นักวิจัยด้านความปลอดภัยทางไซเบอร์ได้ค้นพบปัญหาด้านการเข้ารหัสที่ร้ายแรงในแพลตฟอร์ม cloud storage ที่ใช้การเข้ารหัสแบบ End-to-End (E2EE) หลายราย ซึ่งอาจถูกโจมตีเพื่อขโมยข้อมูลที่สำคัญได้ (more…)

 

เว็บไซต์ WordPress ถูกโจมตีเพื่อติดตั้งปลั๊กอินที่เป็นอันตราย ที่จะปลอมเป็นการอัปเดตซอฟต์แวร์ และ errors ปลอม เพื่อส่งมัลแวร์ที่ใช้สำหรับขโมยข้อมูล

ในช่วงสองสามปีที่ผ่านมา มัลแวร์ขโมยข้อมูลได้กลายมาเป็นภัยคุกคามต่อองค์กรทั่วโลก เนื่องจากข้อมูล credentials ที่ขโมยมาจะถูกนำไปใช้ในการโจมตีเครือข่าย และขโมยข้อมูลอื่น ๆ ต่อไป

ตั้งแต่ปี 2023 มีการใช้แคมเปญอันตรายที่เรียกว่า ClearFake เพื่อแสดงแบนเนอร์การอัปเดตเบราว์เซอร์ปลอมบนเว็บไซต์ที่ถูกโจมตี ซึ่งแบนเนอร์เหล่านี้จะแพร่กระจายมัลแวร์ที่ใช้สำหรับขโมยข้อมูล

ในปี 2024 มีการเปิดตัวแคมเปญใหม่ชื่อ ClickFix ซึ่งมีความคล้ายคลึงกับ ClearFake มาก แต่แอบอ้างว่าเป็นข้อความแสดง errors ของซอฟต์แวร์พร้อมวิธีการแก้ไขที่รวมอยู่ด้วย อย่างไรก็ตามวิธีการแก้ไขเหล่านี้เป็นสคริปต์ PowerShell ที่เมื่อดำเนินการแล้วจะดาวน์โหลด และติดตั้งมัลแวร์ที่ใช้สำหรับขโมยข้อมูล

แคมเปญ ClickFix กลายเป็นเรื่องปกติมากขึ้นในปีนี้ โดยผู้โจมตีทำการโจมตีเว็บไซต์เพื่อแสดงแบนเนอร์ที่เกี่ยวกับ errors ปลอมสำหรับ Google Chrome, การประชุม Google Meet และ Facebook รวมไปถึงหน้า captcha

ปลั๊กอิน WordPress ที่เป็นอันตราย

เมื่อสัปดาห์ที่แล้ว GoDaddy ระบุว่า ผู้โจมตี ClearFake/ClickFix ได้โจมตีเว็บไซต์ WordPress กว่า 6,000 แห่ง เพื่อติดตั้งปลั๊กอินที่เป็นอันตรายซึ่งจะแสดงการแจ้งเตือนปลอมที่เกี่ยวข้องกับแคมเปญเหล่านี้

Denis Sinegubko นักวิจัยจาก GoDaddy ระบุว่า ทีมงานด้านความปลอดภัยของ GoDaddy กำลังติดตามมัลแวร์ปลอมที่กระจายตัวผ่านปลั๊กอิน WordPress ในรูปแบบของ ClickFix (หรือเรียกอีกอย่างว่า ClearFake) ซึ่งเป็นมัลแวร์ที่แสดงการอัปเดตเบราว์เซอร์ปลอม

ปลั๊กอินที่มีความน่าเชื่อถือเหล่านี้ได้รับการออกแบบมาให้ดูเหมือนไม่เป็นอันตรายต่อผู้ดูแลเว็บไซต์ แต่ภายในมีสคริปต์ที่เป็นอันตรายฝังอยู่ ซึ่งจะส่งการแจ้งเตือนอัปเดตเบราว์เซอร์ปลอมไปยังผู้ใช้งาน

ปลั๊กอินที่เป็นอันตรายใช้ชื่อที่คล้ายคลึงกับปลั๊กอินที่น่าเชื่อถือ เช่น Wordfense Security และ LiteSpeed Cache ในขณะที่ปลั๊กอินอื่น ๆ ใช้ชื่อทั่วไปที่แต่งขึ้นเอง

รายชื่อปลั๊กอินที่เป็นอันตรายที่พบในแคมเปญนี้ระหว่างเดือนมิถุนายนถึงกันยายน 2024 ได้แก่

บริษัทด้านความปลอดภัยเว็บไซต์ Sucuri ยังสังเกตว่ามีปลั๊กอินปลอมที่ชื่อ Universal Popup Plugin เป็นส่วนหนึ่งของแคมเปญนี้ด้วย

เมื่อปลั๊กอินที่เป็นอันตรายนี้ถูกติดตั้ง มันจะเชื่อมต่อกับการทำงานต่าง ๆ ของ WordPress ขึ้นอยู่กับรูปแบบที่ใช้ เพื่อแทรกสคริปต์ JavaScript ที่เป็นอันตรายลงใน HTML ของเว็บไซต์

เมื่อสคริปต์นี้ถูกโหลด มันจะพยายามโหลดไฟล์ JavaScript ที่เป็นอันตรายเพิ่มเติม ซึ่งถูกเก็บไว้ในสมาร์ทคอนแทร็กต์บน Binance Smart Chain (BSC) จากนั้นไฟล์นี้จะโหลดสคริปต์ ClearFake หรือ ClickFix เพื่อแสดงแบนเนอร์ปลอม

จาก access logs ของเว็บเซิร์ฟเวอร์ที่วิเคราะห์โดย Sinegubko พบว่าผู้โจมตีดูเหมือนจะใช้ข้อมูล credentials ของผู้ดูแลระบบที่ขโมยมาในการเข้าสู่ระบบเว็บไซต์ WordPress และติดตั้งปลั๊กอินในรูปแบบอัตโนมัติ

ดังที่เห็นจากภาพด้านล่าง ผู้โจมตีจะเข้าสู่ระบบผ่าน HTTP POST request เพียงครั้งเดียว แทนที่จะเข้าหน้าล็อกอินของเว็บไซต์ก่อน ซึ่งแสดงให้เห็นว่ากระบวนการนี้ทำโดยอัตโนมัติหลังจากที่ได้รับข้อมูล credentials มาแล้ว

เมื่อผู้โจมตีเข้าสู่ระบบได้แล้ว พวกเขาจะอัปโหลด และติดตั้งปลั๊กอินที่เป็นอันตราย

แม้ว่าจะยังไม่ชัดเจนว่าผู้โจมตีได้ข้อมูล credentials มาได้อย่างไร แต่นักวิจัยระบุว่า อาจเกิดจากการโจมตีแบบ brute force attacks, phishing และมัลแวร์ขโมยข้อมูลในอดีต

หากเป็นผู้ดูแลเว็บไซต์ที่ใช้ WordPress และได้รับรายงานว่ามีการแสดงการแจ้งเตือนปลอมแก่ผู้เยี่ยมชมเว็บไซต์ ควรตรวจสอบรายการปลั๊กอินที่ติดตั้งทันที และลบปลั๊กอินที่ไม่ได้ติดตั้งออกด้วยตนเอง

หากพบปลั๊กอินที่ไม่รู้จัก ควรรีเซ็ตรหัสผ่านของผู้ใช้งานที่ได้รับสิทธิ์ผู้ดูแลระบบทันที และใช้รหัสผ่านที่ไม่ซ้ำกันสำหรับเว็บไซต์

ที่มา : bleepingcomputer

ผู้โจมตีทำการโจมตีบริษัท Partner ของ ESET ในอิสราเอล เพื่อส่งอีเมลฟิชชิงไปยังธุรกิจต่าง ๆ ในอิสราเอล โดยในอีเมลเหล่านั้นมีโปรแกรมลบข้อมูล (data wiper) ซึ่งปลอมตัวเป็นซอฟต์แวร์แอนตี้ไวรัส เพื่อใช้ในการโจมตี และทำลายข้อมูล (more…)

วันนี้ Cisco ยืนยันว่าได้ปิด public DevHub portal ของบริษัท หลังจากที่ผู้ไม่หวังดีได้เผยแพร่ข้อมูลที่เป็นความลับ แต่ Cisco ยังคงยืนยันว่าไม่มีหลักฐานว่าระบบของบริษัทถูกโจมตี (more…)

นักวิจัยจาก Positive Technologies บริษัทด้านการรักษาความปลอดภัยทางไซเบอร์ของรัสเซีย ได้ค้นพบกลุ่ม Hacker ใช้ช่องโหว่ใน Roundcube Webmail client เพื่อโจมตีองค์กรของรัฐบาลในเครือรัฐเอกราช (CIS) ซึ่งเป็นภูมิภาคที่สืบทอดมาจากสหภาพโซเวียต โดยพบการโจมตีในเดือนมิถุนายน 2024 (more…)

Microsoft กำลังใช้กลวิธีหลอกล่อกลุ่มผู้โจมตี Phishing โดยสร้าง Honeypot Tenants พร้อมสิทธิ์เข้าถึง Azure เพื่อรวบรวมข้อมูลเกี่ยวกับภัยคุกคามจากกลุ่ม Hacker ตั้งแต่ Hacker ที่มีทักษะน้อย ไปจนถึงกลุ่มประเทศที่กำหนดเป้าหมายไปที่โครงสร้างพื้นฐานของ Microsoft (more…)

ผู้เชี่ยวชาญด้าน IT จากเกาหลีเหนือที่หลอกลวงบริษัทในชาติตะวันตกให้จ้างงานพวกเขา กำลังขโมยข้อมูลจากเครือข่ายขององค์กร และเรียกค่าไถ่เพื่อไม่ให้เปิดเผยข้อมูลนั้น (more…)

แคมเปญใหม่ที่ชื่อว่า ClickFix กำลังหลอกล่อผู้ใช้งานให้ไปที่หน้าการประชุม Google Meet ปลอม ที่แสดงข้อความ Errors ปลอมเกี่ยวกับการเชื่อมต่อ ทำให้มีการติดตั้งมัลแวร์สำหรับขโมยข้อมูลบนระบบปฏิบัติการ Windows และ macOS

ClickFix เป็นเทคนิค social-engineering ที่ถูกพบในเดือนพฤษภาคม โดยถูกรายงานครั้งแรกจากบริษัทด้านความปลอดภัยทางไซเบอร์ Proofpoint ซึ่งมาจากผู้โจมตีกลุ่ม (TA571) ที่ใช้ข้อความในการปลอมแปลงเป็น Errors สำหรับ Google Chrome, Microsoft Word และ OneDrive

ข้อผิดพลาดเหล่านี้จะกระตุ้นให้ผู้ใช้งานทำการคัดลอกโค้ด PowerShell ลงในคลิปบอร์ด โดยอ้างว่าจะช่วยแก้ปัญหาเมื่อรันโค้ดใน Windows Command Prompt

โดยจะส่งผลให้เกิดการแพร่กระจายมัลแวร์ไปยังระบบอื่น ๆ โดยมัลแวร์ที่มีการแแพร่กระจาย เช่น DarkGate, Matanbuchus, NetSupport, Amadey Loader, XMRig, a clipboard hijacker และ Lumma Stealer

ในเดือนกรกฎาคม McAfee รายงานว่าแคมเปญ ClickFix เริ่มเป็นที่นิยมมากขึ้น โดยเฉพาะในสหรัฐอเมริกา และญี่ปุ่น

รายงานฉบับใหม่จาก Sekoia ซึ่งเป็นผู้ให้บริการความปลอดภัยทางไซเบอร์แบบ SaaS ระบุว่าแคมเปญ ClickFix ได้ถูกพัฒนาขึ้นอย่างมาก โดยปัจจุบันใช้การล่อลวงผ่าน Google Meet และยังมีการใช้อีเมลฟิชชิงที่กำหนดเป้าหมายไปยังบริษัทขนส่ง และโลจิสติกส์ รวมถึงมีการทำหน้า Facebook ปลอม และมีการหลอกลวงบน GitHub อีกด้วย

ตามรายงานจากบริษัทความปลอดภัยทางไซเบอร์ของฝรั่งเศสระบุว่า แคมเปญล่าสุดบางส่วนดำเนินการโดยกลุ่มผู้โจมตี 2 กลุ่ม ได้แก่ Slavic Nation Empire (SNE) และ Scamquerteo ซึ่งถือเป็นทีมย่อยของแก๊งหลอกลวงสกุลเงินดิจิทัล Marko Polo และ CryptoLove

หลอกลวงผ่าน Google Meet

ผู้โจมตีกำลังใช้หน้าเว็บไซต์ปลอมสำหรับ Google Meet ซึ่งเป็นบริการการสื่อสารผ่านวิดีโอที่เป็นส่วนหนึ่งของ Google Workspace ที่ได้รับความนิยมในสภาพแวดล้อมขององค์กรสำหรับการประชุมทางไกล และการสัมมนาผ่านเว็บ รวมถึงการทำงานร่วมกันทางออนไลน์

ผู้โจมตีจะส่งอีเมลถึงผู้ใช้ที่มีลักษณะเหมือนคำเชิญของ Google Meet ที่ดูเหมือนเป็นของจริง ซึ่งจะเกี่ยวข้องกับการประชุม การสัมมนา หรือเหตุการณ์สำคัญอื่น ๆ

URL เหล่านี้มีความคล้ายคลึงกับลิงก์ Google Meet ที่เป็นของจริง โดยมีรายละเอียดดังนี้

meet[.]google[.]us-join[.]com
meet[.]google[.]web-join[.]com
meet[.]googie[.]com-join[.]us
meet[.]google[.]cdm-join[.]us

เมื่อผู้ใช้เข้าสู่หน้าเว็บไซต์ปลอมแล้ว ผู้ใช้จะได้รับข้อความแจ้งให้ทราบถึงปัญหาทางเทคนิค เช่น ปัญหาของไมโครโฟน หรือหูฟัง

หากผู้ใช้คลิกปุ่ม Try Fix ที่แสดงขึ้นมาจะมีการติดตั้งมัลแวร์ ClickFix โดยจะมีการ Copyโค้ด PowerShell จากเว็บไซต์ลงไปยังพรอมต์ของ Windows ภายในเครื่อง ส่งผลทำให้คอมพิวเตอร์ของผู้ใช้ติดมัลแวร์ และดึงเพย์โหลดจากโดเมน googiedrivers[.]com

เพย์โหลดในขั้นสุดท้ายคือมัลแวร์ขโมยข้อมูล Stealc หรือ Rhadamanthys บน Windows ส่วนในเครื่อง macOS ผู้โจมตีจะติดตั้ง AMOS Stealer ในรูปแบบไฟล์ .DMG (อิมเมจดิสก์ของ Apple) ที่มีชื่อว่า 'Launcher_v194'

Sekoia ได้ระบุว่า มัลแวร์ยังสามารถกระจายไปยังกลุ่มอื่นที่นอกเหนือจาก Google Meet ได้อีก เช่น โปรแกรม Zoom, โปรแกรมอ่านไฟล์ PDF, วิดีโอเกมปลอม (Lunacy, Calipso, Battleforge, Ragon), เว็บเบราว์เซอร์ และโครงการ web3 (NGT Studio) รวมไปถึงแอปส่งข้อความ (Nortex)

ที่มา : https://www.

กลุ่มแฮ็กเกอร์ที่มีชื่อเสียงอย่าง FIN7 ได้เปิดตัวเครือข่ายเว็บไซต์ปลอมที่ใช้เทคโนโลยี AI ในการสร้างภาพนู้ดปลอม เพื่อใช้ในการแพร่กระจายมัลแวร์ที่ขโมยข้อมูลให้กับผู้เข้าใช้งานเว็บไซต์

FIN7 เป็นกลุ่มแฮ็กเกอร์ชาวรัสเซียที่ได้ดำเนินการฉ้อโกงทางการเงิน และอาชญากรรมทางไซเบอร์มาตั้งแต่ปี 2013 โดยมีความเชื่อมโยงกับกลุ่มแรนซัมแวร์ เช่น DarkSide, BlackMatter และ BlackCat ซึ่งเมื่อไม่นานมานี้ได้ทำการหลอกลวงเครือข่ายพันธมิตร ด้วยการขโมยเงินค่าไถ่จำนวน 20 ล้านดอลลาร์ที่ได้มาจาก UnitedHealth

FIN7 เป็นที่รู้จักในด้านการโจมตีแบบฟิชชิ่ง และการใช้เทคนิค social engineering ที่ซับซ้อน เช่น การปลอมตัวเป็น BestBuy เพื่อส่ง USB keys ที่มีมัลแวร์ หรือการสร้างบริษัทความปลอดภัยปลอมเพื่อจ้างนักทดสอบระบบความปลอดภัย (pentesters) และนักพัฒนาซอฟต์แวร์มาทำการโจมตีด้วยแรนซัมแวร์โดยที่พวกเขาไม่รู้ตัว

ดังนั้นจึงไม่น่าแปลกใจที่พบว่าพวกเขาได้ถูกเชื่อมโยงกับเครือข่ายเว็บไซต์ ที่อ้างว่ามีโปรแกรมสร้างภาพเปลือยที่ขับเคลื่อนด้วย AI โดยอ้างว่าสามารถสร้างภาพเปลือยปลอมจากภาพถ่ายของบุคคลที่สวมใส่เสื้อผ้าได้

เทคโนโลยีนี้เป็นที่ถกเถียงกันอย่างมากเนื่องจากอาจสร้างความเสียหายให้กับผู้ถูกกระทำโดยการสร้างภาพที่ไม่เหมาะสมโดยไม่ได้รับความยินยอม และในหลายประเทศทั่วโลกเทคโนโลยีนี้ถูกห้ามใช้อย่างเด็ดขาด อย่างไรก็ตาม ความสนใจในเทคโนโลยีนี้ยังคงมีอยู่มาก

เครือข่ายของ deepnude generators

เว็บไซต์ deepnude ปลอมของ FIN7 ทำหน้าที่เป็นกับดักสำหรับผู้ที่สนใจในการสร้างภาพเปลือยปลอมของคนดังหรือบุคคลอื่น ๆ ในปี 2019 ผู้โจมตีได้ใช้เว็บไซต์คล้ายกันนี้ในการแพร่กระจายมัลแวร์ขโมยข้อมูล แม้จะเป็นช่วงก่อนที่ AI จะมีการเติบโตอย่างรวดเร็ว

เครือข่าย deepnude generators นี้ดำเนินการภายใต้แบรนด์เดียวกันที่ชื่อว่า "AI Nude" และถูกโปรโมตผ่านเทคนิค black hat SEO เพื่อดันให้เว็บไซต์เหล่านี้ติดอันดับสูงในการค้นหา

ตามรายงานของ Silent Push กลุ่ม FIN7 อยู่เบื้องหลังการดำเนินการเว็บไซต์ต่าง ๆ เช่น "aiNude[.]ai", "easynude[.]website" และ nude-ai[.]pro" โดยตรง ซึ่งเสนอ "การทดลองใช้ฟรี" หรือ "ดาวน์โหลดฟรี" แต่ในความเป็นจริงแล้ว FIN7 เพียงใช้เว็บไซต์เพื่อแพร่กระจายมัลแวร์

เว็บไซต์ทั้งหมดใช้การออกแบบที่คล้ายกันซึ่งรับประกันว่าสามารถสร้างภาพเปลือย AI ได้ฟรีจากรูปถ่ายที่อัปโหลดขึ้นไป

เว็บไซต์ปลอมเหล่านี้อนุญาตให้ผู้ใช้สามารถอัปโหลดรูปถ่ายที่ต้องการสร้างเป็นภาพ deepfake นู้ดได้ อย่างไรก็ตาม หลังจากที่อ้างว่าภาพ "deepnude" ได้ถูกสร้างขึ้นแล้ว ภาพนั้นจะไม่แสดงบนหน้าจอ แต่ผู้ใช้จะได้รับแจ้งให้คลิกลิงก์เพื่อดาวน์โหลดภาพที่สร้างขึ้น

เมื่อคลิกลิงก์ดังกล่าว ผู้ใช้จะถูกพาไปยังอีกเว็บไซต์หนึ่งที่แสดงรหัสผ่าน และลิงก์สำหรับไฟล์ที่ถูกป้องกันด้วยรหัสผ่านซึ่งถูกโฮสต์บน Dropbox แม้ว่าปัจจุบันเว็บไซต์นี้ยังคงทำงานอยู่ แต่ลิงก์ Dropbox นั้นไม่สามารถใช้งานได้แล้ว

อย่างไรก็ตาม แทนที่จะเป็นภาพ deepnude ไฟล์ที่ถูกเก็บอยู่ในไฟล์ archive นั้น แท้จริงแล้วคือมัลแวร์ขโมยข้อมูลที่ชื่อ Lumma Stealer เมื่อถูกเรียกใช้งาน มัลแวร์นี้จะขโมยข้อมูล credentials และคุกกี้ที่ถูกบันทึกในเว็บเบราว์เซอร์, กระเป๋าเงินคริปโต และข้อมูลอื่น ๆ จากคอมพิวเตอร์

Silent Push ยังพบว่าเว็บไซต์บางแห่งโปรโมตโปรแกรมสร้าง deepnude สำหรับระบบ Windows ซึ่งจะติดตั้งมัลแวร์ Redline Stealer และ D3F@ck Loader แทน โดยมัลแวร์เหล่านี้ก็ใช้ในการขโมยข้อมูลจากอุปกรณ์ที่ถูกโจมตีเช่นกัน

เว็บไซต์ทั้งเจ็ดที่ Silent Push ตรวจพบได้ถูกปิดไปแล้ว แต่ผู้ใช้ที่อาจดาวน์โหลดไฟล์จากเว็บไซต์เหล่านี้ควรพิจารณาว่าตนเองอาจติดมัลแวร์แล้ว

แคมเปญ FIN7 อื่น ๆ

Silent Push ยังตรวจพบแคมเปญอื่น ๆ ของ FIN7 ที่ปล่อยมัลแวร์ NetSupport RAT ผ่านเว็บไซต์ที่หลอกให้ผู้เข้าชมติดตั้ง extension ของเบราว์เซอร์

ในกรณีอื่น ๆ FIN7 ใช้ payloads ที่ดูเหมือนจะปลอมแปลงเป็นแบรนด์ และแอปพลิเคชันที่เป็นที่รู้จัก เช่น Cannon, Zoom, Fortnite, Fortinet VPN, Razer Gaming, และ PuTTY

Payloads เหล่านี้อาจถูกแพร่กระจายไปยังเหยื่อโดยใช้กลยุทธ์ SEO และการโฆษณาที่มีมัลแวร์หลอกให้เหยื่อดาวน์โหลดโปรแกรมติดตั้งที่แฝงโทรจันไว้

FIN7 ถูกเปิดโปงเมื่อไม่นานมานี้จากการขายเครื่องมือ "AvNeutralizer" ที่พัฒนาขึ้นเพื่อปิดการทำงานของระบบ EDR ให้กับอาชญากรไซเบอร์อื่น ๆ โดยมุ่งเป้าไปที่พนักงานไอทีของผู้ผลิตรถยนต์ในการโจมตีแบบฟิชชิ่ง และได้ใช้แรนซัมแวร์ Cl0p ในการโจมตีองค์กรต่าง ๆ

ที่มา : https://www.

กลุ่มแรนซัมแวร์ BianLian อ้างว่า ได้ทำการโจมตี Boston Children's Health Physicians (BCHP) และขู่ว่าจะเปิดเผยข้อมูลที่ขโมยมา หากไม่มีการจ่ายค่าไถ่

BHCP เป็นเครือข่ายของแพทย์ และผู้เชี่ยวชาญด้านเด็กกว่า 300 คน ซึ่งเปิดให้บริการกว่า 60 แห่ง ในเขต Hudson Valley ของรัฐนิวยอร์ก และรัฐคอนเนตทิคัต โดยให้บริการดูแลผู้ป่วยในคลินิก โรงพยาบาลชุมชน และศูนย์สุขภาพที่ร่วมมือกับโรงพยาบาลเด็กบอสตัน

ตามประกาศที่ BHCP เผยแพร่บนเว็บไซต์ของตนเอง การโจมตีทางไซเบอร์เกิดขึ้นกับผู้ให้บริการทางด้าน IT ซึ่งถูกโจมตีเมื่อวันที่ 6 กันยายน 2024 และไม่กี่วันหลังจากนั้น BHCP ก็ตรวจพบพฤติกรรมที่ผิดปกติบนเครือข่าย

BHCP ระบุว่า ในวันที่ 6 กันยายน 2024 ผู้ให้บริการทางด้าน IT แจ้งให้ BHCP ทราบว่าพบพฤติกรรมที่ผิดปกติในระบบเครือข่าย และหลังจากนั้นในวันที่ 10 กันยายน 2024 BHCP ได้ตรวจพบพฤติกรรมที่ผิดปกติบนเครือข่ายของ BCHP บางส่วน และได้เริ่มใช้ incident response protocols ทันที รวมถึงทำการปิดระบบเพื่อเป็นมาตรการป้องกัน

การตรวจสอบ ซึ่งได้รับความช่วยเหลือจากผู้เชี่ยวชาญด้าน forensic expert ได้ยืนยันว่าผู้โจมตีสามารถเข้าถึงระบบเครือข่ายของ BHCP ได้บางส่วน และยังสามารถขโมยไฟล์ออกไปได้

ข้อมูลที่ถูกขโมยออกไปส่งผลกระทบต่อพนักงาน ผู้ป่วย และผู้ค้ำประกันทั้งในอดีต และปัจจุบัน โดยข้อมูลที่ถูกขโมยออกไปจะขึ้นอยู่กับข้อมูลที่ลูกค้าให้ไว้กับ BHCP เช่น

ชื่อ-นามสกุล
หมายเลขประกันสังคม
ที่อยู่
วันเกิด
หมายเลขใบขับขี่
เลขที่บันทึกทางการแพทย์
ข้อมูลประกันสุขภาพ
ข้อมูลการเรียกเก็บเงิน
ข้อมูลการรักษา (จำกัด)

BHCP ชี้แจงว่าการโจมตีทางไซเบอร์ไม่ได้ส่งผลกระทบต่อระบบอิเล็กทรอนิกส์บันทึกทางการแพทย์ เนื่องจากระบบเหล่านี้โฮสต์อยู่บนเครือข่ายที่แยกจากกัน

ผู้ที่ได้รับการยืนยันว่าได้รับผลกระทบจากเหตุการณ์ดังกล่าวจะได้รับจดหมายจาก BHCP ภายในวันที่ 25 ตุลาคม 2024 ผู้ที่มีหมายเลขประกันสังคม (SSN) และใบขับขี่ที่ถูกเปิดเผยจะได้รับการตรวจสอบ และป้องกันเครดิตด้วย

กลุ่ม BianLian อ้างการโจมตี

เมื่อต้นสัปดาห์นี้ กลุ่มแรนซัมแวร์ BianLian อ้างว่าได้โจมตี BHCP และได้เพิ่ม BHCP ลงในพอร์ทัลการเรียกค่าไถ่ของตนเอง

ผู้โจมตีอ้างว่า มีข้อมูลการเงิน, ข้อมูลทรัพยากรบุคคล, อีเมลการสนทนา, ฐานข้อมูล, ข้อมูลระบุตัวตน และข้อมูลทางด้านสุขภาพ รวมไปถึงข้อมูลที่เกี่ยวข้องกับเด็ก

ผู้โจมตียังไม่ได้เปิดเผยข้อมูลใดออกไป และยังไม่ได้กำหนดเวลาในการเปิดเผยข้อมูลที่ขโมยมา ซึ่งบ่งบอกว่าผู้โจมตีต้องการที่จะเจรจากับ BHCP อยู่

กลุ่มแรนซัมแวร์อ้างว่าพวกเขามักจะหลีกเลี่ยงการโจมตี และขโมยข้อมูลขององค์กรด้านการดูแลสุขภาพของเด็ก แต่ผู้โจมตีบางกลุ่มก็ไม่ได้สนใจในเรื่องของหลักจริยธรรมตรงส่วนนี้

เมื่อต้นปีนี้ กลุ่มแรนซัมแวร์ Rhysida เรียกร้องค่าไถ่จำนวน 3.6 ล้านดอลลาร์จากโรงพยาบาลเด็ก Lurie ในชิคาโก หลังจากขโมยข้อมูลสำคัญกว่า 600 GB จากระบบ และทำให้การปฏิบัติงานล่ม ซึ่งส่งผลให้การดูแลทางการแพทย์เกิดความล่าช้า

ที่มา : https://www.