สรุปสั้น

สปายแวร์รับจ้าง (mercenary spyware) คือ เครื่องมือสอดแนมเชิงพาณิชย์ที่บริษัทเอกชนพัฒนาขายให้ลูกค้า ซึ่งมักเป็นหน่วยงานรัฐ ใช้เจาะโทรศัพท์ของบุคคลเป้าหมายจำนวนน้อย Apple ส่งการแจ้งเตือนภัยคุกคามระลอกใหม่ถึงผู้ใช้ iPhone ที่ถูกเลือกเป็นเป้าใน 99 ประเทศ นาย Costin Raiu นักวิจัยความปลอดภัยรายงานเมื่อ 30 ตุลาคม 2569 ว่าระลอกนี้แยกจากการแจ้งเตือนเมื่อสิงหาคมซึ่งครอบคลุม 110 ประเทศ และโยงกับการโจมตีใหม่ Apple ระบุในข้อความแจ้งว่าจนถึงตอนนี้แจ้งผู้ใช้ไปแล้วรวมกว่า 150 ประเทศ

Apple ไม่ได้ระบุชื่อผู้โจมตี สปายแวร์ วิธีส่ง หรือช่องโหว่ที่อยู่เบื้องหลังระลอกนี้ และไม่ได้โยงกับภูมิภาคใด ตัวเลข 99 ประเทศหมายถึงที่อยู่ของผู้รับแจ้ง ไม่ใช่จำนวนเหยื่อหรือเครื่องที่ติดแล้ว การแจ้งเตือนของ Apple บอกว่าเป็นเป้าด้วยความเชื่อมั่นสูง แต่ไม่ได้ยืนยันว่าเครื่องทุกเครื่องถูกยึดสำเร็จ ผู้ที่ได้รับแจ้งควรยืนยันผ่านเว็บไซต์บัญชี Apple เปิด Lockdown Mode และขอความช่วยเหลือจากผู้เชี่ยวชาญ แทนที่จะมองเป็นข้อความทั่วไป

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 31 ตุลาคม 2569 ว่า นาย Raiu เผยแพร่ข้อความแจ้งเตือนของ Apple ซึ่งระบุว่า “การแจ้งเตือนวันนี้ส่งถึงผู้ใช้ที่ถูกเล็งใน 99 ประเทศ และถึงปัจจุบันเราแจ้งผู้ใช้ในกว่า 150 ประเทศแล้ว” ตามแนวทางการแจ้งเตือนภัยคุกคามของ Apple ปฏิบัติการสปายแวร์รับจ้างใช้ทรัพยากรสูงผิดปกติเพื่อเล็งคนจำนวนน้อย การโจมตีหนึ่งครั้งอาจมีต้นทุนหลายล้านดอลลาร์ และมักเล็งนักข่าว นักเคลื่อนไหว นักการเมือง และนักการทูต เพราะงานหรือบทบาทสาธารณะของพวกเขา Apple ระบุว่าต้นทุนสูง ความซับซ้อน และอายุการใช้งานสั้นของการโจมตีเหล่านี้ทำให้ตรวจจับและป้องกันได้ยาก การสืบสวนของบริษัทอาศัยข่าวกรองภายใน และบริษัทไม่เปิดเผยรายละเอียดการตรวจจับเพื่อไม่ให้ผู้โจมตีเรียนรู้วิธีหลบ

การแจ้งเตือนส่งผ่านหลายช่องทาง ได้แก่ การแจ้งบนหน้าจอล็อกของ iPhone ในแอปการตั้งค่า และอีเมลที่ผูกกับบัญชี Apple ผู้รับแจ้งจะเห็นแบนเนอร์เมื่อเข้าสู่ระบบบัญชี Apple บนเว็บด้วย ช่องทางที่ได้รับอาจต่างกันตามรุ่นอุปกรณ์และเวอร์ชันซอฟต์แวร์ Apple ยังแนะนำให้ผู้รับแจ้งติดต่อ Digital Security Helpline ขององค์กร Access Now ซึ่งให้ความช่วยเหลือจากผู้เชี่ยวชาญตลอด 24 ชั่วโมง

ข้อจำกัดของหลักฐาน คือ Apple ไม่ได้เปิดเผยผลิตภัณฑ์สปายแวร์ วิธีส่ง หรือช่องโหว่ที่ใช้ในระลอกนี้ การระบุว่าเป็น Pegasus หรือเครื่องมือสอดแนมเชิงพาณิชย์ตัวใดจึงเกินหลักฐานที่มี แนวทางของ Apple กล่าวถึง Pegasus เป็นเพียงตัวอย่างทางประวัติศาสตร์ ไม่ใช่การระบุตัวผู้โจมตีในครั้งนี้ และ Apple ไม่ได้เปิดเผยจำนวนผู้รับแจ้ง

วิธีการโจมตี

เล็งเป็นรายบุคคล ไม่ใช่หว่านแห — ต่างจากแคมเปญฟิชชิงทั่วไป ปฏิบัติการสปายแวร์รับจ้างออกแบบรอบเป้าหมายเฉพาะคน ผู้โจมตีอาจใช้ช่องโหว่แบบ zero-click ที่ไม่ต้องให้ผู้ใช้กดอะไร หรือช่องโหว่ที่ต้องคลิกเพียงครั้งเดียว สำหรับระลอกนี้ วิธีส่งยังไม่เปิดเผย

ใช้ช่องโหว่อายุสั้น — เครื่องมือเหล่านี้มักใช้ช่องโหว่ที่ยังไม่มีแพตช์ และเปลี่ยนวิธีเมื่อถูกพบ อายุการใช้งานที่สั้นทำให้ตรวจจับจากภายนอกยาก ซึ่งเป็นเหตุผลที่ Apple ต้องพึ่งข่าวกรองภายในในการระบุผู้ถูกเล็ง

ฟิชชิงเลียนแบบการแจ้งเตือน — ความเสี่ยงคู่ขนาน คือ ผู้โจมตีอาจส่งข้อความปลอมใช้แบรนด์ Apple การแจ้งเตือนของจริงจะไม่ขอให้ติดตั้งแอปหรือโปรไฟล์คอนฟิก เปิดไฟล์ หรือให้รหัสผ่านและรหัสยืนยัน

ผลกระทบ

กลุ่มที่ถูกเล็ง คือ บุคคลที่มีความสำคัญเชิงงานหรือสาธารณะ เช่น นักข่าว นักเคลื่อนไหว นักการเมือง นักการทูต และผู้ที่ทำงานใกล้ชิดกับคนเหล่านี้ ใน 99 ประเทศ ถ้าเครื่องถูกยึดสำเร็จ ผู้โจมตีจะเข้าถึงข้อความ อีเมล ไฟล์ ตำแหน่ง ไมโครโฟน และกล้องได้ ซึ่งกระทบทั้งเจ้าของเครื่องและแหล่งข่าวหรือผู้ติดต่อของเขา

ขนาดของระลอกนี้ ซึ่งตามหลังระลอก 110 ประเทศเมื่อสองเดือนก่อน ชี้ว่าการใช้สปายแวร์รับจ้างยังแพร่หลายในหลายภูมิภาค แม้ Apple จะย้ำว่าผู้ใช้ส่วนใหญ่จะไม่ตกเป็นเป้าแบบนี้ องค์กรที่มีบุคลากรในบทบาทเสี่ยง เช่น สื่อ องค์กรภาคประชาสังคม และหน่วยงานการทูต ควรมีแผนรับมือเมื่อบุคลากรได้รับการแจ้งเตือน

คำแนะนำ

  • ยืนยันการแจ้งเตือนด้วยตัวเอง — ผู้ได้รับแจ้งควรเปิดเว็บไซต์บัญชี Apple เองโดยพิมพ์ที่อยู่ (ไม่กดลิงก์ในข้อความ) แล้วตรวจว่ามีแบนเนอร์แจ้งเตือนหรือไม่ และจำไว้ว่าของจริงไม่ขอให้ติดตั้งอะไรหรือให้รหัสผ่าน
  • อัปเดต iOS แล้วเปิด Lockdown Mode — อัปเดตอุปกรณ์ก่อน แล้วเปิดที่ การตั้งค่า > ความเป็นส่วนตัวและความปลอดภัย > Lockdown Mode บนทุกอุปกรณ์ที่รองรับ ฟีเจอร์นี้จำกัดไฟล์แนบในข้อความ เทคโนโลยีเว็บบางส่วน สาย FaceTime ขาเข้า และการติดตั้งโปรไฟล์ ซึ่งลดช่องทางที่ผู้โจมตีใช้
  • ขอความช่วยเหลือจากผู้เชี่ยวชาญ — ติดต่อ Digital Security Helpline ของ Access Now หรือทีมความปลอดภัยขององค์กร เพื่อตรวจอุปกรณ์อย่างละเอียด
  • แจ้งผู้ติดต่อที่อ่อนไหว — ถ้าเป็นนักข่าวหรือผู้ทำงานด้านสิทธิ ควรพิจารณาว่าแหล่งข่าวหรือผู้ติดต่อคนใดอาจได้รับผลกระทบ และเปลี่ยนช่องทางสื่อสาร
  • องค์กรที่มีบุคลากรเสี่ยงสูง — กำหนดขั้นตอนรับมือเมื่อพนักงานได้รับการแจ้งเตือน เช่น แยกอุปกรณ์ หมุนเวียน credential ของบัญชีงาน และเตรียมอุปกรณ์สำรอง

แหล่งอ้างอิง