องค์กรในไทย 5 รายขึ้นเว็บปล่อยข้อมูลแรนซัมแวร์ใน 4 วัน — The Gentlemen อ้างเจาะมิวเซียมสยาม ไทยฮะ (KASET) และโรงเรียนนานาชาติ Wellington College

สรุปสั้น

ข้อมูลจากเว็บไซต์ติดตามแรนซัมแวร์ Ransomware.live แสดงว่า ระหว่างวันที่ 14-17 ตุลาคม 2569 มีองค์กรไทยถูกนำชื่อขึ้นเว็บไซต์ปล่อยข้อมูล (data leak site) ของกลุ่มแรนซัมแวร์รวม 5 ราย ในเวลาเพียง 4 วัน กลุ่ม The Gentlemen ยังคงเป็นกลุ่มที่เล็งไทยหนักที่สุด โดยอ้างเจาะ 3 ราย ได้แก่ มิวเซียมสยาม พิพิธภัณฑ์การเรียนรู้ในกรุงเทพฯ บริษัท ไทยฮะ จำกัด (มหาชน) ผู้ผลิตข้าวหอมมะลิและวุ้นเส้นตรา “เกษตร” ที่จดทะเบียนในตลาดหลักทรัพย์ฯ ด้วยชื่อย่อ KASET และโรงเรียนนานาชาติ Wellington College International School Bangkok ขณะที่กลุ่ม LockBit5 อ้างเจาะบริษัท สกาย ซีซี จำกัด (SKY CC) ผู้ให้บริการด้านประสบการณ์ลูกค้าและคอนแทคเซ็นเตอร์ และกลุ่ม Qilin อ้างเจาะบริษัท First Brothers

ข่าวนี้มาต่อจากกรณีที่ The Gentlemen อ้างเจาะกองทัพอากาศไทยเมื่อ 10 ตุลาคม (ดูโพสต์ 089) และเกิดซ้ำรูปแบบเดิมที่เราเคยรวบรวมไว้เมื่อกันยายน ที่องค์กรไทย 10 รายขึ้นเว็บปล่อยข้อมูลใน 18 วัน (ดูโพสต์ 09/054) ข้อควรระวังคือทั้ง 5 กรณียังเป็นเพียงคำกล่าวอ้างของกลุ่มผู้โจมตี ยังไม่มีองค์กรใดออกมายืนยัน และไม่มีการระบุขนาดหรือประเภทข้อมูลที่อ้างว่าขโมยไป

รายละเอียดข่าว

เว็บไซต์ Ransomware.live รายงานเมื่อวันที่ 14-17 ตุลาคม 2569 ว่า พบรายชื่อองค์กรไทยบนเว็บปล่อยข้อมูลของกลุ่มแรนซัมแวร์ดังนี้ (เวลาเป็น UTC ตามที่เว็บไซต์บันทึก)

มิวเซียมสยามดำเนินงานโดยสถาบันพิพิธภัณฑ์การเรียนรู้แห่งชาติ (สพร.) ซึ่งเป็นหน่วยงานของรัฐ ส่วนโรงเรียน Wellington College เป็นโรงเรียนนานาชาติหลักสูตรอังกฤษ สำหรับนักเรียนอายุ 2-18 ปี ทางฝั่งตะวันออกของกรุงเทพฯ มีนักเรียนราว 1,100 คน จึงเป็นกรณีที่อาจเกี่ยวข้องกับข้อมูลของผู้เยาว์

ข้อมูลจาก ParanoidLab ที่แสดงประกอบบน Ransomware.live พบรหัสผ่านที่เกี่ยวข้องกับโดเมนของเหยื่อหลุดอยู่ในฐานข้อมูลมัลแวร์ขโมยข้อมูล (infostealer) แล้ว ได้แก่ มิวเซียมสยาม 182 รายการ (ระดับวิกฤต 4) Wellington College 87 รายการ (ระดับวิกฤต 31) ไทยฮะ 28 รายการ (ระดับวิกฤต 7) First Brothers 11 รายการ และ SKY CC 5 รายการ ตัวเลขนี้ไม่ได้พิสูจน์ว่าการโจมตีเริ่มจากรหัสผ่านเหล่านี้ แต่สะท้อนว่าข้อมูลรับรองขององค์กรเหล่านี้รั่วสู่ตลาดใต้ดินอยู่แล้ว

วิธีการโจมตีและกลุ่มที่อยู่เบื้องหลัง

The Gentlemen เป็นกลุ่ม Ransomware-as-a-Service ที่แบ่งรายได้ให้แอฟฟิลิเอตถึง 90% และมีไทยเป็นหนึ่งในประเทศเป้าหมายหลัก ร่วมกับบราซิลและฝรั่งเศส ตามการวิเคราะห์ของบริษัท ESET งานวิจัยของ Check Point ระบุว่ากลุ่มนี้สะสมอุปกรณ์ FortiGate ที่ถูกเจาะไว้ราว 14,700 เครื่อง และรหัสผ่าน VPN ที่ทดสอบแล้วว่าใช้ได้ 969 ชุด ทำให้เข้าเครือข่ายเหยื่อได้ทันทีโดยไม่ต้องสำรวจก่อน เมื่อเข้าได้แล้วจะใช้เครื่องมือปิด EDR (GentleKiller) ผ่านไดรเวอร์ที่มีช่องโหว่ (BYOVD) และกระจายตัวเข้ารหัสผ่าน Group Policy จากโฟลเดอร์ NETLOGON ให้เครื่องในโดเมนถูกเข้ารหัสเกือบพร้อมกัน ThaiCERT เคยออกประกาศเตือนเกี่ยวกับกลุ่มนี้แล้วเมื่อมิถุนายน 2569

LockBit5 เป็นการกลับมาของแบรนด์ LockBit หลังถูกปฏิบัติการ Cronos ของหน่วยงานบังคับใช้กฎหมายนานาชาติทลายเมื่อปี 2567 ส่วน Qilin เป็นกลุ่มที่มีเหยื่อมากที่สุดกลุ่มหนึ่งของโลกในปี 2569 และเคยอ้างเจาะสายการบินไทยไลออนแอร์เมื่อต้นเดือนตุลาคม ทั้งสามกลุ่มใช้รูปแบบกรรโชกสองชั้น (double extortion) คือขโมยข้อมูลก่อนเข้ารหัส แล้วขู่ปล่อยข้อมูลหากไม่จ่ายค่าไถ่

ผลกระทบต่อไทย

เหยื่อรอบนี้กระจายหลายภาคส่วน ทั้งหน่วยงานด้านวัฒนธรรมของรัฐ บริษัทจดทะเบียน ผู้ให้บริการคอนแทคเซ็นเตอร์ และโรงเรียน ซึ่งแต่ละรายมีความเสี่ยงต่างกัน ผู้ให้บริการคอนแทคเซ็นเตอร์อย่าง SKY CC มักถือข้อมูลลูกค้าของบริษัทอื่นที่ว่าจ้าง ความเสียหายจึงอาจลามเป็นห่วงโซ่ไปยังลูกค้าปลายทาง โรงเรียนนานาชาติถือข้อมูลนักเรียนที่เป็นผู้เยาว์และข้อมูลการเงินของผู้ปกครอง ส่วนบริษัทจดทะเบียนอย่างไทยฮะอาจมีภาระต้องเปิดเผยข้อมูลต่อตลาดหลักทรัพย์ฯ หากเหตุการณ์กระทบการดำเนินงาน

ในภาพรวม การที่ The Gentlemen อ้างเจาะองค์กรไทย 4 รายภายในหนึ่งสัปดาห์ (รวมกองทัพอากาศ) ยืนยันว่ากลุ่มนี้ยังเล็งไทยอย่างต่อเนื่อง และเพราะกลุ่มนี้เข้าทางอุปกรณ์ FortiGate และ VPN ที่สะสมไว้ องค์กรไทยที่ใช้ไฟร์วอลล์ Fortinet และยังไม่เคยตรวจบัญชี VPN จึงอยู่ในกลุ่มเสี่ยงโดยตรง หากมีข้อมูลส่วนบุคคลรั่วจริง องค์กรที่ได้รับผลกระทบมีหน้าที่แจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ตาม PDPA

คำแนะนำ

• ตรวจบัญชี SSL VPN ทั้งหมดบน FortiGate ลบบัญชีที่ไม่ใช้ บังคับ MFA และอัปเดต FortiOS ให้ปิด CVE-2024-55591 และช่องโหว่ที่อยู่ในบัญชี KEV
• ตรวจหาการล็อกอิน VPN จาก IP ต่างประเทศที่ผิดปกติ และการล็อกอินสำเร็จหลังความพยายามล้มเหลวจำนวนมาก (brute force)
• เฝ้าระวังการแก้ไข Group Policy และไฟล์ใหม่ในโฟลเดอร์ NETLOGON รวมถึงการโหลดไดรเวอร์ที่มีช่องโหว่ซึ่งใช้ปิด EDR
• ตรวจหารหัสผ่านพนักงานที่รั่วจาก infostealer ผ่านบริการเฝ้าระวัง credential leak แล้วบังคับเปลี่ยนรหัสผ่าน
• เก็บแบ็กอัปแบบออฟไลน์หรือ immutable และทดสอบการกู้คืนเป็นประจำ
• ผู้ให้บริการที่ถือข้อมูลลูกค้าของบริษัทอื่น ควรเตรียมแผนแจ้งเหตุต่อลูกค้าและ สคส. ภายใน 72 ชั่วโมงหากยืนยันว่าข้อมูลรั่ว

แหล่งอ้างอิง

• 225 victims for Thailand — Ransomware.live
• Victim: Museum Siam — Ransomware.live
• Victim: skycc.co.th — Ransomware.live
• The Gentlemen ransomware operation stockpiled roughly 14,700 FortiGate firewalls to break into Southeast Asian networks — World Ngayon