จัดทำโดย: Cloud Thunder Threat Intelligence
หัวข้อ: อุตสาหกรรมสปายแวร์เชิงพาณิชย์ (Commercial / Mercenary Spyware — PSOA)
ประเภทเอกสาร: บทวิเคราะห์เชิงยุทธศาสตร์ด้านภัยคุกคามและสิทธิพลเมือง (Strategic Threat Assessment)
มุมมอง: ความมั่นคงปลอดภัยไซเบอร์และสิทธิพลเมืองของประเทศไทย
ฐานข้อมูล: รายงานจาก Citizen Lab, Amnesty International, Google TAG/Project Zero, Microsoft, Meta, Lookout, กระทรวงการคลังสหรัฐฯ (OFAC), iLaw/DigitalReach และฐานข่าวของ Cloud Thunder

บทสรุปเชิงยุทธศาสตร์ (Strategic Summary)

สปายแวร์เชิงพาณิชย์ (mercenary spyware) หรือที่เรียกในเชิงเทคนิคว่า Private Sector Offensive Actor (PSOA) คือบริษัทเอกชนที่พัฒนาและขายเครื่องมือสอดแนมระดับรัฐให้กับรัฐบาลและหน่วยงานความมั่นคงทั่วโลก ต่างจากกลุ่มจารกรรมของรัฐ (APT) ที่ปฏิบัติการเอง ผู้ขายเหล่านี้ทำหน้าที่เป็น “ผู้รับจ้างผลิตอาวุธไซเบอร์” ที่เปิดโอกาสให้รัฐใดก็ได้ที่มีงบประมาณเข้าถึงขีดความสามารถสอดแนมระดับสูงสุด ซึ่งเดิมสงวนไว้เฉพาะหน่วยข่าวกรองชั้นนำ บทวิเคราะห์ฉบับนี้ประเมินผู้ขายรายสำคัญ 9 ราย ที่กำหนดภูมิทัศน์ของอุตสาหกรรมนี้

สิ่งที่ทำให้ภัยประเภทนี้แตกต่างและอันตรายเป็นพิเศษคือ เป้าหมายมักไม่ใช่โครงสร้างพื้นฐาน แต่เป็นตัวบุคคล โดยเฉพาะนักข่าว นักกิจกรรม ผู้เห็นต่างทางการเมือง ทนายความ และเจ้าหน้าที่ที่ถือข้อมูลอ่อนไหว เทคโนโลยีที่ก้าวหน้าที่สุดของอุตสาหกรรมนี้คือความสามารถ zero-click ที่เจาะโทรศัพท์ของเป้าหมายได้โดยเหยื่อไม่ต้องคลิกอะไรเลย ทำให้แทบไม่มีทางป้องกันด้วยพฤติกรรมการใช้งานที่ระมัดระวังเพียงอย่างเดียว

สำหรับประเทศไทย ภัยนี้ไม่ใช่เรื่องไกลตัว ในปี 2565 การสืบสวนร่วมของ Citizen Lab, iLaw และ DigitalReach พบว่ามีบุคคลในไทยอย่างน้อย 30 รายที่เป็นนักกิจกรรม นักวิชาการ และผู้เกี่ยวข้องกับการเคลื่อนไหวทางการเมือง ถูกเจาะด้วยสปายแวร์ Pegasus ของ NSO Group และย้อนไปในปี 2558 ข้อมูลรั่วของบริษัท Hacking Team ยังเผยว่าหน่วยงานของไทยเคยเป็นลูกค้าจัดหาเครื่องมือสอดแนม บทวิเคราะห์ฉบับนี้จึงประเมินว่า อุตสาหกรรมสปายแวร์เชิงพาณิชย์เป็นประเด็นที่อยู่ตรงจุดตัดระหว่าง ความมั่นคงไซเบอร์ สิทธิพลเมือง และธรรมาภิบาลของรัฐ ที่ต้องการทั้งการป้องกันเชิงเทคนิคและการกำกับดูแลเชิงนโยบาย

ภาพที่ 1: ผู้ขายสปายแวร์เชิงพาณิชย์ 9 รายในบทวิเคราะห์นี้ จำแนกตามประเทศที่ตั้งและผลิตภัณฑ์สปายแวร์หลัก จะเห็นว่าอิสราเอลเป็นศูนย์กลางของอุตสาหกรรมนี้ ตามด้วยอิตาลีและยุโรป

1. โมเดลธุรกิจและระบบนิเวศ (Business Model & Ecosystem)

อุตสาหกรรมสปายแวร์เชิงพาณิชย์มีโครงสร้างที่ชัดเจน แบ่งได้เป็นสามชั้น ชั้นแรกคือ ผู้จัดหาช่องโหว่ (exploit brokers/developers) ที่ค้นหาและพัฒนาช่องโหว่ระดับศูนย์วัน (zero-day) ตัวอย่างในบทวิเคราะห์นี้คือ Variston จากสเปน ที่พัฒนาเฟรมเวิร์ก Heliconia ป้อนช่องโหว่ของ Chrome, Firefox และ Windows ให้กับตลาด ชั้นที่สองคือ ผู้ผลิตสปายแวร์ ที่นำช่องโหว่มาประกอบเป็นผลิตภัณฑ์สอดแนมสำเร็จรูป เช่น NSO Group (Pegasus), Intellexa/Cytrox (Predator), Candiru (DevilsTongue), Paragon (Graphite) และ QuaDream (Reign) ชั้นที่สามคือ รัฐลูกค้า ที่ซื้อและนำไปใช้ปฏิบัติการจริง

จุดที่ทำให้อุตสาหกรรมนี้เป็นปัญหาเชิงธรรมาภิบาลคือ ผู้ขายมักอ้างว่าขายให้เฉพาะการบังคับใช้กฎหมายและการต่อต้านการก่อการร้ายที่ชอบธรรม แต่หลักฐานจากนักวิจัยกลับพบซ้ำแล้วซ้ำเล่าว่าเครื่องมือเหล่านี้ถูกใช้กับนักข่าวและภาคประชาสังคม แม้แต่ผู้ขายที่วางตำแหน่งตัวเองว่า “มีจริยธรรม” อย่าง Paragon ที่อ้างว่าขายให้เฉพาะประเทศประชาธิปไตย ก็ยังถูกเปิดโปงในปี 2568 ว่าสปายแวร์ Graphite ถูกใช้เจาะ WhatsApp ของนักข่าวในยุโรป สะท้อนว่ากลไกควบคุมตนเองของอุตสาหกรรมนี้ไม่เพียงพอ

ระบบนิเวศนี้ยังมีลักษณะ “หมุนเวียนและสืบทอด” บุคลากรและเทคโนโลยีมักไหลเวียนระหว่างบริษัท เมื่อบริษัทหนึ่งถูกเปิดโปงหรือปิดตัว (เช่น QuaDream ที่ปิดในปี 2566 หรือ Hacking Team ที่ล่มหลังข้อมูลรั่วปี 2558) บุคลากรและองค์ความรู้มักย้ายไปยังผู้เล่นรายใหม่ ดังกรณี Memento Labs ที่รับช่วงเทคโนโลยีต่อจาก Hacking Team การปิดบริษัทเดียวจึงไม่ได้ทำให้ภัยหมดไป

2. ผู้ขายรายสำคัญ (Key Vendors)

2.1 กลุ่มอิสราเอล — ศูนย์กลางของอุตสาหกรรม

อิสราเอลเป็นแหล่งกำเนิดของผู้ขายสปายแวร์รายใหญ่ที่สุด โดยบุคลากรจำนวนมากมาจากหน่วยข่าวกรองทหาร (โดยเฉพาะหน่วย 8200) NSO Group เป็นผู้เล่นที่โด่งดังที่สุดด้วยสปายแวร์ Pegasus ที่มีความสามารถ zero-click และเป็นตัวที่ถูกใช้กับเป้าหมายในไทยปี 2565 Candiru (ที่ Microsoft ติดตามในชื่อ SOURGUM) เน้นเจาะผ่านช่องโหว่เบราว์เซอร์และ Windows ด้วยสปายแวร์ DevilsTongue Paragon วางตำแหน่งเป็นทางเลือก “จริยธรรม” ด้วยสปายแวร์ Graphite แต่ก็ถูกเปิดโปงเช่นกัน และ QuaDream ที่พัฒนา Reign ด้วยชุดเจาะ zero-click ENDOFDAYS ก่อนปิดตัวในปี 2566

2.2 กลุ่มพันธมิตรยุโรป-อิสราเอล — Intellexa

Intellexa เป็นกลุ่มพันธมิตรที่มีบริษัทในเครือกระจายในกรีซ นอร์ทมาซิโดเนีย และไอร์แลนด์ ก่อตั้งโดยอดีตเจ้าหน้าที่ข่าวกรองอิสราเอล บริษัทลูก Cytrox พัฒนาสปายแวร์ Predator ซึ่งเป็นคู่แข่งโดยตรงของ Pegasus ความสำคัญของ Intellexa ต่อภูมิภาคนี้คือมีการยืนยันการใช้ Predator ในเวียดนาม ทำให้เป็นหลักฐานว่าสปายแวร์ระดับรัฐเข้าถึงเอเชียตะวันออกเฉียงใต้ได้จริง กระทรวงการคลังสหรัฐฯ ได้คว่ำบาตร Intellexa ในปี 2567

2.3 กลุ่มอิตาลีและยุโรป

อิตาลีมีประวัติยาวนานในธุรกิจนี้ Hacking Team ผู้พัฒนา RCS/Galileo เป็นบริษัทที่มีความเกี่ยวข้องกับไทยโดยตรงจากข้อมูลรั่วปี 2558 ที่เผยรายชื่อหน่วยงานไทยเป็นลูกค้า ต่อมาเทคโนโลยีถูกสืบทอดสู่ RCS Lab / Memento Labs ผู้พัฒนาสปายแวร์ Hermit ส่วนในเยอรมนี-อังกฤษ Gamma Group ผู้พัฒนา FinFisher/FinSpy เป็นหนึ่งในผู้ขายที่เก่าแก่ที่สุด และ Variston จากสเปนเป็นผู้จัดหาช่องโหว่ที่อยู่เบื้องหลังห่วงโซ่อุปทาน

ภาพที่ 2: เส้นเวลาการเปิดโปง/เหตุการณ์สำคัญของผู้ขายแต่ละราย ตั้งแต่ Hacking Team และ FinFisher ในยุคแรก จนถึงกรณี Paragon ล่าสุด สะท้อนว่าอุตสาหกรรมนี้เติบโตต่อเนื่องแม้จะมีการเปิดโปงและคว่ำบาตร

3. เทคนิคและความสามารถ (Capabilities)

ความสามารถของสปายแวร์เชิงพาณิชย์พัฒนาขึ้นอย่างต่อเนื่อง เทคนิคที่อันตรายและเป็นจุดขายที่สุดคือ zero-click คือการเจาะอุปกรณ์โดยเหยื่อไม่ต้องคลิกลิงก์หรือเปิดไฟล์ Pegasus, Graphite และ Reign ล้วนมีความสามารถนี้ โดยมักอาศัยช่องโหว่ของแอปแชตยอดนิยม (เช่น กรณี Graphite เจาะผ่าน WhatsApp) หรือช่องโหว่ของบริการระบบ (เช่น Reign ใช้ช่องโหว่ปฏิทินของ iOS) ทำให้แทบไม่มีร่องรอยให้เหยื่อสังเกต

เทคนิคที่สองคือการเจาะแบบ one-click ผ่านลิงก์ที่ส่งทาง SMS หรือโซเชียลมีเดีย และเทคนิคที่อันตรายไม่แพ้กันคือ network injection หรือการฉีดสปายแวร์ที่ระดับผู้ให้บริการอินเทอร์เน็ต ซึ่งพบในกรณี Predator และ FinFisher เทคนิคนี้เปลี่ยนเส้นทางการท่องเว็บปกติของเป้าหมายให้ติดสปายแวร์โดยอัตโนมัติ และในกรณี Hermit ยังมีข้อบ่งชี้ถึงความร่วมมือของผู้ให้บริการเครือข่ายในการหลอกเป้าหมาย

เมื่อฝังสำเร็จ ความสามารถของสปายแวร์เหล่านี้ใกล้เคียงกัน คือเข้าถึงข้อความ อีเมล การโทร รายชื่อผู้ติดต่อ ภาพถ่าย และตำแหน่งได้ทั้งหมด รวมถึงเปิดกล้องและไมโครโฟนเพื่อสอดแนมแบบเรียลไทม์ กลายเป็นการละเมิดความเป็นส่วนตัวของเป้าหมายอย่างสมบูรณ์ ทั้งหมดนี้อาศัยช่องโหว่ zero-day ที่มีมูลค่าสูง ทำให้การปิดช่องโหว่ให้เร็วเป็นแนวป้องกันที่สำคัญที่สุด

ภาพที่ 3: เมทริกซ์ความสามารถหลักของสปายแวร์แต่ละราย ช่องที่ทำเครื่องหมายคือความสามารถที่นักวิจัยยืนยัน จะเห็นว่า zero-click และการเจาะมือถือเป็นความสามารถร่วมของผู้เล่นระดับบน

4. ผลกระทบต่อประเทศไทยโดยตรง (Direct Impact on Thailand)

ประเทศไทยมีประสบการณ์ตรงกับภัยสปายแวร์เชิงพาณิชย์ในสองมิติ มิติแรกคือ การเป็นเป้าหมาย ในปี 2565 การสืบสวนของ Citizen Lab ร่วมกับ iLaw และ DigitalReach ยืนยันว่ามีบุคคลในไทยอย่างน้อย 30 ราย ซึ่งเป็นนักกิจกรรม นักวิชาการ และผู้เกี่ยวข้องกับการเคลื่อนไหวทางการเมือง ถูกเจาะด้วยสปายแวร์ Pegasus ของ NSO Group ในช่วงปี 2563-2564 กรณีนี้เป็นหนึ่งในหลักฐานที่ชัดเจนที่สุดของการใช้สปายแวร์ระดับรัฐกับภาคประชาสังคมในภูมิภาคเอเชียตะวันออกเฉียงใต้

มิติที่สองคือ การเป็นลูกค้า ข้อมูลรั่วของ Hacking Team ในปี 2558 เผยเอกสารที่ระบุถึงหน่วยงานของไทย (รวมถึงหน่วยงานทหารและความมั่นคง) ในฐานะลูกค้าหรือผู้อยู่ระหว่างการเจรจาจัดหาเครื่องมือสอดแนม RCS/Galileo ทำให้ประเด็นนี้เกี่ยวพันกับธรรมาภิบาลการจัดหาและใช้เครื่องมือสอดแนมของหน่วยงานรัฐไทยโดยตรง

ในเชิงภูมิภาค การยืนยันการใช้ Predator (Intellexa) ในเวียดนาม และการพบโครงสร้างพื้นฐานของ QuaDream ในเอเชียตะวันออกเฉียงใต้ แสดงว่าเครื่องมือเหล่านี้แพร่กระจายเข้าสู่ภูมิภาคอย่างต่อเนื่อง กลุ่มที่มีความเสี่ยงสูงสุดในไทยคือนักข่าว นักกิจกรรม ทนายความด้านสิทธิ นักการเมือง และเจ้าหน้าที่ที่ถือข้อมูลอ่อนไหว ซึ่งเป็นกลุ่มที่ต้องการการปกป้องเชิงเทคนิคเป็นพิเศษ

ภาพที่ 4: มิติที่ประเทศไทยเกี่ยวข้องกับภัยสปายแวร์เชิงพาณิชย์ — ทั้งการเป็นเป้าหมาย (กรณี Pegasus) และการเป็นลูกค้า (กรณี Hacking Team) พร้อมกลุ่มบุคคลที่มีความเสี่ยงสูง

5. ประเมินเชิงยุทธศาสตร์ต่อความมั่นคงและสิทธิพลเมือง (Assessment)

ภัยจากสปายแวร์เชิงพาณิชย์มีลักษณะเฉพาะที่ต่างจากภัยไซเบอร์ทั่วไปในสามด้าน ด้านแรก เป็นภัยที่ ตัดข้ามเส้นแบ่งระหว่างความมั่นคงกับสิทธิเสรีภาพ เพราะเครื่องมือเดียวกันที่รัฐอ้างว่าใช้ต่อต้านอาชญากรรมและการก่อการร้าย ก็สามารถถูกใช้สอดแนมผู้เห็นต่างและนักข่าวได้ การกำกับดูแลจึงไม่ใช่เพียงเรื่องเทคนิค แต่เป็นเรื่องหลักนิติธรรมและการตรวจสอบถ่วงดุล

ด้านที่สอง เป็นภัยที่ ป้องกันด้วยพฤติกรรมได้ยาก เพราะเทคนิค zero-click ทำให้แม้ผู้ใช้ที่ระมัดระวังที่สุดก็อาจตกเป็นเหยื่อ แนวป้องกันที่ได้ผลจริงจึงต้องอาศัยการปิดช่องโหว่อย่างรวดเร็วจากผู้ผลิตซอฟต์แวร์ การใช้ฟีเจอร์ป้องกันเชิงรุก (เช่น Lockdown Mode) และการเฝ้าระวังจากผู้ให้บริการแพลตฟอร์ม

ด้านที่สาม เป็น ปัญหาเชิงห่วงโซ่อุปทานระดับโลก ที่ประเทศเดียวแก้ไม่ได้ การควบคุมการส่งออกสปายแวร์ การคว่ำบาตรผู้ขายที่ละเมิด (ดังที่สหรัฐฯ ทำกับ NSO และ Intellexa) และการสร้างกลไกความโปร่งใสระหว่างประเทศ เป็นเครื่องมือที่จำเป็นควบคู่กับการป้องกันในระดับบุคคลและองค์กร

6. ข้อเสนอเชิงยุทธศาสตร์ (Strategic Recommendations)

ระยะเร่งด่วน (0–30 วัน)

องค์กรและบุคคลกลุ่มเสี่ยงควรเริ่มจากการลดพื้นที่โจมตีทันที ได้แก่ อัปเดตระบบปฏิบัติการมือถือและแอปแชตให้เป็นเวอร์ชันล่าสุดเสมอ เปิดใช้ Lockdown Mode บน iPhone (และฟีเจอร์ความปลอดภัยสูงเทียบเท่าบน Android) สำหรับนักข่าว นักกิจกรรม และเจ้าหน้าที่ระดับสูง ใส่ใจและดำเนินการทันทีเมื่อได้รับการแจ้งเตือนภัยคุกคามจากรัฐ (state-sponsored attack notification) จาก Apple, Google หรือ Meta และรีบูตอุปกรณ์เป็นประจำเพื่อล้างสปายแวร์ที่อยู่เฉพาะในหน่วยความจำ

ระยะกลาง (1–3 เดือน)

หน่วยงานควรสร้างขีดความสามารถในการตรวจสอบและตอบสนอง ได้แก่ จัดทำแนวทางให้บุคลากรกลุ่มเสี่ยงเข้าถึงการตรวจสอบอุปกรณ์กับผู้เชี่ยวชาญอิสระ (เช่น Citizen Lab, Access Now Digital Security Helpline หรือ Amnesty Security Lab) จัดอบรมความตระหนักเรื่องภัยสปายแวร์และเทคนิค one-click ให้บุคลากร และทบทวนนโยบายการใช้อุปกรณ์ส่วนตัวกับงานที่มีข้อมูลอ่อนไหว

ระยะยาว (3–12 เดือน)

ในระดับนโยบาย ควรผลักดันธรรมาภิบาลการจัดหาและใช้เครื่องมือสอดแนมของหน่วยงานรัฐให้มีการกำกับดูแล การตรวจสอบถ่วงดุล และความสอดคล้องกับหลักสิทธิมนุษยชนและกฎหมาย ควรติดตามและสนับสนุนกรอบความร่วมมือระหว่างประเทศในการควบคุมการแพร่กระจายของสปายแวร์ (เช่น Pall Mall Process) และสร้างความร่วมมือระหว่างภาครัฐ ภาคประชาสังคม และภาควิชาการในการเฝ้าระวังและรับมือภัยประเภทนี้อย่างเป็นระบบ

7. มุมมองไปข้างหน้า (Outlook)

แนวโน้มของอุตสาหกรรมสปายแวร์เชิงพาณิชย์ในระยะข้างหน้าชี้ว่า แม้จะมีการคว่ำบาตรและการเปิดโปงเพิ่มขึ้น แต่ความต้องการของรัฐลูกค้ายังสูง ทำให้ตลาดยังเติบโตและมีผู้เล่นรายใหม่เกิดขึ้นแทนที่รายที่ปิดตัว เทคนิค zero-click จะยังเป็นจุดแข่งขันหลัก และการใช้ช่องโหว่ของแอปแชตและบริการคลาวด์ยอดนิยมจะยิ่งเพิ่มขึ้น สำหรับประเทศไทยที่มีทั้งประสบการณ์การเป็นเป้าหมายและการเป็นลูกค้า ประเด็นนี้จะยังคงเป็นจุดตัดที่ละเอียดอ่อนระหว่างความมั่นคง สิทธิพลเมือง และธรรมาภิบาล การเตรียมความพร้อมทั้งเชิงเทคนิคและเชิงนโยบายในวันนี้จึงเป็นการลงทุนที่สำคัญ Cloud Thunder จะติดตามความเคลื่อนไหวของผู้ขายเหล่านี้อย่างต่อเนื่องผ่าน APT Zone และรายงานเชิงยุทธศาสตร์ฉบับต่อไป

ภาคผนวก

ตารางสรุปผู้ขายสปายแวร์เชิงพาณิชย์

แหล่งอ้างอิงหลัก

รายงานและการสืบสวนจาก Citizen Lab (University of Toronto), Amnesty International Security Lab, Google Threat Analysis Group และ Project Zero, Microsoft Threat Intelligence (MSTIC), Meta/WhatsApp, Lookout, iLaw และ DigitalReach (กรณีไทย 2565), WikiLeaks (Hacking Team leak 2558), กระทรวงการคลังสหรัฐฯ (OFAC) และฐานข่าวของ Cloud Thunder — การระบุต้นทาง (attribution) ทั้งหมดอ้างอิงจากองค์กรและหน่วยงานข้างต้น ไม่ใช่ข้อสรุปของ Cloud Thunder