สรุปสั้น

ตั้งแต่เดือนกันยายน 2569 มีองค์กรหลายแห่งถูกเจาะในแคมเปญที่ใช้ ARTEX เฟรมเวิร์กเอเจนต์ AI สำหรับโจมตีแบบอัตโนมัติที่โยงกับกลุ่มผู้โจมตีจากจีน (ดูข่าว 2026/10/055 ) เหยื่อที่เปิดเผยก่อนหน้านี้ คือ DIVD สถาบันเปิดเผยช่องโหว่ของเนเธอร์แลนด์ (2026/10/005 ) และบริษัท Chainalysis (2026/10/368 ) ล่าสุดเมื่อวันที่ 3 พฤศจิกายน 2569 บริษัท Chainstack ผู้ให้บริการโหนดและโครงสร้างพื้นฐานบล็อกเชนแบบคลาวด์ แจ้งว่าผู้โจมตีภายนอกเข้าถึงระบบบางส่วนผ่านคอมโพเนนต์ของบุคคลที่สาม เริ่มจากสภาพแวดล้อมพัฒนา (development environment) เมื่อวันที่ 26 ตุลาคม แล้วยกระดับสิทธิ์จนเข้าถึงบางส่วนของระบบ production ก่อนถูกตรวจพบและตัดการเข้าถึงในวันที่ 31 ตุลาคม รวมเวลาที่ผู้โจมตีอยู่ในระบบราว 5 วัน

ข้อมูลที่ถูกเข้าถึง คือ ฐานข้อมูลบัญชีลูกค้า ได้แก่ ชื่อองค์กร ชื่อผู้ถือบัญชี อีเมลของสมาชิกองค์กร และ password hash ที่สำคัญกว่านั้น คือ ผู้โจมตีเข้าถึงระบบที่เก็บ node credential (ข้อมูลยืนยันตัวตนที่ลูกค้าใช้เรียกโหนดบล็อกเชน) ได้ด้วย แม้ Chainstack ไม่พบหลักฐานว่าถูกอ่าน แต่ถือว่ารั่วแล้ว ในช่วงเดียวกันบริษัท WorkOS ผู้ให้บริการ API ด้านการยืนยันตัวตน ก็เปิดเผยว่าถูกเจาะด้วยเฟรมเวิร์กเดียวกัน แต่จำกัดอยู่ที่ระบบฝ่ายขายและการตลาด ลูกค้า Chainstack ควรหมุน node credential และสร้าง API key ใหม่ทันที เปลี่ยนรหัสผ่านทั้งบน Chainstack และบริการอื่นที่ใช้รหัสเดียวกัน และระวังฟิชชิงที่อาศัยข้อมูลที่หลุด

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 3 พฤศจิกายน 2569 ว่า Chainstack ระบุว่า “ผู้โจมตีภายนอกเข้าถึงโครงสร้างพื้นฐานบางส่วนของ Chainstack โดยไม่ได้รับอนุญาตผ่านคอมโพเนนต์ของบุคคลที่สาม” และบริษัทตรวจพบการบุกรุก ตัดเส้นทางเข้าถึง และกำลังเสริมความแข็งแรงของระบบ ไทม์ไลน์ที่บริษัทเผยแพร่เริ่มจากผู้โจมตีเข้าสภาพแวดล้อมพัฒนาเมื่อ 26 ตุลาคม ยกระดับเข้า production ในเวลาต่อมา และถูกตัดการเข้าถึงวันเดียวกับที่ตรวจพบ คือ 31 ตุลาคม Chainstack ไม่เปิดเผยว่าคอมโพเนนต์ของบุคคลที่สามตัวใดเป็นทางเข้า และไม่ได้ยืนยันเองว่าเป็น ARTEX การเชื่อมโยงกับแคมเปญนี้เป็นการประเมินที่มีการรายงาน โดยอาศัยความคาบเกี่ยวกับแคมเปญของกลุ่มที่โยงกับจีนซึ่งเล็งบริษัทมูลค่าสูงด้วย ARTEX

ด้าน WorkOS เปิดเผยว่าตรวจพบเหตุเมื่อวันที่ 30 ตุลาคม 2569 ผู้โจมตีใช้เฟรมเวิร์กเอเจนต์ AI ตัวเดียวกัน แต่เข้าถึงเฉพาะระบบ GTM (go-to-market) ไม่กระทบระบบ production หรือข้อมูลแพลตฟอร์มของลูกค้า ข้อมูลที่ถูกเข้าถึง ได้แก่ ข้อมูลติดต่อทางธุรกิจในระบบ CRM ประวัติบัญชีและความสัมพันธ์กับลูกค้า บทสรุปและข้อความบางส่วนจากการโทรขาย งานซัพพอร์ต และแชต Slack กับลูกค้า รวมถึงข้อมูลการใช้งานผลิตภัณฑ์ WorkOS ระบุว่าการใช้เอเจนต์ AI เพิ่มความเร็วและขนาดของการโจมตีที่อาศัยแอปที่เปิดสู่อินเทอร์เน็ตและ credential ที่ถูกขโมย ทำให้ต้องแก้ไขเร็วขึ้นและต้องมีการเฝ้าระวังที่โยงพฤติกรรมน่าสงสัยข้ามระบบได้

ส่วน Chainalysis ซึ่งเปิดเผยเหตุเมื่อสัปดาห์ก่อน ได้นำผลิตภัณฑ์ Reactor และ Data Solutions ออกจากการให้บริการชั่วคราวเชิงป้องกัน ณ วันที่ 2 พฤศจิกายน 2569 และระบุว่ากำลังเฝ้าดูระบบเหล่านี้ใกล้ชิด ก่อนหน้านั้นในวันที่ 21 กันยายน 2569 DIVD ถูกเจาะผ่านช่องโหว่ zero-day 2 ตัวในระบบ ticket โอเพนซอร์ส Zammad (CVE-2026-102489 และ CVE-2026-102490) ที่ทำให้ยกระดับสิทธิ์ รันโค้ดระยะไกล และดึงข้อมูลออกได้ ข้อจำกัดของข้อมูล คือ ยังไม่มีบริษัทใดเปิดเผยรายละเอียดทางเทคนิคว่า ARTEX เข้าสู่ระบบของแต่ละรายอย่างไร และยังไม่ชัดว่าเหยื่อทั้งหมดถูกโจมตีโดยผู้ปฏิบัติการกลุ่มเดียวกันหรือแค่ใช้เครื่องมือเดียวกัน

วิธีการโจมตี

เข้าทางคอมโพเนนต์ของบุคคลที่สาม ไม่ใช่ประตูหน้า — Chainstack ระบุเพียงว่าทางเข้า คือ คอมโพเนนต์ของบุคคลที่สาม ซึ่งอาจเป็นไลบรารี บริการ SaaS หรือเครื่องมือที่ฝังอยู่ในระบบพัฒนา บริษัทยังไม่เปิดเผยชื่อ รูปแบบนี้สอดคล้องกับเหยื่อรายอื่นในแคมเปญ ซึ่ง DIVD โดนผ่านช่องโหว่ zero-day ในซอฟต์แวร์โอเพนซอร์สที่ใช้งานอยู่

จาก development ข้ามไป production — ผู้โจมตีเริ่มที่สภาพแวดล้อมพัฒนา ซึ่งมักมีการควบคุมหลวมกว่าระบบจริง แล้วยกระดับสิทธิ์จนเข้าบางส่วนของ production ได้ การข้ามได้แบบนี้ชี้ว่ามีเส้นทางเชื่อมระหว่างสองสภาพแวดล้อม เช่น credential หรือ token ที่ใช้ร่วมกัน แม้บริษัทไม่ได้ระบุกลไก

เป้าหมาย คือ ข้อมูลบัญชีและกุญแจเข้าโหนด — ผู้โจมตีเข้าถึงฐานข้อมูลบัญชีลูกค้าและระบบที่เก็บ node credential ซึ่งถ้าถูกนำไปใช้ จะทำให้เรียกใช้โหนดบล็อกเชนในนามลูกค้าได้ ส่วน password hash เป็นค่าที่ผ่านการแปลงทางเดียว แต่รหัสผ่านที่อ่อนหรือเคยรั่วสามารถถูกเดาย้อนกลับแบบออฟไลน์ได้

AI ทำงานแทนคนในหลายขั้น — ARTEX เป็นเฟรมเวิร์กที่ให้เอเจนต์ AI วางแผนการโจมตีเฉพาะเป้าหมายและทำขั้นตอนบุกรุกหลายขั้นแบบอัตโนมัติ ผลที่ WorkOS ชี้ คือ ช่องโหว่ที่เคยรอได้ เช่น แอปที่เปิดสู่อินเทอร์เน็ตหรือ credential ที่หลุด ถูกหาและใช้เร็วขึ้นมาก

ผลกระทบ

กลุ่มที่โดนตรง คือ ลูกค้าของ Chainstack ซึ่งเป็นนักพัฒนาและบริษัทที่รันแอปบล็อกเชนบนโหนดของ Chainstack ความเสี่ยงมี 2 เรื่อง เรื่องแรก คือ node credential ที่ถ้าถูกใช้จริงจะทำให้ผู้โจมตีเรียกโหนดในนามลูกค้า สร้างค่าใช้จ่าย หรือดูทราฟฟิกธุรกรรมที่ผ่านโหนดนั้นได้ เรื่องที่สอง คือ ชื่อ อีเมล และ password hash ซึ่งเป็นวัตถุดิบชั้นดีสำหรับฟิชชิงที่แอบอ้าง Chainstack และสำหรับยึดบัญชีบริการอื่นที่ใช้รหัสผ่านซ้ำ ในวงการคริปโตที่บัญชีหนึ่งบัญชีอาจผูกกับเงินจริง ฟิชชิงแบบนี้มีมูลค่าสูง

ภาพใหญ่ คือ แคมเปญ ARTEX เล็งบริษัทที่อยู่กลางห่วงโซ่ของวงการคริปโตและความปลอดภัย ทั้งผู้ให้บริการโหนด ผู้วิเคราะห์บล็อกเชน ผู้ให้บริการยืนยันตัวตน และสถาบันเปิดเผยช่องโหว่ การเจาะผู้ให้บริการเหล่านี้ให้ข้อมูลเกี่ยวกับลูกค้าจำนวนมากในครั้งเดียว และเป็นสัญญาณว่าการโจมตีด้วยเอเจนต์ AI เริ่มทำได้จริงกับเป้าหมายที่มีทีมความปลอดภัยของตัวเอง

คำแนะนำ

  • ลูกค้า Chainstack — ทำทันที: หมุน node credential ทุกตัวและสร้าง platform API key ใหม่ แม้บริษัทจะไม่พบหลักฐานว่าถูกอ่าน
  • ลูกค้า Chainstack — ทำทันที: เปลี่ยนรหัสผ่านบัญชี Chainstack และรหัสผ่านของบริการอื่นที่ใช้รหัสเดียวกัน แล้วเปิด MFA ถ้ายังไม่ได้เปิด
  • ลูกค้า Chainstack — ตรวจว่าโดนแล้วหรือยัง: ไล่ดูล็อกการใช้งานโหนดและค่าใช้จ่ายช่วงตั้งแต่ 26 ตุลาคม 2569 หาคำขอจาก IP หรือรูปแบบที่ไม่คุ้น
  • ลูกค้า WorkOS และ Chainstack: ระวังอีเมลหรือข้อความที่อ้างถึงบัญชี สัญญา หรือบทสนทนาซัพพอร์ตเดิมอย่างแม่นยำ เพราะข้อมูลเหล่านี้หลุดออกไปแล้ว
  • องค์กรที่ใช้ Zammad: อัปเดตเป็นเวอร์ชันที่แก้ CVE-2026-102489 และ CVE-2026-102490 แล้ว
  • ทุกองค์กร — ระยะยาว: แยก credential และเครือข่ายระหว่าง development กับ production ให้ขาดจากกัน ทำบัญชีคอมโพเนนต์ของบุคคลที่สามที่เชื่อมเข้าระบบพัฒนา และตั้งการเฝ้าระวังที่โยงเหตุการณ์ข้ามระบบได้ ตามที่ WorkOS เตือน

แหล่งอ้างอิง