SolarWinds เจาะลึกความผิดพลาดครั้งใหญ่ เมื่อรัฐบาลสหรัฐฯ พบร่องรอยแฮกเกอร์แต่กลับปล่อยผ่าน
เหตุการณ์จารกรรมข้อมูลครั้งประวัติศาสตร์ผ่านซอฟต์แวร์ SolarWinds ไม่ได้เป็นเพียงการโจมตีทางไซเบอร์ที่ซับซ้อน แต่ยังเผยให้เห็นถึงช่องโหว่ในการประสานงานของหน่วยงานความมั่นคงระดับโลก ข้อมูลล่าสุดระบุว่ากระทรวงยุติธรรมสหรัฐฯ (DOJ) ตรวจพบความผิดปกติเร็วกว่าที่เคยประกาศไว้ถึง 6 เดือน แต่กลับไม่สามารถระบุได้ว่าสิ่งที่พบคือภัยคุกคามระดับชาติ
จุดเริ่มต้นของเรื่องนี้เกิดขึ้นในเดือนพฤษภาคม 2020 เมื่อ DOJ พบการรับส่งข้อมูลที่ผิดปกติจากเซิร์ฟเวอร์ที่ติดตั้งซอฟต์แวร์ Orion (เครื่องมือสำหรับผู้ดูแลระบบในการจัดการและกำหนดค่าเครือข่าย) ซึ่งเป็นเวอร์ชันทดลองใช้ โดยพบว่าซอฟต์แวร์ดังกล่าวมีการติดต่อกับระบบภายนอกที่ไม่รู้จักบนอินเทอร์เน็ต
เพื่อหาสาเหตุ DOJ ได้ดึงตัวผู้เชี่ยวชาญจาก Mandiant และ Microsoft เข้ามาร่วมตรวจสอบ อย่างไรก็ตาม ในขณะนั้นผู้ตรวจสอบสันนิษฐานว่าเป็นการเจาะระบบเข้ามาที่เซิร์ฟเวอร์ของ DOJ โดยตรงผ่านช่องโหว่ของซอฟต์แวร์ เมื่อประสานงานกับทาง SolarWinds เพื่อตรวจสอบโค้ด แต่ทางวิศวกรของบริษัทกลับไม่พบจุดบกพร่องใดๆ ส่งผลให้การสืบสวนยุติลงในเดือนกรกฎาคม 2020 และ DOJ ถึงขั้นตัดสินใจซื้อระบบ Orion มาใช้งานอย่างเต็มตัวในเดือนถัดมา เพราะเชื่อว่าไม่มีภัยคุกคามหลงเหลืออยู่
ข้อเท็จจริงสำคัญ
- การตรวจพบครั้งแรก: DOJ พบความผิดปกติในเดือนพฤษภาคม 2020 แต่ไม่ได้ตระหนักถึงความรุนแรงจนกระทั่งเดือนธันวาคม 2020
- วิธีการโจมตี: แฮกเกอร์ชาวรัสเซียใช้เทคนิค Supply-chain attack โดยการฝัง Backdoor (ประตูหลังที่แฮกเกอร์สร้างไว้เพื่อแอบเข้าสู่ระบบ) ลงในซอฟต์แวร์ Orion ตั้งแต่ขั้นตอนการคอมไพล์โค้ดในเดือนกุมภาพันธ์ 2020
- ขอบเขตความเสียหาย: ลูกค้าประมาณ 18,000 รายดาวน์โหลดซอฟต์แวร์ที่ติดมัลแวร์นี้ไปใช้ แต่แฮกเกอร์เลือกเจาะจงโจมตีเป้าหมายสำคัญเพียงไม่กี่ร้อยแห่ง
- หน่วยงานที่ได้รับผลกระทบ: รวมถึงกระทรวงกลาโหม, กระทรวงการคลัง, กระทรวงความมั่นคงแห่งมาตุภูมิ และบริษัทเทคโนโลยีชั้นนำอย่าง Intel, Cisco และ Palo Alto Networks
| ช่วงเวลา | เหตุการณ์สำคัญ | ผลลัพธ์/สถานะ |
|---|---|---|
| กุมภาพันธ์ 2020 | แฮกเกอร์ฝัง Backdoor ในซอฟต์แวร์ Orion | ซอฟต์แวร์ถูกปนเปื้อนตั้งแต่ต้นทาง |
| พฤษภาคม 2020 | DOJ ตรวจพบ Traffic ผิดปกติ | สืบสวนแต่ไม่พบสาเหตุที่แน่ชัด |
| กรกฎาคม - สิงหาคม 2020 | Mandiant และ Palo Alto Networks พบสิ่งผิดปกติ | ไม่สามารถระบุปัญหาได้ในขณะนั้น |
| พฤศจิกายน - ธันวาคม 2020 | Mandiant ตรวจพบการถูกแฮกในระบบตนเอง | เปิดเผยการโจมตีสู่สาธารณะ |
| มกราคม 2021 | DOJ ยอมรับว่าอีเมล Office 365 ถูกเข้าถึง | กระทบประมาณ 3% ของกล่องจดหมาย |
ความล้มเหลวในการสื่อสารและผลกระทบที่ตามมา
ประเด็นที่น่ากังวลที่สุดคือการขาดการแบ่งปันข้อมูลระหว่างหน่วยงาน แม้ DOJ จะแจ้งเรื่องไปยัง CISA (หน่วยงานความมั่นคงทางไซเบอร์และโครงสร้างพื้นฐาน) แต่ทาง NSA (สำนักงานความมั่นคงแห่งชาติ) กลับไม่ได้รับแจ้งเรื่องนี้จนกระทั่งเดือนมกราคม 2021 ซึ่งเป็นเวลาหลายเดือนหลังจากที่เหตุการณ์เริ่มบานปลาย
ความเสียหายที่เกิดขึ้นกับ DOJ นั้นรุนแรงกว่าที่คาด โดยภายหลังมีการเปิดเผยว่าแฮกเกอร์สามารถเข้าถึงบัญชีอีเมลของพนักงานในสำนักงานอัยการสหรัฐฯ ถึง 27 แห่ง รวมถึงในนิวยอร์กและแคลิฟอร์เนีย ข้อมูลทั้งหมดที่ถูกส่ง รับ และจัดเก็บในช่วงวันที่ 7 พฤษภาคม ถึง 27 ธันวาคม 2020 ถูกเข้าถึงโดยผู้ไม่หวังดี
เหตุการณ์นี้ทำให้วุฒิสมาชิก Ron Wyden ออกมาวิจารณ์อย่างหนักว่า ความสำเร็จของรัสเซียในครั้งนี้เกิดจาก "ความล้มเหลวที่เกิดขึ้นต่อเนื่องกัน" ของทั้งภาครัฐและเอกชน พร้อมเรียกร้องให้มีการตรวจสอบอย่างจริงจังเพื่อป้องกันไม่ให้เกิดเหตุการณ์ซ้ำรอยในอนาคต
คำถามที่พบบ่อย
การโจมตีแบบ Supply-chain attack ในกรณีนี้คืออะไร?
คือการที่แฮกเกอร์ไม่ได้โจมตีเป้าหมายโดยตรง แต่เข้าไปแทรกแซงในขั้นตอนการผลิตซอฟต์แวร์ของบริษัทผู้พัฒนา (SolarWinds) เพื่อฝังโค้ดอันตรายลงไป เมื่อลูกค้าดาวน์โหลดตัวอัปเดตซอฟต์แวร์ที่ดูเหมือนปกติ แฮกเกอร์จึงสามารถเข้าสู่ระบบของลูกค้าเหล่านั้นได้ทันที
ทำไม DOJ ถึงไม่รู้ว่าถูกแฮก ทั้งที่ตรวจพบความผิดปกติก่อนใคร?
เนื่องจากในขณะนั้นผู้ตรวจสอบเชื่อว่าเป็นการโจมตีที่ตัวเซิร์ฟเวอร์โดยตรง และเมื่อทาง SolarWinds ยืนยันว่าไม่พบช่องโหว่ในโค้ด ทำให้ DOJ เข้าใจผิดว่าภัยคุกคามถูกกำจัดไปแล้ว จึงยุติการสืบสวนและใช้งานซอฟต์แวร์ต่อไป
มีหน่วยงานใดบ้างที่ได้รับผลกระทบจากการโจมตีครั้งนี้?
มีหน่วยงานรัฐบาลสหรัฐฯ อย่างน้อย 9 แห่ง เช่น กระทรวงยุติธรรม, กระทรวงกลาโหม และกระทรวงการคลัง รวมถึงบริษัทเทคโนโลยีระดับโลก เช่น Microsoft, Mandiant, Intel, Cisco และ Palo Alto Networks
ข้อมูลประเภทใดของ DOJ ที่ถูกขโมยไป?
ข้อมูลที่ถูกเข้าถึงคืออีเมลและไฟล์แนบทั้งหมด ทั้งที่ส่ง รับ และจัดเก็บไว้ในบัญชี Office 365 ของพนักงานในสำนักงานอัยการสหรัฐฯ 27 แห่ง ในช่วงเวลาประมาณ 8 เดือน
บทเรียนสำคัญจากเหตุการณ์นี้คืออะไร?
คือความสำคัญของการแบ่งปันข้อมูล (Information Sharing) ระหว่างหน่วยงานรัฐและเอกชนอย่างรวดเร็วและโปร่งใส เพราะหากมีการประสานงานที่ดีตั้งแต่เดือนพฤษภาคม 2020 อาจสามารถยับยั้งการจารกรรมข้อมูลในวงกว้างได้
