Midnight Blizzard เจาะระบบอีเมล Microsoft และ HPE เผยยุทธวิธีจารกรรมข้อมูลระดับรัฐ
โลกไซเบอร์ต้องเผชิญกับความท้าทายครั้งใหญ่ เมื่อสองยักษ์ใหญ่ด้านเทคโนโลยีอย่าง Microsoft และ Hewlett-Packard Enterprise (HPE) ออกมายอมรับว่าถูกกลุ่มแฮกเกอร์ Midnight Blizzard ลอบเจาะระบบอีเมลขององค์กร ซึ่งเหตุการณ์นี้ไม่ใช่เพียงการโจมตีทั่วไป แต่เป็นส่วนหนึ่งของปฏิบัติการจารกรรมข้อมูลระดับนานาชาติที่มีรัฐบาลรัสเซียหนุนหลัง
กลุ่ม Midnight Blizzard หรือที่รู้จักกันในชื่อ APT 29 และ Cozy Bear เป็นกลุ่มแฮกเกอร์ที่เชื่อมโยงกับ SVR (หน่วยข่าวกรองต่างประเทศของรัสเซีย) ซึ่งมีประวัติการโจมตีที่โด่งดัง เช่น การแทรกแซงการเลือกตั้งประธานาธิบดีสหรัฐฯ ปี 2016 และการโจมตีห่วงโซ่อุปทาน (Supply Chain Attack) ของ SolarWinds ในปี 2021
เจาะลึกเหตุการณ์โจมตี HPE และ Microsoft
กรณีของ Hewlett-Packard Enterprise (HPE)
HPE เปิดเผยข้อมูลต่อคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ (SEC) ว่ากลุ่ม Midnight Blizzard ได้เข้าถึงสภาพแวดล้อมอีเมลบนคลาวด์ของบริษัท โดยการโจมตีเริ่มต้นขึ้นตั้งแต่เดือนพฤษภาคม 2023 แต่บริษัทตรวจพบความผิดปกติในวันที่ 12 ธันวาคม 2023
ข้อมูลที่ถูกขโมยออกไปมาจากกล่องจดหมายของพนักงานจำนวนหนึ่งในแผนกความปลอดภัยทางไซเบอร์, ฝ่ายการตลาด และส่วนงานธุรกิจ นอกจากนี้ยังพบว่าแฮกเกอร์ได้เข้าถึงไฟล์ใน SharePoint (แพลตฟอร์มทำงานร่วมกันบนคลาวด์ของ Microsoft) ซึ่งเป็นเป้าหมายยอดนิยมในการโจมตีทางไซเบอร์
กรณีของ Microsoft
ทางด้าน Microsoft ตรวจพบการบุกรุกระบบเมื่อวันที่ 12 มกราคมที่ผ่านมา ซึ่งสืบเนื่องมาจากการเจาะระบบในเดือนพฤศจิกายน 2023 โดยแฮกเกอร์ใช้ช่องทางผ่านบัญชีทดสอบระบบรุ่นเก่า (Historic System Test Accounts) เพื่อเข้าถึงอีเมลของพนักงานระดับบริหาร ทีมกฎหมาย และทีมความปลอดภัยทางไซเบอร์
สิ่งที่น่าสนใจคือ เป้าหมายของแฮกเกอร์ในครั้งนี้ดูเหมือนจะเป็นการสืบหาข้อมูลว่า Microsoft ทราบอะไรบ้างเกี่ยวกับตัวกลุ่ม Midnight Blizzard และวิธีการทำงานของพวกเขา ซึ่งเป็นการทำ Counterintelligence หรือการต่อต้านข่าวกรองเพื่อปิดจุดอ่อนของตนเอง
ข้อเท็จจริงสำคัญ
- ผู้ก่อเหตุ: กลุ่ม Midnight Blizzard (APT 29 / Cozy Bear) ภายใต้การสนับสนุนของ SVR รัสเซีย
- เป้าหมาย: บัญชีอีเมลระดับบริหารและทีมความปลอดภัยของ Microsoft และ HPE
- วิธีการ: ใช้บัญชีทดสอบระบบเก่า (Microsoft) และเจาะระบบคลาวด์/SharePoint (HPE)
- จุดประสงค์: จารกรรมข้อมูลองค์กรและตรวจสอบว่าฝ่ายป้องกันรู้ข้อมูลเกี่ยวกับกลุ่มแฮกเกอร์มากน้อยเพียงใด
- ผลกระทบ: ไม่พบหลักฐานว่าระบบ AI, ซอร์สโค้ด หรือข้อมูลลูกค้าถูกเข้าถึง
| หัวข้อเปรียบเทียบ | Hewlett-Packard Enterprise (HPE) | Microsoft |
|---|---|---|
| ช่วงเวลาที่เริ่มโจมตี | พฤษภาคม 2023 | พฤศจิกายน 2023 |
| วันที่ตรวจพบ | 12 ธันวาคม 2023 | 12 มกราคม 2024 |
| ช่องทางที่ถูกเจาะ | Cloud Email และ SharePoint | Historic System Test Accounts |
| ข้อมูลที่สูญเสีย | อีเมลพนักงานบางส่วน | อีเมลผู้บริหารและเอกสารแนบ |
บทวิเคราะห์จากผู้เชี่ยวชาญ
Jake Williams ผู้เชี่ยวชาญจาก Institute for Applied Network Security และอดีตแฮกเกอร์ของ NSA ระบุว่าไม่ใช่เรื่องน่าแปลกใจที่บริษัทระดับโลกอย่าง Microsoft และ HPE จะตกเป็นเป้าหมาย เนื่องจากเป็นองค์กรขนาดใหญ่ที่มีข้อมูลสำคัญมหาศาล
นอกจากนี้ รายงานจาก Mandiant ยังชี้ให้เห็นว่า APT 29 มีความอดทนและดุดันสูงมาก โดยมักจะกลับมาโจมตีเหยื่อรายเดิมซ้ำๆ ตลอดหลายเดือนหรือหลายปี ซึ่งสะท้อนถึงคำสั่งที่เข้มงวดจากรัฐบาลรัสเซียและความเชี่ยวชาญในการใช้เทคนิคขั้นสูงเพื่อเจาะระบบ Microsoft 365 โดยเฉพาะ
คำถามที่พบบ่อย
Midnight Blizzard คือใคร?
คือกลุ่มแฮกเกอร์ระดับสูง (APT 29 หรือ Cozy Bear) ที่มีความเชื่อมโยงกับ SVR ซึ่งเป็นหน่วยข่าวกรองต่างประเทศของรัสเซีย เชี่ยวชาญด้านการจารกรรมข้อมูลระดับรัฐ
การโจมตีครั้งนี้ส่งผลกระทบต่อผู้ใช้งานทั่วไปหรือไม่?
จากข้อมูลของ Microsoft ระบุว่าไม่มีหลักฐานว่าแฮกเกอร์สามารถเข้าถึงสภาพแวดล้อมของลูกค้า ระบบการผลิต หรือซอร์สโค้ดของผลิตภัณฑ์ได้ การโจมตีจำกัดอยู่ที่บัญชีอีเมลภายในองค์กรเท่านั้น
SharePoint คืออะไรและทำไมถึงถูกโจมตี?
SharePoint คือแพลตฟอร์มสำหรับทำงานร่วมกันบนคลาวด์ของ Microsoft ที่ใช้จัดเก็บและจัดการเอกสารภายในองค์กร เนื่องจากเป็นศูนย์รวมข้อมูลสำคัญ จึงมักตกเป็นเป้าหมายของแฮกเกอร์
ทำไมแฮกเกอร์ถึงพยายามเจาะระบบเพื่อดูว่า Microsoft รู้อะไรเกี่ยวกับพวกเขา?
นี่คือกลยุทธ์การต่อต้านข่าวกรอง เพื่อให้กลุ่มแฮกเกอร์ทราบว่าฝ่ายป้องกันตรวจพบร่องรอยหรือวิธีการทำงานของพวกเขาหรือไม่ ซึ่งจะช่วยให้พวกเขาสามารถปรับเปลี่ยนเทคนิคเพื่อหลบเลี่ยงการตรวจจับในอนาคตได้
เหตุการณ์นี้บอกอะไรเราเกี่ยวกับความปลอดภัยทางไซเบอร์ในปัจจุบัน?
แสดงให้เห็นว่าแม้แต่บริษัทเทคโนโลยีที่ใหญ่ที่สุดในโลกก็มีความเสี่ยง โดยเฉพาะเมื่อเผชิญหน้ากับกลุ่มภัยคุกคามระดับรัฐ (Nation-state actors) ที่มีทรัพยากรและงบประมาณสนับสนุนมหาศาล
