Infostealer มัลแวร์ขโมยข้อมูลภัยเงียบที่สั่นคลอนความปลอดภัยองค์กรระดับโลก
ในช่วงไม่กี่เดือนที่ผ่านมา โลกไซเบอร์ต้องเผชิญกับเหตุการณ์ข้อมูลลูกค้ารั่วไหลครั้งมหาศาลจากบริษัทชั้นนำอย่าง Ticketmaster, Santander Bank และ AT&T ซึ่งข้อมูลจำนวนหลายร้อยล้านรายการถูกนำมาประกาศขายในตลาดมืด สิ่งที่น่าตกใจคือเหตุการณ์เหล่านี้ไม่ได้เกิดจากการเจาะระบบที่ซับซ้อน แต่มีจุดเริ่มต้นมาจากจุดอ่อนเดียวกัน นั่นคือการที่แฮกเกอร์ได้ข้อมูลล็อกอินของบัญชี Snowflake (ผู้ให้บริการจัดเก็บข้อมูลบนคลาวด์) ของบริษัทเหล่านี้ไป ซึ่งส่งผลกระทบต่อลูกค้าของ Snowflake อย่างน้อย 165 ราย
Infostealer คืออะไร และทำงานอย่างไร?
ภัยคุกคามนี้ไม่ได้เกิดจากการโจมตีระบบของ Snowflake โดยตรง แต่เกิดจากมัลแวร์ประเภท Infostealer ซึ่งเป็นซอฟต์แวร์อันตรายที่ออกแบบมาเพื่อ "ขโมยข้อมูล" โดยเฉพาะ มักแฝงตัวมากับการดาวน์โหลดซอฟต์แวร์ละเมิดลิขสิทธิ์ เมื่อติดตั้งลงในเครื่องเหยื่อ มันจะทำการกวาดข้อมูลทุกอย่างที่อยู่ในเว็บเบราว์เซอร์ ไม่ว่าจะเป็น ชื่อผู้ใช้, รหัสผ่าน, คุกกี้ (Cookies), ประวัติการค้นหา ไปจนถึงข้อมูลทางการเงิน
ความแตกต่างระหว่าง Infostealer กับสปายแวร์ (Spyware) ทั่วไปคือ ความไม่เจาะจงเป้าหมาย มัลแวร์ชนิดนี้จะแพร่กระจายแบบหว่านแห ใครที่เผลอติดตั้งก็จะถูกขโมยข้อมูลทั้งหมด จากนั้นผู้โจมตีจะนำข้อมูลที่ได้ซึ่งมีความกระจัดกระจายมาจัดระเบียบและนำไปขายในตลาดมืดหรือกลุ่ม Telegram เพื่อให้แฮกเกอร์รายอื่นมาเลือกซื้อข้อมูลที่ต้องการไปใช้งานต่อ
ห่วงโซ่อุปทานของอาชญากรรมไซเบอร์
ข้อมูลที่ถูกขโมยโดย Infostealer กลายเป็น "วัตถุดิบหลัก" หรือห่วงโซ่อุปทานให้กับอาชญากรไซเบอร์หลากหลายกลุ่ม ตั้งแต่กลุ่มแฮกเกอร์วัยรุ่น, แก๊งอาชญากรรมอย่าง Lapsus$ และ Scattered Spider ไปจนถึงกลุ่มแฮกเกอร์ที่ได้รับการสนับสนุนจากรัฐบาล เช่น APT29 ของรัสเซีย
ปัจจุบันมีแพลตฟอร์มอย่าง Russian Market ที่ทำหน้าที่คล้ายกับเว็บอีคอมเมิร์ซ โดยมีการจัดหมวดหมู่ข้อมูลให้ค้นหาง่าย และคิดค่าบริการในราคาที่ถูกมาก บางครั้งข้อมูลชุดหนึ่งอาจมีราคาไม่ถึง 10 ดอลลาร์ ทำให้แฮกเกอร์สามารถเข้าถึงบัญชีของพนักงานในองค์กรเป้าหมาย และใช้เป็นจุดเริ่มต้นในการโจมตีขั้นต่อไป เช่น การเรียกค่าไถ่ (Ransomware) หรือการหลอกลวงทางอีเมลธุรกิจ (Business Email Compromise)
| ขั้นตอน | วิธีการ | ผลลัพธ์ |
|---|---|---|
| การแพร่กระจาย | แฝงมากับซอฟต์แวร์เถื่อน/ไฟล์ดาวน์โหลด | ติดตั้งลงในเครื่องผู้ใช้โดยไม่รู้ตัว |
| การขโมย | ดึงข้อมูลจากเว็บเบราว์เซอร์ | ได้รหัสผ่าน, คุกกี้ และ Token การเข้าถึง |
| การค้าขาย | ขายในตลาดมืด (เช่น Russian Market) | แฮกเกอร์รายอื่นซื้อข้อมูลไปใช้โจมตีต่อ |
| การโจมตี | ใช้ข้อมูลล็อกอินเข้าสู่ระบบองค์กร | ข้อมูลรั่วไหล หรือถูกเรียกค่าไถ่ |
ทำไมการทำงานแบบ Remote Work ถึงเพิ่มความเสี่ยง?
การปรับเปลี่ยนรูปแบบการทำงานเป็นแบบไฮบริดหรือการทำงานจากที่บ้าน (Remote Work) กลายเป็นช่องโหว่สำคัญ เนื่องจากพนักงานมักใช้ อุปกรณ์ส่วนตัวในการเข้าถึงระบบงาน หรือใช้เครื่องบริษัทในการเข้าถึงบัญชีส่วนตัว เมื่อเครื่องคอมพิวเตอร์ที่บ้านติดมัลแวร์ Infostealer ข้อมูลล็อกอินของบริษัทที่ถูกบันทึกไว้ในเบราว์เซอร์จึงถูกขโมยไปด้วย ทำให้การป้องกันขององค์กรถูกข้ามผ่านไปได้อย่างง่ายดาย
ข้อเท็จจริงสำคัญ
- เป้าหมายกว้าง: Infostealer ไม่ได้เจาะจงบริษัทใดบริษัทหนึ่ง แต่ขโมยข้อมูลจากทุกคนที่ติดเชื้อ
- ราคาถูก: ข้อมูลล็อกอินถูกขายในราคาต่ำมาก ทำให้การโจมตีเข้าถึงได้ง่ายขึ้น
- จุดอ่อนที่บ้าน: คอมพิวเตอร์ส่วนตัวของพนักงานคือประตูบานใหญ่ที่นำไปสู่ระบบขององค์กร
- ความเสี่ยงต่อเนื่อง: แฮกเกอร์กำลังมองหาบริการ SaaS อื่นๆ ที่คล้ายกับ Snowflake เพื่อใช้เป็นช่องทางโจมตีในอนาคต
วิธีป้องกันตนเองและองค์กร
ผู้เชี่ยวชาญจาก Mandiant แนะนำว่าองค์กรและบุคคลทั่วไปควรดำเนินการดังนี้เพื่อลดความเสี่ยง:
- ติดตั้งและอัปเดตซอฟต์แวร์ Antivirus หรือ EDR (Endpoint Detection and Response) เพื่อตรวจจับกิจกรรมที่ผิดปกติ
- บังคับใช้การยืนยันตัวตนหลายขั้นตอน (Multifactor Authentication - MFA) อย่างเคร่งครัดในทุกบัญชี
- หลีกเลี่ยงการซิงค์รหัสผ่าน ระหว่างอุปกรณ์ส่วนตัวและอุปกรณ์ของบริษัท
- ระมัดระวังการดาวน์โหลดซอฟต์แวร์จากแหล่งที่ไม่น่าเชื่อถือ
คำถามที่พบบ่อย
Infostealer ต่างจากไวรัสทั่วไปอย่างไร?
Infostealer เน้นการแอบขโมยข้อมูลที่บันทึกไว้ในเบราว์เซอร์ เช่น รหัสผ่านและคุกกี้ โดยไม่ทำลายระบบ แต่จะส่งข้อมูลกลับไปยังผู้โจมตีเพื่อนำไปขายหรือใช้เข้าถึงระบบอื่นต่อ
ทำไมการมี MFA ถึงช่วยป้องกันได้?
เพราะแม้แฮกเกอร์จะได้รหัสผ่านไป แต่หากมีการตั้งค่า MFA พวกเขาจะไม่สามารถเข้าสู่ระบบได้หากไม่มีรหัสยืนยันตัวตนชั้นที่สองจากอุปกรณ์ของเจ้าของบัญชี
เราจะรู้ได้อย่างไรว่าเครื่องติด Infostealer?
มัลแวร์ชนิดนี้มักทำงานเงียบๆ แต่อาจสังเกตได้จากประสิทธิภาพเครื่องที่ลดลง หรือมีการแจ้งเตือนการเข้าสู่ระบบที่ผิดปกติจากอุปกรณ์หรือสถานที่ที่คุณไม่รู้จัก
การใช้เครื่องส่วนตัวทำงานเสี่ยงแค่ไหน?
มีความเสี่ยงสูงหากไม่มีการแยกบัญชีผู้ใช้อย่างชัดเจน เพราะหากเครื่องส่วนตัวติดมัลแวร์ ข้อมูลล็อกอินของบริษัทที่บันทึกไว้ในเบราว์เซอร์จะถูกขโมยไปได้ทันที
