สรุปสั้น

รายงาน 2026 Ransomware Risk Report ของบริษัท Semperis ระบุว่าองค์กรราว 2 ใน 5 ที่ตอบแบบสำรวจเคยถูกข่มขู่ในระหว่างเหตุแรนซัมแวร์ โดย 17% ถูกขู่ทำร้ายทางกายภาพ และอีก 23% ถูกข่มขู่ทางจิตใจ รูปแบบที่พบบ่อยที่สุดคือข้อความ จดหมาย หรือพัสดุข่มขู่ รองลงมาคือขู่ครอบครัวและเพื่อนของพนักงาน ขู่บุกเข้าอาคาร ขู่ลักพาตัว ขู่ทำร้ายร่างกาย และการสะกดรอยตาม ที่น่าตกใจที่สุดคือ 53% ของผู้ตอบแบบสำรวจอ้างว่าผู้โจมตีลงมือทำตามที่ขู่จริง และในมากกว่าครึ่งของเหตุทั้งหมด เหยื่อหรือครอบครัวถูกเปิดเผยข้อมูลส่วนตัว (doxxing) ถูกแจ้งเหตุเท็จให้ตำรวจบุก (swatting) หรือถูกประจานต่อสาธารณะ

อย่างไรก็ตาม ข้อมูลทั้งหมดมาจากการรายงานตัวเองของผู้ตอบแบบสำรวจ ทั้ง Semperis และ Dark Reading ไม่สามารถยืนยันตัวเลขเหล่านี้ได้ และ Dark Reading ไม่พบเคสความรุนแรงทางกายภาพที่เกิดเพื่อการรีดไถด้วยแรนซัมแวร์ซึ่งมีการบันทึกยืนยันแม้แต่รายเดียว หลักฐานที่ชัดเจนกว่าอยู่ในเรื่องใกล้เคียง ได้แก่ การทำร้ายร่างกายเพื่อชิงกระเป๋าคริปโตที่เพิ่มขึ้นอย่างมาก และกลุ่มรีดไถที่ปลอมตัวเป็นช่างไอทีเพื่อบุกเข้าสำนักงาน ตัวเลขชุดนี้จึงควรใช้เป็นสัญญาณเตือนให้เตรียมรับมือ มากกว่าเป็นข้อเท็จจริงที่ยืนยันแล้ว

รายละเอียดข่าว

เว็บไซต์ Dark Reading รายงานเมื่อวันที่ 14 ตุลาคม 2569 ว่า Semperis เริ่มถามเรื่องภัยคุกคามทางกายภาพในรายงานปี 2025 ซึ่งตอนนั้นผู้ตอบถึง 40% ระบุว่าเคยถูกขู่ ขณะที่ปีนี้ตัวเลขขู่ทางกายภาพลดเหลือ 17% และแยกการข่มขู่ทางจิตใจออกมาอีก 23% ทำให้การเปรียบเทียบระหว่างสองปีเกิดความสับสนอยู่บ้าง

ในกลุ่มผู้ที่ถูกข่มขู่ รูปแบบที่พบ คือ

  • ข้อความ จดหมาย หรือพัสดุข่มขู่ 57%
  • ข่มขู่ครอบครัวและเพื่อนของพนักงาน 37%
  • ข่มขู่บุกรุกสถานที่ขององค์กร 19%
  • ข่มขู่ลักพาตัว 17%
  • ข่มขู่ทำร้ายร่างกาย 13%
  • สะกดรอยตาม 6% ตัวเลขยังต่างกันมากตามแต่ละประเทศ ในสหราชอาณาจักร ผู้ตอบระบุว่าราว 34% ของคำขู่ถูกทำจริง และมีโอกาสถูกสะกดรอยตาม 18% ส่วนในอิตาลี 32% ถูกขู่ลักพาตัว 22% ถูกขู่ทำร้ายร่างกาย และ 74% อ้างว่าผู้โจมตีทำตามที่ข่มขู่ไว้

นาย Jeff Wichman ผู้อำนวยการฝ่ายรับมือเหตุการณ์ของ Semperis ตอบคำถามว่ามีเหยื่อถูกทำร้ายจริงหรือไม่ว่า “ใช่ ไม่ทางใดก็ทางหนึ่ง มันได้เกิดขึ้น” แต่เมื่อ Dark Reading ขอกรณีศึกษา Semperis ชี้ไปที่ข่าวประชาสัมพันธ์ของ Europol เรื่อง “violence-as-a-service” ซึ่ง Europol ไม่ได้เชื่อมโยงกับแรนซัมแวร์ Semperis เองเคยมีประสบการณ์ตรงเมื่อหลายปีก่อน ขณะเป็นตัวแทนเจรจาค่าไถ่ให้หน่วยงานรัฐสหรัฐฯ แห่งหนึ่ง พนักงานของบริษัทได้รับพัสดุที่หน้าบ้านพร้อมโน้ตที่ส่อถึงความรุนแรงหากไม่ถอยออกไป ตามที่ BBC เคยรายงาน

วิธีการโจมตี

แม้ยังไม่มีหลักฐานยืนยันความรุนแรงที่ผูกกับแรนซัมแวร์โดยตรง แต่ Dark Reading รวบรวมหลักฐานแข็งในเรื่องใกล้เคียงไว้ 3 ด้าน

  • ด้านแรก คือ “wrench attack” หรือการทำร้ายร่างกายเหยื่อเพื่อบังคับเอา private key ของกระเป๋าคริปโต บริษัท CertiK Skynet บันทึกได้ 72 เคสในปี 2568 เพิ่มขึ้น 75% จากปีก่อน บริษัท Chainalysis ก็พบการพุ่งขึ้นในทำนองเดียวกัน และถึงกลางปี 2569 ผู้โจมตีกลุ่มนี้ได้คริปโตไปแล้วราว 30 ล้านดอลลาร์
  • ด้านที่สอง คือ กลุ่มรีดไถทางไซเบอร์ที่เริ่มใช้การบุกรุกทางกายภาพ ช่วงฤดูใบไม้ผลิปี 2569 ทั้ง FBI และนักวิจัยของ Mandiant บันทึกว่ากลุ่ม Silent Ransom Group ปลอมตัวเป็นช่างไอทีเข้าสำนักงานองค์กร แล้วใช้ USB ดึงข้อมูลจากเครื่องปลายทาง
  • ด้านที่สาม คือ คำขู่ใช้ความรุนแรงในอาชญากรรมออนไลน์โดยรวม ตามรายงาน Internet Crime Report 2025 ของ FBI ซึ่งได้รับเรื่องร้องเรียนการขู่ใช้ความรุนแรงที่ไม่เกี่ยวกับการรีดไถ 4,826 เรื่องในปี 2568 เพิ่มขึ้นจาก 1,360 เรื่องในปีก่อน หรือราว 250%

นาย Wichman อธิบายเหตุผลที่ผู้โจมตีหันมาใช้การข่มขู่ทางกายภาพว่า อาจเป็นผลพลอยได้จากที่องค์กรป้องกันได้ดีขึ้น เมื่อการเข้ารหัสไฟล์หรือขู่ปล่อยข้อมูลมีน้ำหนักน้อยลง เพราะองค์กรมีแบ็กอัปและแผนรับมือ ผู้โจมตีจึงต้องหาแรงกดดันใหม่เพื่อบังคับให้เหยื่อเจรจา เขาเปรียบว่า “เหมือนยุคมาเฟีย ตอนแรกแค่รีดเงินจากธุรกิจ ต่อมาก็กลายเป็น ไม่จ่ายเราก็จะใช้ความรุนแรง”

ผลกระทบ

หากตัวเลขในแบบสำรวจสะท้อนความจริงแม้เพียงบางส่วน ความเสี่ยงจากแรนซัมแวร์กำลังขยายออกจากระบบไอทีไปถึงความปลอดภัยส่วนบุคคลของพนักงาน โดยเฉพาะผู้บริหาร ทีมไอที ทีมรับมือเหตุ และผู้เจรจาค่าไถ่ ซึ่งเป็นคนที่ผู้โจมตีรู้ชื่อระหว่างเหตุการณ์ การ doxxing และ swatting ที่พบในมากกว่าครึ่งของเหตุยังทำให้ครอบครัวของพนักงานกลายเป็นเป้าหมายไปด้วย

แต่ต้องอ่านอย่างระมัดระวัง ตัวเลขมาจากการรายงานตัวเอง ไม่ได้ผ่านการตรวจสอบอิสระ ตัวเลขข้ามปีมีนิยามที่ต่างกัน และผู้จัดทำเป็นบริษัทที่ขายบริการด้านการรับมือเหตุ ยังไม่มีเคสความรุนแรงเพื่อรีดไถแรนซัมแวร์ที่บันทึกยืนยันได้สู่สาธารณะ ส่วนหลักฐานที่ชัดเจนอยู่ในการโจมตีคริปโตและการบุกรุกทางกายภาพเพื่อขโมยข้อมูล ซึ่งเป็นภัยใกล้เคียงแต่ไม่ใช่เรื่องเดียวกัน

คำแนะนำ

  • เพิ่มสถานการณ์การข่มขู่ทางกายภาพ doxxing และ swatting ไว้ในแผนรับมือเหตุแรนซัมแวร์ โดยประสานฝ่ายรักษาความปลอดภัยอาคาร ฝ่ายบุคคล และฝ่ายกฎหมายตั้งแต่ต้น
  • ลดข้อมูลส่วนตัวของผู้บริหารและทีมรับมือเหตุที่เปิดเผยออนไลน์ เช่น ที่อยู่บ้าน เบอร์ส่วนตัว และข้อมูลครอบครัว และพิจารณาใช้นามแฝงหรือบุคคลที่สามในการเจรจากับผู้โจมตี
  • ยืนยันตัวตนช่างไอทีหรือผู้รับเหมาที่มาที่สำนักงานผ่านช่องทางที่รู้จักทุกครั้ง และควบคุมการเสียบ USB บนเครื่องปลายทาง เพื่อรับมือแนวทางแบบ Silent Ransom Group
  • บันทึกและรายงานคำขู่ทุกรูปแบบต่อเจ้าหน้าที่บังคับใช้กฎหมาย ทั้งเพื่อความปลอดภัยของพนักงานและเพื่อสร้างหลักฐานที่ตรวจสอบได้ ซึ่งวงการยังขาดอยู่
  • ผู้ถือคริปโตจำนวนมากไม่ควรเปิดเผยยอดถือครองต่อสาธารณะ และควรแยกกระเป๋าที่ต้องใช้หลายลายเซ็นหรือมีระยะหน่วงเวลาการถอน

แหล่งอ้างอิง