สรุปสั้น
แก๊งแรนซัมแวร์ Everest อ้างว่าขโมยข้อมูลขนาด 590.69 GB จากบริษัท PwC (PricewaterhouseCoopers) บริษัทที่ปรึกษาและบริการวิชาชีพระดับโลก โดยลงรายชื่อบนเว็บไซต์ประจานเมื่อวันที่ 22 ตุลาคม 2569 การแจ้งเตือนของ Hackmanac ระบุว่ามีไฟล์ราว 108,426 ไฟล์ที่อ้างว่ามาจากระบบ HR และระบบการเรียนรู้ภายใน ครอบคลุมการดำเนินงานของ PwC ในออสเตรเลีย จีน แคนาดา และสหราชอาณาจักร ข้อมูลที่อ้างรวมถึงข้อมูลพนักงาน บันทึกการจ้างงานและการอบรม วิธีการตรวจสอบภายใน เอกสารลับ ไปจนถึงซอร์สโค้ดและไฟล์ตั้งค่า single sign-on (SSO)
ทั้งหมดนี้ยังเป็นเพียงคำกล่าวอ้าง PwC ยังไม่ตอบสนองต่อรายงาน และเอกสารที่ตรวจสอบได้ยังไม่พบจำนวนค่าไถ่ ช่องทางเจาะเริ่มต้น หรือหลักฐานว่าระบบของ PwC ถูกเข้ารหัส ภาพหน้าจอจากเว็บไซต์ประจานขู่เผยแพร่ข้อมูลเมื่อนับถอยหลังครบ โดยมีรายงานว่ากำหนดเส้นตายคือ 28 ตุลาคม แต่ยังไม่มีการยืนยันอิสระ ประเด็นหลักที่ต้องรอคำตอบคือข้อมูลเป็นของจริงหรือไม่ เป็นของใคร ขอบเขตการเข้าถึงแค่ไหน และยังเป็นข้อมูลปัจจุบันหรือไม่
รายละเอียดข่าว
เว็บไซต์ Cybersecurity News รายงานเมื่อวันที่ 23 ตุลาคม 2569 ว่ากลุ่ม Everest ลงรายชื่อ PwC บนเว็บไซต์ประจานเมื่อ 22 ตุลาคม โดยระบบติดตามเหยื่อของ CTIWatch บันทึกการปรากฏของ PwC บนเว็บไซต์ของ Everest ในวันเดียวกัน และ Hackmanac เผยแพร่การแจ้งเตือนสาธารณะว่ามีไฟล์ 108,426 ไฟล์ที่อ้างว่านำออกมาจากระบบ HR และระบบการเรียนรู้ภายใน ทั้งสองแหล่งเป็นการบันทึกคำกล่าวอ้าง ไม่ใช่หลักฐานอิสระว่ามีการเจาะระบบจริง
ภาพหน้าจอจากเว็บไซต์ประจานระบุไดเรกทอรีชื่อ pwc-stg.csod.com และอธิบายว่าเป็นเอกสารจากแพลตฟอร์ม Cornerstone OnDemand ระบบบริหารการเรียนรู้และทรัพยากรบุคคลบนคลาวด์ ประกอบด้วยไฟล์ส่งออกข้อมูล HR รายภูมิภาค หลักสูตร e-learning และเอกสารทดสอบการเชื่อมต่อระบบ มีทั้งหมด 494 ไดเรกทอรี ไฟล์บีบอัดต้นฉบับ 1,333 ไฟล์ และไฟล์บีบอัดซ้อนอีก 53 ไฟล์ ชื่อโดเมนที่ลงท้ายด้วย -stg ชวนให้คิดว่าอาจเป็นระบบ staging แต่ภาพหน้าจอเพียงอย่างเดียวไม่ได้บอกว่าข้อมูลได้มาอย่างไร
ชุดข้อมูล HR ชุดหนึ่งมีรายงานว่าประกอบด้วย 213,084 ระเบียน แต่ตัวเลขนี้ไม่ควรตีความเป็นจำนวนพนักงานที่ได้รับผลกระทบ เพราะยังไม่รู้ว่ามีบุคคลไม่ซ้ำกันกี่ราย การแจ้งเตือนยังไม่ได้ระบุด้วยว่าในข้อมูลมีรหัสผ่าน โทเคน หรือ secret อื่นที่ยังใช้งานได้หรือไม่ แม้จะกล่าวถึงซอร์สโค้ดและไฟล์ตั้งค่า SSO ก็ตาม
รูปแบบการรีดไถของ Everest
Everest เคยใช้การอ้างขโมยข้อมูลกดดันองค์กรที่ถูกระบุชื่อมาแล้ว รวมถึงกรณีที่อ้างว่าเจาะ McDonald’s India แต่ประวัติของกลุ่มมีทั้งการรีดไถด้วยข้อมูลอย่างเดียวและการเข้ารหัสไฟล์ การลงรายชื่อครั้งนี้จึงไม่ควรถือเป็นหลักฐานโดยอัตโนมัติว่ามีการปล่อยแรนซัมแวร์ในระบบของ PwC
การวิเคราะห์เชิงเทคนิคแยกต่างหากของตัวเข้ารหัส Everest ตัวหนึ่งพบว่าไม่มีฟังก์ชันขโมยข้อมูลในตัว นักวิจัยตั้งข้อสังเกตว่าการขโมยข้อมูลอาจเกิดก่อนหน้านั้นผ่านเครื่องมือแยกต่างหาก แต่ข้อค้นพบนี้ไม่ได้อธิบายเหตุการณ์ที่อ้างครั้งนี้ ส่วนการที่ข้อมูลที่อ้างมาจากแพลตฟอร์ม SaaS ของผู้ให้บริการภายนอก ยังเปิดความเป็นไปได้ว่าจุดที่ถูกเข้าถึงอาจเป็นบัญชีหรือการเชื่อมต่อกับแพลตฟอร์มนั้น ไม่ใช่เครือข่ายภายในของ PwC โดยตรง ซึ่งยังต้องรอการยืนยันเช่นกัน
ผลกระทบ
หากข้อมูลเป็นของจริง ข้อมูลพนักงานละเอียดระดับนี้เปิดทางให้อาชญากรสร้างข้อความฟิชชิงที่น่าเชื่อถือ หรือแอบอ้างเป็นพนักงาน PwC เพื่อหลอกลูกค้าและคู่ค้า ซึ่งอันตรายเป็นพิเศษสำหรับบริษัทที่ปรึกษาและตรวจสอบบัญชีที่ลูกค้าคุ้นกับการส่งเอกสารการเงินและข้อมูลลับให้ ส่วนเอกสารวิธีการตรวจสอบภายในและไฟล์ตั้งค่า SSO หากหลุดจริงก็อาจช่วยผู้โจมตีวางแผนเจาะระบบต่อได้
เหตุนี้ยังตอกย้ำความเสี่ยงของข้อมูลที่อยู่บนแพลตฟอร์ม SaaS ด้าน HR และการเรียนรู้ ซึ่งมักเก็บข้อมูลพนักงานจำนวนมากและเชื่อมกับ SSO ขององค์กร แต่มักได้รับการตรวจสอบความปลอดภัยน้อยกว่าระบบหลัก โดยเฉพาะสภาพแวดล้อม staging และทดสอบการเชื่อมต่อที่อาจใช้ข้อมูลจริง
คำแนะนำ
- พนักงาน ลูกค้า และคู่ค้าของ PwC ควรระวังอีเมลหรือข้อความที่อ้างชื่อพนักงาน PwC ขอข้อมูลหรือเปลี่ยนช่องทางชำระเงิน และยืนยันผ่านช่องทางที่รู้จักก่อนดำเนินการ
- องค์กรที่ใช้แพลตฟอร์ม SaaS ด้าน HR หรือ LMS เช่น Cornerstone OnDemand ควรตรวจสิทธิ์บัญชีผู้ดูแล บัญชี API และการเชื่อมต่อ integration ทั้งหมด และปิดบัญชีที่ไม่ใช้งาน
- แยกสภาพแวดล้อม staging และทดสอบออกจากข้อมูลจริง ใช้ข้อมูลจำลองหรือข้อมูลที่ลบตัวตนแล้วเมื่อทดสอบการเชื่อมต่อ
- หมุนเวียน secret ที่ใช้ใน SSO และ integration กับแพลตฟอร์มภายนอกอย่างสม่ำเสมอ และไม่เก็บ secret ไว้ในไฟล์ตั้งค่าหรือเอกสารทดสอบ
- ทีม threat intelligence ควรเฝ้าติดตามเว็บไซต์ประจานของ Everest ว่ามีการเผยแพร่ข้อมูลหลังเส้นตายหรือไม่ เพื่อประเมินความถูกต้องของคำกล่าวอ้าง