Snowflake Data Breach: รวบตัวแฮกเกอร์ตัวการใหญ่ในแคนาดา ปิดฉากมหากาพย์ข้อมูลรั่วไหลระดับโลก
กลายเป็นข่าวใหญ่ในวงการความปลอดภัยไซเบอร์ เมื่อทางการแคนาดาได้เข้าจับกุม Alexander Moucka (หรือที่รู้จักในชื่อ Connor Moucka) ชายผู้ถูกกล่าวหาว่าเป็นหัวโจกของกลุ่มแฮกเกอร์ที่สร้างความเสียหายอย่างหนักจากการโจมตีระบบจัดเก็บข้อมูลบนคลาวด์ของบริษัท Snowflake ในช่วงฤดูร้อนที่ผ่านมา โดยขณะนี้เขากำลังอยู่ในกระบวนการส่งตัวผู้ร้ายข้ามแดนเพื่อไปดำเนินคดีในสหรัฐอเมริกา
Moucka เป็นที่รู้จักในโลกใต้ดินของอาชญากรไซเบอร์ผ่านนามแฝงว่า "Waifu" และ "Judische" ซึ่ง Allison Nixon ผู้เชี่ยวชาญด้านความปลอดภัยจาก Unit 221B ระบุว่าเขาไม่ใช่หน้าใหม่ แต่เป็นตัวการสำคัญที่นำกลุ่มแฮกเกอร์บุกรุกระบบชื่อดังหลายแห่งตลอด 5 ปีที่ผ่านมา
เจาะลึกเหตุการณ์โจมตี Snowflake: เกิดอะไรขึ้นและใครได้รับผลกระทบ?
เหตุการณ์นี้เริ่มต้นขึ้นเมื่อเดือนเมษายน โดยบริษัท Mandiant (บริษัทด้านความปลอดภัยในเครือ Google) ตรวจพบความผิดปกติในบัญชีผู้ใช้ของลูกค้า Snowflake ซึ่งพบว่าแฮกเกอร์ใช้ข้อมูลการเข้าสู่ระบบที่ขโมยมาได้จาก Infostealer Malware (มัลแวร์ประเภทดักจับข้อมูลส่วนตัว เช่น รหัสผ่านและคุกกี้จากเบราว์เซอร์) เพื่อลักลอบเข้าถึงระบบ
ความเสียหายในครั้งนี้ขยายวงกว้างอย่างรวดเร็ว โดยมีลูกค้าของ Snowflake มากกว่า 165 รายถูกโจมตี ส่งผลให้ข้อมูลมหาศาลขององค์กรระดับโลกหลุดออกสู่สาธารณะ เช่น AT&T, Santander และ Live Nation Entertainment (บริษัทแม่ของ Ticketmaster) ซึ่งมีบันทึกข้อมูลผู้ใช้งานรวมกันหลายร้อยล้านรายการ
จุดอ่อนสำคัญที่นำไปสู่การรั่วไหล
จากการวิเคราะห์ของ Mandiant พบว่าบัญชีส่วนใหญ่ที่ถูกเจาะระบบ ไม่ได้เปิดใช้งานการยืนยันตัวตนแบบหลายปัจจัย (Multifactor Authentication หรือ MFA) ซึ่งเป็นระบบความปลอดภัยที่ต้องใช้การยืนยันตัวตนมากกว่าหนึ่งขั้นตอน ทำให้แฮกเกอร์สามารถใช้เพียงรหัสผ่านที่ขโมยมา (บางส่วนย้อนกลับไปตั้งแต่ปี 2020) เข้าสู่ระบบได้อย่างง่ายดาย
หลังเกิดเหตุการณ์นี้ Snowflake ได้ปรับปรุงระบบใหม่ โดยกำหนดให้การเปิดใช้งาน MFA เป็นค่าเริ่มต้นสำหรับผู้ใช้งานทุกคนเพื่อป้องกันเหตุซ้ำรอย
เบื้องหลังเครือข่าย "The Com" และความผิดพลาดของแฮกเกอร์
Moucka เติบโตมาจากชุมชนอาชญากรไซเบอร์ที่เรียกว่า "The Com" ซึ่งเป็นเครือข่ายของแฮกเกอร์วัยรุ่นและกลุ่มเกรียนคีย์บอร์ดที่รวมตัวกันบนแพลตฟอร์ม Telegram และ Discord กลุ่มนี้มีความเชี่ยวชาญในการก่ออาชญากรรมหลากหลายรูปแบบ เช่น การใช้แรนซัมแวร์ (Ransomware), การขโมยเหรียญคริปโตเคอร์เรนซี และการทำ SIM swapping (การสวมรอยซิมการ์ดเพื่อขโมยบัญชี)
หนึ่งในกลุ่มย่อยที่โด่งดังจาก The Com คือ Scattered Spider ซึ่งเคยโจมตีบริษัทใหญ่อย่าง MGM Entertainment และ Caesars Entertainment มาแล้ว
แม้จะมีความเชี่ยวชาญสูง แต่ Moucka พลาดท่าในเรื่อง Opsec (Operational Security) หรือการรักษาความลับในการปฏิบัติการ โดยเขาได้ทำข้อมูลบางอย่างหลุดจนนำไปสู่การระบุตัวตนที่แท้จริงได้ แม้ภายหลังเขาจะพยายามสร้างข้อมูลเท็จเพื่อเบี่ยงเบนความสนใจใน Telegram แต่เจ้าหน้าที่บังคับใช้กฎหมายสามารถระบุตัวตนของเขาได้ตั้งแต่ช่วงต้นเดือนกรกฎาคม
ข้อเท็จจริงสำคัญ
- ผู้ต้องหา: Alexander Moucka (นามแฝง Waifu และ Judische) ถูกจับกุมในแคนาดา
- เป้าหมาย: ลูกค้าของ Snowflake มากกว่า 165 ราย รวมถึง AT&T และ Ticketmaster
- วิธีการ: ใช้รหัสผ่านที่ขโมยมาจาก Infostealer Malware เข้าสู่บัญชีที่ไม่มี MFA
- เครือข่าย: มีความเชื่อมโยงกับกลุ่ม "The Com" และกลุ่มแฮกเกอร์ Scattered Spider
- ผลลัพธ์: ข้อมูลผู้ใช้งานหลายร้อยล้านรายการถูกขโมยและนำไปเรียกค่าไถ่
| หัวข้อ | รายละเอียด |
|---|---|
| จำนวนลูกค้าที่ได้รับผลกระทบ | มากกว่า 165 ราย |
| สาเหตุหลักของการรั่วไหล | การขาดการยืนยันตัวตนแบบหลายปัจจัย (MFA) |
| เครื่องมือที่ใช้โจมตี | Infostealer Malware และเครื่องมือทั่วไปในตลาด |
| ตัวการหลัก (ตามข้อกล่าวหา) | Alexander Moucka (UNC5537) |
| สถานะปัจจุบัน | ถูกจับกุมในแคนาดาและรอส่งตัวไปสหรัฐฯ |
คำถามที่พบบ่อย
การโจมตีครั้งนี้เกิดขึ้นที่ตัวระบบของ Snowflake โดยตรงหรือไม่?
ไม่ใช่การเจาะระบบโครงสร้างพื้นฐานของ Snowflake โดยตรง แต่เป็นการใช้ข้อมูลล็อกอินที่ถูกขโมยมาเพื่อเข้าถึงบัญชีของลูกค้าแต่ละรายที่ไม่ได้เปิดระบบความปลอดภัย MFA
MFA คืออะไรและทำไมถึงสำคัญในกรณีนี้?
MFA หรือ Multifactor Authentication คือการยืนยันตัวตนหลายขั้นตอน (เช่น รหัสผ่าน + รหัส OTP ในมือถือ) ซึ่งหากลูกค้าเปิดใช้งาน ต่อให้แฮกเกอร์มีรหัสผ่านก็ไม่สามารถเข้าสู่ระบบได้
ใครคือ UNC5537?
UNC5537 เป็นรหัสที่บริษัท Mandiant ใช้เรียกแฮกเกอร์ผู้อยู่เบื้องหลังการโจมตีลูกค้า Snowflake ซึ่งในภายหลังถูกระบุว่ามีความเชื่อมโยงกับ Alexander Moucka
มีแฮกเกอร์คนอื่นเกี่ยวข้องอีกหรือไม่?
มีรายงานว่ามีผู้เกี่ยวข้องรายอื่น เช่น John Binns แฮกเกอร์ชาวอเมริกันที่ถูกกล่าวหาว่ามีส่วนเกี่ยวข้องกับการเจาะข้อมูล AT&T และยังมีสมาชิกคนอื่นๆ ในกลุ่มอาชญากรที่ยังคงหลบหนีอยู่
กลุ่ม "The Com" คือใคร?
คือเครือข่ายใต้ดินของแฮกเกอร์รุ่นใหม่ที่รวมตัวกันใน Discord และ Telegram เพื่อก่ออาชญากรรมทางไซเบอร์ โดยมองว่ากฎหมายเป็นเพียงรายการสิ่งที่ต้องหลบเลี่ยง
