ในฐานะทั้งผู้โดยสาร Qantas Frequent Flyer และผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ประจำซิดนีย์ ผมรู้สึกได้ถึงผลกระทบจากการโจมตีของสายการบินในเดือนมิถุนายน 2025 เป็นการส่วนตัว การโจมตีครั้งนี้เป็นผลมาจากการโจมตีที่เข้าถึงแพลตฟอร์มบริการลูกค้าบุคคลที่สามซึ่งดำเนินการโดยศูนย์บริการลูกค้าในต่างประเทศ และเปิดเผยข้อมูลส่วนบุคคลของลูกค้าประมาณ 5.7 ล้านคน ตนเอง ที่รวมอยู่ แม้ว่าการละเมิดจะไม่ได้ก่อให้เกิดความสูญเสียทางการเงินโดยตรง แต่ก็เพิ่มความเสี่ยงในการโจมตีรองโดยใช้ข้อมูลส่วนบุคคลที่รั่วไหลอย่างมาก
การละเมิดไม่แสดงสัญญาณของ ransomware หรือบรรทุกสินค้าที่ซับซ้อน แต่กลับมีคุณลักษณะเด่นของ แมงมุมกระจัดกระจายกลุ่มคุกคามที่อาศัยกลวิธีทางสังคม การละเมิดข้อมูลประจำตัวที่ถูกต้อง และ การเคลื่อนไหวด้านข้าง ผ่านทางโปรโตคอลที่หลีกเลี่ยงการควบคุมความปลอดภัยแบบดั้งเดิม
เหตุการณ์นี้เป็นอีกหนึ่งข้อพิสูจน์ว่า การระบุตัวตนกลายเป็นหนึ่งในช่องทางการโจมตีหลักโดยเฉพาะอย่างยิ่งในสภาพแวดล้อมไอทีแบบไฮบริดที่ครอบงำ วิสาหกิจออสเตรเลียและห่วงโซ่อุปทานของพวกเขา สภาพแวดล้อมเหล่านี้ผสมผสานระบบคลาวด์ ระบบภายในองค์กร และระบบที่ดำเนินการโดยผู้ขาย แต่ขาดการควบคุมข้อมูลประจำตัวแบบรวมศูนย์ ทำให้การตรวจจับและการตอบสนองทำได้ยากขึ้นมาก
ในบล็อกนี้ เราจะอธิบายว่า Scattered Spider คือใคร และเหตุใดออสเตรเลียจึงเป็นเป้าหมายที่เพิ่มมากขึ้น วิธีการที่พวกเขาใช้ และเหตุใดจึงมีประสิทธิภาพมาก รวมถึงขั้นตอนเชิงกลยุทธ์ที่ทีมรักษาความปลอดภัยของออสเตรเลียสามารถดำเนินการเพื่อป้องกันและตอบสนองต่อการโจมตีที่ใช้ข้อมูลประจำตัว
Scattered Spider คือใคร และทำไมพวกเขาถึงเล็งเป้าหมายไปที่ออสเตรเลีย?
Scattered Spider (หรือที่เรียกว่า UNC3944, Scatter Swine, Octo Tempest, Starfraud, Muddled Libra) เป็นกลุ่มอาชญากรทางไซเบอร์ที่มีแรงจูงใจทางการเงิน โดยมุ่งเน้นไปที่การระบุตัวตนเป็นช่องทางการโจมตีหลัก
มีการใช้งานมาตั้งแต่ปี 2022 เป็นอย่างน้อย ตามรายงาน ประกอบด้วยคนหนุ่มสาวเจ้าของภาษาอังกฤษจากสหรัฐอเมริกาและสหราชอาณาจักรเป็นหลักกลุ่ม Scattered Spider แทบจะไม่เคยใช้มัลแวร์หรือแรนซัมแวร์เลย และมุ่งเป้าไปที่ภาคส่วนที่ได้รับการป้องกันมากที่สุด เช่น บริการทางการเงินและเกม ชุดเครื่องมือของพวกเขามักไม่ได้อาศัยโค้ด แต่อาศัยกลวิธีสร้างความมั่นใจ ช่องโหว่ของโปรโตคอล และสมมติฐานพื้นฐานเกี่ยวกับความน่าเชื่อถือของเรา
เทคนิคทั่วไปได้แก่:
- ฟิชชิ่ง, สมิชชิ่ง และวิชชิ่ง: อีเมล/SMS หรือโทรศัพท์ปลอมแปลงโดยแอบอ้างเป็นเจ้าหน้าที่ฝ่ายไอทีหรือฝ่ายช่วยเหลือ เพื่อหลอกเจ้าหน้าที่ให้ข้อมูลส่วนบุคคล ข้อมูลประจำตัว หรือทำการรีเซ็ต MFA
– การแอบอ้างตัวเป็นเจ้าหน้าที่ฝ่ายช่วยเหลือ: มักจะแอบอ้างตัวเป็นเจ้าหน้าที่ฝ่ายไอทีหรือฝ่ายช่วยเหลือภายในเพื่อสั่งให้พนักงานดำเนินกิจกรรมที่ไม่ปลอดภัย เช่น การรันเครื่องมือการเข้าถึงระยะไกลหรือแชร์ MFA ได้ทุกที่ รหัส
- MFA ความเหนื่อยล้า: สแปมผู้ใช้ด้วยการแจ้งเตือนแบบพุชจนกว่าพวกเขาจะคลิก "อนุมัติ"
– การสลับซิม: การแฮ็กหมายเลขโทรศัพท์เพื่อรับรหัส MFA
– การใช้ชีวิตอยู่กับผืนดิน: การใช้ PowerShell PsExecและ RDP หรือยูทิลิตี้การเข้าถึงระยะไกลเชิงพาณิชย์ (เช่น TeamViewer, Ngrok, ScreenConnect, Fleetdeck เป็นต้น) เครื่องมือที่มีอยู่แล้วภายในองค์กรทุกแห่งเพื่อเคลื่อนที่ในแนวนอนและหลีกเลี่ยงการตรวจจับ
- ไฮเปอร์ไวเซอร์ที่ก่อให้เกิดการประนีประนอม: เมื่อไม่นานมานี้ การโจมตีได้ทวีความรุนแรงมากขึ้น Active Directory ประนีประนอมกับ กำหนดเป้าหมายและจัดการโครงสร้างพื้นฐาน VMware ESXi โดยตรงช่วยให้ผู้โจมตีสามารถหลีกเลี่ยงการควบคุมบางอย่าง เช่น การป้องกันปลายทางได้ทั้งหมด
แม้ว่าในช่วงแรกจะเน้นไปที่คาสิโน บริษัทประกันภัย และผู้ค้าปลีกที่ตั้งอยู่ในสหรัฐอเมริกา แต่ในปี 2024-2025 พวกเขาได้หันเหความสนใจไปที่การบิน โลจิสติกส์ และโครงสร้างพื้นฐานในออสเตรเลียอย่างมาก
ทำไมต้องออสเตรเลีย?
1. ไฮบริดแบบแพร่หลายและแบบกระจัดกระจาย โครงสร้างพื้นฐานด้านข้อมูลประจำตัว
วิสาหกิจของออสเตรเลียส่วนใหญ่มักอาศัยการผสมผสานระหว่างแบบออนพรีมิส Active Directoryผู้ให้บริการข้อมูลประจำตัวบนคลาวด์ (เช่น Entra ID, Okta), แพลตฟอร์ม SSO และเครื่องมือ PAM แม้ว่าแต่ละแพลตฟอร์มจะรักษาความปลอดภัยให้กับสภาพแวดล้อมบางส่วน แต่บ่อยครั้งที่เครื่องมือเหล่านี้ทำงานแบบแยกส่วน ทำให้เกิดช่องว่างในการมองเห็นและการบังคับใช้การควบคุมที่ไม่สมบูรณ์ สิ่งนี้สร้างเงื่อนไขที่เหมาะสมที่สุดสำหรับผู้โจมตีที่ใช้ข้อมูลประจำตัวเพื่อหลบเลี่ยงช่องโหว่
2. ระบบนิเวศทางอัตลักษณ์และไอทีที่ซับซ้อนและหลากหลาย
โดยทั่วไปแล้ว วิสาหกิจของออสเตรเลียมักเป็นผู้ริเริ่มใช้เทคโนโลยี และได้ผ่านการเปลี่ยนแปลงทางดิจิทัลและการเอาท์ซอร์สที่ช่วยเพิ่มผลผลิตมาแล้วหลายครั้ง เมื่อเวลาผ่านไป สิ่งนี้นำไปสู่ระบบนิเวศที่เชื่อมโยงกันอย่างมากระหว่างผู้ขาย พันธมิตร และผู้รับเหมาจากภายนอก ซึ่งแต่ละรายจำเป็นต้องเข้าถึงส่วนต่างๆ ขององค์กร ผลลัพธ์ที่ได้คือภูมิทัศน์ด้านอัตลักษณ์ที่แผ่กว้าง พร้อมจุดเชื่อมต่อที่มีศักยภาพมากมายที่ต้องรักษาความปลอดภัย
3. ข้อมูลลูกค้าที่มีมูลค่าสูงในถังดินปืนด้านกฎระเบียบและชื่อเสียง
วิสาหกิจของออสเตรเลียดำเนินงานภายใต้กฎระเบียบด้านความเป็นส่วนตัวและความปลอดภัยทางไซเบอร์ที่เข้มงวดมากขึ้น รวมถึง โครงการแจ้งการละเมิดข้อมูล และภาระหน้าที่ด้านโครงสร้างพื้นฐานที่สำคัญที่เปลี่ยนแปลงไป ขณะเดียวกัน หน่วยงานเหล่านี้ยังจัดเก็บข้อมูลส่วนบุคคลมูลค่าสูงจำนวนมหาศาล เช่น ข้อมูลทางการเงิน ข้อมูลสุขภาพ และบันทึกข้อมูลประจำตัว ซึ่งเป็นเป้าหมายที่ทำกำไรได้สูงสำหรับการกรรโชกทรัพย์ การขายต่อ หรือการปลอมแปลง แรงกดดันสองประการนี้ทำให้การละเมิดสร้างความเสียหายมากขึ้น และการตอบสนองมีความเร่งด่วนมากขึ้น ส่งผลให้การโจมตีโดยใช้ข้อมูลประจำตัวมีผลกระทบรุนแรงยิ่งขึ้น
วิธีป้องกันภัยคุกคามต่อตัวตนก่อนที่จะเกิดขึ้น
1. เสริมสร้างความแข็งแกร่งให้กับแผนกช่วยเหลือ แต่ไม่ต้องพึ่งพามันมากเกินไป
ปัญหา: Scattered Spider มักจะเข้าถึงเบื้องต้นผ่านกลวิธีทางสังคม โดยมุ่งเป้าไปที่มนุษย์จริงๆ โดยเฉพาะ มีประสิทธิภาพในสภาพแวดล้อมแผนกช่วยเหลือซึ่งพนักงานอยู่ภายใต้แรงกดดันในการแก้ไขปัญหาอย่างรวดเร็ว และรักษาความพึงพอใจของลูกค้าให้อยู่ในระดับสูง การโจมตีเหล่านี้ใช้ประโยชน์จากความไว้วางใจและการตัดสินใจของมนุษย์ ทำให้ยากต่อการป้องกันอย่างต่อเนื่อง
วิธีการแก้: ควรเสริมสร้างขั้นตอนบริการช่วยเหลือและทบทวนอย่างสม่ำเสมอ แต่การควบคุมต้องครอบคลุมมากกว่าการเข้าถึงเบื้องต้น ผู้โจมตีอย่าง Scattered Spider ใช้ประโยชน์จากโมเดลความน่าเชื่อถือแบบเดิมที่ถือว่าทุกสิ่งภายในขอบเขตนั้นถูกต้องตามกฎหมาย การแบ่งส่วนข้อมูลในเลเยอร์อัตลักษณ์ โดยเฉพาะอย่างยิ่งใน Active Directoryมีความสำคัญอย่างยิ่งต่อการชะลอการโจมตีของผู้โจมตีและจำกัดรัศมีการโจมตี ควรบล็อกข้อมูลประจำตัวที่มีสิทธิพิเศษไม่ให้เข้าถึงสภาพแวดล้อมที่ไม่มีสิทธิพิเศษ (และในทางกลับกัน) และซัพพลายเออร์บุคคลที่สามควรเข้าถึงเฉพาะสิ่งที่พวกเขาต้องการเท่านั้น รูปแบบการแบ่งระดับชั้นสามารถแยกข้อมูลประจำตัวและระบบตามความสำคัญทางธุรกิจและความเสี่ยงได้มากขึ้น
2. ปิดช่องว่าง MFA ในโปรโตคอลเดิม
ปัญหา: โปรโตคอลเช่น NTLM, LDAP และ SMB ไม่รองรับ MFA โดยตรง และผู้โจมตีก็รู้ดี ช่องโหว่เหล่านี้มักถูกใช้ประโยชน์เพื่อหลบเลี่ยงการควบคุมการเข้าถึงสมัยใหม่
วิธีการแก้:ขยายการบังคับใช้ MFA เพื่อครอบคลุมทั้งหมด Active Directory โปรโตคอลต่างๆ รวมถึงโปรโตคอลแบบเดิม เพื่อให้มั่นใจว่าผู้โจมตีไม่สามารถหลีกเลี่ยงการป้องกันได้ แม้ว่าการกำจัดโปรโตคอลที่มีช่องโหว่เหล่านี้ออกไปทั้งหมดอาจทำได้ยาก แต่การจำกัดการใช้งานเฉพาะระบบที่จำเป็นจริงๆ นั้นทั้งได้ผลจริงและเกิดผลกระทบ
3. ใช้งานการป้องกันฟิชชิ่ง การรับรอง วิธีการ (เช่น รหัสผ่านและ FIDO2)
ปัญหา: MFA ที่ใช้ SMS และความเหนื่อยล้าจากการส่งข้อความสามารถหลีกเลี่ยงได้อย่างง่ายดายด้วยการจัดการทางสังคมหรือการสลับซิม
วิธีการแก้: ใช้แนวทางที่ป้องกันฟิชชิ่ง เช่น คีย์ฮาร์ดแวร์ FIDO2 หรือรหัสผ่านแพลตฟอร์มสำหรับผู้ใช้ที่มีสิทธิพิเศษและระบบสำคัญ สิ่งเหล่านี้เป็นหลักฐานการเข้ารหัสเพื่อยืนยันการครอบครอง และไม่สามารถถูกฟิชชิ่งหรือเล่นซ้ำได้
4. ตรวจจับและบล็อกการเคลื่อนไหวด้านข้างแบบเรียลไทม์
ปัญหา: หลังจากการเข้าถึงเบื้องต้น ผู้โจมตีจะ "ใช้ชีวิตนอกสถานที่" โดยใช้ RDP, PowerShell และข้อมูลประจำตัวที่ถูกต้องตามกฎหมาย ซึ่งจะไม่ถูกตรวจพบในสภาพแวดล้อมไฮบริดส่วนใหญ่
วิธีการแก้: ตรวจสอบกระแสการยืนยันตัวตนอย่างต่อเนื่องบนโครงสร้างพื้นฐานการระบุตัวตนภายในสถานที่และบนคลาวด์เพื่อ ระบุรูปแบบการเคลื่อนไหวที่ผิดปกติ ระหว่างระบบและทริกเกอร์ MFA แบบอินไลน์หรือปฏิเสธการเข้าถึงก่อนที่ผู้โจมตีจะเพิ่มสิทธิ์
5. ปกป้อง ตัวตนที่ไม่ใช่มนุษย์
ปัญหา: บัญชีเหล่านี้มักจะมีจำนวนมาก มีสิทธิพิเศษมากมาย มองไม่เห็นในการดำเนินการประจำวัน และมีการรักษาความปลอดภัยไม่เพียงพอ ทำให้เหมาะเป็นช่องทางโจมตีหรือเป้าหมายในการละเมิด
วิธีการแก้: เริ่มต้นด้วยการจัดทำรายการสินค้าคงคลังที่ครอบคลุม ตัวตนที่ไม่ใช่มนุษย์รวมถึงบัญชีบริการ ข้อมูลประจำตัวอัตโนมัติ และการระบุตัวตนของเครื่องจักร ตรวจสอบพฤติกรรมของเครื่องจักรอย่างต่อเนื่องเพื่อหารูปแบบการเข้าถึงที่ผิดปกติ จำกัดการใช้งานเฉพาะเท่าที่จำเป็น และปรับใช้ สิทธิพิเศษน้อยที่สุด สิทธิ์การใช้งาน การดำเนินการนี้ต้องดำเนินการในลักษณะที่เป็นอัตโนมัติ ปรับขนาดได้ และสอดคล้องกับบริบทการปฏิบัติงาน สเปรดชีต การตรวจสอบด้วยตนเอง และการพึ่งพาความรู้จากชุมชนไม่สามารถปรับขนาดได้ในสภาพแวดล้อมองค์กรสมัยใหม่
6. ควบคุมอย่างรวดเร็วโดยไม่หยุดธุรกิจ – ก่อนที่คุณจะรู้ว่าอะไรถูกบุกรุก
ปัญหา: In การโจมตีข้อมูลประจำตัว เช่นเดียวกันกับ Scattered Spider ความล่าช้าในการตอบสนองทำให้ผู้โจมตีสามารถเคลื่อนที่ไปด้านข้าง ปิดการบันทึกข้อมูล หรือเพิ่มสิทธิ์ได้ โดยใช้ข้อมูลประจำตัวที่ถูกต้องทั้งหมด
วิธีการแก้: กำหนดและเตรียมนโยบายการกักกันไว้ล่วงหน้า เพื่อให้สามารถเปิดใช้งานได้ทันทีเพื่อปิดกั้น บัญชีที่ถูกบุกรุก, กระตุ้นการตรวจสอบสิทธิ์ซ้ำ หรือแยกระบบเฉพาะ นโยบายเหล่านี้ควรได้รับการออกแบบโดยคำนึงถึงความยืดหยุ่น โดยจำกัดการเคลื่อนไหวของผู้โจมตีและลดผลกระทบต่อการดำเนินธุรกิจให้น้อยที่สุด การเตรียมพร้อมยังหมายถึงประสิทธิภาพการทำงานจะไม่ได้รับผลกระทบหากเกิดการละเมิด ลองพิจารณาใช้ MFA ที่ต้านทานฟิชชิ่งเป็นตัวกลาง และปรับปรุงความยืดหยุ่นทางไซเบอร์ เพื่อให้ผู้ใช้ที่ได้รับอนุญาตอย่างถูกต้องยังคงทำงานได้อย่างมีประสิทธิภาพและให้บริการ ซึ่งเป็นอุปสรรคต่อความสามารถของผู้โจมตีในการบรรลุวัตถุประสงค์
เมื่อเกิดการละเมิด: การตอบสนองต่อเหตุการณ์ที่เน้นที่ตัวตนเป็นอันดับแรก
แม้จะมีการป้องกันที่ดีที่สุด การประนีประนอมก็ยังคงเกิดขึ้นได้ สิ่งสำคัญที่สุดคือ สิ่งที่คุณทำในช่วงชั่วโมงแรกๆตัวอย่างเช่น การกำหนดให้ต้องมี MFA สำหรับการดำเนินการที่มีความเสี่ยงสูงจะช่วยควบคุมภัยคุกคามได้โดยไม่รบกวนการดำเนินงานหลักของธุรกิจ
นี่คือกรอบการตอบสนองที่ปรับปรุงใหม่ซึ่งสร้างขึ้นสำหรับการละเมิดข้อมูลประจำตัว:
บรรจุ
- บังคับใช้นโยบายปฏิเสธหรือ MFA ทันทีกับผู้ใช้ทั้งหมด
- ระบุบัญชีที่ถูกบุกรุกตามการละเมิด MFA หรือการเข้าถึงที่ผิดปกติ
- แยกเครื่องที่บัญชีที่ได้รับผลกระทบเข้าสู่ระบบ
การฟื้นตัว
- ค่อยๆ เปลี่ยนการปฏิเสธเป็น MFA เพื่อคืนสิทธิ์การเข้าถึง
- การนำบริการที่สำคัญกลับมาใช้ในระยะควบคุม
- รักษาการติดตามบัญชีที่ถูกบุกรุกก่อนหน้านี้ให้เข้มงวดยิ่งขึ้น
ฟื้นฟู
- ติดตามวิธีที่ผู้โจมตีเคลื่อนย้ายระหว่างระบบโดยใช้บันทึกการตรวจสอบสิทธิ์ และระบุจุดอ่อนของข้อมูลประจำตัวที่เฉพาะเจาะจง (เช่น การกำหนดค่าผิดพลาดหรือสิทธิพิเศษที่มากเกินไป) ที่ทำให้สามารถเคลื่อนย้ายดังกล่าวได้
- ใช้ข้อมูลเชิงลึกเหล่านั้นเพื่อเสริมสร้างความแข็งแกร่งในระยะยาว ท่าทีรักษาความปลอดภัยของตัวตน
ความคิดสุดท้าย: ออสเตรเลียสามารถเป็นผู้นำในด้านความยืดหยุ่นของอัตลักษณ์ได้
เหตุการณ์ที่ควอนตัสไม่ได้เกิดขึ้นเพียงครั้งเดียว แต่เป็นการส่งสัญญาณเตือนภัยว่าการโจมตีโดยใช้อัตลักษณ์ เช่นเดียวกับที่ Scattered Spider ใช้ กำลังเกิดขึ้นและกำลังพัฒนาอย่างต่อเนื่อง
ในฐานะพลเมืองท้องถิ่นที่ได้รับผลกระทบจากการระเบิด ผมเชื่อว่าเราสามารถรับมือกับสถานการณ์นี้ได้อย่างเร่งด่วนและมั่นใจ โครงสร้างพื้นฐานด้านอัตลักษณ์แบบไฮบริดและระบบนิเวศไอทีของออสเตรเลียมีความซับซ้อน แต่ด้วยแผนงานที่เหมาะสม ความซับซ้อนดังกล่าวสามารถได้รับการปกป้อง ตรวจสอบ และควบคุมได้
MFA ที่ทนต่อการฟิชชิ่งและนโยบายการเข้าถึงที่กำหนดไว้อย่างชัดเจนในจุดเข้าถึงทั้งหมด รวมถึงโปรโตคอลเก่า การจำกัดการเข้าถึงตามสิทธิ์ขั้นต่ำและความสำคัญทางธุรกิจ และการตอบสนองต่อเหตุการณ์ที่เน้นที่ตัวตนเป็นอันดับแรก สามารถควบคุมภัยคุกคามได้อย่างรวดเร็วในขณะที่ยังคงดำเนินการทางธุรกิจต่อไป
ออสเตรเลียไม่จำเป็นต้องรอให้เกิดการฝ่าฝืนอีกครั้งจึงจะดำเนินการได้ เราเป็นผู้นำได้
หากต้องการเรียนรู้เพิ่มเติมเกี่ยวกับวิธีสร้างคู่มือการตอบสนองต่อเหตุการณ์กับกลุ่มคุกคามเช่น Scattered Spider ฉันขอเชิญคุณ รับชมเว็บสัมมนาตามต้องการ.
