สรุปสั้น

ในช่วงวันที่ 9 ถึง 10 สิงหาคม 2569 มีองค์กรที่จดทะเบียนในประเทศไทยถูกประกาศชื่อขึ้นเว็บปล่อยข้อมูลของกลุ่มแรนซัมแวร์ถึงสามรายภายในเวลาไม่ถึงสองวัน ซึ่งเป็นความถี่ที่สูงผิดปกติเมื่อเทียบกับค่าเฉลี่ยของเหยื่อไทยที่ปรากฏบนเว็บลักษณะนี้ รายแรกคือบริษัทสยามออยล์โปรดักส์ ผู้จัดจำหน่ายผลิตภัณฑ์ปิโตรเลียมและผลิตภัณฑ์อุตสาหกรรมที่ดำเนินกิจการมากว่า 20 ปีและมีพนักงานมากกว่า 700 คน ถูกกลุ่ม Panzer ประกาศชื่อเมื่อวันที่ 9 สิงหาคม รายที่สองคือบริษัทพิธานพาณิชย์ ซึ่งถูกกลุ่ม Qilin ประกาศชื่อในวันเดียวกัน และรายที่สามคือ The Minor Food Group ธุรกิจอาหารในเครือไมเนอร์ อินเตอร์เนชั่นแนล ที่ถูกกลุ่ม Panzer ประกาศชื่อในวันที่ 10 สิงหาคม พร้อมอ้างว่าดูดข้อมูลออกไปได้ 340.8 กิกะไบต์

ต้องย้ำว่าทั้งหมดนี้เป็นคำอ้างฝ่ายเดียวของผู้โจมตีที่ปรากฏบนเว็บปล่อยข้อมูล ซึ่งเป็นช่องทางที่กลุ่มแรนซัมแวร์ใช้กดดันเหยื่อให้เข้าเจรจา ข้อมูลบนเว็บลักษณะนี้จึงต้องถือว่ายังไม่ได้รับการยืนยันจนกว่าฝ่ายผู้เสียหายหรือหน่วยงานที่เกี่ยวข้องจะออกมาชี้แจง ณ เวลาที่รายงานนี้เผยแพร่ยังไม่มีองค์กรใดในสามรายออกแถลงการณ์ต่อสาธารณะ และยังไม่ปรากฏรายละเอียดว่าข้อมูลที่อ้างว่าถูกดูดออกไปมีเนื้อหาประเภทใดบ้าง

กลุ่ม Panzer เป็นชื่อที่เพิ่งปรากฏในวงการและยังมีข้อมูลเบื้องหลังน้อยมาก ทั้งเรื่องวิธีการเข้าถึงระบบและประวัติการโจมตีก่อนหน้า ส่วน Qilin เป็นกลุ่มแรนซัมแวร์แบบให้บริการที่มีแอฟฟิลิเอตจำนวนมากและติดอันดับกลุ่มที่ประกาศชื่อเหยื่อมากที่สุดในโลกมาตลอดหลายไตรมาส การที่องค์กรไทยขึ้นเว็บทั้งจากกลุ่มหน้าใหม่และกลุ่มระดับแนวหน้าในช่วงเวลาเดียวกันสะท้อนว่าเป้าหมายในไทยกำลังอยู่ในความสนใจของทั้งสองระดับ

รายละเอียดข่าว

เว็บไซต์ Ransomware.live ซึ่งเฝ้าติดตามและจัดทำดัชนีข้อมูลที่กลุ่มแรนซัมแวร์เผยแพร่บนเว็บปล่อยข้อมูลของตนเอง บันทึกรายการเหยื่อสัญชาติไทยเพิ่มขึ้นสามรายในช่วงวันที่ 9 ถึง 10 สิงหาคม 2569 โดยเว็บดังกล่าวระบุชัดว่าตนเองทำหน้าที่จัดทำดัชนีเฉพาะข้อมูลที่ผู้โจมตีเผยแพร่ต่อสาธารณะเท่านั้น ไม่ได้เข้าถึงหรือครอบครองข้อมูลที่ถูกขโมยออกไปจริง

รายการแรกคือบริษัทสยามออยล์โปรดักส์ ซึ่งถูกบันทึกว่าถูกโจมตีเมื่อวันที่ 9 สิงหาคม 2569 เวลา 00:20 น. ตามเวลา UTC และถูกตรวจพบบนเว็บปล่อยข้อมูลของกลุ่ม Panzer ในเวลา 00:52 น. ของวันเดียวกัน ห่างกันเพียงราว 32 นาที ข้อมูลบริษัทที่ปรากฏระบุว่าเป็นผู้จัดจำหน่ายผลิตภัณฑ์ปิโตรเลียมและผลิตภัณฑ์อุตสาหกรรมในไทย ดำเนินกิจการมากว่า 20 ปี และมีพนักงานมากกว่า 700 คน จัดอยู่ในหมวดพลังงานและสาธารณูปโภค โดยยังไม่มีการเปิดเผยปริมาณข้อมูลที่อ้างว่าถูกดูดออกไปหรือรายละเอียดการเรียกค่าไถ่

รายการที่สองคือบริษัทพิธานพาณิชย์ ถูกกลุ่ม Qilin ประกาศชื่อในวันที่ 9 สิงหาคม 2569 เช่นกัน จัดอยู่ในหมวดการผลิต โดยเว็บอ้างอิงถึงโดเมน phithan-usedcar.com ข้อมูลประกอบที่มาจากฐานข้อมูลของ HudsonRock ระบุว่าตรวจพบผู้ใช้ที่ถูกมัลแวร์ขโมยข้อมูลเล่นงานไปแล้ว 1 ราย และพบจุดที่เปิดสู่ภายนอก 2 จุดที่เกี่ยวข้องกับองค์กรนี้ ซึ่งเป็นข้อมูลบ่งชี้ที่น่าสนใจแต่ยังไม่ใช่หลักฐานว่าเป็นเส้นทางที่ผู้โจมตีใช้จริง

รายการที่สามและเป็นรายที่ได้รับความสนใจมากที่สุดคือ The Minor Food Group ซึ่งถูกกลุ่ม Panzer ประกาศชื่อเมื่อวันที่ 10 สิงหาคม 2569 โดยผู้โจมตีอ้างว่าดูดข้อมูลออกไปได้ 340.8 กิกะไบต์ ข้อมูลองค์กรที่ปรากฏระบุว่า The Minor Food Group ก่อตั้งเมื่อปี 2523 เป็นเสาหลักด้านอาหารของบริษัทไมเนอร์ อินเตอร์เนชั่นแนล มีร้านสาขามากกว่า 2,600 แห่งใน 24 ประเทศ ครอบคลุมทั้งแบรนด์แฟรนไชส์อย่าง Burger King และ Dairy Queen และแบรนด์ของตนเองอย่าง The Pizza Company และ The Coffee Club

Ransomware.live ระบุกำกับไว้ในรายการของ The Minor Food Group ว่ากลุ่ม Panzer เป็นกลุ่มที่เพิ่งปรากฏตัว และเตือนว่าคำอ้างนี้ควรได้รับการปฏิบัติด้วยความระมัดระวังจนกว่าจะมีการยืนยันจากแหล่งอิสระ ซึ่งเป็นข้อควรระวังมาตรฐานสำหรับข้อมูลที่มาจากเว็บปล่อยข้อมูลของผู้โจมตี เพราะกลุ่มหน้าใหม่มีแรงจูงใจสูงที่จะขยายขนาดความเสียหายเกินจริงเพื่อสร้างชื่อ

ทั้งสามรายการยังไม่มีองค์กรใดออกมายืนยันหรือปฏิเสธต่อสาธารณะ และยังไม่มีการเผยแพร่ตัวอย่างข้อมูลที่ตรวจสอบได้ว่าเป็นข้อมูลจริงของแต่ละองค์กร ทำให้ขอบเขตความเสียหายที่แท้จริงยังประเมินไม่ได้ในขณะนี้

รู้จักกลุ่มผู้โจมตี — Panzer และ Qilin

Qilin หรือที่รู้จักในชื่อ Agenda เป็นกลุ่มแรนซัมแวร์ที่ดำเนินการในรูปแบบ ransomware-as-a-service คือพัฒนาเครื่องมือเข้ารหัสและโครงสร้างพื้นฐานสำหรับข่มขู่เรียกค่าไถ่ แล้วให้แอฟฟิลิเอตนำไปใช้โจมตีโดยแบ่งส่วนแบ่งค่าไถ่กัน โมเดลนี้ทำให้จำนวนเหยื่อของกลุ่มสูงมากและวิธีการเข้าถึงระบบหลากหลายไปตามความถนัดของแอฟฟิลิเอตแต่ละราย ตั้งแต่การใช้ข้อมูลรับรองที่ซื้อมาจากตลาดมืด การเจาะอุปกรณ์ VPN และไฟร์วอลล์ที่เปิดสู่อินเทอร์เน็ต ไปจนถึงการใช้ฟิชชิงเป็นทางเข้า

ส่วน Panzer เป็นชื่อที่เพิ่งปรากฏและยังไม่มีการวิเคราะห์เชิงเทคนิคจากผู้ให้บริการรายใหญ่ออกมา ทำให้ยังไม่ทราบว่ากลุ่มนี้เป็นกลุ่มตั้งใหม่จริง เป็นการรีแบรนด์ของกลุ่มเดิมที่ถูกกดดันจากหน่วยงานบังคับใช้กฎหมาย หรือเป็นแอฟฟิลิเอตที่แยกตัวออกมาตั้งแบรนด์ของตัวเอง ซึ่งเป็นรูปแบบที่พบบ่อยในระบบนิเวศแรนซัมแวร์ปัจจุบัน การที่กลุ่มนี้ประกาศชื่อองค์กรไทยสองรายภายในสองวันอาจสะท้อนว่าผู้ลงมือได้ช่องทางเข้าถึงมาเป็นชุดจากแหล่งเดียวกัน เช่น ข้อมูลรับรองที่ซื้อมาเป็นล็อตหรือช่องโหว่ในอุปกรณ์รุ่นเดียวกันที่หลายองค์กรใช้ร่วมกัน แต่ข้อสันนิษฐานนี้ยังไม่มีหลักฐานรองรับ

ข้อสังเกตที่มีน้ำหนักกว่าคือรายการของบริษัทพิธานพาณิชย์ที่มีข้อมูลว่าพบผู้ใช้ซึ่งถูกมัลแวร์ขโมยข้อมูลเล่นงาน ซึ่งเป็นรูปแบบที่พบซ้ำในเหตุแรนซัมแวร์จำนวนมาก คือผู้โจมตีไม่ได้เจาะเข้ามาเอง แต่ซื้อข้อมูลรับรองที่มัลแวร์กวาดมาจากเครื่องพนักงานแล้วเดินเข้าประตูหน้า

ผลกระทบต่อไทย

องค์กรทั้งสามรายอยู่คนละอุตสาหกรรมกันโดยสิ้นเชิง ทั้งพลังงาน การผลิต และธุรกิจอาหารค้าปลีก ซึ่งบ่งชี้ว่าการเลือกเป้าหมายไม่ได้อิงกับอุตสาหกรรมใดเป็นพิเศษ แต่เป็นการเลือกจากช่องทางที่เข้าถึงได้ ซึ่งหมายความว่าองค์กรไทยขนาดกลางถึงใหญ่ทุกประเภทอยู่ในกลุ่มเสี่ยงเท่ากันหมด

กรณีของ The Minor Food Group มีมิติที่กว้างกว่ารายอื่น เพราะเป็นเครือธุรกิจที่มีร้านสาขานับพันแห่งในหลายประเทศ หากข้อมูลปริมาณ 340.8 กิกะไบต์ตามที่ผู้โจมตีอ้างเป็นความจริง เนื้อหาที่อยู่ในนั้นอาจครอบคลุมทั้งข้อมูลพนักงาน ข้อมูลคู่ค้าและซัพพลายเออร์ สัญญาทางธุรกิจ และข้อมูลลูกค้าจากโปรแกรมสมาชิก ซึ่งแต่ละส่วนมีผลกระทบต่างกันและมีข้อผูกพันตามกฎหมายต่างกัน โดยเฉพาะส่วนที่เป็นข้อมูลส่วนบุคคลของลูกค้าและพนักงานที่อยู่ภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล

สำหรับบริษัทสยามออยล์โปรดักส์ซึ่งอยู่ในสายพลังงานและผลิตภัณฑ์อุตสาหกรรม ความเสี่ยงเพิ่มเติมคือข้อมูลคู่ค้าและใบสั่งซื้อที่อาจถูกนำไปใช้ปลอมแปลงเอกสารเพื่อหลอกให้โอนเงินผิดบัญชี ซึ่งเป็นการฉ้อโกงรูปแบบที่พบบ่อยหลังเหตุข้อมูลรั่วในภาคอุตสาหกรรม

ในภาพรวม การที่มีเหยื่อไทยขึ้นเว็บปล่อยข้อมูลถี่ขนาดนี้ในสัปดาห์เดียวกับที่ภาครัฐกำลังเร่งแก้ปัญหาข้อมูลรั่วของตัวเอง ชี้ให้เห็นว่าปัญหาไม่ได้จำกัดอยู่ที่หน่วยงานราชการ ภาคเอกชนไทยเผชิญแรงกดดันเดียวกันและมีจุดอ่อนแบบเดียวกัน คือข้อมูลรับรองการเข้าใช้งานที่หลุดออกไปและการเข้าถึงจากระยะไกลที่ไม่มีการยืนยันตัวตนหลายปัจจัย

คำแนะนำ

องค์กรที่ยังไม่ได้รับผลกระทบควรถือเหตุการณ์ชุดนี้เป็นสัญญาณให้ตรวจสอบจุดที่เปิดสู่อินเทอร์เน็ตทั้งหมดของตนโดยเร็ว ทั้ง VPN ไฟร์วอลล์ พอร์ต RDP และแผงจัดการระบบ แล้วบังคับใช้การยืนยันตัวตนหลายปัจจัยกับทุกช่องทางที่เข้าถึงจากภายนอกได้โดยไม่มีข้อยกเว้น เพราะเส้นทางเข้าที่พบซ้ำในเหตุแรนซัมแวร์ส่วนใหญ่คือการล็อกอินด้วยข้อมูลรับรองที่ถูกต้องแต่ไม่มีการยืนยันชั้นที่สอง

ควรตรวจสอบด้วยว่ามีข้อมูลรับรองของพนักงานหลุดอยู่ในตลาดมืดหรือไม่ ผ่านบริการเฝ้าระวังข้อมูลรั่วไหล และหากพบให้บังคับเปลี่ยนรหัสผ่านพร้อมยกเลิกเซสชันที่ยังเปิดค้างอยู่ทั้งหมด ควบคู่กับการตรวจสอบและล้างเครื่องปลายทางที่อาจติดมัลแวร์ขโมยข้อมูล เพราะการเปลี่ยนรหัสผ่านบนเครื่องที่ยังติดมัลแวร์เท่ากับส่งรหัสใหม่ให้ผู้โจมตีทันที

ด้านการกู้คืน ควรตรวจสอบว่าสำเนาสำรองข้อมูลมีชุดที่แยกออกจากเครือข่ายหลักและไม่สามารถลบหรือเข้ารหัสจากบัญชีในโดเมนได้ พร้อมทดสอบการกู้คืนจริงเป็นระยะ เพราะการข่มขู่ในปัจจุบันเน้นการขโมยข้อมูลไปเปิดเผยมากกว่าการเข้ารหัสอย่างเดียว การมีสำเนาสำรองจึงช่วยให้ธุรกิจเดินต่อได้แต่ไม่ได้ตัดความเสี่ยงเรื่องข้อมูลรั่ว จึงต้องมีแผนสื่อสารและแผนแจ้งเหตุตามกฎหมายเตรียมไว้ล่วงหน้าด้วย

สุดท้าย องค์กรที่ถูกประกาศชื่อควรตรวจสอบข้อเท็จจริงและสื่อสารกับผู้ที่อาจได้รับผลกระทบโดยเร็วที่สุดเท่าที่ข้อเท็จจริงชัดเจน เพราะการนิ่งเงียบมักทำให้คำอ้างของผู้โจมตีกลายเป็นเรื่องเล่าเพียงด้านเดียวที่สาธารณะรับรู้

แหล่งอ้างอิง