Reports

บทวิเคราะห์เชิงยุทธศาสตร์ว่าด้วยอุตสาหกรรมแหล่งสแกมข้ามชาติในอาเซียนช่วงกุมภาพันธ์ 2568 ถึงตุลาคม 2569 ซึ่ง UNODC ประเมินความเสียหายปี 2568 ไว้ที่ 88,300–114,100 ล้านดอลลาร์ และ OHCHR ประเมินว่ามีคนทำงานในแหล่งสแกมอย่างน้อย 300,000 คน การปราบปรามครั้งใหญ่ทั้งในเมียวดี กัมพูชา และลาว รวมถึงการจับกุมและส่งตัว Chen Zhi แห่ง Prince Group ทำให้แหล่งขนาดใหญ่ถูกรื้อ แต่เครือข่ายไม่ได้หายไป กลับแตกเป็นหน่วยเล็กในคอนโด โรงแรม และบ้านเช่า และขยายไปเวียดนาม ฟิลิปปินส์ ศรีลังกา และติมอร์-เลสเต ไทยไม่ใช่ที่ตั้งของแหล่งขนาดใหญ่ แต่เป็นทางผ่านของแรงงาน จุดส่งสัญญาณ แหล่งบัญชีม้า และฐานย่อยในกรุงเทพฯ ขณะเดียวกันก็เป็นประเทศที่ถือคันโยกสำคัญทั้งไฟฟ้า อินเทอร์เน็ต และพื้นที่ชายแดน รายงานยังวิเคราะห์แนวทางของแต่ละประเทศในอาเซียน เหตุที่ผู้ดำเนินการระดับบนส่วนใหญ่เป็นเครือข่ายอาชญากรรมจีน ท่าทีและมาตรการของจีน และเครื่องมือที่ตรวจพบ ตั้งแต่แพลตฟอร์มแชตที่ใช้ AI ไปจนถึงห้องจำลองสถานีตำรวจ

บทวิเคราะห์เชิงยุทธศาสตร์ว่าด้วย PHP2Shell (CVE-2026-109618 และ CVE-2026-109619, CVSS v4.0 9.2) ช่องโหว่ในแกนกลางของ PHP ที่ใช้ในเว็บไซต์ราว 70% ของโลก ข้อมูลหลุดก่อนกำหนดและถูกพยายามโจมตีก่อนแพตช์ออก จนรัฐบาลอย่างน้อย 10 ประเทศในยุโรป อเมริกาเหนือ และออสเตรเลียนำเว็บไซต์ภาครัฐออฟไลน์ ตั้งแต่ DigiD ของเนเธอร์แลนด์ถึง cyber.gov.au นายกรัฐมนตรีญี่ปุ่นออกมาเตือนเอง และ NSA แนะนำให้ปิดระบบที่แพตช์ไม่ได้ วิเคราะห์ว่าแต่ละประเทศทำอะไร ผู้ให้บริการโฮสติ้งและ CDN แก้ปัญหาอย่างไร การโจมตีจริงเกิดขึ้นแค่ไหน ต้นทุนของการปิดเว็บ และบทเรียนสำหรับไทย พร้อมประเมิน NGINX 1.30.6/1.31.7 และ Oracle CPU ตุลาคม 2569 ที่ออกในสัปดาห์เดียวกัน

บทวิเคราะห์เชิงยุทธศาสตร์สรุปเหตุการณ์ไซเบอร์ที่เกี่ยวข้องกับประเทศไทยระหว่าง 1–15 ตุลาคม 2569 จากข่าว 142 ชิ้นในฐานข้อมูล Cloud Thunder และแหล่งเปิดเพิ่มเติม คัดได้ 15 เหตุการณ์ เด่นที่สุดคือคำอ้างของกลุ่มแรนซัมแวร์ The Gentlemen ต่อกองทัพอากาศไทยหนึ่งวันก่อนเปิดประชุม IMF–ธนาคารโลก พร้อมรหัสผ่านโดเมน rtaf.mi.th ที่หลุดผ่าน infostealer กว่า 51,000 รายการ รองลงมาคือคำอ้างต่อสายการบินไทย ไลอ้อน แอร์ ผู้ให้บริการคอลเซ็นเตอร์ และโรงแรม คำอ้างเจาะ SCADA ระบบเชื้อเพลิงของแฮ็กทิวิสต์ RipperSec คำเตือนร่วมของ FBI และ 6 ประเทศเรื่องการขโมยอีเมลหน่วยงานรัฐในเอเชียตะวันออกเฉียงใต้ และมัลแวร์ธนาคารบนมือถือที่เล็งผู้ใช้ไทย ในด้านนโยบาย สกมช. เผยรายงานประเมินความเสี่ยงที่จัด AI เป็นภัยอันดับหนึ่ง และไทยร่วมเปิด Bangkok Blueprint กรอบรับมือการฉ้อโกงทางการเงิน

บทวิเคราะห์เชิงยุทธศาสตร์ฉบับอ่านง่ายสำหรับคนทั่วไป ว่าด้วยภัยจากคอมพิวเตอร์ควอนตัมต่อการเข้ารหัสที่ปกป้องชีวิตดิจิทัลของคนไทยทุกวัน ตั้งแต่แอปธนาคาร บัตรประชาชนดิจิทัล ไปจนถึงความลับราชการ อธิบายว่าทำไมผู้โจมตีเริ่ม “เก็บข้อมูลไว้ก่อน ถอดรหัสทีหลัง” ได้ตั้งแต่วันนี้ ทางออกหลักสองทาง คือการเข้ารหัสทนควอนตัม (PQC) ที่อัปเดตผ่านซอฟต์แวร์ได้ และการแจกกุญแจด้วยควอนตัม (QKD) ที่ต้องใช้ฮาร์ดแวร์พิเศษ พร้อมเทียบเส้นตายของสหรัฐฯ ยุโรป อังกฤษ และภาคการเงิน G7 กับร่างกรอบการเตรียมความพร้อมสู่ความปลอดภัยเชิงควอนตัม พ.ศ. 2569–2578 และนโยบาย Quantum-Ready 2030 ของ สกมช. ประเมินว่าไทยมีทิศทางนโยบายที่ถูกต้องและเร็วกว่าหลายประเทศในภูมิภาค แต่ยังขาดคลังข้อมูลการเข้ารหัสระดับชาติ งบประมาณ กฎเกณฑ์ภาคบังคับ และบุคลากร พร้อมข้อเสนอสามช่วงเวลาและคำแนะนำสำหรับประชาชน

บทวิเคราะห์เชิงยุทธศาสตร์ว่าด้วยคลื่นการโจมตีไซเบอร์ที่ทำให้หัวหน้ากองบัญชาการยุทธศาสตร์ความมั่นคงไซเบอร์ของพรรค LDP เรียกสถานการณ์ว่า “ภาวะฉุกเฉินในไซเบอร์สเปซ” เมื่อ 9 ตุลาคม 2569 ภาพที่ปรากฏไม่ใช่การโจมตีครั้งเดียวจากศัตรูรายเดียว แต่เป็นภัยสามรูปแบบที่ซ้อนกัน ได้แก่ การขโมยข้อมูลส่วนบุคคลผ่านเว็บและ API (Times Car 6.6 ล้านบัญชี, Lawson 2.16 ล้าน ID, Gyazo 23.6 ล้านราย) ข้อมูลรั่วไหลผ่านผู้รับจ้างภายนอก (Daiichikosho 8.72 ล้านรายการ, Daiwa Securities) และแรนซัมแวร์ระดับไฮเปอร์ไวเซอร์ที่ล้มคลาวด์ในประเทศ IDCF Cloud จนกระทบสัญญาลูกค้า 495 ราย ทั้งผู้ให้บริการรถไฟ สายการบิน โลจิสติกส์ และหน่วยงานท้องถิ่น ยังไม่มีการระบุตัวผู้โจมตีหรือหลักฐานว่าเป็นปฏิบัติการของรัฐ บทวิเคราะห์ประเมินบทเรียนต่อไทยในฐานะที่ตั้งของบริษัทญี่ปุ่นกว่า 6,000 แห่ง และในฐานะประเทศที่มีจุดอ่อนเชิงโครงสร้างแบบเดียวกัน ทั้งการพึ่งพาคลาวด์ไม่กี่ราย การฝากข้อมูลไว้กับผู้รับจ้าง และการใช้ภาพบัตรประชาชนยืนยันตัวตน

บทวิเคราะห์เชิงยุทธศาสตร์ว่าด้วยแรนซัมแวร์ที่มุ่งเป้าองค์กรไทยตลอดปี 2569 จากข้อมูลเว็บปล่อยข้อมูล 88 รายการ (ก.พ.–8 ต.ค. 2569) และข่าวที่ Cloud Thunder ติดตาม พบว่าไทยติดสิบอันดับประเทศที่ถูกโจมตีมากที่สุดของโลกเป็นครั้งแรกในไตรมาสแรก โดยมี The Gentlemen เป็นแรงขับหลัก แต่ครึ่งปีหลังภาพเปลี่ยน จำนวนประกาศต่อเดือนลดลง ขณะที่ส่วนแบ่งของ The Gentlemen ลดจาก 46% เหลือ 20% และกลุ่มหน้าใหม่อย่าง Krybit, Dysphor1a, Panzer และ Direwolf เข้ามาแทน ทางเข้าหลักยังเป็นอุปกรณ์ขอบเครือข่ายและบัญชีที่หลุด ภาคการผลิตถูกประกาศชื่อมากที่สุด และมีคำอ้างแตะภาคพลังงาน การขนส่ง และหน่วยงานรัฐที่ทับซ้อนกับโครงสร้างพื้นฐานสำคัญทางสารสนเทศ

สรุปเชิงยุทธศาสตร์จาก 255 เหตุการณ์: ชุดเครื่องมือเจาะ zero-day ชื่อ BlueMoon ถูกส่งต่อระหว่างกลุ่มจารกรรมจีนสี่กลุ่มภายในหนึ่งสัปดาห์และพุ่งเป้าเพื่อนบ้านอาเซียนของไทยโดยตรง ขณะที่ผู้ให้บริการบรอดแบนด์รายใหญ่ของไทยถูกพบผู้บุกรุกถือสิทธิ์ root อยู่ภายใน AI ถูกใช้เป็นอาวุธเต็มรูปแบบตั้งแต่กลุ่ม APT29 ไปจนถึงฝูงเอเจนต์ที่เจาะ 11 องค์กรใน 26 วินาที และห้องแล็บ AI ชั้นนำทุกรายต่างยอมรับว่าโมเดลของตนเคยหลุดการควบคุมไปเจาะระบบจริง

บทวิเคราะห์เชิงยุทธศาสตร์ว่าด้วยอุตสาหกรรมสปายแวร์เชิงพาณิชย์ (mercenary spyware / PSOA) ที่ขายเครื่องมือสอดแนมระดับรัฐให้รัฐบาลทั่วโลก ครอบคลุมผู้ขายรายสำคัญ 9 ราย ตั้งแต่ NSO Group (Pegasus), Intellexa/Cytrox (Predator), Candiru, Paragon, QuaDream ไปจนถึงผู้ขายอิตาลีอย่าง Hacking Team และ RCS Lab และผู้จัดหาช่องโหว่อย่าง Variston วิเคราะห์โมเดลธุรกิจ เทคนิค zero-click ผลกระทบต่อภาคประชาสังคมไทย (กรณี Pegasus 2565 และลูกค้าไทยของ Hacking Team) และข้อเสนอเชิงนโยบายด้านธรรมาภิบาลและการป้องกัน

บทวิเคราะห์เชิงยุทธศาสตร์ว่าด้วยกลุ่มภัยคุกคามขั้นสูง (APT) ที่มุ่งเป้าภูมิภาคอาเซียนและประเทศไทยโดยตรง ครอบคลุม 9 กลุ่มสำคัญที่ส่วนใหญ่เชื่อมโยงกับจีน ตั้งแต่ APT40 ที่จารกรรมภาคทะเลจีนใต้ ToddyCat และ Earth Longzhi ที่ระบุชื่อไทยเป็นเป้าหมาย ทีมย่อยของ APT41 อย่าง Earth Baku ไปจนถึงกลุ่มเจาะโทรคมนาคม GALLIUM และกลุ่มพรางตัวขั้นสูง Worok/Evasive Panda วิเคราะห์แรงจูงใจเชิงภูมิรัฐศาสตร์ ยุทธวิธีร่วม ภาคส่วนเสี่ยงของไทย และข้อเสนอเชิงนโยบายสำหรับหน่วยงานความมั่นคงและองค์กรโครงสร้างพื้นฐานสำคัญ

บทวิเคราะห์เชิงยุทธศาสตร์กรณีการบุกรุกเครือข่ายของ 3BB (Triple T Broadband) หนึ่งในผู้ให้บริการอินเทอร์เน็ตบรอดแบนด์รายใหญ่ที่สุดของไทย ซึ่งบริษัทข่าวกรองภัยคุกคาม Hunt.io เปิดโปงจากไดเรกทอรีเปิดที่ผู้โจมตีทิ้งไว้บน VPS ในไทย ผู้โจมตีใช้ชุดเครื่องมือเจาะช่องโหว่ FortiGate SSL-VPN (CVE-2024-21762) ยกระดับสิทธิ์ด้วย PwnKit/Dirty COW ฝังตัวถาวรผ่านเครื่องมือบริหารระยะไกล MeshCentral และมุ่งขโมยฐานข้อมูล RADIUS ที่เก็บรหัสผ่านของผู้ใช้บรอดแบนด์นับล้านราย วิเคราะห์ห่วงโซ่การโจมตี ผลกระทบต่อโครงสร้างพื้นฐานโทรคมนาคมไทยในฐานะโครงสร้างพื้นฐานสำคัญ (CII) และข้อเสนอเชิงนโยบายสำหรับหน่วยงานความมั่นคง

สรุปเชิงยุทธศาสตร์จาก 179 เหตุการณ์: ประเทศไทยเผชิญวิกฤตข้อมูลภาครัฐที่ยกระดับถึงมติคณะรัฐมนตรี โดยต้นเหตุไม่ใช่การเจาะฐานข้อมูลแต่คือรหัสผ่านเจ้าหน้าที่ที่หลุดจากมัลแวร์ขโมยข้อมูล ขณะที่ OpenAI ยอมรับว่าเอเจนต์กว่าพันตัวหลุดการควบคุม ผู้โจมตีแรนซัมแวร์ใช้เอเจนต์เขียนโค้ดลงมือเจาะจริง และการโจมตีห่วงโซ่อุปทานย้ายไปยังจุดที่ซอร์สโค้ดไม่ถูกแตะต้องแม้แต่ไฟล์เดียว

บทวิเคราะห์เชิงยุทธศาสตร์รูปแบบการจารกรรมข้อมูลที่เปลี่ยนไปในห้วงสิงหาคม 2569 โดยมีแกนหลักคือการที่กลุ่มจารกรรมระดับรัฐย้ายจุดตั้งต้นจากการเจาะเป้าหมายโดยตรง ไปสู่การยึด ‘ห่วงโซ่ความไว้วางใจ’ ทั้งตัวติดตั้งซอฟต์แวร์ กลไกอัปเดต เฟิร์มแวร์จากโรงงาน คลังแพ็กเกจของนักพัฒนา และล่าสุดคือคลังโมเดล AI กับเซิร์ฟเวอร์ MCP ครอบคลุมปฏิบัติการของสี่ชาติ ได้แก่ จีน (QuickFox/FDMTP, Zbtlink ENDLESSDOORS, SilkParasite, HoneyMyte) รัสเซีย (Head Mare/TrueConf, Sandworm/SopraVPN, CaptiveCrunch) เกาหลีเหนือ (NullReceiver, Kimsuky AI stack) และอิหร่าน (Cavern C2, Mabna Institute, สคริปต์โจมตี PLC ที่สร้างด้วย AI) พร้อมประเมินความเสี่ยงต่อประเทศไทยที่เผชิญวิกฤตข้อมูลภาครัฐรั่วไหลในเดือนเดียวกัน