ไต้หวันประกาศเตือน 5 ความเสี่ยงไซเบอร์ร้ายแรง หลังพบ 726 เหตุการณ์โจมตีหน่วยงานรัฐในปี 2025

ทางการไต้หวันได้วาดภาพภัยคุกคามที่ชัดเจนต่อเครือข่ายภาครัฐ เมื่อในปี 2025 หน่วยงานต่างๆ รายงานเหตุการณ์ด้านความมั่นคงปลอดภัยไซเบอร์รวม 726 ครั้ง ลดลงเล็กน้อยจาก 755 ครั้งในปีก่อนหน้า แต่ลักษณะของการโจมตีและช่องโหว่ที่ถูกเปิดเผย ทำให้สำนักงานความมั่นคงปลอดภัยไซเบอร์ (Administration for Cyber Security: ACS) ต้องออกคำเตือนอย่างจริงจัง

เกือบ 69% ของเหตุการณ์ทั้งหมด เกี่ยวข้องกับการบุกรุกโดยไม่ได้รับอนุญาต ตามมาด้วยอุปกรณ์ขัดข้อง 15.43%, การโจมตีแบบปฏิเสธการให้บริการ (Denial-of-Service) 4.96% และการโจมตีหน้าเว็บ 2.48% จากข้อมูลดังกล่าวและข่าวกรองด้านภัยคุกคาม ACS ได้ระบุความเสี่ยงเฉพาะ 5 ประการ แต่ละประการสัมพันธ์กับเทคนิคที่แฮกเกอร์ใช้บ่อย และล้วนต้องการการลงมือแก้ไขอย่างเป็นรูปธรรมจากทุกหน่วยงาน

1. ซอฟต์แวร์ส่งข้อความปลอม

ความเสี่ยง: เจ้าหน้าที่รัฐ โดยเฉพาะหลังจากได้รับคอมพิวเตอร์เครื่องใหม่หรือเครื่องทดแทน ถูกหลอกให้ดาวน์โหลดแอปสนทนายอดนิยมอย่าง LINE หรือ WhatsApp เวอร์ชันปลอมจากเว็บไซต์ที่ไม่เป็นทางการ ตัวติดตั้งปลอมเหล่านี้จะฝังโปรแกรม Backdoor หรือประตูลับที่เปิดทางให้แฮกเกอร์เข้าถึงระบบอย่างต่อเนื่อง

สิ่งที่หน่วยงานต้องทำ: ACS ต้องการกลไกการจัดการการเปลี่ยนแปลงและการควบคุมการดาวน์โหลดอย่างเข้มงวดสำหรับระบบ ICT ทั้งหมด ในทางปฏิบัติหมายความว่า ทุกการติดตั้งซอฟต์แวร์ ไม่ว่าจะเป็นแอปพลิเคชัน, ไดรเวอร์ หรือส่วนประกอบฮาร์ดแวร์ ต้องผ่านการอนุมัติและตรวจสอบอย่างเป็นทางการก่อนจะเข้าสู่เครื่องของรัฐ

2. แรนซัมแวร์ด้วยเทคนิค "Bring Your Own Driver" (BYOVD)

ความเสี่ยง: แฮกเกอร์ใช้เทคนิคที่เรียกว่า "Bring Your Own Driver" (BYOVD) มากขึ้น โดยใช้ประโยชน์จากไดรเวอร์ที่ได้รับการลงนามอย่างถูกต้องแต่มีช่องโหว่ เพื่อเล็ดลอดเครื่องมือตรวจจับปลายทาง เมื่อพวกเขาได้รับการเข้าถึงระดับแกนกลางระบบ (kernel-level access) ก็สามารถปิดการทำงานของผลิตภัณฑ์ความปลอดภัยและปล่อยแรนซัมแวร์ได้โดยไม่ส่งสัญญาณเตือน

สิ่งที่หน่วยงานต้องทำ: ACS เรียกร้องให้มีการป้องกันหลายชั้น หน่วยงานต้องสแกนหาช่องโหว่ของเว็บไซต์เป็นประจำและแก้ไขทันทีที่พบ ควรติดตั้ง Web Application Firewalls (WAFs) เพื่อกรองคำขอที่เป็นอันตรายก่อนที่จะเข้าถึงแอปพลิเคชัน ที่สำคัญคือการป้องกันปลายทางต้องเป็นปฏิบัติการต่อเนื่อง: ผลิตภัณฑ์ความปลอดภัยต้องอัปเดตอยู่เสมอ และกฎการตรวจจับภัยคุกคามต้องพัฒนาไปตามกลยุทธ์ใหม่ๆ ที่เกิดขึ้น

3. ความล้มเหลวในซัพพลายเชนผ่านซอฟต์แวร์รีโมตเดสก์ท็อปที่ไม่ได้รับอนุมัติ

ความเสี่ยง: ผู้รับจ้างบำรุงรักษาระบบ ซึ่งมักมีสิทธิ์เข้าถึงเว็บเซิร์ฟเวอร์ของรัฐโดยถูกต้อง ได้ติดตั้งซอฟต์แวร์รีโมตเดสก์ท็อปที่หน่วยงานไม่เคยอนุญาต จากนั้นแฮกเกอร์จะใช้วิธี Brute-Force เพื่อเดารหัสผ่านที่อ่อนแอบนเครื่องมือเหล่านั้น เพื่อเข้าสู่ระบบและเคลื่อนย้ายไปยังระบบที่อ่อนไหวอื่นๆ ในวงกว้าง

สิ่งที่หน่วยงานต้องทำ: วิธีแก้ไขในที่นี้คือการจัดการระดับองค์กร ไม่ใช่แค่ด้านเทคนิค ACS กำหนดให้มีมาตรฐานการจัดการความปลอดภัยผู้ขายที่เข้มงวด ซึ่งระบุการควบคุมการเข้าถึง, กฎการปกป้องข้อมูล, ขั้นตอนการจัดการช่องโหว่ และการรายงานเหตุการณ์ที่จำเป็น ต้องมีการตรวจสอบความปลอดภัยและการตรวจสอบการปฏิบัติตามกฎระเบียบอย่างสม่ำเสมอเพื่อยืนยันว่าซัพพลายเออร์ปฏิบัติตามกฎ—ไม่ใช่แค่บนหน้ากระดาษ

4. ช่องโหว่ในอุปกรณ์ขอบเครือข่าย

ความเสี่ยง: เราเตอร์, ไฟร์วอลล์, อุปกรณ์ VPN และอุปกรณ์ขอบเครือข่ายอื่นๆ ถูกทิ้งไว้โดยไม่อัปเดตเฟิร์มแวร์หรือมีข้อผิดพลาดในการตั้งค่าที่เป็นอันตราย เปิดโอกาสให้แฮกเกอร์เข้าสู่ระบบได้ง่ายที่ขอบเขตของเครือข่ายรัฐ

สิ่งที่หน่วยงานต้องทำ: ACS แนะนำการเปลี่ยนแปลงที่เรียบง่ายแต่ทรงพลัง: ใช้กลยุทธ์ Whitelist หรือบัญชีขาวสำหรับการเชื่อมต่อขาออกทั้งหมด โดยบล็อกพอร์ตการสื่อสารที่ไม่จำเป็นไว้เป็นค่าเริ่มต้น หน่วยงานยังต้องจัดทำบัญชีอุปกรณ์ขอบเครือข่ายทุกรายการ—หมายเลขรุ่น, เวอร์ชันเฟิร์มแวร์—และสร้างกระบวนการอัปเดตและตรวจสอบอย่างต่อเนื่อง เพื่อให้แน่ใจว่าแพตช์ไม่เพียงแค่ถูกนำไปใช้ แต่ยังถูกยืนยันแล้วว่าสำเร็จ

5. วิศวกรรมสังคมผสานกับการใช้บริการคลาวด์ในทางที่ผิด

ความเสี่ยง: แฮกเกอร์ผสมผสานฟิชชิ่ง (Phishing), การอ้างตัวเป็นผู้อื่น (Pretexting) และเทคนิควิศวกรรมสังคมอื่นๆ เข้ากับบริการคลาวด์ที่ถูกบุกรุกหรือตั้งค่าผิดพลาด เพื่อขโมยข้อมูลที่อ่อนไหว ทันทีที่พนักงานคลิกลิงก์หรือไฟล์แนบที่เป็นอันตราย ข้อมูลก็อาจถูกส่งออกไปผ่านที่เก็บข้อมูลบนคลาวด์ที่ดูเหมือนถูกต้องตามกฎหมาย

สิ่งที่หน่วยงานต้องทำ: ACS ระบุการป้องกันสองส่วน ส่วนแรกคือการติดตั้งระบบกรองอีเมลและการตรวจจับแบบ Sandbox (ระบบแยกส่วนสำหรับตรวจสอบไฟล์) เพื่อดักจับไฟล์แนบและลิงก์ที่น่าสงสัยก่อนจะถึงมือผู้ใช้ ส่วนที่สองคือการล็อกสภาพแวดล้อมคลาวด์: จำกัดสิทธิ์การแชร์ไดรฟ์, เปิดใช้งานการสแกนไฟล์อัปโหลด และรันการตรวจสอบความปลอดภัยบนลิงก์คลาวด์เพื่อหยุดการแพร่กระจายของไฟล์อันตราย

หนึ่งปีแห่งภัยคุกคามที่เปลี่ยนแปลง

ข้อมูลปี 2025 บอกเล่าเรื่องราวที่ใหญ่กว่านั้น แม้ว่าจำนวนเหตุการณ์ทั้งหมดจะลดลง 29 ครั้งเมื่อเทียบกับปี 2024 แต่การละเมิดส่วนใหญ่อย่างท่วมท้น—มากกว่าสองในสาม—มีต้นตอมาจาก การเข้าถึงโดยไม่ได้รับอนุญาต ซึ่งเป็นหมวดหมู่ที่ครอบคลุมทุกอย่างตั้งแต่การขโมยข้อมูลรับรองไปจนถึงการฝังประตูลับ สเปกตรัมของความรุนแรงสะท้อนถึงภูมิทัศน์ของการคุกคามระดับต่ำที่เกิดขึ้นตลอดเวลา: 87.33% ของเหตุการณ์ถูกจัดเป็นระดับ 1 (รุนแรงน้อยที่สุด), 9.78% เป็นระดับ 2, และ 2.89% เป็นระดับ 3 โดยไม่มีรายงานเหตุการณ์ระดับ 4 เลย

หมวดหมู่ความเสี่ยงทั้ง 5 ของ ACS ถือเป็นการเปลี่ยนแปลงแนวทางอย่างเป็นทางการ คำเตือนก่อนหน้านี้ เช่นในช่วงต้นปี 2025 เน้นไปที่การเข้ารหัสที่อ่อนแอ, การคัดกรองการโจมตีแบบ Injection Attack ที่ไม่ดี และการควบคุมการเข้าถึงที่เสียหาย แต่รายการใหม่นี้มุ่งเป้าไปที่ชั้นของมนุษย์และซัพพลายเชน ซึ่งระบบป้องกันขอบเขตแบบเดิมมักมองข้าม

สำหรับหน่วยงานรัฐแล้ว ข้อความนี้ชัดเจนและไม่คลุมเครือ ACS ได้ผูกทุกความเสี่ยงเข้ากับปฏิบัติการที่เฉพาะเจาะจงและตรวจสอบได้: อนุมัติทุกการดาวน์โหลด, แพตช์อุปกรณ์ขอบเครือข่ายทุกตัว, ตรวจสอบผู้ขายทุกราย และปฏิบัติกับทุกอีเมลเสมือนว่าเป็นภัยคุกคาม ในสภาพแวดล้อมที่ 68.6% ของเหตุการณ์คือการบุกรุก การป้องกันไม่ได้เป็นเพียงแค่การบล็อกที่ขอบเขตอีกต่อไป—แต่มันคือการควบคุมสิ่งที่เกิดขึ้นภายในนั้น