สรุปสั้น

นายหน้าขายสิทธิ์เข้าถึงเครือข่าย (initial access broker หรือ IAB) คือ ผู้ที่เจาะเข้าองค์กรได้แล้วนำ “ทางเข้า” ไปขายต่อให้แก๊งแรนซัมแวร์หรืออาชญากรอื่น บริษัทข่าวกรองภัยคุกคาม Intel471 พบว่าอิตาลีโผล่ขึ้นหัวตารางในรายงานภายในทุกเดือนจนต้องศึกษาแยก ผลที่เปิดให้ Dark Reading ดูก่อนเผยแพร่เมื่อปลายเดือนตุลาคม 2569 คือ องค์กรในอิตาลีคิดเป็นราว 7% ของสิทธิ์เข้าถึงที่ขายในฟอรัมอาชญากรรม เป็นอันดับ 2 ของโลกรองจากสหรัฐฯ (30%) ทั้งที่อิตาลีเป็นประเทศใหญ่อันดับ 25 และอิตาลียังเป็นประเทศที่ถูกแรนซัมแวร์โจมตีมากเป็นอันดับ 4

ที่แปลกกว่าจำนวน คือ วิธีเข้า ในอิตาลี IAB ได้สิทธิ์เข้าถึงจากช่องโหว่ถึง 57% เทียบกับเพียง 6.5% ในข้อมูลระดับโลกของบริษัทเดียวกัน และของที่ถูกขายเกือบครึ่งเป็นโครงสร้างเว็บของเหยื่อ ขณะที่ทั่วโลกส่วนใหญ่เป็นเครื่องมือรีโมตและรหัสผ่าน นักวิจัยมีสมมติฐาน 3 ข้อ ได้แก่ แพตช์ช้า ผลของขนาดที่ทำให้ยิงช่องโหว่เดิมซ้ำได้คุ้ม และสัดส่วนธุรกิจขนาดเล็กที่สูงผิดปกติ แต่ยอมรับว่ายังอธิบายไม่ได้ครบ บทเรียนสำหรับองค์กรทุกประเทศ คือ ช่องโหว่เก่าบนระบบเว็บที่ไม่แพตช์ยังเป็นทางเข้าหลักของตลาดมืด

รายละเอียดข่าว

เว็บไซต์ Dark Reading รายงานเมื่อวันที่ 29 ตุลาคม 2569 ว่า Intel471 ได้รับรายงานฉบับเฉพาะเรื่องอิตาลีก่อนเผยแพร่ นาย Gianluca Tiepolo นักวิเคราะห์อาชญากรรมไซเบอร์ของ Intel471 อธิบายว่าทีมตัดสินใจศึกษาเพราะอิตาลีขึ้นอันดับต้นของสถิติประจำเดือนต่อเนื่อง และพบว่าองค์กรในอิตาลีถูกเจาะในอัตราที่สูงเกินกว่าที่ขนาดประเทศ เศรษฐกิจ และการเมืองจะอธิบายได้ ตัวเลขหลักของอิตาลี คือ 57% ของสิทธิ์เข้าถึงมาจากช่องโหว่ 23% มาจากรหัสผ่าน และของที่ขายเป็นโครงสร้างเว็บ 49% กับเครื่องมือรีโมตและรีโมตเดสก์ท็อป 26%

เมื่อเทียบกับรายงาน 2026 Cyber Threat Trends & Outlook ของ Intel471 เอง ภาพต่างกันชัด ในปี 2568 ทั่วโลก IAB เล็งเครื่องมือรีโมตถึง 67% ขณะที่โครงสร้างเว็บมีสัดส่วนน้อยจนรายงานไม่ได้ระบุ และประกาศขาย 49% ระบุรหัสผ่านเป็นช่องทาง เทียบกับ 23% ในอิตาลี ด้านบริษัท Cleafy จากมิลานบอก Dark Reading ว่าไม่รับรองข้อมูลของ Intel471 โดยตรง แต่เห็นรูปแบบคล้ายกัน คือ ผู้โจมตีใช้เครื่องมือ โครงสร้าง และเทคนิคเดิมซ้ำกับธนาคารอิตาลีหลายแห่ง เช่น ชุด web injection ชื่อ drIBAN ที่ใช้ประโยชน์จากระบบอีเมลรับรอง PEC ซึ่งใช้แพร่หลายในอิตาลี

ข้อจำกัดของหลักฐาน คือ ตัวเลขทั้งหมดมาจากข้อมูลของ Intel471 รายเดียวที่สังเกตจากฟอรัมอาชญากรรม ซึ่งสะท้อนสิ่งที่ถูกประกาศขาย ไม่ใช่จำนวนเหตุบุกรุกทั้งหมด นักวิจัยระบุไม่ได้ว่าเทคโนโลยีหรือช่องโหว่ใดเป็นตัวขับหลัก และ Cleafy เองก็ย้ำว่ากรณีของตนไม่ได้พิสูจน์ว่าอิตาลีมีตลาดสิทธิ์เข้าถึงใหญ่เกินสัดส่วน

วิธีการโจมตี

ยิงแบบเหมาโหล ไม่ได้เล็งอิตาลี — นาย Tiepolo ระบุว่าราว 90% ของประกาศขายสิทธิ์เข้าถึงองค์กรอิตาลีเป็นแบบ “wholesale” คือ ผู้โจมตีไม่ได้เลือกอิตาลีเป็นเป้า แต่สแกนหาช่องโหว่ที่รู้จักแล้วยิงทั้งอินเทอร์เน็ต และอิตาลีติดมามากกว่าประเทศอื่น

สมมติฐาน 1: แพตช์และการลงทุนช้า — นาย Tiepolo ซึ่งเป็นชาวอิตาลีมองว่าอิตาลีตามหลังประเทศยุโรปอื่นด้านเทคโนโลยีความปลอดภัย เช่น EDR (ระบบตรวจจับและตอบสนองบนเครื่องปลายทาง) เพิ่งแพร่หลายราวปี 2563–2564 เขายกข้อมูล PHP2Shell ที่ระบุว่าอิตาลีเป็นประเทศในยุโรปที่ใช้ PHP 4, 5 และ 7 ซึ่งหมดระยะสนับสนุนแล้วมากที่สุด (ที่มาของ PHP2Shell ดูข่าว 2026/10/215 )

สมมติฐาน 2: ผลของขนาด — ถ้าเทคโนโลยีบางตัวใช้มากในประเทศหนึ่งและแพตช์ช้า ผู้โจมตีที่ทำวิธีเจาะได้ครั้งเดียวก็ใช้ซ้ำกับระบบอื่นได้โดยไม่ต้องสำรวจทีละองค์กร รายงานของ Intel471 ระบุว่าวิธีนี้ลดต้นทุนการเจาะธุรกิจที่ปกติไม่คุ้มให้ลงแรงเฉพาะ

สมมติฐาน 3: สัดส่วน SME สูง — ข้อมูล OECD ระบุว่าบริษัทในอิตาลีปี 2566 เป็น SME ถึง 99.9% และเป็นวิสาหกิจรายย่อย 94.8% ขณะที่ข้อมูลการขู่กรรโชกชี้ว่าแก๊งต่าง ๆ เล็งธุรกิจขนาดเล็กและกลางมากเกินสัดส่วน ประเทศที่มีบริษัทขนาดเล็กมากจึงอาจดูโดดในชุดข้อมูล

ผลกระทบ

กลุ่มที่เสี่ยงที่สุด คือ ธุรกิจขนาดเล็กและกลางในอิตาลีที่ยังใช้ระบบเว็บและ PHP รุ่นที่หมดระยะสนับสนุน เพราะสิทธิ์เข้าถึงที่ IAB ขายมักถูกซื้อต่อโดยแก๊งแรนซัมแวร์ ผลลัพธ์จริงจึงไม่ใช่แค่เว็บถูกเจาะ แต่เป็นการถูกเข้ารหัสและขู่เรียกค่าไถ่ในขั้นถัดไป ซึ่งสอดคล้องกับที่อิตาลีเป็นเป้าแรนซัมแวร์อันดับ 4 ของโลก

นอกอิตาลี ข่าวนี้เป็นสัญญาณว่าการแพตช์ช้าในระดับประเทศเปลี่ยนแปลงสถิติได้มากขนาดไหน ประเทศหรืออุตสาหกรรมใดที่ใช้ซอฟต์แวร์รุ่นเก่ากระจุกตัวและแพตช์ช้า ก็มีโอกาสกลายเป็นแหล่งวัตถุดิบของ IAB แบบเดียวกัน เพราะผู้โจมตีไม่ต้องเลือกเป้า แค่ยิงช่องโหว่ที่รู้จักแล้วรอดูว่าใครติด

คำแนะนำ

  • ไล่แพตช์ช่องโหว่ที่ถูกโจมตีจริงก่อน — ใช้รายการ CISA KEV เป็นลำดับความสำคัญ โดยเฉพาะระบบที่เปิดสู่อินเทอร์เน็ต เช่น CMS เว็บเซิร์ฟเวอร์ และอุปกรณ์ขอบเครือข่าย
  • สำรวจ PHP และ CMS รุ่นที่หมดระยะสนับสนุน — ระบบที่ยังใช้ PHP 4, 5 หรือ 7 ควรมีแผนย้ายหรือแยกออกจากเครือข่ายหลัก เพราะจะไม่ได้รับแพตช์อีก
  • ทำบัญชีทรัพย์สินที่เปิดสู่ภายนอก — สแกนจากมุมผู้โจมตีเป็นประจำ เพื่อหาเว็บเก่าหรือหน้าแอดมินที่ถูกลืม
  • เฝ้าตลาดสิทธิ์เข้าถึง — องค์กรที่มีบริการข่าวกรองภัยคุกคามควรตั้งการแจ้งเตือนชื่อโดเมนหรือชื่อบริษัทในประกาศขายของ IAB เพราะเป็นสัญญาณเตือนก่อนแรนซัมแวร์
  • SME ใช้บริการที่ดูแลแทน — ธุรกิจที่ไม่มีทีมความปลอดภัยควรพิจารณาเว็บโฮสติงที่อัปเดตให้อัตโนมัติ หรือบริการ MDR แทนการดูแลเซิร์ฟเวอร์เอง

แหล่งอ้างอิง