ชื่อกลุ่มแฮกเกอร์: เมื่อภัยคุกคามไซเบอร์ระดับโลกถูกเรียกด้วยชื่อสุดแปลก
ในโลกของความมั่นคงปลอดภัยทางไซเบอร์ (Cybersecurity) เรามักได้ยินชื่อกลุ่มแฮกเกอร์ที่ฟังดูเหมือนสัตว์เลี้ยงน่ารักหรือชื่อขนม เช่น Fancy Bear, Refined Kitten หรือ Sea Turtle แต่ในความเป็นจริง กลุ่มคนเหล่านี้ไม่ใช่สัตว์เลี้ยง แต่เป็นอาชญากรไซเบอร์และหน่วยจารกรรมที่ได้รับการสนับสนุนจากรัฐบาล ซึ่งสร้างความเสียหายมหาศาลต่อธุรกิจ โครงสร้างพื้นฐานที่สำคัญ และใช้เป็นเครื่องมือในการกดขี่ผู้คนทั่วโลก
ความย้อนแย้งนี้เกิดขึ้นเมื่อบริษัทด้านความปลอดภัยแต่ละแห่งมีวิธีการตั้งชื่อกลุ่มแฮกเกอร์ที่แตกต่างกัน ทำให้เกิดความสับสนในการสื่อสาร เช่น กลุ่มแฮกเกอร์จากหน่วยข่าวกรองทหารรัสเซียกลุ่มหนึ่ง อาจถูกบริษัทหนึ่งเรียกว่า Fancy Bear แต่อีกบริษัทกลับเรียกว่า Pawn Storm หรือ Iron Twilight ซึ่งทำให้ความรุนแรงของสถานการณ์ดูเบาบางลงจนเกือบจะเหมือนการเล่นเกมการ์ดมากกว่าการรายงานสงครามไซเบอร์
การเปลี่ยนแปลงระบบการตั้งชื่อของ Microsoft
ล่าสุด Microsoft ได้ประกาศเปลี่ยนระบบการตั้งชื่อ (Taxonomy) สำหรับกลุ่มแฮกเกอร์หลายร้อยกลุ่มที่พวกเขาติดตาม จากเดิมที่ใช้ชื่อธาตุทางเคมีซึ่งดูเป็นกลางและเป็นวิทยาศาสตร์ เปลี่ยนมาใช้ระบบชื่อสองคำที่ประกอบด้วย คำศัพท์เกี่ยวกับสภาพอากาศ เพื่อระบุประเทศที่คาดว่าแฮกเกอร์กลุ่มนั้นทำงานให้ รวมถึงระบุว่าเป็นกลุ่มที่รัฐสนับสนุนหรือเป็นอาชญากร
การเปลี่ยนแปลงนี้ส่งผลให้กลุ่มแฮกเกอร์ที่อันตรายระดับโลกมีชื่อที่ฟังดูแปลกประหลาด เช่น:
- Phosphorous (กลุ่มจากอิหร่านที่โจมตีโครงสร้างพื้นฐานสหรัฐฯ) เปลี่ยนเป็น Mint Sandstorm
- Iridium หรือ Sandworm (หน่วยรบไซเบอร์รัสเซียที่ทำให้เกิดไฟดับในยูเครน) เปลี่ยนเป็น Seashell Blizzard
- Barium (กลุ่มแฮกเกอร์จีนที่เชี่ยวชาญการโจมตี Software Supply Chain) เปลี่ยนเป็น Brass Typhoon
นอกจากนี้ยังมีชื่ออื่นๆ ที่ฟังดูตลกขบขัน เช่น Periwinkle Tempest, Pumpkin Sandstorm และ Spandex Tempest ซึ่งสร้างความกังขาให้กับผู้เชี่ยวชาญในอุตสาหกรรมว่าการตั้งชื่อเช่นนี้จะทำให้วิชาชีพด้านความปลอดภัยไซเบอร์ดูไม่น่าเชื่อถือหรือไม่
ผลกระทบและความท้าทายในการวิเคราะห์ภัยคุกคาม
Rob Lee ผู้ก่อตั้งและ CEO ของ Dragos มองว่าระบบใหม่นี้ส่งผลเสียต่อการวิเคราะห์ เนื่องจากนักวิเคราะห์ทั่วโลกต้องเสียเวลาปรับปรุงฐานข้อมูลเพื่อให้สอดคล้องกับชื่อใหม่ของ Microsoft นอกจากนี้ การระบุสัญชาติลงในชื่อโดยตรงอาจเป็นการด่วนสรุปเกินไป เพราะในความเป็นจริง สถานะของแฮกเกอร์อาจเปลี่ยนแปลงได้ เช่น จากเจ้าหน้าที่รัฐกลายเป็นผู้รับจ้างอิสระ
ทางด้าน John Lambert หัวหน้าศูนย์ Threat Intelligence ของ Microsoft อธิบายว่า เหตุผลที่ต้องเปลี่ยนเพราะชื่อธาตุมีจำกัดเพียง 118 ชื่อ และต้องการให้ชื่อใหม่มีความโดดเด่น จดจำง่าย และค้นหาได้สะดวกขึ้น โดยเลือกใช้สภาพอากาศเพราะสื่อถึงพลังที่แพร่กระจายและสร้างความปั่นป่วน ซึ่งสอดคล้องกับธรรมชาติของภัยคุกคามไซเบอร์
| ผู้ตั้งชื่อ | รูปแบบการตั้งชื่อ | ตัวอย่างชื่อ | จุดประสงค์/ข้อสังเกต |
|---|---|---|---|
| Microsoft (ระบบเก่า) | ชื่อธาตุทางเคมี | Phosphorous, Barium | เน้นความเป็นกลางทางวิทยาศาสตร์ |
| Microsoft (ระบบใหม่) | คำคุณศัพท์ + สภาพอากาศ | Mint Sandstorm, Brass Typhoon | ระบุสัญชาติและแรงจูงใจให้ชัดเจน |
| Crowdstrike | ชื่อสัตว์ตามสัญชาติ | Fancy Bear, Charming Kitten | ใช้สัตว์เป็นสัญลักษณ์แทนประเทศ |
| Dragos | ชื่อแร่ธาตุ | (ชื่อแร่ต่างๆ) | เน้นการจำแนกตามลักษณะทางเทคนิค |
ข้อเท็จจริงสำคัญ
- ความหลากหลายของชื่อ: กลุ่มแฮกเกอร์กลุ่มเดียวอาจมีหลายชื่อตามบริษัทที่ตรวจพบ เนื่องจากแต่ละบริษัทเห็นข้อมูลเพียงบางส่วน
- ความเสี่ยงของชื่อที่ดูตลก: การใช้ชื่อที่ดูไม่รุนแรงอาจทำให้ผู้บริหารระดับสูงมองข้ามความร้ายแรงของเหตุการณ์การถูกโจมตี
- ข้อจำกัดของมาตรฐาน: แม้ผู้เชี่ยวชาญจะต้องการมาตรฐานกลางจากหน่วยงานรัฐ (เช่น NIST) แต่การแบ่งปันข้อมูลลับระหว่างบริษัทเป็นอุปสรรคสำคัญ
- ตัวอย่างความเสียหาย: กลุ่ม Periwinkle Tempest เคยโจมตีด้วย Ransomware จนรัฐบาลคอสตาริกาต้องประกาศภาวะฉุกเฉินระดับชาติ
คำถามที่พบบ่อย
ทำไมกลุ่มแฮกเกอร์กลุ่มเดียวถึงมีชื่อเรียกหลายชื่อ?
เนื่องจากบริษัทความปลอดภัยแต่ละแห่งเข้าถึงข้อมูลและร่องรอยการโจมตีที่แตกต่างกัน เมื่อไม่สามารถยืนยันได้ว่ากลุ่มที่พบคือกลุ่มเดียวกับที่บริษัทอื่นรายงาน จึงจำเป็นต้องตั้งชื่อใหม่เพื่อใช้ในการติดตามภายในองค์กรของตนเอง
การตั้งชื่อแบบใหม่ของ Microsoft มีข้อดีอย่างไร?
ช่วยให้ผู้ใช้งานทราบถึงสัญชาติและแรงจูงใจของกลุ่มแฮกเกอร์ได้ทันทีจากชื่อ และทำให้ชื่อมีความแตกต่างกันมากขึ้น ง่ายต่อการค้นหาและจดจำเมื่อเทียบกับชื่อธาตุที่มีจำนวนจำกัด
ทำไมผู้เชี่ยวชาญบางส่วนถึงไม่เห็นด้วยกับการตั้งชื่อที่ดู "น่ารัก" หรือ "ตลก"?
เพราะอาจทำให้การรายงานเหตุการณ์ต่อผู้บริหารหรือบอร์ดบริหารขาดความน่าเชื่อถือ และลดทอนความรุนแรงของภัยคุกคามที่เกิดขึ้นจริง ซึ่งอาจส่งผลต่อการตัดสินใจแก้ไขปัญหาที่ล่าช้า
เป็นไปได้ไหมที่จะมีมาตรฐานการตั้งชื่อเดียวทั่วโลก?
ในทางทฤษฎีเป็นไปได้หากมีหน่วยงานกลางกำหนด แต่ในทางปฏิบัติทำได้ยาก เพราะบริษัทความปลอดภัยมักเก็บข้อมูลการวิเคราะห์ไว้เป็นความลับทางการค้า ทำให้ไม่สามารถตกลงร่วมกันได้ว่ากลุ่มที่พบคือกลุ่มเดียวกันหรือไม่
