สรุปสั้น

Citizen Lab ห้องปฏิบัติการวิจัยของมหาวิทยาลัยโทรอนโต ยืนยันเมื่อวันที่ 19 ตุลาคม 2569 ว่าไอโฟนของนาย Vladan Đokić อธิการบดีมหาวิทยาลัยเบลเกรดและผู้สนับสนุนคนสำคัญของขบวนการประท้วงของนักศึกษาเซอร์เบีย ติดสปายแวร์ Pegasus ของบริษัท NSO Group ในปี 2569 ผ่านช่องโหว่แบบ zero-click ที่เจ้าของเครื่องไม่ต้องแตะลิงก์หรือเปิดไฟล์ใด ๆ การเปิดเผยนี้เกิดขึ้น 6 วันก่อนการเลือกตั้งรัฐสภาแบบเร่งด่วนของเซอร์เบียในวันที่ 25 ตุลาคม ซึ่งประกาศเมื่อเดือนกันยายนหลังการประท้วงยาวนานเกือบ 2 ปี นับตั้งแต่หลังคาสถานีรถไฟที่เมืองโนวีซาดถล่มเมื่อพฤศจิกายน 2567 มีผู้เสียชีวิต 16 ราย

อีกกรณีคือนาย Rade Bajić เจ้าหน้าที่อาวุโสของสำนักงานอัยการคดีอาชญากรรมที่จัดตั้งในลักษณะองค์กร ผู้เคยทำคดีทุจริต “Generalštab” ที่เกี่ยวกับโครงการอสังหาริมทรัพย์ในเบลเกรดที่โยงกับบริษัทของนาย Jared Kushner เขาได้รับ Apple Threat Notification เมื่อ 13 สิงหาคม และได้รับการเตือนซ้ำเมื่อ 27 สิงหาคม Citizen Lab ระบุว่ายังสืบสวนต่อ ไม่ได้ระบุผู้อยู่เบื้องหลัง ไม่ได้ระบุช่องโหว่ที่ใช้หรือวันที่ติดเชื้อ และยังไม่สรุปว่าเครื่องของนาย Bajić ติดเชื้อหรือไม่ สองกรณีนี้ทำให้จำนวนผู้คนในภาคประชาสังคมเซอร์เบียที่ทราบต่อสาธารณะว่าถูกเล็งเป้าหรือติดสปายแวร์รับจ้างในปีนี้เพิ่มเป็นอย่างน้อย 16 ราย

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 20 ตุลาคม 2569 ว่า Citizen Lab วิเคราะห์ร่องรอยทางนิติวิทยาศาสตร์จากโทรศัพท์ตามคำขอของนาย Đokić เอง โดยทำงานร่วมกับองค์กร SHARE Foundation กลุ่มสิทธิดิจิทัลของเซอร์เบีย ซึ่งเป็นผู้นำการสืบสวนกรณีชุดก่อนหน้าที่เปิดเผยในเดือนกันยายน

นาย Đokić เรียกสปายแวร์บนเครื่องของเขาว่าเป็น “ความพยายามข่มขู่อีกครั้งหนึ่ง” ในแถลงการณ์ภาษาอังกฤษที่มหาวิทยาลัยเผยแพร่ และเรียกร้องให้มีการสืบสวนอย่างอิสระโดยไม่ชักช้า เปิดเผยผลต่อสาธารณะ และดำเนินคดีกับผู้ติดตั้งและใช้งานสปายแวร์ เขาระบุด้วยว่าตำรวจเคยบุกค้นสำนักงานอธิการบดีเมื่อวันที่ 31 มีนาคม และยึดคอมพิวเตอร์กับเซิร์ฟเวอร์ไป

คดี Generalštab เกี่ยวกับการถอดสถานะคุ้มครองมรดกของอาคารกองบัญชาการทหารเก่าในเบลเกรดที่ถูกระเบิดเสียหาย เพื่อเปิดทางให้โครงการหรูที่บริษัทซึ่งโยงกับนาย Kushner บุตรเขยของประธานาธิบดี Donald Trump สนับสนุน สำนักข่าว AP รายงานว่าในเดือนธันวาคม 2568 อัยการตั้งข้อหานาย Nikola Selaković รัฐมนตรีวัฒนธรรม และเจ้าหน้าที่อีก 3 ราย ฐานใช้อำนาจโดยมิชอบและปลอมแปลงเอกสาร นาย Bajić ระบุว่าเขาถูกถอดจากการสืบสวนเมื่อพฤศจิกายน 2568 โดยไม่มีคำอธิบาย และในเดือนกุมภาพันธ์เขาขึ้นพูดถึงคดีนี้ในการประท้วงที่นักศึกษาจัดขึ้นหน้าศาลรัฐธรรมนูญ

ด้านหน่วยข่าวกรองพลเรือนของเซอร์เบีย (BIA) เคยปัดข้อกล่าวหาเมื่อเดือนกันยายนที่ว่านักศึกษาและนักการเมืองฝ่ายค้านถูกสอดแนมว่าเป็น “การปั่นกระแสไร้สาระ” ในแถลงการณ์วันที่ 3 กันยายน ตามคำแปลของสถานีข่าว N1 และยืนยันว่าทำงานภายใต้กฎหมายเซอร์เบียอย่างเคร่งครัด

Pegasus spyware infection confirmed on iPhone of University of Belgrade rector before Serbian election

วิธีการโจมตี

Pegasus แบบ zero-click และข้อจำกัดของหลักฐาน

Citizen Lab ยืนยันการติดเชื้อบนเครื่องของนาย Đokić ด้วยความมั่นใจสูง แต่บันทึกวิจัยไม่ได้ระบุวันที่ติดเชื้อภายในปี 2569 ไม่ได้ระบุช่องโหว่ที่ใช้ และไม่ได้บอกว่า iOS เวอร์ชันปัจจุบันปิดช่องโหว่นั้นแล้วหรือยัง จึงไม่มีแพตช์เฉพาะสำหรับกรณีนี้ให้ติดตั้ง รายงานยังไม่ระบุว่ามีข้อมูลอะไรถูกนำออกจากเครื่องบ้าง อย่างไรก็ตาม จากการวิเคราะห์ของ Citizen Lab ในกรณีเดือนกันยายน Pegasus ให้ผู้ควบคุมเข้าถึงเครื่องได้เท่ากับเจ้าของ รวมถึงข้อความส่วนตัวและข้อความเข้ารหัส และเปิดไมโครโฟนกับกล้องได้โดยเจ้าของไม่รู้ตัว

Apple Threat Notification

Apple ส่งการแจ้งเตือนนี้เมื่อตรวจพบกิจกรรมที่สอดคล้องกับการโจมตีด้วยสปายแวร์รับจ้าง (mercenary spyware) หรือเครื่องมือแฮ็กเชิงพาณิชย์ที่บริษัทอย่าง NSO ขายให้รัฐบาล โดย Apple ไม่บอกว่าใครเป็นผู้โจมตี Citizen Lab ถือว่าการแจ้งเตือนเป็นสัญญาณความมั่นใจสูงว่าเครื่องของนาย Bajić น่าจะถูกเล็งเป้า แต่การตรวจพิสูจน์เครื่องยังดำเนินอยู่

คลื่นการสอดแนมในเซอร์เบียตลอดปี 2569

สองกรณีนี้ต่อยอดจากคลื่นที่ SHARE รายงานเมื่อ 2 กันยายนว่ามีอย่างน้อย 14 คนในเซอร์เบีย ทั้งนักศึกษาแกนนำ ส.ส.ฝ่ายค้าน และสมาชิกสภาท้องถิ่น ถูกเล็งเป้าด้วยสปายแวร์ตั้งแต่ต้นปี ในจำนวนนี้ 12 คนได้รับ Apple Threat Notification ในเดือนสิงหาคม ซึ่งเป็นเดือนที่ Apple ส่งคำเตือนไปยังผู้ใช้ใน 110 ประเทศ หนึ่งในนั้นคือนางสาว Jelena Kontić นักศึกษาที่ Citizen Lab ยืนยันว่าติด Pegasus (เว็บนี้รายงานไว้ใน 2026/09/021 ) ส่วนอีก 2 คนถูกติดตั้ง NoviSpy สปายแวร์แอนดรอยด์รุ่นใหม่

องค์กร Amnesty International เคยรายงานเมื่อธันวาคม 2567 ว่า NoviSpy ถูกตั้งค่าให้ส่งข้อมูลที่ขโมยไปยังเซิร์ฟเวอร์ที่ใช้ IP ของ BIA และถูกติดตั้งลงมือถือของนักเคลื่อนไหวและนักข่าวระหว่างการสอบปากคำของตำรวจ หลังเครื่องถูกปลดล็อกด้วยเครื่องมือนิติวิทยาศาสตร์ของบริษัท Cellebrite ทนายของนางสาว Kontić ยื่นฟ้องอาญาเมื่อ 6 ตุลาคมต่อบุคคลไม่ทราบชื่อใน BIA และตำรวจ รวมถึงผู้รับผิดชอบใน NSO Group SHARE ระบุว่า Pegasus ขายให้เฉพาะรัฐบาลและหน่วยงานรัฐ และที่ผ่านมาการร้องเรียนเรื่องสปายแวร์ในเซอร์เบียยังไม่นำไปสู่การดำเนินการที่ได้ผล

ผลกระทบ

กรณีนี้แสดงให้เห็นว่าเป้าหมายของสปายแวร์รับจ้างในเซอร์เบียขยายจากนักศึกษาและนักการเมืองฝ่ายค้าน ไปถึงผู้บริหารมหาวิทยาลัยและเจ้าหน้าที่ในกระบวนการยุติธรรมที่เคยทำคดีทุจริตเกี่ยวกับรัฐมนตรี เวลาที่ถูกเปิดเผยก่อนการเลือกตั้งเพียงไม่กี่วันยิ่งเพิ่มน้ำหนักทางการเมือง แม้ Citizen Lab จะยังไม่ระบุตัวผู้อยู่เบื้องหลังก็ตาม

ในเชิงเทคนิค การติดเชื้อแบบ zero-click หมายความว่าการอบรมให้ระวังลิงก์หรือไฟล์แนบไม่พอสำหรับคนที่ตกเป็นเป้า เมื่อผู้ควบคุม Pegasus เข้าถึงข้อความเข้ารหัส ไมโครโฟน และกล้องได้ ผลกระทบจึงไม่ได้จำกัดอยู่ที่เจ้าของเครื่อง แต่รวมถึงทุกคนที่ติดต่อกับเขา ทั้งแหล่งข่าว ผู้ร่วมงาน และนักศึกษาที่ประสานงานการประท้วง

คำแนะนำ

  • บุคคลที่เสี่ยงถูกเล็งเป้าเพราะตำแหน่งหรือบทบาท เช่น ผู้บริหารองค์กร นักข่าว นักกฎหมาย และนักเคลื่อนไหว ควรเปิด Lockdown Mode บนไอโฟนและอัปเดต iOS ให้เป็นเวอร์ชันล่าสุดเสมอ
  • หากได้รับ Apple Threat Notification ให้ถือว่าเครื่องติดเชื้อจนกว่าผู้เชี่ยวชาญจะตรวจแล้ว และขอความช่วยเหลือทันที เช่น Digital Security Helpline ขององค์กร Access Now
  • ให้คนใกล้ชิด เช่น ครอบครัวและผู้ร่วมงาน ตรวจหาสปายแวร์ด้วย เพราะผู้โจมตีอาจเข้าถึงเป้าหมายผ่านคนรอบตัว
  • รีสตาร์ตเครื่องเป็นประจำ เนื่องจากการติดเชื้อแบบ zero-click บางรูปแบบไม่คงอยู่หลังรีบูต แม้จะไม่ใช่การป้องกันที่สมบูรณ์
  • ระมัดระวังเมื่อต้องส่งมอบหรือปลดล็อกโทรศัพท์ให้เจ้าหน้าที่ เพราะ NoviSpy ถูกติดตั้งระหว่างที่เครื่องอยู่ในความครอบครองของเจ้าหน้าที่ หลังจากนั้นควรให้ผู้เชี่ยวชาญตรวจเครื่อง

แหล่งอ้างอิง