ปฏิบัติการ ‘TheHatman’: เปิดโปงการขโมยข้อมูลพนักงาน 1.4 ล้านรายชื่อจากบริษัท Fortune 500 ผ่านช่องโหว่ Azure

• McDonald's Corporation — ประมาณ 1,700,000+ รายการ
• Tata Consultancy Services (TCS) — ประมาณ 800,000+ รายการ (TCS ระบุว่าข้อมูลน่าจะมีอายุมากกว่า 4 ปี และไม่สามารถยืนยันได้ว่ารั่วไหลจริง)
• Vodafone — ประมาณ 425,000+ รายการ
• HCL Technologies — 250,000+ รายการ (HCL ออกมาปฏิเสธและไม่พบหลักฐานการรั่วไหล)
• Kyndryl — ข้อมูลไดเรกทอรีพนักงานทั้งหมด
• InterContinental Hotels Group (IHG) — ข้อมูลไดเรกทอรีพนักงาน
• Gap Inc. — ข้อมูลไดเรกทอรีพนักงาน
• Hexaware Technologies — ข้อมูลไดเรกทอรีพนักงาน
• Wyndham Hotels & Resorts — ข้อมูลไดเรกทอรีพนักงาน

ข้อควรระวัง: บริษัทที่ถูกพาดพิงหลายแห่ง เช่น TCS และ HCLTech ออกแถลงการณ์ว่าตรวจสอบแล้วไม่พบร่องรอยการถูกเจาะระบบ และชี้ว่าข้อมูลดังกล่าวอาจมีอายุหลายปีและเป็นข้อมูลพื้นฐานทั่วไปของพนักงาน แสดงให้เห็นว่าข้อมูลเหล่านี้อาจถูกสะสมจากการรั่วไหลเก่า หรือการเข้าถึงผ่านระบบของบุคคลที่สาม ไม่ใช่การเจาะระบบโดยตรงใน Azure tenant ของแต่ละบริษัท

ข้อมูลที่ถูกขโมยมีอะไรบ้าง?

ข้อมูลที่ถูกขโมยคือไฟล์ส่งออกข้อมูลพนักงานมาตรฐานของ Azure AD / Entra ID ซึ่งโดยทั่วไปประกอบไปด้วย :

• ชื่อ-นามสกุลพนักงาน
• อีเมลของบริษัท
• รหัสพนักงาน / รหัสผู้ใช้
• ตำแหน่งงานและชื่อแผนก
• ฟิลด์ "รายงานต่อ" ผู้จัดการ
• เบอร์โทรศัพท์
• โครงสร้างลำดับชั้นภายในองค์กร

ที่น่าสนใจคือ ประกาศขายข้อมูลเหล่านี้มี ภาพหน้าจอของพอร์ทัล Azure / Entra ID เพื่อยืนยันที่มาของข้อมูล ข้อมูลที่ถูกขโมย ไม่มี ข้อมูลทางการเงินของลูกค้า รหัสผ่าน หรือเอกสารลับทางธุรกิจ

ผู้โจมตีเข้าไปได้อย่างไร?

แม้ Hudson Rock ยังไม่ได้ตีพิมพ์บทวิเคราะห์ที่แน่ชัดถึงสาเหตุของปฏิบัติการนี้ แต่หลักฐานและรูปแบบการโจมตีของภัยคุกคามอื่นๆ ที่คล้ายคลึงกัน ชี้ชัดไปที่หลายทาง:

การขโมยข้อมูลรับรอง (Credential) จากมัลแวร์ขโมยข้อมูล (Infostealer) เป็นรูปแบบที่น่าจะเป็นไปได้มากที่สุด มัลแวร์ตระกูล Lumma, RedLine และ Vidar ทำหน้าที่ขโมยข้อมูลที่บันทึกไว้ในเบราว์เซอร์, คุกกี้เซสชัน (session cookies) และโทเคน MFA การสอบสวนในคดีของกลุ่ม "Zestix" ที่ Hudson Rock ทำไว้ก่อนหน้านี้ แสดงให้เห็นว่าการขโมยข้อมูลรับรองจาก infostealer logs เป็นรูปแบบหลักในการเข้าถึงระบบคลาวด์ และองค์กรจำนวนมากไม่ได้เปิดใช้งาน MFA บนพอร์ทัลคลาวด์ของตน

การขโมยคุกกี้เซสชัน (Session Cookie Theft) เป็นอีกหนึ่งช่องทางที่ช่วยให้ผู้โจมตีหลีกเลี่ยงการกรอกรหัสผ่านได้เลย มัลแวร์ขโมยข้อมูลจะขโมยคุกกี้เซสชันที่กำลังใช้งานสำหรับ Azure / Entra ID ทำให้ผู้โจมตีสามารถปลอมตัวเป็นผู้ใช้ที่ถูกต้อง และบางครั้งหลบเลี่ยงการยืนยันตัวตนแบบหลายปัจจัย (MFA) ได้สำเร็จ

ไม่มี MFA หรือ MFA ที่อ่อนแอ เป็นอีกปัจจัยสำคัญ รายงานจาก Hudson Rock ในเดือนมกราคม 2026 พบว่าองค์กรหลายสิบแห่งถูกขโมยข้อมูลจากระบบคลาวด์ เนื่องจากไม่ได้เปิดใช้งาน MFA บนพอร์ทัลสำหรับผู้ดูแลระบบ

การโจมตีผ่านการใช้งานบุคคลที่สาม ก็เป็นไปได้เช่นกัน เหตุการณ์ LiteLLM supply-chain breach ในเดือนมีนาคม 2026 เป็นตัวอย่างชัดเจนที่เกตเวย์ AI แบบโอเพนซอร์สที่ถูกบุกรุก ทำให้ข้อมูลรับรอง CI/CD ขององค์กรกว่า 2,488 แห่งถูกเปิดเผย บริษัทบางแห่งในเหยื่อของ TheHatman ก็ปรากฏตัวในเหยื่อของ LiteLLM เช่นกัน แม้จะยังไม่มีการยืนยันความเชื่อมโยงโดยตรง

ความเสี่ยงทันที

แม้ข้อมูลที่ถูกขโมยจะไม่มีรหัสผ่านหรือข้อมูลทางการเงิน แต่ข้อมูลพนักงานเหล่านี้ก็สามารถนำไปใช้ในการโจมตีที่มีผลกระทบสูงได้หลายวิธี:

• Business Email Compromise (BEC): ด้วยแผนผังองค์กร สายบังคับบัญชา และอีเมลที่ถูกต้อง ผู้โจมตีสามารถแอบอ้างเป็นผู้บริหารระดับสูง (CEO/CFO) เพื่ออนุมัติการโอนเงินปลอมหรือการชำระเงินทุจริต
• Spear-Phishing: ข้อมูลตำแหน่งงาน แผนก และโครงสร้างผู้บังคับบัญชาที่ละเอียด ช่วยให้สร้างอีเมลหลอกลวงที่โน้มน้าวใจและเจาะจงเป้าหมายได้อย่างมีประสิทธิภาพ
• การยกระดับสิทธิ์และการเคลื่อนที่ในแนวราบ (Lateral Movement): หากข้อมูลรับรองที่ถูกขโมยเป็นของผู้ดูแลระบบ Azure AD ระดับ Global Administrator ผู้โจมตีอาจสามารถกำหนดค่า Tenant ใหม่ สร้างบัญชีหลังบ้าน เข้าถึงบริการ Microsoft 365 ต่าง ๆ หรือแม้กระทั่งข้อมูลใน SharePoint และ Teams
• Identity Theft และ Social Engineering: ข้อมูลส่วนบุคคลและบริบทขององค์กรที่นำไปใช้ในการปลอมแปลงตัวตนพนักงาน เมื่อโทรศัพท์หรือส่งอีเมลถึงฝ่ายไอที เพื่อขอรีเซ็ตรหัสผ่านหรือเปลี่ยนอุปกรณ์ยืนยันตัวตน

การโจมตีครั้งนี้สอดคล้องกับแนวโน้มปี 2026 อย่างไร

ปฏิบัติการ TheHatman เป็นตัวอย่างของแนวโน้มอาชญากรรมไซเบอร์ที่เปลี่ยนไปอย่างมีนัยสำคัญในช่วงปี 2025–2026:

1. Ransomware ลดความสำคัญลง หันมาใช้การขโมยข้อมูลเพื่อเรียกค่าไถ่แทน อาชญากรไซเบอร์จำนวนมาก เลือกข้ามขั้นตอนการเข้ารหัสไฟล์ไปเลย พวกเขาจะขโมยข้อมูลก่อน แล้วขู่ว่าจะเผยแพร่หรือขายถ้าไม่ได้รับเงิน วิธีนี้เร็วกว่า เงียบกว่า และหลีกเลี่ยงความซับซ้อนในการใช้งาน ransomware ทั้งเครือข่าย

2. การโจมตีระบบคลาวด์โดยใช้ข้อมูลรับรองที่ถูกขโมยเป็นรูปแบบหลัก ช่องโหว่ด้านซอฟต์แวร์ไม่ใช่ช่องทางหลักอีกต่อไป แต่เป็นการ ยึดข้อมูลประจำตัว: มัลแวร์ขโมยข้อมูลและฟิชชิ่งจะเก็บเกี่ยวข้อมูลรับรองที่ถูกต้อง จากนั้นผู้โจมตีจะใช้ข้อมูลนั้นเข้าสู่ระบบคลาวด์โดยตรงในฐานะผู้ใช้ที่ถูกต้อง (Azure, AWS, ShareFile, Nextcloud) รูปแบบของ Zestix และ TheHatman แทบจะเหมือนกัน

3. นายหน้าขายการเข้าถึงระบบ (Initial Access Brokers - IABs) กำลังขยายตัว TheHatman ดูเหมือนจะทำตัวเป็นผู้ขายข้อมูลที่ถูกขโมย ซึ่งคล้ายกับโมเดล IAB ที่กลุ่มอาชญากรเฉพาะทางจะทำหน้าที่ขายการเข้าถึงระบบเท่านั้น โดยไม่ต้องลงมือปฏิบัติการด้วยตนเอง ซึ่งช่วยลดอุปสรรคสำหรับอาชญากรที่อยู่วงนอก

4. การโจมตีแบบ Supply-chain ถูกนำมาใช้ขยายผล เหตุการณ์ LiteLLM แสดงให้เห็นว่าการบุกรุกเครื่องมือ AI โอเพนซอร์สเพียงชิ้นเดียว สามารถเปิดเผยข้อมูลรับรองของบริษัทลูกค้าปลายทางอีกหลายพันรายได้ ผู้โจมตีมุ่งเป้าไปที่การใช้งานของบุคคลที่สามที่ใช้กันอย่างแพร่หลาย เพื่อขยายขอบเขตเหยื่อให้กว้างที่สุด

5. ข้อมูลไดเรกทอรีพนักงานกลายเป็นสินค้ามีค่า แทนที่จะขโมยข้อมูลบัตรเครดิตหรือประวัติการรักษา ผู้โจมตีเปลี่ยนไปสร้างรายได้จากข้อมูลเมตาขององค์กร (ชื่อ ตำแหน่ง สายบังคับบัญชา) เพราะมันช่วยให้ทำวิศวกรรมสังคมที่มีความน่าเชื่อถือสูงในวงกว้าง — เป็นการสร้างรายได้ที่เสี่ยงน้อยกว่า และให้ผลตอบแทนดีกว่าการขโมยข้อมูลแบบเดิม