Fortinet ออกมายืนยันว่าถูก ขอโมยข้อมูล หลังจากมีการแอบอ้างจากผู้ไม่ประสงค์ดีได้ทำการขโมยไฟล์ขนาด 440GB ไป

    Fortinet บริษัทใหญ่ด้านความปลอดภัยทางไซเบอร์ได้ยืนยันว่ามีการละเมิดข้อมูลเกิดขึ้น หลังจากมีผู้ไม่ประสงค์ดีอ้างว่าได้ขโมยไฟล์ขนาด 440GB จากเซิร์ฟเวอร์ Microsoft SharePoint ของบริษัท

    เหตุเกิดขึ้นเมื่อ ผู้ไม่ประสงค์ดีรายหนึ่งได้โพสต์ในฟอรัมแฮกเกอร์ว่าได้ขโมยข้อมูล 440GB จากระบบ Azure SharePoint ของ Fortinet จากนั้นได้แชร์ข้อมูลการเข้าถึงไปยัง S3 bucket ที่เชื่อว่ามีการเก็บข้อมูลที่ถูกขโมยไว้ เพื่อให้เหล่าผู้ไม่ประสงค์ดีรายอื่น ๆ สามารถดาวน์โหลดได้

    ผู้ไม่ประสงค์ดีที่รู้จักกันในชื่อ "Fortibitch" อ้างว่าได้พยายามเรียกค่าไถ่จาก Fortinet โดยคาดว่าจะเป็นการป้องกันไม่ให้ข้อมูลถูกเผยแพร่ แต่ทางบริษัทปฏิเสธที่จะจ่ายเงิน

    ในคำตอบต่อคำถามของ BleepingComputer เกี่ยวกับเหตุการณ์นี้ Fortinet ยืนยันว่ามีข้อมูลลูกค้าถูกขโมยจาก "ไดรฟ์แชร์บนคลาวด์ของบุคคลที่สาม"

    "บุคคลหนึ่งได้เข้าถึงไฟล์จำนวนจำกัดที่จัดเก็บอยู่ในระบบคลาวด์ไดรฟ์ที่ใช้ร่วมกันของบุคคลที่สามของ Fortinet โดยไม่ได้รับอนุญาต ซึ่งรวมถึงข้อมูลจำกัดที่เกี่ยวข้องกับลูกค้า Fortinet จำนวนไม่มาก" บริษัทกล่าวกับ BleepingComputer

    Fortinet ไม่ได้เปิดเผยจำนวนลูกค้าที่ได้รับผลกระทบหรือประเภทของข้อมูลที่ถูกละเมิด แต่ได้กล่าวว่า "ได้สื่อสารกับลูกค้าโดยตรงตามความเหมาะสม"

BleepingComputer ได้ติดต่อ Fortinet เพื่อขอข้อมูลเพิ่มเติมเกี่ยวกับการละเมิดนี้ แต่ยังไม่ได้รับคำตอบในขณะนี้

    ในเดือนพฤษภาคม 2023 ผู้ไม่ประสงค์ดีอ้างว่าบุกเข้าไปในที่เก็บ GitHub ของบริษัท Panopta ซึ่งถูกซื้อโดย Fortinet ในปี 2020 และได้ปล่อยข้อมูลที่ขโมยมาในฟอรัมแฮกเกอร์ที่ใช้ภาษารัสเซีย

Ref : bleepingcomputer

Microsoft ออกมาอธิบายกรณี Exchange Online account ถูกโจมตี

    Microsoft ออกมายืนยันว่ากลุ่มผู้ไม่ประสงค์ดีซึ่งเป็นหน่วยข่าวกรองต่างประเทศของรัสเซีย ได้มีการเจาะระบบ เข้าสู่บัญชีอีเมลของผู้บริหารของ Microsoft ในเดือนพฤศจิกายน 2023 รวมถึงการโจมตีองค์กรอื่น ๆ ซึ่งเป็นส่วนหนึ่งของรูปแบบการโจมตีที่กำหนดเป้าหมายไปที่ Exchange Online

    Midnight Blizzard (Nobelium หรือ APT29) เป็นกลุ่มที่ได้รับการสนับสนุนจากรัฐบาล ซึ่งเชื่อมโยงกับหน่วยข่าวกรองต่างประเทศของรัสเซีย (SVR) โดยมีเป้าหมายหลักคือองค์กรภาครัฐ องค์กรพัฒนาเอกชน นักพัฒนาซอฟต์แวร์ และผู้ให้บริการด้านไอทีในสหรัฐอเมริกา และยุโรป

    โดยในวันที่ 12 มกราคม 2024 Microsoft พบว่ากลุ่ม APT29 ได้เจาะระบบของ Microsoft ในเดือนพฤศจิกายน 2023 และขโมยข้อมูลอีเมลจากกลุ่มผู้บริหาร ทีมความปลอดภัยทางไซเบอร์ และทีมกฎหมาย ซึ่งอีเมลเหล่านี้บางฉบับมีข้อมูลเกี่ยวกับกลุ่ม ผู้ไม่ประสงค์ดี ต่าง ๆ ทำให้ ผู้ไม่ประสงค์ดี ได้ข้อมูลในสิ่งที่ Microsoft รู้เกี่ยวกับกลุ่ม ผู้ไม่ประสงค์ดี ต่าง ๆ

    Microsoft ระบว่า กลุ่ม Nobelium หรือ APT29 เริ่มการโจมตีโดยสร้าง residential proxy และโจมตีแบบ brute-force attack ไปยังเป้าหมายในรูปแบบ "password spraying" เพื่อกำหนดเป้าหมายไปยังบัญชีจำนวนหนึ่ง โดยหนึ่งในบัญชีเหล่านั้นเป็น "บัญชีทดสอบแบบที่ไม่ใช่การใช้งานจริง หรือ non-production test tenant account" เป้าหมายของการโจมตีดังกล่าวคือการหลบเลี่ยงการตรวจจับ และหลีกเลี่ยงการบล็อกบัญชีที่มีการพยายามล็อคอินผิดจำนวนมาก

    ทั้งนี้ Microsoft ไม่สามารถยืนยันได้ว่าบัญชีทดสอบมีการเปิด MFA ไว้หรือไม่ และสามารถเข้าถึงระบบหลังจากนั้นได้อย่างไร แต่ระบุว่าบัญชีทดสอบดังกล่าว สามารถเข้าถึงแอปพลิเคชัน OAuth พร้อมการเข้าถึงสภาพแวดล้อมองค์กรในระดับที่สูงขึ้น การเข้าถึงระดับสูงนี้ทำให้ ผู้ไม่ประสงค์ดี สามารถสร้างแอปพลิเคชัน OAuth เพิ่มเติมเพื่อเข้าถึง mailboxes ขององค์กรอื่น ๆ ได้

    โดย Microsoft ตรวจพบหลักฐานการโจมตีได้จาก log ของ Exchange Web Services (EWS) รวมกับกลยุทธ์ และขั้นตอนที่ทำให้สามารถทราบถึงกลุ่ม ผู้ไม่ประสงค์ดี ที่ใช้วิธีการโจมตีคล้ายกัน นั้นคือกลุ่ม APT29 ซึ่งกำหนดเป้าหมายไปที่องค์กรอื่น ซึ่งได้ข้อมูลมาจาก Microsoft Threat Intelligence

    นอกจากนี้ทาง Hewlett Packard Enterprise (HPE) ยังได้รายงานการค้นพบกลุ่ม APT29 สามารถเข้าถึงระบบอีเมล Microsoft Office 365 และได้ทำการขโมยข้อมูลออกไปตั้งแต่เดือนพฤษภาคม 2023 แต่ทาง HPE ไม่ได้เปิดเผยว่าใครเป็นผู้พบการโจมตีดังกล่าว ทำให้ทาง BleepingComputer คาดการว่า HPE อาจเป็นอีกหนึ่งองค์กรที่ได้รับผลกระทบจากรูปแบบการโจมตีดังกล่าวเช่นกัน

    รวมถึงในเดือนกันยายน 2023 มีการเปิดเผยว่ากลุ่ม Storm-0558 ของจีน ได้ขโมยอีเมล 60,000 ฉบับ จากบัญชีกระทรวงการต่างประเทศสหรัฐฯ หลังจากโจมตี Exchange email server บน cloud ของ Microsoft

คำแนะนำการป้องกัน

Microsoft ได้ให้คำแนะนำวิธีการตรวจจับ และป้องกันการโจมตีที่มาจากกลุ่ม APT29 โดยมุ่งเน้นไปที่การใช้การแจ้งเตือนจาก XDR และ SIEM ในการตรวจจับการโจมตี

• ตรวจจับกิจกรรมที่เพิ่มขึ้นในแอปคลาวด์ที่เข้าถึงใน cloud app ที่อาจเป็นการขโมยข้อมูลออกไป
• พบการ Spike ใน API call หลังการอัปเดตข้อมูลรับรองในแอปที่ไม่ใช่ Microsoft OAuth ซึ่งบ่งบอกถึงการพยายามเข้าถึงโดยไม่ได้รับอนุญาต
• พบการเพิ่มการใช้งาน Exchange Web Services API ในแอปที่ไม่ใช่ Microsoft OAuth ซึ่งอาจบ่งบอกถึงการขโมยข้อมูล
• พบ OAuth app ที่ไม่ใช่ของ Microsoft ซึ่งมีข้อมูลที่มีความเสี่ยง ซึ่งอาจเกี่ยวข้องกับการละเมิดข้อมูล
• พบ OAuth app ที่สร้างโดยผู้ใช้จากเซสชันที่มีความเสี่ยงสูง ซึ่งอาจเกี่ยวข้องกับการโจมตีจากบัญชีที่ถูกขโมย

Ref : bleepingcomputer

อาชญากรไซเบอร์เปิดเผยข้อมูลส่วนบุคคล (PII) จำนวนมากจากประเทศไทยบน DARK WEB

    เมื่อไม่นานมานี้ ศาลอาญาในประเทศไทยได้ออกคำสั่งระงับเว็บไซต์ '9near.org' ซึ่งการดำเนินการนี้เกิดขึ้นหลังจากเว็บไซต์ได้ขู่จะเปิดเผยข้อมูลส่วนบุคคลของคนไทยกว่า 55 ล้านคน ซึ่งอ้างว่าได้มาจากข้อมูลการลงทะเบียนวัคซีน โดยศาลยังประกาศเพิ่มเติมว่าเว็บไซต์ใด ๆ ที่เผยแพร่ข้อมูลจาก '9near.org' จะถูกระงับเว็บไซต์เช่นกัน มาตรการนี้เป็นการตอบสนองตามคำร้องขอจากกระทรวงดิจิทัลเพื่อเศรษฐกิจ และสังคม (DES) ซึ่งกำลังเตรียมการสำหรับการจับกุมบุคคลที่รับผิดชอบต่อการแฮ็กข้อมูลดังกล่าว

บุคคลที่เป็นเจ้าของเว็บไซต์ที่ใช้ชื่อ '9Near – Hacktivist' ได้ประกาศบนเว็บไซต์ Breach Forum โดยได้ระบุว่า พวกเขาได้เข้าถึงรายละเอียดข้อมูลส่วนบุคคล 55 ล้านรายการจากประเทศไทย โดยข้อมูลนี้ประกอบด้วยชื่อนามสกุล, วันเกิด, หมายเลขบัตรประจำตัวประชาชน และหมายเลขโทรศัพท์ ล่าสุดชมรมแพทย์ชนบทได้ออกมาระบุว่าข้อมูลเหล่านี้อาจมาจากการรั่วไหลของศูนย์ฉีดวัคซีนของกระทรวงสาธารณสุข

    ประเทศไทยกำลังก้าวสู่บทบาทที่สำคัญในเวทีดิจิทัลอย่างรวดเร็ว โดยเฉพาะในด้านเทคโนโลยีสารสนเทศ และการสื่อสาร (ICT) ภายในภูมิภาคเอเชีย-แปซิฟิก โดยเฉพาะตั้งแต่ปลายปี 2022 จนถึงต้นปี 2023 เหตุการณ์การรั่วไหลของข้อมูลในประเทศลดลงอย่างมาก เพื่อให้เข้าใจตรงกัน ในช่วงไตรมาสที่สามของปี 2022 ประชากรทุก ๆ 1,000 คนในประเทศไทย มีบันทึกการเปิดเผยข้อมูลประมาณ 6.8 ครั้ง และลดลงเหลือเพียง 1,000 คน ต่อ 1 ครั้ง ภายในไตรมาสแรกของปี 2023 แต่เมื่อเข้าสู่ปี 2024 แนวโน้มนี้อาจมีการเปลี่ยนแปลง เนื่องจากมีรายงานว่าอาชญากรไซเบอร์ที่เป็นที่รู้จักใน Dark Web ชื่อ Naraka กำลังเผยแพร่ข้อมูลส่วนบุคคล (PII) ของประชากรไทยจำนวนมาก คาดว่ารายละเอียดเหล่านี้ได้มาจากแพลตฟอร์มที่ถูกโจมตี

    ต้นปี 2024 มีการรั่วไหลของข้อมูลเพิ่มขึ้นอย่างเห็นได้ชัดจากแพลตฟอร์มที่เกี่ยวข้องกับผู้บริโภค ซึ่งยืนยันว่าผู้ไม่หวังดีกำลังมุ่งเป้าไปที่ข้อมูลส่วนบุคคลของประชากรไทย ผู้ไม่หวังดีมุ่งเป้าไปที่ e-commerce, fintech, และทรัพยากรของภาครัฐ เนื่องจากมีเอกสารส่วนบุคคลปริมาณมหาศาลทั้งในรูปแบบข้อความ และภาพถ่ายที่ใช้สำหรับ KYC (Know Your Customer)

    เมื่อเทียบกับปี 2023 ความถี่ของการโจมตีเพิ่มสูงขึ้น ตามที่แสดงให้เห็นจากการเพิ่มขึ้นของจำนวนเหตุการณ์การรั่วข้อมูลที่เกี่ยวข้องกับผู้บริโภค และธุรกิจจากประเทศไทยบน Dark Web ในต้นเดือนมกราคม 2024 เพียงเดือนแรกเท่านั้น มีการโพสต์การละเมิดข้อมูลกว่า 14 ครั้งที่เปิดเผยข้อมูลของประชากรไทยในฟอรัมอาชญากรไซเบอร์ ซึ่งเกือบจะแซงหน้าปริมาณบันทึกที่ถูกบุกรุกในปีที่แล้ว

    ผู้ไม่หวังดีใช้ข้อมูลส่วนบุคคล PII ที่ขโมยมาเพื่อทำการหลอกลวงประชากรไทย และโจมตีองค์กรทางการเงิน ที่กำลังพัฒนา และส่งเสริมการดิจิทัลในภูมิภาคเพื่อให้บริการกับประชากรกว่า 71.6 ล้านคน

    ในวันที่ 11 มกราคม 2024 อาชญากรไซเบอร์ในชื่อ Naraka ได้โพสต์ขายข้อมูลบน 'breachforums.is' โดยเน้นไปที่หนึ่งในร้านหนังสือที่ใหญ่ที่สุดในประเทศไทยที่ชื่อ 'Chulabook' ซึ่งการละเมิดนี้ส่งผลกระทบต่อผู้ใช้งานมากกว่า 160,000 คน โดย Naraka ระบุการขายข้อมูลในรูปแบบของ cryptocurrency โดยเฉพาะ XRM (Monero) หรือ BTC (Bitcoin)

    ผู้เชี่ยวชาญด้านความปลอดภัยจาก Resecurity ได้แจ้ง Chulabook และสำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (สพธอ) ซึ่งเป็นหน่วยงานภาครัฐภายใต้การควบคุมของกระทรวงดิจิทัลเพื่อเศรษฐกิจ และสังคมที่รับผิดชอบในการกำกับดูแลผู้ให้บริการดิจิทัลทุกรายที่ให้บริการแก่ลูกค้าในประเทศไทย ทีมผู้เชี่ยวชาญด้านความปลอดภัยได้รับอีกข้อมูลเพิ่มเติมจากผู้ไม่หวังดี ที่ยืนยันว่ามีการเข้าถึงระบบหลังบ้านที่มีข้อมูลกว่าพันล้านรายการสั่งซื้อ และข้อมูลลูกค้า ได้เป็นที่เรียบร้อย

    ในระหว่างการติดต่อกับผู้ที่มีส่วนเกี่ยวข้องในการละเมิดข้อมูล ได้มีการระบุแหล่งข้อมูลบนเว็บไซต์ที่ถูกโจมตีอีกแห่งหนึ่งในประเทศไทย ซึ่งการละเมิดข้อมูลเพิ่มเติมนี้ยังพบว่าเป็นการรั่วไหลของข้อมูลส่วนบุคคล (PII) ของประชากรไทยอีกครั้ง

    ล่าสุดในช่วงปลายปี 2023 พบว่าผู้ดำเนินการของ UFO Market บน Telegram กำลังขายข้อมูลที่ถูกขโมยมากว่า 538,418 รายการ ประกอบด้วยข้อมูลส่วนบุคคล (PII) รวมถึงรายละเอียดเช่น หมายเลขบัตรประจำตัวประชาชน

    ข้อมูลที่ถูกขโมยมาจำนวนมากเหล่านี้มีมูลค่าที่สูงมาก โดยเฉพาะสำหรับผู้ที่เกี่ยวข้องกับการปลอมแปลงตัวตน และการฉ้อโกงทางการเงิน ข้อมูลส่วนบุคคลที่มีความสำคัญลักษณะนี้ ช่วยให้ให้ผู้ไม่หวังดีสามารถเลือกเป้าหมายที่เป็นไปได้สำหรับฉ้อโกงการทำธุรกรรมทางออนไลน์ และการหลอกลวงทางอินเทอร์เน็ต

    ก่อนเกิดเหตุการณ์นี้ขึ้น ผู้กระทำผิดรายเดียวกันนี้เกี่ยวข้องกับการเผยแพร่ข้อมูลจำนวนมหาศาล โดยเฉพาะบันทึกที่เกี่ยวข้องกับนักศึกษาจำนวน 3,149,330 รายการ ซึ่งเชื่อว่าได้มาจากสำนักงานคณะกรรมการการศึกษาขั้นพื้นฐาน (OBEC) โดยข้อมูลดังกล่าวมีความสำคัญมาก และอาจมีคุณค่าสูงสำหรับวัตถุประสงค์ที่เป็นอันตราย โดยพิจารณาถึงความเสี่ยงที่นักศึกษาอาจตกเป็นเป้าหมายจากองค์กรอาชญากรรม

    ผู้เชี่ยวชาญด้านความปลอดภัยพบว่าข้อมูลบางส่วนถูกปล่อยออกมาโดยไม่มีค่าใช้จ่ายใด ๆ โดยผู้ไม่หวังดีทำเช่นนี้เพื่อการแลกเปลี่ยนในโครงการในอนาคต เช่น การสแปม, การโกงออนไลน์, และแคมเปญ Business Email Compromise (BEC) ซึ่งการกระจายข้อมูลโดยไม่คิดเงินทำให้ข้อมูลเป็นที่เข้าถึงได้ง่ายขึ้นสำหรับการดำเนินกิจกรรมที่เป็นอันตรายอื่น ๆ

    อีกชุดข้อมูลที่ถูกเปิดเผยบนเว็บไซต์ Breachedforums.is ซึ่งมีชื่อว่า "Thailand DOP.go.th Leaked" ชุดนี้ประกอบด้วยข้อมูลส่วนบุคคล (PII) โดยส่วนใหญ่เกี่ยวกับประชากรผู้สูงอายุในประเทศไทย โดยมีขนาดประมาณ 690MB ประกอบด้วยข้อมูลทั้งหมด 19,718,687 รายการ

    ในวันที่ 10 มกราคม 2024 เกิดเหตุการณ์การรั่วข้อมูลอีกครั้ง ในครั้งนี้เกี่ยวข้องกับ บริษัท บางกอกอินดัสเทรียลแก๊ส จำกัด ซึ่งการรั่วไหลครั้งนี้ถือเป็นอีกตัวอย่างที่สำคัญ ที่มีเป้าหมายไปที่บริษัทโครงสร้างพื้นฐาน และกลุ่มน้ำมัน และก๊าซ

    อีกการเปิดเผยข้อมูลการรั่วไหลของข้อมูลใหม่จากผู้ไม่หวังดีในชื่อ 'Ghostr' บน Breachforums.is โดยข้อมูลชุดนี้มีขนาดใหญ่มาก โดยเกี่ยวข้องกับข้อมูลประมาณ 186 GB และรวมบันทึกจำนวน 5.3 ล้านรายการจากแพลตฟอร์มการซื้อขายหลักทรัพย์ ข้อมูลที่รั่วไหลรวมถึงรายละเอียดของผู้ใช้งานคนไทย รวมถึงชื่อ-นามสกุล, หมายเลขโทรศัพท์, ที่อยู่อีเมล และหมายเลขบัตรประจำตัวประชาชน

    อีกเหตุการณ์หนึ่ง มีรายงานถึงข้อมูลรั่วไหลโดย Milw0rm บน breachforum.is ชุดข้อมูลนี้เผยแพร่เมื่อวันที่ 1 มกราคม 2024 สำหรับผู้สมัครงานชาวไทย และรวมถึงข้อมูลส่วนบุคคลที่หลากหลาย ชุดข้อมูลประกอบด้วยข้อมูล 61,000 รายการ ข้อมูลโดยละเอียด เช่น ชื่อผู้ใช้, รหัสผ่าน, อีเมล, หมายเลขโทรศัพท์มือถือ และบ้าน, รหัสไปรษณีย์, วันเกิด, ลักษณะทางกายภาพเช่น น้ำหนัก และส่วนสูง, สถานะการจ้างงานปัจจุบัน, ข้อมูลเกี่ยวกับลูก ๆ, ความสามารถในการพิมพ์ด้วยภาษาไทย และรายละเอียดเกี่ยวกับเงินเดือน

  ผู้ไม่หวังดีที่รู้จักกันในชื่อ R1g ทำการลงข้อมูลจำนวนมากที่เกี่ยวข้องกับฐานข้อมูลส่วนบุคคลของลูกจ้างอาสาสมัครทหารไทย โดยการรั่วไหลนี้มีจำนวนมากรวมกว่า 4.6 ล้านรายการ ข้อมูลที่รั่วไหลประกอบไปด้วยข้อมูลส่วนบุคคลที่มีความสำคัญ เช่น ชื่อ, หมายเลขประจำตัวประชาชน, เพศ, วันเกิด และที่อยู่

    R1g อ้างความรับผิดชอบต่อการรั่วไหลของข้อมูลสำคัญอีกครั้งในวันพฤหัสบดีที่ 11 มกราคม 2024 โดยการรั่วไหลข้อมูลครั้งนี้เกี่ยวข้องกับข้อมูลสำหรับนาวิกโยธินของประเทศไทย ซึ่งถือเป็นเหตุการณ์ด้านความปลอดภัยที่สำคัญอีกเหตุการณ์หนึ่ง

    ในวันที่ 15 มกราคม 2024 ผู้ไม่หวังดีที่ใช้ชื่อ Soni โพสต์ฐานข้อมูลที่รั่วไหลที่เกี่ยวข้องกับเว็บไซต์ Phyathai.com โดยข้อมูลครั้งนี้ประกอบด้วยบันทึกข้อมูลผู้ใช้จำนวน 25,500 รายการ รวมถึง ID, user URL, รหัสผ่านที่ถูกเข้ารหัส (phpass), อีเมลผู้ใช้, รายละเอียดการเข้าสู่ระบบ, สถานะบัญชี, ชื่อที่แสดง, วันที่ลงทะเบียน และคีย์การเปิดใช้งานของผู้ใช้งาน ซึ่งผู้ไม่หวังดีได้แชร์ตัวอย่างข้อมูลไว้เป็นหลักฐาน

    อาชญากรไซเบอร์ยังมุ่งเป้าโจมตีไปยังภาครัฐ และกองทัพในประเทศไทย โดยทำการรั่วไหลข้อมูลส่วนบุคคลของเจ้าหน้าที่ และบุคลากรในเจ้าหน้าที่บังคับใช้กฎหมาย การดำเนินการประเภทนี้เป็นเรื่องปกติสำหรับกลุ่มอาชญากรทางไซเบอร์ โดยผู้ไม่หวังดีได้เปิดเผยเอกสารลับต่าง ๆ ซึ่งรวมถึงการติดต่อภายใน และการโต้ตอบกับหน่วยงานบังคับใช้กฎหมายในกัมพูชา โดยที่มาของข้อมูลรั่วไหลครั้งนี้ยังไม่สามารถระบุได้ แต่การโจมตีทางไซเบอร์ต่อเจ้าหน้าที่รัฐบาลไทยอาจแสดงให้เห็นถึงแนวโน้มการกำหนดเป้าหมายที่เพิ่มขึ้นในภูมิภาค

สรุป

    ในปี 2024 ประเทศไทยกำลังมีบทบาทสำคัญในการต่อสู้กับอาชญากรรมทางไซเบอร์ทั่วโลก ในขณะที่ประเทศไทยกำลังก้าวเข้าสู่การเปลี่ยนแปลงทางดิจิทัล และขยายขีดความสามารถในด้านเทคโนโลยีสารสนเทศ และการสื่อสาร (ICT) ทำให้ความเสี่ยงที่กำลังเพิ่มขึ้นเกี่ยวกับการละเมิดข้อมูลส่วนบุคคลนี้ตอกย้ำถึงความจำเป็นเร่งด่วนสำหรับประเทศไทยในการปรับใช้ และเสริมสร้างกลยุทธ์ความปลอดภัยทางไซเบอร์ที่แข็งแกร่งมากขึ้น

    การรั่วไหลข้อมูลขนาดใหญ่อย่างต่อเนื่อง และความเสี่ยงที่กำลังจะเกิดขึ้นจากการใช้ข้อมูลที่มีความลับในประเทศไทย เป็นเครื่องเตือนใจที่ชัดเจนถึงความจำเป็นที่สำคัญในการปรับปรุงการปกป้องข้อมูล และกลยุทธ์การป้องกันทางไซเบอร์สำหรับประเทศไทย ซึ่งมีความจำที่จะเสริมสร้างความปลอดภัยไซเบอร์ กฎหมายความเป็นส่วนตัวของข้อมูลที่เข้มงวด และปลูกฝังวัฒนธรรมการเฝ้าระวังทางดิจิทัลที่แพร่หลายในหมู่ประชากร และสถาบันต่าง ๆ มาตรการดังกล่าวเป็นกุญแจสำคัญ ไม่เพียงแต่ในการปกป้องความเป็นส่วนตัวและความปลอดภัยของพลเมืองเท่านั้น แต่ยังสำหรับการเสริมสร้างฐานะของประเทศไทยในฐานะบทบาทที่น่าเชื่อถือ และปลอดภัยในดิจิทัลระหว่างประเทศ

Ref : resecurity

MongoDB ตรวจพบว่ามีการถูกขโมยข้อมูลลูกค้าและเปิดเผยจากการโจมตีทางไซเบอร์

MangoDB ออกมาเตือนลูกค้าของทางบริษัทว่าระบบของบริษัทถูกผู้ไม่ประสงค์ดี เจาะระบบและได้ขโมยข้อมูลลูกค้าออกไปใช้ในการโจมตีทางไซเบอร์เมื่อต้นสัปดาห์ที่ผ่านมา

มีการส่ง E-mail ไปแจ้งยังลูกค้าของทาง MangoDB จากทาง CISO Lena Smart ว่าพวกเขาตรวจพบการโจมตีตั้งแต่เย็นของวันพุธที่ 13 ธันวาคม 2566 ช่วงเย็นที่ผ่านมา

ทาง บริษัท ได้แจ้งว่ากำลังตรวจสอบถึงเหตุการณ์ที่เกิดขึ้นมีการเข้าถึงระบบของ MangoDB โดยไม่ได้รับอนุญาต ซึ่งรวมถึงการเปิดเผยข้อมูลของลูกค้าและข้อมูลในการติดต่อ และเราไม่ได้นิ่งนอนใจกับเหตุการณ์ครั้งนี้

ซึ่งเป็นส่วนหนึ่งของ E-Mail ที่ทาง MangoDB แจ้งไปยังลูกค้า

MangoDB ยังคงมั่นใจว่าผู้ไม่ประสงค์ดีไม่สามารถเข้าถึงข้อมูลที่จัดเก็บไว้ใน MangoDB Atlas และผู้ไม่ประสงค์ดีสามารถเข้าถึงระบบได้เพียงระยะหนึ่งก่อนที่จะมีการตรวจพบและทำการตัดการเชื่อมต่อได้ทัน

เมื่อมีการเปิดเผยข้อมูลของลูกค้า ทาง MangoDB ได้ให้คำแนะนำไปยังลูกค้าว่าให้ทำการเปิดระบบการตรวจสอบสิทธิแบบหลายขั้นตอนในการใช้งาน USER ACCOUNT ของลูกค้า และเปลี่ยนแปลงรหัสผ่าน และให้ระมัดระวัง

การโจมตีแบบฟิชชิ่งและมีการประกาศการแจ้งเตือนเป็นระยะสามารถติดตามได้ที่ mongodb/alerts

Ref : bleepingcomputer

Randstorm Exploit ทำให้ Bitcoin Wallets ระหว่างปี 2011-2015 เสี่ยงต่อการถูกขโมยโดยผู้ไม่ประสงค์ดี

    Bitcoin wallets ที่ถูกสร้างขึ้นระหว่างปี 2011-2015 มีความเสี่ยงต่อการถูกโจมตีรูปแบบใหม่ที่เรียกว่า Randstorm ซึ่งทำให้สามารถกู้คืนรหัสผ่าน และเข้าถึงข้อมูลใน wallets ได้บนแพลตฟอร์ม blockchain หลายแห่ง

    ตามรายงานของ Unciphered ที่เผยแพร่เมื่อสัปดาห์ที่แล้ว Randstorm() ถูกสร้างขึ้นเพื่ออธิบายชุดของช่องโหว่, design decisions และการเปลี่ยนแปลง API เมื่อนำมารวมกันแล้วจะลดคุณภาพของ random numbers ที่สร้างโดยเว็บเบราเซอร์ในช่วงปี 2011-2015

    จำนวนบิตคอยน์ประมาณ 1.4 ล้านบิตคอยน์ ที่ถูกจัดเก็บอยู่ใน wallets ที่สร้างด้วย cryptographic keys ที่คาดเดาได้ง่าย โดยผู้ใช้งานสามารถตรวจสอบว่า wallets ของตนมีความเสี่ยงหรือไม่ได้ที่ keybleed

บริษัทที่เกี่ยวข้องกับการกู้คืน cryptocurrency ระบุว่า ได้ค้นพบปัญหานี้อีกครั้งในเดือนมกราคม 2022 ขณะที่กำลังทำการตรวจสอบให้กับลูกค้าที่ไม่มีการเปิดเผยชื่อ ซึ่งถูกล็อคจาก Blockchain.com wallet ปัญหานี้ถูกหยิบยกขึ้นมาเป็นครั้งแรกในปี 2018 โดยนักวิจัยด้านความปลอดภัยที่ใช้ชื่อนามแฝงว่า "ketamine"

จุดสำคัญของช่องโหว่นี้เกิดจากการใช้ BitcoinJS ซึ่งเป็นแพ็คเกจ JavaScript โอเพนซอร์สที่ใช้สำหรับพัฒนาแอพพลิเคชัน cryptocurrency wallet บนเบราว์เซอร์

    โดยเฉพาะ Randstorm มีต้นต่อมาจากการใช้ฟังก์ชัน SecureRandom() ของแพ็คเกจในไลบรารี JSBN javascript พร้อมกับช่องโหว่ด้านการเข้ารหัสที่เกิดขึ้น ในการดำเนินการฟังก์ชัน Math.random() ของเว็บเบราว์เซอร์ ทำให้สามารถสร้าง Math.random() function ได้ โดย BitcoinJS ยกเลิกการใช้ JSBN ในเดือนมีนาคม 2014

    ดังนั้นปัญหานี้ อาจนำไปสู่การทำ brute-force attacks และกู้คืน private keys ของ wallet ที่สร้างขึ้นด้วยไลบรารี BitcoinJS ซึ่ง wallet ที่ง่ายที่สุดในการ crack คือ wallet ที่สร้างขึ้นก่อนเดือนมีนาคม 2012

การค้นพบครั้งนี้ทำให้เปิดเผยข้อมูลใหม่เกี่ยวกับพฤติกรรมของ open-source dependencies และวิธีการที่ช่องโหว่ในไลบรารีพื้นฐานเหล่านี้สามารถส่งผลกระทบต่อความเสี่ยงด้าน cascading supply chain ได้ เหมือนกับที่ได้เปิดเผยไว้ก่อนหน้านี้ในกรณีของ Apache Log4j ในช่วงปลายปี 2021

    Unciphered ระบุว่า ช่องโหว่นี้ถูกนำมาใส่ใน Wallet ที่สร้างด้วยซอฟต์แวร์อยู่แล้ว และจะอยู่ตลอดไปจนกว่าจะย้ายเงินไปยัง wallet ใหม่ที่สร้างขึ้นด้วยซอฟต์แวร์ตัวใหม่

Ref: thehackernews

Discord.io ยืนยันหลังถูกผู้ไม่ประสงค์ดีขโมยข้อมูลของผู้ใช้งานประมาณ 760,000 คน

    การ invite ของ Discord.io ได้ถูกปิดลงชั่วคารวหลังจากพบปัญหาการถูกผู้ไม่ประสงค์ดีขโมยข้อมูลออกไปประมาณ 760,000 ราย

    Discord.io ไม่ใช่ตัวหลักของ Discord แต่เป็นบริการที่บุคคลที่สาม สามารถอนุญาตให้ เจ้าของช่องสร้างคำเชิญที่กำหนดเอง ไปยังช่องของตนเอง และบริการส่วนใหญ่สร้างขึ้นจากไซต์หลักของ Discord โดยมีสมาชิกมากกว่า 14,000 คน

    เมื่อวันที่ 15/06/23 ได้มีการโพสขายข้อมูลบนตลาดมืด (Raidforum) เปลี่ยนชื่อเป็น Breached ซึ่งมีไว้สำหรับขายข้อมูลที่รั่วไหล

    ตามข้อมูลที่ผู้ไม่ประสงค์ดี ได้ทำการโพสขายข้อมูลของผู้ใช้งานถึง 760,000 ราย ประกอบไปด้วยข้อมูล ดังนี้

    ข้อมูลที่เป็นข้อมูลละเอียดอ่อนที่สุดในชุดของข้อมูลที่หลุดออกไปคือ ชื่อผู้ใช้ของสมาชิก ที่อยู่อีเมล ที่อยู่สำหรับการเรียกเก็บเงิน(เป็นส่วนน้อย) รหัสผ่านที่เข้ารหัสและแฮช (เป็นส่วนน้อย) และ Discord ID การรั่วไหลของข้อมูลนี้ทำให้คคลอื่นอาจเชื่อมโยงบัญชี Discord ของคุณกับที่อยู่อีเมลที่ระบุได้

    Discord.io ได้ยืนยันการรั่วไหลและเริ่มแจ้งเตือนไปในประกาศและไปยังเซิร์ฟเวอร์และเว็บไซต์ Discord และได้เริ่มปิดบริการชั่วคราวเพื่อแก้ไขเหตุการณ์ดังกล่าว

"Discord.io has suffered a data breach. We are stopping all operations for the foreseeable future,"

สำหรับผู้ใช้งาน Discord.io ต้องทำอย่างไร

  ผู้ไม่ประสงค์ดียังคงไม่ได้ขายข้อมูลให้กับใคร แต่ให้ผู้ใช้งานค่อยระวังและดูแลข้อมูลของตนเอง หากคุณเป็นสมาชิกของ Discord.io คุณควรระวังอีเมลผิดปกติที่มีลิงก์ไปยังหน้าที่ขอให้คุณป้อนรหัสผ่านหรือข้อมูลอื่น ๆ สามารถหาข้อมูลเพิ่มเติมได้ที่ discord

Ref : bleepingcomputer.

Microsoft แจ้งเตือนถึง USER ในการถูกผู้ไม่ประสงค์ดีขโมยข้อมูลแบบ Credential Stealing Attacks

    ทาง Microsoft ได้ออกมาเปิดเผยยอดของการโจมตีแบบ Credential Stealing Attacks ที่สูงมากขึ้น จากกลุ่มผู้ไม่ประสงค์ดีชาวรัสเซียโดยมีชื่อกลุ่มว่า Midnight Blizzard

    โดยที่การโจมตีอาศัยการใช้งาน IP Address แบบ Public ในการโจมตีแต่ละครั้งทำให้ทีมของผู้ตรวจสอบไม่สามารถระบุได้ว่าผู้ไม่ประสงค์ดีโจมตีจากจุดไหน โดยการโจมตีจะกำหนดเป้าหมาย เป็นกลุ่มของ กระทรวงการต่างประเทศ และ หน่วยงานทางการฑูต โดยที่กลุ่มนี้ มีอีกชื่อหนึ่งว่า APT29 ซึ่งเป็นกลุ่มที่ถูกกล่าวว่าน่ากลัวที่สุดใน กลุ่มของ ผู้ไม่ประสงค์ดีอีกหลาย ๆ กลุ่ม

    การโจมตี อาศัยช่องโหว่ของ การใช้งาน E-mail ที่มี File แนบโดยที่มีเลข  CVE-2020-12641 , CVE-2020-35730และCVE-2021-44026

    และเมื่อทำการโจมตีสำเร็จทำให้ผู้ไม่ประสงค์ดีสามารถเปลี่ยนเส้นทางอีเมล์ขาเข้าของเป้าหมายไปยังที่อยู่ภายใต้การควบคุมของทางผู้ไม่ประสงค์ดีแทน ทาง Microsoft ยังกล่าวอีกว่า การโจมตีรูปแบบนี้ยังเกี่ยวข้องกับการโจมตีแบบ Zero-Day ใน MS outlook CVE-2023-23397 ที่ Microsoft เป็นการโจมตีแบบกำหนดเป้าหมาย ทำให้ทาง Microsoft ได้รู้ถึงความพยายามของผู้ไม่ประสงค์ดีในการโจมตีที่มีความเกี่ยวข้องกับความขัดแย้งของระหว่างประเทศ ที่หันมาใช้การโจมตีทางไซเบอร์ที่แพร่ไปทั่วโลก

Ref : thehackernews