FBI ใช้ Windows Device ID ติดตามตัวแฮกเกอร์ได้

จากรายงานโดยเว็บไซต์ The Hacker News ได้กล่าวถึงรายงานการจับกุมตัวผู้ต้องสงสัยที่ถูกกล่าวหาว่าเป็นหนึ่งในสมาชิกของกลุ่มแฮกเกอร์ที่มีชื่อว่า Scattered Spider หลังจากที่ได้ทำการแฮกเข้าสู่ระบบของร้านอัญมณีชื่อดังแห่งหนึ่งในประเทศสหรัฐอเมริกา โดยผู้ถูกจับกุมนั้นเป็นชายสองสัญชาติอเมริกัน-เอสโตเนีย อายุ 19 ปี ชื่อว่า Peter Stokes หรือมีชื่อออนไลน์ว่า Bouquet โดยได้ถูกส่งตัวในฐานะผู้ร้ายข้ามแดนจากประเทศฟินแลนด์สู่ประเทศสหรัฐอเมริกา และได้รับการสอบสวนในศาลเมืองชิคาโกในช่วงวันที่ 30 มิถุนายน ที่ผ่านมา

ในส่วนของเหตุการณ์การแฮกนั้น เกิดขึ้นระหว่างวันที่ 12 - 15 พฤษภาคม ค.ศ. 2025 (พ.ศ. 2568) ที่ผ่านมา โดยกลุ่มผู้ร้ายได้ใช้งานบริการ Google Voice เพื่อติดต่อกับแผนก IT Help Desk ของร้านดังกล่าว โดยสมอ้างตนว่าเป็นพนักงานที่ไม่สามารถเข้าใช้งานระบบได้ (Locked Out) ซึ่งแฮกเกอร์จะทำการขอให้ทางแผนก IT ทำการรีเซ็ต (Reset) ทั้งรหัสผ่านและเครื่องโทรศัพท์มือถือที่เชื่อมต่อกับระบบการยืนยันตัวตนหลายทาง (MFA หรือ Multi-Factors Authentication) ทำให้หลังจากที่แผนก IT หลงเชื่อแฮกเกอร์แล้ว ภายใน 3 ชั่วโมง แฮกเกอร์ก็สามารถเข้าควบคุมบัญชีการใช้งานระบบภายในบริษัทได้ถึงสามบัญชี ซึ่ง 2 ใน 3 นั้นเป็นบัญชีของผู้ดูแลระบบไอที (IT Administrator) ซึ่งแฮกเกอร์จะใช้งานบัญชีเหล่านี้ได้การติดตั้ง ngrok และเครื่องมือในการสร้างอุโมงค์ (Tunnelling) ตัวที่ 2 ที่มีชื่อว่า Teleport หลังจากนั้นจึงย้ายข้อมูลไปยังแหล่งเก็บข้อมูลแบบคลาวด์ (Cloud Storage) บนบริการของ Amazon ซึ่งข้อมูลที่ย้ายไปได้นั้นมีมากถึง 77 GB เลยทีเดียว

ซึ่งในการแฮกครั้งนั้นมีการตรวจพบว่าทางแฮกเกอร์พยายามที่จะฝังมัลแวร์ประเภทเรียกค่าไถ่ หรือ Ransomware ลงบนระบบ แต่ทีมความปลอดภัยไซเบอร์ได้ตรวจพบและทำการขัดขวางไม่ให้ทำได้สำเร็จเสียก่อน ทว่า ทางแฮกเกอร์ก็ยังได้ทำการส่งข่มขู่ว่ามีการจับข้อมูลเป็นตัวประกัน โดยหัวข้ออีเมลคือ "IMPORTANT: WE STOLE THE DATA, CONTACT UMMEDIATELY [sic]," ทั้งยังเรียกเงินค่าไถ่เป็นจำนวนถึง 8 ล้านดอลลาร์สหรัฐ (269,984,000 บาท) ซึ่งทางบริษัทก็ไม่ได้จ่ายเงินไปแต่อย่างใด กระนั้นการที่ระบบถูกแฮกจนข้อมูลถูกขโมยไปก็ยังนับว่าเสียหายมากถึง 2 ล้านดอลลาร์สหรัฐ (67,496,000 บาท) อยู่ดี โดยทางนักวิเคราะห์กล่าวว่า เหตุการณ์ดังกล่าวนั้นไม่ได้เกิดขึ้นเนื่องจากความผิดพลาดของซอฟต์แวร์ (Software Flaw) แต่เกิดขึ้นเนื่องจากระบบการทำงานมีข้อบกพร่อง ที่ไม่ได้มีการกำกับให้ทางแผนกไอที ต้องยืนยันตัวตนผู้ติดต่อ (Verify) และโทรกลับไปยังเบอร์ของพนักงานที่อยู่บนไฟล์ที่มีก่อนที่จะทำการรีเซ็ตรหัสผ่าน รวมทั้งยังไม่มีขั้นตอนให้ผู้จัดการต้องเซ็นอนุมัติการรีเซ็ต นอกจากนั้น ยังไม่มีการตรวจสอบตัวตนผ่านทางวิดีโอสำหรับการปฏิบัติงานบนบัญชีที่มีสิทธิ์ระดับสูงในการเข้าถึงระบบอีกด้วย นำมาสู่เหตุการณ์ระทึกดังกล่าว

สำหรับการจับกุมตัวนั้น เริ่มขึ้นจากการที่ทางตำรวจได้ทำการสืบสวนย้อนกลับไปยังเครื่องที่ใช้งาน ngrok ซึ่งพบว่ามีการเข้าถึงด้วยคอมพิวเตอร์ที่ใช้งานระบบปฏิบัติการ Windows 11 ที่มีรหัส Windows Device ID คือ g:6755467234350028 ซึ่งถูกผูกเข้ากับการติดตั้ง Windows 11 เพียงครั้งเดียว โดยเครื่องดังกล่าวนั้นได้มีการเข้าใช้งาน ngrok ผ่านทางหมายเลขไอพี ที่เป็นหมายเลขไอพีตัวแทน (Proxy) ทว่าสิ่งที่แฮกเกอร์ทำผิดพลาดที่สุดนั่นคือ มีการใช้หมายเลขไอพี กับเครื่องคอมพิวเตอร์เครื่องเดียวกันในการเข้าใช้งานโซเชียลมีเดียที่ใช้ชื่อจริงจำนวนมาก ไม่ว่าจะเป็น Snapchat และ Facebook นำมาสู่การจับกุมตัวในท้ายที่สุด