สรุปสั้น

กระทรวงความมั่นคงแห่งมาตุภูมิสหรัฐฯ (DHS) ถูกเปิดเผยรายชื่อบุคลากรครั้งใหญ่ เมื่อองค์กรไม่แสวงกำไร Distributed Denial of Secrets (DDoSecrets) ปล่อยชุดข้อมูลชื่อ Icepick เมื่อวันที่ 28 ตุลาคม 2569 ครอบคลุมพนักงานและผู้รับเหมากว่า 41,000 ราย โดยให้เครดิตกลุ่มที่เรียกตัวเองว่า Department of Peace ซึ่งเคยอ้างว่าเจาะ DHS และปล่อยข้อมูลสัญญาจ้างของ ICE ผ่าน DDoSecrets มาแล้วเมื่อต้นปี ชุดข้อมูลรอบนี้ไม่ใช่แค่สมุดรายชื่อ แต่มีสายบังคับบัญชา หน้าที่ และกลุ่มสิทธิ์ภายในที่เผยให้เห็นโครงสร้างทีมงานที่อ่อนไหว รวมถึงงานสืบสวนนอกเครื่องแบบของสำนักงานตรวจคนเข้าเมืองและศุลกากร (ICE)

ประเด็นที่ยังไม่มีคำตอบ คือ ข้อมูลหลุดมาได้อย่างไร DDoSecrets อ้างว่ามาจากบริการ single sign-on (SSO) ของ Okta ที่ DHS ใช้ แต่สำนักข่าว Reuters ยืนยันข้ออ้างนี้ไม่ได้ และบริษัท Okta ระบุว่าระบบของตนปลอดภัย ไม่พบหลักฐานว่าถูกเจาะ ข้อมูลชื่อคู่กับหัวหน้างาน หน้าที่ และเบอร์โทรเป็นวัตถุดิบชั้นดีของการสวมรอยและหลอกลวงเจาะจงตัว หน่วยงานที่ใช้ระบบยืนยันตัวตนแบบรวมศูนย์จึงควรทบทวนขั้นตอนยืนยันตัวผู้ขอรีเซ็ตรหัสผ่านหรือ MFA ผ่าน help desk

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 29 ตุลาคม 2569 ว่า DDoSecrets เผยแพร่คลังข้อมูล Icepick เมื่อวันที่ 28 ตุลาคม โดยให้เครดิตแหล่งที่มาแก่กลุ่ม Department of Peace และนางสาว Maia Arson Crimew นักวิจัยและนักข่าว ได้สร้างเครื่องมือค้นหาข้อมูลชุดนี้ขึ้นมาด้วย DDoSecrets ให้เหตุผลว่าการเผยแพร่ช่วยการตรวจสอบภาครัฐ งานข่าว และการยื่นขอข้อมูลราชการ

เนื้อหาของคลังข้อมูลอัปเดตล่าสุดเมื่อวันที่ 19 สิงหาคม 2569 ประกอบด้วยชื่อ อีเมล เบอร์โทรศัพท์ ที่ตั้งสำนักงาน ตำแหน่ง และหัวหน้างาน ครอบคลุม DHS และหน่วยงานในสังกัด 7 แห่ง เช่น ICE สำนักงานศุลกากรและพิทักษ์ชายแดน (CBP) และ CISA โดย CBP มีสัดส่วนมากกว่าครึ่ง ICE ราว 10,000 ราย สำนักงานสัญชาติและตรวจคนเข้าเมือง (USCIS) ราว 6,200 ราย และ CISA เกือบ 1,000 ราย รวมแล้วราวหนึ่งในเจ็ดของกำลังคน DHS ไม่ใช่ทั้งหมด

ด้านนิตยสาร WIRED ตรวจกลุ่มสิทธิ์ (permission group) กว่า 55,000 กลุ่มที่ใช้คุมการเข้าถึงระบบภายใน และพบพนักงานของหน่วยสืบสวน Homeland Security Investigations (HSI) 39 รายอยู่ในกลุ่มที่มีคำว่า “CUC” ซึ่งเอกสารศาลของรัฐบาลโยงกับปฏิบัติการนอกเครื่องแบบที่ได้รับการรับรอง กลุ่มอื่นยังอ้างถึงการดักฟังโทรศัพท์ การวิเคราะห์ข้อมูลโทรศัพท์ และเครื่องมือสอดแนม

ส่วน Reuters ตรวจสอบได้เพียงบางส่วน โดยเทียบข้อมูลพนักงาน 6 รายกับบันทึกอื่น และโทรยืนยันเบอร์โทรกับข้อมูลอื่นกับพนักงาน 3 ราย บางรายการตรงกับโปรไฟล์สาธารณะ แต่บางรายการเผยโครงสร้างภายในหรือปฏิบัติการที่ไม่เคยเปิดเผยมาก่อน

ข้อจำกัดของหลักฐานมี 3 ข้อ ข้อแรก ยังไม่มีใครยืนยันช่องทางที่ข้อมูลหลุดออกมา ข้อสอง การอ้างว่าขโมยจากบริการยืนยันตัวตนขององค์กรไม่ได้แปลว่าผู้ให้บริการอย่าง Okta ถูกเจาะ ข้อสาม การอยู่ในกลุ่มสิทธิ์ใดไม่ได้พิสูจน์ว่าบุคคลนั้นทำหน้าที่ดังกล่าวอยู่ในปัจจุบัน

วิธีการโจมตี

ช่องทางเข้า — ยังไม่ยืนยัน — DDoSecrets ระบุว่าข้อมูลมาจาก Okta SSO ที่ DHS ใช้ แต่ไม่มีฝ่ายใดเปิดเผยวิธีเข้าถึงที่ยืนยันได้ Okta ปฏิเสธว่าระบบของตนไม่ถูกเจาะ ข้อเท็จจริงที่เหลือจึงเป็นไปได้หลายทาง เช่น บัญชีลูกค้ารายหนึ่งของ Okta ถูกยึด หรือข้อมูลถูกดึงจากระบบปลายทางที่เชื่อมกับ SSO ซึ่งยังไม่มีหลักฐานชี้ไปทางใด

ทำไมข้อมูลจาก SSO ถึงอ่อนไหว — ระบบ SSO (ล็อกอินครั้งเดียวใช้ได้หลายระบบ) เก็บไม่เพียงชื่อผู้ใช้ แต่รวมกลุ่มสิทธิ์ที่บอกว่าใครเข้าระบบอะไรได้ ชื่อกลุ่มที่ตั้งตามภารกิจ เช่น งานนอกเครื่องแบบหรือการดักฟัง จึงกลายเป็นแผนที่ภารกิจภายในโดยไม่ตั้งใจ

ผู้โจมตีจะใช้ข้อมูลนี้อย่างไร — แคมเปญก่อนหน้าที่เล็งระบบ Okta ของลูกค้าใช้การโทรหาและส่งคำขอ help desk ปลอม รวมถึงข้อความฝ่ายสนับสนุนและหน้าล็อกอินปลอม เพื่อขโมยรหัสผ่านและรหัสยืนยันตัวตน ข้อมูลที่บอกชื่อหัวหน้า หน้าที่ และเบอร์ตรงช่วยให้การสวมรอยแบบนี้น่าเชื่อขึ้นมาก ทั้งนี้ยังไม่มีหลักฐานเชื่อมแคมเปญเหล่านั้นกับเหตุการณ์ครั้งนี้

ผลกระทบ

ผู้ได้รับผลกระทบโดยตรงคือพนักงานและผู้รับเหมา DHS กว่า 41,000 ราย โดยเฉพาะเจ้าหน้าที่ ICE และ HSI ที่ทำงานสืบสวนหรือนอกเครื่องแบบ นาย Alexander Leslie ผู้เชี่ยวชาญจากบริษัท Recorded Future ให้ความเห็นกับ WIRED ว่าข้อมูลลักษณะนี้ช่วยให้ฝ่ายตรงข้ามคัดคนที่เปราะบาง สร้างการสวมรอยที่แนบเนียน หรือคุกคามการสืบสวนที่ดำเนินอยู่ได้

ในภาพกว้าง เหตุการณ์นี้ต่อจากกรณีที่ ShinyHunters อ้างว่าขโมยข้อมูลบุคลากร FBI เมื่อเดือนกันยายน (2026/09/167 ) และกรณีศูนย์ข้อมูลกำลังพล DMDC ของกระทรวงกลาโหมสหรัฐฯ (2026/09/235 ) แม้ทั้งหมดเป็นเหตุการณ์แยกกันและไม่มีหลักฐานว่ามีสาเหตุร่วม แต่สะท้อนว่าข้อมูลบุคลากรภาครัฐกลายเป็นเป้าหมายต่อเนื่อง และความเสียหายหลักไม่ได้อยู่ที่ข้อมูลส่วนตัว แต่อยู่ที่โครงสร้างองค์กรที่ถูกเปิดให้ผู้โจมตีใช้ต่อยอด

คำแนะนำ

  • ทบทวนขั้นตอน help desk ทันที — กำหนดให้การรีเซ็ตรหัสผ่าน ลงทะเบียน MFA ใหม่ หรือเปลี่ยนอุปกรณ์ ต้องยืนยันตัวผ่านช่องทางที่สอง เช่น โทรกลับเบอร์ในระบบ HR หรือยืนยันต่อหน้า ไม่ใช่เชื่อชื่อหัวหน้าหรือรหัสพนักงานที่ผู้โทรบอก
  • ใช้ MFA ที่กันฟิชชิงได้ — เช่น FIDO2/passkey สำหรับบัญชีที่มีสิทธิ์สูงหรือทำงานอ่อนไหว เพื่อลดผลจากหน้าล็อกอินปลอมและการขอรหัส OTP
  • ตรวจล็อก IdP ย้อนหลัง — ดูการ export รายชื่อผู้ใช้หรือกลุ่มจำนวนมาก การเรียก API อ่าน directory จากโทเคนผิดปกติ และการเปลี่ยนปัจจัย MFA ช่วงก่อนวันที่ข้อมูลอัปเดตล่าสุด
  • ตั้งชื่อกลุ่มสิทธิ์ไม่ให้บอกภารกิจ — ใช้รหัสกลางแทนคำที่บ่งบอกปฏิบัติการ และจำกัดสิทธิ์อ่าน directory เฉพาะบริการที่จำเป็น
  • แจ้งเตือนบุคลากรที่อยู่ในชุดข้อมูล — ให้ระวังสายโทรหรือข้อความที่อ้างชื่อหัวหน้าหรือฝ่ายไอที และมีช่องทางรายงานที่ชัดเจน

แหล่งอ้างอิง