Infostealer มัลแวร์ขโมยข้อมูลเบื้องหลังการเจาะระบบบริษัทระดับโลก

เหตุการณ์ระทึกขวัญเกิดขึ้นเมื่อแฮกเกอร์นามว่า Dark X อ้างว่าสามารถเจาะเข้าเซิร์ฟเวอร์ของ Hot Topic และขโมยข้อมูลส่วนบุคคลของลูกค้ากว่า 350 ล้านราย ซึ่งประกอบด้วยอีเมล ที่อยู่ เบอร์โทรศัพท์ และหมายเลขบัตรเครดิตบางส่วน โดยข้อมูลเหล่านี้ถูกนำไปประกาศขายในฟอรัมใต้ดินทันที

สิ่งที่น่าตกใจคือการโจมตีครั้งนี้ไม่ได้เกิดจากการเจาะระบบที่ซับซ้อน แต่เกิดจาก "โชคช่วย" เมื่อแฮกเกอร์ได้รับข้อมูลการเข้าสู่ระบบ (Credentials) ของนักพัฒนาซอฟต์แวร์รายหนึ่งที่มีสิทธิ์เข้าถึงข้อมูลสำคัญผ่าน Snowflake ซึ่งเป็นเครื่องมือจัดเก็บข้อมูลบนคลาวด์ (Data Warehousing) ที่ตกเป็นเป้าหมายของอาชญากรไซเบอร์บ่อยครั้งในระยะหลัง

กรณีของ Hot Topic เป็นเพียงยอดภูเขาน้ำแข็งของอุตสาหกรรมมืดที่เปลี่ยนการแฮกบริษัทระดับโลกอย่าง AT&T, Ticketmaster หรือ Electronic Arts ให้กลายเป็นเรื่องง่ายดาย ผ่านการใช้เครื่องมือที่เรียกว่า Infostealers

Infostealers คืออะไรและทำงานอย่างไร

Infostealers คือมัลแวร์ประเภทหนึ่งที่ออกแบบมาเพื่อ "ปล้น" รหัสผ่านและคุกกี้ (Cookies) ที่ถูกบันทึกไว้ในเบราว์เซอร์ของผู้ใช้งาน โดยคุกกี้เหล่านี้มีความสำคัญมาก เพราะสามารถทำให้แฮกเกอร์สวมรอยเป็นเจ้าของบัญชีได้โดยไม่ต้องผ่านการยืนยันตัวตนแบบหลายชั้น (Multi-factor Authentication) ในบางกรณี

ปัจจุบันมีมัลแวร์ตระกูลนี้มากมาย เช่น RedLine (ซึ่งแพร่ระบาดมากที่สุด), LummaC2, Nexus, Aurora และ Raccoon โดยเริ่มต้นจากการมุ่งเน้นขโมยกระเป๋าเงินคริปโตเคอร์เรนซี แต่ต่อมาผู้พัฒนาได้ปรับเปลี่ยนเป้าหมายมาที่ข้อมูลองค์กรและรหัสผ่านส่วนตัว เนื่องจากมีมูลค่าสูงกว่าในตลาดมืด

สรุปภาพรวมของระบบนิเวศ Infostealer

บทบาท	หน้าที่หลัก	เครื่องมือ/ช่องทางที่ใช้
ผู้พัฒนามัลแวร์	เขียนและอัปเดตโค้ดเพื่อหลบเลี่ยงการตรวจจับ	ภาษาโปรแกรม, OCR สำหรับตรวจจับ Seed Phrase
Traffers (ผู้แพร่กระจาย)	หลอกล่อให้เหยื่อติดตั้งมัลแวร์	YouTube, TikTok, GitHub, ซอฟต์แวร์เถื่อน
ผู้ขายข้อมูล (Logs Sellers)	นำข้อมูลที่ขโมยได้มาแยกขาย	Telegram Bots, Russian Market
แฮกเกอร์ปลายทาง	ซื้อข้อมูลไปใช้เจาะระบบบริษัทเป้าหมาย	stolen credentials, Session Cookies

กลไกการแพร่กระจาย: จากซอฟต์แวร์ฟรีสู่การเจาะระบบพันล้าน

กระบวนการส่งมัลแวร์เข้าสู่เครื่องเหยื่อเป็นหน้าที่ของ Traffers หรือผู้จัดหาทราฟฟิก ซึ่งมักจะโฆษณาตัวเองด้วยภาพลักษณ์หรูหราในฟอรัมใต้ดินอย่าง Lolz เพื่อดึงดูดผู้ร่วมงาน โดยใช้วิธีการที่หลากหลาย เช่น:

• การพ่วงมัลแวร์: นำ Infostealer ไปใส่ไว้ในโปรแกรมโกงเกม (เช่น Roblox) หรือซอฟต์แวร์ละเมิดลิขสิทธิ์ที่ผู้ใช้ตั้งใจค้นหาและดาวน์โหลดเอง
• โซเชียลมีเดีย: ใช้ TikTok, YouTube Shorts และ Instagram ในการโปรโมตลิงก์ดาวน์โหลดปลอม
• แพลตฟอร์มพัฒนาซอฟต์แวร์: ใช้ GitHub เป็นช่องทางในการกระจายไฟล์อันตราย

เมื่อเหยื่อหลงเชื่อและติดตั้งโปรแกรม ข้อมูลทั้งหมดในเบราว์เซอร์จะถูกส่งกลับไปยังผู้พัฒนา และถูกนำมาขายต่อในรูปแบบของ "Logs" ผ่านบอทใน Telegram ซึ่งผู้ซื้อสามารถเลือกกรองข้อมูลตามประเทศหรือประเภทของรหัสผ่านที่ต้องการได้

สงครามระหว่างยักษ์ใหญ่เทคโนโลยีและอาชญากรไซเบอร์

Google Chrome ได้พยายามต่อสู้กับมัลแวร์เหล่านี้ด้วยการอัปเดตระบบเพื่อล็อกไม่ให้แอปพลิเคชันอื่นเข้าถึงข้อมูลคุกกี้ได้ ซึ่งสร้างความลำบากให้ผู้พัฒนามัลแวร์อย่าง LummaC2 จนต้องเร่งหาทางเลี่ยง (Bypass) อยู่ตลอดเวลา

ในขณะที่ Microsoft ระบุว่า Windows 11 มีฟีเจอร์ความปลอดภัย เช่น TPM และ Secure Boot ที่ช่วยให้การทำงานของ Infostealer ยากขึ้น พร้อมแนะนำให้ผู้ใช้ใช้งานในโหมด Standard User แทนการเป็น Administrator เพื่อจำกัดสิทธิ์การเข้าถึงระบบของมัลแวร์

ข้อเท็จจริงสำคัญ

• Infostealers ไม่ได้เจาะระบบโดยตรง แต่ขโมย "กุญแจ" (รหัสผ่าน/คุกกี้) จากเครื่องผู้ใช้เพื่อเข้าสู่ระบบ
• Telegram กลายเป็นโครงสร้างพื้นฐานหลักในการซื้อขายข้อมูลที่ถูกขโมยผ่านระบบอัตโนมัติ
• ความประมาทของผู้ใช้ เช่น การโหลดโปรแกรมเถื่อน เป็นช่องโหว่ที่ใหญ่ที่สุดที่ทำให้บริษัทระดับโลกถูกแฮก
• การป้องกัน การใช้ Standard User และการอัปเดตเบราว์เซอร์สม่ำเสมอช่วยลดความเสี่ยงได้

คำถามที่พบบ่อย

Infostealer ต่างจากการแฮกทั่วไปอย่างไร?

การแฮกทั่วไปอาจเป็นการหาช่องโหว่ของเซิร์ฟเวอร์ แต่ Infostealer คือการขโมยข้อมูลการล็อกอินจากเครื่องของพนักงานหรือผู้ใช้โดยตรง ทำให้แฮกเกอร์เข้าสู่ระบบได้เสมือนเป็นเจ้าของบัญชีจริง

ทำไมการมี MFA (การยืนยันตัวตนหลายชั้น) ถึงอาจไม่เพียงพอ?

เพราะ Infostealer สามารถขโมย Session Cookies ซึ่งเป็นโทเคนยืนยันว่าผู้ใช้ได้ล็อกอินแล้ว ทำให้แฮกเกอร์สามารถข้ามขั้นตอนการใส่รหัสผ่านและรหัส OTP ได้ในบางกรณี

เราจะป้องกันตัวเองจากมัลแวร์ประเภทนี้ได้อย่างไร?

หลีกเลี่ยงการดาวน์โหลดซอฟต์แวร์ละเมิดลิขสิทธิ์หรือโปรแกรมโกงเกม ไม่คลิกลิงก์แปลกปลอมจากโซเชียลมีเดีย และหมั่นอัปเดตระบบปฏิบัติการและเบราว์เซอร์ให้เป็นเวอร์ชันล่าสุดเสมอ

ทำไมแฮกเกอร์ถึงไม่โจมตีประเทศในกลุ่ม CIS (อดีตสหภาพโซเวียต)?

เป็นกฎเหล็กในชุมชนอาชญากรไซเบอร์รัสเซียและกลุ่มประเทศใกล้เคียง เพื่อหลีกเลี่ยงการถูกตามล่าโดยหน่วยงานบังคับใช้กฎหมายในประเทศของตนเอง