สรุปสั้น

Syrian Electronic Army คือ กลุ่มแฮ็กเกอร์ฝ่ายสนับสนุนอดีตประธานาธิบดีบาชาร์ อัล-อัสซาดของซีเรีย ที่เริ่มโจมตีสื่อตะวันตกมาตั้งแต่ปี 2554 ด้วยการส่งอีเมลฟิชชิงขโมยรหัสผ่านพนักงาน แล้วใช้ยึดบัญชีโซเชียลมีเดีย เปลี่ยนหน้าเว็บ และเบี่ยงทราฟฟิก เมื่อวันที่ 29 ตุลาคม 2569 กระทรวงยุติธรรมสหรัฐฯ ประกาศว่าศาลรัฐบาลกลางตัดสินจำคุกนาย Ahmad Umar Agha สมาชิกกลุ่มที่ใช้ชื่อ “Th3Pr0” เป็นเวลา 42 เดือน ฐานร่วมสมคบแฮ็กองค์กรราว 47 แห่ง ทั้งสื่อ ธุรกิจ องค์กรไม่แสวงกำไร และหน่วยงานรัฐของสหรัฐฯ และพันธมิตร

ผลงานที่ทำให้ Agha เป็นที่รู้จัก คือ การยึดบัญชี Twitter ของสำนักข่าว Associated Press (AP) เมื่อ 23 เมษายน 2556 แล้วโพสต์ข่าวปลอมว่าประธานาธิบดีบารัก โอบามาได้รับบาดเจ็บจากระเบิด 2 ครั้งในทำเนียบขาว ทำให้มูลค่าหุ้นในดัชนี Dow Jones วูบชั่วคราว 136,000 ล้านดอลลาร์ ประเด็นที่น่าสังเกต คือ ประกาศรอบนี้ระบุว่าการสมคบถูกจัดตั้งและนำโดยคนในวงในของอัสซาด รวมถึงผู้บัญชาการหน่วยข่าวกรองทั่วไปของซีเรีย ซึ่งเอกสารคดีช่วงก่อนหน้าไม่เคยกล่าวไว้ คดีนี้ย้ำว่าบัญชีโซเชียลขององค์กรข่าวและหน่วยงานรัฐยังเป็นเป้าที่สร้างผลกระทบได้สูงจากการขโมยรหัสผ่านเพียงชุดเดียว

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 30 ตุลาคม 2569 ถึงไทม์ไลน์ของคดี Agha ถูกตั้งข้อหาครั้งแรกในเดือนมิถุนายน 2557 ด้วยคำร้องที่ปิดเป็นความลับจนถึงมีนาคม 2559 เดือนนั้น FBI ใส่ชื่อเขาและนาย Firas Dardar ผู้ร่วมกระทำลงรายชื่อ Cyber’s Most Wanted พร้อมค่าหัว 100,000 ดอลลาร์ ต่อมาคณะลูกขุนใหญ่ฟ้องทั้งสองเมื่อพฤษภาคม 2561 และเว็บไซต์ Court Watch รายงานเมื่อธันวาคม 2568 ว่า Agha อยู่ในการควบคุมตัวของสหรัฐฯ แล้ว และขึ้นศาลไปเมื่อเดือนก่อนหน้า ส่วน Dardar ยังหลบหนี

หลักฐานผูก Agha กับการยึดบัญชี AP มาจากคำให้การของ FBI ปี 2557 ที่ระบุว่าข้อความยืนยันการรีเซ็ตรหัสผ่าน Twitter ของบัญชีนั้นถูกส่งไปยังบัญชี Gmail ที่ Agha ใช้เป็นหลัก Agha เคยให้สัมภาษณ์ Business Insider ว่าการทำให้ Dow ร่วงเป็น “เป้าหมาย” ของการแฮ็กครั้งนั้นและเป็น “ชัยชนะครั้งใหญ่” นาย John A. Eisenberg ผู้ช่วยอัยการสูงสุดด้านความมั่นคงแห่งชาติ ระบุว่า Agha ใช้ฝีมือแฮ็กรับใช้ระบอบอัสซาดเพื่อปิดปากการรายงานความโหดร้ายของระบอบ ข่มขู่ฝ่ายตรงข้าม และยุยงทหารสหรัฐฯ ให้ขัดคำสั่ง ระบอบอัสซาดล่มสลายไปเมื่อธันวาคม 2567

ข้อจำกัดของหลักฐาน คือ ความเชื่อมโยงกับรัฐบาลซีเรีย เอกสารสาธารณะ 3 ชิ้นก่อนหน้า ได้แก่ คำให้การของ FBI ปี 2557 ประกาศตั้งข้อหาปี 2559 และประกาศฟ้องปี 2561 ไม่ได้บรรยายว่าเจ้าหน้าที่ซีเรียเป็นผู้จัดตั้งหรือนำกลุ่ม ประกาศปี 2559 ใช้คำเพียงว่ากลุ่มกระทำ “เพื่อสนับสนุน” รัฐบาลซีเรีย และงานศึกษาช่วงแรกของ OpenNet Initiative ไม่พบหลักฐานน่าเชื่อถือที่ผูกกลุ่มกับรัฐบาลโดยตรง ประกาศรอบนี้จึงเป็นครั้งแรกที่กระทรวงยุติธรรมกล่าวเช่นนั้นต่อสาธารณะ

วิธีการโจมตี

ขโมยรหัสผ่านด้วยฟิชชิง — ตามคำให้การของ FBI สมาชิกกลุ่มส่งอีเมลฟิชชิงไปยังพนักงานขององค์กรเป้าหมายเพื่อหลอกเอารหัสผ่าน แล้วใช้รหัสเหล่านั้นเข้าบัญชีอีเมลและระบบจัดการเว็บหรือโซเชียลมีเดีย

ยึดบัญชีโซเชียลและเปลี่ยนเส้นทางเว็บ — เมื่อได้บัญชีแล้ว กลุ่มโพสต์ข้อความปลอม เปลี่ยนหน้าเว็บ หรือเบี่ยงผู้เข้าชมไปหน้าอื่น เช่น Agha เจาะบริษัทที่โฮสต์เว็บไซต์รับสมัครของนาวิกโยธินสหรัฐฯ แล้วเปลี่ยนเส้นทางผู้เข้าชมไปยังภาพที่เรียกร้องให้นาวิกโยธินขัดคำสั่งและไปร่วมรบกับกองทัพซีเรีย มีผู้เข้าชมราว 3,500 รายเห็นภาพนั้นแทนเนื้อหารับสมัคร

เล็งบัญชีทำเนียบขาว — Agha พยายามยึดบัญชีโซเชียลของทำเนียบขาว 2 ครั้งโดยขโมยรหัสผ่านอีเมลของเจ้าหน้าที่ ครั้งหนึ่งเข้าอีเมลเจ้าหน้าที่ได้แต่หลอกคนอื่นให้ให้สิทธิ์ต่อไม่สำเร็จ คำให้การของ FBI ระบุว่ากลุ่มเจาะอีเมลส่วนตัวของเจ้าหน้าที่ทำเนียบขาวคนหนึ่งเมื่อกรกฎาคม 2556 แต่ไม่มีบัญชีทางการถูกยึด

ผลกระทบ

ความเสียหายที่ศาลรับรู้มีทั้งตลาดและเหยื่อรายองค์กร ข่าวปลอมทวีตเดียวทำให้มูลค่าตลาดหุ้นสหรัฐฯ หายไปชั่วคราว 136,000 ล้านดอลลาร์ ส่วนเหยื่อหลายรายต้องจ่ายค่ากู้ระบบและยกระดับความปลอดภัยสูง บริษัทผู้ให้บริการเนื้อหา โฆษณา และลิงก์แก่ผู้เผยแพร่ออนไลน์รายหนึ่งเสียรายได้ราว 35,000 ดอลลาร์ต่อวันนานราว 6 เดือน องค์กรไม่แสวงกำไรระดับโลกแห่งหนึ่งเสียหาย 480,000 ดอลลาร์ ในจำนวนนี้ราว 250,000 ดอลลาร์เป็นเครื่องมือเฝ้าระวังเครือข่ายใหม่ และต้องอบรมพนักงานใหม่กว่า 800 คน

ในภาพใหญ่ คดีนี้แสดงว่าบัญชีโซเชียลของสำนักข่าวและหน่วยงานรัฐเป็นช่องทางสร้างความปั่นป่วนต่อตลาดและความเชื่อมั่นได้ด้วยต้นทุนต่ำ และการติดตามตัวผู้กระทำข้ามประเทศอาจใช้เวลากว่าทศวรรษ

คำแนะนำ

  • บังคับใช้ MFA แบบต้านฟิชชิงกับบัญชีโซเชียลมีเดียทางการขององค์กร และผูกการกู้บัญชีกับอีเมลองค์กรที่มี MFA ไม่ใช่อีเมลส่วนตัวของพนักงาน
  • ใช้เครื่องมือจัดการโซเชียลมีเดียแบบรวมศูนย์ที่แยกสิทธิ์รายบุคคล แทนการแชร์รหัสผ่านบัญชีหลักระหว่างทีม
  • เปิดการแจ้งเตือนการรีเซ็ตรหัสผ่านและการล็อกอินใหม่ของบัญชีทางการไปยังทีมความปลอดภัย ไม่ใช่เฉพาะผู้ดูแลบัญชี
  • เตรียมขั้นตอนรับมือบัญชีถูกยึด เช่น ช่องทางติดต่อแพลตฟอร์มแบบเร่งด่วน และการแถลงยืนยันผ่านช่องทางสำรองเมื่อมีข่าวปลอมจากบัญชีองค์กร
  • ตรวจผู้ให้บริการโฮสต์เว็บไซต์และ DNS ว่าบัญชีจัดการมี MFA และล็อกการเปลี่ยนแปลงโดเมน เพราะกลุ่มนี้เคยเบี่ยงทราฟฟิกผ่านผู้ให้บริการโฮสต์

แหล่งอ้างอิง