องค์กรไทย 10 รายขึ้นเว็บปล่อยข้อมูลแรนซัมแวร์ใน 18 วัน — 7 กลุ่มรุมพร้อมกัน รวมคำอ้างต่อ PTT OR

สรุปสั้น

ช่วงสามสัปดาห์ที่ผ่านมาเป็นหนึ่งในห้วงที่องค์กรไทยปรากฏบนเว็บปล่อยข้อมูลของกลุ่มแรนซัมแวร์ถี่ที่สุดของปี ข้อมูลจากเว็บติดตาม Ransomware.live ระบุว่าระหว่างวันที่ 16 สิงหาคม ถึง 2 กันยายน 2569 มีองค์กรในประเทศไทยถูกประกาศชื่อรวม 10 ราย โดยมาจากกลุ่มผู้โจมตีที่แตกต่างกันถึง 7 กลุ่ม ครอบคลุมทั้งภาคพลังงาน การผลิต ประกันภัย การศึกษา ร้านอาหาร และภาคบริการ ซึ่งสะท้อนว่าการเลือกเหยื่อไม่ได้เจาะจงอุตสาหกรรมใดเป็นพิเศษ แต่เป็นการกวาดตามโอกาสที่เปิดอยู่

รายการที่ถูกจับตามากที่สุดคือ PTT Oil and Retail Business ซึ่งกลุ่ม Direwolf ประกาศเมื่อวันที่ 2 กันยายน 2569 เวลา 16:54 UTC พร้อมระบุประเภทข้อมูลไว้สั้น ๆ ว่า “Chemicals” ถัดมาคือ orex.co.th ที่กลุ่ม Krybit อ้างเมื่อ 1 กันยายน และก่อนหน้านั้นวันที่ 30 สิงหาคม กลุ่ม The Gentlemen ประกาศพร้อมกันสองราย คือ SUNSEA และ Thai Film Industries PCL จุดที่ผิดปกติคือ SUNSEA เคยถูกกลุ่ม Krybit อ้างมาแล้วเมื่อวันที่ 19 สิงหาคม ทำให้องค์กรเดียวถูกสองกลุ่มอ้างสิทธิ์ห่างกันเพียง 11 วัน

ต้องย้ำไว้ตั้งแต่ต้นว่ารายการทั้งหมดนี้เป็นคำกล่าวอ้างฝ่ายเดียวของผู้โจมตีที่โพสต์บนเว็บปล่อยข้อมูลของตัวเอง ยังไม่มีองค์กรใดในรายชื่อออกมายืนยันหรือปฏิเสธต่อสาธารณะ และยังไม่มีรายงานการตรวจสอบอิสระที่ยืนยันขนาดหรือความถูกต้องของข้อมูลที่ถูกอ้าง การปรากฏชื่อบนเว็บปล่อยข้อมูลจึงบอกได้เพียงว่ากลุ่มใดอ้างสิทธิ์อะไร ไม่ได้แปลว่าองค์กรนั้นถูกเข้ารหัสระบบหรือข้อมูลรั่วจริงตามที่อ้าง

รายละเอียดข่าว

เว็บติดตามเหยื่อแรนซัมแวร์ Ransomware.live ซึ่งเฝ้าดูและบันทึกประกาศบนเว็บปล่อยข้อมูล (data leak site) ของกลุ่มแรนซัมแวร์ต่าง ๆ แสดงรายชื่อองค์กรไทยที่ถูกประกาศในช่วง 16 สิงหาคม ถึง 2 กันยายน 2569 ไว้ดังนี้

สำหรับรายการ PTT Oil and Retail Business นั้น ข้อมูลบนหน้าประกาศระบุวันที่ค้นพบเป็น 2 กันยายน 2569 เวลา 16:54 UTC และประเมินวันโจมตีเป็นวันเดียวกัน คำอธิบายข้อมูลที่กลุ่มโพสต์ไว้มีเพียงคำว่า “Chemicals” โดยไม่ได้ระบุขนาดข้อมูล จำนวนไฟล์ หรือกำหนดเส้นตายไว้ในข้อมูลที่เผยแพร่ ซึ่งเป็นรูปแบบที่พบได้บ่อยในประกาศระยะแรกที่กลุ่มยังอยู่ระหว่างกดดันให้เหยื่อเข้าเจรจา

ภาพนี้ยังสอดคล้องกับรายงานข่าวกรองรายสัปดาห์ของบริษัท CYFIRMA ฉบับวันที่ 4 กันยายน 2569 ที่ระบุว่าประเทศไทยอยู่ในกลุ่มเป้าหมายหลักของกลุ่ม Krybit ร่วมกับอินเดีย ฝรั่งเศส บราซิล และไต้หวัน ตลอดช่วงมกราคมถึงกันยายน 2569 และระบุตัวอย่างเหยื่อไทยเพิ่มอีกรายเป็นผู้ผลิตและจัดจำหน่ายผลิตภัณฑ์แผ่นเหล็ก ซึ่งก่อตั้งเมื่อปี 2545 ในรูปแบบบริษัทร่วมทุน โดยรายงานระบุว่าอยู่ระหว่างการเจรจากับผู้โจมตี รายงานฉบับเดียวกันยังชี้ว่ากลุ่ม The Gentlemen จัดไทยไว้ในกลุ่มประเทศที่มีเหยื่อมากที่สุดร่วมกับสหรัฐอเมริกา ฝรั่งเศส อินเดีย และอิตาลี นับตั้งแต่กลุ่มปรากฏตัวกลางปี 2568 และยังมีแรนซัมแวร์ชื่อ Fiasco ที่ระบุไทยเป็นหนึ่งในประเทศเป้าหมายด้วย

เมื่อมองภาพรวมทั้งฐานข้อมูล Ransomware.live บันทึกเหยื่อสัญชาติไทยไว้แล้วมากกว่า 200 รายนับตั้งแต่ต้นปี 2568 โดยกลุ่มที่มีเหยื่อไทยมากที่สุดคือ The Gentlemen รองลงมาคือ Qilin, LockBit5 และ Krybit ส่วนภาคส่วนที่ปรากฏบ่อยที่สุดคือการผลิต ตามด้วยค้าปลีกและอีคอมเมิร์ซ บริการวิชาชีพ ธุรกิจบริการ และหน่วยงานรัฐกับกลาโหม ตัวเลขรวมนี้อาจต่างกันเล็กน้อยตามช่วงเวลาที่ดึงข้อมูล เพราะระบบเก็บข้อมูลแบบต่อเนื่องและมีการเพิ่มรายการใหม่ตลอดเวลา

วิธีการโจมตีและกลุ่มที่อยู่เบื้องหลัง

Direwolf เป็นกลุ่มที่ควรถูกจับตามากที่สุดในรอบนี้ กลุ่มปรากฏตัวครั้งแรกเมื่อเดือนพฤษภาคม 2568 และสะสมเหยื่อบนเว็บปล่อยข้อมูลแล้ว 131 รายจากกว่า 13 ประเทศ รายงานของบริษัท LevelBlue ในทีม SpiderLabs ระบุว่าในช่วงที่วิเคราะห์ สหรัฐอเมริกาและไทยเป็นสองประเทศที่มีจำนวนการโจมตีสูงที่สุด ตามด้วยไต้หวัน โดยกลุ่มเน้นภาคการผลิตและเทคโนโลยีเป็นหลัก และบริหารงานแบบทีมแกนกลางขนาดเล็กมากกว่าจะเปิดรับพันธมิตร (affiliate) แบบกว้าง

ในเชิงเทคนิค มัลแวร์ของ Direwolf เขียนด้วยภาษา Golang และถูกบีบอัดด้วย UPX ใช้อัลกอริทึม Curve25519 ร่วมกับ ChaCha20 ในการเข้ารหัส และเติมนามสกุล .direwolf ให้ไฟล์ที่ถูกเข้ารหัส จุดที่ผู้ป้องกันควรสนใจเป็นพิเศษคือพฤติกรรมลบร่องรอย มัลแวร์สั่งปิดการบันทึกเหตุการณ์ของ Windows ด้วยการฆ่ากระบวนการ eventlog รันคำสั่ง delete shadows /all /quiet เพื่อลบ shadow copy ทั้งหมด และใช้ bcdedit ปิดฟังก์ชันการกู้คืนระบบ นอกจากนี้ยังหยุดบริการที่ระบุไว้ล่วงหน้า 75 รายการและกระบวนการอีก 59 รายการ ซึ่งรวมถึงซอฟต์แวร์ป้องกันไวรัส ก่อนเริ่มเข้ารหัส ตัวจดหมายเรียกค่าไถ่ฝังรหัสห้องเจรจาและข้อมูลเข้าสู่ระบบเฉพาะรายเหยื่อไว้ โดยมีเหยื่อรายหนึ่งถูกเรียกค่าไถ่ราว 500,000 ดอลลาร์สหรัฐฯ

Krybit เป็นกลุ่มหน้าใหม่ที่โผล่มาเมื่อเดือนมีนาคม 2569 ดำเนินการแบบ RaaS โดยแบ่งรายได้ให้พันธมิตร 80 เปอร์เซ็นต์ ตัวเข้ารหัสรองรับทั้ง Windows, Linux, VMware ESXi และอุปกรณ์ NAS ไฟล์ที่ถูกเข้ารหัสจะได้นามสกุล .KRYBIT และมีจดหมายเรียกค่าไถ่ชื่อ RECOVER-README.txt วางไว้ในไดเรกทอรีที่ได้รับผลกระทบ กลุ่มขโมยข้อมูลออกไปราว 10 ถึง 250 กิกะไบต์ก่อนเข้ารหัส แล้วเรียกค่าไถ่ระหว่าง 40,000 ถึง 100,000 ดอลลาร์สหรัฐฯ เครื่องมือตรวจจับหลายตัวจัดว่าโค้ดของ Krybit เป็นอนุพันธ์ของ Babuk ซึ่งซอร์สโค้ดหลุดสู่สาธารณะไปแล้ว เกร็ดที่น่าสนใจคือหลังเปิดตัวได้ไม่กี่สัปดาห์ กลุ่มคู่แข่งชื่อ 0APT เจาะแผงควบคุมหลังบ้านของ Krybit และพบว่าข้อมูลเข้าสู่ระบบของผู้ดูแลถูกเก็บเป็นข้อความธรรมดา ก่อนที่ Krybit จะยึดโครงสร้างพื้นฐานของ 0APT กลับคืนเป็นการตอบโต้

ส่วนกลุ่มที่เหลือในรายชื่อล้วนเคยปรากฏในข่าวไทยมาก่อน ทั้ง The Gentlemen ที่แตกสายมาจาก Qilin, Dysphor1a ที่เปิดตัวด้วยเหยื่อไทยสองรายในวันเดียวเมื่อ 20 สิงหาคม และ INC Ransom ขณะที่ MedusaLocker และ Majinahanashi เป็นสองชื่อที่ยังไม่เคยปรากฏในรายงานฝั่งไทยบ่อยนัก

กรณี SUNSEA ที่ถูกสองกลุ่มอ้างสิทธิ์ห่างกัน 11 วันเป็นรูปแบบที่พบได้เป็นระยะและอธิบายได้หลายทาง ทางหนึ่งคือกลุ่มหลังซื้อหรือได้รับข้อมูลชุดเดิมต่อมาแล้วนำมาโพสต์ซ้ำเพื่อกดดันรอบใหม่ อีกทางคือทั้งสองกลุ่มใช้ทางเข้าเดียวกันที่ยังไม่ถูกปิด และอีกทางคือกลุ่มใดกลุ่มหนึ่งอ้างสิทธิ์เกินจริงเพื่อสร้างชื่อ ข้อมูลที่เปิดเผยต่อสาธารณะยังไม่พอให้ชี้ชัดว่าเป็นกรณีใด

ผลกระทบต่อไทย

จำนวน 10 รายใน 18 วันจาก 7 กลุ่มไม่ใช่ปฏิบัติการที่ประสานกัน แต่คือสัญญาณว่าพื้นผิวการโจมตีขององค์กรไทยกำลังถูกกวาดจากหลายทิศทางพร้อมกัน สิ่งที่ควรกังวลกว่าจำนวนคือการที่ผู้เล่นหน้าใหม่อย่าง Krybit ซึ่งเพิ่งเปิดตัวเมื่อมีนาคม 2569 และ Dysphor1a ที่เพิ่งเปิดตัวเดือนสิงหาคม จัดไทยเป็นเป้าหมายหลักตั้งแต่ช่วงแรกของการดำเนินงาน กลุ่มหน้าใหม่มักเลือกเป้าที่เจาะได้ง่ายเพื่อสร้างเครดิตบนเว็บปล่อยข้อมูลให้เร็วที่สุด การที่ไทยติดอันดับต้น ๆ ของทั้ง Direwolf, Krybit และ The Gentlemen จึงเป็นตัวชี้วัดความยากง่ายมากกว่าความน่าสนใจของข้อมูล

รายการที่กระทบภาพรวมมากที่สุดคือคำอ้างต่อ PTT Oil and Retail Business เพราะเป็นผู้ประกอบการค้าปลีกน้ำมันและร้านค้าปลีกที่มีเครือข่ายสาขาครอบคลุมทั่วประเทศ และเข้าข่ายโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) ตามพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 ในหมวดพลังงานและสาธารณูปโภค หากคำอ้างเป็นจริง ขั้นตอนที่ตามมาไม่ใช่แค่การกู้ระบบ แต่รวมถึงการรายงานต่อหน่วยงานกำกับตามกรอบเวลาที่กำหนด ทั้งนี้ ณ เวลาที่เขียน ยังไม่มีคำแถลงจากบริษัทหรือหน่วยงานกำกับใด ๆ ต่อสาธารณะ และยังไม่มีการยืนยันอิสระว่าเกิดการบุกรุกจริง

อีกจุดที่องค์กรไทยควรอ่านให้ขาดคือกระจายตัวของภาคส่วน ในรอบนี้มีทั้งสถาบันวิจัยในมหาวิทยาลัย บริษัทประกัน โรงงานสายเคเบิล ผู้ผลิตฟิล์ม วิทยาลัยเอกชน และเชนร้านอาหาร ซึ่งหมายความว่าเกณฑ์คัดเลือกเหยื่อไม่ได้อยู่ที่มูลค่าข้อมูล แต่อยู่ที่ว่าใครเปิดช่องไว้ องค์กรขนาดกลางที่เชื่อว่าตัวเอง “ไม่น่าสนใจพอจะโดน” คือกลุ่มที่ปรากฏในรายชื่อนี้มากที่สุด

คำแนะนำ

ในระยะสั้น องค์กรที่ชื่ออยู่ในรายการหรือมีความเชื่อมโยงทางธุรกิจกับองค์กรเหล่านั้น ควรตรวจสอบย้อนหลังทันทีโดยไม่รอคำยืนยันจากผู้ถูกอ้าง โดยเน้นสามจุด คือ ช่วงเวลาที่ล็อกเงียบผิดปกติหรือบริการ eventlog ถูกหยุด การหายไปของ shadow copy โดยไม่มีเหตุผลจากงานบำรุงรักษา และการปรากฏของไฟล์นามสกุล .direwolf หรือ .KRYBIT รวมถึงจดหมายเรียกค่าไถ่ชื่อ RECOVER-README.txt บนไฟล์เซิร์ฟเวอร์และแชร์กลาง

ในเชิงโครงสร้าง สิ่งที่กลุ่มในรอบนี้มีร่วมกันคือการเล็งโฮสต์เวอร์ชวลไลเซชันและอุปกรณ์เก็บข้อมูล ไม่ใช่แค่เครื่องผู้ใช้ Krybit มีตัวเข้ารหัสสำหรับ VMware ESXi และ NAS โดยเฉพาะ ซึ่งแปลว่าการสำรองข้อมูลที่วางไว้บน NAS ในเครือข่ายเดียวกันกับระบบผลิตจะถูกเข้ารหัสไปพร้อมกัน องค์กรจึงควรยืนยันว่าสำเนาสำรองอย่างน้อยหนึ่งชุดอยู่นอกโดเมนและไม่สามารถเขียนทับได้ พร้อมทดสอบกู้คืนจริงตามรอบ ไม่ใช่แค่ตรวจว่างานสำรองรันสำเร็จ

การส่งล็อกออกนอกเครื่องแบบเรียลไทม์เป็นการควบคุมที่คุ้มที่สุดสำหรับภัยรูปแบบนี้ เพราะพฤติกรรมร่วมของทั้ง Direwolf และกลุ่มอื่นคือการทำลายหลักฐานบนเครื่องก่อนเข้ารหัส ถ้าล็อกยังอยู่แต่ในเครื่อง การสืบสวนหลังเหตุการณ์จะเริ่มจากศูนย์ นอกจากนี้ควรบังคับ MFA ที่ทนฟิชชิงกับทุกช่องทางที่เข้าถึงจากภายนอก โดยเฉพาะ VPN และคอนโซลบริหารเวอร์ชวลไลเซชัน และทบทวนบัญชีบริการที่มีสิทธิ์สูงซึ่งมักไม่ถูกครอบด้วย MFA

สุดท้าย องค์กรควรมีขั้นตอนรับมือเฉพาะสำหรับกรณี “ถูกประกาศชื่อบนเว็บปล่อยข้อมูล” แยกจากขั้นตอนรับมือการเข้ารหัสระบบ เพราะทั้งสองสถานการณ์ต่างกัน การถูกประกาศชื่ออาจเกิดขึ้นก่อนที่ทีมภายในจะรู้ตัว และอาจเกิดโดยที่ไม่มีการเข้ารหัสเลยก็ได้ สิ่งที่ต้องเตรียมไว้ล่วงหน้าคือใครเป็นผู้ตรวจสอบความจริงของคำอ้าง ใครสื่อสารกับลูกค้าและคู่ค้า และเกณฑ์ใดที่จะทำให้ยกระดับเป็นการแจ้งหน่วยงานกำกับ

แหล่งอ้างอิง

• Ransomware.live — Thailand victim map
• Ransomware.live — Victim: PTT Oil and Retail Business (direwolf)
• CYFIRMA — Weekly Intelligence Report, 04 Sep 2026
• LevelBlue SpiderLabs — Dire Wolf Strikes: New Ransomware Group Targeting Global Sectors
• Halcyon — KryBit threat group profile