NoName057(16) เปลี่ยนการโจมตี DDoS ให้เป็นเกมชวนเชื่อแบบมีค่าตอบแทนได้อย่างไร

งานวิจัยจากมหาวิทยาลัย Aalto นำเสนอภาพของ NoName057(16) ที่มากกว่ากลุ่มแฮกทิวิสต์ทั่วไป กลุ่มที่สนับสนุนรัสเซียนี้ผสานการโจมตีแบบปฏิเสธการให้บริการแบบกระจาย หรือ DDoS เข้ากับโฆษณาชวนเชื่อ การสรรหาสมาชิกด้วยอุดมการณ์ และแรงจูงใจทางการเงิน จนกลายเป็นโมเดลที่อยู่ก้ำกึ่งระหว่างแฮกทิวิซึม ปฏิบัติการไซเบอร์เชิงภูมิรัฐศาสตร์ และอาชญากรรมไซเบอร์ 12

บทเรียนสำคัญคือ เว็บไซต์ที่ล่มเพียงชั่วคราวอาจถูกใช้เพื่อเป้าหมายทางการเมืองที่ยืดเยื้อกว่าเดิม นั่นคือทำให้สถาบันต่าง ๆ ดูเปราะบาง ขยายความหวาดกลัว และชักนำให้ประชาชนไม่ไว้วางใจองค์กรที่รับผิดชอบบริการจำเป็น

เป้าหมายที่แท้จริงไม่ได้มีแค่การทำให้ระบบล่ม

NoName057(16) เปิดฉากโจมตี DDoS นับพันครั้งต่อองค์กรภาครัฐและเอกชน โดยส่วนใหญ่อยู่ในประเทศสมาชิก NATO และประเทศอื่น ๆ ในยุโรป รวมถึงฟินแลนด์ 2 การโจมตี DDoS คือการส่งคำขอหรือปริมาณข้อมูลจำนวนมหาศาลเข้าใส่บริการออนไลน์ จนผู้ใช้งานทั่วไปไม่สามารถเข้าถึงได้

ผลที่เห็นทันทีอาจเป็นเพียงการใช้งานเว็บไซต์ไม่ได้ชั่วคราว แต่การวิเคราะห์ของ Aalto ระบุว่าเหตุขัดข้องเหล่านี้ยังถูกใช้เป็นเวทีเผยแพร่โฆษณาชวนเชื่อ เพื่อทำให้ฝ่ายตรงข้ามสูญเสียความชอบธรรม 2

ดังนั้น แคมเปญดังกล่าวจึงเข้าข่ายภัยคุกคามแบบผสมผสาน ปฏิบัติการทางเทคนิคสร้างเหตุการณ์ที่มองเห็นได้ ขณะที่ข้อความที่เผยแพร่รอบเหตุการณ์จะเปลี่ยนเหตุขัดข้องนั้นให้กลายเป็นเรื่องเล่าทางการเมือง เป้าหมายอาจไม่ใช่การสร้างความเสียหายต่อระบบอย่างถาวร แต่เป็นการสร้างความกังวล ทำลายชื่อเสียง และลดความเชื่อมั่นต่อรัฐบาล สถาบัน และบริการสำคัญ 12

DDoSia ทำให้การเข้าร่วมโจมตีเป็นเรื่องง่าย

รูปแบบการทำงานของกลุ่มอาศัยการกระจายงานจำนวนมากไปยังเครือข่ายผู้สนับสนุน อาสาสมัครถูกชักชวนผ่าน Telegram และได้รับสิทธิ์เข้าถึง DDoSia เครื่องมือที่ใช้ประสานการโจมตีเป้าหมายซึ่งเครือข่ายเป็นผู้เลือกหรือผลักดัน 23443

โมเดลนี้ลดข้อจำกัดด้านทักษะ ผู้เข้าร่วมไม่จำเป็นต้องพัฒนาช่องโหว่หรือเครื่องมือโจมตีที่ซับซ้อน เพียงจัดสรรทรัพยากรคอมพิวเตอร์ผ่านเครื่องมือดังกล่าวและทำตามโครงสร้างแคมเปญของกลุ่ม การดำเนินงานจึงมีลักษณะมาจากมวลชน แต่ยังถูกกำกับจากส่วนกลางผ่านการเลือกเป้าหมาย การสื่อสาร และระบบจูงใจด้านผลงาน 234

ผลลัพธ์คือชุมชนออนไลน์ที่สามารถระดมคนรอบเหตุการณ์ทางการเมืองและความรู้สึกว่ากำลังสนับสนุนฝ่ายต่อต้านรัสเซีย ขณะเดียวกันก็ยังมีลักษณะบางส่วนคล้ายบริการอาชญากรรมไซเบอร์แบบรับจ้าง ด้วยเหตุนี้ Aalto จึงมองว่าโมเดลของกลุ่มทำให้เส้นแบ่งระหว่างแฮกทิวิซึมเชิงอุดมการณ์ สงครามไซเบอร์เชิงภูมิรัฐศาสตร์ และอาชญากรรมไซเบอร์ที่มุ่งผลตอบแทนทางการเงินพร่าเลือนลง 23

เหตุใดการเรียกว่า “เกมออนไลน์เพื่อชาติ” จึงสำคัญ

DDoSia ไม่ได้ถูกนำเสนอในฐานะซอฟต์แวร์โจมตีเพียงอย่างเดียว โครงการนี้วางกรอบการมีส่วนร่วมให้เป็น “เกมออนไลน์เพื่อชาติ” เพื่อทำให้ผู้เข้าร่วมมองกิจกรรมที่ก่อกวนระบบว่าเป็นการแสดงออกเชิงชาตินิยมหรือการทำหน้าที่ต่อสังคม มากกว่าจะเป็นการกระทำผิดทางไซเบอร์ 338

โครงสร้างแบบเกมช่วยการสรรหาและรักษาสมาชิก ด้วยการมอบอัตลักษณ์ร่วม เป้าหมายที่เห็นได้ชัด และความรู้สึกของการแข่งขัน รายงานเกี่ยวกับโครงการยังกล่าวถึงแรงจูงใจที่ผูกกับอันดับหรือผลงาน แม้รายละเอียดของกลไกและรูปแบบการจ่ายเงินจะเปลี่ยนแปลงไปตามแหล่งข่าวและช่วงเวลา 3944

การผสมผสานนี้มีประโยชน์เชิงยุทธศาสตร์ อุดมการณ์ช่วยสร้างแรงผลักดัน รูปแบบเกมทำให้การเข้าร่วมดูง่ายและเป็นกิจกรรมของชุมชน ส่วนรางวัลทางการเงินก็เป็นเหตุผลเพิ่มเติมให้สมาชิกกลับมามีส่วนร่วมอย่างต่อเนื่อง

คริปโตเพิ่มแรงจูงใจเชิงพาณิชย์

โครงการนี้เคยมอบรางวัลเป็นสกุลเงินดิจิทัลแก่ผู้เข้าร่วมที่ช่วยให้การโจมตีประสบผลสำเร็จ รายงานก่อนหน้านี้ระบุว่า เงินรางวัลอาจสูงถึง 80,000 รูเบิลรัสเซีย หรือประมาณ 1,200 ดอลลาร์สหรัฐในขณะนั้น สำหรับการโจมตี DDoS ที่ประสบความสำเร็จ 46

ระบบรางวัลทำให้เส้นแบ่งระหว่างอาสาสมัครที่มีแรงจูงใจทางการเมืองกับอาชญากรไซเบอร์ที่ได้รับค่าจ้างยิ่งซับซ้อนขึ้น ผู้เข้าร่วมบางคนอาจสนใจข้อความสนับสนุนรัสเซีย บางคนสนใจประสบการณ์ทางสังคม รูปแบบการแข่งขัน หรือโอกาสได้รับเงิน Aalto พบว่าแรงจูงใจเหล่านี้สามารถเกิดขึ้นพร้อมกันได้ ไม่จำเป็นต้องแยกจากกัน 2

อย่างไรก็ตาม หลักฐานที่มีอยู่ไม่ได้ยืนยันว่าผู้เข้าร่วมทุกคนได้รับเงิน หรือการโจมตีทุกครั้งเกิดจากแรงจูงใจด้านการเงิน ข้อสรุปที่หนักแน่นกว่าคือ คริปโตทำให้กลุ่มมีเครื่องมือเพิ่มเติมในการสรรหาและจูงใจสมาชิก ควบคู่ไปกับการใช้แรงดึงดูดทางอุดมการณ์

ฟินแลนด์สะท้อนขนาดของปฏิบัติการ

มหาวิทยาลัย Aalto ระบุว่า ตั้งแต่วันที่ 7 มกราคม 2025 NoName057(16) เปิดฉากโจมตีเป้าหมายในฟินแลนด์ 23 รอบ กระทบองค์กรภาครัฐและเอกชน 129 แห่ง เป้าหมายประกอบด้วยรัฐสภาและหน่วยงานรัฐบาล เทศบาล ธนาคารและสถาบันการเงิน ตลอดจนผู้ให้บริการโครงสร้างพื้นฐานสำคัญ นอกจากนี้ Aalto ยังรายงานว่าการโจมตีเพิ่มขึ้นหลังฟินแลนด์เข้าร่วม NATO ในปี 2023 1

ในยุโรป ผลกระทบโดยตรงของการโจมตีลักษณะนี้อาจเป็นการสูญเสียการเข้าถึงบริการออนไลน์ชั่วคราว แต่ผลกระทบในวงกว้างกว่าคือการสร้างภาพว่า หน่วยงานรัฐ องค์กรการเงิน หรือผู้ให้บริการที่จำเป็นไม่สามารถปกป้อง “ประตูดิจิทัล” ของตนได้อย่างน่าเชื่อถือ ภาพจำดังกล่าวมีคุณค่าสำหรับผู้โจมตี แม้ระบบจะกลับมาใช้งานได้อย่างรวดเร็ว

Operation Eastwood เปลี่ยนแปลงอะไร และยังพิสูจน์อะไรไม่ได้

ระหว่างวันที่ 14–17 กรกฎาคม 2025 Europol และ Eurojust ประสานงานปฏิบัติการระหว่างประเทศชื่อ Operation Eastwood เพื่อจัดการบุคลากรและโครงสร้างพื้นฐานของ NoName057(16) เจ้าหน้าที่จากเช็กเกีย ฝรั่งเศส ฟินแลนด์ เยอรมนี อิตาลี ลิทัวเนีย โปแลนด์ สเปน สวีเดน สวิตเซอร์แลนด์ เนเธอร์แลนด์ และสหรัฐอเมริกา ดำเนินการพร้อมกัน 17

ปฏิบัติการดังกล่าวทำให้โครงสร้างพื้นฐานที่ใช้โจมตี ซึ่งประกอบด้วยระบบคอมพิวเตอร์มากกว่า 100 ระบบทั่วโลกหยุดชะงัก และทำให้โครงสร้างเซิร์ฟเวอร์ส่วนกลางส่วนใหญ่ของกลุ่มออฟไลน์ 17 รายงานอื่น ๆ ยังระบุถึงการจับกุม การตรวจค้น และการออกหมายจับควบคู่กับการทำให้โครงสร้างพื้นฐานหยุดทำงาน 1723

นี่คือความเสียหายเชิงปฏิบัติการครั้งสำคัญ แต่คำว่า “หยุดชะงัก” ไม่ได้หมายความว่ากลุ่มถูกกำจัดอย่างถาวร หลักฐานที่มีอยู่ยังไม่แสดงว่าโมเดลการสรรหา ข้อความทางการเมือง หรือผลกระทบจากโฆษณาชวนเชื่อยุติลงแล้ว โครงสร้างแบบระดมคนจากมวลชนอาจปรับตัวได้เมื่อเซิร์ฟเวอร์หรือผู้ดูแลบางรายถูกนำออกจากระบบ

องค์กรควรรับมืออย่างไร

การวิเคราะห์ของ Aalto ชี้ว่า การรับมือควรกว้างกว่าการป้องกัน DDoS ตามปกติ องค์กรควรนำเป้าหมายทางการเมือง รูปแบบการดำเนินงาน และแรงจูงใจของผู้โจมตีมาไว้ในการสร้างแบบจำลองภัยคุกคาม การประเมินความเสี่ยง และการจัดการเหตุการณ์ ไม่ควรมองเหตุการณ์เหล่านี้เป็นเพียงปัญหาด้านความพร้อมใช้งานของระบบ 2

นั่นหมายถึงการเตรียมทั้งด้านเทคนิคและการสื่อสารไปพร้อมกัน:

• เตรียมรับมือเรื่องเล่า ไม่ใช่แค่เว็บไซต์ล่ม ระบุว่าบริการ สถาบัน และกลุ่มผู้ใช้งานใดอาจได้รับผลกระทบ พร้อมวางแผนชี้แจงเหตุการณ์อย่างถูกต้อง
• ประสานทีมความปลอดภัยกับทีมสื่อสาร ทีมไซเบอร์ช่วยยืนยันว่าเกิดอะไรขึ้นและบริการใดยังใช้งานได้ ส่วนทีมสื่อสารควรรับมือข่าวลือ การข่มขู่ และข้อความที่ทำให้เข้าใจผิด
• สื่อสารอย่างโปร่งใสและน่าเชื่อถือ การลดทอนความรุนแรงหรือปกปิดการโจมตีอาจเปิดช่องให้โฆษณาชวนเชื่อของฝ่ายเป็นปฏิปักษ์เข้ามาเติมเต็มข้อมูล การอัปเดตที่ชัดเจนช่วยป้องกันไม่ให้เหตุขัดข้องชั่วคราวถูกนำเสนอราวกับเป็นการล่มสลายของสถาบัน 2
• วัดการฟื้นตัวให้ไกลกว่าสถานะออนไลน์ การทำให้เว็บไซต์กลับมาใช้งานได้เป็นสิ่งจำเป็น แต่อองค์กรควรประเมินความเชื่อมั่นของประชาชน ความเสียหายต่อชื่อเสียง และการแพร่กระจายของข้อความเท็จเกี่ยวกับเหตุการณ์ด้วย

นัยสำคัญที่สุดจากงานศึกษานี้จึงอยู่ที่ระดับยุทธศาสตร์ DDoSia เปลี่ยนผู้ใช้อินเทอร์เน็ตทั่วไปให้กลายเป็นผู้มีส่วนร่วมในปฏิบัติการสร้างอิทธิพลที่ประสานงานกัน ขณะเดียวกันก็ทำให้การก่อกวนทางไซเบอร์ดูคล้ายเกม การป้องกันภัยรูปแบบนี้จึงต้องอาศัยทั้งโครงสร้างพื้นฐานที่ยืดหยุ่น และความสามารถในการโต้แย้งเรื่องเล่าที่ถูกสร้างขึ้นรอบการโจมตี