สรุปสั้น

ผู้ต้องสงสัยว่าเป็นสมาชิกกลุ่มแรนซัมแวร์ Qilin ถูกจับกุมในญี่ปุ่นและส่งตัวให้เยอรมนีแล้ว ผู้ต้องสงสัยเป็นชายสัญชาติรัสเซียอายุ 28 ปี ถูกควบคุมตัวที่เมืองโอซากาเมื่อเดือนพฤษภาคม 2569 และมีรายงานว่าถูกส่งมอบให้ทางการเยอรมนีเมื่อวันที่ 2 ตุลาคม 2569 เขาถูกเชื่อว่าเป็นสมาชิกแกนหลักของกลุ่ม และเป็นที่ต้องการตัวในเยอรมนีจากการเจาะระบบบริษัทโลจิสติกส์แห่งหนึ่งเมื่อเดือนกันยายน 2567 เข้ารหัสข้อมูล และรีดไถเงินคริปโตกว่า 160,000 ดอลลาร์สหรัฐ

Qilin หรือที่รู้จักอีกชื่อว่า Agenda เริ่มปฏิบัติการตั้งแต่เดือนสิงหาคม 2565 และกลายเป็นแรนซัมแวร์แบบให้บริการ (Ransomware-as-a-Service หรือ RaaS) ที่มีเหยื่อมากที่สุดกลุ่มหนึ่งของโลก ผลงานที่รู้จักกันดี ได้แก่ การโจมตี Synnovis ที่ทำให้โรงพยาบาล NHS หลายแห่งในลอนดอนหยุดชะงักเมื่อปี 2567 และการเจาะ Asahi Group เมื่อปีก่อน การจับกุมผู้ปฏิบัติการแรนซัมแวร์ที่เป็นพลเมืองรัสเซียเกิดขึ้นได้ยาก เพราะส่วนใหญ่อยู่ในประเทศที่ไม่ส่งผู้ร้ายข้ามแดน การจับกุมครั้งนี้เกิดได้เพราะผู้ต้องสงสัยเดินทางออกมาอยู่ในญี่ปุ่น

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 7 ตุลาคม พ.ศ. 2569 ว่า ผู้ต้องสงสัยเป็นสมาชิก Qilin ถูกจับกุมในญี่ปุ่นและถูกส่งตัวไปเยอรมนีแล้ว ผู้ต้องสงสัยถูกควบคุมตัวที่โอซากาในเดือนพฤษภาคม และมีรายงานว่าส่งมอบให้ทางการเยอรมนีเมื่อวันที่ 2 ตุลาคม ข้อกล่าวหาในเยอรมนีเกี่ยวข้องกับการเจาะบริษัทโลจิสติกส์เมื่อกันยายน 2567 ซึ่งผู้โจมตีเข้ารหัสข้อมูลในระบบและรีดไถเงินคริปโตไปกว่า 160,000 ดอลลาร์

ข้อจำกัดของข้อมูลคือ รายงานยังไม่ระบุชื่อผู้ต้องสงสัย ชื่อบริษัทโลจิสติกส์ที่เป็นเหยื่อ และบทบาทที่ชัดเจนของเขาในกลุ่ม ว่าเป็นผู้พัฒนา ผู้ดูแลโครงสร้าง หรือแอฟฟิลิเอตที่เช่าแรนซัมแวร์ไปใช้ คำว่า “สมาชิกแกนหลัก” มาจากความเชื่อของผู้สืบสวนตามที่สื่อรายงาน ยังไม่ได้รับการพิสูจน์ในชั้นศาล และวันส่งตัวก็เป็นข้อมูลจากรายงานข่าว ไม่ใช่แถลงการณ์ทางการที่ SecurityWeek อ้างถึงโดยตรง

อัปเดต: สำนักงานตำรวจแห่งชาติญี่ปุ่นยืนยันบทบาท

เว็บไซต์ Security Affairs รายงานเมื่อวันที่ 9 ตุลาคม 2569 ว่าสำนักงานตำรวจแห่งชาติญี่ปุ่น (National Police Agency หรือ NPA) ออกแถลงการณ์ภาษาญี่ปุ่นลงวันที่ 8 ตุลาคม ยืนยันบทบาทของญี่ปุ่นในการจับกุมครั้งนี้อย่างเป็นทางการ ทำให้ข้อมูลการจับกุมและส่งตัวที่ก่อนหน้านี้มาจากรายงานข่าวมีแหล่งยืนยันจากทางการแล้ว แม้แถลงการณ์จะยังไม่ระบุชื่อผู้ต้องสงสัยหรือวันส่งตัว ตามแถลงการณ์ ทางการเยอรมนีออกหมายจับชายสัญชาติรัสเซียรายนี้ไว้แล้วจากเหตุแรนซัมแวร์ในเยอรมนี เมื่อเขาเดินทางเข้าญี่ปุ่นในฐานะนักท่องเที่ยว กระทรวงยุติธรรมญี่ปุ่น สำนักงานอัยการศาลสูงโตเกียว และทางการเยอรมนีร่วมกันควบคุมตัวเขาที่โรงแรมในโอซากาเมื่อเดือนพฤษภาคมด้วยหมายควบคุมตัวชั่วคราวตามพระราชบัญญัติส่งผู้ร้ายข้ามแดนของญี่ปุ่น ก่อนส่งมอบให้เยอรมนีตามขั้นตอนของกฎหมายดังกล่าว ขณะที่ Security Affairs เรียกผู้ต้องสงสัยว่าเป็น “บุคคลระดับนำ” ของ Qilin

NPA ยังระบุชื่อหน่วยที่มีส่วนร่วม คือหน่วยสืบสวนพิเศษด้านไซเบอร์ของสำนักงานตำรวจภูมิภาคคันโต (Kanto Regional Police Bureau Cyber Special Investigation Unit) และตำรวจท้องถิ่นอื่น ซึ่งสืบสวนการโจมตีของ Qilin ในญี่ปุ่นและทำงานร่วมกับผู้สืบสวนเยอรมนีในคดีภาพรวม ญี่ปุ่นมีเหตุผลเฉพาะที่จะไล่ตาม Qilin เพราะกลุ่มนี้เคยโจมตีองค์กรญี่ปุ่นอย่างบริษัท Nissan และ Asahi โดย Security Affairs ระบุตัวเลขผู้ได้รับผลกระทบจากเหตุ Asahi ที่ 1.5 ล้านคน ซึ่งต่างจากตัวเลขราว 2 ล้านคนที่อ้างไว้ด้านล่าง อย่างไรก็ดี แม้ผู้ต้องสงสัยถูกควบคุมตัวตั้งแต่พฤษภาคม Qilin ยังลงรายชื่อเหยื่อรายใหม่บนเว็บ leak ใน Tor หลายร้อยรายนับตั้งแต่เดือนมิถุนายน ซึ่งยืนยันว่าการจับกุมรายเดียวไม่ได้หยุดปฏิบัติการของกลุ่ม

ประวัติและผลงานของ Qilin

Qilin เติบโตเป็นหนึ่งในกลุ่ม RaaS ที่ใหญ่ที่สุดหลังกลุ่มใหญ่หลายกลุ่มถูกปราบปราม เฉพาะปี 2568 กลุ่มนี้ลงรายชื่อเหยื่อบนเว็บ leak ใน Tor ประมาณ 400 ราย รวมถึง Lee Enterprises และบริษัทยา Inotiv การโจมตี Asahi Group ทำให้การผลิตหยุดชะงักและข้อมูลส่วนบุคคลของคนราว 2 ล้านคนถูกเข้าถึง

ในปี 2569 Qilin ยังคงเคลื่อนไหวต่อเนื่อง เดือนมิถุนายน กลุ่มใช้ช่องโหว่ข้ามการยืนยันตัวตนระดับวิกฤต CVE-2026-50751 ใน VPN และไฟร์วอลล์ของ Check Point (โพสต์ 06/066) จากนั้นใช้ช่องโหว่ข้ามการยืนยันตัวตนของ PAN-OS เป็นประตูเข้าเครือข่าย (โพสต์ 07/218) และในเดือนสิงหาคม สำนักงานแอลกอฮอล์ ยาสูบ อาวุธปืน และวัตถุระเบิดสหรัฐฯ (ATF) ยืนยันว่าถูกโจมตีหลัง Qilin ลงชื่อไว้บนเว็บ leak

ผลกระทบ

การจับกุมสมาชิกคนเดียวไม่น่าจะหยุดปฏิบัติการ RaaS ขนาดใหญ่อย่าง Qilin ได้ เพราะโมเดลนี้กระจายงานไปยังแอฟฟิลิเอตจำนวนมาก และกลุ่มแรนซัมแวร์มักเปลี่ยนชื่อหรือย้ายโครงสร้างเมื่อถูกกดดัน แต่การจับกุมมีผลทางอ้อม ทั้งข้อมูลจากอุปกรณ์ของผู้ต้องสงสัยที่อาจนำไปสู่การระบุตัวสมาชิกคนอื่น และสัญญาณว่าการเดินทางออกนอกประเทศที่คุ้มครองตนเองมีความเสี่ยงจริง

กรณีนี้ยังสะท้อนความร่วมมือข้ามภูมิภาคระหว่างญี่ปุ่นกับยุโรป และเป็นหนึ่งในชุดการจับกุมช่วงเดียวกัน ทั้งผู้ต้องสงสัยแกนนำ ShinyHunters ในจอร์แดน (โพสต์ 10/016) และแอดมิน KillSec ในสเปน (โพสต์ 10/009) สำหรับองค์กร Qilin ยังคงเป็นภัยที่ใช้ช่องโหว่ของอุปกรณ์ขอบเครือข่ายเป็นทางเข้าหลัก การจับกุมครั้งนี้จึงไม่ได้ลดความจำเป็นในการแพตช์

คำแนะนำ

  • แพตช์ช่องโหว่ VPN และไฟร์วอลล์ที่ Qilin เคยใช้ โดยเฉพาะ CVE-2026-50751 ของ Check Point และช่องโหว่ข้ามการยืนยันตัวตนของ PAN-OS แล้วตรวจย้อนหลังว่ามีการเข้าถึงผิดปกติก่อนแพตช์หรือไม่
  • บังคับ MFA แบบต้านฟิชชิงสำหรับ VPN และการเข้าถึงระยะไกลทุกช่องทาง
  • เฝ้าระวังสัญญาณก่อนการเข้ารหัส เช่น การปิดซอฟต์แวร์ความปลอดภัย การลบ shadow copy และการดึงข้อมูลออกปริมาณมาก
  • เก็บแบ็กอัปแบบออฟไลน์หรือแก้ไขไม่ได้ (immutable) และทดสอบการกู้คืนเป็นระยะ
  • องค์กรที่เคยถูกรีดไถควรรายงานและแบ่งปันหลักฐานกับหน่วยงานบังคับใช้กฎหมาย เพราะหลักฐานจากเหยื่อแต่ละรายเป็นฐานของคดีแบบนี้

แหล่งอ้างอิง