Salt Typhoon กลุ่มแฮกเกอร์จีนบุกเจาะเครือข่ายโทรคมนาคมและมหาวิทยาลัยทั่วโลก
โลกไซเบอร์กำลังเผชิญกับภัยคุกคามที่รุนแรงขึ้น เมื่อกลุ่มแฮกเกอร์ชาวจีนที่รู้จักกันในชื่อ Salt Typhoon (หรือที่บริษัท Recorded Future เรียกว่า RedMike) ยังคงเดินหน้าโจมตีโครงสร้างพื้นฐานด้านการสื่อสารอย่างต่อเนื่อง แม้ว่าปฏิบัติการก่อนหน้านี้ที่เจาะระบบบริษัทโทรคมนาคมยักษ์ใหญ่ในสหรัฐฯ จนสามารถเข้าถึงข้อความและสายโทรศัพท์ได้แบบเรียลไทม์จะถูกเปิดโปงไปแล้ว แต่กลุ่มนี้กลับไม่มีทีท่าว่าจะหยุดยั้ง
รายงานล่าสุดจาก Recorded Future ระบุว่า ในช่วงเดือนธันวาคมถึงมกราคมที่ผ่านมา กลุ่ม Salt Typhoon ได้ขยายขอบเขตการโจมตีไปยังผู้ให้บริการอินเทอร์เน็ตและโทรคมนาคม 5 แห่งทั่วโลก รวมถึงมหาวิทยาลัยอีกกว่า 12 แห่ง ตั้งแต่ในสหรัฐฯ ไปจนถึงเวียดนาม ซึ่งสะท้อนให้เห็นถึงความดุดันในการเปลี่ยนเครือข่ายสื่อสารให้กลายเป็นช่องโหว่ขนาดใหญ่
กลยุทธ์การโจมตี: เจาะจุดอ่อนที่อุปกรณ์เครือข่าย
เป้าหมายหลักในแคมเปญล่าสุดนี้คือ Web Interface (หน้าจอจัดการผ่านเว็บ) ของซอฟต์แวร์ Cisco IOS ซึ่งเป็นระบบปฏิบัติการที่รันบนเราเตอร์และสวิตช์ของ Cisco โดยแฮกเกอร์ได้ใช้ประโยชน์จากช่องโหว่ 2 จุดสำคัญ จุดแรกใช้เพื่อสร้างทางเข้าสู่ระบบ และจุดที่สองใช้เพื่อยกระดับสิทธิ์เป็น Root Privileges หรือสิทธิ์ผู้ดูแลระบบสูงสุด ทำให้พวกเขาสามารถควบคุมอุปกรณ์ที่มีอำนาจจัดการเครือข่ายได้อย่างเบ็ดเสร็จ
จากการตรวจสอบพบว่ามีอุปกรณ์ Cisco กว่า 12,000 เครื่องที่เปิดหน้าเว็บอินเทอร์เฟซทิ้งไว้บนโลกออนไลน์ และมีมากกว่า 1,000 เครื่องที่ตกเป็นเป้าหมาย โดยแฮกเกอร์จะสร้าง GRE Tunnels (Generic Routing Encapsulation) ซึ่งเป็นโปรโตคอลสำหรับสร้างช่องทางสื่อสารส่วนตัว เพื่อเชื่อมต่ออุปกรณ์ที่ถูกแฮกเข้ากับเซิร์ฟเวอร์ควบคุม (Command-and-Control) ของตนเอง ทำให้สามารถรักษาการเข้าถึงและขโมยข้อมูลได้อย่างแนบเนียน
ทำไมอุปกรณ์เครือข่ายถึงตกเป็นเป้าหมาย?
การโจมตีอุปกรณ์เครือข่าย (Network Appliances) กลายเป็นวิธีการมาตรฐานของกลุ่มจารกรรมไซเบอร์จากจีน เนื่องจากอุปกรณ์เหล่านี้มักขาดระบบรักษาความปลอดภัยและการตรวจสอบที่เข้มงวดเมื่อเทียบกับเซิร์ฟเวอร์หรือพีซีทั่วไป นอกจากนี้ เจ้าของอุปกรณ์หลายรายมักละเลยการอัปเดต Patch (ซอฟต์แวร์แก้ไขช่องโหว่) ตามคำแนะนำด้านความปลอดภัย ซึ่งทาง Cisco ได้เคยออกประกาศเตือนเกี่ยวกับช่องโหว่ของ IOS ตั้งแต่ปี 2023 แล้ว
| หัวข้อ | รายละเอียด |
|---|---|
| เป้าหมายหลัก | ผู้ให้บริการโทรคมนาคม, ISP และมหาวิทยาลัย |
| อุปกรณ์ที่ถูกโจมตี | Cisco IOS (Routers & Switches) |
| เทคนิคที่ใช้ | Exploit ช่องโหว่ Web Interface และสร้าง GRE Tunnels |
| พื้นที่ที่ได้รับผลกระทบ | สหรัฐฯ, ไทย, อิตาลี, แอฟริกาใต้ และประเทศอื่นๆ ในเอเชีย/อเมริกาใต้ |
| วัตถุประสงค์ | จารกรรมข้อมูลและการสอดแนมแบบเรียลไทม์ |
ข้อเท็จจริงสำคัญ
- ความดื้อรั้น: แม้จะถูกคว่ำบาตรจากกระทรวงการคลังสหรัฐฯ และถูกเปิดโปงโดยหน่วยงานอย่าง CISA และ FBI แต่กลุ่ม Salt Typhoon ยังคงโจมตีด้วยความเร็วและปริมาณเท่าเดิม
- ขอบเขตความเสียหาย: มีการตรวจพบการบุกรุกในมหาวิทยาลัยหลายแห่ง เช่น University of California, Utah Tech และ Loyola University รวมถึงสถาบันในไทยและเวียดนาม
- ระดับความรุนแรง: อดีตผู้อำนวยการ FBI ระบุว่านี่คือแคมเปญจารกรรมไซเบอร์ที่สำคัญที่สุดในประวัติศาสตร์ของจีน
- คำแนะนำด้านความปลอดภัย: ผู้เชี่ยวชาญแนะนำให้ใช้แอปพลิเคชันสื่อสารที่มีการเข้ารหัสแบบ End-to-End Encryption เช่น Signal หรือ WhatsApp เพื่อป้องกันการดักฟัง
คำถามที่พบบ่อย
Salt Typhoon คือใคร?
คือกลุ่มแฮกเกอร์ชาวจีนที่เชี่ยวชาญด้านการจารกรรมข้อมูล โดยมุ่งเน้นโจมตีโครงสร้างพื้นฐานด้านโทรคมนาคมเพื่อสอดแนมข้อมูลการสื่อสาร
กลุ่มนี้ใช้วิธีใดในการเข้าถึงข้อมูล?
ใช้การเจาะช่องโหว่ของอุปกรณ์เครือข่าย เช่น เราเตอร์ Cisco ที่ไม่ได้อัปเดตซอฟต์แวร์ เพื่อสร้างทางลับ (Tunnel) เข้าสู่เครือข่ายภายในของเหยื่อ
ประเทศไทยได้รับผลกระทบหรือไม่?
จากรายงานของ Recorded Future พบว่ามีผู้ให้บริการโทรคมนาคมและมหาวิทยาลัยในประเทศไทยที่ตกเป็นเป้าหมายของการโจมตีในครั้งนี้ด้วย
เราจะป้องกันตัวเองจากการสอดแนมนี้ได้อย่างไร?
สำหรับผู้ใช้งานทั่วไป แนะนำให้ใช้แอปพลิเคชันที่เข้ารหัสข้อมูลตั้งแต่ต้นทางถึงปลายทาง (End-to-End Encryption) เพื่อให้มั่นใจว่าแม้ข้อมูลจะถูกดักจับจากเครือข่ายโทรคมนาคม แต่แฮกเกอร์ก็ไม่สามารถอ่านข้อความได้
ทำไมการอัปเดตซอฟต์แวร์ถึงสำคัญในกรณีนี้?
เพราะแฮกเกอร์มักใช้ช่องโหว่ที่รู้จักกันดี (Known Vulnerabilities) ซึ่งผู้ผลิตได้ออก Patch แก้ไขมาให้แล้ว หากไม่อัปเดต อุปกรณ์เหล่านั้นจะกลายเป็นประตูเปิดกว้างให้ผู้ไม่หวังดีเข้าสู่ระบบได้โดยง่าย
