ขอบเขตของการโจมตี

องค์กร 165 แห่ง ที่ใช้แพลตฟอร์มคลาวด์ของ Snowflake ถูกเจาะระบบ จุดสำคัญคือ ไม่มีการใช้ช่องโหว่ของ Snowflake เอง — ผู้โจมตีใช้ข้อมูลรับรองล็อกอินของลูกค้าที่ถูกขโมยเพื่อเข้าสู่ระบบบัญชีที่ไม่ได้เปิดใช้งานการยืนยันตัวตนแบบหลายปัจจัย (MFA)

ข้อมูลของประชาชนอย่างน้อย 100 ล้านคน ถูกขโมยไป การขโมยครั้งนี้รวมถึงประวัติการโทรและข้อความของลูกค้า AT&T กว่า 100 ล้านราย และข้อมูลลูกค้าและข้อมูลการชำระเงินจากบัญชี TicketMaster กว่า 560 ล้านบัญชี เหยื่อรายใหญ่อื่นๆ ได้แก่ Advance Auto Parts, LendingTree, Neiman Marcus, Santander, Anheuser-Busch, Allstate, Mitsubishi, Progressive และ State Farm

ประเภทของข้อมูลที่ถูกขโมย

ข้อมูลที่ถูกขโมยประกอบด้วย:

• ประวัติการโทรและข้อความ (หมายเลขที่โทรออก วันเวลา ระยะเวลาสนทนา — แต่ไม่ใช่เนื้อหาของการสนทนา)
• ข้อมูลธนาคาร บันทึกเงินเดือน
• หมายเลขประกันสังคม หมายเลขใบขับขี่ หมายเลขหนังสือเดินทาง
• หมายเลขทะเบียนของสำนักงานปราบปรามยาเสพติดสหรัฐฯ (DEA)
• ข้อมูลลูกค้า ข้อมูลการชำระเงิน และ "ข้อมูลที่ละเอียดอ่อนอย่างยิ่ง" อื่นๆ

กลุ่มผู้โจมตีดาวน์โหลดบันทึกข้อมูลลูกค้าที่ละเอียดอ่อนนับพันล้านรายการ คิดเป็นข้อมูลเทราไบต์

ค่าไถ่ การจ่ายเงินรีดไถ และความเสียหายทางการเงิน

• รายได้ส่วนตัวของ Moucka: เขาได้รับเงินส่วนตัวอย่างน้อย 495,000 ดอลลาร์สหรัฐฯ จากการรีดไถเหยื่อและขายข้อมูลที่ขโมยมาบนฟอรั่มแฮกเกอร์ ในกรณีหนึ่ง เขารีดไถเหยื่อซ้ำโดยใช้ข้อมูลที่ขโมยมาของเจ้าหน้าที่รัฐและสมาชิกครอบครัวของอดีตเจ้าหน้าที่รัฐ
• รายได้รวมของแผนการ: Moucka และพรรคพวก (รวมถึง John Erin Binns และ Cameron John Wagenius) สร้างรายได้รวมประมาณ 2.5 ล้านดอลลาร์สหรัฐฯ จากการจ่ายค่าไถ่และการขายข้อมูล
• ความเสียหายของบริษัทเหยื่อ: องค์กรที่ตกเป็นเหยื่อรายงานความเสียหายโดยตรงรวมกว่า 9.5 ล้านดอลลาร์สหรัฐฯ ซึ่งเป็นตัวเลขที่ไม่รวมความเสียหายต่อลูกค้าของพวกเขาเอง
• วิธีการ: กลุ่มจะขโมยข้อมูล จากนั้นข่มขู่จะเผยแพร่หรือขายข้อมูลเหล่านั้นหากไม่จ่ายค่าไถ่ เหยื่ออย่างน้อยหนึ่งรายถูกกรรโชกเป็นครั้งที่สองหลังจากจ่ายเงินครั้งแรก

โทษที่อาจได้รับ

• Moucka เผชิญโทษจำคุกสูงสุด 32 ปีในเรือนจำกลาง ซึ่งรวมถึงโทษขั้นต่ำบังคับสองปีสำหรับข้อหาปลอมแปลงตัวตนโดยเจตนาร้าย
• ยังไม่มีการกำหนดวันพิพากษา ณ เดือนสิงหาคม 2026 ตามข้อตกลงรับสารภาพ Moucka ตกลงที่จะริบทรัพย์สินรวมถึงกระเป๋าเงินคริปโตเคอร์เรนซีและอุปกรณ์คอมพิวเตอร์ ที่ใช้ในการก่ออาชญากรรม
• Moucka ถูกจับกุมในเมืองคิทเชนเนอร์ รัฐออนแทรีโอ เมื่อเดือนตุลาคม 2024 และถูกส่งผู้ร้ายข้ามแดนไปสหรัฐฯ ในเดือนกรกฎาคม 2025

บทเรียนสำคัญ: เรื่องของรหัสผ่านที่ถูกขโมย ไม่ใช่ช่องโหว่ Zero-Day

รายละเอียดสำคัญที่อัยการและผู้เชี่ยวชาญด้านความปลอดภัยเน้นย้ำซ้ำแล้วซ้ำเล่า: ไม่เคยมีการใช้ช่องโหว่ในระบบ Snowflake เลย แคมเปญทั้งหมดอาศัยข้อมูลรับรองล็อกอินที่ถูกขโมยซึ่งใช้กับบัญชี Snowflake ที่ไม่ได้เปิดใช้งานการยืนยันตัวตนแบบหลายปัจจัย นักสืบสวนของ Mandiant (Google) ซึ่งติดตามกลุ่มนี้ในชื่อ UNC5537 อธิบายว่าเป็น "หนึ่งในแคมเปญขโมยข้อมูลรับรองที่ร้ายแรงที่สุดในประวัติศาสตร์ความปลอดภัยของคลาวด์"

คดีนี้เป็นเครื่องเตือนใจที่ชัดเจนสำหรับองค์กรต่างๆ: แม้แต่แพลตฟอร์มคลาวด์ที่ปลอดภัยที่สุด ก็จะปลอดภัยเท่ากับข้อมูลรับรองล็อกอินที่ปกป้องผู้ใช้แต่ละรายเท่านั้น

ขอบเขตของการโจมตี

องค์กร 165 แห่ง ที่ใช้แพลตฟอร์มคลาวด์ของ Snowflake ถูกเจาะระบบ จุดสำคัญคือ ไม่มีการใช้ช่องโหว่ของ Snowflake เอง — ผู้โจมตีใช้ข้อมูลรับรองล็อกอินของลูกค้าที่ถูกขโมยเพื่อเข้าสู่ระบบบัญชีที่ไม่ได้เปิดใช้งานการยืนยันตัวตนแบบหลายปัจจัย (MFA)

ข้อมูลของประชาชนอย่างน้อย 100 ล้านคน ถูกขโมยไป การขโมยครั้งนี้รวมถึงประวัติการโทรและข้อความของลูกค้า AT&T กว่า 100 ล้านราย และข้อมูลลูกค้าและข้อมูลการชำระเงินจากบัญชี TicketMaster กว่า 560 ล้านบัญชี เหยื่อรายใหญ่อื่นๆ ได้แก่ Advance Auto Parts, LendingTree, Neiman Marcus, Santander, Anheuser-Busch, Allstate, Mitsubishi, Progressive และ State Farm

ประเภทของข้อมูลที่ถูกขโมย

ข้อมูลที่ถูกขโมยประกอบด้วย:

• ประวัติการโทรและข้อความ (หมายเลขที่โทรออก วันเวลา ระยะเวลาสนทนา — แต่ไม่ใช่เนื้อหาของการสนทนา)
• ข้อมูลธนาคาร บันทึกเงินเดือน
• หมายเลขประกันสังคม หมายเลขใบขับขี่ หมายเลขหนังสือเดินทาง
• หมายเลขทะเบียนของสำนักงานปราบปรามยาเสพติดสหรัฐฯ (DEA)
• ข้อมูลลูกค้า ข้อมูลการชำระเงิน และ "ข้อมูลที่ละเอียดอ่อนอย่างยิ่ง" อื่นๆ

กลุ่มผู้โจมตีดาวน์โหลดบันทึกข้อมูลลูกค้าที่ละเอียดอ่อนนับพันล้านรายการ คิดเป็นข้อมูลเทราไบต์

ค่าไถ่ การจ่ายเงินรีดไถ และความเสียหายทางการเงิน

• รายได้ส่วนตัวของ Moucka: เขาได้รับเงินส่วนตัวอย่างน้อย 495,000 ดอลลาร์สหรัฐฯ จากการรีดไถเหยื่อและขายข้อมูลที่ขโมยมาบนฟอรั่มแฮกเกอร์ ในกรณีหนึ่ง เขารีดไถเหยื่อซ้ำโดยใช้ข้อมูลที่ขโมยมาของเจ้าหน้าที่รัฐและสมาชิกครอบครัวของอดีตเจ้าหน้าที่รัฐ
• รายได้รวมของแผนการ: Moucka และพรรคพวก (รวมถึง John Erin Binns และ Cameron John Wagenius) สร้างรายได้รวมประมาณ 2.5 ล้านดอลลาร์สหรัฐฯ จากการจ่ายค่าไถ่และการขายข้อมูล
• ความเสียหายของบริษัทเหยื่อ: องค์กรที่ตกเป็นเหยื่อรายงานความเสียหายโดยตรงรวมกว่า 9.5 ล้านดอลลาร์สหรัฐฯ ซึ่งเป็นตัวเลขที่ไม่รวมความเสียหายต่อลูกค้าของพวกเขาเอง
• วิธีการ: กลุ่มจะขโมยข้อมูล จากนั้นข่มขู่จะเผยแพร่หรือขายข้อมูลเหล่านั้นหากไม่จ่ายค่าไถ่ เหยื่ออย่างน้อยหนึ่งรายถูกกรรโชกเป็นครั้งที่สองหลังจากจ่ายเงินครั้งแรก

โทษที่อาจได้รับ

• Moucka เผชิญโทษจำคุกสูงสุด 32 ปีในเรือนจำกลาง ซึ่งรวมถึงโทษขั้นต่ำบังคับสองปีสำหรับข้อหาปลอมแปลงตัวตนโดยเจตนาร้าย
• ยังไม่มีการกำหนดวันพิพากษา ณ เดือนสิงหาคม 2026 ตามข้อตกลงรับสารภาพ Moucka ตกลงที่จะริบทรัพย์สินรวมถึงกระเป๋าเงินคริปโตเคอร์เรนซีและอุปกรณ์คอมพิวเตอร์ ที่ใช้ในการก่ออาชญากรรม
• Moucka ถูกจับกุมในเมืองคิทเชนเนอร์ รัฐออนแทรีโอ เมื่อเดือนตุลาคม 2024 และถูกส่งผู้ร้ายข้ามแดนไปสหรัฐฯ ในเดือนกรกฎาคม 2025

บทเรียนสำคัญ: เรื่องของรหัสผ่านที่ถูกขโมย ไม่ใช่ช่องโหว่ Zero-Day

รายละเอียดสำคัญที่อัยการและผู้เชี่ยวชาญด้านความปลอดภัยเน้นย้ำซ้ำแล้วซ้ำเล่า: ไม่เคยมีการใช้ช่องโหว่ในระบบ Snowflake เลย แคมเปญทั้งหมดอาศัยข้อมูลรับรองล็อกอินที่ถูกขโมยซึ่งใช้กับบัญชี Snowflake ที่ไม่ได้เปิดใช้งานการยืนยันตัวตนแบบหลายปัจจัย นักสืบสวนของ Mandiant (Google) ซึ่งติดตามกลุ่มนี้ในชื่อ UNC5537 อธิบายว่าเป็น "หนึ่งในแคมเปญขโมยข้อมูลรับรองที่ร้ายแรงที่สุดในประวัติศาสตร์ความปลอดภัยของคลาวด์"

คดีนี้เป็นเครื่องเตือนใจที่ชัดเจนสำหรับองค์กรต่างๆ: แม้แต่แพลตฟอร์มคลาวด์ที่ปลอดภัยที่สุด ก็จะปลอดภัยเท่ากับข้อมูลรับรองล็อกอินที่ปกป้องผู้ใช้แต่ละรายเท่านั้น