FBI เตือน FortiBleed ยังไม่จบ แอดมินอาจถูกล็อกนอกระบบบริษัท

FBI และ Secret Service เตือนว่า FortiBleed ยังโจมตีต่อเนื่อง โดยอ้างยอดจาก SOCRadar มากกว่า 86,644 อุปกรณ์ แปลว่าเป็นปัญหาระดับหลายหมื่นเครื่องทั่วโลกครับ ประกาศร่วมวันที่ 6 ตุลาคม 2026 ระบุว่า บางกรณีผู้โจมตีเปลี่ยนรหัสหรือลบบัญชีเดิม จนทีม IT เข้าอุปกรณ์ของตัวเองไม่ได้

เป้าหมายคือ FortiGate ของ Fortinet ที่เปิดให้เข้าถึงจากอินเทอร์เน็ต อุปกรณ์นี้ทำหน้าที่เป็นไฟร์วอลล์ คอยควบคุมการเชื่อมต่อเข้าออกเครือข่ายบริษัท และอาจให้บริการ SSL VPN ซึ่งเป็นทางเชื่อมแบบเข้ารหัสสำหรับพนักงานทำงานจากข้างนอก ตาม FBI/IC3 หากคุณทำงานจากบ้าน เรื่องนี้จึงเกี่ยวกับทั้งบัญชีที่ใช้เข้าบริษัทและคนที่ดูแลทางเชื่อมนั้น

สรุป 30 วินาที: เกิดอะไรขึ้น

คำเตือนออกโดย FBI ร่วมกับ United States Secret Service หรือ USSS ตามชื่อผู้จัดทำใน เอกสารต้นทาง ส่วน The Record รายงานวันที่ 7 ตุลาคม ว่าแคมเปญขโมยข้อมูลเข้าระบบนี้ดำเนินมาหลายเดือนแล้ว ข่าวรอบนี้จึงเป็นการย้ำว่าเหตุยังไม่จบ ไม่ได้บอกว่าทุกเครื่องเพิ่งถูกเจาะวันเดียวกัน

ผู้โจมตีใช้ชื่อบัญชีและรหัสผ่านที่รั่วหรือถูกใช้ซ้ำ แล้วเก็บข้อมูลยืนยันตัวตนเพิ่มเติมจากเครื่องที่เข้าถึงได้ ตาม FBI/IC3 หลังจากนั้นมีการสร้างบัญชีผู้ดูแลใหม่เพื่อกลับเข้ามาได้อีก บางเหตุการณ์ลบบัญชีเดิมหรือเปลี่ยนรหัส เพื่อขัดขวางเจ้าของระบบขณะขยายการเข้าถึงภายในบริษัท

BleepingComputer รายงานว่าข้อมูลรั่วที่พบในเดือนมิถุนายนเชื่อมโยงกับ URL ของไฟร์วอลล์ 73,932 รายการ แปลว่าเป็นจำนวนที่อยู่ของระบบในชุดข้อมูลนั้น ส่วนขอบเขตครอบคลุม 194 ประเทศ แปลว่าไม่ได้จำกัดอยู่ในประเทศที่ออกคำเตือน ตัวเลขเหล่านี้ยังไม่บอกจำนวนธุรกิจไทยที่ได้รับผลกระทบครับ

ถ้าผู้โจมตีเข้าด้วยรหัสที่ถูกต้อง ระบบจะรู้ได้อย่างไรว่าคนนั้นไม่ใช่พนักงาน? นี่คือเหตุผลที่ต้องดูมากกว่าการล็อกอินผ่านหรือไม่ผ่าน โดย Bitdefender เน้นตรวจพฤติกรรมการเข้าระบบและการเปลี่ยนค่าของอุปกรณ์ด้วย

ทำไมเรื่องนี้เกี่ยวกับคุณ

สำหรับคนทำงานที่บ้าน VPN คือทางเชื่อมเข้าสู่เครือข่ายที่บริษัทอนุญาตให้ใช้จากภายนอก ตามคำอธิบายของ Bitdefender คุณอาจไม่เคยเปิดหน้าจัดการ FortiGate เอง แต่บัญชี VPN ก็อยู่ในกลุ่มที่คำเตือนให้เปลี่ยนรหัสด้วย การดูแลเครื่องกับการดูแลบัญชีพนักงานจึงต้องทำควบคู่กัน

สำหรับเจ้าของธุรกิจขนาดเล็ก ประเด็นที่ต้องถามผู้ดูแลคือใครเข้าถึงหน้าจัดการระบบได้จากอินเทอร์เน็ต FBI/IC3 จัดการเลิกเปิดหน้าจัดการผ่านอินเทอร์เน็ตเป็นทางเลือกที่ดีที่สุดในการลดพื้นที่เสี่ยง แต่การจำกัดหน้าจัดการต้องแยกจากการวางระบบให้พนักงานทำงานทางไกล อย่าตัดสินใจปิดทุกอย่างโดยไม่มีแผนทำงานต่อ

ความเสี่ยงไม่ได้เท่ากันทุกบริษัทครับ Bitdefender ระบุว่าการจำกัดทางเข้าจัดการและบังคับยืนยันตัวตนหลายขั้นตอนช่วยลดความเสี่ยงได้จริง แม้ข้อมูลบัญชีจะปรากฏในชุดข้อมูลรั่ว จึงต้องตรวจสภาพระบบของตัวเองก่อนสรุปจากยอดทั่วโลก

หากทีม IT ถูกตัดสิทธิ์ ผลที่ต้องเตรียมรับคือการแก้เหตุอาจทำผ่านบัญชีเดิมไม่ได้ ตามสถานการณ์ใน ประกาศ FBI/IC3 สำหรับบริษัทไทย นี่เป็นเหตุให้วางคนรับผิดชอบและช่องทางแจ้งเหตุไว้ล่วงหน้า บทความนี้ไม่ได้ยืนยันว่าบริษัทใดในไทยถูกโจมตี เพราะแหล่งข่าวไม่มีรายชื่อหรือยอดแยกประเทศไทย

ทำงานยังไง

Credential stuffing คือการนำชุดชื่อบัญชีกับรหัสที่เคยรั่ว มาลองใช้กับระบบอื่น ส่วน password spraying คือการลองรหัสที่พบบ่อยกับหลายบัญชี ตามกลไกที่ FBI/IC3 ระบุ ทั้งคู่จึงเกี่ยวกับรหัสที่อ่อนแอหรือใช้ซ้ำ มากกว่าการทำให้พนักงานเห็นไฟล์แปลกแล้วกดเปิด

อีกส่วนคือ password hash หรือค่าที่คำนวณจากรหัสผ่านเพื่อใช้ตรวจสอบ โดยไม่เก็บรหัสเป็นข้อความตรง ๆ Bitdefender อธิบายว่าไฟล์ตั้งค่าที่ถูกนำออกมีค่าเหล่านี้ ผู้โจมตีสามารถนำไปลองหารหัสบนเครื่องของตัวเองได้ เรียกว่า offline cracking แปลว่าช่วงลองหารหัสไม่ต้องติดต่อระบบบริษัททุกครั้ง

วิธีเก็บแบบเก่าที่เรียก SHA-256 คำนวณได้เร็ว จึงเอื้อต่อการลองหารหัสด้วยเครื่องประมวลผลของผู้โจมตี ตาม Bitdefender ส่วน PBKDF2 เป็นวิธีที่ทำให้การคำนวณเพื่อลองหารหัสช้าลง ชื่ออาจจำยาก แต่สิ่งที่ต้องถามทีม IT คือยังเหลือข้อมูลรหัสแบบเก่าหรือไม่

เมื่อได้รหัสที่ใช้ได้ ผู้โจมตีก็สร้างบัญชีแอดมิน หรือบัญชีที่มีสิทธิ์จัดการอุปกรณ์ ตาม FBI/IC3 จากนั้นอาจเปลี่ยนรหัสหรือลบบัญชีเจ้าของเดิม การเข้าระบบสำเร็จจึงเป็นแค่จุดเริ่มต้น ยังมีการตรวจหาบัญชีสิทธิ์สูงเพื่อขยายการเข้าถึงในเครือข่ายด้วย

ลองนึกถึงออฟฟิศที่มีคนคัดลอกกุญแจหลักของประตูหน้า เขาเข้าไปได้ แล้วเปลี่ยนตัวล็อกจนผู้จัดการอาคารไขเข้าไม่ได้ นี่คือภาพเปรียบเทียบของการยึดบัญชีแล้วตัดสิทธิ์เดิมตาม คำเตือน FBI/IC3 คนที่ควรแก้ปัญหากลับติดอยู่ข้างนอกเสียเองครับ

จุดหักมุม: อัปเดตแล้ว รหัสที่รั่วยังใช้ได้

แต่การลงแพตช์ หรืออัปเดตเพื่อแก้ข้อบกพร่องของซอฟต์แวร์ ไม่ได้ทำให้รหัสที่ขโมยไปหมดอายุ Bitdefender ย้ำว่าแคมเปญนี้ใช้ข้อมูลเข้าระบบที่ยังถูกต้อง จึงไม่มีแพตช์ที่ปิดความเสี่ยงนี้ได้ด้วยตัวมันเอง

FBI/IC3 เตือนไปไกลกว่านั้นว่าเหตุที่ถูกล็อกออกอาจต้องแก้เกินกว่าการแพตช์และเปลี่ยนรหัสตามปกติ เพราะผู้โจมตีอาจสร้างบัญชีใหม่และเปลี่ยนค่าระบบไว้แล้ว เปลี่ยนเฉพาะบัญชีที่เราจำได้จึงยังไม่ใช่หลักฐานว่าถอนสิทธิ์ผู้บุกรุกครบ

เรื่องเงิน / ผลกระทบ

FBI/IC3 ระบุว่ามีผู้ขายสิทธิ์เข้าระบบต่อให้ผู้ร่วมปฏิบัติการของกลุ่ม INC/Lynx และ Payload ransomware คำว่า ransomware หมายถึงการโจมตีเรียกค่าไถ่ ซึ่งอาจทำให้ข้อมูลใช้งานไม่ได้ การเข้าถึง VPN จึงอาจเป็นต้นทางของเหตุที่กระทบงานและการกู้คืนข้อมูล

สำหรับธุรกิจไทย ให้ใช้ความเสี่ยงนี้วางแผนงบและเวลาตอบสนอง แทนการตั้งยอดเสียหายขึ้นเองครับ ไม่มีแหล่งข่าวระบุค่าไถ่เฉลี่ยหรือค่าเสียหายเป็นเงินบาท FBI/IC3 ก็ไม่สนับสนุนการจ่ายค่าไถ่ เพราะการจ่ายไม่ได้รับประกันว่าจะได้ไฟล์กลับมา

อีกประเด็นที่เกี่ยวกับธุรกิจโดยตรงคือผู้โจมตีจัดลำดับเป้าหมายจากรายได้และโครงสร้างเครือข่าย ตาม The Record แต่รายงานไม่ได้กำหนดว่าธุรกิจเล็กต้องมีรายได้เท่าไรจึงจะถูกเลือก เจ้าของกิจการจึงควรดูว่าทางเข้าของตัวเองเปิดอยู่หรือไม่ มากกว่ารอให้บริษัทโตถึงขนาดที่คิดว่าน่าถูกโจมตี

ข้อเสนอสำหรับเจ้าของกิจการคือจัดเวลาร่วมกับ IT เพื่อเปลี่ยนรหัสและยุติการเชื่อมต่อที่ค้างอยู่ โดยแจ้งพนักงานก่อนทำตาม แนวทาง FBI/IC3 การให้คนทำงานรู้ว่าเป็นการตัดการเชื่อมต่อโดยตั้งใจ ช่วยแยกจากอาการผิดปกติที่ต้องรายงาน อย่าให้พนักงานต้องเดาเองว่าระบบเสียหรือบริษัทกำลังจัดการเหตุ

ข้อมูลที่ยังไม่ชัด และจุดที่แหล่งข่าวพูดไม่ตรงกัน

ฝั่งผู้ผลิตกับฝั่งวิเคราะห์เน้นคนละเรื่อง โดย Bitdefender รายงานคำตอบของ Fortinet วันที่ 22 มิถุนายน ว่าเป็นการใช้รหัสซ้ำจากเหตุเก่า ร่วมกับการลองรหัสในเครื่องที่ตั้งรหัสไม่แข็งแรงและไม่ใช้การยืนยันหลายขั้นตอน Fortinet ระบุว่าไม่เกี่ยวกับเหตุหรือประกาศล่าสุด นี่เป็นคำตอบที่อ่านผ่าน Bitdefender ไม่ใช่คำตอบใหม่จากผู้ผลิตในเดือนตุลาคม

แต่ Bitdefender คัดค้านแนวคิดรอซอฟต์แวร์แก้ให้จบ เพราะรหัสที่ถูกต้องยังเปิดทางเข้าได้หลังอัปเดต ตาม บทวิเคราะห์ทางเทคนิค ขณะที่ FBI และ USSS สนับสนุนการถอนสิทธิ์และตรวจระบบร่วมกัน ตาม ประกาศล่าสุด ทั้งสองไม่ได้เถียงกันว่าการโจมตียังมีอยู่ ต่างกันที่รายละเอียดทางเทคนิคกับขั้นตอนรับมือ และไม่ควรแต่งให้เป็นความขัดแย้งที่แหล่งข่าวไม่ได้พูด

ยอด URL กับยอดอุปกรณ์เทียบตรง ๆ ไม่ได้ โดย BleepingComputer กล่าวถึง URL ในข้อมูลที่พบเดือนมิถุนายน ส่วน FBI/IC3 อ้างยอดอุปกรณ์จาก SOCRadar เราจึงไม่ควรเอาสองยอดมาลบกันแล้วประกาศว่าเป็นจำนวนเครื่องที่ถูกเจาะเพิ่ม แหล่งเหล่านี้ไม่ได้อธิบายวิธีจับคู่รายการให้คำนวณแบบนั้น

วันที่ของข้อมูลก็ต้องแยกให้ชัด Bitdefender ผูกยอดอุปกรณ์ไว้กับข้อมูลเดือนมิถุนายน ขณะที่ประกาศเดือนตุลาคมอ้าง SOCRadar อีกครั้ง นี่ไม่ได้ยืนยันว่าเป็นการนับสำรวจใหม่ในวันออกประกาศ และยังไม่มีข้อมูลพอจะสรุปจำนวนองค์กรไทย จำนวนผู้ใช้ไทย หรือจำนวนที่กู้คืนแล้ว

อีกข้อจำกัดคือการไม่พบรายการผิดปกติไม่ได้ยืนยันว่าไม่เคยถูกบุกรุก Bitdefender เตือนว่าเครื่องที่ถูกยึดอาจถูกเปลี่ยนการตั้งค่าบันทึกเหตุการณ์แล้ว ส่วน FBI/IC3 ให้ตรวจหลักฐานประกอบก่อนใช้ตัวบ่งชี้การโจมตีตัดสินใจ จึงต้องดูบัญชี ค่าระบบ และประวัติร่วมกัน

แล้วเราควรทำอะไร

เจ้าของ SME และทีม IT: ทำตามได้เลย

1. ตรวจว่าหน้าจัดการเปิดสู่ภายนอกหรือไม่ แล้วจำกัดทางเข้า FBI/IC3 แนะนำให้เลิกเปิดการจัดการผ่านอินเทอร์เน็ต หากยังต้องมี ให้จำกัดเฉพาะเครื่องที่เชื่อถือได้ หรือใช้นโยบาย local-in ซึ่งเป็นกฎควบคุมการเชื่อมต่อเข้าตัวอุปกรณ์ ให้ทีม IT เลือกตามสภาพระบบจริง
2. ยุติทุกการเชื่อมต่อแอดมินและ VPN แล้วเปลี่ยนรหัสทั้งหมดที่เกี่ยวข้อง session หมายถึงช่วงการเชื่อมต่อที่ระบบยังถือว่าล็อกอินอยู่ FBI/IC3 ให้ยุติ session และรีเซ็ตรหัสทั้งบัญชีผู้ดูแลกับผู้ใช้ VPN จึงต้องตรวจให้ครบ ไม่หยุดที่บัญชีผู้ดูแลหลักเพียงบัญชีเดียว
3. บังคับ MFA แบบต้านการหลอกเอาข้อมูล MFA คือการยืนยันตัวตนด้วยปัจจัยเพิ่มเติมจากรหัสผ่าน ส่วน phishing คือการหลอกให้ผู้ใช้ส่งข้อมูลยืนยันตัวตน FBI/IC3 ระบุให้ใช้แบบ phishing-resistant กับบัญชีทางไกลและบัญชีผู้ดูแล พร้อมตรวจว่าบังคับใช้จริงทุกทางเข้าภายนอก
4. ตรวจบัญชีและค่าระบบเทียบกับชุดที่ทราบว่าถูกต้อง FBI/IC3 ให้ค้นหาบัญชีที่ไม่รู้จักและการเปลี่ยนค่าที่ไม่ได้อนุมัติ ตรวจด้วยว่าบัญชีแต่ละรายมีเจ้าของและเหตุผลในการใช้งาน อย่าตัดสินความปลอดภัยจากชื่อบัญชีที่ดูเหมือนชื่อฝ่ายสนับสนุนอย่างเดียว
5. ตรวจ log และเก็บข้อมูลให้พอวางแผนขับผู้บุกรุกออก log คือบันทึกเหตุการณ์ที่ระบบเก็บไว้ FBI/IC3 ให้ดูบันทึกไฟร์วอลล์ VPN การยืนยันตัวตน และเครื่องที่จัดการบัญชีส่วนกลาง หากสงสัยว่าถูกบุกรุก ให้ระบุเครื่องที่เกี่ยวข้อง แยกออก และรวบรวมหลักฐานเพื่อกำหนดขอบเขตเหตุ
6. ตรวจวิธีเก็บรหัสแอดมินและกำจัด hash แบบเก่า FBI/IC3 ให้ยืนยันการใช้ PBKDF2 ตามแนวทาง Fortinet แต่ Bitdefender เตือนว่าการอัปเกรดอย่างเดียวอาจยังเหลือค่าเก่าใน old-password ผู้ดูแลแต่ละบัญชีต้องล็อกอินหลังอัปเกรด และตรวจการตั้งค่า login-lockout-upon-weaker-encryption บน FortiOS สายรุ่น 7.2.x และ 7.4.x ตามที่ Bitdefender ระบุ อย่าคัดลอกการตั้งค่าไปใช้โดยไม่ตรวจรุ่นเครื่อง
7. ตรวจสิทธิ์ของระบบอัตโนมัติด้วย API key คือข้อมูลสิทธิ์ที่โปรแกรมใช้เชื่อมต่อเพื่อจัดการ สำรอง หรือเฝ้าดูอุปกรณ์ FBI/IC3 ให้ลบ key ที่ไม่รู้จัก และเปลี่ยน key ที่มีเหตุผลใช้งานจริง เพื่อไม่เหลือทางเข้าจากระบบอัตโนมัติไว้ให้ผู้โจมตี

พนักงานที่ทำงานจากบ้าน: ทำตามได้เลย

1. ถ้าถูกล็อกออก หรือถูกขอให้ล็อกอินใหม่อย่างผิดสังเกต ให้แจ้ง IT นี่เป็นคำแนะนำเชิงปฏิบัติจากลักษณะเหตุใน FBI/IC3 แจ้งว่าเริ่มเมื่อไรและพบหน้าจอแบบไหน แต่อย่าเพิ่งสรุปว่าถูกโจมตี เพราะทีม IT อาจกำลังยุติ session ตามแผนรับมืออยู่
2. เปลี่ยนรหัสผ่านช่องทางที่ IT ยืนยัน และไม่ใช้รหัสซ้ำกับบัญชีอื่น เหตุผลคือแคมเปญนี้นำรหัสที่เคยรั่วกลับมาใช้ ตาม FBI/IC3 หากบริษัทประกาศเปลี่ยนรหัส ให้ตรวจช่องทางประกาศกับฝ่ายดูแลก่อนกรอกข้อมูล แทนการทำตามข้อความที่ไม่ทราบที่มา
3. ทำตามขั้นตอนยืนยันตัวตนที่บริษัทกำหนดให้ครบ FBI/IC3 ให้บังคับ MFA กับการเข้าทางไกล หากมีขั้นตอนเปลี่ยนไป ให้สอบถาม IT ก่อนดำเนินการ หน้าที่พนักงานคือช่วยรายงานและรักษาบัญชีของตัวเอง ไม่ต้องทดลองแก้ค่าของไฟร์วอลล์เองครับ

ผมมองว่า…

ผมมองว่าเรื่องนี้ไม่ใช่การแข่งขันว่าใครอัปเดตเครื่องเร็วกว่า แต่คือการตรวจว่าใครยังมีสิทธิ์เข้าบริษัทอยู่บ้าง คำเตือน FBI/IC3 ทำให้เห็นว่าต้องตรวจทั้งบัญชี การเชื่อมต่อที่ค้าง และค่าที่ถูกเปลี่ยน เจ้าของกิจการควรถามให้ได้คำตอบว่าถอนสิทธิ์ครบอย่างไร แทนการรับเพียงคำตอบว่าอัปเดตแล้ว

ผมมองว่าคนทำงานทั่วไปไม่ต้องจำชื่อวิธีเก็บรหัสทั้งหมดครับ สิ่งที่ควรรู้คือรหัสที่ใช้ซ้ำมีผลเกินกว่าบัญชีของตัวเอง และอาการเข้าระบบไม่ได้ควรมีคนรับเรื่อง ส่วนความเสี่ยงที่ลดลงจากการจำกัดทางเข้ากับ MFA ตาม Bitdefender เป็นเหตุผลให้ลงมือจัดการอย่างมีระบบ มากกว่าตื่นตระหนกจากยอดรวม

ปิดท้าย: สิ่งที่ต้องจับตา

ความพร้อมทำงานจากบ้านต้องรวมถึงความพร้อมถอนสิทธิ์คนที่ไม่ควรเข้ามาด้วย หลัง คำเตือนวันที่ 6 ตุลาคม สิ่งที่ควรติดตามคือข้อมูลเพิ่มเติมเรื่องการล็อกผู้ดูแลออก และผลตรวจว่าบริษัทของคุณเหลือบัญชีหรือค่าที่ไม่ได้อนุมัติหรือไม่ แหล่งข่าวยังไม่ได้ให้กำหนดอัปเดตข้อมูลรอบถัดไป หรือยอดผู้เสียหายในไทย

ถ้า VPN บริษัทคุณเข้าไม่ได้ผิดปกติ คุณรู้แล้วหรือยังว่าต้องแจ้งใครผ่านช่องทางไหน?

Recap

• เกิดอะไรขึ้น: FBI และ USSS เตือน FortiBleed ยังใช้รหัสที่รั่วเข้าระบบ และบางกรณีตัดสิทธิ์ผู้ดูแลเดิม ตาม ประกาศร่วม
• ตัวเลขที่จำ: มากกว่า 86,644 อุปกรณ์เป็นยอด SOCRadar ที่ FBI/IC3 อ้าง แปลว่าเป็นขอบเขตทั่วโลก ไม่ใช่จำนวนบริษัทไทย
• ใครเน้นต่างกัน: Fortinet อธิบายว่าเกี่ยวกับรหัสซ้ำจากเหตุเก่า ส่วน Bitdefender ย้ำว่ารอแพตช์อย่างเดียวไม่จบ ตาม รายงาน Bitdefender
• ยังไม่รู้: จำนวนองค์กรไทยที่ได้รับผลกระทบ ค่าเสียหายไทย และจำนวนที่กู้คืนแล้ว ไม่มีในแหล่งข่าว
• ผลต่อคุณ: คนทำงานทางไกลต้องร่วมเปลี่ยนรหัส ส่วนเจ้าของธุรกิจต้องให้ IT ตรวจทางเข้า บัญชี และการเชื่อมต่อ ตาม FBI/IC3
• สิ่งที่จับตา: ข้อมูลเพิ่มเติมเรื่องการล็อกแอดมินออก และผลตรวจการเปลี่ยนบัญชีหรือค่าระบบของบริษัท
• แหล่งอ้างอิง: 1 — FBI/IC3, 2 — BleepingComputer, 3 — The Record, 4 — Bitdefender