เกิดอะไรขึ้น: ไขปริศนาแคมเปญ PeopleSoft

ในช่วงต้นเดือนมิถุนายน 2026 ShinyHunters ได้ออกมายอมรับกับสำนักข่าวหลายแห่งว่า พวกเขาสามารถเจาะระบบ Oracle PeopleSoft ทั้งแบบคลาวด์และแบบออน-พรีมิส (On-premises) ขององค์กรต่างๆ ได้สำเร็จมากกว่า 100 แห่ง และอ้างว่าเจาะเข้าไปในระบบ PeopleSoft ได้มากกว่า 300 อินสแตนซ์ (Instances)

วิธีการที่กลุ่มใช้คือ 'Gadget Chain' ซึ่งก็คือการนำเอาช่องโหว่เก่าที่รู้จักกันดีมาผสมผสานและเชื่อมโยงต่อเนื่องกับช่องโหว่วันศูนย์ (Zero-day) ใน PeopleSoft อย่างไรก็ตาม จากข้อมูลที่กลุ่มให้สัมภาษณ์กับ BleepingComputer การโจมตีนี้ไม่ได้ผลกับทุกระบบ ขึ้นอยู่กับว่าแต่ละองค์กรมีการตั้งค่า PeopleSoft อย่างไร

รูปแบบการโจมตีเป็นแบบ "จ่ายหรือข้อมูลรั่ว" (Pay-or-Leak) หมายความว่า หากเหยื่อปฏิเสธที่จะจ่ายค่าไถ่ ข้อมูลที่ถูกขโมยมาจะถูกเผยแพร่บนเว็บไซต์ของ ShinyHunters ทันที

ภาคการศึกษาคือเป้าหมายหลัก

บรรดามหาวิทยาลัยเป็นผู้รับเคราะห์หนักที่สุดในรอบนี้ ShinyHunters มุ่งเป้าไปที่สถาบันอุดมศึกษาเป็นพิเศษ ซึ่งเป็นรูปแบบที่ทำต่อเนื่องมาจากแคมเปญก่อนหน้านี้ในปี 2026 ที่โจมตี Canvas/Instructure และ Salesforce Experience Cloud

มหาวิทยาลัยนอตติงแฮม (University of Nottingham) เป็นหนึ่งในเหยื่อที่ออกมายืนยันว่าถูกโจมตี โดยผู้บุกรุกสามารถเจาะเข้าไปในระบบข้อมูลนักศึกษา Campus Solutions ซึ่งทำงานบน Oracle PeopleSoft ได้ในช่วงปลายเดือนพฤษภาคม 2026 ตัวอย่างข้อมูลที่ ShinyHunters นำมาเผยแพร่ประกอบด้วยระเบียนของนักศึกษา ผู้สมัครเรียน ความช่วยเหลือทางการเงิน ข้อมูลการย้ายถิ่นฐาน สุขภาพ และข้อมูลธุรการ กลุ่มอ้างว่าสามารถขโมยข้อมูลละเอียดอ่อนไปได้กว่า 40 GB รวมถึงข้อมูลการเรียกเก็บเงิน การชำระเงิน รายละเอียดบัตรเครดิต ข้อมูลการเงินนักศึกษา และข้อมูลจากพอร์ทัลของมหาวิทยาลัยในสหราชอาณาจักร มาเลเซีย และจีน

จุดเปลี่ยนกลยุทธ์: จาก "หลอกลวงทางโทรศัพท์" สู่ "ช่องโหว่วันศูนย์"

การโจมตี PeopleSoft ครั้งนี้ถือเป็นการพลิกกลยุทธ์ครั้งสำคัญของ ShinyHunters ตลอดปี 2025 และต้นปี 2026 กลุ่มนี้พึ่งพาการโจมตีโดยอาศัยการละเมิดข้อมูลประจำตัวและการเข้าถึงระบบเป็นหลัก เช่น การหลอกลวงทางโทรศัพท์ (Vishing) การใช้วิศวกรรมสังคม การยึดบัญชี Okta SSO และการใช้ OAuth Tokens อย่างผิดวิธีในการเจาะระบบ รายงานจาก Mandiant และ Google Threat Intelligence Group ระบุว่า ShinyHunters จะปลอมตัวเป็นเจ้าหน้าที่ฝ่ายไอที โทรหาพนักงาน และหลอกให้เข้าไปในเว็บไซต์ฟิชชิ่งที่เลียนแบบพอร์ทัลของบริษัท เพื่อขโมยข้อมูล Single Sign-On และรหัส MFA

ในรายงานสรุปข่าวกรองภัยคุกคามของ Crosswalk ยังได้ระบุอย่างชัดเจนว่า ShinyHunters "แทบจะไม่เคยใช้ประโยชน์จากช่องโหว่ของซอฟต์แวร์เลย" โดยเน้นไปที่การหลอกลวงฝ่ายช่วยเหลือ (Helpdesk), ระบบ MFA ของพนักงาน, และ OAuth Tokens ของ SaaS บุคคลที่สาม ดังนั้น การโจมตี PeopleSoft ครั้งนี้จึงผิดแผกไปจากเดิมอย่างสิ้นเชิง ด้วยการใช้ประโยชน์จากช่องโหว่ของซอฟต์แวร์อย่างแท้จริง ซึ่งรวมถึงช่องโหว่วันศูนย์ ซึ่งเป็นสิ่งที่ไม่เคยพบมาก่อนในปฏิบัติการของพวกเขา

Oracle และหน่วยงานในอังกฤษ: นิ่งเงียบ ไร้การตอบสนองต่อสาธารณะ

จนถึงวันที่ 10 มิถุนายน 2026 Oracle ยังไม่ได้ออกแถลงการณ์ต่อสาธารณะหรือประกาศคำแนะนำด้านความปลอดภัยใดๆ ที่เกี่ยวข้องกับแคมเปญ PeopleSoft นี้โดยเฉพาะ และยังไม่มีการประกาศหรือยืนยันการออกแพตช์ใดๆ ที่เชื่อมโยงกับการโจมตีครั้งนี้

ทางด้านหน่วยงานในสหราชอาณาจักร ซึ่งรวมถึง สำนักงานคณะกรรมการข้อมูลข่าวสาร (ICO) และหน่วยงานบังคับใช้กฎหมาย ก็ยังไม่ได้ออกมาแสดงความคิดเห็นต่อสาธารณะเกี่ยวกับเหตุการณ์นี้แต่อย่างใด โดยมหาวิทยาลัยนอตติงแฮมเป็นผู้จัดการตอบสนองต่อเหตุการณ์ภายในเอง ทั้งการแจ้งนักศึกษาโดยตรง และปิดระบบชั่วคราวเพื่อทำการสอบสวน

ตัวบ่งชี้การโจมตี (IoCs): มีอะไรให้ตรวจสอบบ้าง

จนถึงขณะนี้ ชุมชนผู้เชี่ยวชาญด้านความปลอดภัยยังไม่ได้เผยแพร่ตัวบ่งชี้การบุกรุก (Indicators of Compromise - IoCs) ที่เฉพาะเจาะจงกับ PeopleSoft อย่างเช่น หมายเลข IP หรือลายเซ็นไฟล์ที่เชื่อมโยงกับแคมเปญนี้ในวงกว้าง ถึงแม้ทาง Huntress จะเผยแพร่โปรไฟล์ของภัยคุกคามที่มีตัวบ่งชี้เครือข่ายที่เชื่อมโยงกับโครงสร้างพื้นฐานของ ShinyHunters แต่ข้อมูลเหล่านั้นเกี่ยวข้องกับแคมเปญที่เน้น SaaS เป็นหลัก ไม่ใช่การโจมตี PeopleSoft โดยเฉพาะ

รายงานของ Crosswalk ยังชี้ให้เห็นอีกว่ากลยุทธ์ทั่วไปของ ShinyHunters ที่เกี่ยวกับการละเมิดข้อมูลระบุตัวตนนั้น มักไม่ค่อยทิ้งร่องรอย IoC ที่เฉพาะเจาะจงกับช่องโหว่ของซอฟต์แวร์ ซึ่งทำให้การตามล่าหาภัยคุกคามในแคมเปญนี้ทำได้ยากขึ้นเป็นอย่างมาก

การยกระดับความรุนแรงในปี 2026: รูปแบบการรีดไถขนานใหญ่

แคมเปญ PeopleSoft เป็นส่วนหนึ่งของรูปแบบการโจมตีที่ยกระดับความรุนแรงขึ้นอย่างต่อเนื่องตลอดปี 2026:

• ต้นปี 2026: แคมเปญ AuraInspector โจมตีการตั้งค่า Salesforce Experience Cloud ที่ผิดพลาด โดย ShinyHunters อ้างว่ามีองค์กรได้รับผลกระทบเกือบ 400 แห่ง
• กุมภาพันธ์ 2026: การเจาะระบบ Wynn Resorts ทำให้ข้อมูลพนักงานกว่า 800,000 ระเบียนรั่วไหล โดยช่องทางการเข้าถึงเริ่มต้นก็เชื่อมโยงกับช่องโหว่ใน Oracle PeopleSoft เช่นกัน
• เมษายน–พฤษภาคม 2026: การเจาะระบบ LMS ของ Canvas/Instructure ซึ่งเป็นการขโมยข้อมูลครั้งใหญ่ที่สุดในประวัติศาสตร์ภาคการศึกษา โดย ShinyHunters อ้างว่ามีข้อมูล 275 ล้านระเบียนจากประมาณ 8,000–9,000 สถาบัน
• พฤษภาคม–มิถุนายน 2026: การเจาะระบบ Charter Communications ทำให้ข้อมูลลูกค้า 4.9 ล้านระเบียนรั่วไหล
• มิถุนายน 2026: แคมเปญ Oracle PeopleSoft เพิ่มองค์กรอีก 100+ แห่ง และอีก 300+ อินสแตนซ์

รายงานการสืบสวนการบุกรุกข้อมูลปี 2026 (DBIR) ของ Verizon ยืนยันการเปลี่ยนแปลงเชิงโครงสร้าง: การโจมตีผ่านช่องโหว่ของซอฟต์แวร์ได้แซงหน้าการโจมตีด้วยข้อมูลประจำตัวที่ถูกขโมย กลายเป็นช่องทางการบุกรุกอันดับหนึ่งเป็นครั้งแรกในรอบ 19 ปี

สัญญาณเตือนสำหรับมหาวิทยาลัย

การเปลี่ยนผ่านของ ShinyHunters จากการหลอกลวงพนักงาน มาเป็นการใช้ "ช่องโหว่" เชิงเทคนิคที่แท้จริง สะท้อนให้เห็นถึงแนวโน้มที่กว้างขึ้น และบ่งชี้ว่าแคมเปญเจาะระบบขนานใหญ่ต่อแพลตฟอร์มองค์กรที่ใช้กันแพร่หลายมีแนวโน้มที่จะดำเนินต่อไป

สำหรับมหาวิทยาลัย บทเรียนครั้งนี้ชัดเจนอย่างยิ่ง ซัพพลายเชนของซอฟต์แวร์แบบรวมศูนย์เดียวกันที่ทำให้แพลตฟอร์มอย่าง Canvas และ PeopleSoft กลายเป็นสิ่งจำเป็นสำหรับการเรียนทางไกลและการบริหารจัดการ ก็ได้ทำให้มันกลายเป็นจุดล้มเหลวเพียงจุดเดียว (Single Point of Failure) ที่อาจนำไปสู่หายนะ เมื่อผู้โจมตีพบจุดอ่อนที่ยังไม่ได้ถูกแก้ไข

เกิดอะไรขึ้น: ไขปริศนาแคมเปญ PeopleSoft

ในช่วงต้นเดือนมิถุนายน 2026 ShinyHunters ได้ออกมายอมรับกับสำนักข่าวหลายแห่งว่า พวกเขาสามารถเจาะระบบ Oracle PeopleSoft ทั้งแบบคลาวด์และแบบออน-พรีมิส (On-premises) ขององค์กรต่างๆ ได้สำเร็จมากกว่า 100 แห่ง และอ้างว่าเจาะเข้าไปในระบบ PeopleSoft ได้มากกว่า 300 อินสแตนซ์ (Instances)

วิธีการที่กลุ่มใช้คือ 'Gadget Chain' ซึ่งก็คือการนำเอาช่องโหว่เก่าที่รู้จักกันดีมาผสมผสานและเชื่อมโยงต่อเนื่องกับช่องโหว่วันศูนย์ (Zero-day) ใน PeopleSoft อย่างไรก็ตาม จากข้อมูลที่กลุ่มให้สัมภาษณ์กับ BleepingComputer การโจมตีนี้ไม่ได้ผลกับทุกระบบ ขึ้นอยู่กับว่าแต่ละองค์กรมีการตั้งค่า PeopleSoft อย่างไร

รูปแบบการโจมตีเป็นแบบ "จ่ายหรือข้อมูลรั่ว" (Pay-or-Leak) หมายความว่า หากเหยื่อปฏิเสธที่จะจ่ายค่าไถ่ ข้อมูลที่ถูกขโมยมาจะถูกเผยแพร่บนเว็บไซต์ของ ShinyHunters ทันที

ภาคการศึกษาคือเป้าหมายหลัก

บรรดามหาวิทยาลัยเป็นผู้รับเคราะห์หนักที่สุดในรอบนี้ ShinyHunters มุ่งเป้าไปที่สถาบันอุดมศึกษาเป็นพิเศษ ซึ่งเป็นรูปแบบที่ทำต่อเนื่องมาจากแคมเปญก่อนหน้านี้ในปี 2026 ที่โจมตี Canvas/Instructure และ Salesforce Experience Cloud

มหาวิทยาลัยนอตติงแฮม (University of Nottingham) เป็นหนึ่งในเหยื่อที่ออกมายืนยันว่าถูกโจมตี โดยผู้บุกรุกสามารถเจาะเข้าไปในระบบข้อมูลนักศึกษา Campus Solutions ซึ่งทำงานบน Oracle PeopleSoft ได้ในช่วงปลายเดือนพฤษภาคม 2026 ตัวอย่างข้อมูลที่ ShinyHunters นำมาเผยแพร่ประกอบด้วยระเบียนของนักศึกษา ผู้สมัครเรียน ความช่วยเหลือทางการเงิน ข้อมูลการย้ายถิ่นฐาน สุขภาพ และข้อมูลธุรการ กลุ่มอ้างว่าสามารถขโมยข้อมูลละเอียดอ่อนไปได้กว่า 40 GB รวมถึงข้อมูลการเรียกเก็บเงิน การชำระเงิน รายละเอียดบัตรเครดิต ข้อมูลการเงินนักศึกษา และข้อมูลจากพอร์ทัลของมหาวิทยาลัยในสหราชอาณาจักร มาเลเซีย และจีน

จุดเปลี่ยนกลยุทธ์: จาก "หลอกลวงทางโทรศัพท์" สู่ "ช่องโหว่วันศูนย์"

การโจมตี PeopleSoft ครั้งนี้ถือเป็นการพลิกกลยุทธ์ครั้งสำคัญของ ShinyHunters ตลอดปี 2025 และต้นปี 2026 กลุ่มนี้พึ่งพาการโจมตีโดยอาศัยการละเมิดข้อมูลประจำตัวและการเข้าถึงระบบเป็นหลัก เช่น การหลอกลวงทางโทรศัพท์ (Vishing) การใช้วิศวกรรมสังคม การยึดบัญชี Okta SSO และการใช้ OAuth Tokens อย่างผิดวิธีในการเจาะระบบ รายงานจาก Mandiant และ Google Threat Intelligence Group ระบุว่า ShinyHunters จะปลอมตัวเป็นเจ้าหน้าที่ฝ่ายไอที โทรหาพนักงาน และหลอกให้เข้าไปในเว็บไซต์ฟิชชิ่งที่เลียนแบบพอร์ทัลของบริษัท เพื่อขโมยข้อมูล Single Sign-On และรหัส MFA

ในรายงานสรุปข่าวกรองภัยคุกคามของ Crosswalk ยังได้ระบุอย่างชัดเจนว่า ShinyHunters "แทบจะไม่เคยใช้ประโยชน์จากช่องโหว่ของซอฟต์แวร์เลย" โดยเน้นไปที่การหลอกลวงฝ่ายช่วยเหลือ (Helpdesk), ระบบ MFA ของพนักงาน, และ OAuth Tokens ของ SaaS บุคคลที่สาม ดังนั้น การโจมตี PeopleSoft ครั้งนี้จึงผิดแผกไปจากเดิมอย่างสิ้นเชิง ด้วยการใช้ประโยชน์จากช่องโหว่ของซอฟต์แวร์อย่างแท้จริง ซึ่งรวมถึงช่องโหว่วันศูนย์ ซึ่งเป็นสิ่งที่ไม่เคยพบมาก่อนในปฏิบัติการของพวกเขา

Oracle และหน่วยงานในอังกฤษ: นิ่งเงียบ ไร้การตอบสนองต่อสาธารณะ

จนถึงวันที่ 10 มิถุนายน 2026 Oracle ยังไม่ได้ออกแถลงการณ์ต่อสาธารณะหรือประกาศคำแนะนำด้านความปลอดภัยใดๆ ที่เกี่ยวข้องกับแคมเปญ PeopleSoft นี้โดยเฉพาะ และยังไม่มีการประกาศหรือยืนยันการออกแพตช์ใดๆ ที่เชื่อมโยงกับการโจมตีครั้งนี้

ทางด้านหน่วยงานในสหราชอาณาจักร ซึ่งรวมถึง สำนักงานคณะกรรมการข้อมูลข่าวสาร (ICO) และหน่วยงานบังคับใช้กฎหมาย ก็ยังไม่ได้ออกมาแสดงความคิดเห็นต่อสาธารณะเกี่ยวกับเหตุการณ์นี้แต่อย่างใด โดยมหาวิทยาลัยนอตติงแฮมเป็นผู้จัดการตอบสนองต่อเหตุการณ์ภายในเอง ทั้งการแจ้งนักศึกษาโดยตรง และปิดระบบชั่วคราวเพื่อทำการสอบสวน

ตัวบ่งชี้การโจมตี (IoCs): มีอะไรให้ตรวจสอบบ้าง

จนถึงขณะนี้ ชุมชนผู้เชี่ยวชาญด้านความปลอดภัยยังไม่ได้เผยแพร่ตัวบ่งชี้การบุกรุก (Indicators of Compromise - IoCs) ที่เฉพาะเจาะจงกับ PeopleSoft อย่างเช่น หมายเลข IP หรือลายเซ็นไฟล์ที่เชื่อมโยงกับแคมเปญนี้ในวงกว้าง ถึงแม้ทาง Huntress จะเผยแพร่โปรไฟล์ของภัยคุกคามที่มีตัวบ่งชี้เครือข่ายที่เชื่อมโยงกับโครงสร้างพื้นฐานของ ShinyHunters แต่ข้อมูลเหล่านั้นเกี่ยวข้องกับแคมเปญที่เน้น SaaS เป็นหลัก ไม่ใช่การโจมตี PeopleSoft โดยเฉพาะ

รายงานของ Crosswalk ยังชี้ให้เห็นอีกว่ากลยุทธ์ทั่วไปของ ShinyHunters ที่เกี่ยวกับการละเมิดข้อมูลระบุตัวตนนั้น มักไม่ค่อยทิ้งร่องรอย IoC ที่เฉพาะเจาะจงกับช่องโหว่ของซอฟต์แวร์ ซึ่งทำให้การตามล่าหาภัยคุกคามในแคมเปญนี้ทำได้ยากขึ้นเป็นอย่างมาก

การยกระดับความรุนแรงในปี 2026: รูปแบบการรีดไถขนานใหญ่

แคมเปญ PeopleSoft เป็นส่วนหนึ่งของรูปแบบการโจมตีที่ยกระดับความรุนแรงขึ้นอย่างต่อเนื่องตลอดปี 2026:

• ต้นปี 2026: แคมเปญ AuraInspector โจมตีการตั้งค่า Salesforce Experience Cloud ที่ผิดพลาด โดย ShinyHunters อ้างว่ามีองค์กรได้รับผลกระทบเกือบ 400 แห่ง
• กุมภาพันธ์ 2026: การเจาะระบบ Wynn Resorts ทำให้ข้อมูลพนักงานกว่า 800,000 ระเบียนรั่วไหล โดยช่องทางการเข้าถึงเริ่มต้นก็เชื่อมโยงกับช่องโหว่ใน Oracle PeopleSoft เช่นกัน
• เมษายน–พฤษภาคม 2026: การเจาะระบบ LMS ของ Canvas/Instructure ซึ่งเป็นการขโมยข้อมูลครั้งใหญ่ที่สุดในประวัติศาสตร์ภาคการศึกษา โดย ShinyHunters อ้างว่ามีข้อมูล 275 ล้านระเบียนจากประมาณ 8,000–9,000 สถาบัน
• พฤษภาคม–มิถุนายน 2026: การเจาะระบบ Charter Communications ทำให้ข้อมูลลูกค้า 4.9 ล้านระเบียนรั่วไหล
• มิถุนายน 2026: แคมเปญ Oracle PeopleSoft เพิ่มองค์กรอีก 100+ แห่ง และอีก 300+ อินสแตนซ์

รายงานการสืบสวนการบุกรุกข้อมูลปี 2026 (DBIR) ของ Verizon ยืนยันการเปลี่ยนแปลงเชิงโครงสร้าง: การโจมตีผ่านช่องโหว่ของซอฟต์แวร์ได้แซงหน้าการโจมตีด้วยข้อมูลประจำตัวที่ถูกขโมย กลายเป็นช่องทางการบุกรุกอันดับหนึ่งเป็นครั้งแรกในรอบ 19 ปี

สัญญาณเตือนสำหรับมหาวิทยาลัย

การเปลี่ยนผ่านของ ShinyHunters จากการหลอกลวงพนักงาน มาเป็นการใช้ "ช่องโหว่" เชิงเทคนิคที่แท้จริง สะท้อนให้เห็นถึงแนวโน้มที่กว้างขึ้น และบ่งชี้ว่าแคมเปญเจาะระบบขนานใหญ่ต่อแพลตฟอร์มองค์กรที่ใช้กันแพร่หลายมีแนวโน้มที่จะดำเนินต่อไป

สำหรับมหาวิทยาลัย บทเรียนครั้งนี้ชัดเจนอย่างยิ่ง ซัพพลายเชนของซอฟต์แวร์แบบรวมศูนย์เดียวกันที่ทำให้แพลตฟอร์มอย่าง Canvas และ PeopleSoft กลายเป็นสิ่งจำเป็นสำหรับการเรียนทางไกลและการบริหารจัดการ ก็ได้ทำให้มันกลายเป็นจุดล้มเหลวเพียงจุดเดียว (Single Point of Failure) ที่อาจนำไปสู่หายนะ เมื่อผู้โจมตีพบจุดอ่อนที่ยังไม่ได้ถูกแก้ไข