แฮกเกอร์เนียน! แอบส่องอีเมล Outlook ของผู้บริหารตลาดหลักทรัพย์นานถึง 5 เดือน

เคสแฮกเกอร์ไม่ระบุตัวตนที่ใช้เวลา 5 เดือน ในการแฝงตัวอยู่ในกล่องข้อความ Outlook ของผู้บริหารระดับสูงของตลาดหลักทรัพย์ชั้นนำระดับโลกแห่งหนึ่ง โดยค่อยๆ ดึงข้อมูลออกมาทีละน้อย และส่งผ่าน Dropbox และ OneDrive เพื่อให้การรับส่งข้อมูลดูเหมือนการส่งข้อมูลผ่านคลาวด์ปกติ

จากการตรวจสอบของทีม Cyber Security บริษัท Symantec และ Carbon Black ได้รายงานถึงการโจมตีนี้ว่าเป็นการจารกรรมข้อมูล ไม่ใช่การโจรกรรมเพื่อผลประโยชน์ทางการเงิน 

แม้จะยังไม่มีการเปิดเผยว่าเป็นผู้บริหารหรือตลาดหลักทรัพย์แห่งใด แต่ข้อมูลที่ถูกเข้าถึงนั้นละเอียดอ่อนมาก ไม่ว่าจะเป็น รายละเอียดการจดทะเบียนบริษัทที่ยังไม่เปิดเผยต่อสาธารณะ ข้อตกลงทางธุรกิจ แผนงานที่อาจส่งผลต่อราคาหุ้น ไปจนถึงปฏิทินนัดหมายและรายชื่อผู้ติดต่อส่วนตัวของผู้บริหาร

⚫️ แผนการที่ใช้อย่างแนบเนียน?

การโจมตีครั้งนี้ใช้วิธี Lateral Movement ที่ถูกออกแบบมาให้แนบเนียนและยากต่อการตรวจจับ โดยสัญญาณอันตรายแรกปรากฏขึ้นเมื่อวันที่ 10 ตุลาคม 2568 ผู้โจมตีก็ได้ฝังโปรแกรมอันตรายเข้าไปในเครื่องและได้สิทธิ์ควบคุมสูงสุด โดยปลอมตัวโปรแกรมเหล่านั้นให้ดูเหมือนโปรแกรมอัปเดตของ Adobe และ OneDrive ที่ใครๆ ก็คุ้นเคย และยังเป็นปริศนาว่าผู้โจมตีเจาะเข้ามาได้อย่างไรตั้งแต่แรก 

ปฏิบัติการเริ่มเต็มรูปแบบในวันที่ 12 พฤศจิกายน โดยผู้โจมตีใช้โปรแกรมขโมยอีเมลที่สร้างจากซอฟต์แวร์ถูกกฎหมายสำหรับอ่านไฟล์ Outlook ทำให้ยิ่งตรวจจับได้ยากขึ้น ซึ่งโปรแกรมดังกล่าวจะรวบรวมอีเมลทั้งหมดแพ็กเป็นไฟล์เดียวแล้วส่งออกผ่าน Dropbox อย่างเนียนๆ

หลังจากนั้นผู้โจมตีจะคอยดึงข้อมูลทีละน้อย แทนที่จะดึงทั้งหมดในคราวเดียว โดยทำซ้ำกันถึง 8 ครั้งตั้งแต่เดือนสิงหาคม 2568 จนถึงกุมภาพันธ์ 2569 ทุก 2-4 สัปดาห์ ซึ่งน้อยจนระบบรักษาความปลอดภัยแทบไม่มีทางสังเกตเห็นความผิดปกติได้เลย

แทนที่จะเชื่อมต่อผ่านชื่อเว็บไซต์ของ OneDrive ซึ่งอาจถูกระบบตรวจจับได้ง่าย ผู้โจมตีเลือกเชื่อมต่อตรงผ่านหมายเลข IP ของ Microsoft แทน เพื่อไม่ให้ทิ้งร่องรอยที่ชัดเจน และยังตั้งชื่อโปรแกรมอันตรายให้ดูเหมือนโปรแกรมปกติของ Adobe, Lenovo และ OneDrive อีกด้วย

⚫️ เมื่อความเงียบคือ “อาวุธที่ร้ายกาจที่สุด”

สิ่งที่น่ากังวลที่สุดในเคสนี้คือยังไม่สามารถระบุตัวตนผู้กระทำได้เลย การใช้เครื่องมือทั่วไปและบริการคลาวด์ที่ทุกคนใช้อย่าง Dropbox และ OneDrive ทำให้แทบไม่มีร่องรอยให้ตรวจสอบ และที่น่ากลัวกว่านั้นคือเคสนี้ไม่มีช่องโหว่ใหม่ที่สามารถออก Patch อุดได้ ผู้โจมตีใช้เพียงแค่สิทธิ์ที่เข้าถึงได้มากับโปรแกรมถูกกฎหมาย ซึ่งทำให้การตรวจสอบยากกว่าการโจมตีแบบปกติมาก

สำหรับองค์กรที่ต้องการป้องกันตัวเอง โดยเฉพาะในสถาบันการเงินหรือหน่วยงานที่มีข้อมูลสำคัญ ควรหมั่นสังเกตสัญญาณเตือนเหล่านี้ ได้แก่ การส่งออกอีเมลที่ผิดปกติ การเข้าถึง Outlook จากแหล่งที่ไม่คุ้นเคย การอัปโหลดไฟล์ไปยังบัญชี Dropbox หรือ OneDrive ส่วนตัว รวมถึงการพยายามดึงเอกสารสำคัญของคนในองค์กร

เคสนี้จึงเป็นบทเรียนที่ย้ำเตือนว่า ภัยคุกคามที่อันตรายที่สุดมักไม่ได้มาแบบโจ่งแจ้งเสมอไป แต่อาจแฝงตัวเงียบๆ ค่อยๆ ดูดข้อมูลออกไป โดยที่เหยื่อไม่รู้ตัวเลยแม้แต่น้อย