ShinyHunters โจมตี ReliaQuest ด้วยการฟิชชิงโซเชียลเอนจิเนียร์

ShinyHunters อ้างว่าได้เจาะระบบของบริษัทความปลอดภัยไซเบอร์สัญชาติอเมริกา ReliaQuest ผ่านการโจมตีแบบโซเชียลเอนจิเนียร์เมื่อวันที่ 22 สิงหาคม 2026 แต่ RelianQuest ปฏิเสธว่าการเจาะลึกนั้นหยุดอยู่แค่ขั้นตอนแรกของการเปิดเผยตัวตนพนักงานหนึ่งราย การต่อสู้กันของสองฝ่ายนี้ทำให้ผู้เชี่ยวชาญด้านความปลอดภัยต้องจับตามองมาตรการป้องกันและผลกระทบที่อาจเกิดขึ้นต่อองค์กรในอุตสาหกรรม

Overview

เหตุการณ์เริ่มต้นเมื่อกลุ่มแฮกเกอร์ ShinyHunters ลงรายการ ReliaQuest บนเว็บไซต์ leak ของตนเมื่อวันที่ 23 สิงหาคม 2026 พร้อมแนบภาพหน้าจอของแดชบอร์ด Okta ที่พวกเขาอ้างว่ามีการเข้าถึง อย่างไรก็ตามไม่มีข้อมูลลูกค้าที่ถูกขโมยออกสู่สาธารณะ และองค์กรตรวจสอบความปลอดภัย SOCRadar ยังไม่พบหลักฐานของข้อมูลที่ถูกยืนยันหรือคำเรียกร้องค่าไถ่ใด ๆ

ตามรายงานของ The Register, ReliaQuest ยอมรับว่ามีการโจมตีแบบโซเชียลเอนจิเนียร์เกิดขึ้น แต่ระบุว่า “การเข้าถึงจำกัดอยู่เพียงการเปิดเผยตัวตนหนึ่งรายการในระดับ view‑only” ซึ่งหมายความว่าระบบและข้อมูลของลูกค้าไม่ได้ถูกทำลายหรือขโมยออกไป

Timeline of Attack

22 สิงหาคม 2026: แฮกเกอร์สร้างหน้า Single Sign‑On ปลอมที่ดูเหมือนหน้าของ ReliaQuest และโทรติดต่อพนักงานหลายคนโดยอ้างว่าเป็นทีมความปลอดภัยของบริษัท
พนักงานหนึ่งกรอกข้อมูลเข้าสู่ระบบและยืนยันการแจ้งเตือน MFA ด้วยการกด “Approve” บนแอปพลิเคชันที่ใช้ยืนยันตัวตน
การเข้าถึงของผู้โจมตีจำกัดอยู่เพียงเซสชันของตัวตนนั้น โดยไม่มีการเชื่อมต่อกับแอปพลิเคชันหรือระบบอื่น ๆ ของ ReliaQuest

หลังจากนั้นทีมความปลอดภัยของ ReliaQuest ใช้มาตรการ device‑trust controls ปิดเซสชันทันที ทำให้ไม่สามารถนำข้อมูลใดไปใช้ต่อได้ และทำการหมดอายุรหัสผ่านและรีเซ็ตปัจจัยการตรวจสอบทุกตัว

Technical Details

การโจมตีนี้พึ่งพาเทคนิคโซเชียลเอนจิเนียร์ที่เรียบง่ายแต่มีประสิทธิภาพ: การสร้างหน้า SSO ปลอมที่ดูเหมือนของบริษัทจริง รวมถึงการใช้ชื่อและอีเมลของทีมความปลอดภัยเพื่อทำให้ผู้รับสายรู้สึกว่าเป็นการติดต่อภายในองค์กร

แม้พนักงานจะยอมรับรหัสผ่านและยืนยัน MFA แต่ device‑trust controls ของ ReliaQuest ทำหน้าที่กรองเซสชันที่ไม่ได้มาจากอุปกรณ์ที่ได้รับการอนุมัติไว้ล่วงหน้า ส่งผลให้ผู้โจมตีไม่สามารถเข้าถึงแหล่งข้อมูลสำคัญใด ๆ ได้

หลังจากตรวจพบเหตุการณ์ ทีม Incident Response ของ ReliaQuest ได้ดำเนินการตามขั้นตอนมาตรฐาน: ปิดเซสชัน, หมดอายุรหัสผ่าน, รีเซ็ต MFA token ทั้งหมดและทำการบันทึกเหตุการณ์เพื่อวิเคราะห์ต่อไป

Public Statements

ReliaQuest ให้ข้อมูลแก่ The Register ว่า “การโจมตีครั้งนี้ไม่สำเร็จเกินกว่าการเปิดเผยตัวตนชั่วคราวหนึ่งรายการ” และยืนยันว่า ไม่มีแอปพลิเคชันหรือระบบใดของบริษัทที่ถูกเข้าถึง รวมถึง ไม่มีข้อมูลลูกค้าถูกสัมผัส

ในขณะเดียวกัน ShinyHunters โพสต์ข้อความบนเว็บไซต์ leak ของตนโดยบ่งบอกว่าการเผยแพร่เป็น “การโจมตีต่อ ReliaQuest” และเรียกร้องให้บริษัทความปลอดภัยเช่น Mandiant ให้ข้อมูลที่ถูกต้องเกี่ยวกับกลุ่มของตน การแถลงของ ShinyHunters แสดงถึงการต่อสู้ทางภาพลักษณ์ระหว่างสองฝ่ายมากกว่าการยืนยันข้อเท็จจริง

Analysis

จากมุมมองของผู้เชี่ยวชาญด้านความปลอดภัย การป้องกันที่สำคัญที่สุดในกรณีนี้คือ device‑trust controls ที่ทำหน้าที่เป็นเกราะสุดท้าย ป้องกันไม่ให้เซสชันที่ได้มาจากการฟิชชิงสามารถข้ามไปยังระบบภายในขององค์กรได้

เหตุการณ์ยังย้ำถึงความเสี่ยงจากเทคนิคโซเชียลเอนจิเนียร์ที่อาศัยความไว้วางใจในระดับบุคคล การฝึกอบรมพนักงานให้ระมัดระวังการรับสายหรืออีเมลที่ขอข้อมูลเข้าสู่ระบบ ยังคงเป็นมาตรการพื้นฐานที่จำเป็น แม้จะมี MFA ก็ตาม

นอกจากนี้ ความแตกต่างในการสื่อสารของสองฝ่ายอาจส่งผลต่อความเชื่อมั่นของลูกค้า ReliaQuest หากไม่มีการเปิดเผยข้อมูลอย่างโปร่งใส การแสดงให้เห็นว่ามาตรการป้องกันทำงานได้จริงอาจช่วยลดแรงกดดันจากข่าวลือที่อาจเกิดขึ้นในวงการ

Impact

แม้ว่า ไม่พบข้อมูลลูกค้าที่ถูกขโมย หรือคำเรียกร้องค่าไถ่ใด ๆ แต่เหตุการณ์นี้สร้างความสนใจต่อบริษัทผู้ให้บริการด้านความปลอดภัยทั่วโลก ผู้จัดการระดับสูงขององค์กรต่างประเทศอาจต้องทบทวนนโยบายการตรวจสอบตัวตนและการใช้ device‑trust อย่างเข้มงวด

สำหรับ ShinyHunters การที่พวกเขาเผยแพร่ภาพหน้าจอแม้ไม่มีข้อมูลสำคัญ อาจเป็นกลยุทธ์เพื่อสร้างความเกรงขามต่อคู่แข่งในตลาดอาชญากรรมไซเบอร์ แต่การโต้ตอบของ ReliaQuest แสดงให้เห็นว่าการป้องกันที่ดีสามารถจำกัดผลกระทบจากการโจมตีระดับแรกได้

Summary

ShinyHunters อ้างว่าได้เข้าถึง Okta dashboard ของ ReliaQuest ผ่านการฟิชชิง แต่ ReliaQuest ยืนยันว่าการเจาะลึกถูกหยุดไว้เพียงขั้นตอนเปิดเผยตัวตนหนึ่งรายการโดย device‑trust controls ไม่ได้มีการขโมยข้อมูลลูกค้าใด ๆ การต่อสู้ด้านภาพลักษณ์ระหว่างสองฝ่ายยังคงดำเนินต่อไปในวงการความปลอดภัยไซเบอร์.