สรุปสั้น

แก๊งแรนซัมแวร์ Qilin เติบโตจากปฏิบัติการอาชญากรรมที่เคลื่อนไหวรวดเร็ว กลายเป็นหนึ่งในภัยคุกคามที่มองเห็นได้ชัดที่สุดในภูมิทัศน์การขู่กรรโชกทั่วโลก กลุ่มนี้เข้ารหัสระบบและขโมยข้อมูล แล้วกดดันเหยื่อด้วยความเสี่ยงที่ข้อมูลจะถูกเปิดเผยต่อสาธารณะ แคมเปญของกลุ่มสร้างความเสียหายทั้งด้านการดำเนินงานและชื่อเสียงต่อองค์กรในหลายภาคส่วนและหลายประเทศ โดยบริษัท Black Kite ระบุในรายงานที่แบ่งปันกับ Cyber Security News ว่า Qilin อ้างเหยื่อถึง 1,358 รายในช่วงที่ติดตาม ซึ่งเพิ่มขึ้น 443% จากปีก่อนหน้า และปฏิบัติการครอบคลุมมากกว่า 50 ประเทศ คิดเป็นสัดส่วนราวหนึ่งในทุก ๆ ห้าถึงหกของเหยื่อแรนซัมแวร์ที่เปิดเผยทั้งหมด

ภาพรวมของภูมิทัศน์แรนซัมแวร์ก็เลวร้ายลงเช่นกัน Black Kite บันทึกเหยื่อที่เปิดเผยต่อสาธารณะได้ 7,551 รายในช่วงเดือนเมษายน 2568 ถึงมีนาคม 2569 เพิ่มขึ้น 24.9% เมื่อเทียบปีต่อปี ขณะที่เดือนมีนาคมเพียงเดือนเดียวมีเหยื่อสูงถึง 861 ราย ซึ่งเป็นยอดรายเดือนสูงสุดเท่าที่นักวิจัยเคยพบ การเติบโตของ Qilin เกิดขึ้นในขณะที่จำนวนปฏิบัติการแรนซัมแวร์ที่ยังเคลื่อนไหวขยายเป็น 146 กลุ่มภายในเดือนมิถุนายน 2569 แสดงให้เห็นว่ากลุ่มอาชญากรยังคงเข้าสู่ตลาดแม้แบรนด์เก่าจะหายไป โดยห้ากลุ่มแรกควบคุมเหยื่อที่เปิดเผยรวม 43.6% แต่ไม่มีกลุ่มใดครองตลาดแบบเบ็ดเสร็จเหมือนกลุ่มนำในอดีต

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 21 กรกฎาคม 2569 ว่า บริษัท Black Kite ได้เผยแพร่รายงานภูมิทัศน์แรนซัมแวร์ที่แสดงให้เห็นการเติบโตอย่างก้าวกระโดดของแก๊ง Qilin ท่ามกลางตลาดการขู่กรรโชกที่แออัดและก้าวร้าวมากขึ้น

รายงานระบุว่ากลุ่มแรนซัมแวร์พึ่งพาข้อมูลรับรอง (credential) ที่รั่วไหล ซอฟต์แวร์ที่ไม่ได้แพตช์ และการเชื่อมต่อกับบุคคลที่สามที่ได้รับความไว้วางใจมากขึ้นเรื่อย ๆ เพื่อเข้าถึงเหยื่อ โดย Qilin แสดงความสามารถในการเคลื่อนที่อย่างรวดเร็วภายในสภาพแวดล้อมที่ถูกเจาะ รวมถึงเทคนิคการฉวยใช้ RDP ที่ช่วยให้ผู้โจมตีระบุระบบและบัญชีภายในเครือข่ายได้ ยอด 1,358 รายที่ Qilin อ้างวางกลุ่มนี้ไว้ที่ศูนย์กลางของตลาดแรนซัมแวร์ โดย Qilin โดดเด่นด้วยขนาดของกิจกรรม ขณะที่กลุ่มอื่นเน้นการโจมตีแบบ mass exploitation ข้อมูลรับรองที่รั่ว หรือมุ่งเป้าเฉพาะภูมิภาค

ในแง่ของอุตสาหกรรมที่ตกเป็นเป้า ภาคการผลิต (manufacturing) ยังคงถูกโจมตีมากที่สุดด้วยเหยื่อที่เปิดเผย 1,660 ราย ตามด้วยกลุ่มบริการวิชาชีพ วิทยาศาสตร์ และเทคนิคที่ 1,389 ราย นอกจากนี้องค์กรที่มีรายได้ในช่วง 50 ถึง 100 ล้านดอลลาร์กลายเป็นสัดส่วนที่ใหญ่ขึ้นของเหยื่อที่รู้จัก บ่งชี้ว่าบริษัทขนาดกลางกำลังเผชิญแรงกดดันที่เพิ่มขึ้นควบคู่ไปกับองค์กรขนาดใหญ่ การเติบโตของ Qilin ยังสะท้อนการเปลี่ยนแปลงพฤติกรรมของผู้โจมตีในวงกว้าง ที่ฉวยใช้จุดอ่อนด้านการยืนยันตัวตนในระบบที่เชื่อมต่ออินเทอร์เน็ตเพื่อสร้างการเข้าถึงและติดตั้งแรนซัมแวร์ ทำให้การแพตช์อย่างรวดเร็วสำหรับโครงสร้างพื้นฐานที่เปิดสู่ภายนอกเป็นเรื่องจำเป็น

การกู้คืนไม่ใช่จุดสิ้นสุดของความเสี่ยง

ประเด็นสำคัญที่รายงานเน้นย้ำคือ การกู้คืนจากเหตุแรนซัมแวร์ไม่ได้หมายความว่าความเสี่ยงจะหมดไป การสแกนหลังเกิดเหตุของ Black Kite พบว่าองค์กรจำนวนมากยังคงมีช่องโหว่หลงเหลืออยู่แม้คดีแรนซัมแวร์ของตนจะปิดไปแล้ว โดย 43.5% ของเหยื่อยังมีช่องโหว่ระดับวิกฤตที่ต้องแพตช์ และอีก 30.8% ยังคงมีช่องโหว่ที่ทราบว่าถูกใช้โจมตีจริง (Known Exploited Vulnerability) ซึ่งผู้โจมตีสามารถนำมาใช้ได้ทันที ผลการสำรวจนี้ตอกย้ำว่าการกู้คืนต้องเป็นมากกว่าการเรียกคืนไฟล์ที่ถูกเข้ารหัส

รายงานแนะนำให้องค์กรทำการทบทวนจากภายนอกอย่างเป็นระบบที่ 30, 60 และ 90 วันหลังเกิดเหตุ โดยให้ความสำคัญกับข้อมูลรับรองที่ถูกขโมย ช่องโหว่วิกฤต และระบบที่อยู่ในบัญชี Known Exploited Vulnerabilities นอกจากนี้แอปพลิเคชันของบุคคลที่สามก็ต้องได้รับการตรวจสอบอย่างใกล้ชิดขึ้น เพราะรายงานชี้ว่าการฉวยใช้โทเคน OAuth และซอฟต์แวร์ที่เชื่อมต่อกันเป็นเส้นทางโจมตีสำคัญ เช่นเดียวกับกรณีการขโมยโทเคน Salesloft Drift ที่แสดงให้เห็นว่าการเข้าถึงแอปพลิเคชันที่ถูกเจาะสามารถเปิดเผยข้อมูลในสภาพแวดล้อมที่เชื่อมต่อกันได้

ผลกระทบต่อไทย

ข้อมูลจากรายงานมีนัยสำคัญต่อองค์กรไทยโดยตรง โดยเฉพาะภาคการผลิตซึ่งเป็นอุตสาหกรรมที่ถูกโจมตีมากที่สุดทั่วโลก และเป็นภาคเศรษฐกิจหลักของไทยที่มีโรงงานจำนวนมาก บริษัทขนาดกลางที่มีรายได้ระดับ 50 ถึง 100 ล้านดอลลาร์ ซึ่งครอบคลุมธุรกิจไทยจำนวนมาก กำลังกลายเป็นเป้าหมายที่เพิ่มขึ้น องค์กรไทยจึงไม่ควรคิดว่าตนเองเล็กเกินกว่าจะตกเป็นเป้า นอกจากนี้สถิติที่ว่าเกือบครึ่งขององค์กรที่เคยถูกโจมตียังมีช่องโหว่วิกฤตหลงเหลือ เป็นเครื่องเตือนว่าองค์กรไทยที่ผ่านเหตุแรนซัมแวร์มาแล้วต้องตรวจสอบซ้ำอย่างจริงจัง ไม่ใช่แค่กู้ระบบกลับมาทำงาน เพราะช่องทางที่ผู้โจมตีเคยใช้อาจยังเปิดอยู่และถูกโจมตีซ้ำได้

คำแนะนำ

ทีมความปลอดภัยควรจัดลำดับความสำคัญของการแพตช์ตามการถูกใช้โจมตีจริงและระดับความรุนแรง แทนที่จะยึดตามตารางบำรุงรักษาตามปกติ พร้อมจัดทำบัญชีแอปพลิเคชันที่เชื่อมต่อทั้งหมด ทบทวนสิทธิ์ OAuth หมุนเปลี่ยนข้อมูลรับรองหลังพบกิจกรรมน่าสงสัย และบังคับใช้การยืนยันตัวตนหลายปัจจัย (MFA) ทั้งกับบัญชีภายในและบัญชีของผู้ให้บริการภายนอก สำหรับองค์กรที่เพิ่งผ่านเหตุแรนซัมแวร์ ควรทำการทบทวนความเสี่ยงจากภายนอกที่ 30, 60 และ 90 วัน โดยเน้นข้อมูลรับรองที่ถูกขโมย ช่องโหว่วิกฤต และระบบที่อยู่ในบัญชี KEV เพื่อปิดช่องทางที่ผู้โจมตีมักฉวยใช้ซ้ำ และควรลดพื้นผิวการโจมตีของระบบที่เปิดสู่อินเทอร์เน็ตด้วยการแพตช์อย่างรวดเร็วและจำกัดการเข้าถึง RDP

แหล่งอ้างอิง