สรุปสั้น

ทีม ThreatLabz ของบริษัท Zscaler รายงานว่ากลุ่มแรนซัมแวร์นำ generative AI มาใช้ทั้งก่อนและหลังเจาะระบบ ตั้งแต่เขียนอีเมลฟิชชิงให้แนบเนียน เร่งการสำรวจเครือข่าย ไปจนถึงคัดแยกเอกสารเพื่อหาข้อมูลที่หากรั่วจะสร้างแรงกดดันทางธุรกิจ ชื่อเสียง หรือข้อกฎหมายได้มากที่สุด แนวโน้มนี้ทำให้การขู่กรรโชกเปลี่ยนเป็นการเลือกขโมยข้อมูลแบบเจาะจงและรวดเร็ว แทนการพึ่งการเข้ารหัสไฟล์อย่างเดียว รายงานแรนซัมแวร์ปี 2026 ของ ThreatLabz บันทึกว่ากลุ่มแรนซัมแวร์ใหญ่ 10 อันดับแรกขโมยข้อมูลรวม 896.2 เทราไบต์ระหว่างเมษายน 2568 ถึงมีนาคม 2569 เพิ่มขึ้น 275.8% จากปีก่อน แต่ Zscaler ยอมรับเองว่าตัวเลขนี้แสดงขนาดของการขโมย ไม่ได้วัดว่าส่วนใดเป็นผลจาก AI

ตัวอย่างที่ชัดคือองค์กรด้านสุขภาพแห่งหนึ่งที่จ่ายเงิน 2 ล้านดอลลาร์สหรัฐเพื่อป้องกันไม่ให้ข้อมูลถูกเผยแพร่ ทั้งที่ไม่มีการเข้ารหัสไฟล์เลย ซึ่งแสดงว่าการกู้คืนจากแบ็กอัปไม่ได้แก้ปัญหาแรนซัมแวร์ได้ทุกกรณี ในเหตุของกลุ่ม Payouts King ทีมวิจัยพบการพักข้อมูลและส่งออกผ่าน SFTP ภายในไม่กี่ชั่วโมงหลังเจาะได้ และพบสคริปต์ batch หลายเวอร์ชันที่ดูเหมือนสร้างอัตโนมัติด้วย AI Zscaler จึงเสนอให้องค์กรใช้ “เวลาจนถึงการส่งข้อมูลออก” (time to exfiltration) เป็นตัวชี้วัดหลัก เพราะถ้ารอตรวจจับตอนเข้ารหัส องค์กรอาจเสียข้อมูลสำคัญที่สุดไปแล้ว

รายละเอียดข่าว

เว็บไซต์ GBHackers รายงานเมื่อวันที่ 20 ตุลาคม 2569 อ้างบทวิเคราะห์ของ Zscaler ThreatLabz ว่า หลังได้สิทธิ์เข้าถึงแล้ว ผู้โจมตีใช้ generative AI จัดประเภทเอกสารที่เข้าถึงได้และค้นหาข้อมูลมีมูลค่าทางการค้าหรืออ่อนไหว แทนการไล่อ่านคลังไฟล์ขนาดใหญ่ด้วยมือ ทีมวิจัยเน้นว่ากิจกรรมนี้ยังเป็นการสำรวจหลังเจาะระบบ AI ช่วยตัดสินว่าอะไรควรขโมยหลังบัญชีหรือเครื่องถูกยึดแล้ว ขอบเขตจึงขึ้นกับสิทธิ์ของบัญชีที่ถูกยึด สิทธิ์ที่มากเกินจำเป็นจึงยิ่งอันตราย

ด้านการเข้าถึงครั้งแรก Zscaler บันทึกรูปแบบที่เริ่มจากการถล่มอีเมลขยะใส่เหยื่อ (email bombing) แล้วโทรผ่าน Microsoft Teams ปลอมเป็นฝ่ายไอที หลอกให้เหยื่อเปิดสิทธิ์ผ่านเครื่องมือช่วยเหลือระยะไกลที่ถูกกฎหมาย อย่าง Microsoft Quick Assist, AnyDesk และ TeamViewer (รูปแบบเดียวกับโพสต์ 2026/07/294) จากการวิเคราะห์เหยื่อ 351 รายในแคมเปญแรนซัมแวร์ใหญ่แคมเปญหนึ่ง พบว่า 62% อยู่ในตำแหน่งผู้จัดการขึ้นไป และกว่าสามในสี่ทำงานด้านการเงิน การขาย ปฏิบัติการ ทรัพยากรบุคคล หรือการตลาด แสดงว่าผู้โจมตีให้ค่ากับสิทธิ์เข้าถึงข้อมูลธุรกิจและความน่าเชื่อถือในองค์กร ไม่ใช่แค่สิทธิ์ทางเทคนิค

AI ยังลดจุดอ่อนด้านภาษาที่เคยใช้จับฟิชชิง ผู้โจมตีสร้างอีเมลที่สละสลวย เว็บไซต์ที่น่าเชื่อ และเนื้อหาแอบอ้างในภาษาท้องถิ่นได้ ทำให้การอบรมที่เน้นให้สังเกตคำสะกดผิดหรือไวยากรณ์แปลก ๆ ใช้ได้ผลน้อยลง

วิธีการโจมตี

Payouts King (กลุ่มที่เคยเชื่อมโยงกับส่วนขยาย Edge อันตรายในโพสต์ 2026/06/172) เป็นกรณีที่ ThreatLabz ใช้อธิบายการทำงานแบบ “ความเร็วระดับเครื่องจักร”:

  • เครื่องมือที่น่าจะสร้างด้วย AI — พบสคริปต์ batch อันตรายหลายเวอร์ชันที่ทำงานได้จริงและดูเหมือนสร้างแบบอัตโนมัติ แต่ทีมวิจัยระบุชัดว่าไม่ได้ยืนยันว่าทุกเวอร์ชันสร้างด้วย AI การแก้สคริปต์อย่างรวดเร็วทำให้การจับด้วย signature ยากขึ้น และเครื่องมือที่ทำขึ้นเฉพาะทำให้ indicator ของเครื่องมือที่รู้จักเชื่อถือได้น้อยลง
  • ส่งข้อมูลออกเร็ว — พักข้อมูลและส่งออกผ่าน Secure File Transfer Protocol (SFTP) ภายในไม่กี่ชั่วโมงหลังเจาะได้
  • ขยายการควบคุมก่อนเข้ารหัส — ติดตั้งเครื่องมือบริหารระยะไกล (RMM) เพิ่ม เคลื่อนที่ด้านข้างผ่านฟีเจอร์ของ Windows และใช้ Active Directory shadow credentials เพื่อคงสิทธิ์

อย่างไรก็ตาม Zscaler ชี้ว่าการเปลี่ยนโค้ดไม่ได้ซ่อนพฤติกรรมเบื้องหลัง เช่น การเข้าถึงระยะไกลที่น่าสงสัย การรวบรวมเอกสารผิดปกติ และการส่งข้อมูลออกนอกเครือข่าย ซึ่งยังเป็นจุดที่ฝ่ายป้องกันจับได้

ผลกระทบ

การขู่กรรโชกที่ไม่ต้องเข้ารหัสทำให้กลยุทธ์ป้องกันแรนซัมแวร์ที่พึ่งแบ็กอัปเป็นหลักไม่พอ ความเสียหายหลักย้ายจากการหยุดชะงักของระบบไปเป็นการรั่วของข้อมูลที่เลือกมาแล้วว่าสร้างแรงกดดันได้มากที่สุด ทั้งข้อมูลลูกค้า สัญญา ข้อมูลการเงิน และเอกสารภายในที่กระทบชื่อเสียง ส่วนการที่ AI ช่วยคัดข้อมูลได้เร็วขึ้น ทำให้ช่วงเวลาที่ฝ่ายป้องกันมีเพื่อตรวจจับก่อนข้อมูลหลุดสั้นลงเหลือเป็นชั่วโมง

ข้อมูลเหยื่อที่ส่วนใหญ่เป็นผู้จัดการในสายงานธุรกิจ ยังบอกว่าบัญชีที่ผู้โจมตีอยากได้ไม่ใช่บัญชีผู้ดูแลระบบเสมอไป แต่เป็นบัญชีที่เข้าถึงข้อมูลธุรกิจได้กว้าง ซึ่งมักได้รับการเฝ้าระวังน้อยกว่าบัญชีสิทธิ์สูง

คำแนะนำ

  • จำกัดการใช้เครื่องมือช่วยเหลือระยะไกล (Quick Assist, AnyDesk, TeamViewer) ให้เฉพาะเครื่องมือที่อนุมัติ และบล็อกการโทรหรือแชตจากผู้ใช้ Teams ภายนอกที่ไม่รู้จัก
  • อบรมพนักงานว่าฝ่ายไอทีจะไม่โทรผ่าน Teams เพื่อขอควบคุมเครื่อง โดยเฉพาะหลังได้รับอีเมลขยะจำนวนมากผิดปกติ
  • บังคับใช้หลัก least privilege กับบัญชีสายธุรกิจ ทบทวนสิทธิ์เข้าถึงแชร์ไฟล์และคลังเอกสารที่กว้างเกินจำเป็น
  • เฝ้าระวังการดาวน์โหลดจำนวนมาก การพักข้อมูลผิดปกติ การบีบอัดไฟล์ปริมาณมาก และการเชื่อมต่อ SFTP หรือปลายทางส่งข้อมูลที่ไม่คาดคิด
  • ใช้ DLP และการควบคุมการเข้าถึงคลาวด์เพื่อสกัดการส่งออกข้อมูลโดยไม่ได้รับอนุญาต และตรวจการเพิ่ม shadow credentials (msDS-KeyCredentialLink) ใน Active Directory
  • รวม telemetry ด้านตัวตน endpoint และเครือข่ายเข้าด้วยกันเพื่อลดเวลาสืบสวน และตั้ง time to exfiltration เป็นตัวชี้วัดในการซ้อมรับมือเหตุการณ์

แหล่งอ้างอิง