สรุปสั้น
ระหว่างวันที่ 19 ถึง 20 สิงหาคม 2569 องค์กรที่จดทะเบียนในประเทศไทยถูกประกาศชื่อขึ้นเว็บปล่อยข้อมูลของกลุ่มแรนซัมแวร์เพิ่มอีกสี่รายภายในเวลาสองวัน โดยจุดที่ต่างจากรอบก่อน ๆ คือครั้งนี้มาจากกลุ่มที่เพิ่งเปิดตัววันแรกในชื่อ Dysphor1a ซึ่งเลือกประกาศชื่อเหยื่อไทยสองรายพร้อมกันเป็นการแนะนำตัว รายแรกคือ AYUDHYA TH Insurance ที่ระบุกำกับว่าเป็นบริษัทในเครือ Allianz ประเทศไทย จัดอยู่ในหมวดบริการทางการเงิน โดยผู้โจมตีอ้างว่าได้ข้อมูลจากระบบควบคุมงานประมวลผลแบบชุดที่ใช้กับธุรกรรมทางการเงินภายในองค์กร รายที่สองคือระบบ GLMS ของ GUSTO College ในหมวดการศึกษา ซึ่งเป็นระบบจัดการเรียนการสอนที่สร้างบนแพลตฟอร์ม Moodle โดยอ้างว่าได้บัญชีผู้ใช้ไป 273 บัญชี
อีกสองรายมาจากกลุ่มที่มีประวัติยาวกว่านั้น วันที่ 19 สิงหาคม กลุ่ม KryBit ประกาศชื่อบริษัทซันซี พลาสติก พี.เอส. ผู้ผลิตพลาสติกที่ก่อตั้งเมื่อปี 2531 ย่านบางนา ซึ่งนับเป็นเหยื่อไทยรายที่สี่ของกลุ่มนี้ในปีเดียว ต่อจากกรุงเทพมหานคร บริษัทสไมล์สยาม และบริษัท ช.การช่าง ส่วนวันเดียวกันนั้นกลุ่ม INC Ransom ประกาศชื่อบางกอกเคเบิ้ล ผู้ผลิตสายไฟฟ้าและสายเคเบิลรายใหญ่ของไทยที่ดำเนินกิจการมากว่า 50 ปี ซึ่งเป็นเรื่องผิดสังเกตในตัวเอง เพราะรายชื่อเหยื่อสะสมกว่า 900 รายของ INC Ransom กระจุกอยู่ในอเมริกาเหนือและยุโรปเกือบทั้งหมด และแทบไม่ปรากฏองค์กรไทยเลย
ต้องย้ำเช่นเดิมว่าทั้งสี่รายเป็นคำอ้างฝ่ายเดียวของผู้โจมตีที่ปรากฏบนเว็บปล่อยข้อมูล ซึ่งเป็นเครื่องมือกดดันให้เหยื่อเข้าเจรจา ไม่ใช่หลักฐานที่ผ่านการตรวจสอบ ณ เวลาที่รายงานนี้เผยแพร่ยังไม่มีองค์กรใดในสี่รายออกแถลงการณ์ต่อสาธารณะ และยังไม่มีการเผยแพร่ตัวอย่างข้อมูลที่ตรวจสอบได้ว่าเป็นของจริง โดยเฉพาะกรณีของ Dysphor1a ที่เป็นกลุ่มเปิดใหม่วันแรก ซึ่งมีแรงจูงใจสูงเป็นพิเศษที่จะขยายขนาดความเสียหายเกินจริงเพื่อสร้างชื่อ
รายละเอียดข่าว
เว็บไซต์ Ransomware.live ซึ่งเฝ้าติดตามและจัดทำดัชนีเฉพาะข้อมูลที่กลุ่มแรนซัมแวร์เผยแพร่บนเว็บปล่อยข้อมูลของตนเอง บันทึกรายการเหยื่อสัญชาติไทยเพิ่มขึ้นสี่รายในช่วงวันที่ 19 ถึง 20 สิงหาคม 2569 ทำให้ยอดสะสมของเหยื่อไทยที่ปรากฏบนเว็บลักษณะนี้ขยับขึ้นไปที่ราว 213 ราย โดยเว็บดังกล่าวระบุชัดเจนว่าตนเองไม่ได้เข้าถึงหรือครอบครองข้อมูลที่ถูกขโมยออกไปจริง ทำหน้าที่เพียงรวบรวมคำประกาศของผู้โจมตีเท่านั้น
รายการที่ได้รับความสนใจมากที่สุดคือ AYUDHYA TH Insurance ซึ่งถูกบันทึกว่าถูกโจมตีและถูกตรวจพบบนเว็บปล่อยข้อมูลในวันที่ 20 สิงหาคม 2569 วันเดียวกัน คำอธิบายที่ผู้โจมตีเขียนกำกับไว้ระบุว่าข้อมูลที่ได้มาจากระบบควบคุมงานประมวลผลแบบชุดที่ใช้ภายในสำหรับงานธุรกรรมทางการเงิน และที่น่ากังวลเป็นพิเศษคือผู้โจมตีแนบข้อมูลรับรองของบัญชีผู้ดูแลระบบตัวหนึ่งมาในคำประกาศด้วย โดยรหัสผ่านที่ปรากฏมีรูปแบบเป็นตัวอักษรสี่ตัวตามด้วยตัวเลขเรียงสี่หลัก ซึ่งเป็นรูปแบบที่เดาได้ในเวลาไม่กี่วินาทีและไม่ควรถูกใช้กับบัญชีระดับผู้ดูแลระบบในองค์กรใด ๆ อยู่แล้ว หากข้อมูลรับรองชุดนี้เป็นของจริง มันบอกอะไรได้มากกว่าตัวคำอ้าง เพราะสะท้อนถึงมาตรฐานการตั้งรหัสผ่านของระบบภายในที่ผู้โจมตีเข้าถึงได้
รายการที่สองของกลุ่มเดียวกันคือ GUSTO College GLMS ภายใต้โดเมน gusto-education.com ในหมวดการศึกษา ผู้โจมตีอ้างว่าได้บัญชีผู้ใช้จากระบบจัดการเรียนการสอนที่สร้างบนแพลตฟอร์ม Moodle ไปทั้งสิ้น 273 บัญชี พร้อมข้อมูลประกอบจากฐานข้อมูลของ HudsonRock ที่ระบุว่าพบข้อมูลรับรองของพนักงานบุคคลที่สาม 2 รายการ และพบจุดที่เปิดสู่ภายนอก 8 จุดที่เกี่ยวข้องกับองค์กรนี้ ระบบเรียนออนไลน์เป็นเป้าหมายที่ผู้โจมตีชอบเป็นพิเศษ เพราะเก็บข้อมูลส่วนบุคคลของผู้เรียนจำนวนมาก มักถูกดูแลด้วยงบประมาณและกำลังคนที่จำกัดกว่าระบบธุรกิจหลัก และผู้ใช้จำนวนมากตั้งรหัสผ่านซ้ำกับบริการอื่น
รายการที่สามคือ sunsea.co.th ของบริษัทซันซี พลาสติก พี.เอส. ธุรกิจครอบครัวที่ก่อตั้งเมื่อปี 2531 ตั้งอยู่ย่านบางนา กรุงเทพมหานคร ถูกกลุ่ม KryBit ประกาศชื่อเมื่อวันที่ 19 สิงหาคม 2569 โดยข้อมูลจาก HudsonRock ที่แสดงประกอบระบุว่าพบข้อมูลรับรองของพนักงานบุคคลที่สาม 2 รายการที่เกี่ยวข้องกับองค์กรนี้ ซึ่งเป็นข้อมูลบ่งชี้ที่น่าสนใจแต่ยังไม่ใช่หลักฐานว่าเป็นเส้นทางที่ผู้โจมตีใช้จริง
รายการที่สี่คือบางกอกเคเบิ้ล ถูกกลุ่ม INC Ransom ประกาศชื่อในวันที่ 19 สิงหาคม 2569 เวลา 13:55 น. ตามเวลา UTC จัดอยู่ในหมวดการผลิต ข้อมูลบริษัทที่ปรากฏระบุว่าเป็นผู้ผลิตสายไฟฟ้าและสายเคเบิลชั้นนำของไทยที่ดำเนินกิจการมากว่า 50 ปี มีกำลังการผลิตขนาดใหญ่และมีฐานลูกค้ากระจายทั่วประเทศ ยังไม่มีการเปิดเผยปริมาณข้อมูลที่อ้างว่าถูกดูดออกไปหรือรายละเอียดการเรียกค่าไถ่
รู้จักกลุ่มผู้โจมตีทั้งสามและสิ่งที่พฤติกรรมของแต่ละกลุ่มบอก
Dysphor1a เป็นชื่อที่เพิ่งปรากฏบนดัชนีเหยื่อในวันที่ 20 สิงหาคม 2569 นี่เอง และ ณ วันที่รายงานมีเหยื่อสะสมเพียงห้ารายใน 3 ประเทศ จุดที่ควรจับตาคือทั้งห้ารายอยู่ในเอเชียตะวันออกเฉียงใต้ทั้งหมด แบ่งเป็นไทย 2 ราย เมียนมา 2 ราย และอินโดนีเซีย 1 ราย โดยรายของเมียนมาคือเว็บหางาน Job Net และวิทยาลัย Strategy First International College ส่วนรายของอินโดนีเซียเป็นฐานข้อมูลตำรวจที่อ้างว่ามีข้อมูลเจ้าหน้าที่ราว 52,000 นายพร้อมข้อมูลติดต่อ การที่กลุ่มเปิดตัวด้วยเหยื่อที่กระจุกอยู่ในภูมิภาคเดียวแบบนี้ ไม่น่าจะเป็นความบังเอิญ และเป็นสัญญาณว่าผู้ลงมือน่าจะมีชุดช่องทางเข้าถึงองค์กรในภูมิภาคนี้อยู่ในมือก่อนแล้ว แล้วค่อยตั้งแบรนด์ขึ้นมาเพื่อประกาศผลงาน ไม่ใช่ตั้งกลุ่มก่อนแล้วค่อยไล่หาเหยื่อ ทั้งนี้ยังไม่มีการวิเคราะห์เชิงเทคนิคจากผู้ให้บริการรายใดออกมา จึงยังไม่ทราบว่าเป็นกลุ่มตั้งใหม่จริง เป็นการรีแบรนด์ของกลุ่มเดิม หรือเป็นแอฟฟิลิเอตที่แยกตัวออกมา
KryBit เป็นแรนซัมแวร์แบบให้บริการที่เปิดดำเนินการเมื่อปลายเดือนมีนาคม 2569 เสนอส่วนแบ่งให้แอฟฟิลิเอตในอัตรา 80 ต่อ 20 และรองรับการเข้ารหัสทั้งบน Windows, Linux, ESXi และอุปกรณ์ NAS ปัจจุบันมีเหยื่อสะสม 106 รายใน 43 ประเทศ โดยมีระยะห่างเฉลี่ยระหว่างวันที่โจมตีกับวันที่ประกาศชื่อเพียง 3.6 วัน กลุ่มนี้เคยเป็นข่าวจากการทะเลาะกับกลุ่มคู่แข่งชื่อ 0APT จนต่างฝ่ายต่างเจาะและปล่อยข้อมูลของผู้ดำเนินการอีกฝ่ายออกมา ซึ่งเป็นเหตุการณ์ที่ไทยเซิร์ตเคยรายงานไว้เมื่อเดือนเมษายน 2569 สิ่งที่ทำให้ KryBit เป็นภัยที่ควรอยู่ในสายตาขององค์กรไทยเป็นพิเศษคือความต่อเนื่อง เพราะในรอบไม่ถึงห้าเดือนกลุ่มนี้ประกาศชื่อองค์กรไทยไปแล้วสี่ราย ได้แก่ กรุงเทพมหานครเมื่อวันที่ 23 พฤษภาคม บริษัทสไมล์สยามเมื่อวันที่ 27 พฤษภาคม บริษัท ช.การช่าง เมื่อวันที่ 23 กรกฎาคม และซันซี พลาสติก เมื่อวันที่ 19 สิงหาคม กระจายตั้งแต่หน่วยงานปกครองท้องถิ่นขนาดใหญ่ที่สุดของประเทศ ไปจนถึงผู้รับเหมาก่อสร้างโครงสร้างพื้นฐานระดับชาติและโรงงานขนาดกลาง
รายการของกรุงเทพมหานครมีข้อมูลประกอบที่หนักกว่ารายอื่นอย่างชัดเจน โดยฐานข้อมูลของ HudsonRock ระบุว่าพบข้อมูลรับรองของพนักงานที่ถูกมัลแวร์ขโมยข้อมูลเล่นงานไปแล้ว 207 ราย ผู้ใช้ที่ถูกเล่นงาน 2,877 ราย ข้อมูลรับรองของพนักงานบุคคลที่สามอีก 77 รายการ และจุดที่เปิดสู่ภายนอก 128 จุด ตัวเลขชุดนี้ไม่ได้พิสูจน์ว่าผู้โจมตีเข้ามาทางไหน แต่บอกได้ว่าประตูที่เปิดทิ้งไว้มีจำนวนมากพอที่ผู้โจมตีไม่จำเป็นต้องใช้ช่องโหว่ใด ๆ เลยก็เดินเข้ามาได้
INC Ransom เป็นกลุ่มที่ต่างจากอีกสองกลุ่มโดยสิ้นเชิง เพราะดำเนินการมาตั้งแต่เดือนกรกฎาคม 2566 มีเหยื่อสะสม 915 รายใน 72 ประเทศ โดยกระจุกอยู่ที่สหรัฐอเมริกา 509 ราย แคนาดา 49 ราย เยอรมนี 40 ราย และสหราชอาณาจักร 37 ราย การที่องค์กรไทยโผล่ขึ้นมาในรายชื่อของกลุ่มนี้จึงเป็นเรื่องที่พบได้ยาก และมีอีกจุดหนึ่งที่ต่างกันอย่างมีนัยสำคัญคือระยะห่างเฉลี่ยระหว่างวันที่โจมตีจริงกับวันที่ประกาศชื่อของ INC Ransom อยู่ที่ราว 40.5 วัน ต่างจาก KryBit ที่ 3.6 วันอย่างสุดขั้ว แปลว่าหากรูปแบบเดิมยังเป็นจริง เหตุการณ์จริงในกรณีบางกอกเคเบิ้ลอาจเกิดขึ้นตั้งแต่ราวต้นเดือนกรกฎาคม ไม่ใช่วันที่ 19 สิงหาคมตามที่ปรากฏบนเว็บ ซึ่งเป็นช่วงเวลาที่ยาวพอให้ผู้โจมตีเคลื่อนไหวในเครือข่ายและดูดข้อมูลออกไปได้ในปริมาณมาก
จุดที่ต้องเชื่อมโยงกลับให้ชัดคือ INC Ransom เป็นกลุ่มที่เมื่อต้นเดือนสิงหาคมถูกระบุว่าเป็นผู้ใช้ประโยชน์จากช่องโหว่บนอุปกรณ์ SonicWall SMA1000 รายใหญ่ที่สุด ผ่านช่องโหว่ CVE-2026-15409 และ CVE-2026-15410 ตามที่รายงานไว้ในโพสต์ก่อนหน้าของเรา และอุปกรณ์เกตเวย์การเข้าถึงระยะไกลของ SonicWall เป็นอุปกรณ์ที่พบการใช้งานแพร่หลายในองค์กรขนาดกลางและภาคการผลิตของไทย เส้นทางนี้จึงไม่ใช่ข้อสันนิษฐานลอย ๆ แต่เป็นสมมติฐานที่มีน้ำหนักพอที่ทีมความมั่นคงปลอดภัยขององค์กรไทยควรใช้เป็นจุดตั้งต้นในการตรวจสอบระบบของตนเอง
ผลกระทบต่อไทย
ภาพรวมของสัปดาห์นี้ต่างจากรอบวันที่ 9 ถึง 10 สิงหาคมที่เราเคยรายงานไว้ในเชิงคุณภาพ ไม่ใช่แค่จำนวน รอบนั้นเป็นกลุ่มเดิมสองกลุ่มที่ประกาศชื่อองค์กรไทยสามรายในสองวัน แต่รอบนี้มีทั้งกลุ่มเปิดใหม่ที่เลือกไทยเป็นเป้าหมายชุดแรก กลุ่มที่ยิงไทยเป็นรอบที่สี่ในปีเดียว และกลุ่มระดับโลกที่ปกติไม่แตะภูมิภาคนี้ สามลักษณะนี้เกิดพร้อมกันในสองวันสะท้อนว่าองค์กรไทยกำลังปรากฏอยู่ในกระบวนการคัดเลือกเป้าหมายของผู้โจมตีหลายระดับพร้อมกัน ไม่ใช่การถูกสุ่มเจอเป็นครั้งคราวอีกต่อไป
สำหรับหน่วยงานที่อยู่ภายใต้พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ ประวัติของ KryBit เป็นสิ่งที่ต้องอ่านให้ตรง กลุ่มนี้ประกาศชื่อกรุงเทพมหานครซึ่งเป็นองค์กรปกครองส่วนท้องถิ่นที่ให้บริการประชาชนหลายล้านคน และประกาศชื่อ ช.การช่าง ซึ่งเป็นผู้รับเหมาโครงการโครงสร้างพื้นฐานขนาดใหญ่ของประเทศ ทั้งสองรายไม่ใช่เป้าหมายที่ได้มาโดยบังเอิญจากการสแกนหาเหยื่อทั่วไป และการที่กลุ่มเดียวกันกลับมาอีกในเดือนสิงหาคมแปลว่าไทยยังคงอยู่ในขอบเขตการทำงานของกลุ่มนี้อย่างต่อเนื่อง ไม่ใช่เหตุการณ์ที่จบไปแล้ว
กรณี AYUDHYA TH Insurance มีมิติทางกฎหมายที่ชัดที่สุดในสี่ราย เพราะเป็นธุรกิจประกันภัยที่ถือครองข้อมูลส่วนบุคคลที่อ่อนไหวของผู้เอาประกันจำนวนมาก ทั้งข้อมูลระบุตัวตน ข้อมูลการเงิน และข้อมูลการเรียกร้องค่าสินไหม หากคำอ้างเป็นความจริงและมีข้อมูลส่วนบุคคลของคนไทยรั่วออกไปจริง องค์กรมีหน้าที่ต้องประเมินและแจ้งเหตุตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล และมีหน้าที่แจ้งผู้ที่ได้รับผลกระทบเมื่อความเสี่ยงอยู่ในระดับสูง ส่วนกรณี GUSTO College ที่เป็นระบบเรียนออนไลน์ ความเสี่ยงหลักไม่ได้อยู่ที่ตัวเนื้อหาการเรียน แต่อยู่ที่รหัสผ่านของผู้เรียนที่มักถูกใช้ซ้ำกับอีเมลและบัญชีธนาคาร
ในด้านบทเรียนเชิงเทคนิค สิ่งที่สะดุดตาที่สุดของสัปดาห์นี้คือข้อมูลรับรองผู้ดูแลระบบรูปแบบง่ายที่ปรากฏในคำประกาศของ Dysphor1a และตัวเลขข้อมูลรับรองที่หลุดจากมัลแวร์ขโมยข้อมูลในรายการของกรุงเทพมหานคร ทั้งสองอย่างชี้ไปที่ปัญหาเดียวกัน คือผู้โจมตีที่เข้ามาถึงระบบภายในองค์กรไทยส่วนใหญ่ไม่ได้ใช้เทคนิคที่ซับซ้อน แต่ใช้บัญชีที่ถูกต้องซึ่งได้มาฟรีจากเครื่องพนักงานที่ติดมัลแวร์ หรือจากรหัสผ่านที่เดาได้
คำแนะนำ
สิ่งแรกที่ควรทำทันทีคือค้นหาว่ามีข้อมูลรับรองของพนักงานในองค์กรหลุดอยู่ในวงจรของมัลแวร์ขโมยข้อมูลหรือไม่ ผ่านบริการเฝ้าระวังข้อมูลรั่วไหลหรือฐานข้อมูลที่รวบรวมล็อกของมัลแวร์ประเภทนี้ หากพบให้บังคับเปลี่ยนรหัสผ่านพร้อมยกเลิกเซสชันที่ยังเปิดค้างอยู่ทุกช่องทาง และสำคัญที่สุดคือต้องล้างหรือสร้างเครื่องปลายทางที่ติดมัลแวร์ขึ้นใหม่ก่อน เพราะการเปลี่ยนรหัสผ่านบนเครื่องที่ยังติดมัลแวร์อยู่เท่ากับส่งรหัสใหม่ให้ผู้โจมตีทันที ควรขยายการตรวจสอบไปถึงบัญชีของผู้รับเหมาและคู่ค้าด้วย เพราะทั้งรายการของ GUSTO College และซันซี พลาสติก ต่างพบข้อมูลรับรองของพนักงานบุคคลที่สามหลุดออกมา
องค์กรที่ใช้อุปกรณ์เกตเวย์การเข้าถึงระยะไกลของ SonicWall โดยเฉพาะสาย SMA1000 ควรตรวจสอบสถานะแพตช์ของ CVE-2026-15409 และ CVE-2026-15410 เป็นลำดับต้น พร้อมย้อนดูบันทึกการเข้าใช้งานย้อนหลังอย่างน้อยหกสิบวัน เพราะระยะห่างเฉลี่ยระหว่างการโจมตีจริงกับการประกาศชื่อของ INC Ransom อยู่ที่ราวสี่สิบวัน การตรวจเฉพาะช่วงสัปดาห์ที่ผ่านมาจึงไม่พอ ควรมองหาการล็อกอินสำเร็จจากที่อยู่ไอพีต่างประเทศ การสร้างบัญชีใหม่บนอุปกรณ์ และการเปลี่ยนแปลงนโยบายการเข้าถึงที่ไม่มีใบคำขอรองรับ
ด้านการตั้งรหัสผ่าน กรณีของสัปดาห์นี้เป็นเหตุผลที่ดีพอที่จะเดินตรวจบัญชีบริการและบัญชีผู้ดูแลระบบทั้งหมดในองค์กรใหม่ทั้งหมด โดยเฉพาะบัญชีที่ผูกกับระบบประมวลผลแบบชุด ระบบโอนไฟล์อัตโนมัติ และระบบเชื่อมต่อระหว่างแอปพลิเคชัน ซึ่งมักเป็นบัญชีที่ตั้งรหัสผ่านง่ายไว้ตอนติดตั้งแล้วไม่มีใครกลับมาแตะอีกเลยเพราะกลัวระบบพัง บัญชีกลุ่มนี้ควรเปลี่ยนไปใช้รหัสผ่านที่สุ่มความยาวมาก เก็บในระบบจัดการความลับ และมีรอบหมุนเวียนที่ตรวจสอบได้
สำหรับสถาบันการศึกษาที่เปิดระบบเรียนออนไลน์บน Moodle หรือแพลตฟอร์มลักษณะเดียวกัน ควรบังคับใช้การยืนยันตัวตนหลายปัจจัยกับบัญชีผู้ดูแลระบบและบัญชีอาจารย์เป็นอย่างน้อย ปิดการลงทะเบียนด้วยตนเองที่ไม่จำเป็น อัปเดตปลั๊กอินให้เป็นเวอร์ชันปัจจุบัน และตรวจสอบว่าไม่มีการเปิดเผยฐานข้อมูลหรือหน้าจัดการระบบสู่อินเทอร์เน็ตโดยตรง
สุดท้าย องค์กรที่ถูกประกาศชื่อควรเร่งตรวจสอบข้อเท็จจริงและสื่อสารกับผู้ที่อาจได้รับผลกระทบให้เร็วที่สุดเท่าที่ข้อเท็จจริงชัดเจน เพราะเมื่อฝ่ายผู้เสียหายเงียบ คำอ้างของผู้โจมตีจะกลายเป็นเรื่องเล่าเพียงด้านเดียวที่สาธารณะรับรู้ และเมื่อถึงจุดที่ต้องออกมาชี้แจงภายหลัง ความน่าเชื่อถือที่เหลืออยู่จะน้อยกว่าการพูดตั้งแต่ต้นมาก