สรุปสั้น

เจ้าหน้าที่สหรัฐฯ จับกุมชาวอเมริกัน 2 คนในปฏิบัติการใหม่ที่เล็งขบวนการ IT worker ปลอมของเกาหลีเหนือ ได้แก่ นาย Michael James Bostelle จากรัฐเพนซิลเวเนีย และนาย Juan Cecilio Pena Carrillo จากรัฐเท็กซัส ทั้งคู่ถูกกล่าวหาว่าช่วยให้ IT worker เกาหลีเหนือได้งานทางไกลในบริษัทสหรัฐฯ อย่างผิดกฎหมาย โดยรับแล็ปท็อปที่บริษัทเหยื่อส่งให้พนักงานมาเก็บไว้ที่บ้านและตั้งค่าให้ผู้ปฏิบัติการในต่างประเทศรีโมตเข้าไปทำงานได้ เพื่อให้ดูเหมือนทำงานอยู่ในสหรัฐฯ คำฟ้อง 4 ข้อหาระบุว่าแผนนี้ดำเนินการตั้งแต่ปี 2019 ถึงกรกฎาคม 2025 และสร้างรายได้ฉ้อโกงกว่า 3 ล้านดอลลาร์ คำฟ้องยังระบุชื่อผู้ร่วมขบวนการที่อยู่ในจีนอีก 10 คน

ในปฏิบัติการแยกอีกชุดชื่อ Operation Lonestar Roundup สำนักงานสอบสวนกลางสหรัฐฯ (FBI) ค้น 40 จุดในเท็กซัสที่ต้องสงสัยว่าเป็นฟาร์มแล็ปท็อป และยึดแล็ปท็อปกับอุปกรณ์ KVM ที่ใช้ฉ้อโกงได้ 187 เครื่อง บริษัท CrowdStrike ซึ่งติดตามขบวนการนี้ในชื่อ Famous Chollima ช่วยในการสอบสวน และประเมินว่าการทลายฟาร์มกระทบรายได้ของขบวนการได้จำกัด FBI ยังออกประกาศเตือนว่า IT worker เกาหลีเหนือจ้างชาวอเมริกันทำงานแทนในหลายด้านมากขึ้น และแนะนำให้องค์กรใช้แนวทาง “identity in depth” ตรวจสอบตัวตนต่อเนื่องตลอดช่วงการจ้างงาน

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 14 ตุลาคม 2569 ว่า ด้วยความช่วยเหลือของผู้อำนวยความสะดวกในสหรัฐฯ IT worker เกาหลีเหนือใช้บัตรประจำตัวปลอม และใช้โครงสร้าง VPN กับพร็อกซีซ่อนตำแหน่งจริง จนได้งานในบริษัทสหรัฐฯ กว่า 70 แห่ง ในภาคการสื่อสาร งานสนับสนุนไซเบอร์ สาธารณสุข การผลิต และค้าปลีก

ผู้ต้องหาในจีน 10 คนที่ถูกตั้งข้อหาร่วมกันในคำฟ้อง ได้แก่ Sun Sheng Ming, Pei Li Guang, Weng Shou Cheng, Han Guo Bin, Wang Jian Jun, Sheng Zhang Kun, Zhang Wei Ping, Zhang Li Ping, Yu Yang และ Jin Long

CrowdStrike ระบุว่าพบองค์กรที่เป็นเหยื่อหลายสิบแห่งจากการทลายกลุ่มในครั้งนี้ อยู่ในภาคสำคัญหลายภาค ทั้งการบินและอวกาศ พลังงาน บริการทางการเงิน สาธารณสุข ความปลอดภัยไซเบอร์ วิศวกรรมกลาโหม เทคโนโลยีภาครัฐ และเทคโนโลยีผู้บริโภค และระบุว่าขบวนการนี้ไม่เลือกอุตสาหกรรม แต่เล็งทุกองค์กรที่จ้างงานทางไกลเพื่อเป็นแหล่งรายได้

วิธีการโจมตี

หลอกให้บริษัทส่งแล็ปท็อปไปที่ฟาร์ม — ตามข้อมูลของ CrowdStrike ผู้ปฏิบัติการในต่างประเทศใช้หลายวิธีเพื่อให้นายจ้างส่งแล็ปท็อปของบริษัทไปยังที่ตั้งฟาร์ม เช่น แจ้งความเท็จว่าแล็ปท็อปถูกขโมยเพื่อขอเครื่องใหม่ อ้างว่าต้องย้ายที่อยู่กะทันหันเพื่อเปลี่ยนที่ส่ง หมุนเวียนใช้ที่อยู่อาศัยหลายแห่ง และสมัครงานผ่านบริษัทจัดหาบุคลากรไอที ซึ่งทำให้เครื่องของลูกค้าปลายทางถูกเบี่ยงไปที่ฟาร์มได้โดยไม่มีใครสังเกต

ตั้งเครื่องให้รีโมตเข้าได้ — ที่ฟาร์ม ผู้อำนวยความสะดวกในสหรัฐฯ ติดตั้งฮาร์ดแวร์และซอฟต์แวร์ให้ IT worker รีโมตเข้ามาใช้เครื่องได้ เช่น อุปกรณ์ KVM ที่ควบคุมเครื่องจากภายนอก หรือซอฟต์แวร์รีโมตเดสก์ท็อปและ RMM เมื่อองค์กรเริ่มป้องกันมากขึ้น กลุ่ม Famous Chollima ก็ปรับตัว ทั้งซ่อนเครื่องมือรีโมต ปลอมค่า hash ของอุปกรณ์ และใช้ตัวระบุอุปกรณ์ชุดเดียวกันข้ามหลายองค์กรและหลายตัวตน

ทำไมฟาร์มสำคัญ — CrowdStrike อธิบายว่าฟาร์มแล็ปท็อปแก้ปัญหา 3 ด้านที่ผู้ปฏิบัติการในต่างประเทศแก้เองไม่ได้ คือด้านกายภาพ การเงิน และกฎหมาย ฟาร์มและผู้อำนวยความสะดวกให้ที่อยู่จริง ตัวตนทางกฎหมาย และช่องทางทำตามข้อกำหนดในสหรัฐฯ

จ้างคนอเมริกันทำแทน — FBI เตือนว่า IT worker จ่ายเงินให้ชาวอเมริกันทั้งที่รู้และไม่รู้ตัว ทำงานแทนในหลายด้านมากขึ้น เช่น ขึ้นกล้องหรือเข้าสัมภาษณ์งานและประชุมแทน ยืนยันตัวตนปลอม ให้ยืมบัญชีโซเชียลมีเดียหรือบัญชีเครือข่ายอาชีพ ส่งพัสดุ ตรวจปัสสาวะหรือพิมพ์ลายนิ้วมือแทน และเปิดเครื่องของบริษัทให้ต่ออินเทอร์เน็ตจากบ้านตัวเอง

ผลการสอบสวนของ CrowdStrike: ปลอมตัวตนอุปกรณ์และเครื่องมือที่ต้องจับตา

เว็บไซต์ Cyber Security News รายงานเพิ่มเติมเมื่อวันที่ 14 ตุลาคม 2569 จากรายงานของ CrowdStrike ที่เผยแพร่เมื่อวันที่ 13 ตุลาคมว่า FBI ทลายฟาร์มแล็ปท็อปหลายแห่งในสหรัฐฯ ช่วงปลายเดือนกันยายน 2569 และ CrowdStrike มองว่าเป็นจุดเริ่มต้นของการปราบปรามเครือข่ายสนับสนุนในประเทศของกลุ่ม Famous Chollima ในวงกว้างขึ้น นักวิจัยของ CrowdStrike ระบุตัวตนปลอม ตัวบ่งชี้ทางเทคนิค และเครื่องคอมพิวเตอร์ในสหรัฐฯ ที่สนับสนุนขบวนการนี้ ระหว่างเดือนเมษายน 2568 ถึงมิถุนายน 2569 โดยใช้ข้อมูลกิจกรรมของอุปกรณ์ประกอบกับการสอบสวนเจาะจง จนพบผู้อำนวยความสะดวกในพื้นที่แล้วส่งข้อมูลให้ FBI

รายงานของ CrowdStrike ไม่ได้ระบุจำนวนฟาร์ม จำนวนผู้ถูกจับ หรือจำนวนเครื่องที่ยึดในปฏิบัติการเดือนกันยายน จึงยังไม่ชัดว่าเป็นชุดเดียวกับ Operation Lonestar Roundup ที่ SecurityWeek รายงานหรือไม่ และไม่ควรนับรวมกับการค้นฟาร์มแล็ปท็อปทั่วประเทศเมื่อเดือนมิถุนายน 2568 ซึ่งเป็นคนละคดี CrowdStrike ยังชี้ว่าฟาร์มเป็นมากกว่าที่เก็บแล็ปท็อป เพราะเชื่อมการจ้างงาน การเข้าถึงระบบ และการรับเงินเดือนเข้าด้วยกัน รวมถึงเป็นช่องทางผ่านการตรวจสอบลูกค้าของธนาคาร การปิดฟาร์มหนึ่งแห่งจึงบังคับให้ขบวนการต้องสร้างห่วงโซ่นี้ใหม่

ปลอมตัวตนอุปกรณ์ — ตั้งแต่เดือนพฤษภาคม 2569 CrowdStrike พบกลุ่ม Famous Chollima ปลอมค่า hash ของอุปกรณ์ เช่น ทำให้การ์ดจับภาพวิดีโอ (capture card) แสดงตัวเป็นเว็บแคม และพบอุปกรณ์ที่ปลอมตัวชิ้นเดียวกันในองค์กรเหยื่อหลายแห่ง ซึ่งบ่งชี้ว่าผู้ปฏิบัติการใช้ตัวระบุอุปกรณ์ซ้ำ ฟาร์มยังใช้ตัวระบุชุดเดียวกันกับตัวตนพนักงานปลอมหลายคนในเวลาเดียวกัน ซึ่งเป็นอีกเบาะแสของการทำงานแบบประสานกัน

เครื่องมือที่ถูกต้องตามกฎหมายแต่ถูกใช้ในขบวนการ — CrowdStrike ระบุ Astrill VPN, AnyDesk, OBS Studio และ PiKVM เป็นเครื่องมือที่ควรตรวจตามบริบท เครื่องมือเหล่านี้ไม่ใช่มัลแวร์ และการพบเพียงอย่างเดียวไม่ได้พิสูจน์ว่าถูกเจาะ แต่ถ้าพบการใช้งานที่อธิบายไม่ได้ ร่วมกับความไม่สอดคล้องด้านตัวตนหรือที่อยู่จัดส่ง ควรสอบสวนต่อ CrowdStrike ไม่ได้เผยแพร่ค่า hash หรือ IoC เชิงเทคนิค มีเพียงสัญญาณเตือนตามตารางนี้

ประเภทสัญญาณที่ CrowdStrike รายงานบริบท
เครื่องมือAstrill VPN, AnyDesk, OBS Studio, PiKVMตรวจการใช้งานที่ไม่คาดคิด
ฮาร์ดแวร์capture card ที่ปลอมเป็นเว็บแคมตัวตนของอุปกรณ์ไม่ตรงกับของจริง
โครงสร้างพื้นฐานตัวระบุอุปกรณ์ชุดเดียวกันในตัวตนปลอมหลายคนอาจเป็นฟาร์มที่ประสานกัน
ตัวตนเบอร์โทร อีเมล บัญชีธนาคาร ถ้อยคำในเรซูเม หรือเว็บไซต์ที่ซ้ำกันข้ามโปรไฟล์เทียบประวัติผู้สมัคร
ตำแหน่งที่อยู่จัดส่งและตำแหน่งที่ล็อกอินไม่ตรงกับที่แจ้งตรวจที่อยู่ที่อ้าง

สัญญาณเตือนอื่นที่ CrowdStrike แนะนำ ได้แก่ หน้าตาในเอกสารยืนยันตัวตนกับในวิดีโอไม่ตรงกัน บุคคลอ้างอิงที่น่าสงสัย และโปรไฟล์สาธารณะที่เพิ่งสร้างใหม่

รายละเอียดคำฟ้องจากรัฐโอไฮโอ และคำเตือนใหม่ของ FBI

เว็บไซต์ The Hacker News รายงานเพิ่มเติมเมื่อวันที่ 14 ตุลาคม 2569 จากข่าวประชาสัมพันธ์ของกระทรวงยุติธรรมสหรัฐฯ (DoJ) ว่าคำฟ้องนี้ยื่นโดยสำนักงานอัยการเขตตอนเหนือของรัฐโอไฮโอ ข้อหาประกอบด้วย สมคบคิดฉ้อโกงทางสาย (wire fraud) สมคบคิดฟอกเงิน สมคบคิดขโมยตัวตน และขโมยตัวตนโดยมีเหตุฉกรรจ์ หัวข่าวและข่าวประชาสัมพันธ์ระบุว่ามีผู้ถูกฟ้อง 14 คน แต่รายชื่อที่ The Hacker News เผยแพร่มี 12 คน ได้แก่ ชาวจีน 10 คน ส่วนใหญ่อยู่ในเมืองตานตงและมณฑลเหลียวหนิง (Sun Sheng Ming, Pei Li Guang, Weng Shou Cheng, Han Guo Bin, Wang Jian Jun, Sheng Zhang Kun จากเซินเจิ้น, Zhang Wei Ping, Zhang Li Ping, Yu Yang และ Jin Long) และชาวอเมริกัน 2 คนที่ถูกจับแล้ว คือ นาย Michael James Bostelle อายุ 31 ปี จากฟิลาเดลเฟีย และนาย Juan Cecilio Pena Carrillo อายุ 37 ปี จากซานฮวน รัฐเท็กซัส ที่เหลือยังหลบหนี ข้อมูลที่เผยแพร่ไม่ได้อธิบายว่าอีก 2 คนเป็นใคร

คำฟ้องยังระบุชื่อนาย Trey Michael Nolte ผู้ร่วมขบวนการคนสำคัญในสหรัฐฯ แต่ยังไม่ได้ตั้งข้อหา นาย Nolte ถูกกล่าวหาว่าบริหารบริษัทเปลือกชื่อ Dark Falls LLC ที่อ้างว่าให้บริการพัฒนาซอฟต์แวร์ แต่จริง ๆ แล้วใช้ดำเนินแผนฉ้อโกง ส่วน Operation Lonestar Roundup รื้อฟาร์มแล็ปท็อปมากกว่า 40 แห่งทั่วรัฐเท็กซัส ระหว่างการบุกค้นวันที่ 21-25 กันยายน 2569 ผู้อำนวยความสะดวกในสหรัฐฯ ยังมีหน้าที่เปิดบัญชีธนาคารและบริการโอนเงินออนไลน์ เพื่อส่งเงินที่บริษัทเหยื่อจ่ายไปยัง IT worker ในต่างประเทศ แลกกับค่าธรรมเนียม บริษัทเหยื่อกว่า 70 แห่งกระจายอยู่ทั้งในโอไฮโอและอีกอย่างน้อย 16 รัฐ รวมถึงกรุงวอชิงตัน ดี.ซี. ขบวนการนี้ยังถูกติดตามในชื่อ purpledelta และ Wagemole ด้วย

ประกาศ PSA261013 ของ FBI ที่ออกพร้อมกันเตือนถึงพัฒนาการใหม่หลายด้าน

  • จ้างช่วงงานต่อ — IT worker เกาหลีเหนือได้งานในบริษัทตะวันตกแล้วจ้างฟรีแลนซ์ในปากีสถาน อินเดีย ไนจีเรีย หรือประเทศใกล้เคียงทำงานแทนด้วยค่าจ้างเพียงเศษเสี้ยวของเงินเดือน และจ้างฟรีแลนซ์ให้สมัครงานจำนวนมากหรือสัมภาษณ์แทนในช่วงเวลาที่กำหนด
  • ใช้ตัวตนเกินที่ตกลง — ใช้ตัวตนของผู้อำนวยความสะดวกสมัครงานมากกว่าที่ตกลงไว้โดยไม่ได้รับอนุญาต และเล็งชาวอเมริกันที่มีปัญหาทางการเงินให้มารับงานเป็นผู้อำนวยความสะดวก
  • เรื่องเล่าปลอม — มักอ้างว่าเป็นชาวจีนหรือชาวเอเชียตะวันออกที่ต้องการที่อยู่ในสหรัฐฯ ชั่วคราว หรือชาวยุโรปตะวันออกที่ต้องย้ายถิ่นเพราะสงครามรัสเซีย-ยูเครน พร้อมสร้างบริษัทปลอมและเอกสารทางการปลอมประกอบ
  • ขู่ใช้ความรุนแรง — FBI พบกรณีที่ผู้ก่อภัยขู่ทำร้ายร่างกายอดีตผู้จัดการและครอบครัวเพื่อเรียกเงิน และบังคับคนอื่นให้ช่วยดำเนินแผน ซึ่งเป็นการยกระดับใหม่
  • เล็งงานที่ต้องมี security clearance — ใช้ตัวตนหรือผู้อำนวยความสะดวกที่มีคุณสมบัติเพื่อสมัครตำแหน่งที่ต้องผ่านการรับรองความปลอดภัยของรัฐบาลสหรัฐฯ ในผู้รับเหมากลาโหมและบริษัทที่มีสัญญากับรัฐบาล และเล็งทหารประจำการสหรัฐฯ ให้รับฝากแล็ปท็อป
  • อ้างเป็นเจ้าของโปรไฟล์คนอื่น — อ้างว่าบัญชีโซเชียลมีเดียและโปรไฟล์วิชาชีพของคนอื่นในวงการเทคโนโลยีเป็นของตัวเอง เพื่อให้ใบสมัครดูน่าเชื่อถือ

ผลกระทบ

ผลกระทบต่อบริษัทเหยื่อมีมากกว่าการจ่ายเงินเดือนให้คนปลอม FBI ระบุว่า IT worker เหล่านี้แทบทุกรายนำข้อมูลออก ใช้ซอฟต์แวร์รีโมตและฮาร์ดแวร์ภายนอกควบคุมเครื่อง และดาวน์โหลดแอปพลิเคชันที่ไม่เกี่ยวกับงาน องค์กรจึงเสี่ยงทั้งข้อมูลรั่ว การถูกรีดไถ และการละเมิดมาตรการคว่ำบาตรโดยไม่ตั้งใจ เพราะเงินเดือนไหลไปถึงรัฐบาลเกาหลีเหนือ

แม้การจับกุมและการยึดเครื่อง 187 เครื่องจะเป็นความคืบหน้า แต่ CrowdStrike ประเมินว่าผลกระทบต่อกลุ่ม Famous Chollima มีน้อย เพราะขบวนการสามารถหาผู้อำนวยความสะดวกรายใหม่และปรับเทคนิคหลบการตรวจจับได้ต่อเนื่อง Cloud Thunder เคยรายงานการใช้ AI และการจ้างตัวแทนหน้ากล้องของขบวนการนี้ไว้ในโพสต์ 2026/09/131 ซึ่งสอดคล้องกับคำเตือนล่าสุดของ FBI

คำแนะนำ

  • ใช้แนวทาง “identity in depth” ตามคำแนะนำของ FBI คือวางการตรวจจับและควบคุมสิทธิ์หลายชั้น และยืนยันตัวตนต่อเนื่องตลอดช่วงการจ้างงาน ไม่ใช่ตรวจแค่ตอนรับเข้าทำงาน
  • ประเมินจากหลายสัญญาณที่เกิดร่วมกัน แทนการใช้กฎเดี่ยวที่หลบได้ง่าย เช่น ที่อยู่จัดส่งเครื่องเปลี่ยนบ่อย บัญชีธนาคารหมุนเวียน เอกสารยืนยันตัวตนที่ไม่สอดคล้องกัน
  • ตรวจหาซอฟต์แวร์รีโมตเดสก์ท็อป/RMM ที่ไม่ได้อนุมัติ และอุปกรณ์ KVM หรือฮาร์ดแวร์ภายนอกที่ต่อกับเครื่องของบริษัท
  • เฝ้าระวังการนำข้อมูลออกจากบัญชีพนักงานทางไกล และการดาวน์โหลดแอปพลิเคชันที่ไม่เกี่ยวกับหน้าที่
  • ส่งเครื่องไปที่อยู่ที่ยืนยันแล้วเท่านั้น และตรวจคำขอเปลี่ยนที่ส่งหรือขอเครื่องทดแทนอย่างเข้มงวด
  • กำหนดในสัญญากับบริษัทจัดหาบุคลากรให้มีการยืนยันตัวตนผู้รับจ้างปลายทาง เพราะเป็นช่องทางที่ถูกใช้เบี่ยงเครื่อง
  • เฝ้าระวังสัญญาณการจ้างช่วงงาน เช่น คุณภาพงานหรือรูปแบบการสื่อสารเปลี่ยนไป การล็อกอินจากหลายตำแหน่ง หรือการส่งต่อข้อมูลงานไปยังบุคคลภายนอก
  • องค์กรที่มีสัญญากับรัฐหรือตำแหน่งที่ต้องผ่าน security clearance ควรตรวจสอบประวัติและตัวตนซ้ำเป็นระยะ และตรวจโปรไฟล์ออนไลน์ที่ผู้สมัครอ้างว่าเป็นของตัวเองจริงหรือไม่
  • กำหนดช่องทางให้ผู้จัดการรายงานการถูกข่มขู่จากพนักงานหรืออดีตพนักงานทางไกล และประสานเจ้าหน้าที่บังคับใช้กฎหมายทันที

แหล่งอ้างอิง