เมื่อการเข้าถึงของผู้รับเหมากลายเป็นอาชญากรรม

แคเมรอน เคอร์รี อดีตนักวิเคราะห์ข้อมูลที่ทำงานเป็นผู้รับเหมาให้กับ Brightly Software ถูกตัดสินจำคุกสองปีในข้อหาวางแผนกรรโชกทรัพย์มูลค่า 2.5 ล้านดอลลาร์จากอดีตนายจ้างของเขา ตามบันทึกของศาล เคอร์รีเข้าถึงข้อมูลเงินเดือนที่ละเอียดอ่อนระหว่างที่ทำงานกับบริษัท และหลังจากสัญญาของเขาสิ้นสุดลง เขาก็ใช้ข้อมูลนั้นเป็นเครื่องมือต่อรอง เขาข่มขู่ว่าจะเปิดเผยข้อมูลต่อสาธารณะเว้นแต่บริษัทจะจ่ายค่าไถ่ให้เขา

ในท้ายที่สุด Brightly Software จ่ายค่าไถ่เป็น Bitcoin มูลค่า 7,540 ดอลลาร์ก่อนที่เจ้าหน้าที่บังคับใช้กฎหมายจะเข้ามาแทรกแซง ต่อมา FBI ยึดหลักฐานที่เกี่ยวข้องกับแผนการนี้ ซึ่งช่วยให้เคอร์รีถูกตัดสินว่ามีความผิดและได้รับโทษ แม้ว่าการจ่ายค่าไถ่ครั้งนั้นจะเป็นเพียงเศษเสี้ยวของ 2.5 ล้านดอลลาร์ที่เคอร์รีเรียกร้อง แต่กรณีนี้เป็นเครื่องเตือนใจว่าแผนกรรโชกทรัพย์จากคนในไม่จำเป็นต้องได้เงินตามจำนวนที่เรียกร้องเต็มจำนวนเพื่อสร้างความเสียหายร้ายแรง ทั้งทางการเงินและชื่อเสียง

ทำไมภัยคุกคามจากคนในถึงแตกต่างจากการโจมตีจากภายนอก

รายงานส่วนใหญ่เกี่ยวกับอาชญากรรมไซเบอร์มุ่งเน้นไปที่ผู้โจมตีภายนอก: แฮกเกอร์ที่เจาะระบบเครือข่าย ปล่อยแรนซัมแวร์ หรือใช้ประโยชน์จากซอฟต์แวร์ที่ไม่ได้รับการอัปเดต กรณีนี้เป็นข้อโต้แย้งที่มีประโยชน์ เคอร์รีไม่จำเป็นต้องทะลุกำแพงไฟร์วอลล์หรือเลี่ยงระบบยืนยันตัวตน ในฐานะผู้รับเหมา เขามีสิทธิ์เข้าถึงข้อมูลเงินเดือนอย่างถูกต้องตามหน้าที่การงานอยู่แล้ว การขโมยเกิดขึ้นก่อนที่ใครจะสังเกตเห็นว่ามีสิ่งผิดปกติ และการพยายามกรรโชกเพิ่งจะปรากฏขึ้นหลังจากสัญญาของเขาสิ้นสุดลงและสิทธิ์การเข้าถึงควรจะถูกเพิกถอนแล้ว

นี่คือรูปแบบที่เกิดขึ้นซ้ำแล้วซ้ำเล่าในเหตุการณ์ที่เกี่ยวข้องกับคนใน: อุปสรรคทางเทคนิคในการเข้าถึงต่ำเพราะสิทธิ์การเข้าถึงได้รับไปแล้ว จุดอ่อนที่แท้จริงคือด้านการจัดการองค์กร ในการที่บริษัทจัดการกระบวนการออกจากงาน การติดตามการเข้าถึงข้อมูลหลังจากสัญญาสิ้นสุดลง และการตรวจสอบว่าใครสามารถดูบันทึกที่ละเอียดอ่อนเช่นข้อมูลเงินเดือนได้ เครื่องมือตรวจจับอัตโนมัติมีความรวดเร็วอย่างน่าทึ่งในการจับการบุกรุกจากภายนอก ตัวอย่างเช่น Microsoft Defender หยุดการโจมตีด้วยแรนซัมแวร์ที่ QNET ได้ในเวลาเพียง 128 วินาที ทันทีที่ตรวจพบกิจกรรมที่ผิดปกติ แต่ความเร็วแบบนั้นถูกออกแบบมาเพื่อจับการเข้าถึงโดยไม่ได้รับอนุญาต ไม่ใช่การใช้งานในทางที่ผิดโดยผู้ที่มีบัญชีที่ถูกต้องอยู่แล้ว

ภาพรวมใหญ่ของปัญหาการเปิดเผยข้อมูล

การกรรโชกโดยคนในเป็นเพียงเสี้ยวหนึ่งของปัญหาความมั่นคงปลอดภัยข้อมูลที่ใหญ่กว่ามาก รายงานการสอบสวนการละเมิดข้อมูลของ Verizon ปี 2026 พบว่า 31% ของการละเมิดในปัจจุบันเกี่ยวข้องกับการใช้ประโยชน์จากช่องโหว่ทางเทคนิค ซึ่งเป็นตัวเลขที่ตอกย้ำว่าองค์กรต่างทุ่มเทความสนใจในการอัปเดตซอฟต์แวร์และปิดช่องโหว่ทางเทคนิคมากเพียงใด กรณีของเคอร์รีที่เกี่ยวข้องกับคนในนั้นอยู่นอกเหนือหมวดหมู่นั้นโดยสิ้นเชิง พวกเขาใช้ประโยชน์จากความไว้วางใจและช่องโหว่ในกระบวนการมากกว่าโค้ด ซึ่งหมายความว่าไฟร์วอลล์ การตรวจจับปลายทาง และการสแกนช่องโหว่ไม่สามารถหยุดยั้งแผนการเฉพาะนี้ได้

สำหรับบริษัทที่จัดการข้อมูลเงินเดือน ทรัพยากรบุคคล หรือข้อมูลทางการเงิน กรณีนี้ชี้ให้เห็นถึงความเสี่ยงประเภทหนึ่งที่เฉพาะเจาะจงและมักได้รับงบประมาณไม่เพียงพอ ผู้รับเหมาและพนักงานระยะสั้นมักต้องการสิทธิ์การเข้าถึงในวงกว้างเพื่อทำงานได้อย่างมีประสิทธิภาพ แต่สิทธิ์นั้นไม่ค่อยถูกทบทวนเมื่อการปฏิบัติงานสิ้นสุดลง ช่องว่างระหว่างการสิ้นสุดสัญญาและการเพิกถอนสิทธิ์การเข้าถึงคือจุดที่แผนการแบบนี้เกิดขึ้น

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากคุณเป็นพนักงานหรือผู้รับเหมาที่มีสิทธิ์เข้าถึงข้อมูลที่ละเอียดอ่อน กรณีนี้เป็นสัญญาณชัดเจนว่าการพยายามกรรโชกมีผลทางกฎหมายที่ร้ายแรง ไม่ใช่แค่สำหรับบริษัทแต่สำหรับบุคคลที่พยายามกระทำด้วย โทษจำคุกสองปี รวมกับการมีส่วนร่วมของ FBI และการเก็บหลักฐานทางนิติเวช แสดงให้เห็นว่าการเรียกร้องค่าไถ่ที่เกี่ยวข้องกับข้อมูลเงินเดือนที่ถูกขโมยถือเป็นอาชญากรรมระดับรัฐบาลกลาง ไม่ใช่ข้อพิพาทส่วนตัว

หากคุณเป็นฝ่ายที่รับผิดชอบการจัดการสิทธิ์การเข้าถึงของผู้รับเหมาในบริษัท บทเรียนที่ได้คือเชิงปฏิบัติการ ข้อมูลเงินเดือนและทรัพยากรบุคคลควรถูกจำกัดให้อยู่ในกลุ่มคนที่เล็กที่สุดที่จำเป็นต้องใช้จริง สิทธิ์การเข้าถึงควรได้รับการทบทวนและตัดออกทันทีที่สัญญาสิ้นสุดลง และการดาวน์โหลดหรือส่งออกข้อมูลที่ผิดปกติควรกระตุ้นการแจ้งเตือนก่อนที่จะกลายเป็นปัญหาที่ใหญ่ขึ้น การรอจนกว่าภัยคุกคามจะมาถึงนั้นสายเกินไป

สำหรับบุคคลที่ข้อมูลส่วนตัวหรือข้อมูลเงินเดือนอาจตกอยู่ในเหตุการณ์แบบนี้ ข้อควรระวังมาตรฐานยังคงใช้ได้: ติดตามกิจกรรมบัญชีที่ผิดปกติ พิจารณาอายัดเครดิตหากได้รับแจ้งว่าข้อมูลของคุณเกี่ยวข้อง และระวังการติดต่อที่ไม่พึงประสงค์ที่อ้างถึงข้อมูลการจ้างงานหรือข้อมูลทางการเงินของคุณ

บทเรียนสำคัญ

กรณีนี้เป็นเครื่องเตือนใจว่าการกรรโชกข้อมูลไม่ใช่ภัยคุกคามจากภายนอกเพียงอย่างเดียว องค์กรควรมองการจัดการสิทธิ์การเข้าถึง โดยเฉพาะสำหรับผู้รับเหมาและพนักงานที่กำลังจะออกจากงาน ให้จริงจังเท่ากับการดูแลไฟร์วอลล์และการอัปเดตซอฟต์แวร์ มีขั้นตอนปฏิบัติง่ายๆ ที่ควรนำมาใช้:

  • ทบทวนและเพิกถอนสิทธิ์การเข้าถึงระบบทันทีเมื่อสัญญาหรือการจ้างงานสิ้นสุดลง ไม่ใช่หลายวันหรือหลายสัปดาห์ต่อมา
  • จำกัดการเข้าถึงข้อมูลเงินเดือนและทรัพยากรบุคคลให้เฉพาะคนจำนวนน้อยที่สุดที่จำเป็น และบันทึกว่าใครดูหรือส่งออกข้อมูลนั้น
  • มองการเรียกร้องค่าไถ่หรือการกรรโชกทุกครั้งเป็นเรื่องสำหรับเจ้าหน้าที่บังคับใช้กฎหมาย ไม่ใช่การเจรจาส่วนตัว เนื่องจากการจ่ายเงินแทบไม่มีการรับประกันว่าภัยคุกคามจะจบลง

การตัดสินโทษของแคเมรอน เคอร์รีปิดบทหนึ่งของเรื่องราวนี้ แต่ควรกระตุ้นให้ทุกองค์กรที่จัดการข้อมูลพนักงานที่ละเอียดอ่อนตั้งคำถามว่า กระบวนการออกจากงานและการควบคุมสิทธิ์การเข้าถึงของตนจะสามารถจับความพยายามแบบเดียวกันได้ก่อนที่จะกลายเป็นการเรียกร้องค่าไถ่ที่มีค่าใช้จ่ายสูงหรือไม่