สรุปสั้น
เช้าวันที่ 2 ตุลาคม 2569 บัญชีติดตามภัยคุกคามไซเบอร์ CyberPulse บนแพลตฟอร์ม X โพสต์แจ้งเตือน 2 เหตุการณ์ที่พุ่งเป้าไทยห่างกันเพียง 11 นาที เหตุแรกคือกลุ่มแฮ็กทิวิสต์ RipperSec อ้างว่าเจาะเข้าระบบ SCADA สำหรับจัดการเชื้อเพลิง (fuel management) ในไทยได้ โดยระบุชื่อเป้าหมายว่า “MyAIS 99” และอ้างว่าเป็นส่วนหนึ่งของปฏิบัติการ #OpPutusV2 ซึ่งกลุ่มยกประเด็นการเลือกปฏิบัติและความรุนแรงต่อชุมชนมลายูมุสลิมในจังหวัดชายแดนภาคใต้เป็นเหตุผล อีกเหตุคือหน้าเว็บไซต์โครงการความร่วมมืออาเซียนด้านพืช (ASEAN Cooperation on Crops) ซึ่งอยู่ภายใต้โดเมนของกรมวิชาการเกษตร ถูกเปลี่ยนหน้าเว็บ (defacement)
ทั้งสองเหตุการณ์ยังเป็นเพียง “คำอ้าง” ที่ยังไม่มีหน่วยงานใดยืนยัน CyberPulse เองระบุชัดว่าการเจาะ SCADA ตัวตนของเป้าหมาย ขอบเขตการเข้าถึง และผลกระทบ ยังไม่ได้รับการตรวจสอบอย่างเป็นอิสระ ส่วนชื่อ “MyAIS 99” ที่กลุ่มระบุก็ยังไม่สามารถยืนยันได้ว่าหมายถึงองค์กรใด ขณะที่หน้าเว็บกรมวิชาการเกษตรที่ถูกอ้างถึง เมื่อตรวจสอบภายหลังพบว่าเรียกดูไม่ได้แล้ว (ตอบกลับเป็น 404) ซึ่งสอดคล้องกับการที่ผู้ดูแลถอดหน้าที่ถูกแก้ไขออกไป
รายละเอียดข่าว
บัญชี CyberPulse (@CyberPulse56) บนแพลตฟอร์ม X รายงานเมื่อวันที่ 2 ตุลาคม 2569 เวลาประมาณ 09:05 และ 09:16 น. (ตามเวลาที่แสดงบนโพสต์) ว่าพบความเคลื่อนไหวของแฮ็กเกอร์ที่พุ่งเป้าไทย 2 รายการ รายการแรกเป็นการแจ้งเตือนเว็บไซต์ถูก deface ในหมวดหน่วยงานรัฐ/การเกษตร โดยระบุองค์กรเป็น “กรมวิชาการเกษตร – ASEAN Cooperation on Crops” และ URL ที่ได้รับผลกระทบคือหน้าย่อยหนึ่งของเว็บไซต์โครงการดังกล่าว (hxxps://org.doa[.]go[.]th/aseancrops/?page_id=3462 — defang แล้ว) แต่โพสต์ไม่ได้ระบุชื่อกลุ่มที่ลงมือ
รายการที่สองเป็นคำอ้างที่หนักกว่ามาก กลุ่ม RipperSec ประกาศว่าเจาะระบบ SCADA ที่ใช้ควบคุมและจัดการเชื้อเพลิงในไทยได้ โดยใช้ชื่อปฏิบัติการ #OpPutusV2 และให้เหตุผลเชิงการเมืองเรื่องการเลือกปฏิบัติและความรุนแรงที่ชุมชนมลายูมุสลิมในชายแดนใต้ได้รับ CyberPulse เสริมบริบทว่ามีรายงานอิสระที่บันทึกข้อกังวลด้านสิทธิมนุษยชนในพื้นที่ เช่น เหตุการณ์ตากใบ แต่ย้ำในท้ายโพสต์ว่าการเจาะระบบ SCADA การระบุเป้าหมาย ขอบเขตการเข้าถึง และผลกระทบ “ยังไม่ได้รับการตรวจสอบอย่างเป็นอิสระ”
RipperSec เป็นกลุ่มแฮ็กทิวิสต์ที่เชื่อว่าปฏิบัติการจากมาเลเซีย เริ่มเคลื่อนไหวราวเดือนมิถุนายน 2566 มีแนวคิดสนับสนุนปาเลสไตน์และต่อต้านอิสราเอลและอินเดีย ใช้เครื่องมือ DDoS ของตัวเองชื่อ MegaMedusa ที่ออกแบบมาเพื่อหลบการป้องกันอย่าง Cloudflare และ DDoS-Guard และเคยประกาศความร่วมมือกับกลุ่มแฮ็กทิวิสต์ฝ่ายรัสเซีย เช่น NoName057(16) รายงานของบริษัท Orange Cyberdefense ระบุว่าไทยอยู่ในรายชื่อประเทศเป้าหมายของกลุ่มนี้มาก่อนแล้ว
วิธีการโจมตี
โพสต์ของ CyberPulse ไม่ได้ให้รายละเอียดว่า RipperSec เข้าถึงระบบ SCADA ด้วยวิธีใด แต่จากโปรไฟล์ที่บริษัท Cyble รวบรวมไว้ กลุ่มนี้ใช้ทั้ง DDoS, การเปลี่ยนหน้าเว็บ, การขโมยข้อมูล และการใช้บัญชีผู้ใช้ที่ขโมยมาเพื่อเข้าถึงระบบต่อเนื่องเป็นเวลานานโดยไม่จำเป็นต้องติดตั้งมัลแวร์ ในภาพรวมของวงการแฮ็กทิวิสต์ คำอ้างลักษณะ “เจาะ SCADA” มักมาจากการเข้าถึงหน้าจอควบคุม (HMI) ที่เปิดออกสู่อินเทอร์เน็ตโดยตรง เช่น ผ่าน VNC หรือหน้าเว็บจัดการที่ไม่มีรหัสผ่านหรือใช้รหัสผ่านค่าเริ่มต้น แล้วถ่ายภาพหน้าจอมาเผยแพร่เป็นหลักฐาน ซึ่งหลายครั้งเป็นเพียงการเข้าดูหน้าจอโดยไม่ได้ควบคุมกระบวนการจริง แต่ก็มีบางกรณีที่สามารถเปลี่ยนค่าการทำงานได้จริง จึงไม่ควรประเมินต่ำ
ส่วนการ deface หน้าเว็บกรมวิชาการเกษตร เป้าหมายเป็นเว็บไซต์โครงการย่อยที่สร้างด้วย WordPress (สังเกตได้จากรูปแบบ URL ?page_id= และ ?p=) ซึ่งเป็นจุดอ่อนที่พบบ่อยในเว็บไซต์ราชการ เพราะเว็บโครงการลักษณะนี้มักถูกสร้างขึ้นตามงบประมาณโครงการ แล้วปล่อยทิ้งไว้โดยไม่มีผู้ดูแลอัปเดตแกนระบบ ธีม และปลั๊กอินเมื่อโครงการจบ ทำให้เป็นช่องทางที่ง่ายสำหรับแฮ็กทิวิสต์ที่ต้องการสร้างผลงานเชิงสัญลักษณ์
ผลกระทบต่อไทย
ทั้งสองเหตุการณ์พุ่งเป้าหน่วยงานและโครงสร้างพื้นฐานในไทยโดยตรง และใช้ประเด็นความขัดแย้งในจังหวัดชายแดนภาคใต้เป็นตัวขับเคลื่อน ซึ่งต่างจากแคมเปญแฮ็กทิวิสต์ไทย–กัมพูชาที่ผ่านมา การที่กลุ่มจากต่างประเทศหยิบประเด็นภายในของไทยมาเป็นเหตุผลในการโจมตี ทำให้คาดได้ว่าเหตุการณ์ที่เกี่ยวข้องกับชายแดนใต้ในอนาคตอาจกระตุ้นให้มีการโจมตีระลอกใหม่ตามมาได้
คำอ้างเรื่อง SCADA ระบบเชื้อเพลิงเป็นประเด็นที่ต้องให้น้ำหนัก แม้จะยังไม่ได้รับการยืนยัน เพราะระบบจัดการเชื้อเพลิงอยู่ในกลุ่มพลังงานซึ่งเป็นโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) ตาม พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 หากผู้ประกอบการรายใดพบว่าตรงกับคำอ้าง มีหน้าที่ต้องรายงานเหตุต่อหน่วยงานควบคุมหรือกำกับดูแลและ สกมช. ส่วนกรณีเว็บกรมวิชาการเกษตรแม้ไม่กระทบการให้บริการหลัก แต่สะท้อนปัญหาเว็บไซต์โครงการย่อยภายใต้โดเมน go.th ที่ไม่มีเจ้าของดูแลอย่างต่อเนื่อง
คำแนะนำ
ผู้ประกอบการด้านพลังงานและผู้ใช้ระบบ SCADA/ICS ควรตรวจสอบทันทีว่ามีหน้าจอควบคุม (HMI), บริการ VNC/RDP หรือหน้าเว็บจัดการอุปกรณ์ใดเปิดออกสู่อินเทอร์เน็ตหรือไม่ โดยใช้ผลจากเครื่องมือค้นหาอุปกรณ์อย่าง Shodan หรือ Censys ช่วยตรวจ ปิดการเข้าถึงจากภายนอกทั้งหมดหรือบังคับผ่าน VPN พร้อม MFA เปลี่ยนรหัสผ่านค่าเริ่มต้นของอุปกรณ์ แยกเครือข่าย OT ออกจาก IT และเฝ้าระวังการเปลี่ยนค่า setpoint ที่ผิดปกติ ส่วนหน่วยงานรัฐควรสำรวจเว็บไซต์โครงการย่อยทุกเว็บภายใต้โดเมนของตน อัปเดต WordPress ธีมและปลั๊กอินให้เป็นเวอร์ชันล่าสุด ปิดเว็บไซต์ที่โครงการสิ้นสุดแล้วแทนการปล่อยทิ้งไว้ เปิดใช้ WAF และตรวจหา web shell หรือบัญชีผู้ดูแลแปลกปลอมที่อาจถูกทิ้งไว้หลังการ deface นอกจากนี้ควรเตรียมรับมือ DDoS จากเครื่องมืออย่าง MegaMedusa ซึ่งเป็นเครื่องมือหลักของกลุ่มนี้ด้วย