ShinyHunters PeopleSoft คือแคมเปญโจมตีที่ ThaiCERT ออกประกาศเตือน โดยกลุ่มแฮกเกอร์ ShinyHunters ปลอมเป็นพนักงานโทรหา Help Desk ขอรีเซ็ตรหัสผ่าน แล้วเข้าระบบ Oracle PeopleSoft เพื่อขโมยข้อมูล HR เงินเดือน และการเงิน บทความนี้เหมาะกับฝ่าย HR ฝ่ายไอที Help Desk และ DPO จะได้รู้ว่าต้องตั้งขั้นตอนยืนยันตัวตนอย่างไร และมีหน้าที่อะไรตาม PDPA
ลองนึกภาพเจ้าหน้าที่ Help Desk ได้รับสายจาก “ผู้จัดการฝ่ายบัญชี” ที่บอกว่าลืมรหัสผ่าน และต้องปิดงบด่วนก่อนเที่ยง เสียงร้อนรน รู้ชื่อหัวหน้า รู้รหัสพนักงาน ถ้ารีเซ็ตให้ทันทีก็จบเรื่อง และนั่นคือช่องที่แคมเปญ ShinyHunters PeopleSoft ใช้
สรุปสั้น: ThaiCERT เตือนเมื่อ 1 ต.ค. 2569 ว่ากลุ่ม ShinyHunters โจมตี Oracle PeopleSoft ด้วยการปลอมเป็นพนักงานโทรหา Help Desk ขอรีเซ็ตรหัสผ่านหรือเปลี่ยนสิทธิ์ ร่วมกับรหัสผ่านที่หลุดจากเหตุก่อนหน้าหรือฟิชชิง เป้าหมายคือโมดูล HR/เงินเดือน การเงิน การจัดซื้อ และ ERP ยังไม่ยืนยันว่ามีองค์กรไทยถูกโจมตีแล้ว องค์กรควรห้ามรีเซ็ตรหัสทางโทรศัพท์โดยไม่ยืนยันผ่านช่องทางที่สอง
ShinyHunters PeopleSoft คืออะไร ThaiCERT เตือนว่าอะไร
ShinyHunters PeopleSoft คือคำเตือนของ ThaiCERT ภายใต้ สกมช. ที่เผยแพร่เมื่อ 1 ตุลาคม 2569 ว่ากลุ่ม ShinyHunters กำลังโจมตีระบบ Oracle PeopleSoft วิธีหลักคือปลอมเป็นพนักงานโทรหา Help Desk เพื่อขอรีเซ็ตรหัสผ่านหรือเปลี่ยนสิทธิ์ และใช้รหัสผ่านที่หลุดจากเหตุก่อนหน้าหรือจากฟิชชิงประกอบ
โมดูลที่เป็นเป้าหมายคือ Human Capital Management (HR และเงินเดือน) การเงิน การจัดซื้อ และ ERP ข้อสำคัญคือ ThaiCERT ยังไม่ยืนยันว่ามีองค์กรไทยถูกโจมตีแล้วหรือไม่
| ประเด็น | ข้อเท็จจริงตามประกาศ |
|---|---|
| ผู้เตือน | ThaiCERT (สกมช.) วันที่ 1 ต.ค. 2569 |
| ผู้โจมตี | กลุ่ม ShinyHunters |
| ระบบเป้าหมาย | Oracle PeopleSoft: HR/เงินเดือน การเงิน การจัดซื้อ ERP |
| วิธีการ | ปลอมเป็นพนักงานโทรหา Help Desk + ใช้รหัสผ่านที่หลุดหรือได้จากฟิชชิง |
| ข้อแนะนำ | MFA บัญชีผู้ดูแล · ยืนยันผู้โทรหลายชั้น · เฝ้าดูล็อกอินผิดปกติ · ติดตั้งแพตช์ Oracle |
| องค์กรไทยถูกโจมตีแล้วหรือยัง | ยังไม่ยืนยัน |
ShinyHunters PeopleSoft กระทบองค์กรไทยอย่างไร
ShinyHunters PeopleSoft กระทบองค์กรไทยที่ใช้ PeopleSoft หรือระบบ ERP/HR ใดก็ตามที่ Help Desk รีเซ็ตรหัสให้ได้ เพราะจุดอ่อนอยู่ที่คนและขั้นตอน ไม่ได้อยู่ที่ยี่ห้อซอฟต์แวร์ ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน
ข้อมูล HR และเงินเดือนรั่ว ร้ายแรงแค่ไหนตาม PDPA
ข้อมูล HR และเงินเดือนรั่วร้ายแรงมาก เพราะมีทั้งเลขบัตรประชาชน บัญชีธนาคาร และบางครั้งมีข้อมูลสุขภาพ ซึ่งเป็นข้อมูลอ่อนไหวตาม PDPA มาตรา 26 ถ้าข้อมูลรั่ว องค์กรต้องแจ้ง สคส. ภายใน 72 ชั่วโมงตามมาตรา 37(4) และพนักงานทั้งบริษัทกลายเป็นผู้เสียหายพร้อมกัน
บริษัทใหญ่ มหาวิทยาลัย และหน่วยงานรัฐเสี่ยงแค่ไหน
บริษัทใหญ่ มหาวิทยาลัย และหน่วยงานไทยที่ใช้ PeopleSoft หรือระบบ HR ขนาดใหญ่เสี่ยงสูงสุด เพราะมี Help Desk ที่รับสายจากพนักงานหลายพันคน เจ้าหน้าที่จำเสียงทุกคนไม่ได้ และถูกวัดผลจากความเร็วในการแก้ปัญหา แรงกดดันให้ “ช่วยให้เร็ว” คือสิ่งที่ผู้โจมตีใช้ประโยชน์
มีประกาศเตือนแล้วไม่ทำตาม มีผลทางกฎหมายอย่างไร
องค์กรที่ไม่ทำตามประกาศเตือนจะอธิบายได้ยากว่ามีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตาม PDPA มาตรา 37(1) ผู้เขียนมองว่าเมื่อหน่วยงานรัฐบอกวิธีโจมตีและวิธีป้องกันไว้ชัดแล้ว คำว่า “ไม่รู้” จะใช้แก้ตัวไม่ได้อีก
วิธีโจมตีแบบนี้เคยเกิดที่อื่นไหม
การโทรหลอก Help Desk แบบ ShinyHunters PeopleSoft เคยเกิดมาแล้วในหลายรูปแบบ เช่นกรณีที่คนร้ายปลอมเบอร์โทรของบริษัทจนได้สิทธิ์เข้าเซิร์ฟเวอร์ อ่านได้ที่ Astrana Health ถูกเจาะด้วย voice spoofing ปลอมเบอร์โทรบริษัทจนได้สิทธิ์เข้าเซิร์ฟเวอร์ บทเรียน help desk ที่องค์กรไทยต้องรู้ และการปลอมตัวด้วย AI ที่ทำให้ยืนยันตัวตนยากขึ้นใน Deepfake สวมหน้าขอซิมใหม่ ดูดคริปโต 162 ล้านบาท ขณะที่ ธปท. เตรียมเลิก SMS-OTP ธุรกิจที่ใช้ eKYC ด้วยใบหน้าต้องเตรียมอะไร
ถ้าไม่ทำอะไรเลย จะเสี่ยงอะไร
ถ้าไม่ทำอะไรเลยหลังคำเตือน ShinyHunters PeopleSoft สายโทรศัพท์สายเดียวอาจเปิดทางให้คนร้ายเข้าถึงข้อมูลเงินเดือน บัญชีธนาคาร และเลขบัตรประชาชนของพนักงานทั้งองค์กร ตามมาด้วยหน้าที่แจ้งเหตุภายใน 72 ชั่วโมง ความเสี่ยงถูกถามเรื่องมาตรการที่เหมาะสม และพนักงานที่เสียความเชื่อใจต่อนายจ้าง ข้อมูลการเงินและการจัดซื้อที่หลุดยังอาจถูกใช้หลอกโอนเงินต่อได้
องค์กรที่ใช้ระบบ HR และ ERP ควรทำอะไรตอนนี้
องค์กรที่ใช้ระบบ HR และ ERP ควรเริ่มจากปิดช่องรีเซ็ตรหัสผ่านทางโทรศัพท์ เพราะคำเตือน ShinyHunters PeopleSoft ชี้ว่านี่คือประตูหลัก งานส่วนใหญ่คือเขียนขั้นตอนใหม่และอบรม Help Desk
- 1. ห้ามรีเซ็ตรหัสผ่านทางโทรศัพท์โดยไม่ยืนยันช่องทางที่สอง เช่น โทรกลับเบอร์ที่อยู่ในระบบ HR หรือยืนยันผ่าน ThaID
- 2. เปิด MFA ให้บัญชีผู้ดูแลระบบทุกบัญชี โดยเฉพาะบัญชีที่เปลี่ยนสิทธิ์ผู้ใช้หรือเข้าโมดูลเงินเดือนได้
- 3. ตั้งระบบเฝ้าดูการล็อกอินผิดปกติ เช่น ล็อกอินหลังรีเซ็ตรหัสจากที่ไม่คุ้นเคย หรือดึงข้อมูลเงินเดือนจำนวนมากผิดเวลา
- 4. ติดตั้งแพตช์ของ Oracle ให้ครบ และตั้งรอบตรวจแพตช์ประจำเดือนสำหรับระบบ ERP/HR
- 5. อบรม Help Desk ด้วยสถานการณ์จำลอง ให้รู้ว่า “ความเร่งด่วน” คือสัญญาณอันตราย และปฏิเสธได้โดยไม่ถูกตำหนิ
ถ้าต้องการคนช่วยวางขั้นตอนยืนยันตัวตนและแผนรับมือเหตุข้อมูลรั่ว ดูรายละเอียดได้ที่ บริการ AI Governance และ PDPA ของ Kooru และอ่านประเด็นอื่นได้ที่ หมวด PDPA & Privacy
มุมมองผู้เชี่ยวชาญ
เวลาตรวจมาตรการรักษาความปลอดภัยให้องค์กร ผมมักถามคำถามง่าย ๆ ข้อเดียวว่า ถ้ามีคนโทรมาบอกว่าเป็นผู้บริหารแล้วลืมรหัส Help Desk ทำอย่างไร คำตอบส่วนใหญ่คือ “ก็รีเซ็ตให้” องค์กรลงทุนกับไฟร์วอลล์เป็นล้าน แต่ประตูที่เปิดง่ายที่สุดคือโทรศัพท์บนโต๊ะ Help Desk ผมแนะนำให้ผู้บริหารเซ็นรับรองนโยบายห้ามรีเซ็ตทางโทรศัพท์ด้วยตัวเอง เพื่อให้เจ้าหน้าที่กล้าปฏิเสธแม้ปลายสายจะอ้างว่าเป็นผู้บริหาร
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ ShinyHunters PeopleSoft
ShinyHunters โจมตี PeopleSoft อย่างไร
ตามประกาศของ ThaiCERT กลุ่ม ShinyHunters ปลอมเป็นพนักงานโทรหา Help Desk เพื่อขอรีเซ็ตรหัสผ่านหรือเปลี่ยนสิทธิ์ และใช้รหัสผ่านที่หลุดจากเหตุก่อนหน้าหรือจากฟิชชิง เพื่อเข้าถึงโมดูล HR การเงิน การจัดซื้อ และ ERP
มีองค์กรไทยถูก ShinyHunters โจมตีแล้วหรือยัง
ยังไม่ยืนยัน ประกาศของ ThaiCERT ระบุว่ายังไม่ยืนยันว่ามีองค์กรไทยถูกโจมตีแล้วหรือไม่ องค์กรที่ใช้ระบบลักษณะเดียวกันจึงควรป้องกันไว้ก่อน
ข้อมูลเงินเดือนพนักงานรั่ว ต้องแจ้ง สคส. ภายในกี่ชั่วโมง
ต้องแจ้ง สคส. ภายใน 72 ชั่วโมงตาม PDPA มาตรา 37(4) ข้อมูล HR มักมีเลขบัตรประชาชน บัญชีธนาคาร และบางครั้งมีข้อมูลสุขภาพ ซึ่งเป็นข้อมูลอ่อนไหวตามมาตรา 26
Help Desk ควรยืนยันตัวตนผู้โทรอย่างไร
Help Desk ไม่ควรรีเซ็ตรหัสผ่านจากสายที่โทรเข้าเพียงอย่างเดียว ควรยืนยันผ่านช่องทางที่สอง เช่น โทรกลับเบอร์ที่บันทึกในระบบ HR หรือยืนยันผ่าน ThaID ก่อนดำเนินการ
แหล่งอ้างอิง
- ThaiCERT (สกมช.) — (อ่านต้นฉบับ) — อ่านประกาศแจ้งเตือนที่ ThaiCERT
อ่านหลักการคัดเลือกและตรวจสอบข่าวของเราได้ที่ นโยบายบรรณาธิการ
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
