สรุปสั้น
กองบัญชาการตำรวจสืบสวนสอบสวนอาชญากรรมทางเทคโนโลยี (บช.สอท.) แถลงจับกุมนายสหชาติ อายุ 26 ปี เมื่อวันที่ 18 กรกฎาคม 2569 ที่ห้องพักแห่งหนึ่งในตำบลตลาดใหญ่ อำเภอเมืองภูเก็ต จังหวัดภูเก็ต ตามหมายค้นศาลจังหวัดภูเก็ตและหมายจับศาลจังหวัดสุราษฎร์ธานี ในคดีเจาะระบบเว็บไซต์ Firstup.in.th ซึ่งเป็นแพลตฟอร์มให้บริการเติมเงินเกมออนไลน์และเติมเงินโทรศัพท์มือถือ สร้างความเสียหายให้ผู้ให้บริการกว่า 200,000 บาท ของกลางที่ยึดได้ประกอบด้วยคอมพิวเตอร์ตั้งโต๊ะ 1 เครื่อง โน้ตบุ๊ก 1 เครื่อง โทรศัพท์มือถือ 4 เครื่อง พร้อมด้วยยาบ้า 80 เม็ด อาวุธปืนพกสั้นกึ่งอัตโนมัติขนาด .380 จำนวน 1 กระบอก แม็กกาซีน 1 อัน และกระสุนอีก 64 นัด
จุดที่ทำให้คดีนี้น่าสนใจในมุมความมั่นคงไซเบอร์คือคำให้การของผู้ต้องหา ซึ่งจบการศึกษาเพียงชั้นประถมศึกษาปีที่ 6 แต่กลับมีความสามารถด้านการเจาะระบบในระดับที่ทำเงินได้จริง โดยระบุว่าเรียนรู้เทคนิคทั้งหมดจากโปรแกรมสนทนาปัญญาประดิษฐ์ (AI Chatbot) ที่ใช้เป็นเสมือนอาจารย์ผู้ช่วยสอน จุดเริ่มต้นมาจากความต้องการเจาะระบบของสำนักงานตำรวจแห่งชาติเพื่อลบหมายจับของตนเอง เมื่อทำไม่สำเร็จจึงเบนเข็มมาโจมตีเว็บไซต์เอกชนที่มีช่องโหว่แทน และภายหลังยังพัฒนาต่อยอดจนถึงขั้นรับจ้างแฮ็กเว็บไซต์เป็นอาชีพ ทั้งนี้ตำรวจตรวจสอบประวัติพบว่านายสหชาติมีหมายจับติดตัวรวม 5 หมาย ทั้งฐานปล้นทรัพย์ ฉ้อโกงประชาชน และความผิดตาม พ.ร.บ.คอมพิวเตอร์
รายละเอียดข่าว
เว็บไซต์อีจันและข่าวชาวบ้าน รายงานเมื่อวันที่ 18 กรกฎาคม 2569 ว่า พล.ต.ท.สุรพล เปรมบุตร ผู้บัญชาการตำรวจสืบสวนสอบสวนอาชญากรรมทางเทคโนโลยี (ผบช.สอท.) ได้สั่งการให้ พล.ต.ต.ศิลา กาญจน์รักษ์ ผู้บังคับการ บก.สอท.5 พร้อมด้วย พ.ต.อ.บัญชา ศรีสุข และ พ.ต.อ.ฐาปกรณ์ หนุมาศ รองผู้บังคับการ บก.สอท.5 และ พ.ต.ท.กิตติคุณ สร้อยมาลี รองผู้กำกับการวิเคราะห์ข่าว บก.สอท.5 ร่วมกับเจ้าหน้าที่ บก.สส.ภ.8 นำกำลังเข้าตรวจค้นและจับกุมผู้ต้องหาที่อพาร์ตเมนต์แห่งหนึ่งในพื้นที่จังหวัดภูเก็ต โดยระหว่างการจับกุมผู้ต้องหามีพฤติการณ์ต่อสู้ขัดขวางเจ้าหน้าที่ ก่อนจะถูกควบคุมตัวได้ในที่สุด
คดีนี้เริ่มต้นเมื่อช่วงเดือนมิถุนายน 2569 เมื่อผู้ให้บริการเว็บไซต์ Firstup.in.th ตรวจพบความผิดปกติในระบบ พบว่ามีคนร้ายลักลอบเจาะระบบรักษาความปลอดภัยเข้าไปสร้างบัญชีผู้ใช้งานปลอมขึ้นมาหลายบัญชี จากนั้นอาศัยช่องโหว่ของระบบรับชำระเงินเพื่อสร้างยอดเครดิตปลอมให้ตัวเอง แล้วนำเครดิตนั้นไปสั่งซื้อสินค้าดิจิทัลจริงในระบบ ผลก็คือระบบอัตโนมัติของเว็บไซต์หักเงินต้นทุนของบริษัทออกไปจ่ายค่าสินค้าแทน ทำให้บริษัทสูญเสียทั้งรหัสบัตรเติมเงินเกมออนไลน์และเงินสดรวมมูลค่ากว่า 200,000 บาท ผู้ให้บริการจึงเข้าแจ้งความร้องทุกข์ต่อพนักงานสอบสวน บก.สอท.5
จากการสืบสวนรวบรวมพยานหลักฐาน เจ้าหน้าที่ทราบตัวผู้กระทำผิดคือนายสหชาติ จึงขออนุมัติหมายจับต่อศาลจังหวัดสุราษฎร์ธานี ก่อนสืบทราบว่าผู้ต้องหาได้หลบหนีมากบดานอยู่ในพื้นที่จังหวัดภูเก็ต และใช้เครื่องมือพิเศษในการติดตามจนระบุตำแหน่งห้องพักได้แน่ชัด หลังการจับกุม เจ้าหน้าที่ได้ควบคุมตัวผู้ต้องหาพร้อมของกลางส่งพนักงานสอบสวน สภ.เมืองภูเก็ต เพื่อดำเนินคดีตามกฎหมายต่อไป
จากการสอบสวนเพิ่มเติมพบว่า เส้นทางของผู้ต้องหาเริ่มจากการก่อเหตุปล้นทรัพย์ในพื้นที่จังหวัดนครศรีธรรมราช แล้วหลบหนีไปซ่อนตัวอยู่บริเวณชายแดนประเทศเมียนมา ระหว่างหลบหนีนั้นเองที่เขาเกิดความคิดว่าจะเจาะระบบของสำนักงานตำรวจแห่งชาติเพื่อลบหมายจับของตัวเองออกจากฐานข้อมูล จึงเริ่มศึกษาวิธีการแฮ็กด้วยตนเองโดยใช้ AI Chatbot เป็นผู้สอน เมื่อพบว่าระบบของหน่วยงานรัฐเจาะไม่เข้า จึงเปลี่ยนเป้าหมายมาที่เว็บไซต์เอกชนทั่วไปที่มีช่องโหว่และมีสินค้าดิจิทัลแปลงเป็นเงินได้ง่าย เช่น เว็บไซต์บริการเติมเงินเกมออนไลน์ พร้อมทั้งลงทุนอัปเกรดคอมพิวเตอร์ของตนเอง และพัฒนาโปรแกรม AI หลายตัวให้ทำงานประสานกันเพื่อช่วยค้นหาและโจมตีช่องโหว่ ก่อนย้ายมาปักหลักที่ภูเก็ตเพื่อรับจ้างแฮ็กเว็บไซต์เป็นรายได้
วิธีการโจมตี
แม้ตำรวจจะไม่ได้เปิดเผยรายละเอียดทางเทคนิคเชิงลึก แต่จากคำบรรยายพฤติการณ์สามารถอธิบายรูปแบบการโจมตีได้ค่อนข้างชัด ขั้นแรกคือการสมัครหรือสร้างบัญชีผู้ใช้งานปลอมในระบบ ซึ่งเป็นขั้นตอนที่ทำได้ง่ายบนแพลตฟอร์มเติมเงินทั่วไปที่ไม่มีการยืนยันตัวตน (KYC) เข้มงวด ขั้นที่สองซึ่งเป็นหัวใจของคดีคือการอาศัยช่องโหว่ในระบบรับชำระเงิน โดยผู้ต้องหา “ส่งคำสั่งลวงว่ามีการโอนเงินเข้ามาแล้ว” เพื่อทำให้ระบบเติมยอดเครดิตเข้าบัญชีของตนเองทั้งที่ไม่มีเงินจริงเข้ามาแม้แต่บาทเดียว
ในทางเทคนิค พฤติกรรมลักษณะนี้ตรงกับช่องโหว่คลาสที่เรียกว่า Payment Callback Forgery หรือการปลอมแปลงคำสั่งแจ้งผลการชำระเงิน ระบบเติมเงินส่วนใหญ่จะรับข้อมูลยืนยันการโอนจากผู้ให้บริการชำระเงิน (Payment Gateway) ผ่านช่องทางที่เรียกว่า Webhook หรือ Callback URL ถ้าเว็บไซต์ไม่ตรวจสอบลายเซ็นดิจิทัลของข้อความ (Signature Verification) ไม่จำกัดว่าคำขอต้องมาจากหมายเลขไอพีของผู้ให้บริการเท่านั้น หรือไม่เรียกกลับไปยืนยันสถานะรายการกับต้นทางอีกรอบ ผู้โจมตีก็สามารถยิงคำขอปลอมเข้ามาที่ปลายทางนี้ตรง ๆ แล้วบอกว่า “รายการนี้จ่ายเงินแล้ว” ได้ทันที บางกรณีอาจเกิดจากการแก้ไขค่าพารามิเตอร์ราคาหรือสถานะที่ฝั่งผู้ใช้ (Client-Side Price Tampering) หรือช่องโหว่ควบคุมสิทธิ์ระดับออบเจ็กต์ (IDOR) ที่เปิดให้แก้ยอดเครดิตของบัญชีอื่นได้
ขั้นสุดท้ายคือการแปลงเครดิตปลอมให้กลายเป็นทรัพย์สินจริง โดยนำไปสั่งซื้อรหัสบัตรเติมเงินเกมออนไลน์ซึ่งเป็นสินค้าที่ส่งมอบอัตโนมัติทันทีและขายต่อในตลาดมือสองได้ง่าย ระบบหลังบ้านของเว็บไซต์จึงไปหักเงินต้นทุนจริงของบริษัทเพื่อจ่ายค่าสินค้าให้ผู้โจมตี ความเสียหายจึงเกิดขึ้นสองชั้นพร้อมกัน ทั้งเงินสดที่ไหลออกและสต็อกรหัสบัตรที่หายไป
อีกประเด็นที่ควรบันทึกไว้คือบทบาทของปัญญาประดิษฐ์ ผู้ต้องหาไม่ได้เป็นนักพัฒนาหรือผ่านการฝึกด้านความมั่นคงไซเบอร์มาก่อน แต่ใช้ AI Chatbot เป็นตัวลดกำแพงความรู้ ทั้งการอธิบายแนวคิดช่องโหว่ การเขียนสคริปต์ทดสอบ และการต่อยอดจนถึงขั้นนำเครื่องมือ AI หลายตัวมาทำงานร่วมกันเป็นสายการทำงานอัตโนมัติ กรณีนี้จึงเป็นตัวอย่างรูปธรรมของสิ่งที่วงการความมั่นคงเรียกว่าการลดระดับความยากในการเข้าสู่อาชญากรรมไซเบอร์ (Lowering the Barrier to Entry) ซึ่งเคยเป็นเพียงข้อกังวลเชิงทฤษฎี
ผลกระทบต่อไทย
คดีนี้เกิดขึ้นในประเทศไทยและมีผู้เสียหายเป็นผู้ประกอบการไทยโดยตรง จึงสะท้อนความเสี่ยงที่ธุรกิจดิจิทัลขนาดกลางและขนาดเล็กในบ้านเราเผชิญอยู่อย่างชัดเจน แพลตฟอร์มเติมเงินเกม เติมเงินมือถือ ร้านค้าออนไลน์ที่ขายบัตรเงินสดหรือรหัสดิจิทัล และระบบกระเป๋าเงินอิเล็กทรอนิกส์ของร้านค้ารายย่อย ล้วนมีโครงสร้างเดียวกันคือ “ยอดเครดิตในระบบ” ที่แลกเป็นสินค้ามูลค่าจริงได้ทันที หากตรรกะการยืนยันการชำระเงินมีจุดบกพร่องเพียงจุดเดียว ความเสียหายก็เกิดได้ในเวลาไม่กี่ชั่วโมงและตรวจพบยาก เพราะทุกอย่างดูเหมือนธุรกรรมปกติในบันทึกของระบบ
ที่น่ากังวลกว่านั้นคือระดับทักษะของผู้โจมตี เดิมเราประเมินว่าการโจมตีเชิงตรรกะทางธุรกิจ (Business Logic Flaw) ต้องอาศัยผู้ที่เข้าใจระบบพอสมควร แต่คดีนี้แสดงว่าผู้ที่จบเพียงชั้น ป.6 และไม่มีพื้นฐานด้านไอทีก็สามารถใช้ AI เป็นครูจนทำได้จริงภายในเวลาไม่นาน หมายความว่าจำนวนผู้ที่มีความสามารถโจมตีเว็บไซต์ไทยจะเพิ่มขึ้นอย่างมีนัยสำคัญในช่วงต่อจากนี้ และเป้าหมายจะไม่จำกัดอยู่แค่องค์กรใหญ่ที่มีข้อมูลมีค่า แต่ครอบคลุมเว็บไซต์ขนาดเล็กทุกแห่งที่มีเงินหมุนอยู่ในระบบ
ในอีกด้านหนึ่ง ความพยายามเจาะฐานข้อมูลของสำนักงานตำรวจแห่งชาติเพื่อลบหมายจับ ถือเป็นสัญญาณเตือนเรื่องความมั่นคงของระบบสารสนเทศภาครัฐที่เก็บข้อมูลกระบวนการยุติธรรม แม้ครั้งนี้จะไม่สำเร็จ แต่แสดงว่ามีผู้พยายามจริงและมีแรงจูงใจสูงมาก หากระบบลักษณะนี้ถูกแก้ไขข้อมูลได้สำเร็จแม้เพียงครั้งเดียว ผลกระทบจะร้ายแรงเกินกว่าความเสียหายทางการเงินทั่วไป
คำแนะนำ
สำหรับผู้ดูแลระบบเว็บไซต์ที่มีระบบเติมเงินหรือกระเป๋าเครดิต ข้อแรกคือห้ามเชื่อสถานะการชำระเงินที่ส่งมาจากฝั่งผู้ใช้โดยเด็ดขาด ต้องเรียกกลับไปตรวจสอบสถานะรายการกับผู้ให้บริการชำระเงินโดยตรงทุกครั้งก่อนตัดยอดเครดิต ข้อสองคือตรวจสอบลายเซ็นดิจิทัลของทุกข้อความ Webhook ที่รับเข้ามา จำกัดหมายเลขไอพีต้นทางให้เป็นของผู้ให้บริการเท่านั้น และป้องกันการส่งซ้ำ (Replay Attack) ด้วยการบันทึกรหัสรายการที่ประมวลผลไปแล้ว
ข้อสามคือตรวจสอบราคาและจำนวนที่ฝั่งเซิร์ฟเวอร์เสมอ ห้ามใช้ค่าที่ส่งมาจากเบราว์เซอร์ในการคำนวณยอดเงิน ข้อสี่คือตั้งระบบแจ้งเตือนเชิงพฤติกรรม เช่น บัญชีที่เพิ่งสมัครใหม่แล้วมีเครดิตเข้าจำนวนมากทันที หรือมีการสั่งซื้อรหัสบัตรเติมเงินต่อเนื่องผิดปกติ ซึ่งจะช่วยให้ตรวจจับได้ภายในไม่กี่นาทีแทนที่จะรู้ตัวหลังเสียหายไปแล้ว ข้อห้าคือกำหนดเพดานยอดสั่งซื้อสินค้าดิจิทัลต่อบัญชีต่อวัน โดยเฉพาะบัญชีที่ยังไม่ผ่านการยืนยันตัวตน
ข้อหก ควรจัดให้มีการทดสอบเจาะระบบที่เน้นช่องโหว่เชิงตรรกะทางธุรกิจโดยเฉพาะ เพราะเครื่องมือสแกนช่องโหว่อัตโนมัติทั่วไปมักตรวจไม่พบปัญหาประเภทนี้ และสุดท้าย เมื่อพบความผิดปกติควรเก็บรักษาบันทึกการใช้งาน (Log) ไว้ให้ครบถ้วนแล้วแจ้งความต่อ บช.สอท. โดยเร็ว เพราะคดีนี้แสดงให้เห็นว่าเมื่อมีหลักฐานทางดิจิทัลเพียงพอ เจ้าหน้าที่สามารถสืบสวนจนระบุตัวและติดตามจับกุมได้จริง