Threat Actor คืออะไร — กลุ่มผู้โจมตีไซเบอร์ที่องค์กรไทยต้องรู้จัก
การเข้าใจ Threat Actor ช่วยให้องค์กรเลือกสถานการณ์เสี่ยงและมาตรการป้องกันได้ตรงบริบท แต่ไม่ควรเท่ากับการคาดเดาสัญชาติหรือจัดอันดับกลุ่มโจมตีจากข่าวเพียงไม่กี่เหตุการณ์ บทความนี้แยกประเภทเพื่อใช้วางแผน พร้อมกรณี APT41 ที่ FBI ระบุถึงเป้าหมายในไทยและประเทศ ASEAN บางแห่ง โดยคงสถานะข้อมูลว่าเป็นข้อกล่าวหาตามแหล่งต้นฉบับ.[14]
Threat Actor คืออะไร?
ในบทความนี้ Threat Actor หมายถึงบุคคล กลุ่ม หรือองค์กรที่มีส่วนก่อภัยต่อระบบและข้อมูล การพิจารณาควรรวมแรงจูงใจ ความสามารถ สิทธิ์ที่เข้าถึง และโอกาสก่อเหตุ ไม่ใช่มองเฉพาะชื่อกลุ่ม
ส่วน Insider Threat มีขอบเขตกว้างกว่าผู้โจมตีที่เจตนาร้าย CISA รวมทั้งการใช้สิทธิ์หรือความรู้ภายในองค์กรจนก่อความเสียหายโดยตั้งใจและไม่ตั้งใจ จึงต้องแยกการทุจริตออกจากความผิดพลาดหรือความประมาทในการวิเคราะห์.[15]
4 กลุ่มสำหรับทำความเข้าใจแรงจูงใจ
การแบ่งต่อไปนี้เป็นกรอบอธิบาย ไม่ใช่หมวดที่แยกขาดจากกันเสมอ กลุ่มเดียวอาจมีหลายแรงจูงใจ และชื่อ APT ไม่ใช่หลักฐานว่าทุกกิจกรรมของกลุ่มได้รับคำสั่งจากรัฐ
1. Nation-State / กลุ่มที่เกี่ยวข้องกับรัฐ
แรงจูงใจที่ควรพิจารณา: จารกรรม ข้อมูลเชิงยุทธศาสตร์ การรบกวนบริการ หรืออิทธิพลทางการเมือง
การประเมินกลุ่มลักษณะนี้ไม่ควรสมมติว่าต้องใช้ Zero-day ทุกครั้ง หรือไม่มีเป้าหมายทางการเงินเลย ควรดูหลักฐานรายแคมเปญ เช่น ประเภทข้อมูลที่ถูกเข้าถึง ระยะเวลาที่พบกิจกรรม และพฤติกรรมที่สอดคล้องกันหลายแหล่ง
คำถามสำหรับองค์กร: มีข้อมูลหรือบริการใดที่มีคุณค่าเชิงยุทธศาสตร์ ใครเข้าถึงได้ และจะตรวจพบการใช้งานผิดปกติได้อย่างไร
2. Cybercriminal — อาชญากรไซเบอร์
แรงจูงใจหลักในกรอบนี้: ผลประโยชน์ทางการเงิน เช่น การฉ้อโกง การเรียกค่าไถ่ หรือการนำข้อมูลไปขาย
ไม่ควรใช้ชื่อกลุ่ม Ransomware ที่ปรากฏในข่าวเพื่อสรุปว่าเป็นกลุ่มที่โจมตีไทยมากที่สุด กรณี APT41 ของ FBI ยังแสดงให้เห็นว่าข้อกล่าวหาเกี่ยวกับกลุ่มหนึ่งอาจครอบคลุมทั้งการบุกรุกหลายอุตสาหกรรมและการใช้ Ransomware เรียกเงิน จึงไม่ควรแบ่งแรงจูงใจแบบตายตัว.[14]
คำถามสำหรับองค์กร: บริการใดหยุดไม่ได้ ระบบสำรองกู้คืนได้จริงหรือไม่ และการเปลี่ยนข้อมูลรับชำระเงินมีการตรวจยืนยันแยกช่องทางหรือไม่
3. Hacktivist — ผู้ก่อภัยเพื่ออุดมการณ์
แรงจูงใจในกรอบนี้: จุดยืนทางการเมือง สังคม หรือศาสนา
สถานการณ์ที่ควรเตรียมรับมือ ได้แก่ การทำให้เว็บไซต์ใช้งานไม่ได้ การเปลี่ยนเนื้อหาบนเว็บไซต์ หรือการเผยแพร่ข้อมูลเพื่อสร้างแรงกดดัน คำกล่าวอ้างความรับผิดชอบบน Social Media ไม่ควรถูกนับเป็นเหตุยืนยันโดยไม่มีหลักฐานตรวจสอบ
คำถามสำหรับองค์กร: มีแผนรักษาความต่อเนื่องของช่องทางสื่อสารและยืนยันข้อเท็จจริงต่อสาธารณะอย่างไร
4. Insider Threat — ภัยจากผู้มีสิทธิ์หรือความรู้ภายใน
CISA อธิบายว่า Insider อาจเป็นผู้ที่มีหรือเคยมีสิทธิ์เข้าถึงหรือความรู้เกี่ยวกับทรัพยากรองค์กร และแยกทั้ง Intentional, Unintentional, การร่วมมือกับบุคคลภายนอก และความเสี่ยงจาก Third Party ที่ได้รับสิทธิ์เข้าถึง.[15]
ตัวอย่างที่ CISA ยก ได้แก่ ส่งเอกสารสำคัญผิดผู้รับ คลิกลิงก์ใน Phishing โดยไม่ตั้งใจ ละเลยการอัปเดต และนำข้อมูลไปเปิดเผยเพื่อประโยชน์ส่วนตน ไม่ควรนำเหตุเหล่านี้ทั้งหมดไปเรียกว่า “พนักงานโจมตีองค์กร” หรืออ้างสัดส่วนข้อมูลรั่วไหลโดยไม่มีชุดข้อมูลและนิยามประกอบ.[15]
คำถามสำหรับองค์กร: มีการทบทวนสิทธิ์ กระบวนการเมื่อพนักงานย้ายงาน/ออกงาน และช่องทางรายงานความผิดพลาดที่ช่วยให้ตอบสนองได้รวดเร็วหรือไม่
กรณี APT41: หลักฐานเชื่อมโยงกับไทยและ ASEAN
หน้า APT 41 GROUP ของ FBI ระบุชื่อกลุ่ม APT41 / BARIUM และข้อกล่าวหาต่อผู้ถูกระบุชื่อในคดีปี 2019 และ 2020 ไม่ใช่รายงานจัดอันดับภัยคุกคามประเทศไทยในปัจจุบัน.[14]
| ประเด็น | สิ่งที่ต้นฉบับ FBI ระบุ | ข้อจำกัดในการตีความ |
|---|---|---|
| กลุ่ม | ระบุว่าเป็น Chinese hacking group ที่รู้จักในชื่อ APT41 และ BARIUM.[14] | ไม่อนุมานว่าสัญชาติพิสูจน์การสั่งการของรัฐในทุกกิจกรรม |
| เป้าหมายโทรคมนาคม | ระบุผู้ให้บริการในหลายประเทศ รวมถึง Indonesia, Malaysia, Singapore และ Thailand.[14] | ไม่ใช่หลักฐานว่าโจมตีทุกประเทศใน ASEAN หรือทุกองค์กรในไทย |
| อุตสาหกรรม | ข้อกล่าวหาครอบคลุม Social Media, Telecommunications, Government, Defense, Education และ Manufacturing.[14] | รายการนี้เป็นขอบเขตคดีระดับโลก ไม่ใช่การแจกแจงผู้เสียหายไทย |
| Supply Chain | กล่าวหาว่ามีการโจมตี Supply Chain เพื่อเข้าถึงเครือข่ายหลายแห่ง.[14] | ไม่ได้บอกว่าเหตุทั้งหมดใช้ช่องทางเดียวกัน |
| Ransomware | กล่าวหาว่ามีการใช้ Ransomware และเรียกร้องเงินจากผู้เสียหาย.[14] | ไม่ใช่ตัวเลขความถี่ Ransomware หรือส่วนแบ่งกลุ่มโจมตีในไทย |
ข้อกล่าวหาไม่เท่ากับคำพิพากษา และการที่รายงานระบุประเทศเป้าหมาย ไม่ได้ทำให้ทราบจำนวนเหตุ ความสำเร็จของการโจมตี หรืออันดับกลุ่มในประเทศนั้นโดยอัตโนมัติ
ทำไมไม่จัดอันดับ APT ที่โจมตีไทยมากที่สุด?
การจัดอันดับต้องมีช่วงเวลา นิยามเหตุการณ์ วิธีระบุกลุ่ม และขอบเขตการมองเห็นข้อมูลที่เปรียบเทียบกันได้ เช่น ต้องแยก:
- ความพยายามโจมตี ออกจาก การเข้าถึงสำเร็จ
- แคมเปญ ออกจาก จำนวนองค์กรผู้เสียหาย
- รายชื่อบนเว็บไซต์เรียกค่าไถ่ ออกจาก เหตุที่ตรวจยืนยันแล้ว
- กลุ่มที่รายงานหนึ่งติดตามพบ ออกจาก ภัยทั้งหมดของประเทศ
บทความนี้จึงใช้กรณีที่มีต้นฉบับตรวจสอบได้ แทนการจัดอันดับกลุ่มจีน รัสเซีย หรือเกาหลีเหนือโดยไม่มีวิธีนับที่ชัดเจน
สถานการณ์ที่องค์กรไทยควรนำไปประเมิน
ตัวอย่างต่อไปนี้เป็นข้อเสนอสำหรับวางแผนป้องกัน ไม่ใช่สถิติความถี่ของภัยในประเทศไทย
1. Phishing และการสวมรอย
เตรียมรับมือข้อความที่แอบอ้างคู่ค้า ธนาคาร หรือหน่วยงานที่องค์กรติดต่อด้วย โดยเฉพาะคำขอเปลี่ยนบัญชีรับเงินหรือเปิดเผยข้อมูลยืนยันตัวตน ควรมีการยืนยันแยกช่องทาง การรายงานข้อความน่าสงสัย และการควบคุมบัญชีตามความเสี่ยง
2. ความเสี่ยง Supply Chain
ข้อกล่าวหา APT41 ของ FBI มีประเด็น Supply Chain จึงเป็นกรณีที่นำมาใช้ตั้งคำถามเรื่องสิทธิ์ของ Vendor และระบบซอฟต์แวร์ที่องค์กรพึ่งพาได้ ไม่ใช่หลักฐานว่า IT Sector เป็นเป้าหมายอันดับหนึ่งในไทย.[14]
ข้อเสนอคือทำรายการบริการสำคัญของคู่ค้า กำหนดสิทธิ์และระยะเวลาเข้าถึง ติดตามการเปลี่ยนแปลง และระบุผู้รับผิดชอบเมื่อคู่ค้าแจ้งเหตุ
3. Web Application และ API
ควรประเมินบริการที่เปิดสู่อินเทอร์เน็ตตามความสำคัญของข้อมูล การตรวจสิทธิ์ และสถานะการอัปเดต ไม่จำเป็นต้องรอข้อสรุปว่า Web Application เป็นเทคโนโลยีที่ถูกโจมตีมากที่สุดจึงเริ่มป้องกัน
4. Ransomware และความต่อเนื่องทางธุรกิจ
ควรกำหนดลำดับกู้คืนบริการ ทดสอบข้อมูลสำรอง แยกสิทธิ์ดูแล Backup และซ้อมการตัดสินใจเมื่อระบบหลักใช้งานไม่ได้ พร้อมพิจารณาความเสี่ยงข้อมูลรั่วไหลแยกจากการเข้ารหัสไฟล์
อ่านสถิติภัยคุกคามอย่างไรไม่ให้คลาดเคลื่อน
ก่อนใช้ตัวเลขของ สกมช. หรือผู้ให้บริการ Threat Intelligence ควรตรวจอย่างน้อย:
- ช่วงเวลา — ปีปฏิทิน ปีงบประมาณ หรือเฉพาะเดือนใด
- หน่วยนับและฐานรวม — เหตุที่ได้รับแจ้ง ผู้เสียหาย Alert หรือรายการเผยแพร่บนเว็บไซต์
- ขอบเขต — ทั้งประเทศ เฉพาะลูกค้า หรือเฉพาะหน่วยงานที่รายงาน
- นิยามภาคส่วน — หน่วยงานรัฐ การศึกษา สาธารณสุข หรือโครงสร้างพื้นฐานจัดรวมกันหรือแยกกัน
- ข้อจำกัด — เหตุซ้ำ ข้อมูลไม่ครบ และระดับความมั่นใจในการระบุกลุ่ม
หากไม่มีต้นฉบับพร้อมฐานคำนวณ ไม่ควรระบุสัดส่วนเหตุของหน่วยงานรัฐ หรืออธิบายสาเหตุจากงบประมาณและระบบเก่าโดยไม่มีหลักฐานเฉพาะ การไม่มีสถิติที่เปรียบเทียบได้ไม่ได้หมายความว่าไม่มีความเสี่ยง
วิธีป้องกัน: จากข้อมูลสู่การปฏิบัติ
1. Threat Intelligence ที่เชื่อมกับระบบจริง
- จัดเก็บแหล่งข้อมูล วันเผยแพร่ ช่วงเวลาที่พบกิจกรรม และระดับความเชื่อมั่น
- แยกข้อเท็จจริง ข้อกล่าวหา และข้อสันนิษฐานในรายงาน
- ตรวจว่าประเภทบริการและพฤติกรรมที่รายงานเกี่ยวข้องกับองค์กรก่อนปรับ Control
- ใช้ IOC ร่วมกับบริบทและวันหมดอายุ ไม่บล็อกทุกค่าที่พบโดยไม่ประเมินผลกระทบ
2. การประเมิน Detection และ Response
- กำหนดเป้าหมายตรวจสอบจากความเสี่ยงขององค์กร ไม่ใช่เลือกชื่อ APT ที่เป็นข่าวเท่านั้น
- ใช้การทบทวน Log และการจำลองสถานการณ์ในขอบเขตที่อนุญาตเพื่อประเมินการแจ้งเตือน
- กำหนดผู้อนุมัติ ขอบเขต และเงื่อนไขหยุดก่อนจัด Red Team Exercise
3. Monitoring ตามความเสี่ยง
- กำหนดเวลาครอบคลุมและการ Escalate ให้สอดคล้องกับบริการสำคัญ ไม่สมมติว่าทุกองค์กรต้องมี SOC รูปแบบเดียวกัน
- ตรวจว่าระบบ Identity, Endpoint และบริการสำคัญส่ง Log ที่จำเป็นจริง
- ทบทวน False Positive, ช่องว่างการมองเห็น และเวลาตอบสนอง
4. Tabletop Exercise
- ซ้อมการตัดสินใจเมื่อข้อมูลรั่วไหล ระบบหยุดทำงาน หรือ Vendor แจ้งเหตุ
- ทดสอบหน้าที่ผู้บริหาร ฝ่ายเทคนิค กฎหมาย และผู้สื่อสารกับลูกค้า
- บันทึกสิ่งที่ต้องแก้ ผู้รับผิดชอบ และวันทบทวน
5. Supply Chain และ Insider Risk
- ทบทวนสิทธิ์ของพนักงานและ Third Party ตามงานและระยะเวลาที่จำเป็น
- ระบุข้อกำหนดการแจ้งเหตุและความปลอดภัยในข้อตกลงกับคู่ค้า
- ใช้ข้อมูลส่วนประกอบซอฟต์แวร์ เช่น SBOM ประกอบการประเมิน โดยไม่ถือว่าเป็นหลักฐานว่าซอฟต์แวร์ปลอดภัย
สรุป
การรู้ชื่อ Threat Actor เป็นจุดเริ่มต้น แต่การป้องกันต้องใช้หลักฐานที่ตรวจสอบได้และเกี่ยวข้องกับองค์กร กรณี APT41 แสดงตัวอย่างข้อมูลต้นฉบับที่กล่าวถึงไทยและประเทศเพื่อนบ้าน ขณะที่กรอบ Insider Threat ของ CISA ช่วยไม่ให้มองข้ามความเสี่ยงจากสิทธิ์ภายใน.[14][15] ควรนำข้อมูลไปปรับการควบคุมและซ้อมรับมือ ไม่ใช้สถิติที่ไม่ทราบฐานหรือการระบุสัญชาติแทนการวิเคราะห์ความเสี่ยง
Sources
[14] APT 41 GROUP