จัดทำโดย: Cloud Thunder Threat Intelligence
หัวข้อ: แรนซัมแวร์และการกรรโชกข้อมูลที่มุ่งเป้าองค์กรไทย (Ransomware & Data Extortion against Thailand)
ประเภทเอกสาร: บทวิเคราะห์เชิงยุทธศาสตร์ด้านภัยคุกคามระดับชาติ (Strategic Threat Assessment)
มุมมอง: ความมั่นคงปลอดภัยไซเบอร์ของประเทศไทย
ฐานข้อมูล: รายการเหยื่อสัญชาติไทยจาก Ransomware.live (ดึงข้อมูล 11 ตุลาคม 2569), รายงาน State of Ransomware Q1 2026 ของ Check Point Research, รายงานจาก Palo Alto Networks Unit 42, Group-IB, LevelBlue SpiderLabs, Resecurity, SOCRadar, CYFIRMA, Halcyon, ZeroFox, ThaiCERT, คำเตือนของ FBI/USSS และ CISA, และฐานข่าวของ Cloud Thunder

บทสรุปเชิงยุทธศาสตร์ (Strategic Summary)

ปี 2569 เป็นปีแรกที่ประเทศไทยถูกจัดอยู่ในสิบอันดับประเทศที่ถูกกลุ่มแรนซัมแวร์โจมตีมากที่สุดในโลก ตามรายงาน State of Ransomware ไตรมาสแรกของบริษัท Check Point Research ตัวแปรที่ผลักไทยขึ้นมาอยู่ในตำแหน่งนี้ไม่ใช่ความสนใจพิเศษต่อข้อมูลของไทย แต่เป็นกลุ่มเดียวคือ The Gentlemen ซึ่งเหยื่อราวร้อยละ 10.8 ของกลุ่มอยู่ในไทย และ Check Point ประเมินว่าเป็นผลจาก “คลังช่องทางเข้า” ที่กลุ่มสะสมไว้ล่วงหน้า มากกว่าการเลือกเป้าหมายเป็นรายประเทศ กล่าวอีกแบบคือ ไทยถูกโจมตีหนักเพราะประตูของไทยถูกเปิดค้างไว้มากพอให้ผู้โจมตีเก็บเป็นสต็อก

ข้อมูลที่ Cloud Thunder รวบรวมจากเว็บปล่อยข้อมูล (data leak site — เว็บที่กลุ่มแรนซัมแวร์ใช้ประกาศชื่อเหยื่อเพื่อกดดันให้จ่ายค่าไถ่) ระหว่างเดือนกุมภาพันธ์ถึง 8 ตุลาคม 2569 นับองค์กรไทยที่ถูกประกาศชื่อได้ 88 ราย จากกลุ่มผู้โจมตี 20 แบรนด์ โดย The Gentlemen คนเดียวคิดเป็น 34 ราย หรือราวร้อยละ 39 ของทั้งหมด ภาคการผลิตถูกประกาศชื่อมากที่สุด ตามด้วยค้าปลีกและอีคอมเมิร์ซ ธุรกิจบริการและโรงแรม และบริการวิชาชีพ

ข้อค้นพบที่สำคัญที่สุดของบทวิเคราะห์นี้ขัดกับความรู้สึกของผู้ที่ติดตามข่าวรายวัน ในครึ่งปีหลัง จำนวนองค์กรไทยที่ถูกประกาศชื่อต่อเดือนลดลง จากเฉลี่ยราว 12.6 รายต่อเดือนในช่วงกุมภาพันธ์ถึงมิถุนายน เหลือราว 7.3 รายต่อเดือนในไตรมาสที่สาม แต่สิ่งที่เปลี่ยนไปคือโครงสร้างของผู้โจมตี ส่วนแบ่งของ The Gentlemen ลดจากร้อยละ 46 เหลือร้อยละ 20 ขณะที่เหยื่อไทย 25 รายในช่วงกรกฎาคมถึงต้นตุลาคมกระจายอยู่ใน 13 กลุ่ม หลายกลุ่มในนั้นเพิ่งเปิดตัวในปีนี้ และบางกลุ่มเลือกใช้เหยื่อไทยเป็นผลงานชุดแรกในการแนะนำตัว ความเสี่ยงจึงไม่ได้ลดลงตามจำนวน แต่กระจายตัวและคาดเดายากขึ้น เพราะผู้ป้องกันไม่สามารถตั้งรับกลุ่มเดียวแล้วครอบคลุมภัยส่วนใหญ่ได้อีกต่อไป

ในเชิงความมั่นคงของชาติ คำอ้างของกลุ่มแรนซัมแวร์ในปีนี้แตะองค์กรที่อยู่ในหรือใกล้ขอบเขตโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII — Critical Information Infrastructure) อย่างต่อเนื่อง ทั้งผู้ค้าปลีกน้ำมันรายใหญ่ ผู้จัดจำหน่ายผลิตภัณฑ์ปิโตรเลียม ผู้ผลิตก๊าซอุตสาหกรรม ผู้ผลิตพลังงานแสงอาทิตย์ สายการบิน ผู้ให้บริการเดินเรือ กรุงเทพมหานคร องค์การบริหารส่วนจังหวัดชลบุรี สหกรณ์เคหสถานของกองทัพเรือ และมหาวิทยาลัยหลายแห่ง ทั้งหมดนี้ยังเป็นคำอ้างฝ่ายเดียวของผู้โจมตี ไม่มีรายใดที่องค์กรออกมายืนยันต่อสาธารณะ และความเงียบนี้เองคือช่องโหว่เชิงนโยบายที่ใหญ่ที่สุด เพราะทำให้รัฐ คู่ค้า และประชาชนไม่มีข้อมูลพอจะประเมินความเสียหายจริง

ทางเข้าที่พบซ้ำในเกือบทุกกลุ่มที่โจมตีไทยมีอยู่ไม่กี่ทาง คือช่องโหว่ของไฟร์วอลล์และ VPN ที่หันหน้าออกอินเทอร์เน็ต โดยเฉพาะ Fortinet และ SonicWall บัญชีและรหัสผ่าน VPN ที่ถูกขโมยไปแล้วจากแคมเปญ FortiBleed ซึ่งไทยติดสิบอันดับประเทศที่ได้รับผลกระทบมากที่สุด และข้อมูลเข้าสู่ระบบที่มัลแวร์ขโมยข้อมูล (infostealer) กวาดมาจากเครื่องพนักงาน บทวิเคราะห์นี้จึงประเมินว่า มาตรการที่ให้ผลตอบแทนสูงที่สุดสำหรับไทยในระยะสั้นไม่ใช่การลงทุนเครื่องมือใหม่ แต่คือการปิดประตูเดิมที่ผู้โจมตีรู้อยู่แล้วว่าเปิดอยู่

ภาพที่ 1: จำนวนองค์กรไทยที่ถูกประกาศชื่อบนเว็บปล่อยข้อมูลรายเดือน กุมภาพันธ์–8 ตุลาคม 2569 แยก The Gentlemen (น้ำเงิน) กับกลุ่มอื่นทั้งหมด (แดง) — ครึ่งปีหลังจำนวนลดลงแต่ผู้โจมตีหลากหลายขึ้น (ที่มา: Ransomware.live, วิเคราะห์โดย Cloud Thunder)

ส่วนที่ 1 — ข้อมูลที่ใช้ และสิ่งที่ข้อมูลนี้บอกไม่ได้

ก่อนอ่านตัวเลขใด ๆ ในรายงานนี้ ผู้กำหนดนโยบายและหน่วยงานด้านความมั่นคงควรเข้าใจธรรมชาติของข้อมูลจากเว็บปล่อยข้อมูลให้ตรงกันก่อน เพราะเป็นแหล่งข้อมูลที่มีประโยชน์มากแต่ก็บิดเบือนได้ง่ายที่สุดในงานข่าวกรองภัยคุกคาม

ข้อมูลหลักของบทวิเคราะห์นี้มาจาก Ransomware.live ซึ่งเป็นเว็บที่เฝ้าดูและทำดัชนีประกาศบนเว็บปล่อยข้อมูลของกลุ่มแรนซัมแวร์ต่าง ๆ ณ วันที่ 11 ตุลาคม 2569 เว็บนี้นับเหยื่อสัญชาติไทยสะสมได้ 225 ราย Cloud Thunder คัดเฉพาะรายการที่ประกาศระหว่าง 1 กุมภาพันธ์ถึง 8 ตุลาคม 2569 ได้ 88 รายการ โดยตัดเดือนมกราคมออกเพราะข้อมูลที่ดึงได้ไม่ครบเดือน และปรับหมวดอุตสาหกรรมสองรายการที่ติดป้ายผิดอย่างชัดเจน คือ Tesco Engineer ซึ่งเป็นผู้รับเหมาวิศวกรรมและผลิตท่อ ไม่ใช่ธุรกิจค้าปลีก และ JGSEE ซึ่งเป็นบัณฑิตวิทยาลัยร่วมด้านพลังงานและสิ่งแวดล้อมของมหาวิทยาลัยเทคโนโลยีพระจอมเกล้าธนบุรี

ข้อจำกัดข้อแรกคือ ทุกรายการเป็นคำอ้างของผู้โจมตี การที่ชื่อองค์กรปรากฏบนเว็บปล่อยข้อมูลไม่ได้แปลว่าองค์กรนั้นถูกเข้ารหัสระบบหรือข้อมูลรั่วจริงตามที่อ้าง กรณีที่ Cloud Thunder เคยรายงาน เช่น Deadlock อ้างโจมตี Tesco Engineer แสดงให้เห็นว่าประกาศบางรายการไม่มีแม้แต่ปริมาณข้อมูลหรือตัวอย่างไฟล์ และบนเว็บเดียวกันยังมีกรณีที่เหยื่อออกมาปฏิเสธอย่างเปิดเผยว่าการโจมตีถูกสกัดได้ทันและไม่มีข้อมูลหลุด

ข้อจำกัดข้อที่สองคือ วันที่ประกาศไม่ใช่วันที่ถูกโจมตี ระยะห่างระหว่างการเจาะระบบกับการประกาศชื่อต่างกันมากตามกลุ่ม ข้อมูลจาก Ransomware.live ระบุว่า Krybit ประกาศชื่อเหยื่อห่างจากวันโจมตีเฉลี่ยเพียง 3.6 วัน ขณะที่ INC Ransom ห่างเฉลี่ยราว 40.5 วัน บางกลุ่มยังเทรายชื่อเหยื่อเก่าที่สะสมไว้ลงพร้อมกันในวันเดียว เช่น LockBit 5.0 ประกาศองค์กรไทยสี่รายพร้อมกันในวันที่ 20 มิถุนายน 2569 และ Deadlock เปิดเว็บปล่อยข้อมูลครั้งแรกในเดือนมิถุนายนพร้อมรายชื่อราว 80 รายในคราวเดียว ตัวเลขรายเดือนจึงสะท้อนจังหวะการประกาศ ไม่ใช่จังหวะการโจมตี

ข้อจำกัดข้อที่สามคือ ตัวเลขนี้ต่ำกว่าความจริงเสมอ องค์กรที่จ่ายค่าไถ่หรือเจรจาสำเร็จก่อนถูกประกาศจะไม่ปรากฏบนเว็บเลย ในข้อมูลชุดนี้มีรายการหนึ่งที่ถูกบันทึกในชื่อ “Paid Victim” ของกลุ่ม AuditTeam ซึ่งเป็นหลักฐานโดยตรงว่ามีเหยื่อไทยที่จ่ายเงินไปแล้ว นอกจากนี้ แต่ละเว็บติดตามยังครอบคลุมกลุ่มต่างกัน ตัวอย่างเช่น คำอ้างของ RansomHouse ต่อ PCL Holding ผู้จัดจำหน่ายเครื่องมือวินิจฉัยทางการแพทย์ เมื่อ 3 สิงหาคม 2569 ไม่อยู่ในรายการของ Ransomware.live ที่ดึงมา และรายงานของ CYFIRMA ฉบับ 4 กันยายน 2569 ยังกล่าวถึงผู้ผลิตแผ่นเหล็กสัญชาติไทยที่อยู่ระหว่างเจรจากับ Krybit ซึ่งไม่ปรากฏบนเว็บปล่อยข้อมูลเช่นกัน

ด้วยข้อจำกัดเหล่านี้ บทวิเคราะห์นี้ใช้ตัวเลขเพื่ออ่านแนวโน้มและโครงสร้างของผู้โจมตีที่มุ่งเป้าไทย ไม่ได้ใช้เพื่อยืนยันว่าองค์กรใดถูกเจาะจริง และหลีกเลี่ยงการสรุปความเสียหายรายองค์กรเกินกว่าที่แหล่งข้อมูลรองรับ

ส่วนที่ 2 — ไทยบนแผนที่แรนซัมแวร์โลก

จากประเทศรอบนอกสู่สิบอันดับแรก

ตลอดหลายปีที่ผ่านมา ภาพรวมของแรนซัมแวร์โลกกระจุกตัวอยู่ที่สหรัฐอเมริกาและยุโรปตะวันตก รายงานของ Check Point Research สำหรับไตรมาสแรกของปี 2569 ระบุว่าองค์กรในสหรัฐฯ ยังคงเป็นเป้าหมายของการโจมตีเกือบครึ่งหนึ่ง คือราวร้อยละ 49.6 ของเหยื่อที่ถูกเปิดเผยทั้งหมด แต่ในไตรมาสเดียวกันนั้นเอง ประเทศไทยก้าวเข้าสู่สิบอันดับประเทศที่ถูกโจมตีมากที่สุดเป็นครั้งแรก

ปัจจัยที่ Check Point ชี้คือกลุ่ม The Gentlemen ซึ่งประกาศเหยื่อ 166 รายในไตรมาสแรกของปี 2569 เพิ่มจาก 40 รายในไตรมาสสุดท้ายของปี 2568 ขึ้นเป็นกลุ่มที่มีเหยื่อมากเป็นอันดับสามของโลก จุดที่ทำให้กลุ่มนี้ต่างจากกลุ่มอื่นคือภูมิศาสตร์ของเหยื่อ มีเพียงราวร้อยละ 13 ที่อยู่ในสหรัฐฯ ส่วนที่เหลือกระจายอยู่ในเอเชียแปซิฟิกและละตินอเมริกา และราวร้อยละ 10.8 ของเหยื่อทั้งหมดของกลุ่มอยู่ในไทย Check Point ประเมินว่ารูปแบบนี้สะท้อนว่ากลุ่มมี “คลังช่องทางเข้า” ที่ได้มาจากการบุกรุกครั้งก่อน ๆ อยู่ในมือ แล้วค่อย ๆ นำออกมาใช้ ไม่ใช่การตั้งใจเลือกไทยเป็นเป้าหมาย

ข้อสรุปนี้สำคัญต่อการกำหนดนโยบาย เพราะหมายความว่าไทยไม่ได้ถูกโจมตีหนักเพราะเป็นเป้าหมายเชิงยุทธศาสตร์ของผู้โจมตี แต่เพราะอุปกรณ์และบัญชีขององค์กรไทยจำนวนมากถูกยึดหรือรั่วออกไปแล้ว และกลายเป็นสินค้าในตลาดนายหน้าค้าการเข้าถึง (IAB — Initial Access Broker) ที่ใครมีเงินก็ซื้อได้ ตราบใดที่สต็อกนี้ยังอยู่ ไทยก็จะยังอยู่ในรายชื่อของกลุ่มที่ซื้อสต็อกไปใช้

The Gentlemen: แรงขับหลักของครึ่งปีแรก

ในข้อมูล 88 รายการของ Cloud Thunder, The Gentlemen ประกาศชื่อองค์กรไทย 34 ราย เกือบทั้งหมดอยู่ในครึ่งปีแรก จุดสูงสุดคือเดือนเมษายนที่กลุ่มประกาศองค์กรไทย 10 ราย รวมถึง 4 รายในวันที่ 4 เมษายนวันเดียว ได้แก่ Terminal 21, Dreamtoy, Far East Fame Line DDB และ UCPS ซึ่งเป็นรูปแบบของการปล่อยสต็อกเหยื่อพร้อมกันมากกว่าการเจาะสำเร็จหลายรายในวันเดียว

รายชื่อเหยื่อไทยของ The Gentlemen ครอบคลุมแทบทุกภาค ตั้งแต่องค์การบริหารส่วนจังหวัดชลบุรี มหาวิทยาลัยธรรมศาสตร์ มหาวิทยาลัยพายัพ สถาบันบัณฑิตบริหารธุรกิจศศินทร์ โรงพยาบาลร่วมใจรักษ์ บริษัทอมตะ คอร์ปอเรชัน ไปจนถึงสหกรณ์เคหสถานของกองทัพเรือในเดือนกรกฎาคม และบริษัท Technical Asia ผู้ผลิตพลาสติกวิศวกรรมสัญชาติไทย–ญี่ปุ่นที่ถูกประกาศเมื่อกลางเดือนกันยายน ซึ่ง CYFIRMA ยกเป็นกรณีเด่นในรายงานข่าวกรองรายสัปดาห์ฉบับ 1 ตุลาคม 2569 (โพสต์ 2026/10/001 )

The Gentlemen (รหัสติดตามของ Microsoft คือ Storm-2697) เปิดตัวราวเดือนกันยายน 2568 และดำเนินงานแบบแรนซัมแวร์ให้บริการ (RaaS — Ransomware-as-a-Service) ที่แบ่งส่วนแบ่งค่าไถ่ให้สมาชิกผู้ลงมือ (affiliate) สูงถึงร้อยละ 90 ซึ่งสูงกว่าค่าเฉลี่ยในวงการที่ราวร้อยละ 70 ถึง 80 โมเดลนี้ดึงดูดผู้ลงมือที่มีช่องทางเข้าอยู่แล้วให้มาใช้แบรนด์ของกลุ่ม จึงอธิบายได้ว่าทำไมรายชื่อเหยื่อในไทยถึงหลากหลายภาคขนาดนี้

ภาพที่ 2: สัดส่วนกลุ่มผู้โจมตีที่ประกาศชื่อองค์กรไทย ช่วงกุมภาพันธ์–มิถุนายน (63 ราย 15 กลุ่ม) เทียบกับกรกฎาคม–8 ตุลาคม 2569 (25 ราย 13 กลุ่ม) — ส่วนแบ่งของ The Gentlemen ลดจาก 46% เหลือ 20% (ที่มา: Ransomware.live, วิเคราะห์โดย Cloud Thunder)

ครึ่งปีหลัง: จำนวนลด แต่ผู้เล่นเพิ่ม

เมื่อมองเฉพาะจำนวน ครึ่งปีหลังดูเหมือนสถานการณ์คลี่คลาย องค์กรไทยถูกประกาศชื่อ 6 รายในเดือนกรกฎาคม 11 รายในเดือนสิงหาคม 5 รายในเดือนกันยายน และ 3 รายในแปดวันแรกของเดือนตุลาคม ต่ำกว่าค่าเฉลี่ยของครึ่งปีแรกอย่างชัดเจน ข้อมูลนี้ควรใช้แก้ความเข้าใจที่อาจเกิดจากการอ่านข่าวรายสัปดาห์ เพราะเมื่อเดือนสิงหาคมและต้นเดือนกันยายน Cloud Thunder เองก็รายงานเหตุการณ์ในลักษณะ “องค์กรไทยขึ้นเว็บปล่อยข้อมูลถี่ผิดปกติ” อยู่หลายครั้ง ทั้ง 3 รายในสองวัน 4 รายในสองวัน และ 10 รายใน 18 วัน ภาพในระดับสัปดาห์นั้นถูกต้อง แต่เมื่อมองทั้งปี เดือนสิงหาคมที่มี 11 รายก็เป็นเพียงระดับปกติของครึ่งปีแรกเท่านั้น

สิ่งที่เปลี่ยนจริงคือโครงสร้าง ในช่วงกรกฎาคมถึงต้นตุลาคม เหยื่อไทย 25 รายมาจาก 13 กลุ่ม เฉลี่ยไม่ถึงสองรายต่อกลุ่ม ขณะที่ครึ่งปีแรกมี 63 รายจาก 15 กลุ่มโดยกลุ่มเดียวกินไปเกือบครึ่ง ในครึ่งปีหลังมีกลุ่มที่เพิ่งเปิดตัวในปีนี้หรือเพิ่งปรากฏบนเว็บปล่อยข้อมูลเป็นครั้งแรกเข้ามาหลายกลุ่ม ได้แก่ Krybit ที่เปิดดำเนินการปลายเดือนมีนาคม 2569, Dysphor1a ที่เปิดตัววันแรกด้วยเหยื่อไทยสองรายในวันที่ 20 สิงหาคม, Panzer ที่ยังแทบไม่มีข้อมูลเบื้องหลัง และ Deadlock ที่เพิ่งเปิดเว็บปล่อยข้อมูลเมื่อกลางปี นอกจากนี้ยังมีกลุ่มอย่าง Direwolf ซึ่ง LevelBlue SpiderLabs ระบุว่าไทยเป็นหนึ่งในสองประเทศที่ถูกโจมตีมากที่สุดร่วมกับสหรัฐฯ

การกระจายตัวแบบนี้มีสองคำอธิบายที่ไม่ขัดกัน คำอธิบายแรกคือระบบนิเวศแรนซัมแวร์ทั่วโลกกำลังแตกตัว ผู้ลงมือย้ายแบรนด์บ่อยขึ้น แบรนด์ใหม่เกิดขึ้นจากการแยกตัวหรือรีแบรนด์หลังถูกกดดันจากหน่วยงานบังคับใช้กฎหมาย คำอธิบายที่สองซึ่งเกี่ยวกับไทยโดยตรงคือ สต็อกช่องทางเข้าสู่องค์กรไทยไม่ได้ผูกอยู่กับกลุ่มเดียว เมื่อนายหน้าขายสิทธิ์เข้าถึงให้ผู้ซื้อหลายราย ผู้ซื้อแต่ละรายก็นำไปใช้ภายใต้แบรนด์ของตัวเอง กรณีที่สนับสนุนคำอธิบายนี้ชัดที่สุดคือบริษัท SUNSEA ซึ่งถูก Krybit ประกาศชื่อเมื่อ 19 สิงหาคม แล้วถูก The Gentlemen ประกาศชื่อซ้ำเมื่อ 30 สิงหาคม ห่างกันเพียง 11 วัน

กลุ่มที่ใช้ไทยเปิดตัว

สัญญาณที่หน่วยงานด้านความมั่นคงควรจับตาเป็นพิเศษคือกลุ่มหน้าใหม่ที่เลือกเหยื่อไทยเป็นผลงานชุดแรก Dysphor1a เปิดตัวในวันที่ 20 สิงหาคม 2569 ด้วยเหยื่อห้ารายที่อยู่ในเอเชียตะวันออกเฉียงใต้ทั้งหมด แบ่งเป็นไทยสองราย คือบริษัทประกันภัยในเครือ Allianz Ayudhya และระบบเรียนออนไลน์ของวิทยาลัยเอกชน เมียนมาสองราย และอินโดนีเซียหนึ่งรายซึ่งอ้างว่าเป็นฐานข้อมูลตำรวจราว 52,000 นาย ประกาศต่อบริษัทประกันยังแนบข้อมูลเข้าสู่ระบบของบัญชีผู้ดูแลระบบที่ใช้รหัสผ่านรูปแบบตัวอักษรสี่ตัวตามด้วยตัวเลขเรียงสี่หลัก (โพสต์ 2026/08/113 )

Krybit เปิดดำเนินการปลายเดือนมีนาคม 2569 และประกาศชื่อองค์กรไทยต่อเนื่องตลอดปี ทั้งกรุงเทพมหานคร (โดเมน bangkok.go.th) เมื่อ 23 พฤษภาคม บริษัทในเครือสไมล์สยาม บริษัทยูนิเพสต์ บริษัทซันซี พลาสติก และบริษัทโอเร็กซ์ในเดือนกันยายน รายงานของ CYFIRMA ระบุว่าไทยเป็นหนึ่งในเป้าหมายหลักของกลุ่มนี้ร่วมกับอินเดีย ฝรั่งเศส บราซิล และไต้หวัน ตลอดช่วงมกราคมถึงกันยายน 2569 กลุ่มหน้าใหม่ต้องการสร้างเครดิตบนเว็บปล่อยข้อมูลให้เร็วที่สุด จึงมักเลือกเป้าหมายที่เจาะได้ง่าย การที่ไทยอยู่ในชุดแรกของหลายกลุ่มจึงเป็นตัวชี้วัดความง่ายในการเข้าถึง มากกว่าความน่าสนใจของข้อมูล

ส่วนที่ 3 — ไทม์ไลน์ปี 2569

พัฒนาการของแรนซัมแวร์ต่อไทยในปี 2569 แบ่งได้เป็นสี่ช่วง ซึ่งแต่ละช่วงมีลักษณะเด่นต่างกัน

ช่วงที่ 1 (มกราคม–เมษายน) — คลื่น The Gentlemen กลุ่มเดียวครองพื้นที่ ประกาศชื่อองค์กรไทยต่อเนื่องทุกเดือน ไล่ตั้งแต่องค์การบริหารส่วนจังหวัดชลบุรีและมหาวิทยาลัยธรรมศาสตร์ในเดือนกุมภาพันธ์ ไปจนถึงการปล่อยเหยื่อสี่รายในวันเดียวเมื่อ 4 เมษายน ในช่วงเดียวกัน กลุ่ม Gunra ประกาศชื่อบริษัท Thai Petroleum & Trading และกลุ่ม Payload ประกาศชื่อบริษัทไทย โซล่าร์ เอ็นเนอร์ยี่ ทำให้ภาคพลังงานเริ่มปรากฏในรายชื่อตั้งแต่ต้นปี เมื่อสิ้นไตรมาส Check Point ก็จัดไทยเข้าสิบอันดับแรกของโลก

ช่วงที่ 2 (พฤษภาคม–มิถุนายน) — หน่วยงานรัฐและการเทสต็อก Krybit ประกาศชื่อกรุงเทพมหานคร กลุ่ม Apt73 ประกาศชื่อมหาวิทยาลัยมหิดลและสถาบันวิจัยดาราศาสตร์แห่งชาติ กลุ่ม Worldleaks ประกาศชื่อบริษัท ช.การช่าง ผู้รับเหมาโครงการโครงสร้างพื้นฐานขนาดใหญ่ และกลุ่ม Qilin ประกาศชื่อบริษัทอีซูซุในไทย ขณะที่ LockBit 5.0 เทรายชื่อองค์กรไทยสี่รายรวมถึงเมเจอร์ ซีนีเพล็กซ์ลงในวันเดียว ในเดือนเดียวกันนั้น แคมเปญ FortiBleed ถูกเปิดโปงว่ามีข้อมูลเข้าสู่ระบบ VPN ของ Fortinet รั่วกว่า 73,000 รายการโดยไทยติดสิบอันดับประเทศที่ได้รับผลกระทบมากที่สุด (โพสต์ 2026/06/123 )

ช่วงที่ 3 (กรกฎาคม–สิงหาคม) — ตลาดแตกตัว The Gentlemen ประกาศสหกรณ์เคหสถานของกองทัพเรือเมื่อ 1 กรกฎาคม จากนั้นผู้เล่นใหม่ทยอยเข้ามา Deadlock ประกาศ Tesco Engineer, DragonForce ประกาศรีสอร์ตกะตะธานีในภูเก็ต, Gunra ประกาศบริษัทสยามสเตบิไลเซอร์ส แอนด์ เคมิคอลส์ RansomHouse อ้างโจมตี PCL Holding, Panzer อ้างได้ข้อมูล The Minor Food Group ไป 340.8 กิกะไบต์และประกาศชื่อบริษัทสยามออยล์โปรดักส์, Dysphor1a เปิดตัวด้วยเหยื่อไทย และ INC Ransom ซึ่งปกติแทบไม่แตะไทยประกาศชื่อบางกอกเคเบิ้ล ในเดือนเดียวกัน ภาครัฐไทยเผชิญวิกฤตข้อมูลรั่วจากรหัสผ่านเจ้าหน้าที่ที่หลุดสู่ดาร์กเว็บ จนคณะรัฐมนตรีมีมติเมื่อ 11 สิงหาคม 2569 ให้กว่า 300 กรมเปลี่ยนรหัสผ่านทันทีและบังคับใช้การยืนยันตัวตนหลายปัจจัย (โพสต์ 2026/08/089 )

ช่วงที่ 4 (กันยายน–ตุลาคม) — แตะโครงสร้างพื้นฐานสำคัญ Direwolf ประกาศชื่อ PTT Oil and Retail Business เมื่อ 2 กันยายน ตามด้วย The Gentlemen ประกาศ Technical Asia, Qilin ประกาศร้าน ShopDunk และสายการบินไทย ไลอ้อน แอร์ เมื่อ 2 ตุลาคม (DeXpose ) และกลุ่ม NightSpire ประกาศโรงแรมในภูเก็ตเมื่อ 8 ตุลาคม ในช่วงเดียวกัน FBI และหน่วยสืบราชการลับสหรัฐฯ ออกคำเตือนว่าแคมเปญ FortiBleed ยังสแกน FortiGate ด้วยข้อมูลเข้าสู่ระบบที่ขโมยไปแล้ว โดยมีข้อมูลที่ใช้ได้จริงกว่า 86,644 ชุดใน 194 ประเทศ (โพสต์ 2026/10/039 )

ภาพรวมของไทม์ไลน์นี้ชี้ว่า แม้จำนวนประกาศจะลดลง แต่ความสำคัญเชิงยุทธศาสตร์ของเป้าหมายในครึ่งปีหลังกลับสูงขึ้น ผู้ค้าปลีกน้ำมันรายใหญ่ที่สุดรายหนึ่งของประเทศ และสายการบินที่ให้บริการเที่ยวบินภายในประเทศจำนวนมาก ไม่ใช่เป้าหมายประเภทที่ปรากฏในครึ่งปีแรก

ส่วนที่ 4 — ยุทธวิธี เทคนิค และกระบวนการ (TTPs)

แม้ผู้โจมตีจะหลากหลายขึ้น แต่เมื่อนำรายงานทางเทคนิคของกลุ่มที่ประกาศชื่อองค์กรไทยมาเรียงกัน จะเห็นห่วงโซ่การโจมตีที่คล้ายกันมาก ความคล้ายนี้เป็นข่าวดีสำหรับผู้ป้องกัน เพราะหมายความว่าการปิดจุดอ่อนไม่กี่จุดจะลดความเสี่ยงจากหลายกลุ่มพร้อมกัน

ภาพที่ 3: ห่วงโซ่การโจมตีร่วมของกลุ่มแรนซัมแวร์ที่ประกาศชื่อองค์กรไทยในปี 2569 — ตั้งแต่การเข้าถึงครั้งแรกจนถึงการกรรโชกบนเว็บปล่อยข้อมูล (เรียบเรียงจากรายงานของ Unit 42, Group-IB, LevelBlue, Resecurity, SOCRadar และคำเตือนของ FBI/CISA)

ขั้นที่ 1: การเข้าถึงครั้งแรก — ประตูที่เปิดไว้แล้ว

อุปกรณ์ขอบเครือข่าย (edge devices) เป็นทางเข้าที่ปรากฏซ้ำมากที่สุด รายงานของ Palo Alto Networks Unit 42 ระบุว่า The Gentlemen ใช้ช่องโหว่ CVE-2024-55591 ใน Fortinet FortiOS และ FortiProxy, CVE-2025-32433 ในเซิร์ฟเวอร์ SSH ของ Erlang/OTP, CVE-2025-33073 ใน Windows SMB Client และ CVE-2025-55182 (React2Shell) ควบคู่กับการเดารหัสผ่านและการซื้อสิทธิ์เข้าถึงจากนายหน้า กลุ่ม Gunra ซึ่งประกาศชื่อองค์กรไทยสามรายในปีนี้ ถูกคำเตือนร่วมของสหรัฐฯ และเกาหลีใต้ระบุว่าใช้ช่องโหว่ Fortinet ตัวเดียวกันคือ CVE-2024-55591 ร่วมกับ CVE-2025-24472 แล้วแก้ไฟล์ตรวจสอบตัวตนบนพอร์ทัล VDI จนการยืนยันตัวตนหลายปัจจัยถูกข้ามทั้งระบบ (โพสต์ 2026/08/060 ) ส่วน INC Ransom ถูก Resecurity ระบุว่าเป็นผู้ใช้ช่องโหว่คู่ CVE-2026-15409 และ CVE-2026-15410 ในอุปกรณ์ SonicWall SMA1000 มากที่สุด ซึ่งถูกใช้แบบ zero-day มาตั้งแต่ 22 มิถุนายน 2569 (โพสต์ 2026/08/019 )

ประเด็นที่ทำให้เรื่องนี้เป็นปัญหาเฉพาะของไทยคือ ไฟร์วอลล์และเกตเวย์การเข้าถึงระยะไกลของ Fortinet และ SonicWall เป็นอุปกรณ์ที่ใช้แพร่หลายในองค์กรขนาดกลางและภาคการผลิตของไทย และ SonicWall ยังต้องออกแพตช์ SMA1000 ซ้ำอีกในเดือนตุลาคมสำหรับช่องโหว่ SSRF คะแนน CVSS 10.0 ที่กระทบแม้กระทั่งเวอร์ชันที่ออกมาแก้ช่องโหว่ซึ่งถูกโจมตีจริงเมื่อกันยายน (โพสต์ 2026/10/045 )

ข้อมูลเข้าสู่ระบบที่ถูกขโมยไปแล้ว เป็นทางเข้าที่สองและน่าจะเป็นตัวอธิบาย “คลังช่องทางเข้า” ที่ Check Point กล่าวถึง แคมเปญ FortiBleed ซึ่ง SOCRadar ระบุว่าเป็นฝีมือนายหน้าค้าการเข้าถึงที่พูดภาษารัสเซีย ใช้เครื่องมือดักจับข้อมูลบน FortiGate กว่า 430,000 เครื่องและเก็บข้อมูลเข้าสู่ระบบได้กว่า 110 ล้านรายการ SOCRadar ยังพบว่าผู้ปฏิบัติการของแคมเปญนี้ล็อกอินเข้าแผงเจรจาค่าไถ่ของ INC และ Lynx ซึ่งเป็นหลักฐานเชื่อมโยงโดยตรงระหว่างการขโมยข้อมูลเข้าสู่ระบบกับการวางแรนซัมแวร์ (โพสต์ 2026/07/037 ) เมื่อไทยติดสิบอันดับประเทศที่ได้รับผลกระทบจาก FortiBleed องค์กรไทยที่เคยใช้ FortiGate ในช่วงนั้นจึงควรถือว่าบัญชี VPN ของตนอาจอยู่ในมือผู้อื่นแล้ว แม้จะแพตช์อุปกรณ์ไปแล้วก็ตาม

มัลแวร์ขโมยข้อมูลบนเครื่องพนักงาน เป็นทางเข้าที่สาม ข้อมูลประกอบจากฐานข้อมูลของ HudsonRock ที่ Ransomware.live แสดงไว้ในรายการเหยื่อไทยหลายราย ชี้ให้เห็นปัญหาในระดับที่น่ากังวล ในรายการของกรุงเทพมหานครพบข้อมูลเข้าสู่ระบบของพนักงานที่ถูกมัลแวร์ขโมยข้อมูลเล่นงาน 207 ราย ผู้ใช้ที่ถูกเล่นงาน 2,877 ราย ข้อมูลของพนักงานบุคคลที่สาม 77 รายการ และจุดที่เปิดสู่ภายนอก 128 จุด ตัวเลขชุดนี้ไม่ได้พิสูจน์ว่าผู้โจมตีเข้ามาทางไหน แต่บอกได้ว่าผู้โจมตีไม่จำเป็นต้องใช้ช่องโหว่ใดเลยก็อาจเดินเข้าประตูหน้าได้ด้วยบัญชีที่ถูกต้อง

ขั้นที่ 2: การตั้งหลัก — ใช้เครื่องมือที่ถูกกฎหมาย

เมื่อเข้ามาได้แล้ว ผู้โจมตีมักไม่ใช้มัลแวร์ที่สะดุดตา แต่ใช้บัญชีที่ถูกต้องซึ่งไม่มีการยืนยันตัวตนหลายปัจจัย และเครื่องมือควบคุมระยะไกลที่ถูกกฎหมาย (RMM — Remote Monitoring and Management) Group-IB พบว่าสคริปต์ของ Deadlock หยุดบริการเกือบทั้งหมดในเครื่องยกเว้น AnyDesk ซึ่งเป็นช่องทางควบคุมของผู้โจมตีเอง ในบริบทของไทย กรณีที่ Hunt.io พบผู้โจมตีฝังเครื่องมือ MeshCentral ไว้ในเครือข่ายของ 3BB และคุมเครื่องภายในด้วยสิทธิ์ root (โพสต์ 2026/09/115 ) แม้จะไม่ใช่เหตุแรนซัมแวร์ แต่ก็แสดงให้เห็นรูปแบบเดียวกันว่าเครื่องมือจัดการระบบที่ถูกกฎหมายเป็นช่องทางคงสิทธิ์ที่ตรวจจับยาก

ขั้นที่ 3: การหลบเลี่ยงการป้องกัน — ปิด EDR ก่อนลงมือ

กลุ่มหลักที่โจมตีไทยลงทุนกับการปิดระบบป้องกันปลายทางอย่างจริงจัง Unit 42 ระบุว่า The Gentlemen ใช้เฟรมเวิร์กเฉพาะชื่อ GentleKiller สำหรับปิด EDR และโปรแกรมป้องกันไวรัส พร้อมเทคนิค BYOVD (Bring Your Own Vulnerable Driver — การนำไดรเวอร์ที่มีช่องโหว่เข้ามาโหลดเพื่อได้สิทธิ์ระดับเคอร์เนล) โดยใช้ช่องโหว่ CVE-2025-7771 ในไดรเวอร์ ThrottleStop.sys ส่วน LevelBlue พบว่ามัลแวร์ของ Direwolf ฆ่ากระบวนการบันทึกเหตุการณ์ของ Windows หยุดบริการที่กำหนดไว้ล่วงหน้า 75 รายการและกระบวนการอีก 59 รายการรวมถึงซอฟต์แวร์ป้องกันไวรัส แล้วใช้ bcdedit ปิดการกู้คืนระบบ

ขั้นที่ 4: การสร้างความเสียหาย — ขโมยก่อน เข้ารหัสทีหลัง

แทบทุกกลุ่มขโมยข้อมูลออกไปก่อนเข้ารหัส เพื่อให้มีสองแรงกดดันในการเรียกค่าไถ่ (double extortion) Halcyon ระบุว่า Krybit ขโมยข้อมูลราว 10 ถึง 250 กิกะไบต์ต่อเหยื่อและเรียกค่าไถ่ราว 40,000 ถึง 100,000 ดอลลาร์สหรัฐฯ ตัวเข้ารหัสของ Krybit ซึ่งมีโค้ดสืบสายมาจาก Babuk รองรับทั้ง Windows, Linux, VMware ESXi และอุปกรณ์ NAS ส่วน The Gentlemen เข้าโฮสต์ ESXi ผ่าน SSH เพื่อยึดทั้งสภาพแวดล้อมเวอร์ชวลพร้อมกัน ทุกกลุ่มลบสำเนาเงาของไดรฟ์ (shadow copy) เป็นขั้นตอนมาตรฐาน การเข้ารหัส ESXi เป็นจุดที่องค์กรไทยควรกังวลเป็นพิเศษในช่วงนี้ เพราะหลายองค์กรกำลังอยู่ระหว่างย้ายระบบเวอร์ชวลไลเซชันหรือยังใช้ ESXi รุ่นเก่าที่หมดการสนับสนุน

ขั้นที่ 5: การกรรโชก — เว็บปล่อยข้อมูลและความเงียบของเหยื่อ

ขั้นสุดท้ายคือการประกาศชื่อบนเว็บปล่อยข้อมูลและการกดดันทางจิตวิทยา ซึ่งในปี 2569 มีพัฒนาการที่ควรบันทึกไว้หลายประการ ประการแรก บางกลุ่มเพิ่มความทนทานของโครงสร้างพื้นฐานด้วยบล็อกเชน Group-IB พบว่า Deadlock เก็บที่อยู่เซิร์ฟเวอร์พร็อกซีสำหรับห้องแชตเจรจาไว้ในสัญญาอัจฉริยะบนเครือข่าย Polygon ทำให้เปลี่ยนเซิร์ฟเวอร์ได้โดยไม่ต้องแก้มัลแวร์และไม่มีผู้ให้บริการรายใดสั่งลบได้ ประการที่สอง การประกาศซ้ำโดยกลุ่มที่สองอย่างกรณี SUNSEA สร้างแรงกดดันรอบใหม่แม้เหยื่อจะผ่านเหตุการณ์แรกไปแล้ว ประการที่สาม Resecurity พบว่าเหยื่อของ INC ถูกโทรศัพท์และอีเมลตามกดดันจากบุคคลที่อ้างว่าจะช่วยเจรจา

ประการสุดท้ายซึ่งเป็นเรื่องของฝั่งไทยเองคือ ความเงียบ ในบรรดาองค์กรไทยทั้ง 88 รายการ Cloud Thunder ไม่พบคำแถลงต่อสาธารณะที่ยืนยันหรือปฏิเสธเหตุการณ์จากองค์กรเอกชนรายใดในข่าวที่ติดตาม เมื่อเหยื่อเงียบ คำอ้างของผู้โจมตีจึงกลายเป็นเรื่องเล่าด้านเดียวที่สาธารณะรับรู้ และผู้โจมตีก็ได้ประโยชน์จากความคลุมเครือนั้นในการกดดันเหยื่อรายถัดไป

ส่วนที่ 5 — ผลกระทบต่อไทยโดยตรง

ภาพที่ 4: องค์กรไทยบนเว็บปล่อยข้อมูลแยกตามภาคอุตสาหกรรม กุมภาพันธ์–8 ตุลาคม 2569 — แถบสีแดงคือภาคที่ทับซ้อนกับโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (ที่มา: ป้ายหมวดของ Ransomware.live ปรับสองรายการ)

ภาคพลังงานและการขนส่ง: ใกล้เส้นของโครงสร้างพื้นฐานสำคัญ

ภาคพลังงานถูกประกาศชื่อหกรายในปีนี้ ได้แก่ Thai Petroleum & Trading (Gunra, เมษายน), ไทย สเปเชียล แก๊ส (The Gentlemen, เมษายน), ไทย โซล่าร์ เอ็นเนอร์ยี่ (Payload, มีนาคม), Nathalin Group (The Gentlemen, กุมภาพันธ์), สยามออยล์โปรดักส์ (Panzer, สิงหาคม) และ PTT Oil and Retail Business (Direwolf, กันยายน) รายสุดท้ายเป็นรายที่กระทบภาพรวมมากที่สุด เพราะเป็นผู้ประกอบการค้าปลีกน้ำมันที่มีเครือข่ายสถานีบริการทั่วประเทศ และอยู่ในหมวดพลังงานและสาธารณูปโภคซึ่งเป็นหมวดโครงสร้างพื้นฐานสำคัญทางสารสนเทศตามพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 ประกาศของ Direwolf ระบุประเภทข้อมูลไว้เพียงคำว่า “Chemicals” ไม่มีขนาดข้อมูลหรือตัวอย่างไฟล์ และจนถึงวันที่เขียนรายงานนี้ยังไม่มีคำแถลงจากบริษัทหรือหน่วยงานกำกับใด ๆ (โพสต์ 2026/09/054 )

ภาคการขนส่งถูกประกาศชื่อหกรายเช่นกัน รายที่มีนัยสำคัญที่สุดคือสายการบินไทย ไลอ้อน แอร์ ซึ่ง Qilin ประกาศชื่อเมื่อ 2 ตุลาคม 2569 พร้อมข้อความขู่ว่าจะปล่อยข้อมูลอ่อนไหวหากไม่มีการเจรจา โดยไม่ได้ระบุขนาดหรือประเภทข้อมูล และยังไม่มีคำยืนยันจากสายการบิน นอกจากนี้ยังมีบริษัทโทรีเซนไทย เอเยนซีส์ ผู้ให้บริการเดินเรือ (The Gentlemen, มิถุนายน) และ BMTP ที่ถูกสองกลุ่มประกาศชื่อห่างกันราวสองสัปดาห์ในเดือนเมษายนและพฤษภาคม

ความเสี่ยงของภาคนี้ไม่ได้อยู่ที่ข้อมูลรั่วเพียงอย่างเดียว แต่อยู่ที่ความต่อเนื่องของบริการ ระบบหลังบ้านของสายการบิน ผู้ค้าปลีกน้ำมัน และผู้ให้บริการโลจิสติกส์เชื่อมโยงกับระบบจองตั๋ว ระบบชำระเงิน และการจัดสรรสินค้าที่ประชาชนใช้ทุกวัน หากการเข้ารหัสลามจากระบบสำนักงานไปถึงระบบปฏิบัติการ ผลกระทบจะปรากฏเป็นความล่าช้าของบริการสาธารณะ ไม่ใช่เพียงข่าวข้อมูลรั่ว

หน่วยงานรัฐ กลาโหม และสถาบันการศึกษา

ปีนี้มีหน่วยงานรัฐและองค์กรที่เกี่ยวข้องกับกลาโหมถูกประกาศชื่ออย่างน้อยห้ารายการ ได้แก่ องค์การบริหารส่วนจังหวัดชลบุรี (The Gentlemen, กุมภาพันธ์) กรุงเทพมหานคร (Krybit, พฤษภาคม) สถาบันวิจัยดาราศาสตร์แห่งชาติ (Apt73, พฤษภาคม) สหกรณ์เคหสถานของกองทัพเรือ (The Gentlemen, กรกฎาคม) และอีกหนึ่งรายการที่ Ransomware.live ติดป้ายหมวดรัฐและกลาโหม ทั้งหมดเกิดขึ้นในปีเดียวกับวิกฤตข้อมูลภาครัฐที่ต้นเหตุคือรหัสผ่านเจ้าหน้าที่หลุดสู่ดาร์กเว็บ ซึ่งชี้ไปที่จุดอ่อนเดียวกันคือการยืนยันตัวตน

สถาบันการศึกษาถูกประกาศชื่ออย่างน้อยหกรายในช่วงที่วิเคราะห์ รวมถึงมหาวิทยาลัยธรรมศาสตร์ มหาวิทยาลัยมหิดล มหาวิทยาลัยพายัพ สถาบันศศินทร์ บัณฑิตวิทยาลัยร่วมด้านพลังงานและสิ่งแวดล้อม และวิทยาลัยเอกชนหนึ่งแห่ง มหาวิทยาลัยมีเครือข่ายเปิด ผู้ใช้หมุนเวียนจำนวนมาก และมักเก็บทั้งข้อมูลส่วนบุคคลของนักศึกษาและผลงานวิจัยที่บางส่วนเกี่ยวข้องกับความมั่นคงหรือได้ทุนจากหน่วยงานรัฐ ระบบเรียนออนไลน์อย่าง Moodle ที่ Dysphor1a อ้างว่าได้บัญชีผู้ใช้ไป 273 บัญชีเป็นตัวอย่างของระบบที่มักได้งบประมาณดูแลน้อยกว่าระบบหลัก แต่รหัสผ่านที่เก็บอยู่อาจถูกนำไปใช้ซ้ำกับบริการอื่นของผู้ใช้

ภาคการผลิต: ห่วงโซ่อุปทานที่มองไม่เห็น

ภาคการผลิตถูกประกาศชื่อมากที่สุดถึง 18 ราย และนี่คือภาคที่ผลกระทบลามไกลที่สุดแต่ถูกพูดถึงน้อยที่สุด เหยื่อส่วนใหญ่ไม่ใช่บริษัทที่ประชาชนรู้จัก แต่เป็นผู้ผลิตชิ้นส่วน วัตถุดิบ และสารเคมีที่ป้อนสายการผลิตของอุตสาหกรรมยานยนต์ อิเล็กทรอนิกส์ อาหาร และบรรจุภัณฑ์ เช่น ผู้ผลิตพลาสติกวิศวกรรมที่ป้อนชิ้นงานให้ยานยนต์และเซมิคอนดักเตอร์ ผู้ผลิตสายไฟฟ้าและสายเคเบิล ผู้ผลิตสารเคมีเพิ่มเสถียรภาพสำหรับพลาสติก และผู้ผลิตฟิล์มบรรจุภัณฑ์ หลายรายเป็นกิจการร่วมทุนกับญี่ปุ่น ซึ่งเชื่อมระบบกับบริษัทแม่และลูกค้าข้ามประเทศ

เมื่อซัพพลายเออร์ระดับกลางเหล่านี้ถูกเข้ารหัสจนหยุดชะงัก ผลกระทบจะไปโผล่ที่โรงงานปลายน้ำที่พึ่งพาชิ้นงานตามสั่ง และเมื่อข้อมูลถูกขโมย เอกสารที่รั่วมักเป็นแบบชิ้นงาน ใบเสนอราคา สัญญา และทะเบียนคู่ค้า ซึ่งเปิดทางให้เกิดการฉ้อโกงแบบสวมรอยเป็นคู่ค้าเพื่อเปลี่ยนเลขบัญชีรับเงิน (BEC — Business Email Compromise) ที่ใช้เอกสารจริงเป็นเหยื่อล่อ ความเสี่ยงระดับห่วงโซ่นี้ไม่ปรากฏในข่าวเพราะบริษัทที่เกี่ยวข้องไม่มีหน้าที่หรือแรงจูงใจที่จะเปิดเผย

ธุรกิจบริการ ท่องเที่ยว และค้าปลีก

ภาคโรงแรมและบริการถูกประกาศชื่อเจ็ดราย โดยมีโรงแรมและรีสอร์ตในภูเก็ตอย่างน้อยสามแห่ง ได้แก่ Kalima Resort & Spa (DragonForce, มีนาคม) กะตะธานี ภูเก็ต บีช รีสอร์ต (DragonForce, กรกฎาคม) และโรงแรมสินเอ ภูเก็ต (NightSpire, ตุลาคม) ภาคนี้กำลังถูกโจมตีจากหลายทิศทางพร้อมกัน เพราะนอกจากแรนซัมแวร์แล้ว Cofense ยังรายงานแคมเปญอีเมลร้องเรียนปลอมที่ส่งมัลแวร์ EtherRAT และ TONResolver ถึงพนักงานโรงแรมโดยเฉพาะ (โพสต์ 2026/10/056 ) เมื่อการท่องเที่ยวเป็นรายได้หลักของประเทศ และฤดูท่องเที่ยวกำลังเริ่มต้นในช่วงไตรมาสสุดท้าย ระบบจองห้องพักและข้อมูลบัตรชำระเงินของแขกต่างชาติจึงเป็นทั้งเป้าหมายทางการเงินและความเสี่ยงต่อภาพลักษณ์ของประเทศ

ค้าปลีกและอีคอมเมิร์ซถูกประกาศชื่อสิบราย รวมถึง The Minor Food Group เจ้าของแบรนด์ร้านอาหารกว่า 2,600 สาขาใน 24 ประเทศที่ Panzer อ้างว่าได้ข้อมูลไป 340.8 กิกะไบต์ และร้าน ShopDunk ที่ Qilin ประกาศในเดือนกันยายน หากคำอ้างเป็นจริง ข้อมูลสมาชิกและข้อมูลลูกค้าของธุรกิจเหล่านี้จะกลายเป็นวัตถุดิบของมิจฉาชีพที่โทรหลอกประชาชนไทย ซึ่งเป็นปัญหาที่รัฐบาลประกาศเป็นวาระแห่งชาติอยู่แล้ว

สาธารณสุข

แม้ภาคสาธารณสุขจะถูกประกาศชื่อน้อยในข้อมูลชุดนี้ คือโรงพยาบาลร่วมใจรักษ์ (The Gentlemen, กุมภาพันธ์) แต่ยังมีคำอ้างของ RansomHouse ต่อ PCL Holding ผู้จัดจำหน่ายเครื่องมือและน้ำยาวินิจฉัยทางการแพทย์ที่ให้บริการห้องปฏิบัติการแก่หน่วยงานสาธารณสุข ซึ่งไม่อยู่ในรายการของ Ransomware.live ผลตรวจทางห้องปฏิบัติการจัดเป็นข้อมูลอ่อนไหวตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล และโมเดลให้เช่าเครื่องมือควบคู่กับน้ำยาทำให้ห้องแล็บปลายทางพึ่งพาระบบของผู้จัดจำหน่ายโดยตรง ภาคนี้จึงเป็นตัวอย่างชัดเจนของความเสี่ยงห่วงโซ่อุปทานที่ข้อมูลจากเว็บปล่อยข้อมูลอย่างเดียวมองไม่เห็น

ส่วนที่ 6 — การประเมินเชิงยุทธศาสตร์ต่อความมั่นคงของชาติ

ประเมินที่ 1: ไทยถูกโจมตีเพราะเข้าง่าย ไม่ใช่เพราะถูกเลือก

หลักฐานทุกชิ้นในบทวิเคราะห์นี้ชี้ไปในทิศทางเดียวกัน Check Point ระบุว่าการที่ไทยติดสิบอันดับแรกมาจากคลังช่องทางเข้าของ The Gentlemen กลุ่มหน้าใหม่หลายกลุ่มเลือกไทยเป็นผลงานชุดแรก เหยื่อกระจายทุกภาคโดยไม่มีรูปแบบเชิงอุตสาหกรรม และทางเข้าที่พบซ้ำคืออุปกรณ์ที่ไม่ได้แพตช์และบัญชีที่ไม่มีการยืนยันตัวตนหลายปัจจัย บทวิเคราะห์นี้จึงประเมินด้วยความมั่นใจระดับสูงว่า แรนซัมแวร์ต่อไทยในปี 2569 ขับเคลื่อนด้วยโอกาส ไม่ใช่ด้วยเป้าหมายทางการเมืองหรือการจารกรรมของรัฐ

ข้อสรุปนี้มีสองด้าน ด้านดีคือความเสี่ยงลดลงได้จริงด้วยมาตรการพื้นฐาน เพราะผู้โจมตีที่ขับเคลื่อนด้วยโอกาสจะย้ายไปหาเป้าที่ง่ายกว่าเมื่อประตูถูกปิด ด้านที่ต้องระวังคือ การที่ไทยถูกมองว่าเป็นตลาดที่เข้าง่ายจะดึงดูดกลุ่มใหม่ ๆ อย่างต่อเนื่อง ตราบใดที่สต็อกช่องทางเข้ายังไม่ถูกล้าง

ประเมินที่ 2: การแตกตัวของผู้โจมตีทำให้การป้องกันแบบตามกลุ่มใช้ไม่ได้

ในครึ่งปีแรก องค์กรไทยที่ศึกษาเทคนิคของ The Gentlemen แล้วตั้งการตรวจจับตามนั้นจะครอบคลุมภัยเกือบครึ่งหนึ่ง แต่ในครึ่งปีหลังทำแบบเดียวกันจะครอบคลุมได้เพียงหนึ่งในห้า การป้องกันจึงต้องเปลี่ยนจากการไล่ตามตัวบ่งชี้ของแต่ละกลุ่มไปสู่การปิดขั้นตอนร่วมของห่วงโซ่การโจมตี ซึ่งโชคดีที่ยังเหมือนกันเกือบทุกกลุ่ม ทั้งการเข้าทางอุปกรณ์ขอบเครือข่าย การใช้บัญชีที่ถูกต้อง การปิด EDR และการลบสำเนาสำรอง

ประเมินที่ 3: ช่องว่างการเปิดเผยข้อมูลคือความเสี่ยงเชิงนโยบาย

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลกำหนดให้ผู้ควบคุมข้อมูลแจ้งเหตุละเมิดต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงเมื่อเข้าเงื่อนไข และพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์กำหนดหน้าที่รายงานเหตุของหน่วยงานโครงสร้างพื้นฐานสำคัญ แต่ในทางปฏิบัติ สาธารณะไม่มีทางรู้ว่าองค์กรที่ถูกประกาศชื่อได้แจ้งเหตุหรือไม่ ผลคือคู่ค้าไม่รู้ว่าควรระวังเอกสารที่เคยส่งให้หรือไม่ ประชาชนไม่รู้ว่าข้อมูลของตนอยู่ในชุดที่รั่วหรือไม่ และหน่วยงานด้านความมั่นคงไม่มีภาพรวมของสถานการณ์จริงที่ครบถ้วนกว่าเว็บของผู้โจมตีเอง ประเทศที่ต้องอาศัยเว็บของอาชญากรเป็นแหล่งข้อมูลหลักในการประเมินสถานการณ์แรนซัมแวร์ของตัวเอง ถือว่ามีช่องว่างด้านข่าวกรองที่ต้องแก้

ประเมินที่ 4: เป้าหมายในครึ่งปีหลังเข้าใกล้โครงสร้างพื้นฐานสำคัญมากขึ้น

แม้จำนวนจะลดลง คำอ้างต่อผู้ค้าปลีกน้ำมันรายใหญ่และสายการบินในช่วงกันยายนถึงตุลาคมเป็นสัญญาณว่าผู้โจมตีกำลังได้ช่องทางเข้าสู่องค์กรขนาดใหญ่ที่ให้บริการประชาชนในวงกว้าง บทวิเคราะห์นี้ประเมินด้วยความมั่นใจระดับกลางว่า ภายในหกถึงสิบสองเดือนข้างหน้ามีความเป็นไปได้สูงที่จะเกิดเหตุแรนซัมแวร์ที่กระทบบริการสาธารณะของไทยจนประชาชนรับรู้ได้โดยตรง ไม่ว่าจะเป็นระบบชำระเงิน การจองตั๋ว การกระจายสินค้า หรือบริการขององค์กรปกครองส่วนท้องถิ่น ความเป็นไปได้นี้ขึ้นอยู่กับว่าสต็อกช่องทางเข้าเดิมจะถูกล้างเร็วแค่ไหน

ประเมินที่ 5: ไม่พบหลักฐานการเชื่อมโยงกับรัฐต่างชาติ

ในข้อมูลที่วิเคราะห์ ไม่พบหลักฐานว่ากลุ่มแรนซัมแวร์ที่โจมตีไทยทำงานในนามรัฐใดหรือมีเป้าหมายทางการเมืองต่อไทย กลุ่มส่วนใหญ่มีลักษณะเป็นอาชญากรรมไซเบอร์ที่มุ่งผลกำไร และมีเครือข่ายที่พูดภาษารัสเซียอยู่เบื้องหลังส่วนหนึ่ง เช่น นายหน้าในแคมเปญ FortiBleed อย่างไรก็ตาม ข้อมูลที่ถูกขโมยจากหน่วยงานรัฐ กลาโหม และสถาบันวิจัย อาจถูกขายต่อให้ผู้ซื้อที่มีเป้าหมายด้านจารกรรมได้ หน่วยงานด้านความมั่นคงจึงควรถือว่าข้อมูลที่รั่วจากเหตุแรนซัมแวร์ในหน่วยงานที่เกี่ยวข้องกับความมั่นคงเป็นความเสี่ยงด้านข่าวกรองด้วย ไม่ใช่เพียงเหตุอาชญากรรม

ส่วนที่ 7 — ข้อเสนอเชิงยุทธศาสตร์

ระยะเร่งด่วน (0–30 วัน)

องค์กรโครงสร้างพื้นฐานสำคัญและองค์กรขนาดกลางขึ้นไปควรถือว่าบัญชี VPN และบัญชีผู้ดูแลอุปกรณ์ขอบเครือข่ายทั้งหมดอาจรั่วไปแล้ว โดยเฉพาะองค์กรที่ใช้ FortiGate ในช่วงที่แคมเปญ FortiBleed ทำงาน ขั้นตอนที่ควรทำทันทีคือรีเซ็ตรหัสผ่านทุกบัญชีบนอุปกรณ์ ตรวจหาบัญชีผู้ดูแลที่ไม่รู้จักตามรายชื่อที่ FBI และหน่วยสืบราชการลับสหรัฐฯ เผยแพร่ และบังคับใช้การยืนยันตัวตนหลายปัจจัยกับทุกช่องทางที่เข้าถึงจากภายนอกโดยไม่มีข้อยกเว้น

ควรตรวจสอบรายการอุปกรณ์ Fortinet และ SonicWall ที่หันหน้าออกอินเทอร์เน็ตทั้งหมด เทียบกับช่องโหว่ที่กลุ่มแรนซัมแวร์ใช้จริงในปีนี้ ได้แก่ CVE-2024-55591, CVE-2025-24472, CVE-2026-15409, CVE-2026-15410 และ CVE-2026-102255 แล้วแพตช์หรือปิดพอร์ทัลจัดการจากภายนอก หากอุปกรณ์เคยเปิดใช้ในช่วงที่ช่องโหว่ถูกโจมตีแบบ zero-day ควรสืบสวนหาร่องรอยการบุกรุกด้วย ไม่ใช่เพียงแพตช์

สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติและหน่วยงานกำกับดูแลแต่ละภาคควรติดต่อองค์กรในขอบเขตของตนที่ถูกประกาศชื่อบนเว็บปล่อยข้อมูลโดยตรง เพื่อยืนยันสถานะ ให้ความช่วยเหลือ และเก็บข้อมูลตัวบ่งชี้การบุกรุกมาเผยแพร่ต่อในวงจำกัด

ระยะกลาง (1–3 เดือน)

องค์กรควรสมัครหรือใช้บริการเฝ้าระวังข้อมูลรั่วไหลเพื่อตรวจหาข้อมูลเข้าสู่ระบบของพนักงานที่ถูกมัลแวร์ขโมยข้อมูลกวาดไป และเมื่อพบต้องล้างเครื่องที่ติดมัลแวร์ก่อนเปลี่ยนรหัสผ่าน เพราะการเปลี่ยนรหัสผ่านบนเครื่องที่ยังติดมัลแวร์เท่ากับส่งรหัสใหม่ให้ผู้โจมตี ควรจำกัดการติดตั้งเครื่องมือควบคุมระยะไกลอย่าง AnyDesk, MeshCentral และ ScreenConnect ให้อยู่ในรายการที่อนุมัติเท่านั้น และแจ้งเตือนเมื่อพบการติดตั้งใหม่นอกกระบวนการ

ควรทดสอบความสามารถในการตรวจจับพฤติกรรมก่อนเข้ารหัสที่กลุ่มหลักใช้ร่วมกัน ได้แก่ การโหลดไดรเวอร์ที่มีช่องโหว่ การหยุดบริการจำนวนมากพร้อมกัน การฆ่ากระบวนการบันทึกเหตุการณ์ การลบสำเนาเงาด้วย vssadmin หรือ wmic และการเข้าโฮสต์ ESXi ผ่าน SSH และควรแยกสำเนาสำรองข้อมูลให้อยู่นอกโดเมนและแก้ไขไม่ได้ พร้อมทดสอบกู้คืนจริง

ผู้ประกอบการภาคการผลิตที่เป็นซัพพลายเออร์ให้กิจการร่วมทุนต่างชาติควรทบทวนการเชื่อมต่อระบบกับคู่ค้า และกำหนดขั้นตอนยืนยันการเปลี่ยนเลขบัญชีรับเงินผ่านช่องทางที่ติดต่อกลับเอง เพื่อลดความเสียหายต่อเนื่องจากเอกสารที่อาจรั่ว

ระยะยาว (3–12 เดือน)

ระดับนโยบาย ควรพิจารณากลไกรายงานเหตุแรนซัมแวร์ที่ให้ภาพรวมระดับชาติได้จริง แม้จะไม่เปิดเผยชื่อองค์กรต่อสาธารณะ เพื่อให้หน่วยงานด้านความมั่นคงไม่ต้องพึ่งเว็บของผู้โจมตีเป็นแหล่งข้อมูลหลัก กลไกนี้ควรรวมถึงการรายงานการจ่ายค่าไถ่ เพราะข้อมูลชุดนี้มองไม่เห็นจากภายนอกเลย

ควรผลักดันโครงการล้างสต็อกช่องทางเข้าระดับประเทศ โดยหน่วยงานรัฐร่วมกับผู้ให้บริการอินเทอร์เน็ตและผู้ผลิตอุปกรณ์ แจ้งเตือนองค์กรที่ยังใช้อุปกรณ์ขอบเครือข่ายรุ่นที่มีช่องโหว่ซึ่งถูกโจมตีจริง และองค์กรที่พบข้อมูลเข้าสู่ระบบรั่วในฐานข้อมูลมัลแวร์ขโมยข้อมูล แนวทางนี้ตรงกับข้อสรุปของ Check Point ว่าไทยถูกโจมตีหนักเพราะสต็อกช่องทางเข้า การล้างสต็อกจึงเป็นมาตรการที่ตรงจุดที่สุด

ควรยกระดับการสร้างความตระหนักในองค์กรขนาดกลางซึ่งเป็นกลุ่มที่ถูกประกาศชื่อมากที่สุด เพราะองค์กรกลุ่มนี้มักเชื่อว่าตนเองไม่น่าสนใจพอจะถูกโจมตี ทั้งที่ข้อมูลปีนี้ชี้ชัดว่าเกณฑ์การเลือกเหยื่อคือความง่ายในการเข้าถึง ไม่ใช่ขนาดหรือชื่อเสียงขององค์กร

มุมมองไปข้างหน้า (Outlook)

ในไตรมาสสุดท้ายของปี 2569 บทวิเคราะห์นี้คาดว่าจำนวนองค์กรไทยที่ถูกประกาศชื่อจะอยู่ในระดับใกล้เคียงกับไตรมาสที่สาม คือราวห้าถึงสิบรายต่อเดือน แต่จะยังมาจากกลุ่มที่หลากหลาย และมีความเป็นไปได้ที่กลุ่มใหม่จะเปิดตัวด้วยเหยื่อในเอเชียตะวันออกเฉียงใต้อีก Qilin ซึ่งประกาศชื่อองค์กรไทยสามรายในช่วงกันยายนถึงต้นตุลาคมเป็นกลุ่มที่ควรจับตาเป็นพิเศษ เพราะเป็นกลุ่มที่มีแอฟฟิลิเอตจำนวนมากและกำลังเร่งจำนวนเหยื่อทั่วโลก ภาคท่องเที่ยวจะเสี่ยงสูงขึ้นตามฤดูกาล ส่วนช่องโหว่ใหม่ในอุปกรณ์ขอบเครือข่ายที่ยังออกมาต่อเนื่อง เช่น ช่องโหว่ SMA1000 ระดับ 10.0 ในเดือนตุลาคม จะเป็นตัวกำหนดว่ากลุ่มใดจะได้สต็อกช่องทางเข้าชุดถัดไป

ตัวแปรที่จะเปลี่ยนภาพนี้ได้มากที่สุดไม่ได้อยู่ที่ผู้โจมตี แต่อยู่ที่ฝั่งไทยเอง หากมาตรการรีเซ็ตรหัสผ่านและบังคับใช้การยืนยันตัวตนหลายปัจจัยที่ภาครัฐเริ่มไว้หลังวิกฤตข้อมูลเดือนสิงหาคมขยายไปถึงภาคเอกชนและอุปกรณ์ขอบเครือข่ายอย่างจริงจัง ไทยมีโอกาสหลุดออกจากรายชื่อเป้าหมายหลักของกลุ่มที่ขับเคลื่อนด้วยโอกาสได้ในปี 2570 แต่หากสต็อกเดิมยังอยู่ ตำแหน่งในสิบอันดับแรกของโลกจะไม่ใช่เหตุการณ์ครั้งเดียว

ภาคผนวก

ภาคผนวก ก — องค์กรไทยบนเว็บปล่อยข้อมูล กรกฎาคม–8 ตุลาคม 2569

ทุกรายการเป็นคำอ้างของผู้โจมตีที่ยังไม่ได้รับการยืนยันจากองค์กร เรียงตามวันที่ Ransomware.live พบประกาศ

นอกรายการ Ransomware.live: RansomHouse อ้างโจมตี PCL Holding (3 ส.ค. 2569) และ CYFIRMA รายงานผู้ผลิตแผ่นเหล็กสัญชาติไทยที่อยู่ระหว่างเจรจากับ Krybit (ก.ย. 2569)

ภาคผนวก ข — สถิติสรุป (กุมภาพันธ์–8 ตุลาคม 2569)

กลุ่มที่ประกาศชื่อองค์กรไทยมากที่สุด: The Gentlemen 34 · Qilin 11 · LockBit 5.0 7 · Krybit 5 · DragonForce 4 · Gunra, NightSpire, Lamashtu กลุ่มละ 3

ภาคผนวก ค — โปรไฟล์ย่อกลุ่มหลักที่มุ่งเป้าไทย

ภาคผนวก ง — MITRE ATT&CK Mapping

ภาคผนวก จ — ตัวบ่งชี้ที่เผยแพร่โดยผู้ขาย (คัดเฉพาะกลุ่มที่โจมตีไทย)

ตัวบ่งชี้ด้านล่างมาจากรายงานวิเคราะห์ตัวอย่างมัลแวร์ของผู้ขาย ไม่ได้ผูกกับเหยื่อไทยรายใดโดยเฉพาะ ที่อยู่ได้ทำให้ใช้งานไม่ได้ (defang) แล้ว

แหล่งอ้างอิง

• Ransomware.live — Ransomware victims map: Thailand
• SecurityBrief Asia — Ransomware shifts to fewer groups as Thailand targeted (Check Point Q1 2026)
• e27 — Thailand is suddenly on the frontline of a new ransomware wave
• Palo Alto Networks Unit 42 — No Manners Here: The Ruthless Rise of The Gentlemen Ransomware
• CYFIRMA — Weekly Intelligence Report, 04 Sep 2026
• CYFIRMA — Weekly Intelligence Report, 1 Oct 2026
• LevelBlue SpiderLabs — Dire Wolf Strikes: New Ransomware Group Targeting Global Sectors
• Halcyon — KryBit threat group profile
• Group-IB — DeadLock Ransomware: Smart Contracts for Malicious Purposes
• ZeroFox — Flash Report: DeadLock’s Ransomware Leak Site Lists over 80 Victims
• ThaiCERT — Infighting in the Ransomware Scene: 0APT vs. KryBit Leads to Data Leaks
• DeXpose — Qilin Targets Thai Lion Air in Ransomware Attack
• DeXpose — RansomHouse Targets PCL Holding in Thailand
• ข่าว Cloud Thunder ที่อ้างถึง: 2026/06/123 · 2026/07/037 · 2026/08/019 · 2026/08/028 · 2026/08/047 · 2026/08/060 · 2026/08/089 · 2026/08/091 · 2026/08/113 · 2026/09/054 · 2026/09/115 · 2026/10/001 · 2026/10/039 · 2026/10/045 · 2026/10/056