สรุปสั้น

ทีม Insikt Group ของบริษัท Recorded Future เผยแพร่รายงานเมื่อวันที่ 16 ตุลาคม 2569 ติดตามผู้โจมตีที่โยงกับเหตุเจาะสถาบันการเงินในเกาหลีใต้ภายใต้ชื่อ TAG-217 ผู้โจมตีใช้บริการ AI หลายเจ้า ทั้ง Claude Code, DeepSeek, Grok และ Zhipu AI ทำงานร่วมกับ ARTEX ซึ่งเป็นเฟรมเวิร์กทดสอบเจาะระบบด้วย AI แบบโอเพนซอร์สภาษาจีน รายงานสาธารณะที่อ้างในการสอบสวนระบุว่าเหตุเจาะทำให้ข้อมูลส่วนบุคคลรั่วอย่างน้อย 68,000 คนจากสถาบันการเงินอย่างน้อย 7 แห่ง จุดเด่นของรายงานคือไทม์ไลน์การเตรียมการที่เริ่มตั้งแต่กลางเดือนสิงหาคม หลายสัปดาห์ก่อนเหตุโจมตีธนาคารจะเป็นข่าว

ร่องรอยทั้งหมดมาจากความผิดพลาดพื้นฐานของผู้โจมตีเอง แม้จะใช้พร็อกซีบ้าน (residential proxy) อำพรางที่มา แต่ไดเรกทอรีที่เปิดสาธารณะบนเซิร์ฟเวอร์กลับเผยไฟล์และ log จนนักวิจัยเชื่อมเซิร์ฟเวอร์ สคริปต์ และงานเตรียมการเข้าด้วยกันได้ ในนั้นพบเครื่องมือขโมยไฟล์วอลเล็ตคริปโต เครื่องมือยกระดับสิทธิ์บนลินุกซ์ และพื้นที่ทดลองเจาะ iPhone กับดัดแปลงระบบ Android อย่างไรก็ตาม Recorded Future ย้ำหลายครั้งว่าการพบเครื่องมือไม่ได้พิสูจน์ว่าเครื่องมือนั้นถูกใช้กับธนาคารเกาหลีใต้ และหลักฐานที่มีวัดไม่ได้ว่า AI เร่งการโจมตีได้มากเพียงใด

รายละเอียดข่าว

เว็บไซต์ GBHackers รายงานเมื่อวันที่ 19 ตุลาคม 2569 ถึงรายงานของ Recorded Future ซึ่งต่อยอดจากการวิเคราะห์ของบริษัท CrowdStrike เมื่อวันที่ 7 ตุลาคม ที่พบประวัติเซสชัน Claude Code ไฟล์ memory ของ AI และไฟล์ตั้งค่า ARTEX หลุดอยู่ในไดเรกทอรีเปิด การสอบสวนในเกาหลีใต้เริ่มหลังคณะกรรมการบริการทางการเงิน (Financial Services Commission) เปิดเผยเหตุเมื่อต้นเดือนตุลาคม ซึ่งเป็นการเจาะหลายบริการและข้อมูลหลายประเภท ไม่ใช่ช่องโหว่เดียวที่กระทบทุกธนาคาร เช่น เหตุหนึ่งทำข้อมูลส่วนบุคคลของนักพัฒนาภายนอกที่ธนาคารจ้างรั่ว อีกเหตุหนึ่งนำไปสู่การขโมยข้อมูลลูกค้า รายงานไม่ได้ระบุชื่อธนาคาร

Recorded Future อธิบาย TAG-217 ว่าเป็นผู้ปฏิบัติการที่ต้องสงสัยว่าพูดภาษาจีน ไม่ใช่กลุ่มที่ได้รับการยืนยันว่ารัฐหนุนหลัง และรายงานไม่ได้ระบุมัลแวร์ตระกูลใดตระกูลหนึ่งที่อยู่เบื้องหลังการเจาะทุกครั้ง ความเชื่อมโยงระหว่าง ARTEX กับเหตุโจมตีธนาคารมาจากแหล่งข่าวในอุตสาหกรรมและรายงานสาธารณะ ไม่ใช่การยืนยันโดย Insikt เอง

ไทม์ไลน์ที่ Recorded Future ประกอบจาก log มีดังนี้ ระหว่าง 17-22 สิงหาคม 2569 TAG-217 ทดสอบโครงสร้างพื้นฐานควบคุมระยะไกลและสแกนระบบที่เปิดสู่อินเทอร์เน็ต log แสดงการเชื่อมต่อซ้ำ ๆ ระหว่างเซิร์ฟเวอร์ของตัวเอง แต่ไม่มีหลักฐานว่าเข้าถึงเหยื่อได้ ภายในวันที่ 22 สิงหาคม ผู้โจมตีรวบรวมเครื่องมือเล็งระบบขุดคริปโตที่รัน YiiMP ภายในวันที่ 5 กันยายน สร้างพื้นที่ทดลองช่องโหว่ iPhone และดัดแปลงซอฟต์แวร์ระบบ Android และภายในวันที่ 26 กันยายน สภาพแวดล้อมของผู้โจมตีมีเครื่องมือ AI และบันทึกที่ครอบคลุมการสอดแนม การส่งทราฟฟิกผ่านพร็อกซี การส่ง payload และการตรวจกระบวนการชำระเงิน รวมถึงวิธีคงการเชื่อมต่อเซิร์ฟเวอร์และคัดลอกไฟล์ working memory ของ AI ระหว่างเซิร์ฟเวอร์

วิธีการโจมตี

ผู้โจมตีใช้ ARTEX เป็นแกนอัตโนมัติสำหรับการทดสอบเจาะระบบ และใช้บริการ AI หลายเจ้าทำงานต่อเนื่องในงานเทคนิค แทนการถามแชตบอตเป็นคำถามแยกทีละข้อ ทราฟฟิกถูกส่งผ่านพร็อกซีบ้านเพื่อให้ดูเหมือนผู้ใช้อินเทอร์เน็ตทั่วไป โครงสร้างประกอบด้วยเซิร์ฟเวอร์ผู้ปฏิบัติการและ jump host ที่ส่งต่อไปยังเป้าหมายผ่านพร็อกซี และเซิร์ฟเวอร์หลักที่รัน ARTEX

ชุดเครื่องมือที่พบประกอบด้วย เครื่องมือเล็งระบบขุดคริปโต YiiMP ที่ลองรหัสผ่านค่าเริ่มต้น ขโมยไฟล์ตั้งค่าและไฟล์คีย์ของวอลเล็ต คงการเข้าถึงระยะไกล และส่งแจ้งเตือนผ่าน Telegram เมื่อได้ข้อมูลรับรอง เครื่องมือใช้ช่องโหว่ลินุกซ์ที่รู้จักแล้วเพื่อยกระดับสิทธิ์หรือดึงข้อมูลรหัสผ่านที่ได้รับการป้องกันหลังเข้าระบบได้ เครื่องมือทดลองบนมือถือทั้ง iPhone และ Android และเครื่องมืออำพรางกับคงสภาพการทำงาน Recorded Future ย้ำว่า log ด้านมือถือแสดงเพียงการทดลอง ไม่ใช่การเจาะที่พิสูจน์แล้ว และการพบสคริปต์ขโมยวอลเล็ตแสดงแค่ว่าผู้โจมตีเตรียมความสามารถไว้ ไม่ได้พิสูจน์ว่าธนาคารใดสูญเสียคริปโต ส่วน IoCs ฉบับเต็ม Recorded Future เปิดให้เฉพาะลูกค้าบนแพลตฟอร์มของบริษัท รายงานสาธารณะไม่มีค่า IP โดเมน หรือแฮชใด ๆ

ผลกระทบ

กรณี TAG-217 แสดงภาพการโจมตีที่ใช้ AI ช่วยในระดับปฏิบัติการจริงต่อภาคการเงิน ผู้โจมตีคนเดียวหรือกลุ่มเล็กขยายขอบเขตงานได้กว้าง ตั้งแต่ระบบขุดคริปโต เซิร์ฟเวอร์ลินุกซ์ ไปจนถึงมือถือ ในเวลาไม่กี่สัปดาห์ แต่รายงานก็ชี้ข้อจำกัดของการโจมตีแบบนี้ไว้ชัด เครื่องมือ AI ขยายทางเลือกของผู้โจมตี แต่ความผิดพลาดพื้นฐานอย่างการเปิดไดเรกทอรีทิ้งไว้ก็ยังทิ้งร่องรอยให้ตามได้ และข้อมูลที่มีไม่ได้พิสูจน์ว่า AI ทำงานได้เองโดยไม่มีมนุษย์สั่งการ

สำหรับสถาบันการเงิน บทเรียนคือการเจาะไม่ได้มาจากบริการหน้าบ้านเท่านั้น แอปพลิเคชันของพนักงานและคู่ค้า รวมถึงนักพัฒนาภายนอก ก็เป็นทางเข้าสู่ข้อมูลที่มีค่าได้เช่นกัน Recorded Future ยังประเมินว่ามีความเป็นไปได้สูงมากที่ผู้โจมตีรายอื่นจะหันมาใช้เครื่องมือทดสอบเจาะระบบด้วย AI ลักษณะนี้ ขณะที่การใช้พร็อกซีบ้านทำให้การบล็อกด้วย IP ได้ผลน้อยลงและเสี่ยงกระทบผู้ใช้จริงที่ใช้ IP ร่วมกัน

คำแนะนำ

  • ทำบัญชีบริการที่เข้าถึงได้จากอินเทอร์เน็ตทั้งหมด รวมถึงแอปพลิเคชันของพนักงาน คู่ค้า และผู้รับจ้างพัฒนา ตรวจสิทธิ์การเข้าถึงข้อมูลแบบ least privilege และจัดลำดับการแก้ช่องโหว่ตามความอ่อนไหวของข้อมูล
  • เปิด log และเฝ้าระวังบริการที่เก็บข้อมูลลูกค้า โดยเฉพาะคำขอข้อมูลของลูกค้าหลายรายติดต่อกันในเวลาสั้น ๆ
  • เชื่อมข้อมูลโครงสร้างพื้นฐานของผู้โจมตีจาก threat intelligence เข้ากับสัญญาณภายใน เช่น การล็อกอินผิดปกติ การเข้าถึงระยะไกลที่ไม่คาดคิด และการโอนข้อมูลผิดปกติ เพื่อจับกิจกรรมแม้ผู้โจมตีเปลี่ยน IP พร็อกซี
  • ป้อน threat intelligence ที่อัปเดตต่อเนื่องเข้าระบบเฝ้าระวังและค้นย้อนหลังอัตโนมัติ
  • อนุมัติการตอบสนองอัตโนมัติไว้ล่วงหน้าเฉพาะกรณีชัดเจน เช่น ตัดเซสชันที่ยืนยันว่าเป็นอันตราย ส่วนกรณีไม่แน่ชัดหรือ IP พร็อกซีที่ใช้ร่วมกับผู้ใช้จริงต้องให้คนตรวจก่อน
  • ตรวจหาการใช้เครื่องมือทดสอบเจาะระบบด้วย AI และทราฟฟิกจาก API ของบริการ AI ที่ไม่ได้รับอนุญาตบนเซิร์ฟเวอร์ขององค์กร

แหล่งอ้างอิง