สรุปสั้น
บริษัท ReliaQuest ซึ่งเป็นผู้ให้บริการด้านความมั่นคงไซเบอร์ ออกมาเตือนเรื่อง “แคมเปญ ShinyHunters ที่แพร่หลาย” ซึ่งใช้โดเมนปลอมของบริษัทต่าง ๆ ผ่านโพสต์บนแพลตฟอร์ม X ที่ภายหลังถูกลบไป จากนั้นบัญชีที่เชื่อมโยงกับกลุ่ม ShinyHunters ตอบกลับด้วยข้อความว่า “ใครล่าใครกันแน่” พร้อมภาพหน้าจอที่ดูเหมือนเป็นบัญชี Okta ของพนักงาน ReliaQuest ที่ถูกเจาะ และเพิ่มชื่อบริษัทลงในเว็บไซต์ปล่อยข้อมูลรั่วไหลของกลุ่ม แม้รายการดังกล่าวจะมีเพียงภาพหน้าจอไม่กี่ภาพก็ตาม
ต่อมาในวันเดียวกัน ReliaQuest เปิดเผยว่าผู้ก่อภัยคุกคามหลอกพนักงานทางโทรศัพท์ได้สำเร็จจนพนักงานกรอกข้อมูลยืนยันตัวตนลงในหน้าลงชื่อเข้าใช้แบบรวมศูนย์ที่ปลอมขึ้น แต่บริษัทระบุว่าผู้โจมตีได้เพียงสิทธิ์อ่านอย่างเดียวบนพอร์ทัล SSO และความพยายามเข้าถึงแอปพลิเคชันหรือเคลื่อนที่ในแนวขวางถูกสกัดไว้ทั้งหมด คำถามที่ตามมาคือแล้วตกลง ReliaQuest ถูกเจาะจริงหรือไม่
นาย Rob Wright และนาย Alex Culafi บรรณาธิการของ Dark Reading อภิปรายเรื่องนี้ในรายการ “What We Missed” โดยชี้ว่ารูปแบบการโจมตีนี้เข้าลักษณะของ Lapsus$ ซึ่งเป็นส่วนหนึ่งของชื่อเต็มที่กลุ่มมักถูกเรียกว่า Shiny Lapsus$ Hunters นั่นคือการเจาะที่สร้างผลกระทบต่ำแล้วนำมาอวดอ้างต่อสาธารณะ ในตอนเดียวกันยังพูดถึงงานวิจัยใหม่ของ Unit 42 ที่ชี้ว่ามัลแวร์ที่สร้างด้วย AI ยังไม่ใช่ภัยคุกคามที่แพร่หลายจริง และการจับกุมผู้ต้องสงสัยสองรายที่ถูกกล่าวหาว่าเป็นสมาชิกกลุ่ม TeamPCP
รายละเอียดข่าว
เว็บไซต์ Dark Reading เผยแพร่รายการสนทนาเมื่อวันที่ 4 กันยายน 2569 โดยเริ่มจากกรณี ReliaQuest ซึ่ง Alex Culafi ให้ความเห็นว่าหากนับตามนิยามที่หลวมที่สุด การเข้าถึงผ่านพอร์ทัล Okta ก็ถือว่าเป็นการเจาะระบบ แต่ในทางปฏิบัติแล้วแทบไม่มีอะไรเกิดขึ้น และสิ่งที่น่าจะควรค่าแก่การชื่นชมคือการที่ผู้โจมตีได้ข้อมูลยืนยันตัวตนมา เข้าไปถึงจุดที่ไม่ควรเข้าถึงได้ในส่วนที่อ่อนไหวของเครือข่าย แล้วกลับทำอะไรไม่ได้เลย ซึ่งเขามองว่า “อาจเป็นหลักฐานว่าแนวคิด zero trust ทำงานได้จริง”
Rob Wright เสริมว่าปฏิกิริยาแรกของหลายฝ่ายต่อเรื่องนี้ค่อนข้างเกินจริง ขณะที่รายงานหลายชิ้นก็เขียนอย่างเป็นธรรมว่า ReliaQuest สกัดการขโมยข้อมูลได้และเป็นการโจมตีที่ล้มเหลว โดยชี้ว่าในรายงานหลังเหตุการณ์ที่บริษัทเขียนไว้อย่างละเอียดนั้นระบุชัดว่าบริษัทคาดหมายอยู่แล้วว่าพนักงานจะถูกฟิชชิงได้ เพราะฟิชชิงนั้นได้ผล แต่มาตรการควบคุมที่วางไว้ทำให้ผู้โจมตีได้เพียงสิทธิ์อ่านข้อมูลจำนวนจำกัดและไม่มีอะไรอ่อนไหว อีกทั้งเมื่อพยายามเคลื่อนที่ในแนวขวางก็ทำไม่ได้
ประเด็นที่บรรณาธิการทั้งสองย้ำคือความสำคัญของการให้บริบทประกอบข่าว เพราะการเจาะระบบแต่ละครั้งไม่ได้มีน้ำหนักเท่ากัน และคนที่อ่านเพียงพาดหัวอาจเข้าใจว่า ReliaQuest ถูกเจาะอย่างรุนแรง ทั้งที่ไม่ใช่ ทั้งนี้ ShinyHunters เป็นกลุ่มที่เว็บไซต์นี้เคยรายงานมาแล้วหลายครั้งในเหตุการณ์ที่มีข้อมูลรั่วไหลจริงในระดับล้านรายการ การประเมินความรุนแรงของแต่ละกรณีจากชื่อกลุ่มเพียงอย่างเดียวจึงไม่เพียงพอ
หัวข้อที่สองในรายการคืองานวิจัยของ Unit 42 ซึ่งเป็นหน่วยวิจัยภัยคุกคามของบริษัท Palo Alto Networks ว่าด้วยมัลแวร์ที่อาศัย AI ไม่ว่าจะเป็นโค้ดที่สร้างด้วย AI เหยื่อล่อที่ใช้ธีม AI หรือแนวคิดมัลแวร์แบบเอเจนต์ โดยทีมวิจัยวิเคราะห์ตัวอย่างมัลแวร์ 405 ตัวอย่างเท่าที่หาได้ แล้วพบว่ามีเพียง 12 ตัวอย่างที่ถูกพบบนอุปกรณ์ปลายทางที่ใช้งานจริงซึ่งป้องกันด้วย Cortex XDR ของบริษัท ส่วนอีก 97% ไม่เคยปรากฏในสภาพแวดล้อมจริงเลย แต่พบเฉพาะในแซนด์บ็อกซ์ บน VirusTotal หรือในคลังงานวิจัยเท่านั้น และที่สำคัญคือทั้ง 12 ตัวอย่างที่พบบนเครื่องใช้งานจริงล้วนถูกตรวจจับและสกัดได้ด้วยมาตรการควบคุมที่มีอยู่แล้ว โดยส่วนใหญ่เป็นแรนซัมแวร์ที่เขียนด้วยวิธีปล่อยให้ AI เขียนโค้ดตามคำสั่ง
Rob Wright เสริมว่าตัวอย่างที่พบส่วนใหญ่ดูเหมือนเป็นการทดลองเชิงวิจัยหรือของที่ผู้ก่อภัยคุกคามยังอยู่ในระยะเริ่มต้น หรือกระทั่งเป็นงานของนักวิชาการที่ทดลองเล่น ซึ่งนับเป็นข่าวดีเมื่อเทียบกับความกังวลว่า AI จะเปลี่ยนโฉมการพัฒนามัลแวร์และช่องโหว่ แต่ทั้งสองคนก็ระบุตรงกันว่าไม่ควรนิ่งนอนใจ เพราะโมเดลระดับแนวหน้าที่กำลังจะมาถึงอาจเปลี่ยนสมการนี้ไปอย่างมาก โดย Alex Culafi ชี้ว่างานวิจัยนี้ยังเป็นเครื่องเตือนใจเรื่องคอขวดที่ยังมีอยู่ในกระบวนการโจมตี เพราะการหาช่องโหว่แล้วรันมันได้ไม่ใช่ทั้งหมดของงาน ผู้โจมตียังต้องคงการฝังตัวไว้ให้ได้ ต้องแปลงเป็นเงิน และต้องไม่ถูกตรวจจับ ขณะที่ฝ่ายป้องกันก็เก่งขึ้นเรื่อย ๆ ซึ่งบังคับให้มัลแวร์และกระบวนการโจมตีต้องซับซ้อนขึ้นตาม
หัวข้อสุดท้ายคือการจับกุมผู้ต้องสงสัยสองรายที่ถูกกล่าวหาว่าเป็นสมาชิกกลุ่ม TeamPCP คือนาย Ruben Ian Thomson อายุ 21 ปี และนาย Lewis Michael Gaebler อายุ 23 ปี ซึ่งถูกจับในรัฐเวสเทิร์นออสเตรเลียแถบเมืองเพิร์ท โดย Thomson ถูกกล่าวหาว่าเป็นตัวตั้งตัวตีหลักของกลุ่ม ทั้งนี้เว็บไซต์นี้เคยรายงานการตั้งข้อหาคดีนี้ไว้แล้วในโพสต์ 2026/08/155 ประเด็นที่ยังไม่ชัดเจนคือความเชื่อมโยงกับเวิร์ม Shai-Hulud ซึ่ง Rob Wright ระบุว่ายังมีการถกเถียงกันว่าใครเป็นผู้สร้างเวิร์มดังกล่าวและ mini Shai-Hulud รวมถึงคำถามว่า TeamPCP มีตัวตนจริงในฐานะกลุ่มหรือไม่ โดยเขาเห็นว่ากลุ่มนี้เกี่ยวข้องกับการโจมตีห่วงโซ่อุปทานอย่างแน่นอน เพียงแต่การชี้ชัดว่ารับผิดชอบเหตุการณ์ใดบ้างยังต้องใช้เวลา
มุมมองที่ได้จากทั้งสามเรื่อง
สิ่งที่เชื่อมทั้งสามเรื่องเข้าด้วยกันคือช่องว่างระหว่างการรับรู้กับความเสียหายจริง ในกรณี ReliaQuest ผู้โจมตีได้ภาพหน้าจอมาโพสต์ท้าทาย ซึ่งสร้างผลทางชื่อเสียงได้ทันทีโดยไม่ต้องมีข้อมูลรั่วจริง และ Alex Culafi ชี้ว่านี่คือแบบแผนเดียวกับที่ Lapsus$ ใช้ตั้งแต่ราวปี 2565 ถึง 2566 คือขโมยซอร์สโค้ดบางส่วน เข้าไปในพอร์ทัลบางอย่าง จับภาพหน้าจอ แล้วนำมาโอ้อวด
ในกรณีของ Unit 42 ตัวเลขที่สะท้อนช่องว่างนี้ชัดที่สุดคือ 97% ของตัวอย่างมัลแวร์ที่เกี่ยวข้องกับ AI ไม่เคยปรากฏบนเครื่องใช้งานจริงเลย ซึ่งหมายความว่าปริมาณตัวอย่างที่พบในคลังวิจัยและบริการวิเคราะห์ไฟล์ไม่ใช่ตัวแทนของภัยคุกคามที่กำลังเกิดขึ้นจริงในองค์กร การอ่านสถิติมัลแวร์จากแหล่งเหล่านั้นโดยไม่แยกแยะจึงทำให้ประเมินสถานการณ์ผิดไปได้มาก
ข้อจำกัดของงานวิจัยชิ้นนี้ที่ควรระบุไว้คือขอบเขตการมองเห็นจำกัดอยู่ที่ตัวอย่างที่ Unit 42 หาได้และอุปกรณ์ปลายทางที่ป้องกันด้วยผลิตภัณฑ์ของบริษัทเอง จึงไม่ครอบคลุมมัลแวร์ที่สร้างด้วย AI ทั้งหมดที่มีอยู่ ส่วนกรณี ReliaQuest ข้อมูลเกือบทั้งหมดมาจากรายงานที่บริษัทเขียนเองในฐานะผู้เสียหาย และในกรณี TeamPCP ทุกอย่างยังอยู่ในชั้นข้อกล่าวหา
ผลกระทบ
สำหรับองค์กรทั่วไป บทเรียนที่ใช้ได้ทันทีจากกรณี ReliaQuest คือการยอมรับว่าพนักงานจะถูกหลอกได้ไม่ว่าจะฝึกอบรมดีแค่ไหน แล้วออกแบบมาตรการควบคุมโดยตั้งสมมติฐานนั้นเป็นค่าเริ่มต้น การที่ข้อมูลยืนยันตัวตนหลุดแล้วผู้โจมตีได้เพียงสิทธิ์อ่านบนพอร์ทัลเดียวโดยเข้าแอปพลิเคชันต่อไม่ได้และเคลื่อนที่ในแนวขวางไม่ได้ คือผลของการจำกัดสิทธิ์และการแบ่งส่วน ไม่ใช่ผลของการที่พนักงานไม่ถูกหลอก
ในเชิงการสื่อสาร กรณีนี้ยังชี้ว่าองค์กรที่เผยแพร่รายงานหลังเหตุการณ์อย่างละเอียดและรวดเร็วได้เปรียบในการควบคุมเรื่องเล่า เพราะเมื่อผู้โจมตีเลือกโพสต์ภาพหน้าจอเพื่อสร้างภาพว่าเจาะสำเร็จ สิ่งที่หักล้างได้คือรายละเอียดของสิ่งที่เกิดขึ้นจริงพร้อมขอบเขตที่ชัดเจน ไม่ใช่การปฏิเสธลอย ๆ หรือการเงียบ
สำหรับทีมที่ต้องประเมินความเสี่ยงจากมัลแวร์ที่สร้างด้วย AI ข้อสรุปของ Unit 42 ในตอนนี้คือมาตรการควบคุมที่มีอยู่แล้วในองค์กรที่มีวุฒิภาวะด้านความปลอดภัยยังใช้ได้ผล การลงทุนเร่งด่วนกับเครื่องมือเฉพาะทางเพื่อรับมือมัลแวร์ที่สร้างด้วย AI จึงยังไม่ใช่ลำดับความสำคัญสูงสุด เมื่อเทียบกับการปิดช่องพื้นฐานที่ยังเปิดอยู่ อย่างไรก็ตามสิ่งที่ AI ให้กับผู้โจมตีอย่างชัดเจนคือความสามารถในการทำซ้ำและปรับแก้ได้เร็ว ซึ่งเป็นสิ่งที่ควรเฝ้าดูต่อไป
คำแนะนำ
ควรตรวจสอบว่าบัญชีที่ผ่าน SSO ได้รับสิทธิ์กว้างเพียงใดหลังยืนยันตัวตนสำเร็จ และจำกัดให้แต่ละบัญชีเข้าถึงเฉพาะแอปพลิเคชันที่จำเป็นต่อหน้าที่ พร้อมกำหนดให้การเข้าถึงระบบที่อ่อนไหวต้องผ่านการยืนยันเพิ่มเติมที่ต้านการฟิชชิงได้ เช่น กุญแจความปลอดภัยแบบฮาร์ดแวร์ แทนรหัสผ่านครั้งเดียวที่ผู้โจมตีส่งต่อได้ทันที
ควรเตรียมกระบวนการรับมือการหลอกลวงทางโทรศัพท์โดยเฉพาะ เนื่องจากช่องทางนี้ยังได้ผลกับพนักงานที่ผ่านการอบรมมาแล้ว โดยกำหนดขั้นตอนยืนยันตัวตนของผู้โทรที่ไม่พึ่งข้อมูลที่หาได้จากภายนอกองค์กร และเปิดช่องทางให้พนักงานแจ้งเหตุที่สงสัยได้เร็วโดยไม่ต้องกลัวถูกตำหนิ
ทีมสื่อสารและทีมความมั่นคงควรตกลงล่วงหน้าว่าจะตอบสนองอย่างไรเมื่อกลุ่มผู้โจมตีอ้างว่าเจาะองค์กรสำเร็จบนโซเชียลมีเดียหรือเว็บไซต์ปล่อยข้อมูล โดยเตรียมแนวทางเปิดเผยข้อเท็จจริงที่ตรวจสอบได้อย่างรวดเร็ว ซึ่งกรณีนี้แสดงให้เห็นว่ารายงานหลังเหตุการณ์ที่มีรายละเอียดครบช่วยลดความเสียหายด้านชื่อเสียงได้จริง
ส่วนการประเมินภัยคุกคามจากมัลแวร์ที่เกี่ยวข้องกับ AI ควรแยกให้ชัดระหว่างตัวอย่างที่พบในคลังวิจัยหรือบริการวิเคราะห์ไฟล์กับตัวอย่างที่พบบนเครื่องใช้งานจริงในองค์กรของตนเอง และใช้ข้อมูลจากอุปกรณ์ปลายทางของตัวเองเป็นฐานในการตัดสินใจ มากกว่าตัวเลขรวมจากแหล่งภายนอก