สรุปสั้น

สหภาพยุโรปยืนยันว่าแฮ็กเกอร์ที่ได้รับการสนับสนุนจากรัฐกำลังฟิชชิงแบบเจาะจงตัวบุคคลใส่เจ้าหน้าที่ของรัฐผ่านแอปรับส่งข้อความยอดนิยม แทนที่จะใช้อีเมลแบบที่เคยเป็นมา เอกสารภายในที่เว็บไซต์ Politico ได้มาระบุว่าในปี 2569 รัฐบาลในกลุ่มอียูเผชิญ “เหตุการณ์ร้ายแรง” จากการฟิชชิงแบบเจาะจงบน WhatsApp และ Signal แล้ว 8 ครั้ง เหตุผลที่ผู้โจมตีย้ายสนามนั้นตรงไปตรงมา คือพนักงานส่วนใหญ่ถูกฝึกให้ระวังอีเมล แต่แอปแชตไม่ได้มีชื่อเสียงในทางเดียวกัน ยิ่งเป็นแอปที่เข้ารหัสจากต้นทางถึงปลายทางอย่าง WhatsApp และ Signal ก็ยิ่งมีภาพลักษณ์ของความปลอดภัยเคลือบอยู่ ทำให้ผู้รับเปิดและตอบข้อความด้วยความเร่งรีบและไม่ระแวง

จุดที่ควรเน้นคือเหตุการณ์เหล่านี้ไม่ได้ใช้ช่องโหว่ซอฟต์แวร์และไม่ได้ใช้มัลแวร์เลย แต่เป็นการหลอกลวงทางสังคมล้วน ๆ บางกรณีผู้โจมตีปลอมตัวเป็นทีมสนับสนุนอย่างเป็นทางการหรือแชตบอตของ Signal แล้วส่งคำเตือนความปลอดภัยเร่งด่วนที่ทำให้เป้าหมายกลัวว่าจะสูญเสียข้อมูล จนยอมบอกรหัส PIN ของบัญชีตัวเอง บางกรณีก็หาข้ออ้างอะไรก็ได้ที่ทำให้เป้าหมายยอมสแกน QR code โดยที่เหยื่อไม่รู้ว่า QR code เหล่านั้นคือการผูกอุปกรณ์ของผู้โจมตีเข้ากับบัญชีของตัวเอง

ผลลัพธ์ที่ตามมามีน้ำหนักทางการเมือง แคมเปญบน Signal ในเยอรมนีแม้จะไม่สามารถเจาะนายกรัฐมนตรี Friedrich Merz ได้ แต่เจาะนาง Julia Klöckner ประธานบุนเดสทาคสำเร็จ ต่อมาในต้นเดือนมีนาคม รัฐบาลเนเธอร์แลนด์รายงานว่าถูกโจมตีทั้งบน WhatsApp และ Signal โดยเป้าหมายครอบคลุมบุคคลสำคัญ ทหาร และข้าราชการพลเรือน ขณะที่คณะกรรมาธิการยุโรปสั่งให้เจ้าหน้าที่ระดับสูงกลุ่มหนึ่งเลิกใช้กลุ่ม Signal ที่ใช้อยู่ เพราะกลัวว่าจะถูกเจาะไปแล้ว ทั้งฝ่ายเนเธอร์แลนด์และเยอรมนีต่างระบุว่ารัสเซียเป็นผู้อยู่เบื้องหลังแคมเปญเหล่านี้

รายละเอียดข่าว

เว็บไซต์ Dark Reading รายงานเมื่อวันที่ 27 สิงหาคม 2569 ว่า สหภาพยุโรปยืนยันแล้วว่าแฮ็กเกอร์ที่รัฐหนุนหลังได้ทำการฟิชชิงแบบเจาะจงตัวบุคคลใส่เจ้าหน้าที่รัฐผ่านแอปรับส่งข้อความยอดนิยม แทนการใช้อีเมลเป็นช่องทางหลัก และรัฐบาลในกลุ่มอียูกำลังพยายามถอยห่างจากแอปแชตเชิงพาณิชย์เหล่านั้น

ลำดับเหตุการณ์เริ่มเป็นรูปเป็นร่างเมื่อวันที่ 6 กุมภาพันธ์ 2569 เมื่อหน่วยงานรัฐของเยอรมนีสองแห่งเผยแพร่ประกาศเตือนภัยความมั่นคงปลอดภัยร่วมกัน ระบุว่าผู้ก่อภัยคุกคามที่ “มีแนวโน้มว่าอยู่ภายใต้การควบคุมของรัฐ” กำลังใช้บริการรับส่งข้อความอย่าง Signal เล็งบุคคลระดับสูงในแวดวงการทหาร การทูต และการเมือง ทั้งในเยอรมนีเองและในยุโรปโดยรวม

เหตุการณ์ที่เกิดขึ้นไม่มีการใช้ช่องโหว่ซอฟต์แวร์หรือมัลแวร์แม้แต่กรณีเดียว มีเพียงการหลอกลวงทางสังคม โดยรูปแบบหนึ่งคือผู้โจมตีปลอมเป็นทีมสนับสนุนอย่างเป็นทางการหรือแชตบอตช่วยเหลือของ Signal แล้วติดต่อเป้าหมายด้วยคำเตือนความปลอดภัยเร่งด่วนที่ทำให้เชื่อว่ากำลังจะสูญเสียข้อมูล เพื่อกดดันให้บอกรหัส PIN ของบัญชี ส่วนอีกรูปแบบหนึ่งคือติดต่อเป้าหมายด้วยข้ออ้างใดก็ได้ที่ทำให้ยอมสแกน QR code ซึ่งแท้จริงแล้วคือการผูกอุปกรณ์ของผู้โจมตีเข้ากับบัญชีของเหยื่อ

แคมเปญบน Signal ในเยอรมนีประสบความสำเร็จมากกว่าที่คาด แม้ผู้โจมตีจะไม่สามารถเจาะนายกรัฐมนตรี Friedrich Merz ได้ แต่ก็เจาะนาง Julia Klöckner ประธานบุนเดสทาคได้สำเร็จ และในสัปดาห์และเดือนต่อ ๆ มา รัฐบาลอียูอีกหลายประเทศก็เริ่มตระหนักว่าตนเองตกเป็นเป้าเช่นกัน โดยในต้นเดือนมีนาคม รัฐบาลเนเธอร์แลนด์รายงานว่าการโจมตีที่พบครอบคลุมทั้ง WhatsApp และ Signal และเล็งบุคคลสำคัญ บุคลากรทางทหาร รวมถึงข้าราชการพลเรือน ช่วงเวลาไล่เลี่ยกัน คณะกรรมาธิการยุโรปยืนกรานให้เจ้าหน้าที่อาวุโสกลุ่มหนึ่งเลิกใช้กลุ่ม Signal ที่ใช้อยู่เพราะกังวลว่าอาจถูกเจาะ ต่อมาทั้งฝ่ายเนเธอร์แลนด์และเยอรมนีระบุตรงกันว่ารัสเซียเป็นผู้ก่อเหตุ

ในเดือนกรกฎาคม หน่วยงาน Joint Cyber Unit ของอียูยืนยันความรุนแรงของการโจมตีชุดนี้ในการนำเสนอต่อเจ้าหน้าที่รัฐบาลยุโรป ซึ่งเว็บไซต์ Politico ได้เอกสารดังกล่าวมาในภายหลัง เนื้อหาอ้างถึงการฟิชชิงแบบเจาะจง 8 ครั้งที่พุ่งเป้าไปที่เจ้าหน้าที่รัฐระดับสูง และเน้นย้ำว่าการยึดบัญชีของเจ้าหน้าที่ระดับสูงเป็นหนึ่งในภัยคุกคามที่ใหญ่ที่สุดต่อรัฐบาลในกลุ่มอียูในปี 2569

นาย Steven Adair ประธานบริษัท Volexity ให้ความเห็นว่าแนวโน้มการย้ายการสื่อสารออกจากอีเมลในการโจมตีแบบฟิชชิงเกิดขึ้นจริงอย่างชัดเจน “บางครั้งการติดต่อครั้งแรกมาทาง Signal, WhatsApp, Telegram, LINE ฯลฯ ที่เหลือเรามักเห็นอีเมลเป็นจุดเริ่มต้น พร้อมความพยายามย้ายการสื่อสารที่ตามมาไปยังแพลตฟอร์มอื่นเหล่านี้” เขาระบุว่าแนวโน้มนี้กำลังกลายเป็นเรื่องปกติในหมู่ผู้ก่อภัยคุกคามทั้งจากรัสเซีย จีน และอิหร่าน เพราะ “การย้ายไปช่องทางอื่นเหล่านี้มักทำให้การสื่อสารที่มีรายละเอียดจริง ๆ และเหยื่อล่อฟิชชิง หลุดพ้นสายตาของการเฝ้าระวังด้านความปลอดภัย ยิ่งไปกว่านั้น ช่องทางสื่อสารทางเลือกจำนวนมากยังอนุญาตให้ลบข้อความได้ ซึ่งเป็นสิ่งที่ทำกับอีเมลไม่ได้จริง ๆ”

เว็บไซต์นี้เคยรายงานเทคนิคฝั่งเดียวกันนี้ไว้แล้วในโพสต์ 08/132 ซึ่งหน่วยข่าวกรองภัยคุกคามของ Google เปิดเผยกลุ่มจารกรรมที่ต้องสงสัยว่ามาจากรัสเซียสามคลัสเตอร์ ที่ใช้กลไกยืนยันตัวตนอันถูกต้องตามระบบเป็นเครื่องมือ รวมถึงการหลอกให้เหยื่อเชื่อมบัญชี WhatsApp เข้ากับอุปกรณ์ของผู้โจมตี โดยเล็งนักวิชาการ นักการทูต และองค์กรวิจัยในยุโรปและสหรัฐฯ

วิธีการโจมตี

เทคนิคที่ใช้ในแคมเปญชุดนี้ไม่มีอะไรที่ต้องอาศัยช่องโหว่ในตัวแอปเลย ทั้งสองรูปแบบหลักอาศัยฟีเจอร์ที่ทำงานอย่างถูกต้องตามที่ออกแบบไว้ รูปแบบแรกคือการปลอมเป็นทีมสนับสนุนหรือแชตบอตของแพลตฟอร์มเอง แล้วสร้างสถานการณ์เร่งด่วนว่าบัญชีกำลังมีปัญหาและข้อมูลกำลังจะหาย เพื่อให้เป้าหมายบอกรหัส PIN ของบัญชีออกมา ซึ่งเป็นความลับที่แพลตฟอร์มไม่เคยขอผ่านแชตอยู่แล้ว

รูปแบบที่สองมีน้ำหนักกว่าเพราะไม่ต้องขอความลับใด ๆ เลย ผู้โจมตีเพียงหาข้ออ้างที่ทำให้เป้าหมายยอมสแกน QR code หนึ่งภาพ ซึ่งแท้จริงคือ QR code สำหรับผูกอุปกรณ์เสริมเข้ากับบัญชี เมื่อสแกนแล้ว อุปกรณ์ของผู้โจมตีจะกลายเป็นอุปกรณ์ที่ได้รับอนุญาตของบัญชีนั้น และเริ่มรับสำเนาข้อความที่เข้ารหัสได้ตามปกติ จุดที่ทำให้เทคนิคนี้อันตรายเป็นพิเศษคือการเข้ารหัสจากต้นทางถึงปลายทางยังทำงานถูกต้องทุกประการ เพียงแต่ปลายทางถูกเพิ่มเข้ามาอีกหนึ่งจุดโดยความยินยอมของเหยื่อเอง เครื่องมือตรวจจับที่มองหามัลแวร์หรือลิงก์อันตรายจึงไม่มีอะไรให้จับ

ปัจจัยเชิงโครงสร้างที่ทำให้แคมเปญเหล่านี้ได้ผลถูกชี้โดยนาย Collin Hogue-Spears ผู้อำนวยการอาวุโสฝ่ายบริหารโซลูชันของบริษัท Black Duck ว่า “สิ่งที่มีประโยชน์กว่าอยู่ใต้พาดหัว ไม่มีระบบกลางสำหรับแลกเปลี่ยนเอกสารที่อ่อนไหวและเอกสารชั้นความลับระหว่างสถาบันต่าง ๆ ของอียู และชุดเทคโนโลยีความปลอดภัยที่รองรับอยู่ข้างใต้ก็ต่างกันไป เมื่อไม่มีแพลตฟอร์มปลอดภัยร่วมกัน แอปแชตสำหรับผู้บริโภคก็ดูดซับงานราชการเข้าไปเรื่อย ๆ ซึ่งคือเงื่อนไขที่ทุกแคมเปญเหล่านี้ต้องพึ่งพา”

เขาเสริมว่าการปิดกลุ่มแชตทิ้งโดยไม่มีของมาแทนแทบไม่ช่วยอะไร “การเอาแอปออกจากกระบวนการทำงาน คือการเอาแอปออก ไม่ใช่การเอากระบวนการทำงานออก” พร้อมแนะให้ผู้บริหารความมั่นคงปลอดภัยของภาครัฐตั้งช่องทางที่ได้รับอนุมัติขึ้นมาก่อนจะถอนช่องทางเชิงพาณิชย์ออก เช่นการรันแอปแชตบนโพรโทคอล Matrix ที่โฮสต์เอง ผูกอัตลักษณ์เข้ากับไดเรกทอรีของหน่วยงาน และควบคุมการลงทะเบียนอุปกรณ์ผ่านระบบจัดการอุปกรณ์เคลื่อนที่ พร้อมประกาศกฎข้อเดียวควบคู่กันไปว่า Signal และ WhatsApp ใช้ได้แค่เรื่องนัดหมายประชุมเท่านั้น ห้ามเกินไปกว่านั้น

ทางออกที่รัฐบาลยุโรปเลือก และข้อจำกัดของมัน

หลายประเทศเดินไปในทิศทางนั้นอยู่แล้ว ไม่ว่าจะด้วยเหตุผลด้านความมั่นคงปลอดภัยหรืออธิปไตยทางข้อมูล โดยฝรั่งเศส เยอรมนี และเบลเยียมได้ทยอยเปิดใช้บริการรับส่งข้อความที่พัฒนาขึ้นเองภายในตามลำดับ ขณะที่ลักเซมเบิร์ก โปแลนด์ และเนเธอร์แลนด์กำลังเดินโครงการในลักษณะเดียวกันตามรายงานของเว็บไซต์ Politico

ในระดับนโยบาย คณะกรรมาธิการยุโรประบุไว้ในเอกสาร “Cyber Blueprint” ปี 2568 ว่าหน่วยงานของอียู “ควรตกลงกันภายในสิ้นปี 2569 เกี่ยวกับชุดโซลูชันการสื่อสารที่ปลอดภัยและทำงานร่วมกันได้สำหรับผู้เกี่ยวข้องในสหภาพ” โดยต้องครอบคลุมรูปแบบการสื่อสารครบทุกแบบ ทั้งเสียง ข้อมูล การประชุมทางวิดีโอ การรับส่งข้อความ การทำงานร่วมกัน และการแบ่งปันเอกสาร พร้อมสะท้อนหลักการเรื่องผลประโยชน์ด้านความมั่นคงของสหภาพ อธิปไตยทางเทคโนโลยี และการรักษาความลับ รวมถึงคุณสมบัติอย่างการใช้งานง่าย ความปลอดภัยตั้งแต่ขั้นออกแบบ การรับรองโดยองค์กรความมั่นคงปลอดภัยสารสนเทศของยุโรป การเข้ารหัสจากต้นทางถึงปลายทาง การยืนยันตัวตน ความพร้อมใช้งาน และวิทยาการเข้ารหัสลับที่ทนต่อคอมพิวเตอร์ควอนตัม

แต่แอปภายในไม่ใช่หลักประกัน กรณีที่เป็นบทเรียนชัดที่สุดคือแอป Tchap ของฝรั่งเศสซึ่งเปิดตัวตั้งแต่ปี 2562 และถูกบังคับใช้กับข้าราชการในปี 2568 จากนั้นในปี 2569 เมื่อการสื่อสารของรัฐบาลถูกรวบมาไว้ที่เดียวกันหมดแล้ว ที่แห่งนั้นก็ถูกเจาะ มีรายงานว่าการสื่อสารที่อ่อนไหวย้อนหลังสามปีระหว่างเจ้าหน้าที่รัฐ 73,000 คนรั่วไหลไปยังดาร์กเว็บทั้งหมด ซึ่งเป็นภาพสะท้อนที่ตรงข้ามกับข้อดีของการรวมศูนย์ เพราะเมื่อรวมทุกอย่างไว้ที่เดียว ความเสียหายจากการถูกเจาะครั้งเดียวก็รวมศูนย์ตามไปด้วย

ผลกระทบต่อไทย

สิ่งที่ควรอ่านจากข่าวนี้ไม่ใช่ชื่อแอปที่ถูกโจมตี แต่คือรูปแบบว่าเมื่อการสื่อสารราชการไหลไปอยู่บนแอปแชตสำหรับผู้บริโภค การเฝ้าระวังขององค์กรจะมองไม่เห็นทั้งเหยื่อล่อและบทสนทนาที่ตามมา ในบริบทของไทย แอปที่ทำหน้าที่นี้คือ LINE ซึ่งนาย Steven Adair เอ่ยชื่อไว้ในรายการช่องทางที่ผู้ก่อภัยคุกคามย้ายไปใช้ด้วย และในทางปฏิบัติ กลุ่ม LINE คือที่ที่งานประสานงานของหน่วยราชการ คณะทำงาน และผู้บริหารระดับสูงของไทยจำนวนมากเกิดขึ้นจริง ทั้งการส่งต่อไฟล์เอกสาร ภาพถ่ายหนังสือราชการ และการตัดสินใจที่ไม่เคยผ่านระบบสารบรรณเลย

ความเสี่ยงที่เทียบเคียงได้โดยตรงคือกลไกผูกอุปกรณ์เสริม เพราะ LINE ก็มีการล็อกอินข้ามอุปกรณ์เช่นเดียวกัน การยึดบัญชีผู้บริหารเพียงคนเดียวจึงเปิดทั้งกลุ่มงานให้ผู้โจมตีอ่านได้ต่อเนื่อง โดยไม่ต้องฝังมัลแวร์ในเครื่องใครเลย และการสวมรอยเป็นเจ้าตัวเพื่อสั่งงานผู้ใต้บังคับบัญชาหรือขอเอกสารเพิ่มก็ทำได้ทันทีในบริบทที่ทุกคนคุ้นเคยกับการสั่งงานผ่านแชตอยู่แล้ว

บทเรียนเชิงนโยบายจากฝั่งอียูที่ใช้ได้ทันทีมีสองข้อ ข้อแรกคือการสั่งห้ามใช้แอปใดแอปหนึ่งโดยไม่มีช่องทางที่ได้รับอนุมัติมารองรับ จะได้ผลแค่ทำให้งานย้ายไปแอปถัดไปเท่านั้น ข้อสองคือกรณี Tchap แสดงให้เห็นว่าการสร้างแพลตฟอร์มกลางของรัฐเองไม่ได้ลดความเสี่ยงโดยอัตโนมัติ แต่เปลี่ยนรูปความเสี่ยงเป็นการรวมศูนย์ ซึ่งต้องมาพร้อมการควบคุมการลงทะเบียนอุปกรณ์ การผูกอัตลักษณ์กับไดเรกทอรีของหน่วยงาน และการกำหนดอายุการเก็บข้อความ ไม่ใช่แค่การย้ายที่เก็บ

ข้อจำกัดของข้อมูลที่ต้องระบุไว้คือ ตัวเลข 8 เหตุการณ์มาจากเอกสารภายในที่สื่อได้มา ไม่ใช่การเปิดเผยอย่างเป็นทางการ รายละเอียดของแต่ละเหตุการณ์ไม่ถูกเปิดเผย การชี้ว่ารัสเซียอยู่เบื้องหลังมาจากการระบุของรัฐบาลเนเธอร์แลนด์และเยอรมนีโดยไม่มีการเปิดเผยหลักฐานทางเทคนิคประกอบต่อสาธารณะ และรายงานการรั่วไหลของข้อมูลจากแอป Tchap เป็นการอ้างอิงตามรายงาน ยังไม่มีการยืนยันขอบเขตอย่างเป็นทางการในเนื้อข่าวต้นฉบับ

คำแนะนำ

  • ประกาศให้ชัดเจนภายในองค์กรว่าทีมสนับสนุนของแอปแชตไม่มีวันทักมาขอรหัส PIN หรือรหัสยืนยันตัวตนผ่านแชต และให้ถือว่าข้อความลักษณะนี้คือการฟิชชิงเสมอโดยไม่ต้องพิจารณาเนื้อหา
  • ตรวจสอบรายการอุปกรณ์ที่ผูกกับบัญชีแอปแชตของผู้บริหารและเจ้าหน้าที่ที่มีความอ่อนไหวเป็นประจำ และถอดอุปกรณ์ที่ไม่รู้จักออกทันที เพราะนี่คือร่องรอยเดียวที่การโจมตีด้วย QR code ทิ้งไว้
  • ห้ามสแกน QR code ที่ได้รับผ่านแชต อีเมล หรือจากคนที่อ้างว่าเป็นฝ่ายสนับสนุน โดยเฉพาะเมื่อมีการเร่งรัดด้านเวลาเข้ามาประกอบ
  • เปิดใช้รหัส PIN หรือรหัสล็อกการลงทะเบียนของบัญชีแอปแชต และตั้งค่าการแจ้งเตือนเมื่อมีอุปกรณ์ใหม่เข้ามาผูกกับบัญชี
  • กำหนดขอบเขตการใช้งานเป็นลายลักษณ์อักษรว่าเรื่องใดคุยผ่านแอปแชตเชิงพาณิชย์ได้และเรื่องใดต้องอยู่ในช่องทางที่องค์กรรับรอง แล้วจัดหาช่องทางที่รับรองนั้นให้พร้อมใช้ก่อนบังคับใช้กฎ
  • สำหรับหน่วยงานที่พิจารณาสร้างแพลตฟอร์มสื่อสารของตัวเอง ให้วางแผนควบคุมการลงทะเบียนอุปกรณ์ การผูกอัตลักษณ์กับไดเรกทอรีขององค์กร และนโยบายอายุการเก็บข้อความไปพร้อมกันตั้งแต่ต้น แทนการย้ายข้อมูลทั้งหมดไปกองไว้ที่เดียวโดยไม่มีมาตรการรองรับ

แหล่งอ้างอิง