กลุ่มแฮ็กเกอร์ที่เชื่อมโยงกับรัสเซียชื่อ Cl0p ได้ออกมาอ้างความรับผิดชอบต่อ การโจมตีด้วยแรนซัมแวร์ Cl0p ครั้งใหญ่ที่มีรายงานว่าเล่นงานบริษัทชั้นนำหลายรายในอุตสาหกรรมโลก รวมถึง Shell, Philips, GE และบริษัทผู้ให้บริการชำระเงิน Fiserv ตามรายงานที่เผยแพร่เมื่อวันที่ 13 สิงหาคม 2026 กลุ่มนี้ระบุว่าสามารถดึงข้อมูลจากบริษัทเกือบ 50 แห่งทั้งหมด แม้ว่าตัวเลขดังกล่าวจะมาจาก Cl0p เองและยังไม่ได้รับการยืนยันโดยอิสระก็ตาม
Summary
ประเด็นสำคัญ
- Cl0p อ้างว่าได้โจมตี Shell, Philips, GE, Fiserv และรวมแล้วมากถึง 50 บริษัท แม้ว่าจำนวนดังกล่าวจะยังไม่ได้รับการยืนยัน
- กลุ่มนี้ระบุว่าขโมยข้อมูลจาก Shell ไปประมาณ 89GB รวมถึงแบบร่างทางเทคนิค รูปภาพของสถานที่ และแผนโครงการ
- จาก Philips, Cl0p อ้างว่าขโมยข้อมูลไปประมาณ 13.5GB ส่วนใหญ่เป็นไดอะแกรมและแบบพิมพ์เขียว
- นักวิจัยด้านความปลอดภัยเชื่อมโยงการโจมตีครั้งนี้กับช่องโหว่แบบศูนย์วัน (zero-day) ที่ต้องสงสัยใน Oracle E-Business Suite แม้ว่าจะเป็นเพียงรายงาน ยังไม่ได้รับการยืนยัน
- Shell ระบุว่ากำลังสืบสวน “เหตุการณ์ที่อาจเกิดขึ้น” ขณะที่ Philips ยืนยันความพยายามเจาะระบบซึ่งระบุว่าไม่ส่งผลกระทบต่อลูกค้า
การโจมตีไซเบอร์ครั้งใหญ่ของ Cl0p ต่อบรรษัทข้ามชาติรายสำคัญ
แคมเปญล่าสุดของ Cl0p ดูจะมีลักษณะคล้ายกับการปล้นแบบเจาะจงเป้าหมายน้อยลง และคล้ายกับการหว่านแหกว้างไปทั่วโลกองค์กร กลุ่มนี้เป็นที่รู้จักจากแคมเปญขโมยข้อมูลขนาดใหญ่ และครั้งนี้ก็เป็นไปตามรูปแบบที่เริ่มคุ้นเคยอย่างน่ากังวลตั้งแต่การโจมตี MOVEit ในปี 2023 ที่เจาะซอฟต์แวร์ถ่ายโอนไฟล์ MOVEit ทำให้มีองค์กรหลายร้อยแห่งถูกเจาะผ่านช่องโหว่เดียวร่วมกัน
บริษัทเป้าหมายและข้อมูลที่ถูกขโมย
Cl0p ระบุว่าขโมยข้อมูลจาก Shell ไปประมาณ 89GB รวมถึงแบบร่างทางเทคนิค รูปภาพของสถานที่ สแกนรายงานการทดสอบ และแผนโครงการภายใน สำหรับ Philips ปริมาณข้อมูลที่ได้มาน้อยกว่าแต่ก็ยังน่าสนใจ: ประมาณ 13.5GB ซึ่งอธิบายว่าเป็นไดอะแกรมและแบบพิมพ์เขียวเป็นส่วนใหญ่ ชื่ออื่น ๆ ที่ปรากฏในการรายงานเกี่ยวกับแคมเปญนี้รวมถึง GE และ Fiserv แม้ว่าขอบเขตเต็มรูปแบบของสิ่งที่ถูกขโมยไปจากสองบริษัทนั้น (ถ้ามี) จะยังไม่ชัดเจน
วิธีการโจมตีและกลยุทธ์กรรโชก
สิ่งที่ทำให้ Cl0p แตกต่างจากแก๊งแรนซัมแวร์ยุคเก่าคือการไม่ล็อกไฟล์เลย แทนที่จะเข้ารหัสระบบและเรียกค่าไถ่เพื่อปลดล็อก Cl0p ใช้กลยุทธ์กรรโชกจากการขโมยข้อมูล: แอบคัดลอกไฟล์อย่างเงียบ ๆ จากนั้นข่มขู่ว่าจะเผยแพร่บนเว็บไซต์รั่วไหลข้อมูลหากเหยื่อไม่ยอมจ่ายเงิน นี่คือการกรรโชกที่สร้างบนความกลัวการอับอายมากกว่าการหยุดชะงักของการดำเนินงาน และกลยุทธ์นี้พิสูจน์แล้วว่าสร้างรายได้งามให้กับกลุ่มในแคมเปญก่อนหน้า ระหว่างเหตุการณ์ MOVEit เมื่อมีรายงานว่า Shell ปฏิเสธที่จะเจรจา Cl0p ก็เพียงแค่เผยแพร่ข้อมูลที่ขโมยมา เป็นบรรทัดฐานที่ทำให้คำขู่ในปัจจุบันของกลุ่มมีน้ำหนักมากขึ้น
ช่องโหว่ที่ต้องสงสัยใน Oracle E-Business Suite ในฐานะเวกเตอร์การโจมตี
นักวิจัยด้านความปลอดภัยและสื่อหลายแห่งเชื่อมโยงการบุกรุกระลอกนี้กับช่องโหว่แบบศูนย์วันที่ต้องสงสัยใน Oracle E-Business Suite ซึ่งเป็นแพลตฟอร์มองค์กรที่ใช้กันอย่างแพร่หลายที่บริษัทขนาดใหญ่ใช้จัดการด้านการเงิน การจัดซื้อ และการดำเนินงานประจำวัน ความเชื่อมโยงดังกล่าวเป็นเพียงรายงาน ยังไม่ได้รับการยืนยันจากเหยื่อที่ถูกระบุชื่อ และทั้ง Shell และ Philips ยังไม่ได้เปิดเผยต่อสาธารณะว่าระบบของตนถูกเข้าถึงได้อย่างไร
หากความเชื่อมโยงกับ Oracle เป็นจริง ก็จะอธิบายได้ว่าทำไมกลุ่มเดียวจึงสามารถเข้าถึงบริษัทที่ไม่เกี่ยวข้องกันจำนวนมากได้พร้อมกัน แทนที่จะไล่ล่าเป้าหมายรายบริษัท Cl0p น่าจะใช้ประโยชน์จากช่องโหว่เดียวในซอฟต์แวร์ที่บริษัทยักษ์ใหญ่หลายสิบแห่งใช้ร่วมกัน เก็บเกี่ยวข้อมูลจากทุกแห่งในปฏิบัติการกวาดล้างแบบประสานกัน นี่คือเหตุผลเชิงประสิทธิภาพแบบเดียวกับที่ทำให้ช่องโหว่ MOVEit แบบศูนย์วันกลายเป็นทรัพยากรล้ำค่าสำหรับกลุ่มเมื่อสามปีก่อน
การตอบสนองของบริษัทจาก Shell และ Philips
Shell ออกแถลงการณ์อย่างระมัดระวัง โดยระบุว่า “ตระหนักถึงเหตุการณ์ที่อาจเกิดขึ้น” และกำลังสืบสวนอยู่ในขณะนี้ แถลงการณ์ดังกล่าวไม่ได้ยืนยันว่ามีการเจาะระบบเกิดขึ้นหรือไม่ ทำให้ระดับความเสียหายที่แท้จริงของบริษัทยังเป็นคำถามเปิด
Philips ให้ข้อมูลเฉพาะเจาะจงมากกว่าเล็กน้อย บริษัทอธิบายว่าเกิด “ความพยายามโจมตีทางไซเบอร์ต่อเซิร์ฟเวอร์ของบริษัทเครื่องหนึ่งที่มีข้อมูลภายใน” พร้อมเสริมว่าเหตุการณ์ดังกล่าว “ถูกควบคุมไว้แล้ว” และ “ไม่ส่งผลกระทบต่อสภาพแวดล้อมของลูกค้า” ทั้งสองบริษัทยังไม่ได้เปิดเผยว่าการบุกรุกเกิดขึ้นได้อย่างไร หรือยืนยันปริมาณข้อมูลที่ Cl0p อ้างว่าขโมยไป
ผลกระทบของแคมเปญ Cl0p ต่อความปลอดภัยขององค์กร
ทำไมเรื่องนี้จึงสำคัญเกินกว่าบริษัทที่ถูกเอ่ยชื่อจนถึงตอนนี้? เพราะรูปแบบที่เกิดขึ้นชี้ให้เห็นถึงจุดอ่อนเชิงโครงสร้างมากกว่าการเจาะระบบแบบโดดเดี่ยวหลายครั้ง เมื่อโลกองค์กรส่วนใหญ่ใช้ซอฟต์แวร์องค์กรตัวเดียวกัน ช่องโหว่ที่ไม่ได้แพตช์เพียงจุดเดียวอาจกลายเป็นจุดล้มเหลวเดียวสำหรับธุรกิจที่ไม่เกี่ยวข้องกันหลายสิบแห่งพร้อมกัน โดยไม่คำนึงว่าบริษัทแต่ละแห่งลงทุนด้านความปลอดภัยภายในมากเพียงใด
ยังมีเหตุผลให้ต้องระมัดระวังเกี่ยวกับตัวเลขที่ Cl0p เผยแพร่ กลุ่มกรรโชกมีแรงจูงใจชัดเจนในการขยายจำนวนเหยื่อ ทั้งเพื่อกดดันบริษัทที่ถูกเอ่ยชื่อและเพื่อยกระดับสถานะของตนเองในหมู่ผู้กระทำผิดรายอื่น อย่างไรก็ตาม ปริมาณข้อมูลที่อ้างว่าขโมยได้ซึ่งครอบคลุมทั้งบริษัทพลังงานรายใหญ่ ผู้ผลิตอุปกรณ์การแพทย์ กลุ่มอุตสาหกรรม และบริษัทผู้ให้บริการชำระเงิน บ่งชี้ถึงแคมเปญที่สร้างขึ้นรอบการพึ่งพาซอฟต์แวร์ร่วมกัน มากกว่าจุดอ่อนเฉพาะของบริษัทใดบริษัทหนึ่ง นี่คือปัญหาที่ยากกว่าสำหรับทีมรักษาความปลอดภัยในการแก้ไข เพราะขึ้นอยู่กับโค้ดของผู้ให้บริการซอฟต์แวร์ ไม่ใช่การป้องกันของตนเอง
ณ ตอนนี้ การตอบสนองจากบริษัทที่ถูกเอ่ยชื่อยังจำกัดอยู่เพียงการยอมรับสั้น ๆ และการทบทวนภายใน ว่าจะมีเหยื่อรายอื่นออกมาเปิดเผยเพิ่มเติมหรือไม่ หรือ Cl0p จะทำตามคำขู่ในการเผยแพร่ไฟล์ที่ขโมยมาเพียงใด น่าจะเป็นปัจจัยกำหนดว่าภาคเทคโนโลยีในวงกว้างจะให้ความสำคัญกับช่องโหว่ที่ต้องสงสัยใน Oracle E-Business Suite มากเพียงใดในสัปดาห์ต่อ ๆ ไป
คำถามที่พบบ่อย
บริษัทใดบ้างที่ถูกกลุ่มแรนซัมแวร์ Cl0p โจมตีในครั้งล่าสุดนี้?
Cl0p อ้างว่าได้โจมตี Shell, Philips, GE, Fiserv และรวมแล้วเกือบ 50 บริษัท
Cl0p มีรายงานว่าขโมยข้อมูลประเภทใดจาก Shell และ Philips?
มีรายงานว่า Cl0p ขโมยข้อมูลจาก Shell ประมาณ 89GB รวมถึงแบบร่างทางเทคนิค รูปภาพ และรายงานการทดสอบ และจาก Philips ประมาณ 13.5GB ส่วนใหญ่เป็นไดอะแกรมและแบบพิมพ์เขียว
วิธีการกรรโชกด้วยแรนซัมแวร์ของ Cl0p ทำงานอย่างไร?
Cl0p ใช้วิธีกรรโชกจากการขโมยข้อมูล โดยแอบขโมยไฟล์อย่างเงียบ ๆ แล้วข่มขู่ว่าจะเผยแพร่สู่สาธารณะเพื่อกดดันเหยื่อ แทนการล็อกไฟล์ด้วยแรนซัมแวร์แบบดั้งเดิม
Shell และ Philips มีการตอบสนองอย่างเป็นทางการต่อเหตุการณ์นี้อย่างไร?
Shell ระบุว่ากำลังสืบสวนเหตุการณ์ที่อาจเกิดขึ้นโดยไม่ยืนยันว่ามีการเจาะระบบ ขณะที่ Philips อธิบายเหตุการณ์ว่าเป็นความพยายามโจมตีทางไซเบอร์ต่อเซิร์ฟเวอร์ซึ่งถูกควบคุมไว้แล้วและไม่ส่งผลกระทบต่อสภาพแวดล้อมของลูกค้า
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”บริษัทใดบ้างที่ถูกกลุ่มแรนซัมแวร์ Cl0p โจมตีในครั้งล่าสุดนี้?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Cl0p อ้างว่าได้โจมตี Shell, Philips, GE, Fiserv และรวมแล้วเกือบ 50 บริษัท”}},{“@type”:”Question”,”name”:”Cl0p มีรายงานว่าขโมยข้อมูลประเภทใดจาก Shell และ Philips?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”มีรายงานว่า Cl0p ขโมยข้อมูลจาก Shell ประมาณ 89GB รวมถึงแบบร่างทางเทคนิค รูปภาพ และรายงานการทดสอบ และจาก Philips ประมาณ 13.5GB ส่วนใหญ่เป็นไดอะแกรมและแบบพิมพ์เขียว”}},{“@type”:”Question”,”name”:”วิธีการกรรโชกด้วยแรนซัมแวร์ของ Cl0p ทำงานอย่างไร?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Cl0p ใช้วิธีกรรโชกจากการขโมยข้อมูล โดยแอบขโมยไฟล์อย่างเงียบ ๆ แล้วข่มขู่ว่าจะเผยแพร่สู่สาธารณะเพื่อกดดันเหยื่อ แทนการล็อกไฟล์ด้วยแรนซัมแวร์แบบดั้งเดิม”}},{“@type”:”Question”,”name”:”Shell และ Philips มีการตอบสนองอย่างเป็นทางการต่อเหตุการณ์นี้อย่างไร?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Shell ระบุว่ากำลังสืบสวนเหตุการณ์ที่อาจเกิดขึ้นโดยไม่ยืนยันว่ามีการเจาะระบบ ขณะที่ Philips อธิบายเหตุการณ์ว่าเป็นความพยายามโจมตีทางไซเบอร์ต่อเซิร์ฟเวอร์ซึ่งถูกควบคุมไว้แล้วและไม่ส่งผลกระทบต่อสภาพแวดล้อมของลูกค้า”}}]}
บทความนี้จัดทำขึ้นด้วยความช่วยเหลือของปัญญาประดิษฐ์และผ่านการทบทวนโดยทีมบรรณาธิการแล้ว
