อดีตผู้เจรจา ransomware ของ DigitalMint ถูกฟ้องว่าส่งข้อมูลสำคัญให้แฮกเกอร์

อดีตผู้เจรจาต่อรองค่าไถ่ของบริษัท DigitalMint, มาร์ติโนะ (Martino) ถูกสั่งให้ทำหน้าที่ช่วยเหลือองค์กรที่ตกเป็นเหยื่อ ransomware แต่ตามการสอบสวนของอัยการ เขาได้ใช้ข้อมูลเชิงลึกจากกรณีที่กำลังดำเนินอยู่เพื่อสนับสนุนแฮกเกอร์แทนผู้เสียหาย การกระทำนี้ส่งผลให้เกิดคำถามเกี่ยวกับมาตรฐานความปลอดภัยและจริยธรรมในวงการตอบโต้ ransomware อย่างหนัก.

Overview

ตามข้อมูลของศาลอาญา มาร์ติโนะเคยทำงานเป็นผู้เชี่ยวชาญด้าน “ransomware negotiation” ที่ DigitalMint บริษัทที่ให้คำปรึกษาแก่ธุรกิจเมื่อเผชิญเหตุการณ์โจมตีด้วยซอฟต์แวร์ร้ายแรง เขามีหน้าที่เจรจากับกลุ่มแฮกเกอร์เพื่อพยายามลดค่าไถ่หรือจัดหาเวลาในการทำการฟื้นฟูระบบโดยไม่ต้องจ่ายเงินเต็มจำนวน

ในระหว่างที่ทำงาน เขาได้รับสิทธิ์เข้าถึงข้อมูลละเอียดของผู้เสียหายหลายกรณี เช่น จำนวนเงินเรียกเก็บ, ความคุ้มครองจากประกันภัยไซเบอร์, แนวทางการเจรจาต่อรองภายในองค์กร รวมถึงแผนการฟื้นฟูระบบหลังเหตุการณ์ การเปิดเผยหรือใช้ข้อมูลเหล่านี้โดยไม่ได้รับอนุญาตเป็นสิ่งที่ถูกห้ามตามข้อตกลงของบริษัทและกฎหมายคุ้มครองข้อมูลส่วนบุคคล.

อัยการได้ยื่นข้อกล่าวหาอย่างเป็นทางการต่อมาร์ติโนะว่า เขาไม่ได้ใช้ตำแหน่งเพื่อประโยชน์ของลูกค้า แต่กลับส่งต่อข้อมูลสำคัญให้กับกลุ่มแฮกเกอร์ เพื่อแลกเปลี่ยนผลประโยชน์ส่วนตัวหรือช่วยเหลือในการขัดขวางกระบวนการเจรจาต่อรองของบริษัท.

Role and Access at DigitalMint

DigitalMint เป็นหนึ่งในผู้ให้บริการที่ได้รับความเชื่อถือสูงในตลาด “incident response” ของประเทศไทยและเอเชียตะวันออกเฉียงใต้ โดยมุ่งเน้นการจัดการเหตุการณ์ ransomware อย่างเป็นระบบ ตั้งแต่การประเมินความเสี่ยง, การสื่อสารกับผู้เสียหาย, จนถึงการเจรจากับแฮกเกอร์เพื่อหลีกเลี่ยงค่าไถ่ที่สูงเกินไป

มาร์ติโนะในฐานะ “ransomware negotiator” มีหน้าที่เป็นคนกลางระหว่างบริษัทลูกค้าและกลุ่มโจมตี เขาต้องทำความเข้าใจวิธีการของแฮกเกอร์, วิเคราะห์ข้อเรียกร้องเงิน และเสนอแนวทางที่อาจทำให้ค่าไถ่ลดลงโดยไม่กระทบต่อข้อมูลสำคัญขององค์กร การเข้าถึงฐานข้อมูลภายในของ DigitalMint ทำให้เขาเห็นภาพรวมของหลายๆ กรณีพร้อมกันและสามารถสังเคราะห์ข้อมูลเพื่อใช้ในการเจรจาได้อย่างรวดเร็ว.

การทำงานดังกล่าวต้องอาศัยความลับสูงสุด เนื่องจากข้อมูลเชิงลึกเกี่ยวกับแฮกเกอร์และค่าไถ่ที่ถูกเรียกร้องเป็นข้อมูลที่อาจถูกใช้เป็นเครื่องมือต่อรองในตลาดมืด หากรั่วไหลจะส่งผลเสียหายอย่างมหาศาลต่อทั้งลูกค้าและบริษัทให้บริการ.

Alleged Misconduct

ตามคำฟ้องของศาลอัยการ มาร์ติโนะได้ใช้ตำแหน่งเพื่อ “ลับ” ให้ข้อมูลสำคัญแก่แฮกเกอร์ในขณะที่กำลังดำเนินการเจรจา ตัวอย่างที่ถูกระบุคือ การส่งต่อรายละเอียดเกี่ยวกับ ความคุ้มครองจากประกันภัย และ ระดับค่าไถ่ที่ลูกค้าตั้งใจจะจ่าย ซึ่งทำให้กลุ่มโจมตีสามารถปรับตัวและเพิ่มเงื่อนไขการเรียกร้องได้

อัยการยังกล่าวว่า มาร์ติโนะอาจได้รับ “ผลตอบแทนส่วนบุคคล” จากแฮกเกอร์ในรูปแบบของเงินหรือสินทรัพย์ดิจิทัล แต่รายละเอียดเกี่ยวกับจำนวนหรือประเภทของรางวัลไม่ได้เปิดเผยต่อสาธารณะ นอกจากนี้ ยังมีข้อสงสัยว่าเขาได้ช่วยให้กลุ่มแฮกเกอร์หลีกเลี่ยงการตรวจสอบโดยหน่วยงานบังคับใช้กฎหมายผ่านการบิดเบือนข้อมูลภายในระบบตอบโต้เหตุการณ์.

การกระทำเหล่านี้เป็นการละเมิด ความลับของลูกค้า อย่างชัดเจนและขัดต่อหลักจริยธรรมของอุตสาหกรรมการจัดการภัยไซเบอร์ ซึ่งตามกฎหมายไทย การเปิดเผยข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาตสามารถนำไปสู่โทษจำคุกหรือปรับสูงสุดได้.

Legal Proceedings

กรณีนี้เข้าสู่กระบวนการสอบสวนของสำนักงานอัยการจังหวัดในเดือนมกราคม 2566 และต่อมาได้ยื่นฟ้องร้องต่อศาลปกครองโดยข้อหา การฉ้อโกง, การร่วมมือกับกลุ่มอาชญากรรมไซเบอร์ และ การละเมิดข้อมูลส่วนบุคคล ตามพ.ร.บ. การกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550

ศาลได้กำหนดให้มาร์ติโนะต้องถูกควบคุมตัวจนถึงวันพิจารณาคดีขั้นต้น ซึ่งคาดว่าจะเปิดเผยหลักฐานเพิ่มเติม เช่น บันทึกการสื่อสารระหว่างเขากับแฮกเกอร์และรายงานภายในของ DigitalMint ที่แสดงรายละเอียดค่าไถ่และกลยุทธ์การเจรจา การสอบสวนยังครอบคลุมถึงบริษัทประกันภัยที่เกี่ยวข้องเพื่อยืนยันว่ามีการเปิดเผยข้อมูลใดบ้าง.

หากศาลตัดสินว่าเขาเป็นผู้กระทำผิดจริง เขาอาจต้องรับโทษจำคุกสูงสุด 12 ปี และค่าปรับตามกฎหมายไซเบอร์ ซึ่งอาจส่งผลต่อมาตรฐานการตรวจสอบภายในของบริษัทให้บริการด้านความปลอดภัยไซเบอร์ทั่วประเทศ.

Impact on the Industry

เหตุการณ์นี้ทำให้หลายองค์กรเริ่มทบทวนกระบวนการคัดเลือกและตรวจสอบบุคลากรที่มีหน้าที่ “เจรจาต่อรอง ransomware” โดยเฉพาะอย่างยิ่งเรื่อง การจัดการความเสี่ยงภายใน บริษัทผู้ให้บริการอาจต้องเพิ่มมาตรการตรวจสอบแบบต่อเนื่อง (continuous monitoring) เพื่อตรวจจับการเข้าถึงข้อมูลที่ไม่เหมาะสมของพนักงาน

นอกจากนี้ ผู้บริหารระดับสูงของบริษัทประกันภัยไซเบอร์เริ่มปรับแนวทาง การเปิดเผยข้อมูล กับผู้ให้บริการตอบโต้เหตุการณ์ ให้มีขอบเขตจำกัดและต้องได้รับความยินยอมเป็นลายลักษณ์อักษรจากลูกค้า การเพิ่มมาตรฐาน “ศูนย์ตรวจสอบภายใน” (internal audit) และการฝึกอบรมด้านจริยธรรมไซเบอร์กลายเป็นข้อบังคับใหม่ในหลายองค์กร

โดยรวมแล้ว คดีนี้ส่งสัญญาณเตือนต่อวงการว่าแม้ผู้เชี่ยวชาญระดับสูงก็อาจเป็นช่องโหว่สำคัญ หากไม่มีระบบตรวจสอบที่เข้มงวดและวัฒนธรรมความโปร่งใสภายในองค์กร

Prevention Measures

เพื่อป้องกันเหตุการณ์คล้ายคลึงในอนาคต ผู้ให้บริการตอบสนองเหตุการณ์ ransomware ควรดำเนินการตามแนวทางต่อไปนี้

• **แยกหน้าที่ (Segregation of duties): ให้ผู้ที่ทำหน้าที่เจรจาต่อรองไม่สามารถเข้าถึงข้อมูลเชิงลึกของค่าไถ่หรือประกันภัยโดยตรง
• ระบบตรวจสอบแบบเรียลไทม์: ใช้เครื่องมือ SIEM เพื่อตรวจจับการดึงข้อมูลที่ผิดปกติจากผู้ใช้ระดับสูง
• **นโยบายความปลอดภัยข้อมูล (Data Governance): กำหนดขอบเขตการเข้าถึงตามหลัก “จำเป็นต้องรู้” อย่างเคร่งครัดและบันทึกทุกกิจกรรมของผู้ใช้งานในระบบสำคัญ

การฝึกอบรมพนักงานเกี่ยวกับ จริยธรรมไซเบอร์ และการสร้างวัฒนธรรมที่ส่งเสริมการรายงานเหตุการณ์ (whistleblowing) ยังเป็นส่วนสำคัญที่จะลดความเสี่ยงจากการกระทำโดยเจตนาอันตรายภายในองค์กร.

Summary

มาร์ติโนะผู้เคยทำหน้าที่เจรจาต่อรอง ransomware ให้กับ DigitalMint ถูกตั้งข้อหาใช้ข้อมูลลับของลูกค้าเพื่อสนับสนุนแฮกเกอร์ การดำเนินคดีนี้เปิดเผยช่องโหว่ด้านการควบคุมภายในและกระตุ้นให้บริษัทตอบโต้เหตุการณ์ไซเบอร์ปรับมาตรการความปลอดภัยและจริยธรรมใหม่.