สรุปสั้น

เจ้าหน้าที่สหรัฐฯ จับกุมนาย Anibal Alexander Canelon Aguirre ชาวเวเนซุเอลาวัย 50 ปี ฉายา “Prometheus” และ “The Engineer” ซึ่งเชื่อว่าเป็นแกนนำปฏิบัติการ ATM jackpotting ของแก๊งอาชญากรรมข้ามชาติ Tren de Aragua (TdA) และเป็นผู้พัฒนามัลแวร์ ATM ฉาวโฉ่ Ploutus เขาขึ้นศาลเมื่อวันที่ 2 ตุลาคม 2569 ให้การปฏิเสธทุกข้อกล่าวหา และจะถูกคุมขังไว้ระหว่างรอการพิจารณาคดี ตอนรายงานครั้งแรกทางการสหรัฐฯ ยังไม่เปิดเผยว่าจับกุมตัวได้อย่างไรและที่ใด (อัปเดต: สำนักงานอัยการสหรัฐฯ เขตเนแบรสกายืนยันกับ Dark Reading ภายหลังว่าหน่วยยามฝั่งสหรัฐฯ จับตัวเขาได้กลางทะเลเมื่อเดือนกันยายน 2569 — ดูหัวข้อข้อมูลเพิ่มเติมด้านล่าง)

Canelon Aguirre อยู่ในบัญชี 10 อันดับผู้ร้ายที่ FBI ต้องการตัวมากที่สุดมาตั้งแต่เดือนมีนาคม 2569 และเป็นบุคคลแรกที่ถูกเพิ่มเข้าบัญชีนี้ด้วยคดีอาชญากรรมไซเบอร์ เขาเพิ่งถูกกระทรวงการคลังสหรัฐฯ ประกาศคว่ำบาตรเมื่อสัปดาห์ก่อนพร้อมกระเป๋าเงิน TRON อีก 7 รายการ ตามที่เว็บไซต์นี้เคยรายงานไว้ในโพสต์ 2026/10/012 การจับกุมครั้งนี้จึงเกิดขึ้นเพียงไม่กี่วันหลังมาตรการทางการเงิน และทำให้คดีที่มีจำเลยแล้ว 120 รายเดินหน้าถึงตัวผู้พัฒนามัลแวร์ที่อยู่เบื้องหลัง

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 6 ตุลาคม 2569 ว่าทางการสหรัฐฯ ระบุว่า TdA เป็นองค์กรอาชญากรรมข้ามชาติที่ใช้ความรุนแรง ทำทั้งค้ามนุษย์และสิ่งผิดกฎหมาย ปล้น ฉ้อโกง กรรโชก และอาชญากรรมทางการเงินหลายรูปแบบที่เล็งองค์กรในสหรัฐฯ รวมถึง ATM jackpotting ซึ่งเกิดขึ้นใน 47 รัฐ เขตวอชิงตัน ดี.ซี. และในต่างประเทศ

Canelon Aguirre ถูกฟ้องในสหรัฐฯ ตั้งแต่เดือนธันวาคม 2568 พร้อมผู้ต้องหาอีก 21 คน ในข้อหาสมคบคิดลักทรัพย์ธนาคาร ฉ้อโกง และฟอกเงิน ทางการสหรัฐฯ ระบุว่าเขาเป็นหนึ่งในผู้วางแผนหลักของการโจมตี ATM ที่ TdA ใช้ Ploutus จนถึงปัจจุบันมีจำเลยถูกตั้งข้อหาในคดีสมคบคิดนี้แล้ว 120 ราย และมี 3 รายถูกตัดสินจำคุกแล้ว ได้แก่ นาย Oddry Arnoldo Cabrera Torrealba นาย Carlos Javier Padron และนาย Juan Manuel Gouveia Aguilera

ข่าวนี้เป็นอีกหนึ่งในชุดความสำเร็จของหน่วยงานบังคับใช้กฎหมายช่วงต้นเดือนตุลาคม ต่อจากการควบคุมตัวผู้ต้องสงสัยแกนนำ ShinyHunters ในจอร์แดน (2026/10/016) และการส่งตัวแฮ็กเกอร์อิหร่านจากมอนเตเนโกร (2026/10/019) ทั้งนี้รายงานต้นทางมีรายละเอียดเชิงเทคนิคของมัลแวร์และของการจับกุมน้อยมาก

วิธีการโจมตี

สมาชิกของเครือข่ายใช้ช่องโหว่ของตู้ ATM เพื่อติดตั้ง Ploutus ซึ่งบังคับให้ตู้จ่ายเงินสดออกมาโดยไม่มีการหักเงินจากบัญชีใด รูปแบบนี้เรียกว่า ATM jackpotting ต่างจากการ skimming ที่ขโมยข้อมูลบัตร เพราะเป้าหมายคือเงินในตู้โดยตรง และความเสียหายตกอยู่กับธนาคารหรือผู้ให้บริการตู้ ATM

ตามข้อมูลของทางการสหรัฐฯ Ploutus มีความสามารถต่อต้านการวิเคราะห์เพื่อขัดขวางงานนิติวิทยาศาสตร์ และลบตัวเองออกจากระบบที่ติดเชื้อได้เพื่อกลบร่องรอย ทำให้ธนาคารที่ถูกโจมตีมักพบเพียงตู้ที่เงินหายไปโดยมีหลักฐานเหลือน้อย ส่วนการโยกย้ายรายได้ที่ได้มา เครือข่ายใช้กระเป๋าเงินคริปโทบนเครือข่าย TRON ตามที่ OFAC ระบุไว้ในการคว่ำบาตรครั้งก่อน

ข้อมูลเพิ่มเติมจาก Dark Reading

เว็บไซต์ Dark Reading รายงานเมื่อวันที่ 7 ตุลาคม 2569 โดยอ้างสำนักงานอัยการสหรัฐฯ เขตเนแบรสกา (District of Nebraska) ซึ่งเป็นผู้นำการดำเนินคดี ว่าหน่วยยามฝั่งสหรัฐฯ (US Coast Guard) จับกุม Canelon Aguirre ได้กลางทะเลเมื่อเดือนกันยายน 2569 เขาถูกฟ้อง 4 ข้อหา รวมถึงสมคบคิดฉ้อโกงธนาคารและให้การสนับสนุนทางวัตถุแก่ผู้ก่อการร้าย (material support to terrorists) เนื่องจากรัฐบาลสหรัฐฯ ประกาศให้ TdA เป็นองค์กรก่อการร้ายต่างชาติ (FTO) ตั้งแต่กุมภาพันธ์ 2568 นาง Lesley A. Woods อัยการสหรัฐฯ ประจำเขตเนแบรสการะบุว่าเขตนี้เป็นเขตแรกที่ยกระดับการสอบสวนเป็นคดีสมคบคิดขนาดใหญ่ ไล่ตามเส้นทางเงินกลับไปยัง TdA และเป็นเขตแรกที่ตั้งข้อหาสนับสนุนการก่อการร้ายในคดีนี้ ปัจจุบันทางการตั้งข้อหาสมาชิกแล้ว 120 ราย ควบคุมตัวได้อย่างน้อย 73 ราย

ตามคำฟ้องฉบับแรก TdA ขโมยเงินจากธนาคารและสหกรณ์ออมทรัพย์ในสหรัฐฯ 117 แห่ง รวมกว่า 5.1 ล้านดอลลาร์ ระหว่างกุมภาพันธ์ 2567 ถึงธันวาคม 2568 แต่ OFAC ระบุภาพรวมที่กว้างกว่านั้นว่ามีเหตุ jackpotting มากกว่า 1,500 ครั้ง เสียหาย 40.7 ล้านดอลลาร์ ณ สิงหาคม 2568 (ตัวเลข 2 ชุดนี้มาจากขอบเขตต่างกัน ไม่ควรนำมาเทียบตรง ๆ) ด้านอัยการเขตเนแบรสกาปฏิเสธที่จะให้ความเห็นเกี่ยวกับหลักฐานที่ใช้ยืนยันว่า Canelon Aguirre เป็น “ผู้พัฒนามัลแวร์ Ploutus” ข้อกล่าวหาเรื่องผู้พัฒนาจึงยังเป็นคำกล่าวอ้างของฝ่ายโจทก์ที่ยังไม่ผ่านการพิสูจน์ในศาล

ในเชิงเทคนิค Ploutus ถูกพบครั้งแรกที่เม็กซิโกในปี 2556 ส่วนรุ่น Ploutus-D (ตัว “D” หมายถึงเล็งตู้ ATM ยี่ห้อ Diebold) ที่ Mandiant ของบริษัท Google วิเคราะห์ไว้ตั้งแต่ปี 2560 มีความสามารถอำพรางการทำงาน ปิดโปรเซสด้านความปลอดภัย สั่งจ่ายเงิน และลบร่องรอยตัวเอง มัลแวร์ยังใช้แพลตฟอร์ม Kalignite ที่รองรับตู้ ATM มากกว่า 40 ผู้ผลิต สมาชิกเครือข่ายต้องเปิดตู้ทางกายภาพเพื่อติดตั้งมัลแวร์ก่อน แล้วจึงสั่งให้ตู้จ่ายเงินให้คนรับเงิน (money mule) ที่นำเงินสดไปซื้อคริปโทต่อ

ด้านการฟอกเงิน นาย Ari Redbord หัวหน้าฝ่ายนโยบายระดับโลกของบริษัท TRM Labs ให้ความเห็นว่า TdA ใช้มัลแวร์ ATM เป็นเครื่องมือหาทุนก่อการร้าย แล้วย้ายเงินสดเข้า TRON ให้ดูเหมือนการฝากเงินเข้าตลาดซื้อขายทั่วไป TRM Labs พบว่ากระเป๋า TRON 7 รายการที่ถูกคว่ำบาตรส่งเงินราว 35 ล้านดอลลาร์ไปยังเครือข่ายที่โยงกับนาย Jorge Figueira ชาวเวเนซุเอลาที่ถูกสหรัฐฯ ตั้งข้อหาฟอกเงินราว 1 พันล้านดอลลาร์ ขณะที่บริษัท Chainalysis ระบุว่ากระเป๋าเหล่านี้เป็นโครงสร้างฟอกเงินร่วมที่ผู้กระทำผิดหลายกลุ่มใช้ ทั้งค้ายาเสพติดและลักลอบขนสินค้า ไม่ได้เป็นของ TdA เพียงกลุ่มเดียว

ผลกระทบ

การจับกุมผู้พัฒนามัลแวร์ตัดเครือข่ายออกจากแหล่งเครื่องมือหลัก และอาจเปิดทางให้เจ้าหน้าที่ได้ข้อมูลซอร์สโค้ด โครงสร้างพื้นฐาน และเครือข่ายผู้ร่วมขบวนการเพิ่ม อย่างไรก็ตาม Ploutus แพร่หลายมานานและมีหลายรุ่น การจับตัวผู้พัฒนาจึงไม่ได้หมายความว่ามัลแวร์จะหายไปจากระบบนิเวศ กลุ่มอื่นที่มีสำเนาเครื่องมืออยู่แล้วยังโจมตีต่อได้

สำหรับธนาคารและผู้ให้บริการตู้ ATM คดีนี้ย้ำว่า ATM jackpotting เป็นภัยระดับองค์กรอาชญากรรมข้ามชาติที่ขยายตัวได้ทั่วประเทศ ไม่ใช่เหตุโจรกรรมเฉพาะจุด การที่ FBI ยกระดับผู้ต้องหาคดีไซเบอร์เข้าบัญชี 10 อันดับผู้ร้ายครั้งแรก และใช้ทั้งมาตรการคว่ำบาตรกับการจับกุมควบคู่กัน สะท้อนว่าทางการสหรัฐฯ มองอาชญากรรมกลุ่มนี้เป็นภัยความมั่นคงมากกว่าคดีลักทรัพย์ทั่วไป

คำแนะนำ

  • ธนาคารและผู้ให้บริการตู้ ATM ควรล็อกการเข้าถึงทางกายภาพของตัวตู้ ตรวจกุญแจตู้ และติดเซนเซอร์แจ้งเตือนการเปิดฝาตู้หรือการเชื่อมต่ออุปกรณ์ภายนอก
  • เปิดใช้การเข้ารหัสฮาร์ดดิสก์ของตู้ ATM ตั้งรหัสผ่าน BIOS และปิดการบูตจาก USB หรือสื่อภายนอก
  • ใช้ application allowlisting บนระบบปฏิบัติการของตู้ เพื่อบล็อกการรันโปรแกรมที่ไม่ได้รับอนุญาตอย่าง Ploutus
  • เข้ารหัสการสื่อสารระหว่างคอมพิวเตอร์ในตู้กับเครื่องจ่ายเงิน (dispenser) และอัปเดตซอฟต์แวร์ XFS/ระบบปฏิบัติการตามคำแนะนำของผู้ผลิต
  • เฝ้าระวังการจ่ายเงินผิดปกติ เช่น จ่ายเงินจำนวนมากโดยไม่มีธุรกรรมบัตรรองรับ และแจ้งหน่วยงานบังคับใช้กฎหมายทันทีเมื่อพบ

แหล่งอ้างอิง