สรุปสั้น
รัฐวิสาหกิจของแอฟริกาใต้ที่ให้บริการควบคุมการจราจรทางอากาศและปฏิบัติการด้านสภาพอากาศสำหรับน่านฟ้าราว 10 เปอร์เซ็นต์ของโลก พบมัลแวร์ที่เชื่อมโยงกับแรนซัมแวร์ในเครือข่ายเทคโนโลยีปฏิบัติการ (OT) ตามเอกสารสาธารณะที่เผยแพร่ในเดือนนี้ บริษัทชื่อ Air Traffic and Navigation Services หรือ ATNS เชื่อว่าทีมเทคนิคของตนหยุดการโจมตีได้แล้ว แต่ก็ออกประกาศขอใบเสนอราคา (RFQ) เพื่อหาบริษัทด้านนิติวิทยาศาสตร์ไซเบอร์มาสอบสวนเหตุการณ์ โดยยังมีการโจมตีครั้งที่สองซึ่งอาจเป็นการขโมยข้อมูลจากคนในที่ถูกรวมอยู่ในคำขอสอบสวนด้วย
ยังไม่ชัดว่าเหตุการณ์เกิดขึ้นเมื่อใด แต่ ATNS ร้องขอบริการนิติวิทยาศาสตร์ไซเบอร์ตั้งแต่วันที่ 18 กันยายน บริษัทระบุในคำขอว่าระบบเฝ้าระวังตรวจพบกิจกรรมน่าสงสัยภายในสภาพแวดล้อม OT ที่รองรับบริการด้านสภาพอากาศให้กับบริการจราจรทางอากาศ และการสอบสวนเบื้องต้นพบมัลแวร์ที่มักเกี่ยวข้องกับช่วงต้นของการโจมตีแรนซัมแวร์ นอกจากนี้ทีมเทคนิคยังพบร่องรอยบ่งชี้การส่งข้อมูลออกไปยังที่อยู่ไอพีภายนอกที่ตั้งอยู่ในประเทศจีน เหตุนี้ตอกย้ำความเสี่ยงที่เพิ่มขึ้นของโครงสร้างพื้นฐานการบินที่กลุ่มแรนซัมแวร์จ้องหาช่องโหว่ในภาคส่วนสำคัญนี้
รายละเอียดข่าว
เว็บไซต์ Dark Reading รายงานเมื่อวันที่ 30 กันยายน 2569 ว่า การโจมตีด้วยแรนซัมแวร์ที่พุ่งเป้าอุตสาหกรรมการบินในปี 2025 เพิ่มขึ้นหกเท่าจากปีก่อนหน้า ตามข้อมูลของบริษัทด้านการบินและกลาโหม Thales โดยบริษัทการบินรายงานการโจมตีแรนซัมแวร์ครั้งใหญ่ 27 ครั้งในช่วง 16 เดือนก่อนถึงเดือนเมษายน 2025 นาย Avinash Singh อาจารย์ภาควิชาวิทยาการคอมพิวเตอร์ มหาวิทยาลัยพริทอเรียในแอฟริกาใต้ ระบุว่าภูมิทัศน์ภัยคุกคามทั่วภูมิภาคกำลังเปลี่ยนไปพุ่งเป้าโครงสร้างพื้นฐานสำคัญอย่างรุนแรง เพราะผลกระทบมักปิดบังไม่ได้ เที่ยวบินที่ต้องหยุดบินและผู้โดยสารที่ตกค้างเป็นสิ่งที่ซ่อนไม่ได้
เหตุการณ์ไซเบอร์เกิดขึ้นที่สองสถานที่ซึ่งระบุด้วยรหัส IATA ได้แก่ เหตุ OT ที่สนามบิน Port Elizabeth ในแอฟริกาใต้ (FAPE) ส่วนเหตุขโมยข้อมูลจากคนในที่เป็นไปได้เกิดที่สนามบินนานาชาติ Maputo ในโมซัมบิก (FAMM) และยังมีสนามบิน East London ในแอฟริกาใต้ (FAEL) ที่อาจได้รับผลกระทบจากการเจาะ OT ด้วย แม้คำขอบริการจะระบุจุดนี้ไม่ชัดเจน บริษัทระบุว่าทีมเทคนิคภายในได้ดำเนินมาตรการจำกัดความเสียหายและกำจัดมัลแวร์แล้ว แต่ยังจำเป็นต้องมีการสอบสวนนิติวิทยาศาสตร์อย่างครอบคลุมเพื่อหาสาเหตุที่แท้จริง ขอบเขตการถูกเจาะ และความเสี่ยงที่ยังเหลืออยู่ โดย ATNS ไม่ตอบกลับ Dark Reading จนถึงเวลาเผยแพร่
ผู้เชี่ยวชาญระบุว่าการที่ผู้โจมตีนำ AI มาใช้น่าจะทำให้การโจมตีเพิ่มขึ้น เมื่อเดือนสิงหาคมมีการโจมตีแรนซัมแวร์อย่างน้อย 1,042 ครั้งพุ่งเป้าองค์กรทั่วโลก เกือบสองเท่าของเดือนเดียวกันในปี 2025 ตามข้อมูลของบริษัท Check Point Software Technologies นาย Hendrik de Bruin หัวหน้าที่ปรึกษาด้านความปลอดภัยประจำแอฟริกาของ Check Point ระบุว่าองค์กรในแอฟริกาใต้เผชิญการโจมตีเฉลี่ย 2,086 ครั้งต่อสัปดาห์ และตั้งแต่ต้นปี 2024 มีหน่วยงานรัฐและองค์กรสาธารณะอย่างน้อยแปดแห่งที่ยืนยันว่าถูกโจมตีไซเบอร์ และองค์กรด้านการบินก็กลายเป็นส่วนหนึ่งของรูปแบบนี้แล้ว
วิธีการโจมตี
ปัญหาสำคัญขององค์กรส่วนใหญ่ในภูมิภาคนี้คือเรื่องที่กระทบธุรกิจทั่วโลก นั่นคือการตรวจสอบตามเกณฑ์ปฏิบัติ (compliance) พิสูจน์ได้แค่ว่ามีมาตรการควบคุมอยู่บนกระดาษ แต่ผู้โจมตีทดสอบว่ามาตรการเหล่านั้นทำงานจริงหรือไม่ นาย de Bruin ยกตัวอย่างเหตุการณ์ที่ Check Point เพิ่งสอบสวนในองค์กรขนาดใหญ่ของประเทศเพื่อนบ้านแอฟริกาใต้ ซึ่งแนวป้องกันไซเบอร์ไม่ได้ถูกตั้งค่าอย่างถูกต้องด้วยซ้ำ โดยมีไฟร์วอลล์อยู่จริงแต่ไม่มีใครถามว่ามันถูกเปิดใช้งานและทำหน้าที่ของมันอยู่หรือไม่
นาย Singh เสริมว่าองค์กรในภูมิภาคยังต้องรายงานการโจมตีให้บ่อยขึ้นและละเอียดขึ้น แทนที่จะเงียบ ๆ แก้ไขเหตุการณ์เพื่อเลี่ยงความเสียหายต่อชื่อเสียง ผู้บริโภคที่ตื่นตระหนก หรือการตรวจสอบจากหน่วยกำกับดูแล แม้กฎหมายบางฉบับอย่าง Protection of Personal Information Act (PoPIA) จะกำหนดให้รายงานการรั่วไหลของข้อมูลส่วนบุคคล แต่มีการบังคับรายงานน้อยกว่าสำหรับเหตุการณ์ไซเบอร์เชิงปฏิบัติการล้วน ๆ ทำให้เกิดจุดบอดสำคัญในการติดตามการโจมตี เพราะโมเดลตั้งรับที่ขาดข้อมูลเฉพาะถิ่นจะต้องพึ่งข่าวกรองภัยคุกคามระดับโลกที่เอนไปทางข้อมูลซีกโลกเหนือ ซึ่งอาจไม่สะท้อนเทคนิคที่กลุ่มโจมตีในภูมิภาคนี้นิยมใช้
ผลกระทบต่อไทย
เหตุการณ์นี้มีมุมเทียบตรงกับไทย เพราะบริการควบคุมการจราจรทางอากาศของไทยดำเนินการโดยบริษัท วิทยุการบินแห่งประเทศไทย (บวท. หรือ AEROTHAI) ซึ่งเป็นรัฐวิสาหกิจที่มีบทบาทเดียวกับ ATNS ของแอฟริกาใต้ คือดูแลทั้งระบบควบคุมจราจรทางอากาศและระบบ OT ที่เกี่ยวข้องกับบริการเดินอากาศ ระบบเหล่านี้จัดเป็นโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) ภายใต้พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ของไทย ซึ่งหน่วยงานที่กำกับดูแลต้องมีมาตรการเฝ้าระวังและแจ้งเหตุตามกฎหมาย บทเรียนที่ชัดจากเหตุ ATNS คือการมีระบบเฝ้าระวังที่ตรวจจับกิจกรรมใน OT ได้ทันช่วงต้นของการโจมตีแรนซัมแวร์เป็นสิ่งที่ทำให้หยุดความเสียหายได้ และการแยกเครือข่าย OT ที่รองรับบริการสนับสนุน เช่น ระบบสภาพอากาศ ออกจากระบบเดินอากาศหลัก เป็นแนวทางที่หน่วยงานการบินและผู้ดูแล CII ของไทยควรทบทวนเช่นกัน
คำแนะนำ
หน่วยงานที่ดูแลโครงสร้างพื้นฐานสำคัญ โดยเฉพาะภาคการบินและระบบ OT ควรตรวจสอบว่ามาตรการควบคุมที่มีอยู่ทำงานได้จริง ไม่ใช่เพียงมีอยู่ตามเอกสาร เช่น ตรวจว่าไฟร์วอลล์ถูกเปิดใช้งานและทำหน้าที่จริง ควรแยกเครือข่าย OT ออกจากระบบไอทีทั่วไปและระบบสนับสนุน เพื่อจำกัดการเคลื่อนตัวด้านข้างของผู้โจมตี พร้อมติดตั้งระบบเฝ้าระวังที่ตรวจจับมัลแวร์ช่วงต้นของการโจมตีแรนซัมแวร์และการส่งข้อมูลออกไปยังปลายทางภายนอกที่น่าสงสัย องค์กรควรรายงานเหตุการณ์ไซเบอร์ให้หน่วยกำกับดูแลอย่างครบถ้วนและทันเวลา และควรเตรียมแผนรับมือพร้อมผู้ให้บริการนิติวิทยาศาสตร์ไซเบอร์ไว้ล่วงหน้า แทนที่จะเริ่มหาเมื่อเกิดเหตุแล้ว