ทุกสิ่งที่ควรทราบเกี่ยวกับเหตุการณ์ข้อมูลรั่วไหลของ Oracle

ประเด็นสำคัญจากบทความ:

• องค์กรอาชญากรรมไซเบอร์ที่รู้จักกันในชื่อ Cl0p ได้ใช้ช่องโหว่ zero-day ใน Oracle E-Business Suite ส่งผลให้เกิดการรั่วไหลของข้อมูลสำคัญกับบริษัทขนาดใหญ่นับสิบแห่ง กลุ่มแรนซัมแวร์นี้เรียกค่าไถ่จำนวนมากจากบริษัทใหญ่ระดับโลก โดยอ้างว่ารวมถึง Broadcom, Estée Lauder, Mazda และ Canon
• ช่องโหว่ zero-day คือช่องว่างด้านความปลอดภัยในซอฟต์แวร์ ฮาร์ดแวร์ หรือเฟิร์มแวร์ซึ่งผู้พัฒนายังไม่รับรู้และจึงเสี่ยงต่อการถูกอาชญากรไซเบอร์และผู้ไม่ประสงค์ดีโจมตี
• จนถึงปัจจุบัน มีบริษัทมากกว่า 100 แห่งที่ได้รับผลกระทบจากการโจมตี Oracle EBS โดย Cl0p ในช่วง 24 ชั่วโมงระหว่างวันที่ 20-21 พฤศจิกายน กลุ่มดังกล่าวได้โจมตีและขโมยข้อมูลจากบริษัท 29 แห่ง บริษัทเหล่านี้ตั้งอยู่ทั่วโลก ตั้งแต่สหรัฐอเมริกา ญี่ปุ่น จนถึงซาอุดีอาระเบียและมีมูลค่าองค์กรหลายแสนล้านดอลลาร์

ตั้งแต่วันพฤหัสบดีที่ 20 พฤศจิกายน และต่อเนื่องไปถึงวันถัดไป องค์กรอาชญากรรมไซเบอร์ที่รู้จักกันในชื่อ Cl0p ได้ใช้ช่องโหว่ zero-day ใน Oracle E-Business Suite ก่อให้เกิดการละเมิดข้อมูลสำคัญกับบริษัทขนาดใหญ่นับสิบแห่ง กลุ่มแรนซัมแวร์นี้เรียกเงินค่าไถ่จำนวนมากจากบริษัทยักษ์ใหญ่ทั่วโลก โดยอ้างว่ารวมถึง Broadcom, Estée Lauder, Mazda และ Canon ในอีเมลที่ Cl0p ส่งและสื่อต่างประเทศได้รับ อาชญากรไซเบอร์ย้ำว่าพวกเขา “ไม่ได้แสวงหาการมีอำนาจทางการเมืองหรือสนใจธุรกิจใด ๆ” โดยเป้าหมายเดียวของกลุ่มคือบีบบังคับให้องค์กรเป้าหมาย “จ่ายเงินตามที่ระบุ”

Cl0p คือใคร

กลุ่มอาชญากรไซเบอร์ที่ประกาศความรับผิดชอบต่อการโจมตีลูกค้า Oracle E-Business Suite นี้ใช้ชื่อว่า Cl0p กลุ่มที่พูดภาษารัสเซียนี้ดำเนินกิจการอย่างน้อยตั้งแต่ปี 2019 และดำเนินการโจมตีแรนซัมแวร์ขนาดใหญ่จำนวนมากตั้งแต่นั้นมา Cl0p มีชื่อเสียงด้านเทคนิครีดไถที่ซับซ้อนและมัลแวร์ขั้นสูง โดยสามารถเรียกเงินค่าไถ่สำเร็จไปแล้วมากกว่า 500 ล้านดอลลาร์

ตามข้อมูลจาก Cybersecurity and Infrastructure Security Agency (CISA) ของสหรัฐอเมริกา Cl0p “เป็นที่รู้จักในด้านการเปลี่ยนแปลงมัลแวร์บ่อยครั้งและเป็นผู้ขับเคลื่อนแนวโน้มการเผยแพร่มัลแวร์ทางอาชญากรรมทั่วโลก” Cl0p ได้รับการยอมรับอย่างกว้างขวางว่าเป็น “หนึ่งในผู้เผยแพร่ phishing และ malspam รายใหญ่ที่สุดของโลก” โดยใช้ช่องโหว่ข้อมูลกับบริษัทมากกว่า 8,000 แห่ง รวมถึงองค์กรในสหรัฐฯ 3,000 แห่งตั้งแต่เริ่มปรากฏตัวเมื่อหกปีก่อน

ช่องโหว่ Zero-Day คืออะไร และ Cl0p ใช้ประโยชน์อย่างไร

ช่องโหว่ zero-day คือช่องว่างด้านความปลอดภัยในซอฟต์แวร์ ฮาร์ดแวร์ หรือเฟิร์มแวร์ซึ่งผู้พัฒนายังไม่ทราบ และจึงเสี่ยงต่อการถูกอาชญากรไซเบอร์หรือผู้ไม่ประสงค์ดีโจมตี ตามที่ Office of Innovative Technologies มหาวิทยาลัย Tennessee ให้คำจำกัดความไว้

“ช่องโหว่ zero-day ก็เหมือนกับกับดักลับในแอปหรือระบบปฏิบัติการโปรดของคุณ”

คำว่า “zero-day” หมายถึงระยะเวลาที่ผู้พัฒนา ผู้เชี่ยวชาญด้านความปลอดภัยไซเบอร์ และผู้มีส่วนได้ส่วนเสียอื่น ๆ รับรู้ถึงข้อบกพร่องนี้ ซึ่งตามชื่อ ช่องโหว่ zero-day เป็นช่องโหว่ที่ยังไม่มีการออกแพตช์หรือแก้ไขโดยนักพัฒนาเพราะยังไม่รู้ว่ามีอยู่จริง ช่องว่างนี้ทำให้แฮกเกอร์สามารถใช้ช่องโหว่ได้โดยขโมยหรือส่งออกข้อมูลสำคัญ ติดตั้งมัลแวร์ และกระทำการร้ายแรงต่าง ๆ เพื่อวัตถุประสงค์ที่หลากหลาย

สำหรับกรณีการโจมตี Oracle E-Business Suite ในครั้งนี้ Cl0p ได้ใช้ช่องโหว่ zero-day ที่เป็นที่รู้จัก 2 รายการ โดยกระทบกับ Oracle EBS รุ่น 12.2.3 ถึง 12.2.14

• CVE-2025-61882: CVE (common vulnerabilities and exposures) นี้เป็นช่องโหว่ในส่วน BI Publisher Integration ภายใน Oracle E-Business Software ตามข้อมูลจาก National Cyber Security Centre ของสหราชอาณาจักร ช่องโหว่นี้เปิดทางให้แฮกเกอร์ที่ไม่ได้รับการยืนยันตัวตน “ส่ง HTTP request เฉพาะไปยังคอมโพเนนต์ที่ได้รับผลกระทบ ซึ่งอาจนำไปสู่การเข้าควบคุมระบบโดยสมบูรณ์” CVE-2025-61882 เปิดโอกาสให้ Cl0p เข้าถึงระบบเป้าหมายโดยตรง

• CVE-2025-21884: ช่องโหว่นี้เน้นไปที่ส่วนติดต่อผู้ใช้ (UI) Runtime ของ Oracle Configurator ตามข้อมูลจาก CISA CVE นี้ “เปิดทางให้ผู้โจมตีที่เข้าถึงเครือข่ายด้วย HTTP โดยไม่ยืนยันตัวตนสามารถแทรกแซง Oracle Configurator ได้” หากโจมตีสำเร็จ CVE-2025-21884 อาจทำให้แฮกเกอร์เข้าถึงข้อมูลสำคัญหรือข้อมูลอ่อนไหวโดยไม่ได้รับอนุญาต

กลุ่มอาชญากรไซเบอร์ใช้ประโยชน์จาก Oracle มานานเท่าไร

การโจมตีแรนซัมแวร์ของ Cl0p ที่มุ่งเป้า Oracle E-Business Software เริ่มตั้งแต่ปลายเดือนกันยายนที่ผ่านมา

ในช่วงสองเดือนที่ผ่านมา ขอบเขตการปฏิบัติการของกลุ่มนี้ค่อย ๆ ขยายวงกว้างขึ้น ปัจจุบัน Cl0p ระบุว่ามีองค์กรเป้าหมายจากการโจมตี Oracle EBS กว่า 100 แห่ง และชุดข้อมูลของบริษัท 77 แห่งได้ถูกปล่อยบนไฟล์ torrent หรือ magnet links

บริษัทใดได้รับผลกระทบจากการโจมตี ransomware

จนถึงปัจจุบัน มีบริษัทมากกว่า 100 แห่งอ้างว่าถูกผลกระทบจากการโจมตี Oracle EBS โดย Cl0p ในช่วง 24 ชั่วโมงระหว่างวันที่ 20-21 พฤศจิกายน กลุ่มดังกล่าวได้โจมตีและขโมยข้อมูลจากบริษัท 29 แห่ง บริษัทเหล่านี้ตั้งอยู่ทั่วโลก ตั้งแต่สหรัฐอเมริกา ญี่ปุ่น จนถึงซาอุดีอาระเบีย และรวมถึงองค์กรที่มีมูลค่าหลายแสนล้านดอลลาร์

บริษัทที่ถูกโจมตี ransomware ในวันที่ 20 พฤศจิกายน (อ้างอิง)

‍

• Oracle
• Michelin
• Broadcom
• The Estée Lauder Companies
• Humana
• Fruit of the Loom
• Abbott Laboratories
• Grupo Bimbo
• A10
• Envoy
• Canon
• Greater Cleveland RTA
• Frontrol
• MAS Holdings
• Trane Technologies
• Treet Corp
• University of Phoenix
• L&L Products
• Worley
• Mazda
• Fleet Management Limited
• Alshaya Group
• Bechtel Corporation
• WellBiz Brands, Inc.
• Dooney & Bourke
• Greenball
• Sumitomo Chemical
• Aljomaih Automotive Company (AAC)

‍

องค์กรต่าง ๆ รับมือกับการโจมตีไซเบอร์อย่างไร

ตั้งแต่ต้นเดือนตุลาคม Oracle ได้ออกประกาศแจ้งเตือนความปลอดภัยสองครั้งสำคัญเพื่อแจ้งให้ผู้ใช้ทราบถึงช่องโหว่จากการโจมตี zero-day โดย Cl0p การแจ้งเตือนครั้งแรกกล่าวถึง CVE-2025-61882 “ช่องโหว่นี้สามารถถูกโจมตีระยะไกลได้โดยไม่ต้องยืนยันตัวตน หมายถึงอาจถูกโจมตีผ่านเครือข่ายโดยไม่ต้องใช้ชื่อผู้ใช้หรือรหัสผ่าน” Oracle อธิบายใน ประกาศแจ้งเตือนความปลอดภัย “Oracle ขอแนะนำให้ลูกค้าทุกท่านติดตั้งอัปเดตที่ได้แนบมากับประกาศนี้โดยเร็วที่สุด” การอัปเดตนี้มีเอกสารเกี่ยวกับแพตช์และคำแนะนำการเข้าถึงและติดตั้งแพตช์ความปลอดภัย

Oracle ส่ง ประกาศแจ้งเตือนครั้งที่สอง เพื่อแก้ไข CEV-2025-61884 ประกาศนี้ยังมีเอกสารการติดตั้งแพตช์และเน้นย้ำให้ผู้ใช้ติดตั้งอัปเดตโดยเร็วที่สุดเพื่อหลีกเลี่ยงการละเมิดความปลอดภัยครั้งใหญ่หรือผลกระทบทางลบอื่น ๆ

Cl0p ขู่จะทำอะไรถ้าบริษัทไม่ยอมจ่าย

จากข้อความในอีเมลจาก Cl0p ที่ Mandiant บริษัทด้านความปลอดภัยไซเบอร์ในเครือ Google เปิดเผย Cl0p ใช้ข้อมูลอ่อนไหวที่ขโมยจาก Oracle EBS เป็นแต้มต่อสำคัญ ในข้อความ กลุ่มอาชญากรไซเบอร์เตือนว่าหากบริษัทไม่จ่ายค่าไถ่ ข้อมูลลูกค้าจะถูกเปิดเผย ไม่ว่าจะขายต่อให้ ‘ผู้ไม่ประสงค์ดี’ เผยแพร่ในบล็อกของกลุ่ม หรือปล่อยผ่าน torrent trackers

Mandiant ยังมีแถลงการณ์สำคัญเกี่ยวกับวิธีปฏิบัติของกลุ่มอาชญากรนี้ โดยระบุว่าในแคมเปญที่ผ่านมาของ Cl0p “มักจะรอเป็นเวลาหลายสัปดาห์ก่อนเผยแพร่ข้อมูลเหยื่อ” ข้อนี้หมายความว่าองค์กรที่ตกเป็นเหยื่อการโจมตีล่าสุดจะมีเวลาระยะหนึ่งก่อนที่ข้อมูลลูกค้าจะถูกปล่อยในรูปแบบที่ Cl0p ใช้มาโดยตลอด

ดูช่องโหว่ซัพพลายเออร์ของคุณด้วย Z2Data

สำหรับผู้ผลิตอุปกรณ์ต้นแบบ (OEM) และธุรกิจอื่น ๆ ความเสี่ยงจากซัพพลายเออร์เป็นปัจจัยของห่วงโซ่อุปทานที่เปลี่ยนแปลงตลอดเวลาและคาดเดาได้ยาก กรณีการโจมตีช่องโหว่ zero-day ใน Oracle นี้ชี้ให้เห็นว่าธุรกิจอาจประสบผลกระทบใหญ่หลวงจาก การหยุดชะงัก ของซัพพลายเออร์ และหลายครั้งไม่สามารถแก้ไขได้ทันท่วงที ในช่วง 6 สัปดาห์ที่ผ่านมา บริษัทระดับ Fortune 500 เช่น Broadcom, Abbott Laboratories และ Estée Lauder ต่างเผชิญเหตุข้อมูลรั่วไหลครั้งใหญ่เนื่องจากความเปราะบางของซัพพลายเออร์ซอฟต์แวร์อย่าง Oracle

ความเสี่ยงจากช่องโหว่ซัพพลายเออร์ไม่จำเป็นต้องเป็นเรื่องปกติ ธุรกิจสามารถใช้แพลตฟอร์มการบริหารความเสี่ยงห่วงโซ่อุปทาน (SCRM: Supply Chain Risk Management) เพื่อเสริมความแข็งแกร่งรองรับความเสี่ยงที่อาจเกิดขึ้นจากซัพพลายเออร์

อย่างไรก็ตาม ความเสี่ยงจากช่องโหว่ซัพพลายเออร์ไม่จำเป็นต้องเป็นเรื่องปกติ ธุรกิจสามารถใช้แพลตฟอร์มการบริหารความเสี่ยงห่วงโซ่อุปทาน (SCRM) เพื่อเสริมความแข็งแกร่งรองรับความเสี่ยงที่อาจเกิดขึ้นจากซัพพลายเออร์ SCRM เครื่องมือ Z2Data ให้บริการ risk hub ครบวงจรที่มีการประเมินความเสี่ยงซัพพลายเออร์ทั่วโลกมากกว่า 100,000 ราย แต่ละการประเมินจะสรุปรวม 12 ปัจจัยเฉพาะ เพื่อวิเคราะห์ภัยคุกคามโดยรอบของซัพพลายเออร์แต่ละราย ปัจจัยความเสี่ยงต่าง ๆ ที่ Z2Data วิเคราะห์ได้แก่:

• ความพึ่งพาด้านแหล่งจัดหา
• ผลกระทบจาก Tariff
• การปฏิบัติตามข้อกำหนดการค้า
• ความเสี่ยงทางภูมิรัฐศาสตร์
• การดำเนินงานการผลิต
• สุขภาพการเงิน
• ความเสี่ยงล้มละลาย
• ความเสี่ยงด้าน ESG
• ความมั่นคงปลอดภัยไซเบอร์
• ความโปร่งใสของข้อมูล
• วัสดุที่เกี่ยวข้อง
• ความเสี่ยงห่วงโซ่อุปทานอิเล็กทรอนิกส์

ด้วย Risk Hub ของ Z2Data องค์กรสามารถมองเห็นและวิเคราะห์ความเสี่ยงล่วงหน้า ก่อนเหตุการณ์ลุกลามเป็นวิกฤตห่วงโซ่อุปทานที่ไม่อาจย้อนกลับ ดูข้อมูลเพิ่มเติมเกี่ยวกับ Z2Data และขีดความสามารถวิเคราะห์ความเสี่ยงซัพพลายเออร์ หรือนัด เดโม กับผู้เชี่ยวชาญของเรา