สรุปสั้น

กลุ่มแรนซัมแวร์ The Gentlemen นำชื่อกองทัพอากาศไทย (Royal Thai Air Force, โดเมน rtaf.mi.th) ขึ้นเว็บไซต์ปล่อยข้อมูล (leak site) ของกลุ่ม โดยเว็บไซต์ติดตามแรนซัมแวร์ Ransomware.live ตรวจพบรายการนี้เมื่อวันที่ 10 ตุลาคม 2569 เวลา 20:30 น. ตามเวลา UTC หรือตรงกับเช้ามืดวันที่ 11 ตุลาคม 2569 เวลาราว 03:30 น. ตามเวลาไทย และจัดเหยื่อไว้ในกลุ่มภาครัฐและความมั่นคง ทั้งนี้รายการบนเว็บไซต์ปล่อยข้อมูลไม่ได้ระบุขนาดหรือประเภทข้อมูลที่อ้างว่าขโมยได้ ยังไม่มีตัวอย่างไฟล์ที่ตรวจสอบได้ และจนถึงเช้าวันที่ 12 ตุลาคม 2569 ยังไม่มีคำชี้แจงจากกองทัพอากาศหรือสื่อไทยรายงานเหตุการณ์นี้ คำอ้างดังกล่าวจึงยังอยู่ในสถานะ “รอการยืนยัน”

จังหวะเวลาของคำอ้างทำให้ต้องจับตาเป็นพิเศษ เพราะเกิดขึ้นเพียงหนึ่งวันก่อนเปิดการประชุมประจำปีของกองทุนการเงินระหว่างประเทศ (IMF) และกลุ่มธนาคารโลกที่ศูนย์การประชุมแห่งชาติสิริกิติ์ระหว่างวันที่ 12–18 ตุลาคม 2569 ซึ่งสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) ยกระดับเฝ้าระวังภัยไซเบอร์ตลอด 24 ชั่วโมงในช่วง 10–19 ตุลาคม ขณะเดียวกันหน้าข้อมูลเหยื่อของ Ransomware.live ยังแสดงข้อมูลประกอบว่ามีรหัสผ่านที่ผูกกับโดเมน rtaf.mi.th หลุดผ่านมัลแวร์ขโมยข้อมูล (infostealer) กว่า 51,000 รายการ ซึ่งเป็นช่องทางเจาะระบบที่กลุ่มนี้นิยมใช้ แม้จะยังไม่มีหลักฐานว่าเกี่ยวข้องกับคำอ้างครั้งนี้โดยตรง

รายละเอียดข่าว

เว็บไซต์ Ransomware.live รายงานเมื่อวันที่ 11 ตุลาคม 2569 ว่ากลุ่มแรนซัมแวร์ The Gentlemen ได้อ้างว่าโจมตีกองทัพอากาศไทยสำเร็จ โดยระบุวันที่ประเมินว่าเกิดการโจมตีเป็นวันที่ 10 ตุลาคม 2569 ซึ่งเป็นวันเดียวกับที่รายการปรากฏบนเว็บไซต์ปล่อยข้อมูล หน้าข้อมูลเหยื่อบรรยายเพียงข้อมูลทั่วไปของกองทัพอากาศ เช่น จำนวนกำลังพล กองบิน ฝูงอากาศยาน และโครงการจัดหาเครื่องบินขับไล่ Gripen E/F โดยไม่มีรายละเอียดของเหตุการณ์ ไม่มีจำนวนไฟล์ และไม่มีการกำหนดเส้นตายจ่ายค่าไถ่ให้เห็น เว็บไซต์ RedPacket Security ซึ่งติดตามรายการบนเว็บไซต์ปล่อยข้อมูลแบบอัตโนมัติก็บันทึกรายการเดียวกันไว้

ข้อมูลที่น่าสนใจกว่าคือส่วนข้อมูลการรั่วไหลจากมัลแวร์ infostealer บนหน้าเดียวกัน ซึ่งอ้างรายงานของ ParanoidLab ว่าพบรหัสผ่านที่เกี่ยวข้องกับโดเมน rtaf.mi.th ราว 51,531 รายการ และคุกกี้อีก 1,185 รายการ ตัวเลขนี้สะสมจากเครื่องที่ติดมัลแวร์ขโมยข้อมูลมาเป็นระยะเวลานาน ไม่ได้บ่งชี้ขนาดข้อมูลที่ถูกขโมยในเหตุการณ์ครั้งนี้ แต่สะท้อนว่ามีบัญชีที่ใช้เข้าระบบของหน่วยงานหลุดอยู่ในตลาดมืดจำนวนมาก

คำอ้างครั้งนี้ไม่ใช่ครั้งแรกที่ The Gentlemen เล็งหน่วยงานด้านความมั่นคงของไทย ก่อนหน้านี้กลุ่มเคยนำชื่อสหกรณ์เคหสถานของกองทัพเรือขึ้นเว็บไซต์ปล่อยข้อมูล และรายงานข่าวกรองรายสัปดาห์ของบริษัท CYFIRMA ฉบับวันที่ 9 ตุลาคม 2569 ยังจัดไทยเป็นเป้าหมายอันดับต้นของกลุ่ม ร่วมกับสหรัฐฯ ฝรั่งเศส อินเดีย และอิตาลี สอดคล้องกับกรณีบริษัทพลาสติกวิศวกรรมไทย–ญี่ปุ่นที่เคยรายงานไว้ (โพสต์ 2026/10/001 ) อย่างไรก็ตามกลุ่มนี้มีปัญหาภายในเรื่องสมาชิก (affiliate) ที่แยกตัวไปทำเอง ทำให้ความน่าเชื่อถือของคำอ้างแต่ละรายการต้องพิจารณาเป็นกรณีไป

วิธีการโจมตี

ยังไม่มีข้อมูลว่าผู้โจมตีเข้าระบบของกองทัพอากาศได้อย่างไร หรือเจาะได้จริงหรือไม่ แต่รายงานของบริษัท Palo Alto Networks (Unit 42) ที่ถอดพฤติกรรมกลุ่ม The Gentlemen ไว้ระบุว่า กลุ่มเข้าถึงระบบครั้งแรกผ่านการเจาะช่องโหว่อุปกรณ์ขอบเครือข่ายอย่างไฟร์วอลล์และ VPN การเดารหัสผ่าน การใช้บัญชีที่รั่วไหล และการซื้อช่องทางเข้าถึงจากนายหน้า (initial access broker) ช่องโหว่ที่เคยพบว่าถูกใช้ ได้แก่ CVE-2024-55591 ใน Fortinet FortiOS/FortiProxy และ CVE-2025-33073 ใน Windows SMB Client

ข้อมูลรหัสผ่านโดเมน rtaf.mi.th ที่หลุดผ่าน infostealer กว่า 51,000 รายการ จึงเป็นเส้นทางที่เป็นไปได้มากที่สุดหากการเจาะเกิดขึ้นจริง เพราะผู้โจมตีสามารถนำบัญชีเหล่านี้ไปลองเข้า VPN อีเมล หรือพอร์ทัลภายในได้ทันที หากระบบเหล่านั้นไม่บังคับใช้ MFA

หลังเข้าระบบได้ กลุ่มนี้มักใช้เครื่องมือ GentleKiller และเทคนิค BYOVD ปิด EDR สำรวจเครือข่ายด้วย Advanced IP Scanner เคลื่อนตัวด้านข้างผ่าน SMB และ SSH เข้าโฮสต์ ESXi ก่อนขโมยข้อมูลและปล่อยแรนซัมแวร์ที่ลบ Volume Shadow Copy เพื่อตัดช่องทางกู้คืน

ผลกระทบต่อไทย

หากคำอ้างเป็นจริง นี่จะเป็นเหตุการณ์แรนซัมแวร์ที่กระทบหน่วยงานด้านความมั่นคงระดับเหล่าทัพของไทยโดยตรง ข้อมูลที่อาจรั่วไหล เช่น รายชื่อกำลังพล หนังสือราชการ และข้อมูลโครงการจัดหายุทโธปกรณ์ มีคุณค่าต่อทั้งอาชญากรไซเบอร์และหน่วยข่าวกรองต่างชาติ แม้ข้อมูลจะไม่ถูกเข้ารหัส การถูกนำขึ้นเว็บไซต์ปล่อยข้อมูลก็ส่งผลต่อความเชื่อมั่น และอาจถูกนำไปใช้ประกอบปฏิบัติการข่าวสาร (IO) ในช่วงที่ไทยเป็นเจ้าภาพการประชุมระดับโลก

ในอีกด้าน แม้คำอ้างจะไม่เป็นจริง ตัวเลขรหัสผ่านโดเมน rtaf.mi.th ที่หลุดผ่าน infostealer กว่า 51,000 รายการ ก็เป็นความเสี่ยงที่มีอยู่จริงและควรได้รับการจัดการ ปัญหาเดียวกันนี้ปรากฏในหลายหน่วยงานรัฐไทยที่ใช้อีเมลโดเมนราชการลงทะเบียนบริการภายนอก หรือเข้าระบบจากเครื่องส่วนตัวที่ไม่มีการป้องกัน

คำแนะนำ

หน่วยงานที่เกี่ยวข้องควรประสานศูนย์ ThaiCERT และหน่วยรับมือเหตุการณ์ไซเบอร์ของกระทรวงกลาโหม เพื่อพิสูจน์ทราบว่ามีการบุกรุกจริงหรือไม่ โดยตรวจล็อกการเข้าถึง VPN อีเมล และพอร์ทัลภายในช่วงหลายสัปดาห์ที่ผ่านมา และเฝ้าดูเว็บไซต์ปล่อยข้อมูลของกลุ่มว่ามีการเผยแพร่ตัวอย่างไฟล์ตามมาหรือไม่

ในด้านการป้องกัน ควรบังคับเปลี่ยนรหัสผ่านบัญชีที่ปรากฏในข้อมูล infostealer บังคับใช้ MFA แบบต้านฟิชชิงกับการเข้าถึงจากภายนอกทุกช่องทาง ยุติเซสชันที่ค้างอยู่ และแพตช์อุปกรณ์ขอบเครือข่ายโดยเฉพาะไฟร์วอลล์และ VPN นอกจากนี้ควรเปิด tamper protection ของ EDR บล็อกไดรเวอร์ที่มีช่องโหว่ และทดสอบการกู้คืนจากแบ็กอัปแบบออฟไลน์

สำหรับหน่วยงานอื่นในช่วงประชุม IMF–ธนาคารโลก ควรเช็กข้อมูลรั่วไหลของโดเมนตนเองในบริการตรวจ infostealer และยกระดับเฝ้าระวังการล็อกอินผิดปกติจนถึงวันที่ 19 ตุลาคม 2569

แหล่งอ้างอิง