3BB FortiGate คือกรณีที่ Hunt.io รายงานว่าพบชุดเครื่องมือเจาะระบบที่ทำมาเฉพาะสำหรับ 3BB (Triple T Broadband) โดยเข้าทางช่องโหว่ FortiGate SSL-VPN CVE-2024-21762 และมุ่งขโมยข้อมูลยืนยันตัวตนสมาชิกในฐานข้อมูล RADIUS บทความนี้เหมาะกับทีม IT ผู้บริหาร และ DPO ขององค์กรไทยที่ใช้ SSL-VPN และจะได้รู้ว่าต้องเช็กอะไรทันที
ลองนึกภาพบริษัท 50 คนที่ติดตั้ง FortiGate ไว้ให้พนักงานทำงานจากบ้านตั้งแต่ปี 2564 แล้วไม่มีใครแตะอีกเลย กรณี 3BB FortiGate บอกว่าช่องโหว่ที่มีแพตช์มาตั้งแต่ปี 2567 ยังถูกใช้เจาะผู้ให้บริการรายใหญ่ได้ในปี 2569 ถ้าเกิดกับ ISP ได้ ก็เกิดกับบริษัทเราได้
สรุปสั้น: Hunt.io พบ open directory ของผู้โจมตี 298 ไฟล์ ซึ่งเป็นชุดเครื่องมือที่ทำมาเฉพาะสำหรับ 3BB จุดเข้าคือช่องโหว่ FortiGate SSL-VPN CVE-2024-21762 เป้าหมายหลักคือฐานข้อมูล RADIUS ของสมาชิก และมีการติดตั้ง MeshCentral เป็นประตูหลัง ยังไม่พบคำชี้แจงจาก 3BB และยังไม่ยืนยันจำนวนสมาชิกที่ได้รับผลกระทบ องค์กรไทยที่ใช้ FortiGate หรือ F5 ควรตรวจแพตช์ภายในสัปดาห์นี้ เพราะการไม่แพตช์ช่องโหว่เก่าทำให้อ้างมาตรการที่เหมาะสมตาม PDPA ได้ยาก
กรณี 3BB FortiGate คืออะไร เกิดอะไรขึ้น
กรณี 3BB FortiGate มาจากรายงานเชิงเทคนิคของ Hunt.io ที่ SecurityWeek นำมารายงานเมื่อ 15 กันยายน 2569 และ Hunt.io ยังเผยแพร่หรืออัปเดตรายงานต่อเนื่อง ผู้วิจัยพบ open directory ของผู้โจมตีบนโครงสร้างพื้นฐานในไทย มี 298 ไฟล์ใน 30 โฟลเดอร์ ขนาดราว 19 MB
ชุดเครื่องมือนี้ทำมาเฉพาะสำหรับ 3BB ผู้ให้บริการบรอดแบนด์ที่มีผู้ใช้หลายล้านราย จุดเข้าแรกคือ CVE-2024-21762 ซึ่งเป็นช่องโหว่รันโค้ดจากระยะไกลของ FortiGate SSL-VPN ผู้โจมตียังสแกนหา CVE-2018-13379, CVE-2022-42475, CVE-2023-27997 และช่องโหว่ F5 BIG-IP อีก 3 รายการ
ตามรายงาน สิ่งที่ผู้โจมตีเก็บได้มีทั้ง SSH keys การตั้งค่า PHP รหัสผ่านฐานข้อมูล SNMP community strings และข้อมูลยืนยันตัวตน RADIUS ผู้โจมตีติดตั้ง MeshCentral ในหลายเครื่อง ได้สิทธิ์ root และสำรวจเครื่องภายในกว่า 55 เครื่อง รายงานยังพบร่องรอยการโจมตีคู่ขนานต่อโครงสร้างร่วมของ Jasmine International
| ประเด็น | ข้อเท็จจริงตามรายงาน |
|---|---|
| ผู้พบ | Hunt.io (SecurityWeek รายงาน 15 ก.ย. 2569) |
| หลักฐาน | open directory 298 ไฟล์ 30 โฟลเดอร์ ราว 19 MB |
| จุดเข้า | FortiGate SSL-VPN CVE-2024-21762 · สแกนช่องโหว่ Fortinet อื่นและ F5 BIG-IP อีก 3 รายการ |
| สิ่งที่ถูกเก็บ | SSH keys, รหัสผ่านฐานข้อมูล, SNMP strings, ข้อมูล RADIUS |
| การฝังตัว | MeshCentral เป็นประตูหลัง · สิทธิ์ root · สำรวจเครื่องภายในกว่า 55 เครื่อง |
| สถานะ | ยังไม่พบคำชี้แจงจาก 3BB · ยังไม่ยืนยันจำนวนสมาชิกที่ได้รับผลกระทบ |
กรณี 3BB FortiGate กระทบธุรกิจไทยอย่างไร
กรณี 3BB FortiGate กระทบธุรกิจไทยเพราะ FortiGate และ F5 เป็นอุปกรณ์ที่องค์กรไทยจำนวนมากใช้ และเพราะทำให้เห็นว่าช่องโหว่ที่ไม่แพตช์อาจกลายเป็นความรับผิดตามกฎหมาย ส่วนนี้เป็นการวิเคราะห์ของผู้เขียนจากข้อเท็จจริงในรายงาน
ช่องโหว่ที่มีแพตช์แล้วแต่ไม่แพตช์ เป็นความรับผิดตาม PDPA ได้ไหม
ช่องโหว่ที่มีแพตช์แล้วแต่ไม่แพตช์ ทำให้องค์กรอ้างได้ยากว่ามี “มาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม” ตาม PDPA มาตรา 37(1) ผู้เขียนมองว่า CVE-2024-21762 เปิดเผยมาตั้งแต่ปี 2567 แต่ยังถูกใช้เจาะได้ในปี 2569 ถ้าเกิดข้อมูลรั่วจากช่องโหว่แบบนี้ คำถามแรกที่ผู้กำกับจะถามคือ ทำไมไม่แพตช์
กรณี 3BB FortiGate ไม่ได้แปลว่า 3BB มีความรับผิดแล้ว เพราะยังไม่มีคำชี้แจงและยังไม่ยืนยันขอบเขตความเสียหาย แต่เป็นบทเรียนที่องค์กรอื่นใช้ตรวจตัวเองได้ทันที
ถ้าข้อมูลสมาชิกรั่วจริง ต้องแจ้งใครภายในกี่ชั่วโมง
ถ้าเป็นเหตุละเมิดข้อมูลส่วนบุคคลจริง ผู้ควบคุมข้อมูลต้องแจ้ง สคส. ภายใน 72 ชั่วโมงตาม PDPA มาตรา 37(4) ข้อมูลยืนยันตัวตนของสมาชิกเป็นข้อมูลส่วนบุคคล ส่วนการเข้าถึงระบบโดยมิชอบเข้าข่าย พ.ร.บ.คอมพิวเตอร์ มาตรา 5 และมาตรา 7 ซึ่งเป็นความผิดของผู้โจมตี บทเรียนเรื่องแจ้งเหตุของผู้ให้บริการโทรคมนาคมในภูมิภาคอยู่ใน Simba Telecom สิงคโปร์ข้อมูลลูกค้ารั่ว 23,549 ราย บทเรียนเรื่องแจ้งเหตุที่ธุรกิจไทยต้องรู้
ผู้ให้บริการโทรคมนาคมและ CII มีภาระเพิ่มอะไร
ผู้ให้บริการโทรคมนาคมเป็นโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) ที่ สกมช. กำกับ จึงมีภาระด้านไซเบอร์มากกว่าธุรกิจทั่วไป ผู้ขาย SaaS และ MSP ที่ทำงานให้ CII ควรอ่านประกอบกับ มาตรฐานไซเบอร์ระบบคลาวด์ของ สกมช. พ้นระยะผ่อนผัน บังคับใช้แล้วตั้งแต่ 10 ก.ย. 2569 ผู้ขาย SaaS และ MSP ที่ทำงานกับหน่วยงานรัฐหรือ CII ต้องเตรียมอะไร
ลูกค้าองค์กรที่ใช้บริการ 3BB ควรทำอะไร
หลังรายงาน 3BB FortiGate ลูกค้าองค์กรที่ใช้บริการ 3BB ควรสอบถามผู้ให้บริการเป็นลายลักษณ์อักษรว่ามีผลกระทบต่อบัญชีหรือไม่ และเปลี่ยนรหัสผ่านที่เกี่ยวกับบริการเป็นการป้องกันไว้ก่อน พร้อมบันทึกการสอบถามไว้ในแฟ้มบริหารความเสี่ยงผู้ให้บริการ
ถ้าไม่ทำอะไรเลย จะเสี่ยงอะไร
บทเรียนจาก 3BB FortiGate คือ ถ้าองค์กรที่ใช้ FortiGate หรือ F5 ไม่ทำอะไรเลย ความเสี่ยงคือถูกเจาะด้วยช่องโหว่ที่รู้กันทั่วโลก แล้วต้องแจ้งเหตุภายใน 72 ชั่วโมงโดยไม่มีคำตอบว่าทำไมไม่แพตช์ ถ้าคนร้ายฝังประตูหลังไว้แล้ว การแพตช์อย่างเดียวก็ไม่พอ เพราะคนร้ายยังอยู่ในระบบ
องค์กรไทยที่ใช้ SSL-VPN ควรทำอะไรตอนนี้
องค์กรไทยที่ใช้ SSL-VPN ควรใช้กรณี 3BB FortiGate เป็นเหตุให้ตรวจอุปกรณ์ทุกตัวภายในสัปดาห์นี้ งานเหล่านี้ทีม IT ทำได้ทันที
- 1. ตรวจทะเบียนอุปกรณ์ VPN และ Firewall ทุกตัว รวมเครื่องที่ติดตั้งไว้นานและไม่มีใครดูแล
- 2. ยืนยันว่าแพตช์ CVE-2024-21762 แล้ว และตรวจช่องโหว่ Fortinet และ F5 BIG-IP รายการอื่นที่รายงานระบุ
- 3. หา agent MeshCentral ที่ไม่ได้ติดตั้งเอง ถ้าพบ ให้ถือว่าอาจถูกเจาะแล้ว และเริ่มสอบสวนเหตุ
- 4. เปลี่ยนรหัสผ่านและ SSH keys ที่อาจหลุด โดยเฉพาะรหัสฐานข้อมูลและบัญชีที่มีสิทธิ์สูง
- 5. ซ้อมแผนแจ้งเหตุ สคส. ภายใน 72 ชั่วโมง กำหนดว่าใครตัดสินใจแจ้ง และเตรียมแบบฟอร์มไว้ล่วงหน้า
ถ้าองค์กรต้องการคนช่วยทบทวนมาตรการตาม PDPA และแผนแจ้งเหตุ ดูได้ที่ บริการ AI Governance และ PDPA ของ Kooru และอ่านเรื่องข้อมูลส่วนบุคคลอื่น ๆ ได้ที่ หมวด PDPA & Privacy
มุมมองผู้เชี่ยวชาญ
ตอนทำ PDPA audit ผมถามลูกค้าเสมอว่า “อุปกรณ์ที่หันหน้าออกอินเทอร์เน็ตแพตช์ล่าสุดเมื่อไร” คำตอบที่เจอบ่อยคือไม่มีใครรู้ ช่องโหว่ที่มีแพตช์แล้วแต่ไม่แพตช์ ไม่ใช่เหตุสุดวิสัย มันคือการเลือกที่จะรอ ในเหตุละเมิด ผู้กำกับจะไม่ถามว่าคนร้ายเก่งแค่ไหน แต่จะถามว่าคุณปิดประตูที่ทุกคนรู้ว่าเปิดอยู่แล้วหรือยัง
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ 3BB FortiGate
3BB ถูกเจาะจริงไหม ข้อมูลใครรั่วบ้าง
ในกรณี 3BB FortiGate นั้น Hunt.io รายงานว่าพบชุดเครื่องมือเจาะระบบที่ทำมาเฉพาะสำหรับ 3BB และเป้าหมายหลักคือฐานข้อมูล RADIUS ของสมาชิก แต่ยังไม่พบคำชี้แจงจาก 3BB และยังไม่ยืนยันจำนวนสมาชิกที่ได้รับผลกระทบ
CVE-2024-21762 คืออะไร
CVE-2024-21762 คือช่องโหว่ของ FortiGate SSL-VPN ที่เปิดให้รันโค้ดจากระยะไกล ช่องโหว่นี้เปิดเผยมาตั้งแต่ปี 2567 (2024) และในกรณี 3BB FortiGate เป็นจุดเข้าแรกของผู้โจมตีตามรายงาน
องค์กรที่ใช้ FortiGate ต้องทำอะไรด่วน
องค์กรที่ใช้ FortiGate ควรตรวจว่าแพตช์ CVE-2024-21762 แล้ว ตรวจหา agent MeshCentral ที่ไม่ได้ติดตั้งเอง และเปลี่ยนรหัสผ่านหรือ SSH keys ที่อาจหลุด ภายในสัปดาห์นี้
ข้อมูลรั่วต้องแจ้ง สคส. ภายในกี่ชั่วโมง
ผู้ควบคุมข้อมูลต้องแจ้งเหตุละเมิดข้อมูลส่วนบุคคลต่อ สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ ตาม PDPA มาตรา 37(4)
แหล่งอ้างอิง
- SecurityWeek — (อ่านต้นฉบับ) — อ่านรายงานของ SecurityWeek
- Hunt.io — (อ่านต้นฉบับ) — อ่านรายงานเชิงเทคนิคของ Hunt.io
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
