สรุปสั้น
คนส่วนใหญ่เข้าใจการขโมยตัวตน (identity theft) ว่าเป็นการที่ผู้โจมตีขโมยข้อมูลอ่อนไหวของบุคคลจริงแล้วสวมรอยเป็นคนนั้น แต่กลโกงตัวตนสังเคราะห์ (synthetic identity fraud) จับได้ยากกว่ามาก เพราะแทนที่จะขโมยตัวตนจริง ผู้โจมตีกลับ “ประกอบสร้าง” ตัวตนใหม่ขึ้นมา โดยนำข้อมูลจริงบางส่วนมาผสมกับข้อมูลที่กุขึ้น สร้างเป็นบุคคลที่ไม่มีอยู่จริง เนื่องจากไม่มีเหยื่อตัวจริงคอยเฝ้าระวังการใช้งานผิดปกติ ตัวตนปลอมจึงค่อยๆ สะสมสิทธิ์และความน่าเชื่อถือได้เงียบๆ เป็นเวลานานก่อนถูกตรวจพบ หลักการเดียวกันนี้มีความคู่ขนานกับตัวตนที่ไม่ใช่มนุษย์ (Non-Human Identities หรือ NHI) ที่ยังแทบไม่มีใครพูดถึง
ทีมความปลอดภัยทุ่มเทความพยายามอย่างมากในการปกป้อง NHI ไม่ให้ถูกขโมย แต่สิ่งที่แทบไม่มีใครกล่าวถึงคือ NHI ที่ถูกสร้างขึ้นมาแบบไม่ถูกต้องตั้งแต่แรก ในแนวทางนี้ผู้โจมตีไม่ได้ยึดบัญชีบริการ (service account) ที่มีอยู่ แต่ “ปลอม” ขึ้นมาใหม่ โดยผสมคุณลักษณะจริงของสภาพแวดล้อมเข้ากับของปลอมจนดูเหมือนเป็นส่วนหนึ่งของระบบ เมื่อองค์กรสะสม NHI เร็วกว่าที่จะตามติดได้ทัน บัญชีปลอมก็อาจแทรกตัวเข้ามาปะปนได้ง่ายหากการกำกับดูแล (governance) อ่อนแอและไม่มีมนุษย์เป็นเจ้าของ
รายละเอียดข่าว
เว็บไซต์ The Hacker News เผยแพร่บทวิเคราะห์เมื่อวันที่ 23 กรกฎาคม 2569 อธิบายว่ากลไกกลโกงตัวตนสังเคราะห์ที่ใช้กับมนุษย์นั้นสามารถนำมาใช้กับตัวตนของเครื่อง (machine identity) ได้เช่นกัน แต่องค์กรส่วนใหญ่มุ่งเฝ้าระวังเฉพาะ NHI ที่ถูกขโมยข้อมูลประจำตัว มากกว่าตัวตนที่ถูกปลอมขึ้น สิ่งที่ทำให้ตัวตนเหล่านี้ดูน่าเชื่อคือการผสมคุณลักษณะจริงกับที่กุขึ้น NHI ปลอมจะรับเอารูปแบบการตั้งชื่อของสภาพแวดล้อมมาใช้ อยู่ในโดเมนที่ถูกต้อง มี metadata ที่ดูสมเหตุสมผล และร้องขอสิทธิ์แบบเดียวกับที่ NHI อื่นๆ มีอยู่แล้ว ในสายตาผู้ดูแลระบบที่กวาดดูรายการบัญชีบริการนับหมื่น มันก็เป็นเพียงเวิร์กโหลดธรรมดาอีกตัวหนึ่ง จึงเป็นหนึ่งในความเสี่ยงของ NHI ที่ถูกมองข้ามมากที่สุด
สิ่งที่ทำให้ภัยฝั่งเครื่องนี้อันตรายเป็นพิเศษคือการที่มันได้รับความสนใจน้อยมาก ตัวตนเครื่องปลอมสามารถหลบเลี่ยงการตรวจจับที่ออกแบบมาเพื่อจับตัวตนที่ถูกขโมยได้ เพราะเจ้าของตัวจริงของบัญชีที่ถูกขโมยอาจสังเกตเห็นการล็อกอินจากที่แปลกๆ หรือได้รับการแจ้งเตือนจากดาร์กเว็บ แต่ตัวตนปลอมที่ไม่มีเจ้าของจะไม่ก่อให้เกิดสัญญาณเตือนใดๆ เมื่อ NHI เพิ่มจำนวนอย่างรวดเร็วจนแซงหน้าผู้ใช้ที่เป็นมนุษย์ องค์กรอาจไม่ทันสังเกตว่าตัวตนที่ไม่มีใครเฝ้าดูนั้นเป็นสิ่งผิดปกติ หากมันซ่อนตัวและค่อยๆ สะสมสิทธิ์ไปเรื่อยๆ
ประเด็นนี้ยิ่งทวีความสำคัญในยุค agentic AI จนกระทั่งเมื่อไม่นานมานี้ การปลอมตัวตนเครื่องยังต้องอาศัยให้ผู้โจมตีเจาะเข้าระบบ สร้างบัญชีปลอม และกำหนดสิทธิ์ด้วยมือ แต่ AI แบบ agentic กำลังลดอุปสรรคนี้ลง เพราะ AI agent สามารถขอข้อมูลประจำตัวแบบไดนามิกตอนรันไทม์ และมีแนวโน้มที่จะสร้าง agent อื่นที่มีตัวตนของตัวเองขึ้นมาได้เรื่อยๆ เมื่อการสร้างตัวตนเครื่องกลายเป็นกิจกรรมเบื้องหลังแบบอัตโนมัติ เส้นแบ่งระหว่างตัวตนที่ถูกสร้างอย่างถูกต้องกับตัวตนที่ถูกปลอมก็เริ่มเลือนรางลง
วิธีการสร้างตัวตนเครื่องปลอม
บทวิเคราะห์ระบุว่าเทคนิคที่ผู้โจมตีใช้สร้างตัวตนเครื่องปลอมล้วนไม่ใช่ของใหม่ แต่สิ่งใหม่คือการมองว่ามันเป็นรูปแบบเดียวกันของการแทรกตัวตนที่ดูน่าเชื่อแต่ไม่ถูกต้องเข้าไปในสภาพแวดล้อมที่มีแนวโน้มจะเชื่อใจมัน วิธีหลักๆ มีสามแบบ แบบแรกคือ rogue service account ที่ผู้โจมตีซึ่งเข้าถึงระบบได้แล้วสร้างบัญชีใหม่ที่หน้าตาคล้ายบัญชีที่มีอยู่ พร้อมคุณลักษณะและสิทธิ์การเข้าถึงที่ดูปกติ แบบที่สองคือ DCShadow ที่ทำงานในระดับโครงสร้างพื้นฐาน ผู้โจมตีที่มีสิทธิ์ domain administrator อยู่แล้วจะจดทะเบียน domain controller ปลอมชั่วคราว เพื่อให้การเปลี่ยนแปลงที่เป็นอันตรายดูเหมือนการจำลองข้อมูล (replication) ปกติจากเพียร์ที่เชื่อถือได้ และแบบที่สามคือ shadow credentials ที่ผู้โจมตีฝังข้อมูลยืนยันตัวตนปลอมลงบนอ็อบเจกต์ที่มีอยู่แล้ว เพื่อให้สามารถยืนยันตัวตนเป็นอ็อบเจกต์นั้นได้ตามใจ ซึ่งเป็นวิธีที่แนบเนียนที่สุดเพราะตัวตนดูเหมือนไม่ถูกแตะต้อง ทั้งสามวิธีล้วนสร้างตัวตนที่ไม่ถูกต้องซึ่งสภาพแวดล้อมยอมรับว่าเป็นพวกเดียวกัน
ผลกระทบต่อไทย
องค์กรในไทยที่เปลี่ยนผ่านสู่คลาวด์และระบบอัตโนมัติกำลังสะสมตัวตนที่ไม่ใช่มนุษย์ (NHI) เช่น service account, API key, token และ agent จำนวนมหาศาลเช่นเดียวกับทั่วโลก โดยเฉพาะเมื่อเริ่มนำ AI แบบ agentic มาใช้งาน ความเสี่ยงจากตัวตนเครื่องปลอมที่ไม่มีเจ้าของและไม่มีใครเฝ้าดูจึงเป็นภัยเงียบที่หลายองค์กรยังไม่ตระหนัก หากการกำกับดูแล NHI อ่อนแอ ผู้โจมตีที่เจาะเข้าระบบได้แล้วอาจสร้างบัญชีปลอมฝังตัวสะสมสิทธิ์ไว้ใช้โจมตีต่อในระยะยาว ซึ่งตรวจจับได้ยากกว่าบัญชีที่ถูกขโมยมาก องค์กรไทยในภาคการเงิน โทรคมนาคม และหน่วยงานรัฐที่มีระบบซับซ้อน จึงควรให้ความสำคัญกับการบริหารจัดการตัวตนเครื่องอย่างเป็นระบบ
คำแนะนำ
องค์กรควรวางการกำกับดูแล NHI ที่เข้มแข็งเพื่อไม่ให้ตัวตนปลอมแทรกตัว สะสมสิทธิ์ หรือคงอยู่ได้ตั้งแต่แรก เริ่มจากกำหนดให้ NHI ทุกตัวมีเจ้าของที่เป็นมนุษย์ลงทะเบียนไว้ มีวัตถุประสงค์ที่ชัดเจน และมีวันหมดอายุ เพื่อไม่ให้ตัวตนคงอยู่ถาวรโดยปริยาย ควรใช้การบริหารความลับ (secrets management) แบบรวมศูนย์พร้อมการหมุนเปลี่ยนอัตโนมัติ เพื่อตัดเส้นทางที่ผู้โจมตีใช้ฝัง shadow credentials นอกจากนี้ควรบังคับใช้หลักสิทธิ์ขั้นต่ำ (least privilege) และการให้สิทธิ์แบบทันเวลา (Just-in-Time) เพื่อจำกัดความเสียหายจากตัวตนใดๆ ทั้งจริงและปลอม สุดท้ายควรตรวจสอบพฤติกรรมอย่างต่อเนื่อง (continuous verification) โดยยึดความน่าเชื่อถือจากสิ่งที่ตัวตนทำจริงตลอดเวลา ไม่ใช่แค่ตอนสร้าง เพื่อจับตัวตนปลอมที่เนียนพอจะเล็ดลอดเข้ามาได้