สรุปสั้น

รัฐบาลสหรัฐฯ ออกประกาศเตือนร่วมถึงสิ่งที่เรียกว่า “ภัยคุกคามที่กำลังดำเนินอยู่” ต่อองค์กรโครงสร้างพื้นฐานสำคัญภายในประเทศ โดยผู้โจมตีใช้สคริปต์สำหรับเจาะระบบที่สร้างขึ้นด้วยปัญญาประดิษฐ์ พุ่งเป้าไปที่ตัวควบคุมตรรกะแบบโปรแกรมได้หรือ PLC ตระกูล Siemens S7 เพื่อสำรวจเป้าหมายและพัฒนาขีดความสามารถในการโจมตี ประกาศฉบับนี้เป็นผลงานร่วมของหน่วยงานถึงห้าแห่ง ได้แก่ สำนักงานความมั่นคงแห่งชาติ (NSA), หน่วยงานความมั่นคงไซเบอร์และโครงสร้างพื้นฐาน (CISA), สำนักงานสอบสวนกลาง (FBI), กระทรวงพลังงาน (DOE) และสำนักงานปกป้องสิ่งแวดล้อม (EPA) และระบุชัดว่าพฤติกรรมการเล็ง PLC ที่พบนั้นกว้างกว่าอุปกรณ์ของ Siemens เพียงยี่ห้อเดียว

วิธีหาเป้าหมายของผู้โจมตีไม่ซับซ้อน คือใช้บริการสแกนอินเทอร์เน็ตที่เปิดให้บริการทั่วไปอย่าง Censys และ ZoomEye ค้นหา PLC ที่เปิดออกสู่อินเทอร์เน็ตโดยตรง ใช้ซอฟต์แวร์เวอร์ชันเก่า หรือมีการป้องกันที่หละหลวม เครื่องมือที่ตรวจพบเป็นสคริปต์ Python ที่เขียนขึ้นเอง โดยดึงไลบรารีระบบอัตโนมัติอุตสาหกรรมแบบโอเพนซอร์สอย่าง snap7.dll หรือ python-snap7 เข้ามาใช้ ทำให้หน้าตาการทำงานกลมกลืนกับโปรแกรมเฝ้าระวังที่ถูกต้องตามปกติ ซึ่งอ่านและเขียนหน่วยความจำ ข้อมูลการตั้งค่า และโปรแกรมแลดเดอร์ลอจิกของ PLC ผ่านโปรโตคอล S7comm หน่วยงานทั้งห้าไม่ได้ระบุว่าพฤติกรรมนี้เป็นฝีมือของกลุ่มใดหรือประเทศใด และย้ำว่าสิ่งที่เปลี่ยนไปคือการนำ AI มาช่วยสร้างและปรับแก้สคริปต์โจมตีได้อย่างรวดเร็ว ซึ่งลดทั้งความรู้เชิงเทคนิคและเวลาที่ผู้โจมตีต้องใช้ลงอย่างมีนัยสำคัญ

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 20 สิงหาคม 2569 ว่ารัฐบาลสหรัฐฯ ได้ออกประกาศเตือนเมื่อวันพุธที่ 19 สิงหาคม 2569 ถึงภัยคุกคามที่กำลังดำเนินอยู่ต่อองค์กรโครงสร้างพื้นฐานสำคัญในประเทศ ซึ่งใช้สคริปต์เจาะระบบที่สร้างด้วยปัญญาประดิษฐ์ โดยกิจกรรมที่พบมุ่งไปที่ PLC ตระกูล Siemens S7 เพื่อการสำรวจและพัฒนาขีดความสามารถ และสคริปต์เหล่านั้นถูกอำพรางให้ดูเหมือนเครื่องมือเฝ้าระวังระบบตามปกติ

ประกาศระบุว่ากลุ่มอุตสาหกรรมที่ตกเป็นเป้าหมายครอบคลุมภาคการผลิตสำคัญ พลังงาน ระบบน้ำและน้ำเสีย เคมีภัณฑ์ อาหารและการเกษตร รวมถึงอาคารสถานที่เชิงพาณิชย์ ผลที่อาจตามมาจากการเจาะ PLC ที่ป้องกันไม่ดีไม่ได้จำกัดอยู่แค่ข้อมูลรั่ว แต่รวมถึงการหยุดชะงักของกระบวนการอุตสาหกรรม อุบัติเหตุด้านความปลอดภัย เวลาหยุดเดินเครื่องหรือความเสียหายของอุปกรณ์ และการละเมิดข้อกำหนดกำกับดูแล ไปจนถึงผลกระทบลูกโซ่ข้ามระบบที่เชื่อมต่อถึงกัน

critical infrastructure openclaw jwt cpu critical infrastructure the u generated exploit scripts target siemens s7 plcs

รุ่นของ PLC ที่ประกาศระบุว่าถูกเล็งเป็นการเฉพาะ ได้แก่ S7-200 ทุกรุ่นย่อยของซีพียู, S7-300 ทุกรุ่นย่อยรวมถึงรุ่น 314, 315 และ 317, S7-400 ทุกรุ่นย่อย, S7-1200 ในรุ่น CPU 1211C, 1212C, 1214C, 1215C และ 1217C รวมถึง S7-1500 ทุกรุ่นย่อย โดยนับรวมตัวควบคุมด้านความปลอดภัยตระกูล F-series เข้าไปด้วย

หน่วยงานทั้งห้าอธิบายว่าผู้โจมตีอาศัย AI ช่วยสร้างสคริปต์เจาะระบบจากข้อมูลที่หาได้ทั่วไปเกี่ยวกับ PLC ตระกูลนี้ เพื่อใช้ในการเข้าถึงระบบครั้งแรก การเข้าถึงข้อมูลล็อกอิน การทำให้ระบบหยุดให้บริการ และวัตถุประสงค์อื่น ๆ และเน้นว่าหาก PLC เหล่านั้นเปิดออกสู่อินเทอร์เน็ตหรือไม่ได้ถูกแบ่งแยกเครือข่ายอย่างเพียงพอ ผู้โจมตีก็สามารถใช้ช่องโหว่ที่รู้จักกันอยู่แล้วในระดับวิกฤตและระดับสูงกับอุปกรณ์เหล่านั้นได้ ข้อสรุปที่หน่วยงานเขียนไว้ตรง ๆ คือ การประกอบกันของช่องโหว่ที่รู้จักอยู่แล้ว ไลบรารีสำหรับเจาะระบบที่หาได้ง่าย และการพัฒนาที่มี AI ช่วย สร้างสถานการณ์โจมตีที่มีความน่าจะเป็นสูงต่อ PLC ที่ติดตั้งไว้โดยป้องกันไม่พอ

วิธีการโจมตี

ลำดับการทำงานที่ประกาศบรรยายไว้เริ่มจากการค้นหาเป้าหมายด้วยบริการสแกนอินเทอร์เน็ตเชิงพาณิชย์ ซึ่งเก็บดัชนีอุปกรณ์ที่ตอบสนองบนพอร์ตสาธารณะไว้อยู่แล้ว ผู้โจมตีจึงไม่ต้องสแกนเองให้เปลืองเวลาและเสี่ยงถูกตรวจจับ เพียงค้นด้วยลายเซ็นของ PLC ก็ได้รายชื่อเครื่องที่เปิดออกสู่อินเทอร์เน็ตพร้อมเวอร์ชันเฟิร์มแวร์มาคัดกรองต่อ

เครื่องมือที่ใช้ในขั้นถัดมาคือสคริปต์ Python ที่เขียนขึ้นเอง แต่จุดสำคัญคือมันไม่ได้ประดิษฐ์โปรโตคอลใหม่ หากเรียกใช้ไลบรารีระบบอัตโนมัติอุตสาหกรรมแบบโอเพนซอร์สที่มีอยู่แล้วอย่าง snap7.dll หรือ python-snap7 ซึ่งเป็นไลบรารีที่วิศวกรระบบควบคุมใช้งานกันเป็นปกติ ผลคือทราฟฟิกที่วิ่งเข้าหา PLC ผ่านโปรโตคอล S7comm มีหน้าตาเหมือนเครื่องมือเฝ้าระวังที่ถูกต้อง เพราะโดยเนื้อแท้แล้วมันใช้ไลบรารีตัวเดียวกัน สิ่งที่ไลบรารีนี้ทำได้คือการอ่านและเขียนหน่วยความจำของ PLC เข้าถึงข้อมูลการตั้งค่า และเข้าถึงโปรแกรมแลดเดอร์ลอจิก ซึ่งเป็นตรรกะที่กำหนดว่าเครื่องจักรในสายการผลิตจะทำงานอย่างไร

บทบาทของ AI ในเรื่องนี้ตามที่หน่วยงานอธิบายไม่ใช่การค้นพบช่องโหว่ใหม่ แต่คือการเร่งขั้นตอนเขียนและปรับแก้สคริปต์ให้เข้ากับเป้าหมายแต่ละราย จากข้อมูลทางเทคนิคที่เผยแพร่สาธารณะอยู่แล้ว การประเมินของหน่วยงานจึงเรียกสิ่งนี้ว่าเป็น “วิวัฒนาการ” ของขีดความสามารถเชิงรุก ที่ลดกำแพงความรู้เฉพาะทางด้านระบบควบคุมอุตสาหกรรมซึ่งเคยเป็นอุปสรรคสำคัญของผู้โจมตีหน้าใหม่ลงไป

ผลกระทบ

ประกาศฉบับนี้ต่อยอดจากคำเตือนชุดเดิมที่หน่วยงานสหรัฐฯ เคยออกเกี่ยวกับการเจาะ PLC ของ Siemens, Schneider และ Rockwell ตามที่รายงานไว้ในโพสต์ 07/234 แต่จุดที่ต่างออกไปคือรอบนี้ไม่ได้ชี้ไปที่กลุ่มผู้โจมตีรายใดรายหนึ่ง หากชี้ไปที่วิธีการซึ่งใครก็หยิบไปใช้ได้ องค์กรที่ควรอ่านประกาศนี้อย่างจริงจังจึงไม่ใช่เฉพาะรายที่คิดว่าตัวเองอยู่ในเรดาร์ของกลุ่มรัฐหนุนหลัง แต่รวมถึงโรงงานหรือการประปาขนาดกลางที่เคยเชื่อว่าตัวเองไม่มีอะไรน่าสนใจพอให้ใครลงแรงเจาะ เพราะเมื่อต้นทุนการเขียนสคริปต์โจมตีลดลง เกณฑ์ที่ว่าเป้าหมายไหน “คุ้มค่าที่จะโจมตี” ก็ลดลงตามไปด้วย เหตุการณ์ที่ระบบประปาในมินนิโซตากว่า 30 แห่งถูกถล่มพร้อมกันตามโพสต์ 07/311 และการที่รัฐนิวยอร์กต้องอัดฉีดงบเสริมเกราะไซเบอร์ให้ระบบน้ำ 153 แห่งในโพสต์ 08/025 คือภาพของแนวโน้มเดียวกัน

ในทางปฏิบัติ ความเสี่ยงที่หนักที่สุดไม่ใช่ข้อมูลรั่ว แต่คือการที่ผู้โจมตีเขียนค่าลงหน่วยความจำหรือแตะโปรแกรมแลดเดอร์ลอจิกของ PLC ได้ เพราะนั่นหมายถึงการเปลี่ยนพฤติกรรมของเครื่องจักรจริงในโลกกายภาพ ทั้งการสั่งหยุดกะทันหัน การทำให้ค่าที่แสดงบนหน้าจอผู้ควบคุมไม่ตรงกับสถานะจริง ไปจนถึงการรบกวนตัวควบคุมด้านความปลอดภัย ซึ่งเป็นชั้นสุดท้ายที่ควรทำงานได้แม้ระบบอื่นล้มเหลว

ข้อจำกัดของประกาศที่ต้องระบุไว้คือ ไม่มีการเปิดเผยตัวบ่งชี้การถูกบุกรุกที่นำไปใช้ตรวจจับได้ทันที ไม่ได้ระบุหมายเลขช่องโหว่ที่ถูกใช้จริง ไม่ได้บอกจำนวนองค์กรที่ถูกเจาะสำเร็จ และไม่ได้อธิบายว่าใช้หลักฐานอะไรสรุปว่าสคริปต์ที่พบ “สร้างด้วย AI” ซึ่งเป็นคำกล่าวอ้างที่พิสูจน์จากตัวโค้ดได้ยาก ผู้ดูแลระบบจึงยังต้องอ่านประกาศฉบับเต็มจากต้นทางเพื่อดูรายการมาตรการที่แนะนำ มากกว่าจะใช้ข่าวนี้จัดลำดับความสำคัญโดยตรง

เอเจนต์ AI กับการโจมตีที่เดินเองเกือบทั้งกระบวนการ

ประกาศเรื่อง PLC ออกมาในจังหวะเดียวกับที่มีรายงานอีกฉบับจากบริษัท Dream ของอิสราเอล ซึ่งวิเคราะห์การโจมตีหน่วยงานรัฐในเอเชียที่เดินเองเกือบตลอดกระบวนการด้วยกรอบการทำงานหลายเอเจนต์ โดยสำนักข่าว The Financial Times และ Reuters ระบุว่าเป้าหมายคือไต้หวัน ขณะที่กระทรวงกิจการดิจิทัลของไต้หวันแถลงว่าพบข้อบ่งชี้ชัดเจนว่าการโจมตีมาจากต่างประเทศ และเป็นการผสมปฏิบัติการแบบเดิมเข้ากับเอเจนต์ AI อย่าง OpenClaw รายละเอียดของเหตุการณ์นี้ ทั้งการปล่อยเอเจนต์ย่อยแปดตัวทำงานขนานกัน การแคร็กบัญชีเจ้าหน้าที่รัฐ 85 บัญชี และการดูดประวัติบุคลากรกว่า 2,564 รายการภายในราวสี่วัน ได้รายงานไว้แล้วในโพสต์ 08/080

จุดที่ควรอ่านสองเรื่องนี้ประกอบกันคือ ทั้งคู่ชี้ไปที่การเปลี่ยนแปลงเดียวกัน นั่นคือต้นทุนของการลงมือโจมตีอย่างมีคุณภาพกำลังลดลงอย่างรวดเร็ว ในขณะที่ต้นทุนของการตั้งรับยังเท่าเดิม สำหรับผู้อ่านในไทย เรื่องนี้ไม่ใช่เรื่องไกลตัว เพราะเอเจนต์ Hermes ซึ่งเป็นหนึ่งในองค์ประกอบของกรอบการทำงานที่ถูกใช้ในเหตุการณ์ที่ไต้หวัน เคยถูกพบว่าใช้เจาะเครือข่ายของกระทรวงการคลังของไทยมาแล้วตามที่รายงานไว้ในโพสต์ 07/262

คำแนะนำ

หน่วยงานผู้ออกประกาศเรียกร้องให้เจ้าของและผู้ดูแลระบบเทคโนโลยีเชิงปฏิบัติการที่ใช้ PLC ตระกูล Siemens S7 และยี่ห้ออื่น ทำสี่เรื่องเป็นอย่างน้อย คือปรับปรุงอุปกรณ์ให้อยู่ที่เวอร์ชันล่าสุด แยกอุปกรณ์ออกจากอินเทอร์เน็ตทุกกรณีที่ทำได้ ตั้งการควบคุมการเข้าถึงให้รัดกุม และติดตั้งเครื่องมือด้านความมั่นคงที่เฝ้าระวังสภาพแวดล้อมระบบควบคุมอุตสาหกรรมเพื่อจับพฤติกรรมผิดปกติ

ในทางปฏิบัติสำหรับทีมที่ดูแลระบบ OT ควรเริ่มจากการค้นหาว่าองค์กรมี PLC เครื่องใดตอบสนองจากอินเทอร์เน็ตอยู่บ้าง โดยใช้บริการสแกนตัวเดียวกับที่ผู้โจมตีใช้เป็นเครื่องมือตรวจสอบตัวเอง จากนั้นจึงปิดการเข้าถึงจากภายนอก บังคับให้ทุกการเชื่อมต่อผ่านช่องทางที่ยืนยันตัวตนได้ และเฝ้าดูทราฟฟิก S7comm ที่มาจากต้นทางซึ่งไม่ใช่สถานีวิศวกรรมที่ได้รับอนุญาต

เนื่องจากเครื่องมือของผู้โจมตีใช้ไลบรารีตัวเดียวกับที่วิศวกรใช้ การตรวจจับด้วยการดูว่า “ใช้ไลบรารีอะไร” จะไม่ได้ผล สิ่งที่ควรเฝ้าแทนคือบริบทของการเชื่อมต่อ ได้แก่ ต้นทาง ช่วงเวลา ความถี่ และประเภทของคำสั่งที่ส่ง โดยเฉพาะคำสั่งเขียนค่าลงหน่วยความจำหรือคำสั่งที่แตะโปรแกรมควบคุม ซึ่งควรเกิดขึ้นเฉพาะในหน้าต่างเวลาที่วางแผนไว้เท่านั้น

แหล่งอ้างอิง