Snowflake และ Ticketmaster ถูกเจาะข้อมูลผ่านช่องโหว่บริษัทคู่สัญญาและมัลแวร์ขโมยรหัสผ่าน
เหตุการณ์ข้อมูลรั่วไหลครั้งใหญ่ที่ส่งผลกระทบต่อ Snowflake ผู้ให้บริการจัดเก็บและวิเคราะห์ข้อมูลบนคลาวด์ระดับโลก กลายเป็นประเด็นร้อนเมื่อแฮกเกอร์กลุ่ม ShinyHunters อ้างว่าสามารถเข้าถึงบัญชีของลูกค้าหลายราย รวมถึงยักษ์ใหญ่อย่าง Ticketmaster และธนาคาร Santander โดยใช้ช่องทางผ่านบริษัทคู่สัญญาภายนอก
จากการสืบสวนพบว่า บัญชีลูกค้าประมาณ 165 รายอาจได้รับผลกระทบ โดยข้อมูลที่ถูกขโมยจาก Santander นั้นมีความรุนแรงอย่างมาก ประกอบด้วยรายละเอียดบัญชีธนาคารของลูกค้า 30 ล้านราย ซึ่งในจำนวนนี้มีเลขที่บัญชีและยอดเงินคงเหลือถึง 6 ล้านราย รวมถึงหมายเลขบัตรเครดิตอีก 28 ล้านใบ และข้อมูลทรัพยากรบุคคลของพนักงาน ขณะที่ Ticketmaster มีข้อมูลผู้บริโภคที่ถูกนำมาประกาศขายสูงถึง 560 ล้านราย
เบื้องหลังการโจมตี: จากพนักงานคนเดียวสู่ข้อมูลนับล้าน
แฮกเกอร์ระบุว่าจุดเริ่มต้นของการเจาะระบบครั้งนี้มาจาก EPAM Systems บริษัทวิศวกรรมซอฟต์แวร์รายใหญ่ที่ทำหน้าที่เป็นคู่สัญญาช่วยบริหารจัดการบัญชี Snowflake ให้กับลูกค้า โดยเหตุการณ์เริ่มจากการใช้ Spear-phishing (การส่งอีเมลหลอกลวงแบบระบุเป้าหมาย) เพื่อติดตั้ง Infostealer หรือมัลแวร์ขโมยข้อมูล ลงในคอมพิวเตอร์ของพนักงาน EPAM รายหนึ่งในประเทศยูเครน
เมื่อเข้าควบคุมเครื่องคอมพิวเตอร์ได้แล้ว แฮกเกอร์ได้ติดตั้ง Remote-access Trojan (มัลแวร์ที่ช่วยให้ผู้โจมตีควบคุมเครื่องจากระยะไกล) ทำให้สามารถเข้าถึงข้อมูลทุกอย่างในเครื่อง รวมถึงชื่อผู้ใช้และรหัสผ่านที่ไม่ได้เข้ารหัส ซึ่งถูกเก็บไว้ใน Jira เครื่องมือสำหรับบริหารจัดการโครงการ
ปัจจัยสำคัญที่ทำให้การโจมตีประสบความสำเร็จคือ บัญชี Snowflake เหล่านี้ไม่ได้เปิดใช้งาน Multifactor Authentication (MFA) หรือการยืนยันตัวตนหลายขั้นตอน ซึ่งปกติจะต้องใช้รหัสชั่วคราวควบคู่กับรหัสผ่าน ทำให้แฮกเกอร์สามารถใช้เพียงชื่อผู้ใช้และรหัสผ่านที่ขโมยมาล็อกอินเข้าสู่ระบบได้ทันที
การใช้ข้อมูลเก่าและการขยายผลของแฮกเกอร์
นอกจากการเจาะผ่านพนักงาน EPAM แล้ว Mandiant บริษัทด้านความปลอดภัยในเครือ Google ระบุว่าประมาณ 80% ของเหยื่อในแคมเปญนี้ถูกโจมตีด้วยรหัสผ่านที่เคยรั่วไหลจากเหตุการณ์อื่นในอดีต (บางส่วนย้อนไปถึงปี 2020) ซึ่งแฮกเกอร์มักจะนำรหัสผ่านเหล่านี้มาทดลองใช้กับหลายๆ บริการ หากผู้ใช้ไม่เปลี่ยนรหัสผ่านหรือใช้รหัสซ้ำกันในหลายบัญชี ก็จะกลายเป็นช่องโหว่ขนาดใหญ่
แม้ว่า EPAM จะปฏิเสธความเกี่ยวข้องและระบุว่าข้อมูลของแฮกเกอร์อาจเป็นการกุเรื่องขึ้น แต่ผู้เชี่ยวชาญด้านความปลอดภัยอิสระพบหลักฐานในคลังข้อมูลมัลแวร์ออนไลน์ ซึ่งมีทั้งประวัติการเข้าชมเว็บของพนักงาน EPAM และ URL ภายในที่เชื่อมไปยังบัญชี Snowflake ของ Ticketmaster พร้อมรหัสผ่านแบบข้อความธรรมดา (Plaintext)
| หัวข้อ | รายละเอียด |
|---|---|
| กลุ่มแฮกเกอร์ | ShinyHunters |
| จำนวนบัญชีที่ได้รับผลกระทบ | ประมาณ 165 บัญชี |
| บริษัทที่ได้รับผลกระทบหลัก | Ticketmaster, Santander, Lending Tree, Advance Auto Parts |
| ช่องทางหลักในการเข้าถึง | มัลแวร์ Infostealer ผ่านบริษัทคู่สัญญา (BPO) |
| จุดอ่อนสำคัญ | การไม่ใช้ MFA และการเก็บรหัสผ่านแบบไม่เข้ารหัส |
ข้อเท็จจริงสำคัญ
- การโจมตีไม่ได้เกิดจากช่องโหว่โดยตรงของระบบ Snowflake แต่เกิดจากการขโมยข้อมูลประจำตัว (Credentials) ของผู้ใช้งาน
- บริษัท BPO หรือคู่สัญญาภายนอก กลายเป็นเป้าหมายหลักเพราะเครื่องคอมพิวเตอร์เครื่องเดียวอาจเข้าถึงข้อมูลลูกค้าได้หลายบริษัท
- ข้อมูลที่รั่วไหลจาก Santander รวมไปถึงเลขบัญชีและยอดเงินของลูกค้าหลายล้านราย
- Snowflake กำลังพัฒนาฟีเจอร์ ที่จะบังคับให้ลูกค้าต้องใช้ MFA เพื่อป้องกันเหตุการณ์ซ้ำรอย
คำถามที่พบบ่อย
การโจมตีครั้งนี้เกิดขึ้นได้อย่างไร?
เริ่มจากการใช้ Spear-phishing ติดตั้งมัลแวร์ขโมยข้อมูลในเครื่องพนักงานบริษัทคู่สัญญา จากนั้นแฮกเกอร์จึงนำรหัสผ่านที่พบในเครื่องไปล็อกอินเข้าบัญชี Snowflake ของลูกค้าที่ไม่ได้เปิดใช้งาน MFA
ทำไมการไม่ใช้ MFA ถึงเป็นปัญหาใหญ่?
เพราะ MFA คือการเพิ่มชั้นความปลอดภัยที่ต้องใช้รหัสชั่วคราว เมื่อไม่มี MFA แฮกเกอร์ที่ได้รหัสผ่านไปจะสามารถเข้าถึงระบบได้ทันทีโดยไม่มีอะไรกั้น
บริษัท EPAM เกี่ยวข้องอย่างไรในเหตุการณ์นี้?
แฮกเกอร์อ้างว่าใช้เครื่องคอมพิวเตอร์ของพนักงาน EPAM ในยูเครนเป็นทางผ่านเพื่อขโมยรหัสผ่านของลูกค้า แม้ทาง EPAM จะปฏิเสธ แต่มีหลักฐานจากนักวิจัยอิสระที่พบข้อมูลรหัสผ่านของพนักงานหลุดอยู่ใน Dark Web
ข้อมูลประเภทใดบ้างที่ถูกขโมยไป?
ข้อมูลมีความหลากหลายตั้งแต่ข้อมูลผู้บริโภคของ Ticketmaster 560 ล้านราย ไปจนถึงเลขบัญชีธนาคาร ยอดเงิน และหมายเลขบัตรเครดิตของลูกค้าธนาคาร Santander
เราจะป้องกันตัวเองจากมัลแวร์ Infostealer ได้อย่างไร?
ควรหลีกเลี่ยงการคลิกลิงก์จากอีเมลที่ไม่น่าเชื่อถือ เปลี่ยนรหัสผ่านอย่างสม่ำเสมอ ไม่ใช้รหัสผ่านซ้ำกันในหลายเว็บไซต์ และที่สำคัญที่สุดคือการเปิดใช้งานการยืนยันตัวตนหลายขั้นตอน (MFA) ในทุกบัญชีที่ทำได้
