สรุปสั้น

องค์กร Citizen Lab เผยผลการตรวจพิสูจน์หลักฐานร่วมกับมูลนิธิ SHARE ว่าไอโฟนของสมาชิกขบวนการประท้วงนักศึกษาในเซอร์เบียถูกฝังสปายแวร์ Pegasus ของบริษัท NSO Group โดยระบุว่า “การวิเคราะห์ของเรายืนยันว่ามีการใช้ช่องโหว่ zero-click ของ iMessage เพื่อฝังสปายแวร์ Pegasus ของ NSO Group ลงในเครื่อง เราพบตัวบ่งชี้การติดเชื้อที่มีความเชื่อมั่นสูงในช่วงเดือนธันวาคม 2568 ถึงมกราคม 2569 อย่างไรก็ตามสิ่งนี้ไม่ได้ตัดความเป็นไปได้ว่าจะมีการติดเชื้อเพิ่มเติมอีก”

จุดที่ต้องอ่านให้ละเอียดคือช่องโหว่ที่ถูกประเมินว่าถูกใช้ในการโจมตีนั้นเล็งไปที่ iMessage ของ Apple และ Apple ได้แก้ไขไปแล้วใน iOS 18.4.1 ซึ่งออกตั้งแต่เดือนเมษายน 2568 นั่นหมายความว่าช่วงเวลาที่พบร่องรอยการติดเชื้ออยู่หลังการออกแพตช์ไปแล้วหลายเดือน และสะท้อนว่าปัญหาในกรณีนี้ไม่ได้อยู่ที่การไม่มีแพตช์ แต่อยู่ที่เครื่องที่ยังไม่ได้อัปเดต

การเปิดเผยครั้งนี้เกิดขึ้นหลัง Apple ส่งการแจ้งเตือนภัยคุกคามชุดใหม่ไปยังลูกค้าที่บริษัทสงสัยว่าอาจตกเป็นเป้าของการโจมตีด้วยสปายแวร์เชิงพาณิชย์ โดยส่งไปยังผู้ใช้ใน 110 ประเทศ ส่วนในเซอร์เบียมูลนิธิ SHARE ยืนยันว่ามีผู้ถูกเล็งเป้าด้วยสปายแวร์ขั้นสูงอย่างน้อย 14 รายตั้งแต่ต้นปี 2569 ทั้งสมาชิกขบวนการนักศึกษา นักกิจกรรม สมาชิกรัฐสภา และสมาชิกสภาท้องถิ่นจากพรรคฝ่ายค้าน ซึ่งช่วงเวลาของเหตุการณ์ตรงกับการเลือกตั้งท้องถิ่นเมื่อวันที่ 29 มีนาคม 2569

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 3 กันยายน 2569 ว่า Citizen Lab ร่วมกับมูลนิธิ SHARE องค์กรด้านสิทธิดิจิทัลในเซอร์เบีย เผยแพร่ผลวิเคราะห์เครื่องของสมาชิกขบวนการนักศึกษาในเซอร์เบียที่ตรวจพบ Pegasus นอกจากกรณีไอโฟนแล้ว ยังมีนักศึกษาอีกรายที่โทรศัพท์ถูกฝังสปายแวร์แอนดรอยด์ NoviSpy เวอร์ชันใหม่หลังอุปกรณ์ถูกยึดไประหว่างการสอบปากคำของตำรวจ ซึ่งเป็นรูปแบบที่เคยถูกบันทึกในประเทศนี้มาก่อน มูลนิธิ SHARE ยังพบสปายแวร์สายพันธุ์เดียวกันบนเครื่องที่สอง หลังข้อความส่วนตัวใน Viber จากเครื่องนั้นถูกเปิดเผยสดทางสถานีโทรทัศน์ Informer TV ซึ่งเป็นสื่อที่สนับสนุนรัฐบาล จุดนี้ควรอ่านอย่างระมัดระวัง เพราะโยงข้อมูลที่ถูกดูดจากเครื่องเข้ากับการนำไปเผยแพร่ต่อสาธารณะ ซึ่งต่างจากการสอดแนมเพื่อเก็บข่าวกรองเพียงอย่างเดียว

ด้านนาย Donncha Ó Cearbhaill หัวหน้าห้องปฏิบัติการความปลอดภัยของ Amnesty International ระบุว่า “ผลการตรวจพิสูจน์หลักฐานโดย SHARE พิสูจน์ว่านักศึกษาเซอร์เบียยังคงถูกเล็งเป้าด้วยเครื่องมือสปายแวร์บนแอนดรอยด์ที่รุกล้ำความเป็นส่วนตัว ซึ่งถูกติดตั้งขณะที่พวกเขาถูกควบคุมตัวโดยเจ้าหน้าที่รัฐของเซอร์เบีย” และเสริมว่ากรณีล่าสุดในปี 2569 เผยสปายแวร์แอนดรอยด์ตัวใหม่ที่มีความสามารถคล้าย NoviSpy แต่ถูกสร้างใหม่โดยตั้งใจหลบการตรวจจับของผู้เชี่ยวชาญ เหตุการณ์ชุดนี้เป็นรายการล่าสุดของการใช้เทคโนโลยีเฝ้าระวังในทางที่ผิดในเซอร์เบีย ซึ่งรวมถึงการใช้เครื่องมือตรวจพิสูจน์หลักฐานของบริษัท Cellebrite ติดตั้ง NoviSpy ลงเครื่องเป้าหมายมาก่อน ข้อจำกัดของข้อมูล คือ รายงานไม่เปิดเผยชื่อผู้ตกเป็นเป้าหมาย ไม่ระบุจำนวนผู้ใช้ที่ได้รับแจ้งเตือนจาก Apple ในแต่ละประเทศ และไม่ระบุอย่างเป็นทางการว่าใครควบคุมสปายแวร์ แม้บริบทจะชี้ไปที่การใช้งานภายในประเทศ ทั้งนี้เว็บไซต์นี้เคยรายงานกรณีที่ Citizen Lab พบ Pegasus ในเครื่องของอดีตสมาชิกรัฐสภายุโรปไว้ในโพสต์ 2026/07/055

วิธีการโจมตี

การโจมตีแบบ zero-click คือการที่เป้าหมายไม่ต้องกดหรือทำอะไรเลย เพียงแค่ข้อความเดินทางมาถึงเครื่อง โค้ดของผู้โจมตีก็ทำงานได้แล้ว ในกรณีนี้ช่องทางคือ iMessage ซึ่งเป็นบริการที่รับข้อความจากภายนอกโดยอัตโนมัติและประมวลผลไฟล์แนบเพื่อแสดงตัวอย่างให้ผู้ใช้เห็น กระบวนการประมวลผลอัตโนมัตินั้นเองคือพื้นที่ที่ช่องโหว่ประเภทนี้ถูกใช้ประโยชน์

เมื่อโค้ดของผู้โจมตีทำงานสำเร็จ Pegasus จะถูกฝังลงเครื่องและเข้าถึงข้อมูลได้ในระดับที่การเข้ารหัสของแอปแต่ละตัวไม่ช่วยอะไร เพราะสปายแวร์อ่านข้อมูลที่ปลายทางหลังจากถูกถอดรหัสแล้ว ซึ่งอธิบายว่าเหตุใดข้อความบนแอปที่เข้ารหัสแบบต้นทางถึงปลายทางจึงยังหลุดออกไปได้

สำหรับฝั่งแอนดรอยด์ รูปแบบที่ถูกบันทึกไว้ต่างออกไปโดยสิ้นเชิง เพราะการติดตั้งเกิดขึ้นขณะที่อุปกรณ์อยู่ในมือของเจ้าหน้าที่ระหว่างการควบคุมตัว ซึ่งเป็นการเข้าถึงเครื่องทางกายภาพ ไม่ใช่การโจมตีระยะไกล และเป็นรูปแบบที่มาตรการป้องกันฝั่งเครือข่ายหรือการอัปเดตซอฟต์แวร์ไม่สามารถหยุดยั้งได้เลย

ผลกระทบ

กลุ่มที่ได้รับผลกระทบโดยตรงคือนักศึกษา นักกิจกรรม และนักการเมืองฝ่ายค้านในเซอร์เบีย ซึ่งเป็นกลุ่มที่มีความเสี่ยงสูงจากลักษณะของงานที่ทำ ความเสียหายในกรณีนี้ไม่ได้จบที่การถูกสอดแนม เพราะมีอย่างน้อยหนึ่งกรณีที่ข้อมูลส่วนตัวจากเครื่องที่ติดสปายแวร์ถูกนำไปเผยแพร่ทางโทรทัศน์ ซึ่งเปลี่ยนการเฝ้าระวังให้กลายเป็นเครื่องมือกดดันในพื้นที่สาธารณะ

ประเด็นเชิงเทคนิคที่ควรจดจำคือการติดเชื้อในกรณีนี้เกิดขึ้นหลังจากที่แพตช์ออกไปแล้วหลายเดือน จึงไม่ใช่สถานการณ์ที่เหยื่อไม่มีทางป้องกันตัว การอัปเดตระบบปฏิบัติการให้ทันจึงยังเป็นมาตรการที่มีผลจริงกับสปายแวร์เชิงพาณิชย์ แม้จะไม่ครอบคลุมกรณีที่ผู้โจมตีถือช่องโหว่ที่ยังไม่ถูกแก้อยู่ก็ตาม

อีกจุดที่ควรพิจารณาคือรูปแบบการติดตั้งสปายแวร์ผ่านการเข้าถึงเครื่องทางกายภาพขณะถูกควบคุมตัว ซึ่งเป็นความเสี่ยงคนละชนิดกับการโจมตีระยะไกล และหมายความว่าอุปกรณ์ที่เคยหลุดจากมือเจ้าของไปช่วงเวลาหนึ่งควรถูกปฏิบัติเสมือนว่าไม่น่าเชื่อถืออีกต่อไป โดยเฉพาะกับผู้ที่ทำงานด้านสิทธิ สื่อมวลชน หรือการเมือง

คำแนะนำ

ผู้ที่มีความเสี่ยงจากลักษณะงานหรือสถานะของตนเอง ควรอัปเดตระบบปฏิบัติการของอุปกรณ์ให้เป็นรุ่นล่าสุดเสมอ เพราะช่องโหว่ที่ถูกใช้ในกรณีนี้ได้รับการแก้ไขไปแล้วก่อนช่วงเวลาที่พบการติดเชื้อ

พิจารณาเปิดใช้งาน Lockdown Mode บน iOS ซึ่งลดพื้นที่การโจมตีด้วยการปิดฟีเจอร์ที่ประมวลผลเนื้อหาจากภายนอกโดยอัตโนมัติ ส่วนผู้ใช้แอนดรอยด์ที่มีความเสี่ยงสูงสามารถใช้ Advanced Protection Program ของ Google ซึ่งออกแบบมาสำหรับผู้ใช้ที่มีความโดดเด่นและถือข้อมูลอ่อนไหว

ผู้ใช้ WhatsApp สามารถเปิดฟีเจอร์ Strict Account Settings ที่บริษัทประกาศเมื่อต้นปีนี้ ซึ่งจะล็อกการตั้งค่าบางอย่างให้อยู่ในตัวเลือกที่เข้มงวดที่สุดโดยอัตโนมัติ พร้อมบล็อกไฟล์แนบและสื่อจากผู้ที่ไม่อยู่ในรายชื่อผู้ติดต่อ

หากได้รับการแจ้งเตือนภัยคุกคามจากผู้ให้บริการแพลตฟอร์ม ให้ถือเป็นเรื่องเร่งด่วนและติดต่อองค์กรที่ให้ความช่วยเหลือด้านความปลอดภัยดิจิทัลเพื่อขอตรวจพิสูจน์อุปกรณ์ แทนการรีเซ็ตเครื่องทันที เพราะการรีเซ็ตจะทำลายหลักฐานที่ใช้ยืนยันการติดเชื้อ

สำหรับผู้ที่อุปกรณ์เคยหลุดจากการควบคุมของตนเอง ให้ถือว่าเครื่องนั้นไม่น่าเชื่อถืออีกต่อไป และควรเปลี่ยนไปใช้เครื่องใหม่พร้อมเปลี่ยนรหัสผ่านของบัญชีสำคัญทั้งหมดจากอุปกรณ์ที่สะอาด

แหล่งอ้างอิง