F5 ถูกเจาะระบบครั้งใหญ่ เตือนองค์กรทั่วโลกเสี่ยงถูกโจมตีผ่าน Supply Chain
รัฐบาลสหรัฐฯ ออกคำเตือนด่วนถึงหน่วยงานรัฐและบริษัทชั้นนำในกลุ่ม Fortune 500 เกี่ยวกับภัยคุกคามที่ใกล้จะเกิดขึ้น หลังจาก F5 ผู้พัฒนาซอฟต์แวร์เครือข่ายชื่อดังจากซีแอตเทิล ยอมรับว่าระบบภายในถูกกลุ่มแฮกเกอร์ระดับรัฐ (Nation-state hacking group) ลอบเข้าถึงข้อมูลและฝังตัวอยู่ในเครือข่ายเป็นระยะเวลานาน
ความน่ากังวลของเหตุการณ์นี้อยู่ที่ความสามารถของแฮกเกอร์ในการเข้าควบคุมส่วนงานที่ใช้สร้างและส่งมอบการอัปเดตสำหรับ BIG-IP ซึ่งเป็นอุปกรณ์จัดการเซิร์ฟเวอร์ที่บริษัทระดับโลก 48 จาก 50 แห่งเลือกใช้งาน โดยผู้โจมตีสามารถขโมยซอร์สโค้ด (Source Code) ข้อมูลช่องโหว่ที่ยังไม่ได้รับการแก้ไข และการตั้งค่าเครือข่ายของลูกค้าบางรายไปได้
ความเสี่ยงระดับวิกฤตต่อโครงสร้างพื้นฐานดิจิทัล
การที่ผู้ไม่หวังดีเข้าถึงทั้งระบบการสร้างซอฟต์แวร์และข้อมูลช่องโหว่ที่ยังไม่ถูกเปิดเผย ทำให้เกิดความเสี่ยงต่อการโจมตีแบบ Supply-chain attack หรือการโจมตีผ่านห่วงโซ่อุปทาน ซึ่งเป็นการฝังมัลแวร์หรือช่องโหว่ลงในซอฟต์แวร์ที่เชื่อถือได้ก่อนส่งถึงมือผู้ใช้ ทำให้แฮกเกอร์สามารถเข้าถึงเครือข่ายที่มีความสำคัญสูงนับพันแห่งได้อย่างง่ายดาย
นอกจากนี้ เนื่องจาก BIG-IP มักถูกติดตั้งไว้ที่จุดเชื่อมต่อหลักของเครือข่ายเพื่อทำหน้าที่เป็น Load Balancer (ตัวกระจายภาระงานของเซิร์ฟเวอร์) และ Firewall (ระบบกำแพงไฟป้องกันเครือข่าย) รวมถึงใช้ในการตรวจสอบและเข้ารหัสข้อมูล หากอุปกรณ์นี้ถูกเจาะระบบ แฮกเกอร์จะสามารถใช้เป็นทางผ่านเพื่อขยายการโจมตีไปยังส่วนอื่นๆ ของเครือข่ายภายในองค์กรได้
| หัวข้อ | รายละเอียด |
|---|---|
| ข้อมูลที่ถูกขโมย | ซอร์สโค้ด BIG-IP, ข้อมูลช่องโหว่ที่ยังไม่ Patch, การตั้งค่าเครือข่ายลูกค้า |
| ระบบที่ได้รับผลกระทบ | BIG-IP, F5OS, BIG-IQ และ APM |
| สถานะการโจมตี Supply Chain | ยังไม่พบหลักฐานว่ามีการแก้ไขซอร์สโค้ดเพื่อฝังช่องโหว่ (ตรวจสอบโดย IOActive และ NCC Group) |
| ข้อมูลที่ไม่ได้รับผลกระทบ | ระบบ CRM, ข้อมูลการเงิน, ระบบสนับสนุนลูกค้า และระบบสุขภาพ |
การตอบสนองและมาตรการแก้ไข
แม้ว่าบริษัทตรวจสอบความปลอดภัยอย่าง Mandiant และ CrowdStrike จะยังไม่พบหลักฐานการโจมตีแบบ Supply Chain ในขณะนี้ แต่ F5 ได้ดำเนินการออกอัปเดตความปลอดภัยสำหรับผลิตภัณฑ์ BIG-IP, F5OS, BIG-IQ และ APM รวมถึงมีการเปลี่ยนใบรับรองการลงนาม (Signing Certificates) ของ BIG-IP เพื่อความปลอดภัย
ทางด้าน CISA (หน่วยงานความมั่นคงปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐานของสหรัฐฯ) และศูนย์ความปลอดภัยทางไซเบอร์แห่งชาติของสหราชอาณาจักร ได้สั่งการให้หน่วยงานรัฐดำเนินการขั้นฉุกเฉิน โดยต้องตรวจสอบจำนวนอุปกรณ์ BIG-IP ทั้งหมดในระบบ ติดตั้งอัปเดตล่าสุดทันที และใช้คู่มือการล่าภัยคุกคาม (Threat-hunting guide) ที่ F5 จัดเตรียมไว้ ซึ่งคำแนะนำนี้ครอบคลุมถึงผู้ใช้งานในภาคเอกชนด้วยเช่นกัน
ข้อเท็จจริงสำคัญ
- ผู้โจมตี: กลุ่มแฮกเกอร์ระดับรัฐที่มีความเชี่ยวชาญสูงและฝังตัวในระบบเป็นเวลานาน
- จุดอ่อนหลัก: การเข้าถึงระบบ Build System และซอร์สโค้ดของผลิตภัณฑ์ BIG-IP
- ความเสี่ยง: การใช้ข้อมูลการตั้งค่าลูกค้าเพื่อขโมยสิทธิ์การเข้าถึง (Credentials) และการโจมตีเครือข่ายภายใน
- การป้องกัน: ผู้ใช้ต้องรีบอัปเดตซอฟต์แวร์และตรวจสอบความผิดปกติในระบบตามคำแนะนำของ F5 และ CISA
คำถามที่พบบ่อย
การโจมตีแบบ Supply-chain attack ในกรณีนี้คืออะไร?
คือการที่แฮกเกอร์พยายามแทรกซึมเข้าไปในกระบวนการผลิตซอฟต์แวร์ของ F5 เพื่อแก้ไขโค้ดหรือใส่ช่องโหว่ลงไปในตัวอัปเดต ทำให้เมื่อลูกค้าติดตั้งอัปเดตที่ดูเหมือนจะปลอดภัย แฮกเกอร์ก็จะสามารถเข้าควบคุมระบบของลูกค้าได้ทันที
ผลิตภัณฑ์ใดของ F5 ที่ได้รับผลกระทบและต้องอัปเดต?
ผลิตภัณฑ์ที่ต้องดำเนินการอัปเดต ได้แก่ BIG-IP, F5OS, BIG-IQ และ APM
ข้อมูลส่วนบุคคลหรือข้อมูลการเงินของลูกค้าถูกขโมยหรือไม่?
จากการตรวจสอบของบริษัทความปลอดภัยภายนอก ไม่พบหลักฐานว่ามีการเข้าถึงข้อมูลในระบบ CRM, ระบบการเงิน, ระบบจัดการเคสสนับสนุน หรือระบบสุขภาพของบริษัท
ทำไมการเจาะระบบ BIG-IP ถึงอันตรายกว่าซอฟต์แวร์ทั่วไป?
เพราะ BIG-IP ทำหน้าที่เป็นด่านหน้าของเครือข่าย (Edge of network) ในการจัดการทราฟฟิกและรักษาความปลอดภัย หากจุดนี้ถูกยึดครอง แฮกเกอร์จะสามารถมองเห็นและเข้าถึงข้อมูลที่ไหลเข้าออกทั้งหมด รวมถึงใช้เป็นฐานในการโจมตีส่วนลึกของเครือข่ายได้
ผู้ใช้งานภาคเอกชนควรทำอย่างไรในตอนนี้?
ควรดำเนินการตามคำแนะนำของ CISA คือการสำรวจอุปกรณ์ BIG-IP ทั้งหมดในเครือข่าย ติดตั้งแพตช์อัปเดตล่าสุด และใช้เครื่องมือ Threat-hunting เพื่อตรวจสอบว่ามีร่องรอยการบุกรุกในระบบหรือไม่
