DOJ เตือนผู้จ้างงานชาวอเมริกันช่วยเกาหลีเหนือแฮ็กบริษัทสหรัฐผ่าน 'laptop farms'

กระทรวงยุติธรรมสหรัฐแจ้งเตือนว่ากลุ่มแฮกเกอร์ที่ทำงานให้รัฐบาลเกาหลีเหนือเริ่มพึ่งพาชาวอเมริกันเพื่อช่วยให้สามารถเจาะเข้าระบบของบริษัทสหรัฐได้มากขึ้น การบังคับใช้กฎหมายล่าสุดรวมการจับกุมอย่างน้อยสองคนและการค้นบ้านที่เชื่อว่าเป็นฐานปฏิบัติการแบบ "laptop farms" ในรัฐเท็กซัส

การดำเนินการของทางการและการยึดอุปกรณ์

พนักงานอัยการระบุว่าการปฏิบัติการครั้งนี้นำไปสู่การยึดคอมพิวเตอร์กว่า 180 เครื่อง ซึ่งเจ้าหน้าที่เชื่อว่าเป็นเครื่องที่บริษัทอเมริกันส่งให้พนักงานที่เพิ่งถูกจ้าง แต่ภายหลังพบว่าพวกเขาเป็นสายลับของเกาหลีเหนือที่ใช้ข้อมูลประจำตัวของพลเมืองสหรัฐในการสมัครงาน เจ้าหน้าที่ได้ตรวจค้นมากกว่า 40 laptop farms ทั่วรัฐเท็กซัส ซึ่งเป็นจำนวนบ้านและที่พักที่เปิดเผยมากที่สุดจนถึงปัจจุบันในการอำนวยความสะดวกให้การโจมตีทางไซเบอร์ของเกาหลีเหนือ

วิธีการโจมตี - จากการปลอมตัวถึงการจ้างผ่านตัวกลาง

รายงานจาก CrowdStrike ซึ่งร่วมมือกับ FBI ในการสืบสวน ระบุว่า laptop farms มีบทบาทสำคัญช่วยให้แฮกเกอร์เกาหลีเหนือหลีกเลี่ยงอุปสรรคด้านการเดินทาง การเงิน และกฎหมาย เทคนิคที่ใช้รวมถึงการสร้างอีเมลที่ดูจริง โปรไฟล์ LinkedIn ปลอม และการมีตัวตนบนสื่อสังคมออนไลน์จำนวนมากเพื่อปกปิดการกระทำ

ผลกระทบต่อบริษัทและมูลค่าความเสียหาย

ทางการกล่าวว่าแผนการนี้เจาะระบบบริษัทที่ตั้งอยู่ในสหรัฐอย่างน้อย 70 แห่ง และสร้างรายได้ที่ถูกขโมยประมาณ $3 million บริษัทที่ได้รับผลกระทบครอบคลุมหลายภาคส่วน เช่น สาธารณสุข การสนับสนุนด้านไซเบอร์ ค้าปลีก การสื่อสาร และการผลิต ในรัฐโอไฮโอและอีก 16 รัฐ รวมถึงเขตปกครองพิเศษ District of Columbia

ภาพรวมเชิงกลยุทธ์และความเสี่ยงต่อทรัพย์สินทางปัญญา

FBI เตือนว่ามีเจ้าหน้าที่ IT ที่ควบคุมโดยรัฐเกาหลีเหนือเป็นจำนวน "หลายพันคน" ทำงานอยู่ในบริษัทตะวันตก ซึ่งสร้างความเสี่ยงต่อความมั่นคงของประเทศและการขโมยทรัพย์สินทางปัญญา แผนการว่าจ้างพนักงานระยะไกลเป็นหนึ่งในหลายช่องทางที่เกาหลีเหนือใช้หารายได้ผิดกฎหมาย รวมถึงการแฮ็กแพลตฟอร์มคริปโตและโปรเจกต์โอเพนซอร์ส โดยมีรายงานว่าในปี 2025 เกาหลีเหนือขโมยคริปโตอย่างน้อย $2 billion

ผู้เชี่ยวชาญยังชี้ว่าเหตุการณ์จำพวก "hands-on-keyboard" ซึ่งเป็นการโจมตีที่ทำโดยมนุษย์แทนการใช้เครื่องมืออัตโนมัติ เป็นสัดส่วนประมาณครึ่งหนึ่งของการบุกรุกทั้งหมดตามรายงานของ CrowdStrike

สิ่งที่องค์กรและคนไอทีควรติดตาม

สำหรับผู้ดูแลระบบและทีมความปลอดภัยขององค์กร สิ่งที่ควรให้ความสำคัญได้แก่การตรวจสอบกระบวนการยืนยันตัวตนของพนักงานระยะไกล การติดตามพฤติกรรมเครือข่ายที่ผิดปกติ และการตั้งค่าการป้องกันภายในเพื่อรับมือการโจมตีจากภายใน (insider threat) การใช้ระบบ SIEM และแนวทาง DevSecOps สามารถช่วยลดความเสี่ยงจากการจ้างงานผ่านตัวกลาง

เหตุการณ์นี้เป็นอีกตัวอย่างที่ชัดเจนว่าการโจมตีไซเบอร์ยุคใหม่อาจมาในรูปแบบการจ้างงานระยะไกลและการใช้บุคคลที่ถูกจ้างเป็นเครื่องมือ การติดตามความคืบหน้าการดำเนินคดีและแนวทางป้องกันของภาคเอกชนจะเป็นเรื่องที่ต้องจับตาต่อไป

ที่มา: TechCrunch - เรียบเรียงและสรุปเป็นภาษาไทยโดยทีมงาน IT Genius