สรุปสั้น

แทนที่จะรอให้คนงานไอทีของเกาหลีเหนือสมัครเข้ามาแล้วค่อยไล่ตรวจย้อนหลัง นักวิจัยกลุ่มหนึ่งเลือกกลับด้านการทดลองด้วยการเป็นนายจ้างเสียเอง พวกเขาสร้างโปรโตคอล DeFi ปลอมขึ้นมาชื่อ Ballena Azul ประกาศรับสมัครนักพัฒนา และจ้างคนที่เชื่อว่าเป็นปฏิบัติการของเกาหลีเหนือได้ 3 คน โดยเครื่องเสมือนทุกเครื่องที่บริษัทแจกให้พนักงานถูกตั้งค่าให้บันทึกทุกความเคลื่อนไหวไว้ตั้งแต่ต้น ผลลัพธ์ที่ได้จึงไม่ใช่รายงานการเจาะระบบ แต่เป็นบันทึกพฤติกรรมของคนที่เดินเข้าประตูหน้าอย่างถูกต้องตามกระบวนการจ้างงาน ผ่านการสัมภาษณ์ เซ็นสัญญา และได้รับบัญชีพนักงานจริงพร้อมสิทธิ์เข้าถึงซอร์สโค้ดและระบบภายใน

นักวิจัยเน้นย้ำว่าเรื่องนี้ “ไม่ใช่แค่ความเสี่ยงด้านการจ้างงาน” เพราะเมื่อการแทรกซึมสำเร็จแล้ว สิทธิ์การเข้าถึงของคนงานเหล่านั้นคือสิทธิ์ที่ระบบอนุญาตและคาดหวังให้มีอยู่แล้ว ไม่มีอะไรให้ระบบตรวจจับภัยคุกคามร้องเตือน จุดที่ทีมจัดจ้างนำไปใช้ได้ทันทีคือรายละเอียดของเอกสารยืนยันตัวตน คนแรกอ้างว่าอยู่ที่เมือง Pasadena รัฐเท็กซัส แต่ส่งใบขับขี่รัฐแคลิฟอร์เนียมาพร้อมบัญชีธนาคารในนิวยอร์ก คนที่สองส่งใบขับขี่เท็กซัส หมายเลขประกันสังคมที่ใช้ได้จริง และบัญชีธนาคารที่แคนซัสซิตี ส่วนคนที่สามส่งใบขับขี่นิวยอร์กที่เป็นของคนอื่น พร้อมภาพถ่ายจาก iPhone 15 ของจริงที่ถูกลบพิกัด GPS ออก การจ้างทั้งสามคนยังมาจากการบอกต่อกันเป็นทอด ๆ โดยเริ่มจากนายหน้าที่ไล่หาผู้อำนวยความสะดวกบน GitHub

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 11 สิงหาคม 2569 ว่านักวิจัยด้านความมั่นคงปลอดภัยได้ประดิษฐ์สตาร์ตอัปคริปโตเคอร์เรนซีขึ้นมา ลงประกาศรับสมัครงานตำแหน่งนักพัฒนา และจ้างคนสามคนที่พวกเขาเชื่อว่าเป็นปฏิบัติการของเกาหลีเหนือ โดยเครื่องเสมือนทุกเครื่องที่บริษัทออกให้กำลังบันทึกภาพและกิจกรรมอยู่ตลอดเวลา ผลการสืบสวนถูกเผยแพร่โดยบริษัท ANY.RUN ในรายงานตอนที่สองว่าด้วยคนงานไอทีที่เชื่อมโยงกับกลุ่ม Lazarus และนำเสนอในงาน DEF CON 34 ที่นครลาสเวกัสในเดือนนี้

นักวิจัยระบุว่าภาพเอกสารที่ผู้สมัครรายแรกส่งมามีข้อมูลเมทาดาทาบ่งชี้ว่าผ่านการประมวลผลด้วย Google Gemini และรายงานว่าพบลายน้ำ SynthID ซึ่งเป็นเครื่องหมายที่มองไม่เห็นที่ Google ฝังไว้ในภาพที่เครื่องมือ AI ของตนสร้างหรือแก้ไข อย่างไรก็ตามรายงานนำเสนอเมทาดาทาของ Gemini และลายน้ำ SynthID เป็นข้อค้นพบแยกกัน โดยไม่ได้อธิบายว่าตรวจพบลายน้ำนั้นด้วยวิธีใด และแม้แอป Gemini ของ Google จะตรวจลายน้ำ SynthID ในภาพได้ แต่ก็ตรวจได้เฉพาะเนื้อหาที่สร้างหรือแก้โดยโมเดลของ Google เท่านั้น ผลลบจึงไม่ได้แปลว่าภาพนั้นไม่เคยถูกแก้ด้วย AI ตัวอื่น

คำเตือนร่วมที่ออกเมื่อวันที่ 31 กรกฎาคม 2569 ระบุว่าคนงานไอทีของเกาหลีเหนือมุ่งหาสัญญาจ้างโดยมีเจตนาส่งเงินเดือนกลับไปยังหน่วยงานต้นสังกัดในเกาหลีเหนือ และยังชี้ให้นายจ้างเฝ้าระวังสัญญาณอย่างเอกสารที่ “ถูกปลอมหรือดัดแปลงด้วยซอฟต์แวร์แก้ไขภาพ” บัญชีเดียวที่ถูกเข้าถึงจากที่อยู่ไอพีจำนวนมากในช่วงเวลาสั้น ๆ และข้อความในโปรไฟล์ที่อ่านแล้วเหมือนแปลด้วยเครื่อง ก่อนหน้านั้นในเดือนเมษายน กระทรวงยุติธรรมสหรัฐได้พิพากษาผู้อำนวยความสะดวกชาวอเมริกัน 2 รายในคดีคนละสำนวน ซึ่งช่วยส่งคนงานเข้าไปทำงานในบริษัทอเมริกันกว่า 100 แห่งโดยใช้ตัวตนที่ถูกขโมยมาอย่างน้อย 80 ตัวตน และสร้างรายได้ให้เกาหลีเหนือกว่า 5 ล้านดอลลาร์สหรัฐ

ในแง่การระบุตัวตนของผู้ก่อเหตุ นักวิจัยอธิบายว่าทั้งสามคนเป็นผู้ต้องสงสัยว่าเป็นปฏิบัติการของ Famous Chollima ซึ่งเป็นชื่อที่บริษัท CrowdStrike ใช้เรียกปฏิบัติการคนงานไอทีของเกาหลีเหนือ ขณะที่ทีมวิจัยจัดให้อยู่ภายใต้ร่มใหญ่ของ Lazarus แต่คำเตือนร่วมของ 11 รัฐบาลไม่ได้เอ่ยชื่อคลัสเตอร์ตามการตั้งชื่อของผู้ให้บริการรายใดเลย และจนถึงวันที่ 11 สิงหาคม 2569 ยังไม่มีแหล่งข้อมูลภาครัฐใดที่ตรวจสอบประกอบการเขียนข่าวนี้ยืนยันการระบุตัวดังกล่าว การชี้ตัวจึงยังอยู่ที่ฝั่งนักวิจัยเป็นหลัก นอกจากนี้ยังไม่ทราบชื่อจริงเบื้องหลังตัวตนทั้งสาม และรายงานไม่ได้ระบุว่าบริษัทปลอมนี้เปิดดำเนินการอยู่นานเท่าใด

วิธีการโจมตี

สิ่งที่ต่างจากข่าวภัยคุกคามทั่วไปคือไม่มีการเจาะช่องโหว่ใดเกิดขึ้นเลย ทั้งสามคนเข้ามาผ่านกระบวนการจ้างงาน ผ่านการสัมภาษณ์ เซ็นสัญญา และได้รับเครื่องเสมือนสำหรับทำงาน วันแรกของการทำงานคือการสำรวจ ทั้งสามรันคำสั่ง dxdiag, systeminfo และ wmic เพื่อดูสเปกเครื่องที่ได้รับ จากนั้นตรวจสอบว่าการเชื่อมต่อของตัวเองถูกมองว่ามาจากประเทศใด ซึ่งเป็นพฤติกรรมที่บ่งบอกว่าผู้ใช้กังวลเรื่องการถูกระบุตำแหน่งจริงมากกว่าจะสนใจงานที่ได้รับมอบหมาย

รายหนึ่งติดตั้ง Chrome Remote Desktop แล้วซิงก์บัญชี Google ส่วนตัวเข้ากับเครื่องแซนด์บ็อกซ์ของบริษัท ซึ่งเท่ากับส่งมอบประวัติการท่องเว็บ รหัสผ่านที่บันทึกไว้ และส่วนขยายที่ติดตั้งทั้งหมดให้นักวิจัยเห็น ก่อนจะล็อกอิน GitHub บนเครื่องเดียวกันอีก เครื่องมือที่พบในรอบนี้ยังต่างจากปฏิบัติการที่นักวิจัยเคยสังเกตในเดือนธันวาคม โดยรอบนี้พบการใช้ 2fa.cn เพื่อส่งต่อรหัสยืนยันสองชั้นระหว่างผู้ปฏิบัติการ แทนที่ authenticator.cc และ otp.ee ที่เคยใช้ และเริ่มมี Outlook.com ปรากฏขึ้นในจุดที่เดิมพบเพียง Gmail

เบราว์เซอร์ของทั้งสามยังติดตั้งส่วนขยาย AI สำหรับช่วยสมัครงานและช่วยตอบสัมภาษณ์ไว้ครบ ทั้ง AIApply, Final Round AI, Simplify Copilot และเครื่องมือเก็บชุดพรอมต์สำหรับ ChatGPT ส่วนโครงสร้างพื้นฐานที่รายงานระบุคือผู้ให้บริการ Vultr และ Gorilla Servers โดยมีโหนดทางออกของ AstrillVPN ทำงานอยู่ตลอดการปฏิบัติการ ซึ่งบริษัท Silent Push เคยติดตามและระบุว่า Astrill เป็นบริการที่ผูกติดกับปฏิบัติการของเกาหลีเหนือมาต่อเนื่อง

ผลกระทบต่อไทย

ประเด็นนี้เกี่ยวข้องกับองค์กรไทยมากกว่าที่เห็น เพราะเมื่อเดือนกรกฎาคมที่ผ่านมาเราเคยรายงานไว้ในโพสต์ 2026/07/069 ว่าไทยถูกระบุเป็นหนึ่งในปลายทางยอดนิยมของการจ้างงานข้ามพรมแดนในเอเชียตะวันออกเฉียงใต้ สตาร์ตอัปและบริษัทพัฒนาซอฟต์แวร์ไทยจำนวนไม่น้อยจึงรับนักพัฒนาระยะไกลที่ไม่เคยเจอตัวจริง และใช้ชุดเอกสารยืนยันตัวตนแบบเดียวกับที่รายงานฉบับนี้แสดงให้เห็นว่าปลอมได้ด้วยเครื่องมือ AI ราคาถูก การทดลองครั้งนี้ยืนยันว่าสัญญาณที่จับได้ไม่ได้อยู่ในระบบตรวจจับมัลแวร์ แต่อยู่ในความไม่สอดคล้องของเอกสาร เช่น รัฐที่อยู่อาศัยไม่ตรงกับรัฐที่ออกใบขับขี่ และไม่ตรงกับรัฐที่เปิดบัญชีธนาคาร ซึ่งเป็นสิ่งที่ฝ่ายบุคคลตรวจได้เองโดยไม่ต้องมีทีมความมั่นคงปลอดภัย

อีกด้านหนึ่งคือความเสี่ยงเรื่องการจ่ายเงินเดือน เพราะเป้าหมายของปฏิบัติการนี้คือการส่งค่าจ้างกลับไปยังหน่วยงานของรัฐบาลเกาหลีเหนือซึ่งอยู่ภายใต้มาตรการคว่ำบาตรระหว่างประเทศ องค์กรไทยที่จ่ายค่าจ้างให้ฟรีแลนซ์ต่างชาติผ่านแพลตฟอร์มหรือคริปโตโดยไม่ตรวจสอบตัวตนอย่างจริงจัง จึงเสี่ยงทั้งการถูกแทรกซึมเข้าถึงซอร์สโค้ดและความเสี่ยงด้านการปฏิบัติตามกฎเกณฑ์ทางการเงินไปพร้อมกัน โดยเฉพาะบริษัทในสายคริปโตและ Web3 ที่รายงานฉบับนี้ชี้ว่าเป็นเป้าหมายที่ปฏิบัติการดังกล่าวสนใจเป็นพิเศษ

คำแนะนำ

นักวิจัยแนะนำให้เปลี่ยนจากการตรวจสอบตัวตนครั้งเดียวตอนรับเข้าทำงาน มาเป็นการตรวจสอบเป็นระยะตลอดอายุการจ้าง เพิ่มการยืนยันตัวตนแบบเจอหน้าจริงสำหรับบริษัทที่ทำงานระยะไกลเป็นหลัก อบรมทีมสรรหาบุคลากรให้รู้จักสัญญาณเตือน และบล็อกการเชื่อมต่อจาก AstrillVPN ส่วนคำเตือนของหน่วยงานรัฐเมื่อวันที่ 31 กรกฎาคม เพิ่มสัญญาณอีกสองข้อคือบัญชีเดียวที่ถูกเข้าถึงจากที่อยู่ไอพีจำนวนมากในเวลาสั้น ๆ และข้อความโปรไฟล์ที่อ่านแล้วเหมือนผ่านการแปลด้วยเครื่อง

ในทางปฏิบัติ ฝ่ายไอทีควรตั้งการแจ้งเตือนเมื่อพนักงานใหม่ติดตั้งเครื่องมือควบคุมระยะไกลอย่าง Chrome Remote Desktop หรือ AnyDesk บนเครื่องของบริษัท และเมื่อมีการซิงก์บัญชีส่วนตัวเข้ากับโปรไฟล์เบราว์เซอร์ขององค์กร ควรบันทึกและทบทวนกิจกรรมในสัปดาห์แรกของพนักงานระยะไกลทุกคน เพราะการสำรวจเครื่องด้วย dxdiag, systeminfo และ wmic ตามด้วยการเช็กว่าไอพีของตัวเองถูกระบุเป็นประเทศใด เป็นชุดพฤติกรรมที่พนักงานจริงแทบไม่ทำในวันแรก นอกจากนี้ควรจำกัดสิทธิ์เข้าถึงซอร์สโค้ดและระบบสำคัญแบบค่อยเป็นค่อยไปตามระยะเวลาทำงาน แทนการให้สิทธิ์เต็มตั้งแต่วันแรก

แหล่งอ้างอิง