยู่คือปฏิบัติการรีดไถที่เพิ่งเกิดขึ้น ไม่ใช่ตระกูลมัลแวร์ที่ยืนยันได้ เว็บไซต์ของแก๊งบน Tor แสดงรายชื่อเหยื่อที่อ้างพร้อมวันที่เผยแพร่ ป้ายประเภทอุตสาหกรรม สถานะการเปิดเผย และนาฬิกานับถอยหลัง รายละเอียดเหล่านี้เปลี่ยนคำอ้างที่ยังไม่ได้ตรวจสอบให้กลายเป็นเส้นตายที่ทุกคนมองเห็น
Foresiet ยังพบกิจกรรมของ ScarlettGroup บน PwnForums ทั้งการประกาศว่าเจาะระบบได้และการเสนอขายข้อมูล ส่วนการเชื่อมโยงกับ BreachForums และ DarkForums ที่มีรายงานถึงยังต้องรอการยืนยัน การโพสต์บนฟอรัมทำให้คำอ้างกระจายไปไกลกว่าเว็บไซต์ของแก๊ง แต่ก็ให้เบาะแสแก่ฝ่ายป้องกันสำหรับการตรวจสอบต่อด้วย
กลยุทธ์นับถอยหลังคล้ายกับที่แก๊ง Everest ใช้ในกรณีที่อ้างว่าเจาะ BMW แต่การเทียบนี้เป็นเรื่องรูปแบบการกดดันเท่านั้น ไม่ได้บ่งชี้ว่าสองแก๊งเกี่ยวข้องกัน หรือพิสูจน์คำอ้างของแก๊งใด
วิธีการโจมตี
สิ่งที่รู้มีเฉพาะขั้นตอนการรีดไถที่ ScarlettGroup ประกาศเอง ซึ่งแบ่งเป็น 3 ขั้น ได้แก่ การประจานชื่อบนเว็บ ช่วงเวลาเจรจา และการปิดเรื่องหรือการเปิดเผยข้อมูล ระหว่างเจรจาองค์กรติดต่อผู้ควบคุมได้ แก๊งอ้างว่าเมื่อตกลงจ่ายเงินแล้วจะลบรายชื่อและลบข้อมูล ส่วนถ้าตกลงไม่ได้ก็อาจปล่อยข้อมูลออกมา
คำสัญญาเหล่านี้ยังเป็นคำพูดของอาชญากร Foresiet ชี้ว่าไม่มีหลักประกันอิสระใดว่าข้อมูลจะถูกลบจริงหลังจ่ายเงิน การที่ชื่อหายจากเว็บจึงไม่ใช่หลักฐานว่าสำเนาข้อมูลไม่มีอยู่แล้ว หรือว่าการเข้าถึงเครือข่ายที่อาจมีอยู่ได้ยุติลงแล้ว
ในเชิงเทคนิค รายงานไม่ได้ระบุช่องโหว่ที่ถูกใช้ เพย์โหลดมัลแวร์ หรือเส้นทางเข้าเครือข่ายเหยื่อที่ตรวจสอบแล้ว การไม่พบการเข้ารหัสไฟล์ทำให้ ScarlettGroup อยู่ในกลุ่มการรีดไถด้วยข้อมูลล้วน ซึ่งต่างจากแรนซัมแวร์ทั่วไป Foresiet เตือนว่าการตีความช่องว่างเหล่านี้ว่าเป็นวิธีโจมตีแบบใดแบบหนึ่ง จะเกินกว่าข้อค้นพบจริงและอาจทำให้ทีมที่สอบสวนการแจ้งเตือนเข้าใจผิด
ผลกระทบ
ผลกระทบหลักตอนนี้อยู่ที่แรงกดดันต่อองค์กรที่ถูกระบุชื่อ นาฬิกานับถอยหลังบังคับให้ต้องตัดสินใจเร่งด่วน ทั้งเรื่องจะเจรจาหรือไม่ จะแจ้งหน่วยงานกำกับหรือไม่ และจะสื่อสารกับลูกค้าอย่างไร ทั้งที่ยังไม่รู้ว่าข้อมูลที่ถูกอ้างเป็นของจริง เก่าแค่ไหน หรือมาจากระบบใด นาฬิกาเร่งการตัดสินใจได้ แต่บอกที่มา อายุ หรือความเป็นเจ้าของของข้อมูลที่ประกาศไม่ได้
แนวโน้มแก๊งรีดไถด้วยข้อมูลล้วนที่ไม่เข้ารหัสไฟล์ยังทำให้การตรวจจับยากขึ้น เพราะไม่มีเหตุการณ์เข้ารหัสไฟล์ให้เห็นชัด ร่องรอยที่เหลือมีเพียงการเข้าถึงและการส่งข้อมูลออกที่ผิดปกติ ซึ่งองค์กรที่ไม่ได้เฝ้าดูการส่งข้อมูลขาออกอาจไม่รู้ตัวเลยจนกว่าชื่อจะไปปรากฏบนเว็บ
คำแนะนำ
- ถ้าองค์กรถูกระบุชื่อบนเว็บของ ScarlettGroup ให้สอบสวนการเข้าถึงที่ไม่ได้รับอนุญาตจากหลักฐานในระบบของตัวเอง และเก็บรักษาหลักฐานทางนิติวิทยาศาสตร์ก่อนแก้ไขสิ่งใด
- ตรวจสอบคำอ้างของแก๊งกับหลักฐานอิสระ เช่น เทียบตัวอย่างข้อมูลที่แก๊งปล่อยกับระบบจริงเพื่อดูที่มาและอายุของข้อมูล
- เฝ้าดูการดาวน์โหลดและการส่งข้อมูลขาออกที่ผิดปกติ โดยเฉพาะจากฐานข้อมูล ไฟล์เซิร์ฟเวอร์ และพื้นที่เก็บข้อมูลบนคลาวด์
- เสริม MFA จำกัดสิทธิ์บัญชี และตรวจข้อมูลรับรองที่หลุดสู่สาธารณะ รวมถึงประเมินระบบที่เปิดสู่อินเทอร์เน็ต
- เฝ้าดูเว็บรั่วไหลข้อมูลและฟอรัมใต้ดินเพื่อรู้คำอ้างให้เร็ว และเตรียมขั้นตอนรับมือเหตุการณ์ให้พร้อมใช้
- ไม่ถือว่าการลบชื่อออกจากเว็บหลังเจรจาเป็นการยืนยันว่าข้อมูลถูกลบหรือการเข้าถึงยุติแล้ว