การสัมภาษณ์งานปลอมบน LinkedIn ทำให้บริษัทแห่งหนึ่งต้องสูญเสียเงินจำนวน 11.8 ล้านดอลลาร์สหรัฐ หลังจากที่ผู้แอบอ้างเป็นผู้สรรหาบุคลากรหลอกล่อพนักงานในสิงคโปร์ให้ตกหลุมกับดักมัลแวร์ เหตุการณ์มิจฉาชีพสมัครงานคริปโตในสิงคโปร์นี้เกิดขึ้นเป็นลำดับขั้นที่ดูเหมือนเป็นเรื่องปกติในตอนแรก — ข้อความบน LinkedIn วิดีโอคอลไม่กี่ครั้ง แบบทดสอบการเขียนโค้ด — ก่อนจะบานปลายกลายเป็นการเจาะโครงสร้างพื้นฐานขององค์กรอย่างเต็มรูปแบบและการปล้นคริปโตเคอร์เรนซี ตามข้อมูลจากกองกำลังตำรวจสิงคโปร์ (Singapore Police Force) และ สำนักงานความมั่นคงปลอดภัยไซเบอร์แห่งสิงคโปร์ (Cyber Security Agency of Singapore)
Summary
ประเด็นสำคัญ
- เหยื่อถูกติดต่อผ่าน LinkedIn โดยมิจฉาชีพที่แอบอ้างเป็นผู้สรรหาบุคลากรให้บริษัทด้านคริปโต จากนั้นถูกพาเข้าสู่กระบวนการสัมภาษณ์งานปลอม
- โดเมนปลอมและแบบทดสอบเทคนิคที่ถูกดัดแปลงทำให้มัลแวร์ถูกติดตั้งลงบนอุปกรณ์ที่บริษัทออกให้โดยที่เหยื่อไม่รู้ตัว
- มัลแวร์เก็บเกี่ยวโทเคนเซสชัน ทำให้ผู้โจมตีสามารถเลี่ยงการยืนยันตัวตนหลายปัจจัยและเจาะเข้าสู่บัญชีคลังโค้ด Bitbucket ของเหยื่อได้
- จาก Bitbucket ผู้โจมตีแก้ไขคำสั่งดีพลอยซอฟต์แวร์ เจาะเข้าสู่เซิร์ฟเวอร์ภายในของบริษัท และเลี่ยงการควบคุมธุรกรรมเพื่อขโมยคริปโตเคอร์เรนซีมูลค่า 11.8 ล้านดอลลาร์สหรัฐ
- ทางการสิงคโปร์ยังไม่เชื่อมโยงการโจมตีครั้งนี้กับเกาหลีเหนือหรือกลุ่มแฮ็กเกอร์ที่มีชื่อเสียงกลุ่มใด
มิจฉาชีพสมัครงานคริปโตในสิงคโปร์ทำให้สูญเงิน 11.8 ล้านดอลลาร์
การหลอกลวงเริ่มต้นจากข้อความที่ดูเหมือนข้อเสนอรับสมัครงานทั่วไป SPF และ CSA ระบุว่าเหยื่อถูกติดต่อครั้งแรกบน LinkedIn โดยบุคคลที่อ้างว่ากำลังสรรหาบุคลากรให้บริษัทที่เกี่ยวข้องกับคริปโตเคอร์เรนซี ซึ่งเป็นจุดเริ่มต้นของกระบวนการสัมภาษณ์ที่ในที่สุดก็เปิดทางให้บุคคลภายนอกเข้าถึงนายจ้างของเหยื่อเอง
การสัมภาษณ์บน LinkedIn ที่ไม่ใช่ของจริง
เมื่อการสนทนาย้ายออกจาก LinkedIn ผู้สรรหาปลอมก็เปลี่ยนไปใช้การอีเมลผ่านโดเมนปลอมที่สร้างให้คล้ายกับที่อยู่ของบริษัทจริงอย่างมาก จากนั้นเหยื่อต้องเข้าร่วมการสัมภาษณ์หลายครั้งผ่าน Google Meet — โดยสังเกตได้ว่าผู้สัมภาษณ์ปิดกล้องตลอดเวลา เมื่อกระบวนการดำเนินไป เหยื่อถูกพาไปยังเว็บไซต์ปลอมและถูกสั่งให้ทำแบบทดสอบการเขียนโค้ดเชิงเทคนิคบนอุปกรณ์ที่บริษัทออกให้ แบบทดสอบนั้นได้ติดตั้งซอฟต์แวร์อันตรายลงบนเครื่องอย่างเงียบ ๆ และเหยื่อไม่รู้เลยว่าอุปกรณ์ถูกเจาะแล้ว
มัลแวร์เลี่ยง MFA เพื่อเข้าถึง Bitbucket และเซิร์ฟเวอร์ของบริษัท
เมื่อถูกติดตั้งแล้ว มัลแวร์จะเก็บโทเคนเซสชันของเหยื่อ — ข้อมูลชิ้นหนึ่งที่ทำให้ผู้โจมตีเลี่ยงการยืนยันตัวตนหลายปัจจัยได้โดยสิ้นเชิง การเลี่ยงการยืนยันตัวตนหลายปัจจัยนี้เปิดประตูสู่บัญชี Bitbucket ของเหยื่อ ซึ่งเชื่อมโยงโดยตรงกับคลังโค้ดของนายจ้าง เนื่องจาก Bitbucket ถูกใช้กันอย่างแพร่หลายโดยทีมพัฒนาเพื่อเก็บ จัดการ และทำงานร่วมกันบนซอร์สโค้ด บัญชีพนักงานเพียงบัญชีเดียวที่ถูกเจาะและมีสิทธิ์เพียงพออาจเปิดเผยได้มากกว่าตัวอุปกรณ์ของบุคคลนั้นมาก
จากจุดนั้น การบุกรุกก็ยกระดับอย่างรวดเร็ว SPF และ CSA ระบุว่าผู้โจมตีได้แก้ไขคำสั่งดีพลอยซอฟต์แวร์อัตโนมัติของบริษัทหลังจากเจาะเข้าสู่บัญชี Bitbucket จากนั้นใช้จุดยึดดังกล่าวเพื่อเข้าถึงเซิร์ฟเวอร์ภายในของบริษัทจากระยะไกล — เปลี่ยนเหตุการณ์ที่เริ่มจากความพยายาม ฟิชชิงหลอกสมัครงาน ให้กลายเป็นการโจมตีเจาะ Bitbucket โครงสร้างพื้นฐานของบริษัทอย่างเต็มรูปแบบ
หมัดสุดท้ายมาจากข้อมูลรับรองที่ถูกขโมยตลอดเส้นทาง ข้อมูลรับรองเหล่านั้นทำให้ผู้โจมตีเลี่ยงขีดจำกัดธุรกรรมและขั้นตอนการอนุมัติที่ถูกออกแบบมาเพื่อควบคุมการโอนคริปโตเคอร์เรนซี และพวกเขาใช้สิทธิ์เข้าถึงนั้นในการย้ายเงินออกจากบริษัท มูลค่าความเสียหายรวม: ขาดทุน 11.8 ล้านดอลลาร์สหรัฐ ตามการยืนยันของทางการ
รูปแบบเดิมที่คุ้นเคยในอุตสาหกรรมคริปโต
นี่ไม่ใช่เทคนิคที่เกิดขึ้นโดดเดี่ยว การโจมตีที่ใช้ธีมการรับสมัครงานมักอาศัยแพลตฟอร์มที่ผู้คนเชื่อถือ — LinkedIn, Telegram, Google Meet, Slack — เพื่อทำให้การติดต่อครั้งแรกดูน่าเชื่อถือ ก่อนจะผลักเหยื่อไปสู่ไฟล์หรือซอฟต์แวร์อันตราย นี่เองที่ทำให้รูปแบบมิจฉาชีพรับสมัครงานด้านคริปโตเคอร์เรนซีมีประสิทธิภาพมาก: มันใช้ประโยชน์จากความไว้วางใจในเชิงวิชาชีพแทนที่จะโจมตีช่องโหว่ทางเทคนิคในจุดเริ่มต้น
ในเดือนเมษายน แคมเปญมัลแวร์ Obsidian ใช้ LinkedIn และ Telegram ในการติดต่อผู้เชี่ยวชาญด้านคริปโตและการเงิน หลอกให้ติดตั้งปลั๊กอินอันตรายสำหรับแอปจดบันทึก Obsidian ที่ถูกต้องตามกฎหมาย Elastic Security Labs ระบุมัลแวร์นี้ว่า PHANTOMPULSE โดยชี้ว่ามันใช้บล็อกเชนสามเครือข่ายในการรับคำสั่งและคงการฝังตัวไว้ ในช่วงเวลาเดียวกัน บริการกระเป๋าเงิน Zerion เปิดเผยเหตุการณ์ด้านความปลอดภัยมูลค่า100,000 ดอลลาร์ ซึ่งมีต้นตอมาจากแคมเปญวิศวกรรมสังคมระยะยาวที่เชื่อมโยงกับผู้โจมตีจากเกาหลีเหนือ โดยนักวิจัยจาก Security Alliance เชื่อมโยงแคมเปญดังกล่าวกับโดเมนอันตราย 164 โดเมนที่ใช้เจาะบริษัทคริปโตผ่าน Slack และ LinkedIn Zerion ระบุว่าผู้โจมตีมุ่งเป้าไปที่ด้านมนุษย์ของการดำเนินงาน แทนที่จะเจาะเทคโนโลยีกระเป๋าเงินโดยตรง
กลุ่ม UNC4899 ของเกาหลีเหนือและการโจมตีผ่านผู้สรรหาบุคลากรรูปแบบอื่น
ทางการสิงคโปร์ยังไม่ได้ระบุว่าความสูญเสีย 11.8 ล้านดอลลาร์สหรัฐครั้งนี้มาจากเกาหลีเหนือหรือกลุ่มแฮ็กเกอร์ใด แต่ยุทธวิธีที่ใช้สะท้อนรูปแบบที่ผู้โจมตีที่เชื่อมโยงกับเกาหลีเหนือเคยใช้มาก่อน Google Cloud และ Wiz รายงานในปี 2025 ว่ากลุ่มที่รู้จักกันในชื่อ UNC4899 หรือ TraderTraitor ติดต่อพนักงานบริษัทคริปโตผ่าน LinkedIn และ Telegram โดยแอบอ้างเป็นผู้สรรหาบุคลากร หลอกให้บางคนรันคอนเทนเนอร์ Docker อันตรายที่ติดตั้งตัวดาวน์โหลดและแบ็กดอร์ ในอย่างน้อยหนึ่งกรณี Google ระบุว่ากลุ่มนี้ปิดการใช้งานการยืนยันตัวตนหลายปัจจัยบนบัญชี Google Cloud ที่มีสิทธิ์สูงเพื่อเข้าถึงบริการที่เกี่ยวข้องกับกระเป๋าเงิน กลุ่มนี้เชื่อว่ามีกิจกรรมมาตั้งแต่ปี 2020 โดยมุ่งเป้าไปที่บริษัทคริปโตและบล็อกเชนเป็นหลัก
สภาพแวดล้อมของนักพัฒนายังคงถูกพบว่าเป็นจุดอ่อนในหลายกรณี แคมเปญ TrapDoor ที่ถูกค้นพบในเดือนพฤษภาคมได้เจาะโทเคน GitHub คีย์ SSH และข้อมูลรับรองคลาวด์ นอกเหนือจากข้อมูลกระเป๋าเงินคริปโตเคอร์เรนซี — ทำให้ผู้โจมตีสามารถได้มาซึ่งช่องทางเข้าถึงระบบหลายรูปแบบผ่านเครื่องนักพัฒนาที่ถูกเจาะเพียงเครื่องเดียว ขณะเดียวกัน แคมเปญสัมภาษณ์ปลอมในเดือนธันวาคม 2024 ได้ติดต่อผู้เชี่ยวชาญ Web3 ผ่าน LinkedIn, Telegram และแพลตฟอร์มฟรีแลนซ์ จากนั้นพาไปสู่ภารกิจวิดีโอที่มีการอ้างปัญหาไมโครโฟนหรือกล้องเพื่อหลอกให้เหยื่อรันคำสั่งที่เปิดอุปกรณ์ของตนให้ผู้โจมตี นักสืบบนเชน Taylor Monahan ระบุในขณะนั้นว่าการรันคำสั่งเหล่านั้นอาจมอบการเข้าถึงทั่วไปต่ออุปกรณ์ให้ผู้โจมตี สร้างช่องทางให้ขโมยข้อมูล เฝ้าดูพฤติกรรม หรือเจาะกระเป๋าเงินคริปโต
คำแนะนำของทางการสิงคโปร์ว่าบริษัทควรรับมืออย่างไร
หลังเหตุการณ์ดังกล่าว SPF และ CSA กระตุ้นให้ธุรกิจและบุคคลทั่วไป — โดยเฉพาะในสายเทคโนโลยีและคริปโต — ตรวจสอบยืนยันตัวตนของผู้สรรหาบุคลากรและบริษัทที่อ้างว่าเป็นตัวแทนก่อนเปิดไฟล์ เว็บไซต์ หรือซอฟต์แวร์ที่เกี่ยวข้องกับงาน นอกจากนี้ยังแนะนำให้บริษัทปกป้องคีย์ API และข้อมูลรับรองภายใน เสริมความแข็งแกร่งของการยืนยันตัวตนหลายปัจจัย และรักษาความปลอดภัยคลังโค้ดและสายงานดีพลอยโดยเฉพาะ เนื่องจากการเข้าถึงระบบเหล่านี้อาจทำให้อุปกรณ์ที่ถูกเจาะเพียงเครื่องเดียวลุกลามไปสู่โครงสร้างพื้นฐานทั้งองค์กรได้
แยกเครื่อง ยกเลิกสิทธิ์ รีเซ็ต
สำหรับธุรกิจที่สงสัยว่ามีการเจาะระบบเกิดขึ้นแล้ว หน่วยงานแนะนำให้แยกอุปกรณ์หรือระบบที่ได้รับผลกระทบออกทันที ยกเลิกเซสชันที่ยังใช้งานอยู่ และรีเซ็ตข้อมูลรับรองโดยไม่ชักช้า ควรตรวจสอบบันทึกการเข้าถึงเพื่อหาสัญญาณว่าผู้โจมตีเข้าถึงบัญชีหรือโครงสร้างพื้นฐานอื่นเพิ่มเติมหรือไม่ และทีมงานควรตรวจสอบว่าคลังโค้ด เซิร์ฟเวอร์ หรือเวิร์กโฟลว์การอนุมัติถูกแก้ไขระหว่างการเจาะระบบหรือไม่ ควรเรียกทีมรักษาความปลอดภัยภายในหรือผู้ให้บริการภายนอกเข้ามาทันทีเพื่อระบุว่าบัญชีใดถูกเปิดเผยและมีการเปลี่ยนแปลงที่ไม่ได้รับอนุญาตตามมาหลังการบุกรุกครั้งแรกหรือไม่
สำหรับบุคคลทั่วไป คำแนะนำจะง่ายกว่าแต่ตรงประเด็นไม่แพ้กัน: ปฏิบัติต่อข้อเสนอรับสมัครงานที่ไม่ได้ร้องขอด้วยความระมัดระวัง ตรวจสอบทั้งผู้สรรหาบุคลากรและบริษัทอย่างอิสระ และระมัดระวังทุกครั้งที่กระบวนการสัมภาษณ์ขอให้ผู้สมัครดาวน์โหลดไฟล์ รันโค้ดที่ไม่คุ้นเคย หรือใช้เว็บไซต์จากแหล่งที่ยังไม่ได้รับการยืนยัน
คำถามที่พบบ่อย
ผู้โจมตีเริ่มเจาะอุปกรณ์ของเหยื่อได้อย่างไรตั้งแต่แรก?
ผู้โจมตีแอบอ้างเป็นผู้สรรหาบุคลากรบน LinkedIn และใช้โดเมนปลอมและเว็บไซต์สัมภาษณ์ปลอมในการติดตั้งมัลแวร์ระหว่างการทดสอบเทคนิคบนอุปกรณ์ของบริษัท
ผู้โจมตีเลี่ยงคุณสมบัติด้านความปลอดภัยใดเพื่อเข้าถึงบัญชี Bitbucket ของบริษัท?
ผู้โจมตีเก็บเกี่ยวโทเคนเซสชันผ่านมัลแวร์เพื่อเลี่ยงการยืนยันตัวตนหลายปัจจัยและเข้าถึงคลัง Bitbucket
ทางการสิงคโปร์ให้คำแนะนำอย่างไรเพื่อป้องกันมิจฉาชีพรับสมัครงานลักษณะเดียวกัน?
ทางการแนะนำให้ตรวจสอบยืนยันตัวตนผู้สรรหาบุคลากร รักษาความปลอดภัยคีย์ API และคลังโค้ด แยกอุปกรณ์ที่ถูกเจาะทันที ยกเลิกเซสชัน และรีเซ็ตข้อมูลรับรอง
การโจมตีครั้งนี้ถูกเชื่อมโยงกับกลุ่มแฮ็กเกอร์ที่รู้จักหรือไม่?
ทางการสิงคโปร์ยังไม่เชื่อมโยงการโจมตีครั้งนี้กับเกาหลีเหนือหรือกลุ่มแฮ็กเกอร์ใด
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”ผู้โจมตีเริ่มเจาะอุปกรณ์ของเหยื่อได้อย่างไรตั้งแต่แรก?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”ผู้โจมตีแอบอ้างเป็นผู้สรรหาบุคลากรบน LinkedIn และใช้โดเมนปลอมและเว็บไซต์สัมภาษณ์ปลอมในการติดตั้งมัลแวร์ระหว่างการทดสอบเทคนิคบนอุปกรณ์ของบริษัท”}},{“@type”:”Question”,”name”:”ผู้โจมตีเลี่ยงคุณสมบัติด้านความปลอดภัยใดเพื่อเข้าถึงบัญชี Bitbucket ของบริษัท?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”ผู้โจมตีเก็บเกี่ยวโทเคนเซสชันผ่านมัลแวร์เพื่อเลี่ยงการยืนยันตัวตนหลายปัจจัยและเข้าถึงคลัง Bitbucket”}},{“@type”:”Question”,”name”:”ทางการสิงคโปร์ให้คำแนะนำอย่างไรเพื่อป้องกันมิจฉาชีพรับสมัครงานลักษณะเดียวกัน?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”ทางการแนะนำให้ตรวจสอบยืนยันตัวตนผู้สรรหาบุคลากร รักษาความปลอดภัยคีย์ API และคลังโค้ด แยกอุปกรณ์ที่ถูกเจาะทันที ยกเลิกเซสชัน และรีเซ็ตข้อมูลรับรอง”}},{“@type”:”Question”,”name”:”การโจมตีครั้งนี้ถูกเชื่อมโยงกับกลุ่มแฮ็กเกอร์ที่รู้จักหรือไม่?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”ทางการสิงคโปร์ยังไม่เชื่อมโยงการโจมตีครั้งนี้กับเกาหลีเหนือหรือกลุ่มแฮ็กเกอร์ใด”}}]}
บทความนี้จัดทำขึ้นด้วยความช่วยเหลือจากปัญญาประดิษฐ์และผ่านการตรวจทานโดยทีมบรรณาธิการ
