จัดทำโดย: Cloud Thunder Threat Intelligence
หัวข้อ: สถานการณ์ภัยไซเบอร์ที่เกี่ยวข้องกับประเทศไทย รอบครึ่งเดือนแรกของตุลาคม 2569
ประเภทเอกสาร: บทวิเคราะห์เชิงยุทธศาสตร์ด้านภัยคุกคามระดับชาติ (Strategic Threat Assessment)
มุมมอง: ความมั่นคงปลอดภัยไซเบอร์ของประเทศไทย
ฐานข้อมูล: ข่าว 142 ชิ้นที่ Cloud Thunder คัดกรองระหว่าง 1–15 ตุลาคม 2569, รายการเหยื่อสัญชาติไทยจาก Ransomware.live (ดึงข้อมูล 17 ตุลาคม 2569), รายงานข่าวกรองรายสัปดาห์ของ CYFIRMA, คำเตือนร่วม FBI/IC3 261008, รายงานของ ThreatFabric, Bitdefender, Unit 42, สกมช., ธนาคารแห่งประเทศไทย/IMF/ธนาคารโลก, ศูนย์ปฏิบัติการต่อต้านการฉ้อโกงทางออนไลน์ และสื่อไทย–ต่างประเทศ

บทสรุปเชิงยุทธศาสตร์ (Strategic Summary)

ครึ่งแรกของเดือนตุลาคม 2569 เป็นช่วงที่ประเทศไทยอยู่ในสายตาของโลกมากเป็นพิเศษ เพราะกรุงเทพฯ เป็นเจ้าภาพการประชุมประจำปีของกองทุนการเงินระหว่างประเทศ (IMF) และกลุ่มธนาคารโลก ระหว่างวันที่ 12–18 ตุลาคม ที่ศูนย์การประชุมแห่งชาติสิริกิติ์ โดยมีผู้เข้าร่วมกว่า 15,000 คนจาก 191 ประเทศ สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) ยกระดับการเฝ้าระวังเป็น 24 ชั่วโมงตลอดช่วง 10–19 ตุลาคม ครอบคลุมโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII — Critical Information Infrastructure) ท่าอากาศยาน และเว็บไซต์ภาครัฐราว 1,000 แห่ง เหตุการณ์ไซเบอร์ที่เกิดขึ้นในช่วงนี้จึงมีน้ำหนักเชิงสัญลักษณ์และเชิงความเชื่อมั่นสูงกว่าช่วงปกติ แม้ตัวเหตุการณ์เองจะไม่ได้มีลักษณะต่างจากเดือนก่อนหน้ามากนัก

จากข่าว 142 ชิ้นที่ Cloud Thunder คัดกรองในรอบนี้ และการค้นจากแหล่งเปิดเพิ่มเติม บทวิเคราะห์นี้คัดได้ 15 เหตุการณ์ที่เกี่ยวข้องกับไทยโดยตรงหรือมีผลต่อไทยอย่างมีนัยสำคัญ แบ่งเป็นคำอ้างของกลุ่มแรนซัมแวร์ต่อองค์กรไทย 5 ราย คำอ้างของแฮ็กทิวิสต์ 2 เหตุการณ์ คำเตือนระดับรัฐเรื่องปฏิบัติการจารกรรมที่มุ่งภูมิภาค 1 เหตุการณ์ ภัยด้านการฉ้อโกงและมัลแวร์บนอุปกรณ์ส่วนบุคคล 4 เหตุการณ์ และความเคลื่อนไหวเชิงนโยบายและการป้องกันอีก 3 เหตุการณ์ ประเด็นยุทธศาสตร์ที่สำคัญที่สุดมี 5 ข้อ ดังนี้

ประเด็นที่ 1 — หน่วยงานความมั่นคงระดับเหล่าทัพถูกระบุชื่อบนเว็บปล่อยข้อมูลเป็นครั้งแรกในรอบนี้ กลุ่มแรนซัมแวร์ The Gentlemen นำชื่อกองทัพอากาศไทย (rtaf.mi.th) ขึ้นเว็บปล่อยข้อมูล (data leak site — เว็บที่กลุ่มแรนซัมแวร์ใช้ประกาศชื่อเหยื่อเพื่อกดดัน) เมื่อเช้ามืดวันที่ 11 ตุลาคม ตามเวลาไทย เพียงหนึ่งวันก่อนเปิดประชุม IMF–ธนาคารโลก คำอ้างยังไม่มีหลักฐานไฟล์และยังไม่มีการยืนยันจากกองทัพอากาศ แต่ข้อมูลประกอบที่ชัดเจนกว่าคือรหัสผ่านที่ผูกกับโดเมน rtaf.mi.th ซึ่งหลุดผ่านมัลแวร์ขโมยข้อมูล (infostealer) กว่า 51,000 รายการ ไม่ว่าคำอ้างจะจริงหรือไม่ ตัวเลขนี้คือความเสี่ยงที่มีอยู่แล้ว

ประเด็นที่ 2 — แรนซัมแวร์ขยับเข้าหาธุรกิจที่ถือข้อมูลของคนจำนวนมาก นอกจากกองทัพอากาศ กลุ่ม Qilin อ้างว่าเจาะสายการบินไทย ไลอ้อน แอร์ และ Asia Era One กลุ่ม Nightspire อ้างโรงแรมหรูในภูเก็ต และ LockBit 5 อ้างบริษัท Sky CC ผู้ให้บริการคอลเซ็นเตอร์และงานบริการลูกค้าแบบเอาต์ซอร์ส (BPO) ซึ่งเป็นจุดที่ข้อมูลลูกค้าของบริษัทอื่นจำนวนมากไหลผ่าน ทั้งหมดยังเป็นคำอ้างฝ่ายเดียว แต่แบบแผนที่เห็นคือเป้าหมายในภาคขนส่ง การท่องเที่ยว และบริการลูกค้า ซึ่งหากข้อมูลรั่วจริง จะถูกนำไปต่อยอดเป็นการหลอกลวงทางโทรศัพท์และ SMS ได้ทันที

ประเด็นที่ 3 — ประเด็นความขัดแย้งภายในถูกใช้เป็นเหตุผลโจมตีโครงสร้างพื้นฐานพลังงาน กลุ่มแฮ็กทิวิสต์ RipperSec ซึ่งเชื่อว่าปฏิบัติการจากมาเลเซีย อ้างว่าเจาะระบบ SCADA จัดการเชื้อเพลิงในไทยภายใต้ปฏิบัติการ #OpPutusV2 โดยยกประเด็นจังหวัดชายแดนภาคใต้เป็นเหตุผล ในวันเดียวกันหน้าเว็บโครงการความร่วมมืออาเซียนด้านพืชของกรมวิชาการเกษตรถูกเปลี่ยนหน้าเว็บ (defacement) นี่เป็นการเปลี่ยนแกนของแฮ็กทิวิสต์ที่เล็งไทย จากประเด็นชายแดนไทย–กัมพูชาที่เด่นในปีที่ผ่านมา มาสู่ประเด็นภายในที่อ่อนไหวกว่า

ประเด็นที่ 4 — การจารกรรมอีเมลภาครัฐในภูมิภาคถูกยืนยันโดยรัฐบาลต่างประเทศ 7 ประเทศ FBI และหน่วยงานจากอีก 6 ประเทศออกคำเตือนร่วมเมื่อ 8 ตุลาคม ว่าผู้ก่อภัยที่ผูกกับบริษัท Integrity Technology Group ของจีน (ซึ่งบริษัทความปลอดภัยติดตามในชื่อ Flax Typhoon) ขโมยอีเมลของหน่วยงานรัฐ บังคับใช้กฎหมาย สาธารณสุข และองค์กรศาสนาในเอเชียตะวันออกเฉียงใต้มาตั้งแต่ปี 2564 และเปิดพอร์ทัลให้บุคคลที่สามเข้าอ่านอีเมลที่ขโมยมา คำเตือนไม่ระบุชื่อประเทศเหยื่อ แต่ช่องทางเข้าหลักคือช่องโหว่อายุ 3–12 ปีและบัญชีอีเมลที่ไม่มีการยืนยันตัวตนหลายปัจจัย (MFA) ซึ่งเป็นสภาพที่พบในหน่วยงานรัฐไทยจำนวนไม่น้อย

ประเด็นที่ 5 — การฉ้อโกงทางการเงินยกระดับไปถึงตัวอุปกรณ์ ขณะที่ไทยวางตัวเป็นผู้นำด้านนโยบาย โทรจันธนาคารแอนดรอยด์ Hirudo เล็งข้อมูลล็อกอินของผู้ใช้ไทยด้วยเทคนิคถอนแอปธนาคารจริงแล้วติดตั้งแอปดัดแปลงแทน มัลแวร์ Midnight Mimosa ที่ฝังมาในเฟิร์มแวร์มือถือราคาถูกพบเครื่องติดมัลแวร์ในไทยจำนวนมาก และกระเป๋าคริปโต Ledger ที่ขายผ่านตัวแทนในมาเลเซียถูกฝังชิปดักรหัสกู้คืน สร้างความเสียหายในภูมิภาคราว 86 ล้านดอลลาร์ตามการประเมินของนักสืบบล็อกเชน ในอีกด้าน ธนาคารแห่งประเทศไทยร่วมกับ IMF และธนาคารโลกเปิด “Bangkok Blueprint” กรอบอ้างอิงรับมือการฉ้อโกงทางการเงินผ่านไซเบอร์ และตำรวจจับกุมเครือข่ายหลอกลงทุนได้ 39 รายพร้อมยึดทรัพย์กว่า 500 ล้านบาท

ในภาพรวม ภัยที่กระทบไทยในรอบนี้ไม่ได้มาจากเทคนิคใหม่ที่ซับซ้อน แต่มาจากประตูเดิมที่ยังไม่ได้ปิด ได้แก่ บัญชีที่หลุดผ่าน infostealer อุปกรณ์ขอบเครือข่ายที่ยังไม่แพตช์ ระบบควบคุมอุตสาหกรรมที่เปิดสู่อินเทอร์เน็ต เว็บไซต์โครงการที่ไม่มีเจ้าของ และผู้ใช้มือถือที่ติดตั้งแอปจากนอกร้านค้าทางการ ในช่วงเวลาเดียวกัน ผู้ผลิตอุปกรณ์ขอบเครือข่ายรายใหญ่อย่าง Fortinet, Ivanti, Citrix, BeyondTrust และ Palo Alto Networks ต่างมีช่องโหว่ที่ถูกโจมตีจริงในรอบสองสัปดาห์เดียว ซึ่งเป็นผลิตภัณฑ์ที่องค์กรไทยใช้อย่างแพร่หลาย ความเร็วในการปิดช่องโหว่ชุดนี้จะเป็นตัวกำหนดว่าคำอ้างของกลุ่มแรนซัมแวร์ในครึ่งหลังของเดือนจะมากหรือน้อย

ภาพที่ 1: ไทม์ไลน์เหตุการณ์ไซเบอร์ที่เกี่ยวข้องกับประเทศไทย 1–15 ตุลาคม 2569 แยกสีตามประเภท — แรนซัมแวร์ (แดง) แฮ็กทิวิสต์ (เหลือง) ภัยระดับรัฐ (น้ำเงิน) การฉ้อโกงและมัลแวร์บนอุปกรณ์ (ม่วง) นโยบายและการป้องกัน (เขียวน้ำทะเล) (ที่มา: ฐานข่าว Cloud Thunder และแหล่งเปิด วิเคราะห์โดย Cloud Thunder)

ส่วนที่ 1 — ขอบเขตข้อมูลและวิธีคัดกรอง

บทวิเคราะห์นี้ครอบคลุมช่วงวันที่ 1–15 ตุลาคม 2569 ฐานข้อมูลหลักคือข่าว 142 ชิ้นที่ Cloud Thunder เผยแพร่และลงวันที่อยู่ในช่วงนี้ (โพสต์ 2026/10/001 ถึง 2026/10/142) โดยคัดข่าวที่ระบุชื่อไทยหรือองค์กรไทยโดยตรง ข่าวที่ระบุภูมิภาคเอเชียตะวันออกเฉียงใต้หรืออาเซียนเป็นเป้าหมาย และข่าวที่ระบุไทยในรายชื่อประเทศที่ได้รับผลกระทบ จากนั้นเสริมด้วยการค้นแหล่งเปิดที่ไม่ได้อยู่ในฐานข่าว ได้แก่ รายการเหยื่อสัญชาติไทยบน Ransomware.live รายงานข่าวกรองรายสัปดาห์ของ CYFIRMA ฉบับ 1, 9 และ 16 ตุลาคม ข่าวประชาสัมพันธ์และการแถลงของหน่วยงานไทย และรายงานข่าวจากสื่อไทยและต่างประเทศ

ข่าวในฐานข้อมูลที่จัดว่าเกี่ยวข้องกับไทยโดยตรง (direct-th) มี 4 ชิ้น ได้แก่ คำอ้างของ The Gentlemen ต่อบริษัทพลาสติกวิศวกรรมไทย–ญี่ปุ่น (2026/10/001) คำอ้างของ RipperSec และการ deface เว็บกรมวิชาการเกษตร (2026/10/002) คำอ้างต่อกองทัพอากาศ (2026/10/089) และโทรจัน Hirudo (2026/10/133) ข่าวที่จัดว่ากระทบอาเซียน (direct-asean) มี 2 ชิ้น คือคำเตือนร่วมเรื่อง Integrity Technology Group (2026/10/061) และเหตุ Ledger/CryptoBilis (2026/10/094) และข่าวที่ระบุไทยในรายชื่อประเทศอีก 2 ชิ้น คือ Midnight Mimosa (2026/10/068) และคดีลักลอบส่ง GPU ผ่านมาเลเซียและสิงคโปร์ (2026/10/010) ซึ่งเกี่ยวกับภูมิภาคแต่ไม่ได้นับเป็นเหตุการณ์ไซเบอร์ของไทย

การค้นแหล่งเปิดเพิ่มเหตุการณ์ที่ไม่มีในฐานข่าวอีกหลายรายการ ได้แก่ คำอ้างแรนซัมแวร์ต่อไทย ไลอ้อน แอร์, Asia Era One, โรงแรมในภูเก็ต และ Sky CC รายงานประเมินความเสี่ยงไซเบอร์ประเทศไทย พ.ศ. 2569 ของ สกมช. การยกระดับเฝ้าระวังช่วงประชุม IMF–ธนาคารโลก การเปิด Bangkok Blueprint และการจับกุมเครือข่ายหลอกลงทุน ETO TH เมื่อรวมกันแล้วได้ 15 เหตุการณ์ตามภาพที่ 2 รายงานของ CYFIRMA ที่จัดไทยเป็นเป้าหมายหลักของ The Gentlemen ถูกใช้เป็นข้อมูลบริบท ไม่ได้นับเป็นเหตุการณ์แยก เพราะเหยื่อที่ยกตัวอย่างถูกประกาศชื่อตั้งแต่ 14 กันยายน

ข้อจำกัดที่ต้องระบุชัดคือ เหตุการณ์ส่วนใหญ่ในรายงานนี้เป็น “คำอ้าง” ของผู้โจมตี ไม่ใช่เหตุที่ได้รับการยืนยัน ทั้งคำอ้างบนเว็บปล่อยข้อมูลของกลุ่มแรนซัมแวร์และคำอ้างของแฮ็กทิวิสต์ ณ วันที่ 17 ตุลาคม 2569 ยังไม่มีองค์กรไทยรายใดในรอบนี้ออกมายืนยันหรือปฏิเสธต่อสาธารณะ บทวิเคราะห์จึงประเมินความเสี่ยงจากสิ่งที่ตรวจสอบได้ เช่น ตัวเลข infostealer หรือช่องโหว่ที่ถูกใช้จริง มากกว่าการสรุปว่าองค์กรใดถูกเจาะ นอกจากนี้ จำนวนเหตุการณ์ 15 รายการไม่ได้สะท้อนภัยทั้งหมดที่เกิดกับไทย เพราะเหตุที่องค์กรรับมือเงียบ ๆ โดยไม่มีผู้โจมตีประกาศหรือสื่อรายงานจะไม่ปรากฏในข้อมูลเปิด

ภาพที่ 2: จำนวนเหตุการณ์ที่เกี่ยวข้องกับไทยแยกตามประเภท 1–15 ตุลาคม 2569 (รวม 15 เหตุการณ์) — คำอ้างแรนซัมแวร์มากที่สุด ตามด้วยภัยการฉ้อโกงและมัลแวร์บนอุปกรณ์ (ที่มา: วิเคราะห์โดย Cloud Thunder)

ส่วนที่ 2 — เหตุการณ์ที่ระบุชื่อไทยโดยตรง (เรียงตามความรุนแรง)

2.1 The Gentlemen อ้างเจาะกองทัพอากาศไทย (10–11 ตุลาคม)

เว็บไซต์ติดตามแรนซัมแวร์ Ransomware.live ตรวจพบรายการ “Royal Thai Air Force” บนเว็บปล่อยข้อมูลของกลุ่ม The Gentlemen เมื่อวันที่ 10 ตุลาคม 2569 เวลา 20:30 น. ตามเวลา UTC หรือราว 03:30 น. วันที่ 11 ตุลาคม ตามเวลาไทย และจัดเหยื่อไว้ในกลุ่มภาครัฐและความมั่นคง RedPacket Security ซึ่งติดตามเว็บปล่อยข้อมูลแบบอัตโนมัติบันทึกรายการเดียวกัน หน้าข้อมูลเหยื่อบรรยายเพียงข้อมูลทั่วไปของกองทัพอากาศ เช่น โครงสร้างกองบินและโครงการจัดหาเครื่องบินขับไล่ Gripen E/F โดยไม่มีขนาดข้อมูล ตัวอย่างไฟล์ หรือเส้นตายจ่ายค่าไถ่ ถึงวันที่จัดทำรายงานนี้ยังไม่มีคำชี้แจงจากกองทัพอากาศ และการค้นสื่อไทยไม่พบรายงานเหตุการณ์นี้

ข้อมูลที่สำคัญกว่าตัวคำอ้างคือส่วนข้อมูลการรั่วไหลจาก infostealer บนหน้าเดียวกัน ซึ่งอ้างข้อมูลของ ParanoidLab ว่าพบรหัสผ่านที่ผูกกับโดเมน rtaf.mi.th ราว 51,531 รายการ และคุกกี้อีก 1,185 รายการ ตัวเลขนี้สะสมจากเครื่องที่ติดมัลแวร์มาเป็นเวลานาน จึงไม่ได้บ่งชี้ขนาดของเหตุการณ์ครั้งนี้ แต่บอกได้ชัดว่ามีบัญชีที่ใช้เข้าระบบของหน่วยงานหลุดอยู่ในตลาดมืดจำนวนมาก และการใช้บัญชีที่รั่วไหลเป็นหนึ่งในช่องทางเข้าหลักของ The Gentlemen ตามรายงานของ Palo Alto Networks Unit 42 ร่วมกับการเจาะช่องโหว่ไฟร์วอลล์และ VPN การเดารหัสผ่าน และการซื้อสิทธิ์เข้าถึงจากนายหน้า (initial access broker)

ในเชิงความมั่นคง หากคำอ้างเป็นจริง นี่จะเป็นเหตุแรนซัมแวร์ที่กระทบหน่วยงานระดับเหล่าทัพของไทยโดยตรงเป็นครั้งแรกที่มีการประกาศต่อสาธารณะ ข้อมูลอย่างรายชื่อกำลังพล หนังสือราชการ และเอกสารโครงการจัดหายุทโธปกรณ์ มีมูลค่าทั้งต่ออาชญากรและหน่วยข่าวกรองต่างชาติ และแม้ข้อมูลจะไม่ถูกเผยแพร่ การมีชื่ออยู่บนเว็บปล่อยข้อมูลในสัปดาห์ที่ไทยเป็นเจ้าภาพประชุมระดับโลกก็อาจถูกหยิบไปใช้ในปฏิบัติการข่าวสาร (IO — Information Operation) ได้ ในทางกลับกัน The Gentlemen มีปัญหาภายในเรื่องสมาชิกที่แยกตัวไปทำเอง และเคยมีคำอ้างที่เกินจริง ความน่าเชื่อถือของคำอ้างแต่ละรายการจึงต้องพิจารณาเป็นกรณี บทวิเคราะห์นี้ประเมินว่า ความเสี่ยงจากบัญชีที่หลุดเป็นความเสี่ยงที่ยืนยันได้แล้วและต้องจัดการทันที ไม่ว่าคำอ้างจะจริงหรือไม่ และปัญหาเดียวกันนี้น่าจะพบในหน่วยงานรัฐไทยอื่นที่ให้บุคลากรใช้อีเมลโดเมนราชการลงทะเบียนบริการภายนอก หรือเข้าระบบจากเครื่องส่วนตัวที่ไม่มีการป้องกัน

คำอ้างครั้งนี้ไม่ได้เกิดขึ้นโดดเดี่ยว CYFIRMA ระบุในรายงานฉบับ 1, 9 และ 16 ตุลาคม ต่อเนื่องกันว่าไทยเป็นหนึ่งในประเทศเป้าหมายหลักของ The Gentlemen ร่วมกับสหรัฐฯ ฝรั่งเศส อินเดีย และอิตาลี ก่อนหน้านี้กลุ่มเคยประกาศชื่อสหกรณ์เคหสถานของกองทัพเรือ และในวันที่ 16 ตุลาคม ซึ่งเลยกรอบของรายงานนี้ไปหนึ่งวัน กลุ่มได้ประกาศชื่อมิวเซียมสยามและบริษัท ไทยฮะ จำกัด (มหาชน) เพิ่มอีก 2 ราย ภาพรวมของกลุ่มนี้ต่อไทยตลอดปีได้วิเคราะห์ไว้แล้วในบทวิเคราะห์ แรนซัมแวร์ต่อองค์กรไทย 2569

2.2 คำอ้างแรนซัมแวร์ต่อสายการบิน โรงแรม และผู้ให้บริการคอลเซ็นเตอร์

ในรอบสองสัปดาห์ Ransomware.live บันทึกองค์กรไทยบนเว็บปล่อยข้อมูลรวม 5 ราย (ไม่นับ 2 รายที่ประกาศวันที่ 16 ตุลาคม) จาก 4 กลุ่ม ตามภาพที่ 3

รายแรกคือ ไทย ไลอ้อน แอร์ ซึ่งกลุ่ม Qilin ประกาศชื่อเมื่อวันที่ 2 ตุลาคม พร้อมข้อความว่า “ข้อมูลอ่อนไหวจะถูกปล่อยหากไม่เริ่มเจรจา” DeXpose รายงานคำอ้างนี้เมื่อวันที่ 3 ตุลาคม โดยไม่มีรายละเอียดขนาดหรือประเภทข้อมูล และยังไม่มีการยืนยันจากสายการบิน สายการบินเป็นธุรกิจที่ถือข้อมูลผู้โดยสารจำนวนมาก ทั้งชื่อ หมายเลขหนังสือเดินทาง ช่องทางติดต่อ และประวัติการเดินทาง ซึ่งหากรั่วไหลจะเป็นวัตถุดิบชั้นดีสำหรับการหลอกลวงแบบเจาะจงตัว (spear phishing) และแก๊งคอลเซ็นเตอร์ นอกจากนี้ระบบการบินยังเชื่อมโยงกับท่าอากาศยาน ซึ่ง สกมช. จัดอยู่ในขอบเขตเฝ้าระวังพิเศษช่วงประชุม IMF–ธนาคารโลก Qilin ยังประกาศชื่อ Asia Era One เมื่อวันที่ 5 ตุลาคม โดยไม่ระบุภาคธุรกิจ

รายที่สามคือ โรงแรมหรูในภูเก็ต (Sinae Phuket Luxury Hotel) ที่กลุ่ม Nightspire ประกาศชื่อเมื่อวันที่ 8 ตุลาคม ภาคโรงแรมและการท่องเที่ยวเป็นเป้าหมายที่พบซ้ำในไทยตลอดปี เพราะระบบจองห้องพักและระบบบริหารโรงแรม (PMS) มักเชื่อมต่อกับผู้ให้บริการภายนอกหลายราย และมีข้อมูลบัตรชำระเงินและหนังสือเดินทางของนักท่องเที่ยวต่างชาติ ซึ่งสัมพันธ์กับการที่ Cloud Thunder รายงานแคมเปญส่งอีเมลร้องเรียนปลอมถึงโรงแรมพร้อมแนบมัลแวร์ EtherRAT ในช่วงเดียวกัน (2026/10/056)

รายที่น่ากังวลในเชิงระบบคือ Sky CC (skycc.co.th) ที่กลุ่ม LockBit 5 ประกาศชื่อเมื่อวันที่ 14 ตุลาคม ตามข้อมูลของ Breachsense บริษัทนี้เป็นผู้ให้บริการคอลเซ็นเตอร์และงานบริการลูกค้าแบบเอาต์ซอร์สในไทย ความเสี่ยงของเหยื่อประเภทนี้ไม่ได้จบที่ตัวบริษัท เพราะผู้ให้บริการ BPO ถือข้อมูลลูกค้าของบริษัทผู้ว่าจ้างหลายราย และพนักงานมักมีสิทธิ์เข้าระบบ CRM หรือระบบหลังบ้านของลูกค้าโดยตรง จึงเป็นจุดอ่อนในห่วงโซ่อุปทาน (Supply Chain) ที่ผู้ว่าจ้างควรตรวจสอบทันที แม้ยังไม่มีการยืนยันขนาดข้อมูลที่รั่วไหล

ภาพที่ 3: องค์กรไทยที่ถูกประกาศชื่อบนเว็บปล่อยข้อมูลแรนซัมแวร์ 1–16 ตุลาคม 2569 แถวสีจางคือรายการที่ประกาศวันที่ 16 ตุลาคม ซึ่งเลยกรอบรายงานไปหนึ่งวัน ทุกรายการยังเป็นคำอ้างที่ไม่ได้รับการยืนยัน (ที่มา: Ransomware.live, DeXpose, Breachsense)

ข้อสังเกตเชิงโครงสร้างคือ ในรอบนี้ไม่มีกลุ่มใดครองส่วนแบ่งเหยื่อไทยแบบเบ็ดเสร็จ ต่างจากต้นปีที่ The Gentlemen เป็นแรงขับหลัก ภาพนี้สอดคล้องกับข้อค้นพบในบทวิเคราะห์ก่อนหน้าว่าผู้โจมตีไทยในครึ่งปีหลังแตกตัวออกไปหลายกลุ่ม ทั้ง Qilin ที่ ReliaQuest รายงานว่าใช้ช่องโหว่ CVE-2026-0257 ใน PAN-OS GlobalProtect ตั้งเซสชัน VPN โดยไม่ต้องใช้รหัสผ่าน (2026/10/088) และ LockBit 5 ซึ่งเป็นแบรนด์เก่าที่กลับมาเคลื่อนไหวอีกครั้ง ผู้ป้องกันจึงไม่สามารถตั้งรับกลุ่มเดียวแล้วครอบคลุมภัยส่วนใหญ่ได้ ต้องย้อนกลับไปปิดช่องทางเข้าร่วมที่ทุกกลุ่มใช้

2.3 RipperSec อ้างเจาะ SCADA ระบบเชื้อเพลิง และการ deface เว็บกรมวิชาการเกษตร (2 ตุลาคม)

เช้าวันที่ 2 ตุลาคม บัญชีติดตามภัยไซเบอร์ CyberPulse บนแพลตฟอร์ม X รายงาน 2 เหตุการณ์ที่พุ่งเป้าไทยห่างกันเพียง 11 นาที เหตุแรกคือหน้าย่อยของเว็บไซต์โครงการความร่วมมืออาเซียนด้านพืช (ASEAN Cooperation on Crops) ภายใต้โดเมนกรมวิชาการเกษตรถูกเปลี่ยนหน้าเว็บ เหตุที่สองซึ่งหนักกว่ามากคือกลุ่ม RipperSec อ้างว่าเจาะระบบ SCADA (ระบบควบคุมและเก็บข้อมูลทางอุตสาหกรรม) ที่ใช้จัดการเชื้อเพลิงในไทยได้ โดยระบุชื่อเป้าหมายว่า “MyAIS 99” และอ้างว่าเป็นส่วนหนึ่งของปฏิบัติการ #OpPutusV2 ที่ยกประเด็นการเลือกปฏิบัติและความรุนแรงต่อชุมชนมลายูมุสลิมในจังหวัดชายแดนภาคใต้ CyberPulse ระบุชัดว่าการเจาะ SCADA ตัวตนของเป้าหมาย และผลกระทบ “ยังไม่ได้รับการตรวจสอบอย่างเป็นอิสระ” และชื่อ “MyAIS 99” ยังระบุไม่ได้ว่าหมายถึงองค์กรใด

RipperSec เป็นกลุ่มแฮ็กทิวิสต์ที่เชื่อว่าปฏิบัติการจากมาเลเซีย เริ่มเคลื่อนไหวราวกลางปี 2566 มีแนวคิดสนับสนุนปาเลสไตน์ ใช้เครื่องมือ DDoS ของตัวเองชื่อ MegaMedusa และเคยประกาศความร่วมมือกับกลุ่มฝ่ายรัสเซียอย่าง NoName057(16) รายงานของ Orange Cyberdefense ระบุว่าไทยอยู่ในรายชื่อเป้าหมายของกลุ่มมาก่อนแล้ว ในวงการแฮ็กทิวิสต์ คำอ้าง “เจาะ SCADA” มักมาจากการเข้าถึงหน้าจอควบคุม (HMI — Human-Machine Interface) ที่เปิดสู่อินเทอร์เน็ตผ่าน VNC หรือหน้าเว็บจัดการที่ใช้รหัสผ่านค่าเริ่มต้น แล้วถ่ายภาพหน้าจอมาเป็นหลักฐาน หลายครั้งเป็นเพียงการเข้าดูโดยไม่ได้ควบคุมกระบวนการจริง แต่ก็มีบางกรณีที่เปลี่ยนค่าการทำงานได้จริง ตัวอย่างในรอบเดียวกันคือเหตุที่ผู้โจมตียึดตัวควบคุมตู้เย็น Danfoss ของซูเปอร์มาร์เก็ตในฝรั่งเศสและสั่งละลายน้ำแข็งกลางดึก (2026/10/103) ซึ่งแสดงว่าอุปกรณ์ควบคุมที่เปิดสู่อินเทอร์เน็ตถูกใช้สร้างความเสียหายทางกายภาพได้จริง

ความสำคัญเชิงยุทธศาสตร์ของเหตุการณ์นี้มี 2 ชั้น ชั้นแรกคือระบบจัดการเชื้อเพลิงอยู่ในกลุ่มพลังงาน ซึ่งเป็น CII ตามพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 หากผู้ประกอบการรายใดพบว่าตรงกับคำอ้าง มีหน้าที่ต้องรายงานเหตุต่อหน่วยงานควบคุมหรือกำกับดูแลและ สกมช. ชั้นที่สองคือการที่กลุ่มจากต่างประเทศหยิบประเด็นภายในที่อ่อนไหวของไทยมาเป็นเหตุผลโจมตี ทำให้คาดได้ว่าเหตุการณ์ในจังหวัดชายแดนภาคใต้ในอนาคตอาจกระตุ้นระลอกใหม่ตามมา ซึ่งต่างจากแคมเปญแฮ็กทิวิสต์ไทย–กัมพูชาในปีก่อนที่ขับเคลื่อนด้วยข้อพิพาทชายแดน ส่วนกรณีเว็บกรมวิชาการเกษตร แม้ไม่กระทบบริการหลัก แต่สะท้อนปัญหาเรื้อรังของเว็บไซต์โครงการย่อยภายใต้โดเมน go.th ที่สร้างด้วย WordPress ตามงบประมาณโครงการ แล้วถูกปล่อยทิ้งโดยไม่มีผู้ดูแลอัปเดตหลังโครงการจบ

2.4 คำเตือนร่วม 7 ประเทศ: Integrity Technology Group ขโมยอีเมลหน่วยงานรัฐในเอเชียตะวันออกเฉียงใต้ (8–9 ตุลาคม)

เมื่อวันที่ 8 ตุลาคม FBI และหน่วยงานจากอีก 6 ประเทศ รวมถึง NCSC ของสหราชอาณาจักร ออกคำเตือนร่วมด้านความมั่นคงปลอดภัยไซเบอร์ (Joint Cybersecurity Advisory 261008) ว่าผู้ก่อภัยที่ผูกกับบริษัท Integrity Technology Group บริษัทความปลอดภัยไซเบอร์ของจีนที่จดทะเบียนในตลาดหลักทรัพย์เซี่ยงไฮ้ ขโมยอีเมลจากหน่วยงานรัฐ หน่วยงานบังคับใช้กฎหมาย ระบบสาธารณสุข และองค์กรศาสนาในเอเชียตะวันออกเฉียงใต้ ตั้งแต่อย่างน้อยกลางเดือนมกราคม 2564 คำเตือนระบุว่าวิธีการของกลุ่ม “สอดคล้องกับ” กิจกรรมที่บริษัทความปลอดภัยติดตามในชื่อ Flax Typhoon, Ethereal Panda และ RedJuliett บริษัทนี้ถูกสหรัฐฯ คว่ำบาตรเมื่อมกราคม 2568 สหภาพยุโรปเมื่อมีนาคม 2569 และสหราชอาณาจักรประกาศมาตรการเพิ่มเติม โดยบริษัทปฏิเสธข้อกล่าวหามาตลอด วันถัดมา FBI ยึดโดเมน 7 โดเมนและปิดเครื่องมือ MicroScan และ FishHub ของบริษัท (2026/10/064)

วิธีการของกลุ่มไม่ได้พึ่งช่องโหว่ใหม่ คำเตือนระบุช่องโหว่ 8 รายการที่ถูกเจาะสำเร็จ ซึ่งมีอายุตั้งแต่ปี 2557 ถึง 2566 เช่น Pulse Connect Secure, GitLab, Apache Struts และ ProFTPD ร่วมกับการใช้สแกนเนอร์ MicroScan ที่มีสคริปต์ทดสอบเจาะระบบกว่า 1,300 ตัว การฝังสคริปต์แบบ XSS เพื่อแสดงหน้าล็อกอินปลอมบนเว็บที่มีช่องโหว่ และการเดารหัสผ่านแบบกระจาย (password spraying) ด้วยเครื่องมือ EBurst ผ่านทุกช่องทางของ Microsoft 365 และ Exchange เมื่อเข้าได้แล้ว กลุ่มติดตั้ง SoftEther VPN โดยเปลี่ยนชื่อเป็น conhost.exe หรือ dllhost.exe ใช้เทคนิค DCSync คัดลอกข้อมูลบัญชีจาก domain controller และดูดอีเมลผ่าน Exchange Web Services ด้วยสคริปต์ Curlc4.txt หรือผ่าน Microsoft 365 ด้วยเครื่องมือ office-cli ที่ใช้ client ID และ secret ของแอปที่ลงทะเบียนไว้

จุดที่สำคัญที่สุดต่อไทยคือการเปิดเว็บแอปพลิเคชัน “ให้บุคคลที่สามเข้าถึงเนื้อหาอีเมลที่ขโมยมา” ซึ่งบ่งชี้ว่าอีเมลของหน่วยงานรัฐในภูมิภาคไม่ได้ถูกเก็บไว้ใช้ภายในกลุ่มเดียว แต่ถูกกระจายต่อให้ลูกค้าหลายราย สอดคล้องกับโมเดลธุรกิจแฮ็กเกอร์รับจ้างของจีนที่เคยถูกเปิดโปง แม้คำเตือนไม่ระบุชื่อประเทศเหยื่อในเอเชียตะวันออกเฉียงใต้ แต่ไทยเป็นเป้าหมายประจำของกลุ่มจารกรรมสายจีนหลายกลุ่ม ตามที่ Cloud Thunder วิเคราะห์ไว้ในบทวิเคราะห์ ภูมิทัศน์ APT ต่อประเทศไทย หน่วยงานไทยที่ยังใช้ซอฟต์แวร์เก่าบนระบบที่เปิดสู่อินเทอร์เน็ต หรือยังไม่บังคับ MFA ครบทุกช่องทางของ Exchange จึงควรถือว่าตนอยู่ในข่ายเป้าหมายและล่าภัยคุกคาม (threat hunting) ตามพฤติกรรมในคำเตือน

2.5 ภัยต่อผู้ใช้ไทยผ่านอุปกรณ์ส่วนบุคคล: Hirudo, Midnight Mimosa และ Ledger

Hirudo เป็นโทรจันธนาคารแอนดรอยด์ตัวใหม่ที่บริษัท ThreatFabric เปิดเผยเมื่อวันที่ 14 ตุลาคม จุดต่างจากโทรจันทั่วไปคือไม่ได้ซ้อนหน้าจอปลอมทับแอปธนาคาร แต่ถอนแอปธนาคารของจริงออกแล้วติดตั้งแอปดัดแปลงแทน แอปปลอมฝังกลไกดักการทำงาน (hooking engine) ที่หลอกการตรวจลายเซ็นแอป การตรวจบริการช่วยการเข้าถึง (accessibility service) การป้องกันการบันทึกหน้าจอ และการตรวจ Play Integrity จากภายในตัวแอปเอง แอปแทนที่ที่พบเป็นของธนาคารอินโดนีเซีย 8 แอป แต่ส่วนขโมยข้อมูลล็อกอินครอบคลุมผู้ใช้ไทยด้วย มัลแวร์แพร่ผ่านแอปตัวล่อประเภทช้อปปิ้ง วิดีโอ และละครสั้นที่โฆษณาบนแพลตฟอร์มของ Meta ซึ่งคนไทยใช้งานสูง ประเด็นที่น่ากังวลคือมาตรการที่ธนาคารไทยพึ่งพามากขึ้นในช่วงสองปีที่ผ่านมา ได้แก่ การตรวจแอปที่ใช้ accessibility การบล็อกการบันทึกหน้าจอ และการตรวจความสมบูรณ์ของแอป ล้วนเป็นสิ่งที่ Hirudo ออกแบบมาเพื่อหลบโดยตรง หากผู้ควบคุมสร้างแอปแทนที่สำหรับธนาคารไทย การตรวจที่ทำในเครื่องเพียงอย่างเดียวจะถูกหลอกได้ทั้งหมด

Midnight Mimosa เป็นมัลแวร์ที่บริษัท Bitdefender พบฝังมาในเฟิร์มแวร์มือถือแอนดรอยด์ราคาถูกที่ใช้ชิป MediaTek เป็นแอประบบที่ลงนามด้วย platform key ผู้ใช้ถอนไม่ได้ และติดตั้งหรือลบแอปพร้อมให้สิทธิ์ได้เงียบ ๆ เป้าหมายหลักคือการโกงคลิกโฆษณาและขายเครื่องของเหยื่อเป็นพร็อกซีที่อยู่อาศัย (residential proxy) The Hacker News รายงานเพิ่มเติมเมื่อ 13 ตุลาคม ว่าไทยอยู่ในรายชื่อประเทศที่พบเครื่องติดมัลแวร์มาก ความเสี่ยงต่อไทยอยู่ที่มือถือแบรนด์ไม่มีชื่อหรือของเลียนแบบที่ขายในตลาดออนไลน์ราคาถูก เครื่องที่ถูกแปลงเป็นพร็อกซีจะกลายเป็นที่อยู่ IP ของคนไทยที่ผู้โจมตีนำไปใช้หลบการตรวจจับเมื่อโจมตีระบบอื่น รวมถึงระบบธนาคารและภาครัฐของไทยเอง

Ledger / CryptoBilis เป็นกรณีการโจมตีห่วงโซ่อุปทานฮาร์ดแวร์ที่ช่องทางจำหน่าย Ledger ระงับการขายผ่านตัวแทน CryptoBilis ในมาเลเซียหลังผู้ใช้ในเอเชียตะวันออกเฉียงใต้ถูกขโมยคริปโต นักสืบบล็อกเชนนามแฝง Specter ประเมินความเสียหายรวมกว่า 86 ล้านดอลลาร์ ต่อมา Ledger เปิดเผยว่ามีผู้บัดกรีชิ้นส่วนเพิ่มลงบนแผงวงจรด้วยมือ ชิ้นส่วนนี้อ่านข้อมูลที่แสดงบนหน้าจอ แล้วส่งรหัสกู้คืน (recovery phrase) 24 คำออกผ่านเครือข่าย LTE ด้วย eSIM ที่เตรียมไว้ โดยไม่แก้ไขระบบปฏิบัติการของอุปกรณ์ จึงไม่มีการตรวจด้วยซอฟต์แวร์ใดพบความผิดปกติ แม้ยังไม่มีรายงานผู้เสียหายชาวไทยที่ยืนยันได้ แต่ผู้ใช้ไทยจำนวนไม่น้อยซื้อกระเป๋าฮาร์ดแวร์จากตัวแทนในประเทศเพื่อนบ้านหรือร้านค้าออนไลน์ บทเรียนเชิงนโยบายคืออุปกรณ์ความปลอดภัยปลอดภัยเท่ากับเส้นทางที่อุปกรณ์เดินทางมาถึงมือผู้ใช้ ซึ่งใช้ได้กับการจัดซื้ออุปกรณ์ของหน่วยงานรัฐด้วย

ส่วนที่ 3 — บริบทเชิงนโยบาย: สัปดาห์ IMF–ธนาคารโลก และการฉ้อโกงทางการเงิน

3.1 สกมช. จัด AI เป็นความเสี่ยงอันดับหนึ่งของไทย

เมื่อวันที่ 4–5 ตุลาคม สกมช. เผยแพร่รายงานประเมินความเสี่ยงภัยคุกคามทางไซเบอร์ของประเทศไทย พ.ศ. 2569 (Thailand Cyber Threat Risk Assessment Report 2026) ซึ่งต่อยอดจากกรอบการประเมินปี 2568 และมองความเสี่ยงล่วงหน้า 2 ปี รายงานประเมินจากองค์กร 134 แห่ง พบว่าร้อยละ 49.8 ของรายการที่ผู้ตอบเลือกประเมินอยู่ในระดับความเสี่ยงสูง จาก 20 สถานการณ์ มี 9 สถานการณ์ที่เฉลี่ยอยู่ในระดับสูง ร้อยละ 40 ของผู้ตอบทั้งหมดจัดภัยที่เกี่ยวกับ AI เป็นความเสี่ยงอันดับหนึ่ง และในกลุ่มที่ประเมิน AI ร้อยละ 70 จัดอยู่ในระดับสูง ทั้งการใช้ AI สนับสนุนการโจมตีและการโจมตีระบบ AI เอง ขณะที่ภัยเดิมอย่างการเจาะช่องโหว่ซอฟต์แวร์ แรนซัมแวร์ การเข้าถึงระบบโดยไม่ได้รับอนุญาต การยึดบัญชี การขโมยข้อมูล และฟิชชิงยังคงเป็นภัยหลัก รายงานยังระบุความเสี่ยงจากการโจมตีห่วงโซ่อุปทานที่อาจลามข้ามภาคส่วน และความเสี่ยงเชิงอนาคตจากคอมพิวเตอร์ควอนตัม

ข่าวในฐานข้อมูลรอบเดียวกันยืนยันว่าการประเมินนี้ไม่ได้เกินจริง ภายในสองสัปดาห์มีหลักฐานหลายชิ้นว่าผู้โจมตีใช้ AI ในสายพานการโจมตีจริงแล้ว เช่น สมาชิกของ The Gentlemen ที่ลงทะเบียน reverse shell เป็นเครื่องมือในผู้ช่วยเขียนโค้ด AI ผ่าน MCP และใช้สั่งงานในเครือข่ายเหยื่อกว่า 20 องค์กร (2026/10/031) นายหน้าขายสิทธิ์เข้าถึง CyberXero ที่ใช้เอเจนต์ Claude Code สูงสุด 51 ตัวร่วมกับ PentAGI และ Cobalt Strike (2026/10/043) และผู้โจมตีที่ใช้เครื่องมือเจาะระบบแบบ agentic AI จากจีนชื่อ ARTEX ขโมยข้อมูลบริษัทการเงินเกาหลีใต้ (2026/10/055) ไทยเองเคยมีกรณีกระทรวงการคลังถูกโจมตีด้วยเอเจนต์ AI Hermes เมื่อกลางปี ประเด็นที่ควรเพิ่มเข้ามาในการประเมินของไทยคือ ช่องโหว่ในแพลตฟอร์มสร้างแอป AI เอง เช่น Langflow CVE-2026-105740 (CVSS 9.9) ที่ถูกโจมตีจริงแล้ว (2026/10/135) ซึ่งองค์กรไทยที่ทดลองสร้างแอป AI ภายในอาจเปิดใช้งานไว้โดยไม่มีการกำกับดูแล

3.2 การเฝ้าระวังช่วงประชุม IMF–ธนาคารโลก

สกมช. ร่วมกับศูนย์ ThaiCERT และบริษัท โทรคมนาคมแห่งชาติ จำกัด (มหาชน) ประกาศเมื่อวันที่ 6 ตุลาคม ว่าจะเฝ้าระวังภัยไซเบอร์ตลอด 24 ชั่วโมงระหว่างวันที่ 10–19 ตุลาคม ครอบคลุม CII ท่าอากาศยาน และเว็บไซต์ภาครัฐราว 1,000 แห่ง ถึงวันที่ 15 ตุลาคม ยังไม่มีรายงานต่อสาธารณะว่าเกิดเหตุที่กระทบการประชุมโดยตรง ไม่ว่าจะเป็นการโจมตีแบบ DDoS ต่อเว็บไซต์ภาครัฐหรือการรบกวนระบบของสถานที่จัดงาน เหตุการณ์ที่ใกล้เคียงที่สุดคือคำอ้างต่อกองทัพอากาศหนึ่งวันก่อนเปิดประชุม และคำอ้างต่อสายการบินในช่วงก่อนหน้า

บทวิเคราะห์นี้ประเมินว่าการไม่มีเหตุใหญ่ต่อสาธารณะไม่ได้แปลว่าไม่มีความพยายาม งานประชุมระดับโลกเป็นเป้าหมายคลาสสิกของกลุ่มจารกรรม เพราะผู้เข้าร่วมเป็นรัฐมนตรีคลัง ผู้ว่าการธนาคารกลาง และผู้บริหารสถาบันการเงินจาก 191 ประเทศ ภัยที่น่ากังวลจึงไม่ใช่การล่มของเว็บไซต์ แต่เป็นการเจาะอุปกรณ์ของผู้เข้าร่วมผ่าน Wi-Fi โรงแรม ฟิชชิงที่ปลอมเป็นเอกสารการประชุม หรือแอปลงทะเบียนปลอม ซึ่งเป็นภัยที่มักถูกเปิดเผยหลังงานจบไปหลายเดือน ตัวอย่างในรอบเดียวกันคือกลุ่มจารกรรมสายจีน TA419 ที่ปลอมตัวเป็นนักเศรษฐศาสตร์และพนักงาน Anthropic เพื่อล่อผู้เชี่ยวชาญนโยบาย AI ของสหรัฐฯ (2026/10/025) และ Kimsuky ที่ปลอมเป็นผู้จัดงานประชุมเพื่อล้วงข้อมูลจากผู้เชี่ยวชาญ (2026/10/115) หน่วยงานไทยที่ทำหน้าที่เจ้าภาพควรเก็บล็อกของระบบที่เกี่ยวข้องกับการประชุมไว้อย่างน้อยหลายเดือนเพื่อรองรับการตรวจย้อนหลัง

3.3 Bangkok Blueprint และการปราบปรามการฉ้อโกง

ในวันที่ 14 ตุลาคม ระหว่างการประชุม IMF และกลุ่มธนาคารโลกร่วมกับธนาคารแห่งประเทศไทยเปิด “Bangkok Blueprint for Fraud-Resilient Financial Services” กรอบอ้างอิงระดับสูงที่ไม่มีผลผูกพัน สำหรับผู้กำหนดนโยบาย หน่วยงานกำกับดูแล และสถาบันการเงินในการรับมือการฉ้อโกงผ่านช่องทางไซเบอร์ กรอบนี้ประกอบด้วย 5 เสาหลัก ได้แก่ รากฐานทางยุทธศาสตร์และกฎหมาย วงจรการลดความเสี่ยงการฉ้อโกงตั้งแต่ป้องกัน ตรวจจับ ถึงตอบสนอง การใช้เครื่องมือด้านความเสี่ยงและการบังคับใช้กฎหมายที่มีอยู่แล้ว ความร่วมมือข้ามพรมแดน และการคุ้มครองผู้บริโภค แปลงออกมาเป็นข้อพิจารณาเชิงนโยบาย 12 ข้อ โดยอาศัยประสบการณ์ของฮ่องกง มาเลเซีย สิงคโปร์ และไทย รัฐมนตรีว่าการกระทรวงการคลังของไทยระบุว่าการฉ้อโกงทางดิจิทัลสร้างความเสียหายต่อเศรษฐกิจโลกราว 1 ล้านล้านดอลลาร์ต่อปี และผู้ว่าการธนาคารแห่งประเทศไทยระบุว่าเอเชียคิดเป็นร้อยละ 67 ของความเสียหายจากการฉ้อโกงทั่วโลกในปี 2567

ในวันก่อนหน้า (13 ตุลาคม) ศูนย์ปฏิบัติการต่อต้านการฉ้อโกงทางออนไลน์ร่วมกับกองบัญชาการตำรวจสอบสวนกลางแถลงจับกุมผู้ต้องหา 39 ราย (ไทย 30 ราย จีน 8 ราย เมียนมา 1 ราย) จากการค้น 27 จุดใน 11 จังหวัด พร้อมยึดทรัพย์กว่า 500 ล้านบาท เครือข่ายนี้หลอกให้ลงทุนหุ้นผ่านแอปเทรดปลอมชื่อ ETO TH ที่ชักชวนผ่านกลุ่ม Facebook และ LINE มีคดีเชื่อมโยง 74 คดี ความเสียหายกว่า 173 ล้านบาท และผู้ต้องหาชาวจีนรายหนึ่งรับว่าฟอกเงินให้ศูนย์สแกมเมอร์ในปอยเปต กัมพูชา อย่างน้อย 3,000 ล้านบาทตั้งแต่ปี 2565 ตำรวจระบุว่าความเสียหายจากการหลอกลวงออนไลน์ต่อวันลดลงจากราว 100 ล้านบาทเหลือกว่า 30 ล้านบาทในช่วง 1–2 เดือนที่ผ่านมา

อย่างไรก็ดี ข้อวิพากษ์จากฝ่ายการเมืองเมื่อวันที่ 16 ตุลาคม ชี้ว่า Bangkok Blueprint จะมีความหมายก็ต่อเมื่อรัฐบาลจัดการเครือข่ายสแกมเมอร์ภายในประเทศและผู้ที่มีความเชื่อมโยงทางการเมือง รวมถึงปัญหาข้อมูลรั่วไหลจากระบบภาครัฐที่ยังค้างคา เช่น กรณีข้อมูลทะเบียนรถรั่วผ่าน API ของกรมการขนส่งทางบกและภาพใบหน้าความละเอียดสูงที่อ้างว่าหลุดจากระบบของกระทรวงมหาดไทยเมื่อเดือนสิงหาคม ซึ่งเป็นวัตถุดิบโดยตรงของแก๊งหลอกลวง ข้อสังเกตนี้เชื่อมกับภัยที่พบในรอบนี้โดยตรง เพราะข้อมูลจากสายการบิน โรงแรม และผู้ให้บริการคอลเซ็นเตอร์ที่ถูกอ้างว่าถูกเจาะ คือข้อมูลประเภทเดียวกับที่ใช้สร้างความน่าเชื่อถือให้การหลอกลวงทางโทรศัพท์ ขณะที่ Hirudo และ Midnight Mimosa คือเครื่องมือที่ใช้ทำธุรกรรมแทนเหยื่อเมื่อหลอกได้แล้ว การรับมือการฉ้อโกงจึงแยกไม่ออกจากการรักษาความมั่นคงปลอดภัยไซเบอร์ของภาครัฐและภาคเอกชน

ส่วนที่ 4 — ความเสี่ยงเชิงระบบจากเหตุการณ์ทั่วโลกที่ส่งผลต่อไทย

4.1 อุปกรณ์ขอบเครือข่าย: สองสัปดาห์ หกผลิตภัณฑ์ถูกโจมตีจริง

แม้จะไม่ได้ระบุชื่อไทย เหตุการณ์ที่มีผลต่อไทยมากที่สุดในเชิงระบบคือช่องโหว่ของอุปกรณ์ที่หันหน้าออกอินเทอร์เน็ต ในรอบสองสัปดาห์นี้มีอย่างน้อย 6 ผลิตภัณฑ์ที่มีรายงานการโจมตีจริง ได้แก่ Fortinet FortiMail (CVE-2026-104286, CVSS 9.8, path traversal เขียนไฟล์ได้โดยไม่ต้องยืนยันตัวตน) Ivanti Connect Secure (CVE-2026-104935, CVSS 8.6, ข้ามการยืนยันตัวตน) Citrix NetScaler ADC/Gateway (CVE-2026-88771 และ CVE-2026-88772 ที่ถูกใช้เป็น zero-day ฝัง Platypus RAT) BeyondTrust Remote Support (CVE-2026-102764, CVSS 9.3 ที่กลุ่มจารกรรมสายจีน Armory Castle ใช้ตั้งแต่ปลายสิงหาคม) PAN-OS GlobalProtect (CVE-2026-0257 ที่ Qilin และ Settra ใช้) และ Langflow (CVE-2026-105740) นอกจากนี้ยังมีช่องโหว่ระดับวิกฤตที่ยังไม่มีรายงานการโจมตีแต่ต้องแพตช์ทันที เช่น SonicWall SMA1000 (CVE-2026-102255, CVSS 10.0) และ Citrix NetScaler (CVE-2026-107406, CVSS 9.5)

FBI และหน่วยสืบราชการลับสหรัฐฯ ยังเตือนเมื่อ 6 ตุลาคม ว่าแคมเปญ FortiBleed ยังโจมตี FortiGate และ SSL VPN ไม่หยุด โดยใช้ credential ที่ขโมยได้ก่อนหน้านี้กว่า 86,644 ชุดใน 194 ประเทศ และบางกรณีผู้โจมตีลบหรือเปลี่ยนรหัสบัญชีเดิมจนองค์กรเข้าอุปกรณ์ตัวเองไม่ได้ (2026/10/039) ข้อมูลจากรอบก่อนระบุว่าไทยอยู่ในกลุ่มประเทศที่ได้รับผลกระทบจาก FortiBleed มาก อุปกรณ์ของ Fortinet, Citrix, Ivanti และ SonicWall เป็นผลิตภัณฑ์ที่หน่วยงานรัฐและองค์กรขนาดกลางถึงใหญ่ในไทยใช้กันแพร่หลาย และเป็นช่องทางเข้าที่กลุ่มแรนซัมแวร์ที่โจมตีไทยใช้ซ้ำ การที่ผลิตภัณฑ์เหล่านี้มีช่องโหว่ถูกใช้จริงพร้อมกันในรอบเดียว จึงเป็นสัญญาณเตือนล่วงหน้าว่าคำอ้างแรนซัมแวร์ต่อไทยในอีก 2–8 สัปดาห์ข้างหน้าอาจเพิ่มขึ้น หากการแพตช์ล่าช้า

ภาพที่ 4: ช่องโหว่ในระบบที่หันหน้าออกอินเทอร์เน็ตที่ถูกโจมตีจริง (แดง) และที่ต้องแพตช์ทันที (น้ำเงิน) ในรอบ 1–15 ตุลาคม 2569 พร้อมคะแนน CVSS — ทั้งหมดเป็นผลิตภัณฑ์ที่องค์กรไทยใช้อย่างแพร่หลาย (ที่มา: CISA KEV, ประกาศของผู้ผลิต, ฐานข่าว Cloud Thunder)

ช่องโหว่ในฝั่งเครื่องผู้ใช้ก็สำคัญไม่แพ้กัน Microsoft ออกแพตช์ประจำเดือนตุลาคมแก้ 1,413 ช่องโหว่ มากที่สุดเป็นประวัติการณ์ ในจำนวนนี้ CVE-2026-96951 ใน Windows Shell ที่ใช้ข้ามการป้องกัน Mark of the Web ถูกโจมตีจริงแล้ว (2026/10/118) ช่องโหว่ประเภทนี้มักถูกใช้ร่วมกับไฟล์แนบฟิชชิงที่ปลอมเป็นเอกสารราชการหรือเอกสารการเงิน ซึ่งเป็นรูปแบบที่กลุ่มจารกรรมใช้กับหน่วยงานไทยบ่อยครั้ง

4.2 ห่วงโซ่อุปทานสามระดับ: ฮาร์ดแวร์ ผู้ให้บริการ และซอฟต์แวร์

เหตุการณ์ในรอบนี้แสดงการโจมตีห่วงโซ่อุปทานครบสามระดับ ระดับฮาร์ดแวร์คือกรณี Ledger ที่ชิ้นส่วนถูกฝังที่ช่องทางจำหน่าย และ Midnight Mimosa ที่มัลแวร์ฝังมาตั้งแต่เฟิร์มแวร์โรงงาน ระดับผู้ให้บริการคือคำอ้างต่อ Sky CC ซึ่งเป็นผู้ให้บริการคอลเซ็นเตอร์ที่ถือข้อมูลลูกค้าของบริษัทอื่น และกรณีธนาคารในยุโรปที่ถูกเจาะผ่านเกตเวย์ VPN ที่ผู้ให้บริการภายนอกดูแล (2026/10/123) ระดับซอฟต์แวร์คือแพ็กเกจ npm ที่ถูกเจาะ เช่น tensorlake ที่ปล่อย worm Shai-Hulud (2026/10/051) แคมเปญ GhostAction ที่ยึดบัญชีผู้ดูแลโอเพนซอร์ส (2026/10/075) และช่องโหว่ SlugFest ใน npm Trusted Publishing (2026/10/106)

สำหรับไทย ระดับที่ถูกมองข้ามมากที่สุดคือระดับผู้ให้บริการ องค์กรไทยจำนวนมาก รวมถึงหน่วยงานรัฐ เอาต์ซอร์สงานคอลเซ็นเตอร์ งานดูแลระบบ และงานพัฒนาซอฟต์แวร์ให้ผู้รับจ้างภายนอก ซึ่งมักได้รับสิทธิ์เข้าถึงระบบกว้างกว่าที่จำเป็นและไม่ได้ถูกตรวจสอบด้านความมั่นคงปลอดภัยอย่างสม่ำเสมอ กรณีข้อมูลทะเบียนรถรั่วผ่าน API ที่เชื่อมกับหน่วยงานภายนอก 63 แห่งเมื่อเดือนสิงหาคม เป็นตัวอย่างในประเทศที่ชัดเจนว่าบัญชีของคู่เชื่อมต่อที่ไม่ได้ถูกเพิกถอนหรือถูกขโมย กลายเป็นทางรั่วของข้อมูลระดับชาติได้

ส่วนที่ 5 — การประเมินเชิงยุทธศาสตร์ต่อความมั่นคงของชาติ

ประเมินที่ 1: บัญชีที่หลุดผ่าน infostealer เป็นจุดอ่อนอันดับหนึ่งของภาครัฐไทย

ตัวเลขรหัสผ่านโดเมน rtaf.mi.th กว่า 51,000 รายการไม่ใช่กรณีพิเศษ ข้อมูลแบบเดียวกันบน Ransomware.live สำหรับกรุงเทพมหานครเมื่อกลางปีแสดงพนักงานที่ถูกขโมยข้อมูล 207 ราย และผู้ใช้อีก 2,877 ราย ขณะที่ ThaiCERT รายงานต่อคณะรัฐมนตรีเมื่อต้นปีว่าตรวจพบข้อมูลบัญชีรั่วไหลกว่า 200 ล้านรายการในปี 2568 และแจ้งเตือนองค์กรไปแล้ว 5,875 แห่ง กรณีข้อมูลรั่วจากระบบภาครัฐในเดือนสิงหาคมก็มีต้นเหตุเป็นรหัสผ่านของเจ้าหน้าที่ที่ถูกมัลแวร์ขโมย ไม่ใช่การเจาะฐานข้อมูลโดยตรง บทวิเคราะห์นี้ประเมินด้วยความเชื่อมั่นสูงว่า ช่องทางที่ผู้โจมตีน่าจะใช้เข้าหน่วยงานรัฐไทยมากที่สุดในอีก 6 เดือนข้างหน้า คือบัญชีที่ถูกขโมยไปแล้ว และมาตรการที่ให้ผลตอบแทนสูงสุดคือการบังคับใช้ MFA แบบต้านฟิชชิงกับการเข้าถึงจากภายนอกทุกช่องทาง ควบคู่กับการติดตามข้อมูล infostealer ของโดเมนตนเองอย่างต่อเนื่อง

ประเมินที่ 2: การโจมตีกำลังเข้าใกล้โครงสร้างพื้นฐานสำคัญมากขึ้น

ในรอบเดียวมีคำอ้างแตะภาคความมั่นคง (กองทัพอากาศ) ภาคขนส่ง (สายการบิน) และภาคพลังงาน (SCADA ระบบเชื้อเพลิง) ซึ่งล้วนอยู่ในหรือใกล้ขอบเขต CII แม้ยังไม่มีรายใดได้รับการยืนยัน แต่แนวโน้มนี้ต่อเนื่องจากรอบก่อนที่มีคำอ้างต่อผู้ค้าปลีกน้ำมันรายใหญ่ ผู้ให้บริการเดินเรือ และกรุงเทพมหานคร ความเสี่ยงที่ต้องเตรียมรับคือเหตุที่ส่งผลต่อบริการจริง ไม่ใช่เพียงข้อมูลรั่ว เช่น ระบบจองตั๋ว ระบบควบคุมการจ่ายเชื้อเพลิง หรือระบบของท่าอากาศยานหยุดทำงาน ซึ่งจะกระทบความเชื่อมั่นของประเทศในระดับที่สูงกว่าการรั่วของข้อมูลมาก

ประเมินที่ 3: ความเงียบของเหยื่อคือช่องว่างเชิงนโยบาย

ไม่มีองค์กรไทยรายใดในรอบนี้ออกมายืนยันหรือปฏิเสธคำอ้างต่อสาธารณะ รวมถึงหน่วยงานรัฐ ความเงียบนี้มีต้นทุน 3 ด้าน ด้านแรก ผู้ที่ข้อมูลอาจรั่วไหล เช่น ผู้โดยสารสายการบินหรือลูกค้าของบริษัทที่ใช้บริการคอลเซ็นเตอร์ ไม่ได้รับคำเตือนให้ระวังการหลอกลวงที่อาจตามมา ด้านที่สอง คู่ค้าและหน่วยงานที่เชื่อมระบบกันประเมินความเสี่ยงของตนไม่ได้ ด้านที่สาม ผู้โจมตีและผู้ทำปฏิบัติการข่าวสารได้ผูกขาดการเล่าเรื่อง พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลกำหนดให้แจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงเมื่อมีความเสี่ยง และพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์กำหนดหน้าที่รายงานของหน่วยงาน CII แต่ไม่มีกลไกที่กำหนดให้ต้องสื่อสารสถานะของคำอ้างต่อสาธารณะ บทวิเคราะห์นี้ประเมินว่าช่องว่างนี้จะยิ่งเป็นปัญหาเมื่อคำอ้างแตะหน่วยงานความมั่นคง

ประเมินที่ 4: แฮ็กทิวิสต์เปลี่ยนแกนจากข้อพิพาทชายแดนสู่ประเด็นภายใน

การที่ RipperSec ใช้ประเด็นจังหวัดชายแดนภาคใต้เป็นเหตุผลโจมตีระบบพลังงาน เป็นสัญญาณว่าแฮ็กทิวิสต์ในภูมิภาคมองไทยผ่านประเด็นทางศาสนาและชาติพันธุ์มากขึ้น ซึ่งอาจดึงดูดกลุ่มแนวร่วมจากเครือข่ายแฮ็กทิวิสต์มุสลิมในเอเชียใต้และตะวันออกกลางที่มีขีดความสามารถ DDoS สูง ระดับความเสียหายทางเทคนิคของกลุ่มเหล่านี้มักต่ำ แต่ผลด้านภาพลักษณ์และการปลุกกระแสในสังคมออนไลน์อาจสูง โดยเฉพาะถ้าคำอ้างแตะระบบที่ประชาชนรับรู้ได้ เช่น ปั๊มน้ำมันหรือการจ่ายไฟ หน่วยงานด้านความมั่นคงควรติดตามช่องทางสื่อสารของกลุ่มเหล่านี้คู่กับสถานการณ์ในพื้นที่

ประเมินที่ 5: การจารกรรมระดับรัฐดำเนินต่อเนื่อง โดยอาศัยความล้าหลังของระบบ

คำเตือนเรื่อง Integrity Technology Group ยืนยันอีกครั้งว่ากลุ่มจารกรรมสายจีนไม่จำเป็นต้องใช้เครื่องมือขั้นสูงกับหน่วยงานในภูมิภาค ช่องโหว่อายุนับสิบปี บัญชีอีเมลที่ไม่มี MFA และเครื่องมือถูกกฎหมายอย่าง SoftEther ก็เพียงพอ การที่อีเมลที่ขโมยมาถูกเปิดให้บุคคลที่สามเข้าถึง ทำให้ความเสียหายต่อไทยไม่ได้จำกัดอยู่ที่ข้อมูลรั่ว แต่รวมถึงการที่ผู้เล่นหลายรายรู้ท่าทีการเจรจาและการตัดสินใจของรัฐไทยล่วงหน้า บทวิเคราะห์นี้ไม่พบหลักฐานว่าคำอ้างแรนซัมแวร์ต่อกองทัพอากาศหรือสายการบินในรอบนี้เกี่ยวข้องกับรัฐต่างชาติ แต่ข้อมูลที่รั่วจากเหตุแรนซัมแวร์สามารถถูกซื้อหรือเก็บไปใช้โดยหน่วยข่าวกรองได้เสมอ

ส่วนที่ 6 — ข้อเสนอเชิงยุทธศาสตร์

ระยะเร่งด่วน (0–30 วัน)

กองทัพอากาศและหน่วยงานในสังกัดกระทรวงกลาโหมควรประสาน ThaiCERT และหน่วยรับมือเหตุการณ์ไซเบอร์ของกระทรวงกลาโหม พิสูจน์ทราบคำอ้างของ The Gentlemen โดยตรวจล็อกการเข้าถึง VPN อีเมล และพอร์ทัลภายในย้อนหลังหลายสัปดาห์ บังคับเปลี่ยนรหัสผ่านบัญชีที่ปรากฏในข้อมูล infostealer ยุติเซสชันที่ค้างอยู่ และบังคับ MFA แบบต้านฟิชชิงกับการเข้าถึงจากภายนอก หน่วยงานรัฐอื่นควรตรวจข้อมูล infostealer ของโดเมนตนเองในบริการตรวจสอบที่มีอยู่ และดำเนินการแบบเดียวกัน

องค์กรที่ใช้ FortiMail, FortiGate, Ivanti Connect Secure, Citrix NetScaler, BeyondTrust Remote Support, PAN-OS GlobalProtect และ SonicWall SMA1000 ควรแพตช์ทันทีตามประกาศของผู้ผลิต และเนื่องจากหลายช่องโหว่ถูกใช้เป็น zero-day ก่อนมีแพตช์ อุปกรณ์ที่เปิดสู่อินเทอร์เน็ตก่อนแพตช์ควรถือว่าอาจถูกเจาะแล้ว ต้องตรวจหาบัญชีแอดมินแปลกปลอม เว็บเชลล์ และไฟล์ที่ไม่ใช่ของระบบ เพราะการแพตช์ไม่ลบสิ่งที่ฝังไว้แล้ว

ผู้ประกอบการพลังงานและผู้ใช้ระบบ SCADA ควรตรวจว่ามี HMI บริการ VNC หรือ RDP หรือหน้าเว็บจัดการอุปกรณ์ใดเปิดสู่อินเทอร์เน็ตหรือไม่ ปิดการเข้าถึงจากภายนอก เปลี่ยนรหัสผ่านค่าเริ่มต้น และแยกเครือข่าย OT ออกจาก IT หน่วยงานรัฐควรสำรวจเว็บไซต์โครงการย่อยภายใต้โดเมนของตน ปิดเว็บที่โครงการจบแล้ว และอัปเดตเว็บที่ยังใช้งาน

องค์กรที่ใช้บริการของสายการบิน ผู้ให้บริการคอลเซ็นเตอร์ หรือผู้ให้บริการภายนอกที่ถูกประกาศชื่อ ควรสอบถามสถานะเหตุการณ์จากคู่สัญญา ทบทวนสิทธิ์การเข้าถึงที่ให้ไว้ และหมุนเวียนรหัสผ่านหรือคีย์ API ที่ใช้ร่วมกัน ธนาคารควรเพิ่มการตรวจผล Play Integrity และ key attestation ที่ฝั่งเซิร์ฟเวอร์ และเฝ้าระวังการติดตั้งแอปธนาคารใหม่ที่ตามหลังการถอนแอปเดิมในเวลาสั้น ๆ ตามแนวทางที่ ThreatFabric แนะนำ

ระยะกลาง (1–3 เดือน)

หน่วยงานที่ใช้ Microsoft 365 หรือ Exchange ควรล่าภัยคุกคามตามพฤติกรรมในคำเตือนร่วม 261008 ได้แก่ การ replicate ข้อมูล Active Directory ที่ผิดปกติซึ่งเป็นสัญญาณของ DCSync โปรแกรม SoftEther ที่ปลอมชื่อเป็น conhost.exe หรือ dllhost.exe นอกโฟลเดอร์ System32 และแอปที่ลงทะเบียนไว้ใน tenant ที่มีสิทธิ์อ่านอีเมล พร้อมบังคับ MFA ให้ครอบคลุมทุกช่องทางของ Exchange ที่ EBurst ใช้ และทยอยเลิกใช้ระบบที่หมดอายุการสนับสนุน

สกมช. และหน่วยงานกำกับดูแลควรพิจารณากลไกสื่อสารสถานะของคำอ้างบนเว็บปล่อยข้อมูลที่เกี่ยวกับหน่วยงาน CII และหน่วยงานรัฐ เช่น การแถลงว่าอยู่ระหว่างตรวจสอบภายในระยะเวลาที่กำหนด เพื่อลดช่องว่างที่ผู้โจมตีผูกขาดการเล่าเรื่อง หน่วยงานที่เป็นเจ้าภาพการประชุม IMF–ธนาคารโลกควรเก็บล็อกของระบบที่เกี่ยวข้องและอุปกรณ์ของเจ้าหน้าที่ประสานงานไว้เพื่อรองรับการตรวจย้อนหลัง

องค์กรทุกภาคควรจัดทำบัญชีผู้ให้บริการภายนอกที่มีสิทธิ์เข้าถึงระบบหรือข้อมูล พร้อมระดับสิทธิ์และช่องทางเชื่อมต่อ และกำหนดข้อตกลงด้านการแจ้งเหตุในสัญญาจ้าง หน่วยงานที่จัดซื้ออุปกรณ์ความปลอดภัยหรืออุปกรณ์สื่อสารควรกำหนดให้ซื้อจากผู้ผลิตหรือตัวแทนที่ได้รับอนุญาตโดยตรง และบันทึกหมายเลขเครื่อง

ระยะยาว (3–12 เดือน)

ไทยควรผลักดัน Bangkok Blueprint จากกรอบอ้างอิงไปสู่มาตรการที่วัดผลได้ โดยเชื่อมเสาหลักด้านวงจรการลดความเสี่ยงการฉ้อโกงเข้ากับการจัดการข้อมูลรั่วไหลจากภาครัฐ เพราะข้อมูลส่วนบุคคลที่รั่วคือวัตถุดิบต้นทางของการหลอกลวง การปราบปรามปลายทางโดยไม่ปิดต้นทางจะได้ผลจำกัด ควรพัฒนาการแลกเปลี่ยนข้อมูลภัยคุกคามระหว่างธนาคาร ผู้ให้บริการโทรคมนาคม แพลตฟอร์มโซเชียลมีเดีย และหน่วยงานบังคับใช้กฎหมายแบบใกล้เวลาจริง ตามแนวทางเสาหลักด้านความร่วมมือ

สกมช. ควรนำผลการประเมินที่จัด AI เป็นความเสี่ยงอันดับหนึ่งไปสู่แนวปฏิบัติที่องค์กรใช้ได้จริง เช่น แนวทางการกำกับดูแลการใช้เอเจนต์ AI และแพลตฟอร์มสร้างแอป AI ภายในองค์กร การจัดทำบัญชีรายการ AI ที่ฝังอยู่ในซอฟต์แวร์ที่องค์กรใช้ และการประเมินความปลอดภัยของเซิร์ฟเวอร์ MCP ก่อนเชื่อมต่อกับระบบภายใน

หน่วยงานด้านความมั่นคงควรจัดตั้งหรือยกระดับการติดตามแฮ็กทิวิสต์ที่อ้างประเด็นภายในของไทย โดยบูรณาการข้อมูลด้านไซเบอร์เข้ากับการติดตามสถานการณ์ในพื้นที่ และซ้อมแผนรับมือเหตุที่กระทบระบบ OT ของภาคพลังงานร่วมกับผู้ประกอบการ

มุมมองไปข้างหน้า (Outlook)

ในครึ่งหลังของเดือนตุลาคม บทวิเคราะห์นี้คาดว่าจำนวนคำอ้างแรนซัมแวร์ต่อองค์กรไทยจะยังอยู่ในระดับเดียวกันหรือสูงขึ้นเล็กน้อย เพราะ The Gentlemen เริ่มประกาศชื่อเหยื่อไทยรายใหม่ตั้งแต่วันที่ 16 ตุลาคม และช่องโหว่อุปกรณ์ขอบเครือข่ายชุดใหญ่ที่ถูกเปิดเผยในรอบนี้จะถูกใช้เป็นช่องทางเข้าในอีกหลายสัปดาห์ข้างหน้า ภาคที่ควรจับตาคือการท่องเที่ยวและโรงแรมซึ่งเข้าสู่ฤดูท่องเที่ยว ภาคขนส่ง และผู้ให้บริการภายนอกที่ถือข้อมูลลูกค้าจำนวนมาก

สิ่งที่ต้องติดตามใกล้ชิดคือ สถานะคำอ้างต่อกองทัพอากาศ ว่ากลุ่มจะเผยแพร่ตัวอย่างไฟล์หรือไม่ และหน่วยงานจะสื่อสารอย่างไร รายงานย้อนหลังเกี่ยวกับการโจมตีผู้เข้าร่วมประชุม IMF–ธนาคารโลก ซึ่งอาจปรากฏในอีกหลายเดือน ความเคลื่อนไหวของ RipperSec และกลุ่มแนวร่วมหลังเหตุการณ์ในจังหวัดชายแดนภาคใต้ และการที่ Hirudo จะขยายแอปแทนที่ไปยังธนาคารไทยหรือไม่ ในด้านนโยบาย ความคืบหน้าในการนำ Bangkok Blueprint ไปปฏิบัติ และการจัดการปัญหาข้อมูลรั่วจากระบบภาครัฐ จะเป็นตัวชี้วัดว่าไทยจะเปลี่ยนบทบาทเจ้าภาพในสัปดาห์นี้ให้เป็นการลดความเสียหายจริงได้มากน้อยเพียงใด

ภาคผนวก

ภาคผนวก ก — ตารางเหตุการณ์ที่เกี่ยวข้องกับไทย 1–15 ตุลาคม 2569

ภาคผนวก ข — ช่องโหว่วิกฤตที่องค์กรไทยต้องเร่งแพตช์ (CVSS ≥ 9.3 หรือถูกโจมตีจริง)

ภาคผนวก ค — ตัวบ่งชี้การโจมตี (IoCs) ที่เผยแพร่ในรอบนี้

ตัวบ่งชี้ด้านล่างมาจากคำเตือนและรายงานของผู้วิจัย ไม่ได้ผูกกับเหยื่อไทยรายใดโดยเฉพาะ โดเมนทำให้ใช้งานไม่ได้ (defang) แล้ว รายการเต็มของ Integrity Technology Group อยู่ในคำเตือนร่วม FBI/IC3 261008 (39 หน้า)

ภาคผนวก ง — MITRE ATT&CK Mapping (เหตุการณ์หลักในรอบนี้)

แหล่งอ้างอิง

• Ransomware.live — Victims for Thailand
• Ransomware.live — Victim: Royal Thai Air Force
• RedPacket Security — [THEGENTLEMEN] Ransomware Victim: Royal Thai Air Force
• DeXpose — Qilin Targets Thai Lion Air in Ransomware Attack
• Breachsense — Sky CC Data Breach in 2026
• CYFIRMA — Weekly Intelligence Report, 1 Oct 2026
• CYFIRMA — Weekly Intelligence Report, 9 Oct 2026
• CYFIRMA — Weekly Intelligence Report, 16 Oct 2026
• Palo Alto Networks Unit 42 — The Gentlemen Ransomware
• CyberPulse on X — SCADA Cyberattack Claim: Thailand Fuel Management System
• Cyble — RipperSec Hacktivist Group Profile
• FBI / IC3 — Joint Cybersecurity Advisory 261008 (PDF)
• NCSC — China-linked actors called out by UK and international partners for targeting sensitive data
• The Hacker News — FBI Says China-Linked Hackers Ran Portal Giving Third Parties Access to Stolen Emails
• ThreatFabric — Hirudo: From Fake Updates to Patched Banking Apps
• The Hacker News — Hirudo Android Trojan Uses Patched Banking Apps
• The Hacker News — Ledger Finds Unauthorized Hardware Implant in CryptoBilis-Sold Wallet
• SecurityWeek — $86 Million Crypto Heist Linked to Ledger Signer Hardware Implant
• เดลินิวส์ — เปิดรายงานภัยไซเบอร์ ชี้ “เอไอ” เป็นความเสี่ยงที่สุด (5 ต.ค. 2569)
• Brick Info — สกมช. เผยรายงานความเสี่ยงไซเบอร์ไทยปี 2569 ยก AI และ Ransomware เป็นภัยสำคัญ
• Brick Info — สกมช. คุมเข้มภัยไซเบอร์ 24 ชั่วโมง รับประชุม World Bank–IMF 2026
• MGR Online — ไทยพร้อมรับประชุมใหญ่ธนาคารโลก-ไอเอ็มเอฟ ผนึกเครือข่ายระวังภัยไซเบอร์ 10–19 ต.ค.
• Insurance Journal (Reuters) — IMF, World Bank Launch ‘Bangkok Blueprint’ to Fight Cyber Fraud
• Tech Insider — IMF, World Bank Launch Bangkok Blueprint: 5 Pillars
• Nation Thailand — Thai police report 39 scam arrests at October 13 briefing
• Bangkok Post — Korn urges govt to take action on scams
• โพสต์ทูเดย์ — กรณ์จี้รัฐปราบสแกมเมอร์ไทย ชี้ Bangkok Blueprint ไร้ผลหากไม่จัดการคนมีคอนเนกชั่น
• Infoquest — การประชุมประจำปี IMF–ธนาคารโลก 2026 ที่กรุงเทพฯ
• Thai PBS — “สิริพงศ์” แจงปมข้อมูลขนส่งรั่ว ชี้หลุดผ่าน API เชื่อม 3 หน่วยงาน
• Nation TV — ศปช. พบในไทย ข้อมูลรั่วมากกว่า 200 ล้านบัญชี
• ข่าว Cloud Thunder ที่อ้างถึง: 2026/10/001 · 2026/10/002 · 2026/10/011 · 2026/10/025 · 2026/10/031 · 2026/10/039 · 2026/10/043 · 2026/10/045 · 2026/10/051 · 2026/10/055 · 2026/10/056 · 2026/10/061 · 2026/10/064 · 2026/10/065 · 2026/10/068 · 2026/10/075 · 2026/10/088 · 2026/10/089 · 2026/10/094 · 2026/10/103 · 2026/10/105 · 2026/10/106 · 2026/10/115 · 2026/10/118 · 2026/10/123 · 2026/10/129 · 2026/10/133 · 2026/10/135 · 2026/10/145
• บทวิเคราะห์ที่เกี่ยวข้อง: แรนซัมแวร์ต่อองค์กรไทย 2569 · ภูมิทัศน์ APT ต่อประเทศไทย