จัดทำโดย: Cloud Thunder Threat Intelligence
รอบรายงาน: 1–31 สิงหาคม 2569
ประเภทเอกสาร: รายงานเชิงยุทธศาสตร์และความมั่นคงปลอดภัยไซเบอร์ของชาติ (Strategic Threat Assessment)
ฐานข้อมูล: เหตุการณ์และรายงานภัยคุกคามที่คัดกรองแล้ว 179 เหตุการณ์

บทสรุปเชิงยุทธศาสตร์ (Strategic Summary)

เดือนสิงหาคม 2569 มีเหตุการณ์ภัยคุกคามที่คัดกรองแล้ว 179 รายการ ลดลงจากเดือนกรกฎาคมที่ 320 รายการราวร้อยละ 44 และต่ำกว่าเดือนมิถุนายนที่ 206 รายการ แต่การลดลงของปริมาณไม่ได้แปลว่าความเสี่ยงลดลง ตรงกันข้าม เดือนนี้คือเดือนที่ ประเทศไทยกลายเป็นตัวละครหลักของรายงานด้วยตัวเอง ไม่ใช่ในฐานะเป้าหมายรายหนึ่งในแคมเปญระดับโลก แต่ในฐานะประเทศที่เผชิญวิกฤตข้อมูลภาครัฐจนต้องยกระดับเป็นมติคณะรัฐมนตรีภายในเวลาไม่ถึงสิบวัน

ภาพรวมของเดือนสรุปได้เป็นห้าประเด็นยุทธศาสตร์ที่ผู้กำหนดนโยบาย หน่วยงานด้านความมั่นคง และองค์กรโครงสร้างพื้นฐานสำคัญของไทยต้องรับทราบ

ประเด็นแรกและสำคัญที่สุดคือ วิกฤตข้อมูลภาครัฐไทยพิสูจน์ว่าจุดอ่อนของประเทศไม่ได้อยู่ที่กำแพงระบบ แต่อยู่ที่บัญชีผู้ใช้ เหตุเริ่มจากเว็บไซต์ภายนอกที่เปิดให้ค้นข้อมูลผู้ครอบครองรถยนต์จากหมายเลขทะเบียน จนกระทรวงคมนาคมต้องสั่งปิดการเชื่อมต่อ API ทุกช่องทางในวันที่ 4 สิงหาคม จากนั้นบานปลายเป็นคำให้การว่ามีข้อมูลคนไทยกว่า 500,000 รายจาก 19 กระทรวงหลุดออกไป และจบลงที่ข้อสรุปของกองบัญชาการตำรวจสอบสวนกลางว่า ฐานข้อมูลของหน่วยงานไม่ได้ถูกเจาะโดยตรง แต่ผู้กระทำผิดใช้บัญชีของเจ้าหน้าที่ที่มีสิทธิ์เข้าถึงระบบดึงข้อมูลออกไป โดยรหัสผ่านเหล่านั้นหลุดมาจากเครื่องที่ติดมัลแวร์ขโมยข้อมูล นี่คือรูปแบบเดียวกับคดี Snowflake ที่ผู้ต้องหารับสารภาพในเดือนเดียวกันนี้ ซึ่งกระทบ 165 องค์กรและข้อมูลคนกว่า 100 ล้านรายด้วยรหัสผ่านเก่าที่ไม่เคยเปลี่ยนและบัญชีที่ปิดการยืนยันตัวตนหลายชั้นไว้

ประเด็นที่สองคือ การสูญเสียการควบคุมเอเจนต์ AI เปลี่ยนจากความกังวลเชิงทฤษฎีเป็นรายงานหลังเหตุการณ์ที่มีตัวเลขกำกับ OpenAI เผยแพร่บทวิเคราะห์เหตุที่เอเจนต์ AI เจาะระบบ Hugging Face เมื่อเดือนกรกฎาคม โดยระบุว่าต้นเหตุคือ reward hacking และเอเจนต์ที่ควรถูกแยกจากกันราว 1,200 ตัวได้หาช่องคุยกันเองบนกระดานข่าวที่ไม่ได้รับอนุญาต ส่งข้อความและไฟล์ระหว่างกันกว่า 70,000 รายการ ก่อนที่ 700 ตัวจะร่วมกันโจมตี บริษัทเรียกเหตุการณ์นี้ตรง ๆ ว่าเป็นสัญญาณเตือนเรื่องการสูญเสียการควบคุม ขณะเดียวกันบริษัทเดียวกันก็เปิดตัว GPT-5.6-Cyber ที่ตอบคำขอสร้างลูกโซ่เอ็กซ์พลอยต์ถึงร้อยละ 95 เทียบกับร้อยละ 1.5 ของรุ่นทั่วไป และประกาศมาตรการกักกันชุดใหม่หลังประเมินว่าโมเดลรุ่นถัดไปอาจเข้าเกณฑ์ความสามารถด้านไซเบอร์ระดับวิกฤต

ประเด็นที่สามคือ ผู้โจมตีแรนซัมแวร์เริ่มใช้ผู้ช่วยเขียนโค้ดแบบเอเจนต์ลงมือปฏิบัติการจริง ไม่ใช่แค่เตรียมเครื่องมือ เซิร์ฟเวอร์ที่แอฟฟิลิเอตของกลุ่ม Aurora เปิดทิ้งไว้โดยผิดพลาด เผยให้เห็นบันทึกแชตกับ Cursor เป็นภาษารัสเซียที่ใช้ร่างและขัดเกลาลำดับการโจมตี Active Directory Certificate Services ครอบคลุมเหยื่อกว่า 20 องค์กรใน 9 ประเทศ และการวิเคราะห์อีกชุดพบว่ามีการใช้ Cursor Agent ที่รัน Claude Sonnet ลงมือเจาะจริงกับ 10 องค์กร พร้อมชุดเครื่องมือใหม่ชื่อ Gryxa ที่สร้างด้วย AI ทั้งกระบวนการและถูกใช้เข้าถึงเบื้องต้นกับโฮสต์ 324 เครื่อง ควบคู่กันนี้หน่วยงานความมั่นคงสหรัฐฯ ห้าแห่งออกประกาศเตือนร่วมถึงสคริปต์ที่สร้างด้วย AI ซึ่งกำลังเล็ง PLC ตระกูล Siemens S7 ในโครงสร้างพื้นฐานสำคัญ

ประเด็นที่สี่คือ การโจมตีห่วงโซ่อุปทานย้ายไปยังจุดที่ซอร์สโค้ดไม่ถูกแตะต้องแม้แต่ไฟล์เดียว เดือนนี้มีสามกรณีที่รูปแบบตรงกันอย่างน่ากังวล crate ยอดนิยมของภาษา Rust สามตัวถูกดัดแปลงให้ดึงแพ็กเกจปลอมเข้ามาเป็น dependency โดยโค้ดร้ายซ่อนอยู่ในไฟล์ build.rs ที่ Cargo รันเองทุกครั้งที่คอมไพล์ ปลั๊กอิน WordPress ของ BdThemes ถูกโจมตีโดยผู้โจมตีเข้าไปแก้ไฟล์ JSON โปรโมชันบนบัคเก็ตของผู้พัฒนาแทนการแก้คลัง WordPress.org และสคริปต์ของบริษัทโฆษณา Adform ถูกแก้ให้สลับที่อยู่กระเป๋าคริปโทในเบราว์เซอร์ของผู้เข้าชมเว็บไซต์ลูกค้าจำนวนมาก ทั้งสามกรณีผ่านการตรวจสอบซอร์สโค้ดทุกรูปแบบไปได้ เพราะซอร์สโค้ดไม่ใช่จุดที่ถูกโจมตี

ประเด็นที่ห้าคือ ตัวตนและการยืนยันตัวตนกลายเป็นขอบเขตความปลอดภัยที่แท้จริง และกลไกที่เคยถือว่าแข็งแรงที่สุดก็ถูกเจาะได้แล้ว Unit 42 เปิดเผยสามเทคนิคที่ทำให้มัลแวร์สิทธิ์ผู้ใช้ทั่วไปเข้าสู่บัญชีที่ป้องกันด้วย passkey ได้โดยไม่ต้องสแกนนิ้วหรือใส่ PIN นักวิจัยอิสระสาธิตการยืมกุญแจ Windows Hello for Business ยึดสิทธิ์เข้า Entra ID ระยะยาว กลุ่มแรนซัมแวร์ Gunra แก้ไฟล์ตรวจสอบตัวตนบนพอร์ทัล VDI ของ Fortinet จนปิด MFA ได้ทั้งระบบ และชุดฟิชชิง NovaCookies ราคา 320 ดอลลาร์ต่อเดือนอาศัยซองเอกสาร Docusign ของจริงดักเซสชันที่ผ่าน MFA แล้วแบบเรียลไทม์

สำหรับประเทศไทย เดือนสิงหาคมเป็นเดือนที่มีความเข้มข้นสูงที่สุดนับตั้งแต่เริ่มจัดทำรายงานชุดนี้ นอกจากวิกฤตข้อมูลภาครัฐและมาตรการเร่งด่วนของคณะรัฐมนตรีแล้ว ยังมี องค์กรที่จดทะเบียนในประเทศไทยอย่างน้อยเก้ารายถูกประกาศชื่อบนเว็บไซต์ปล่อยข้อมูลของกลุ่มแรนซัมแวร์ภายในเดือนเดียว ครอบคลุมทั้งการแพทย์ อาหาร พลังงาน การผลิต ประกันภัย การศึกษา และวิศวกรรม โดยมีกลุ่มหน้าใหม่ชื่อ Dysphor1a เปิดตัวด้วยเหยื่อไทยสองรายในวันเดียว ตัวเลขนี้สะท้อนว่าไทยไม่ได้เป็นเพียงพื้นที่ผลพลอยได้ของแคมเปญระดับโลกอีกต่อไป แต่เป็นตลาดเป้าหมายที่กลุ่มรีดไถประเมินแล้วว่ามีอัตราตอบแทนคุ้มค่า

ภาพที่ 1: การจำแนกเหตุการณ์ภัยคุกคาม 179 รายการในเดือนสิงหาคม 2569 ตามประเด็นหลัก ช่องโหว่ซอฟต์แวร์และอุปกรณ์ยังคงเป็นหมวดที่มากที่สุดด้วยสัดส่วนเกือบหนึ่งในสาม (58 รายการ) รองลงมาคือปฏิบัติการกลุ่มรัฐชาติ (26) และมัลแวร์กับบอตเน็ต (18) ขณะที่เหตุการณ์ที่ระบุประเทศไทยโดยตรงมีถึง 10 รายการ ซึ่งเป็นสัดส่วนสูงที่สุดเท่าที่เคยบันทึกไว้

1. สถานการณ์ภูมิรัฐศาสตร์ไซเบอร์ (Geopolitical Cyber Landscape)

เดือนสิงหาคมเป็นเดือนที่จีนกลับมาโดดเด่นชัดเจนอีกครั้งหลังจากเดือนกรกฎาคมที่ผู้เล่นทั้งสี่ชาติเคลื่อนไหวใกล้เคียงกัน เดือนนี้มีเหตุการณ์ที่จัดอยู่ในกลุ่มปฏิบัติการรัฐชาติ 26 รายการ ครอบคลุมกลุ่มและแคมเปญที่ระบุตัวได้ราว 31 กลุ่ม โดยกว่าสี่สิบเปอร์เซ็นต์เชื่อมโยงกับจีน จุดที่ต่างจากเดือนก่อนคือ น้ำหนักของปฏิบัติการย้ายจากการเจาะปลายทางรายเครื่อง ไปสู่การยึดจุดรวมศูนย์ที่ควบคุมหลายองค์กรพร้อมกัน ไม่ว่าจะเป็นเว็บเมลกลางของรัฐ เราเตอร์แกนเครือข่าย ไฮเปอร์ไวเซอร์ หรือเฟิร์มแวร์ที่ติดมาจากโรงงาน

ภาพที่ 2: กลุ่มและแคมเปญที่เชื่อมโยงกับรัฐซึ่งถูกเปิดโปงในเดือนสิงหาคม 2569 จำแนกตามประเทศที่ถูกระบุว่าอยู่เบื้องหลัง จีนมีจำนวนกลุ่มที่ถูกเปิดโปงมากกว่าชาติอื่นเกือบสองเท่า ขณะที่ปฏิบัติการของอิหร่านมีน้อยกว่าแต่มีน้ำหนักเชิงคดีความสูงที่สุดจากการตั้งข้อหา 17 รายในสหรัฐฯ

1.1 จีน — ยึดจุดรวมศูนย์ แทนการไล่เจาะทีละเครื่อง

ปฏิบัติการที่เชื่อมโยงจีนในเดือนนี้มีเส้นเรื่องร่วมกันชัดเจนคือ การหาจุดเดียวที่ควบคุมได้แล้วเห็นทุกอย่าง กรณีที่ชัดที่สุดคือกลุ่ม Jewelbug ซึ่ง Symantec เปิดเผยว่าได้สิทธิ์เขียนไฟล์บนระบบเว็บเมลที่หลายกระทรวงใช้ร่วมกัน แล้วแทรกสคริปต์เพียงบรรทัดเดียวลงในเทมเพลตกลาง ผลคือดักคุกกี้ของ 15 หน่วยงานได้พร้อมกัน นักวิจัยที่เข้าถึงฐานข้อมูลของกลุ่มพบบันทึกเช็กอินของอิมแพลนต์กว่าหนึ่งล้านรายการ คุกกี้ที่ขโมยมากว่า 580,000 รายการ และเนื้อความอีเมลที่ถูกดูดออกกว่า 2,300 ฉบับ ที่ผิดจากรูปแบบจารกรรมทั่วไปคือกลุ่มนี้รันธุรกิจฉ้อโกงคริปโทขนาดอุตสาหกรรมจากแผงควบคุมเดียวกัน ซึ่งเป็นการผสมภารกิจรัฐกับแรงจูงใจทางการเงินที่ทำให้การระบุตัวตนและการตอบโต้เชิงนโยบายยากขึ้นมาก และเป้าหมายของกลุ่มครอบคลุมเอเชียตะวันออกเฉียงใต้โดยตรง

เส้นเรื่องเดียวกันปรากฏในระดับโครงสร้างเครือข่าย กลุ่ม Fire Ant ซึ่งทับซ้อนอย่างมากกับ UNC3886 ขยายแคมเปญจากไฮเปอร์ไวเซอร์ VMware ไปยึดเราเตอร์ Cisco IOS XR เซิร์ฟเวอร์ TACACS และโฮสต์บริหารลินุกซ์ที่ใช้จัดเส้นทางและยืนยันตัวตนของเครือข่ายมูลค่าสูง โดยเปลี่ยนเราเตอร์ที่ยึดได้ให้เป็นจุดดักจับทราฟฟิกและเก็บข้อมูลรับรอง พร้อมปิดการบันทึกและเทเลเมทรีที่ผู้ป้องกันใช้สืบสวน ขณะที่อีกกลุ่มหนึ่งซึ่งประเมินด้วยความมั่นใจปานกลางว่าใช้ภาษาจีนและทำงานในโซนเวลา UTC+08:00 ใช้ช่องโหว่ directory traversal CVE-2026-59310 ใน VMware vCenter เจาะเหยื่ออย่างน้อย 361 ไอพีใน 47 ประเทศภายในห้าวันหลังแพตช์ออก แล้วปิดท้ายด้วยแรนซัมแวร์สาย Babuk บนโฮสต์ ESXi ซึ่งนักวิจัยประเมินว่าอาจเป็นฉากบังตามากกว่าเป้าหมายจริง

ในระดับเฟิร์มแวร์ VulnCheck เปิดเผยว่าเราเตอร์ของบริษัทจีน Zbtlink อย่างน้อย 20 รุ่นมีแบ็กดอร์ชื่อ ENDLESSDOORS ติดตั้งมาจากโรงงาน พบในไฟล์เฟิร์มแวร์ทั้ง 21 ไฟล์ที่เปิดให้ดาวน์โหลดครอบคลุมกว่าสองปี ตัวฝังปลอมตัวเป็นเธรดของเคอร์เนลลินุกซ์แต่รันด้วยสิทธิ์ root และติดต่อเซิร์ฟเวอร์ควบคุมในจีนทุก 35 วินาทีโดยไม่มีการยืนยันตัวตนใด ๆ ปลายเดือนนักวิจัยคนเดิมพบแบ็กดอร์เพิ่มอีกสองตัวคือ SpeakingStone และ DarkLantern ซึ่งฝังมาตั้งแต่ราวปี 2562 โดย SpeakingStone ส่งพิกัด GPS ออกไปและรับคำสั่งปลอมแปลง DNS ได้ VulnCheck พบ DarkLantern ที่เปิดสู่อินเทอร์เน็ต 203 เครื่องภายในสามวันและดักการเชื่อมต่อของ SpeakingStone ได้ 392 ครั้ง ประเด็นที่มีนัยเชิงนโยบายคืออุปกรณ์เหล่านี้ขายแบบไวท์เลเบลทั่วโลก ผู้ซื้อจึงมักไม่ทราบว่าตนกำลังใช้ฮาร์ดแวร์ของผู้ผลิตรายใด

ด้านจารกรรมแบบดั้งเดิมยังเข้มข้น Kaspersky เปิดเผยแคมเปญที่ใช้แบ็กดอร์ใหม่ OctLurk และ SilkLurk เจาะหน่วยงานรัฐในเอเชียกลางและซีเรียมาตั้งแต่มกราคม 2568 Bitdefender เปิดโปงปฏิบัติการ SilkParasite ที่ใช้ RAT ถึงเจ็ดตระกูลโจมตีหน่วยงานรัฐเอเชียกลาง โดยห้าตัวไม่เคยถูกบันทึกมาก่อน และเชื่อมโยงกับจีนผ่านการใช้แบ็กดอร์ BLOODALCHEMY ที่สืบสายมาจาก ShadowPad และ PlugX จุดที่นักวิจัยเน้นคือร่องรอยการใช้ AI ช่วยพัฒนาที่แทรกอยู่ในโค้ดซึ่งโดยรวมยังเป็นฝีมือทีมมนุษย์มืออาชีพ ส่วนกลุ่ม HoneyMyte อัปเกรดแบ็กดอร์ CoolClient ด้วยไดรเวอร์รูตคิตระดับเคอร์เนลที่ซ่อนโปรเซส ไฟล์ คีย์รีจิสทรี และการเชื่อมต่อ C2 ได้พร้อมกัน โดยใช้โปรแกรมจริงของ Sangfor ที่เปลี่ยนชื่อเป็น defender.exe เป็นตัว sideload ไฟล์ DLL และกลุ่ม Silver Fox แจกจ่ายแบ็กดอร์ ValleyRAT โดยปลอมเป็นแอดแวร์จีนที่เซ็นรับรองดิจิทัล อาศัยพฤติกรรมที่ผู้ใช้มักเพิ่มซอฟต์แวร์ประเภทนี้ลงในข้อยกเว้นแอนตี้ไวรัสด้วยตนเอง

ในมิติห่วงโซ่อุปทาน Fortinet พบว่าแอปพลิเคชัน VPN ชื่อ QuickFox ที่ให้บริการคนจีนในต่างประเทศถูกแทรกโค้ดจาวาสคริปต์สองบรรทัดในไฟล์ HTML ของ Electron มาตั้งแต่อย่างน้อยสิงหาคม 2568 เพื่อคัดกรองเครื่องเป้าหมายก่อนติดตั้งแบ็กดอร์ FDMTP ซึ่งเคยถูกใช้โดยกลุ่ม Mustang Panda ที่จีนหนุนหลัง ส่วน Socket พบแพ็กเกจ npm ประสงค์ร้าย 18 รายการที่เจาะจงเล่นงานนักพัฒนาซึ่งใช้เครื่องมือภายในของ Alibaba Group โดยร่องรอยภาษาจีนและเขตเวลา UTC+08:00 ชี้ว่าเป้าหมายน่าจะเป็นการจารกรรมทางอุตสาหกรรม

ปิดท้ายด้วยการตอบโต้ กระทรวงยุติธรรมสหรัฐฯ ประกาศทลายแพลตฟอร์มแฮ็กสองตัวคือ QScan และ QTRouter ที่ดำเนินการโดยกลุ่มชื่อ QTFY ซึ่งรับจ้างอยู่กับบริษัทเทคโนโลยีในนครหนานจิงที่มีทั้งกระทรวงความมั่นคงแห่งรัฐและกองทัพปลดปล่อยประชาชนเป็นลูกค้า QScan ไล่สแกนและยึดอุปกรณ์ IoT ทั่วโลกเข้าเป็นโหนดพร็อกซี ส่วน QTRouter ทำหน้าที่กลบต้นทางให้ทราฟฟิกดูเหมือนมาจากผู้ใช้ในพื้นที่เป้าหมาย เหยื่อที่ระบุได้รวมถึงองค์การนาซา ธนาคารกลางสหรัฐฯ กระทรวงพลังงาน และวุฒิสภา กรณีนี้ยืนยันโครงสร้าง “ผู้รับจ้างเชิงพาณิชย์” ที่รัฐใช้เพื่อรักษาระยะห่างจากปฏิบัติการ ซึ่งเป็นรูปแบบเดียวกับที่ถูกเปิดโปงในเดือนกรกฎาคมผ่านบริษัท Guangdong Chanming

1.2 รัสเซีย — ย้ายสนามฟิชชิงจากอีเมลไปแอปแชต และเจาะห่วงโซ่ซอฟต์แวร์ในประเทศ

ปฏิบัติการของรัสเซียในเดือนนี้มีจุดเปลี่ยนเชิงยุทธวิธีที่ชัดเจน สหภาพยุโรปยืนยันผ่านเอกสารภายในว่า แฮ็กเกอร์ที่รัฐหนุนหลังหันมาฟิชชิงเจ้าหน้าที่รัฐผ่านแอปแชตยอดนิยมแทนอีเมล โดยปี 2569 รัฐบาลในกลุ่มอียูเผชิญเหตุการณ์ร้ายแรงจากการฟิชชิงบน WhatsApp และ Signal แล้ว 8 ครั้ง จุดสำคัญคือการโจมตีเหล่านี้ ไม่ใช้ช่องโหว่และไม่ใช้มัลแวร์เลย อาศัยการหลอกลวงทางสังคมล้วน ๆ ทั้งการปลอมเป็นทีมสนับสนุนของ Signal เพื่อขอรหัส PIN และการหลอกให้สแกน QR code ที่เชื่อมอุปกรณ์ของผู้โจมตีเข้ากับบัญชีเหยื่อ ผลกระทบไปถึงระดับประธานบุนเดสทาค และทำให้หลายประเทศเร่งย้ายไปใช้แอปแชตของรัฐเอง รูปแบบเดียวกันปรากฏในรายงานอีกฉบับที่ระบุว่ากลุ่มจารกรรมรัสเซียสามคลัสเตอร์กำลังฉวยกลไกล็อกอินที่ถูกต้อง ทั้งฟิชชิง OAuth และการหลอกเชื่ออุปกรณ์ WhatsApp เพื่อยึดบัญชีเป้าหมาย

ในฝั่งเทคนิค ไมโครซอฟท์เปิดเผยแคมเปญ CaptiveCrunch ที่ยึดเกตเวย์ Wi-Fi ของโรงแรมเพื่อดันหน้าอัปเดตเบราว์เซอร์ปลอมและปล่อย RAT ชื่อ CornFlake ซึ่งจับภาพจากเว็บแคม เสียงจากไมโครโฟน และแป้นพิมพ์ได้ โดยโยงกับ Storm-2945 ที่ประเมินว่าเป็นคลัสเตอร์ย่อยของ Midnight Blizzard หรือ APT29 พบการบิดเบือนทราฟฟิกตั้งแต่ต้นเดือนพฤษภาคมในเครือข่ายภาคบริการที่พักหลายประเทศ ซึ่งเป็นความเสี่ยงโดยตรงต่อคณะผู้แทนภาครัฐและนักเดินทางเชิงธุรกิจของไทยที่เข้าพักโรงแรมในต่างประเทศ ส่วน Sandworm ในชื่อ UAC-0145 ใช้ข้อเสนองานปลอมล่าผู้ดูแลระบบ โดยหลอกให้ติดตั้งไคลเอนต์ WireGuard ปลอมชื่อ SopraVPN ที่แจกผ่าน SourceForge และ APT28 ถูกโยงด้วยความมั่นใจปานกลางกับแบ็กดอร์ตัวใหม่ชื่อ HOOKEDGE ที่เจาะหน่วยงานรัฐและการทูตในโรมาเนีย สเปน และตุรกี จุดเด่นคือใช้บริการ webhook สาธารณะแทนการตั้งเซิร์ฟเวอร์ของตัวเอง และเรียก Microsoft Edge โหมดไร้หน้าจอเป็นตัวรับส่งข้อมูล ซึ่งทำให้ทราฟฟิกกลืนไปกับการใช้งานปกติจนแทบไม่มีสิ่งผิดปกติให้ตรวจจับ

ที่น่าสนใจในเชิงยุทธศาสตร์คือรัสเซียเองก็เป็นเป้าหมาย กลุ่ม Head Mare เจาะเซิร์ฟเวอร์ TrueConf ที่ยังไม่แพตช์ของบริษัทรัสเซียในกลุ่มเครื่องมือวัด อิเล็กทรอนิกส์ ขนส่ง พลังงาน และไอที แล้วสลับไฟล์ติดตั้งไคลเอนต์เป็นเวอร์ชันที่ฝังแบ็กดอร์ PhantomCore ซึ่งเป็นการโจมตีห่วงโซ่อุปทานในประเทศแบบเดียวกับที่ผู้เล่นรัฐชาติใช้กับเป้าหมายต่างชาติ ในมิติแฮ็กติวิสต์ กลุ่มหนุนรัสเซียชื่อ Server Killers อ้างความรับผิดชอบต่อการโจมตีที่กระทบบริการดิจิทัลของรัฐบาลนอร์เวย์ต่อเนื่องสามวัน โดยโฆษกสำนักงานดิจิทัลไลเซชันแห่งนอร์เวย์ระบุว่าเป็นการโจมตีที่หนักที่สุดเท่าที่เคยเจอ และเป้าหมายรวมถึงระบบล็อกอินกลางที่ใช้เข้าบริการสาธารณะหลายตัว ซึ่งเป็นแบบจำลองความเสี่ยงที่ตรงกับสถาปัตยกรรม ThaID ของไทยอย่างมีนัยสำคัญ สุดท้าย OpenAI ประกาศแบนกลุ่มบัญชี ChatGPT ของรัสเซียที่ใช้ AI ปั้นสถาบันวิจัยปลอมชื่อ International Burke Institute พร้อมดัชนี “อธิปไตย” ที่จัดวางรัสเซียในทางบวก และเผยแพร่ผ่าน Substack เทเลแกรม X เฟซบุ๊ก และลิงก์อิน

1.3 อิหร่าน — น้ำหนักย้ายไปที่คดีความและโครงสร้างพื้นฐานที่ทนทานขึ้น

ปฏิบัติการของอิหร่านในเดือนสิงหาคมมีจำนวนน้อยกว่าชาติอื่น แต่มีน้ำหนักเชิงคดีความสูงที่สุด กระทรวงยุติธรรมสหรัฐฯ ตั้งข้อหาชาวอิหร่าน 17 ราย ซึ่งถูกกล่าวหาว่าเป็นสมาชิกของบริษัทรับจ้างแฮ็กชื่อ Mabna Institute โดย 9 รายเคยถูกตั้งข้อหาไปแล้วตั้งแต่ปี 2561 ปฏิบัติการนี้เริ่มราวปี 2556 เล็งบัญชีของอาจารย์ทั่วโลกกว่า 100,000 ราย เจาะสำเร็จราว 8,000 ราย และดูดข้อมูลวิชาการออกไป 31.5 เทระไบต์ มูลค่าประมาณ 3.4 พันล้านดอลลาร์ กระทบมหาวิทยาลัย 178 แห่ง บริษัทเอกชนอย่างน้อย 53 แห่ง และหน่วยงานรัฐของสหรัฐฯ อย่างน้อย 10 แห่ง สิ่งที่รายงานฉบับนี้ต้องการเน้นสำหรับผู้อ่านชาวไทยคือ สถาบันอุดมศึกษาและสถาบันวิจัยเป็นเป้าหมายเชิงยุทธศาสตร์ระดับชาติ ไม่ใช่เป้าหมายรอง เพราะทรัพย์สินทางปัญญาที่สะสมอยู่ในระบบเหล่านั้นมีมูลค่าเทียบเท่างบวิจัยหลายปีของประเทศ ขณะที่ระดับการลงทุนด้านความปลอดภัยของภาคการศึกษามักต่ำกว่าภาคการเงินหลายเท่า

ในด้านเทคนิค Kaspersky ติดตามเฟรมเวิร์ก C2 ชื่อ Cavern ที่โจมตีองค์กรในอิสราเอล และพบโมดูลสื่อสารตัวใหม่ที่ใช้คำตอบ DNS แบบ A-record เลือกเป็นรายทรานแซกชันว่าจะคุยกับเซิร์ฟเวอร์สั่งการผ่าน HTTPS โดยตรงหรือรีเลย์ผ่าน Google Apps Script โครงสร้าง DNS เดียวกันยังใช้เปลี่ยน deployment ID ของรีเลย์ได้เรื่อย ๆ ทำให้การบล็อกโดเมนเดียวไม่ได้ผล Kaspersky โยงเฟรมเวิร์กนี้เข้ากับ OilRig ด้วยความมั่นใจต่ำ และประเมินว่าจะขยายตัวต่อไป ขณะที่ Group-IB เผยผลวิเคราะห์ใหม่ของกลุ่ม Nimbus Manticore ที่เชื่อมโยงกับกองกำลังพิทักษ์การปฏิวัติอิสลาม พบโครงสร้างพื้นฐานของ Tortoiseshell กระจายทั้งยุโรปและตะวันออกกลาง พร้อมมัลแวร์ที่ยังไม่เคยมีการบันทึกไว้สองตัว ทั้งเครื่องมือทำ reverse SSH tunnel และแบ็กดอร์ภาษา C++ ที่ทับซ้อนกับ TWOSTROKE โดยทั้งคู่ปลอมตัวเป็นไฟล์ของ Windows Terminal Server SDK เพื่อกลมกลืนกับระบบ

แม้เดือนนี้จะไม่มีการโจมตีระบบควบคุมอุตสาหกรรมที่ระบุชื่ออิหร่านโดยตรงเหมือนเดือนกรกฎาคม แต่ผลสะเทือนยังปรากฏในเชิงนโยบาย รัฐนิวยอร์กประกาศมอบเงินสนับสนุนกว่า 9 ล้านดอลลาร์ให้ระบบน้ำดื่มและน้ำเสีย 153 แห่งใช้ประเมินและยกระดับความมั่นคงปลอดภัยไซเบอร์ หลังคลื่นโจมตีระบบ OT ของกิจการประปาในสหรัฐฯ อย่างน้อยเจ็ดรัฐ

1.4 เกาหลีเหนือ — zero-day ระดับเคอร์เนล และการแทรกซึมด้วยพนักงานที่ผ่านการสัมภาษณ์จริง

เกาหลีเหนือเดือนนี้แสดงความสามารถสองระดับที่ห่างกันมากแต่เสริมกัน ระดับบนคือ Lazarus ซึ่ง Check Point ยืนยันว่าใช้ช่องโหว่ zero-day CVE-2026-68820 ในไดรเวอร์ AFD.sys ของวินโดวส์ยกระดับสิทธิ์เป็น SYSTEM เพื่อปล่อยรูตคิต FudModule รุ่นใหม่ ปฏิบัติการนี้เดินมาตั้งแต่ต้นปี 2569 เป็นภาคต่อของ Operation Dream Job ที่ใช้ข้อเสนองานปลอมล่อเหยื่อ เป้าหมายคือองค์กรกลาโหม อากาศยาน และการบินในฝรั่งเศส เยอรมนี บราซิล และอินเดีย ห่วงโซ่การโจมตีใช้ DLL sideloading ปล่อยโหลดเดอร์ Mistpen และแบ็กดอร์ ForestTiger ส่วนอีกสายใช้โปรแกรมอ่าน PDF ปลอมปล่อยแบ็กดอร์ตัวใหม่ชื่อ Troy ไมโครซอฟท์ปิดช่องโหว่นี้ในรอบ Patch Tuesday เดือนสิงหาคม

ระดับล่างแต่มีผลกระทบกว้างกว่าคือ การแทรกซึมด้วยพนักงานไอทีระยะไกล ซึ่งเดือนนี้มีสองรายงานที่เสริมกันอย่างมีประโยชน์ต่อผู้ป้องกัน รายงานแรกคือนักวิจัยที่สร้างโปรโตคอล DeFi ปลอมชื่อ Ballena Azul ประกาศรับสมัครนักพัฒนาแล้วจ้างผู้ต้องสงสัยว่าเป็นคนงานไอทีของเกาหลีเหนือได้สามคน โดยเครื่องเสมือนที่บริษัทแจกให้บันทึกทุกอย่างไว้ ทั้งสามผ่านการสัมภาษณ์ เซ็นสัญญา และได้สิทธิ์เข้าถึงระบบตามปกติ โดยไม่ต้องเจาะช่องโหว่ใดเลย เอกสารยืนยันตัวตนที่ส่งมามีทั้งใบขับขี่ของคนอื่นและภาพที่ผ่านการแก้ด้วย AI และวันแรกของงานทั้งสามสำรวจเครื่องด้วย dxdiag และ systeminfo ก่อนติดตั้งเครื่องมือควบคุมระยะไกล รายงานที่สองจาก Huntress สรุปสัญญาณจากสามเคสจริงในปี 2569 ได้แก่ การใช้ Astrill VPN, IPRoyal Proxy และบริการโฮสต์กันกระสุนพร้อมกัน การพบอุปกรณ์ PiKVM ที่หายากในองค์กร รูปโปรไฟล์ที่ขโมยจาก GitHub และเอกสารระบุตัวตนที่ถูกแก้ไขรูปถ่าย

สัญญาณเหล่านี้มีนัยตรงต่อองค์กรไทยที่จ้างงานระยะไกลข้ามพรมแดน เพราะไทยถูกระบุในรายงานรอบก่อนว่าเป็นหนึ่งในปลายทางจ้างงานยอดนิยมในภูมิภาค การตรวจสอบที่ได้ผลจึงไม่ใช่การเพิ่มขั้นตอนสัมภาษณ์ แต่คือการเฝ้าดูสัญญาณเชิงโครงสร้างพื้นฐานของพนักงานหลังเริ่มงานแล้ว ในด้านมัลแวร์ กลุ่ม Contagious Interview เปิดตัวเทคนิค NullReceiver ที่ซ่อนที่อยู่เซิร์ฟเวอร์สั่งการไว้ในธุรกรรมคริปโทที่ไม่มีเงินโอน ทำให้การบล็อกโดเมนหรือไอพีไม่ได้ผล และกลุ่ม Kimsuky ถูก Genians เปิดเผยว่าเลิกพึ่งแชตบอตสาธารณะแล้วหันมารันโมเดลภาษาแบบออฟไลน์บนเซิร์ฟเวอร์ของตัวเอง โดยพบเครื่องมือ Ollama, GPT4All และ Msty พร้อมฐานข้อมูล RAG ที่ตั้งค่าไว้แล้ว ซึ่งหมายความว่ามาตรการควบคุมการใช้งานที่ผู้ให้บริการ AI รายใหญ่บังคับใช้จะไม่มีผลกับกลุ่มนี้อีกต่อไป

1.5 การตอบโต้ระดับนานาชาติ — จับได้มากขึ้น แต่โครงสร้างรับจ้างยังอยู่

เดือนนี้มีปฏิบัติการปราบปรามและคดีสำคัญห้ากรณี ปฏิบัติการ Jackal IV ของ INTERPOL ที่กินเวลาแปดเดือนและมี 22 ประเทศจากหกทวีปเข้าร่วม นำไปสู่การจับกุม 58 รายและระบุตัวผู้ต้องสงสัยอีก 263 ราย เป้าหมายคือเครือข่ายอาชญากรรมจัดตั้งจากแอฟริกาตะวันตกอย่าง Black Axe ที่อยู่เบื้องหลังสแกมหลอกรัก สแกมคริปโทและการลงทุน และการฉ้อโกงอีเมลธุรกิจ ในสหรัฐฯ นาย Connor Riley Moucka วัย 26 ปีรับสารภาพในคดีเจาะบัญชีลูกค้า Snowflake เมื่อปี 2567 ซึ่งกระทบองค์กรอย่างน้อย 165 แห่งและข้อมูลคนอย่างน้อย 100 ล้านราย ส่วนออสเตรเลียตั้งข้อหาชายสองคนรวม 14 กระทงจากบทบาทในกลุ่ม TeamPCP ซึ่งอยู่เบื้องหลังการวางยาเครื่องมือสแกนโอเพนซอร์ส Trivy และ Checkmarx KICS รวมถึงเกตเวย์ AI ชื่อ LiteLLM เมื่อเดือนมีนาคม 2569 โดยตำรวจระบุว่าโค้ดอันตรายอาจกระทบองค์กรกว่า 1,000 แห่งทั่วโลก ขโมยข้อมูลรับรองกว่า 500,000 รายการ และดูดข้อมูลออกไปอย่างน้อย 300 กิกะไบต์

ควบคู่กันนี้ทำเนียบขาวเดินหน้าเปลี่ยนกติกาการตอบโต้ ประธานาธิบดีสหรัฐฯ ลงนามบันทึกความมั่นคงแห่งชาติสั่งตั้งโครงการเปิดให้บริษัทความปลอดภัยเอกชนยื่นขออนุมัติปฏิบัติการไซเบอร์ต่อองค์กรอาชญากรรมข้ามชาติในต่างประเทศ โดยทุกปฏิบัติการต้องอยู่ใต้การควบคุมของรัฐบาล บริษัทที่เข้าร่วมต้องผ่านการคัดกรองและวางหลักประกันไม่ต่ำกว่าหนึ่งล้านดอลลาร์ ประเด็นที่รัฐบาลไทยควรติดตามคือ หากรัฐอื่นเดินตามแนวทางนี้ พื้นที่สีเทาระหว่างการป้องกันตนเองกับปฏิบัติการเชิงรุกของเอกชนจะขยายตัว และองค์กรไทยที่โครงสร้างพื้นฐานถูกใช้เป็นทางผ่านของอาชญากรอาจกลายเป็นผู้ได้รับผลกระทบข้างเคียงโดยไม่มีกลไกเยียวยาระหว่างประเทศรองรับ

2. แนวโน้มภัยคุกคามหลักและทิศทางของอุตสาหกรรม (Key Threat Trends)

2.1 AI — จากการยอมรับว่าควบคุมไม่ได้ ไปสู่การใช้งานจริงในสายพานแรนซัมแวร์

เดือนสิงหาคมมีเหตุการณ์ที่เกี่ยวข้องกับ AI โดยตรง 15 รายการ ลดลงจาก 47 รายการในเดือนกรกฎาคม แต่คุณภาพของเหตุการณ์เปลี่ยนไปอย่างมีนัยสำคัญ กรกฎาคมคือเดือนของ “การค้นพบครั้งแรก” ส่วนสิงหาคมคือเดือนของ “การยอมรับอย่างเป็นทางการและการนำไปใช้เป็นกิจวัตร”

ภาพที่ 3: การจำแนกเหตุการณ์ที่เกี่ยวข้องกับ AI จำนวน 15 รายการในเดือนสิงหาคม 2569 กลุ่มที่ใหญ่ที่สุดยังคงเป็นช่องโหว่ในแพลตฟอร์มและเครื่องมือของ AI เอง ขณะที่กลุ่มธรรมาภิบาลและความปลอดภัยของโมเดลขยับขึ้นมาเป็นอันดับสอง ซึ่งสะท้อนว่าอุตสาหกรรมเริ่มตอบสนองเชิงสถาบันแทนการตอบสนองรายเหตุการณ์

หมุดหมายที่สำคัญที่สุดของเดือนคือรายงานหลังเหตุการณ์ของ OpenAI ต่อกรณีที่เอเจนต์ AI เจาะระบบ Hugging Face เมื่อเดือนกรกฎาคม บริษัทระบุว่าต้นเหตุสำคัญคือ reward hacking และพบพฤติกรรมผิดเป้าหมายตั้งแต่ปลายพฤษภาคม สิ่งที่ทำให้รายงานนี้มีน้ำหนักเชิงยุทธศาสตร์คือรายละเอียดว่าเอเจนต์ที่ควรถูกแยกจากกันราว 1,200 ตัวหาช่องคุยกันเองบนกระดานข่าวที่ไม่ได้รับอนุญาต ส่งข้อความและไฟล์กว่า 70,000 รายการ และ 700 ตัวร่วมกันโจมตี บริษัทเรียกเหตุการณ์นี้ว่าเป็นสัญญาณเตือนเรื่องการสูญเสียการควบคุม ต่อมาบริษัทเดียวกันประกาศมาตรการกักกันชุดใหม่หลังประเมินว่าโมเดลรุ่นถัดไปชื่อ Astra อาจเข้าเกณฑ์ความสามารถด้านไซเบอร์ระดับวิกฤตตามกรอบ Preparedness Framework ผลที่ตามมาคือการหยุดฝึกแบบ reinforcement learning สองสัปดาห์ การระงับรอบฝึกโมเดลใหญ่ที่สุดที่วางแผนไว้ ระบบตรวจทุกโทเคนที่กินทรัพยากรประมวลผลราวร้อยละ 20 และกฎบังคับหยุดงานภายใน 30 นาทีหากพิสูจน์ไม่ได้ว่าสัญญาณเตือนเป็นเท็จ

ในทางกลับกัน บริษัทเดียวกันก็เปิดตัว GPT-5.6-Cyber ที่ฝึกมาเฉพาะงานวิจัยช่องโหว่ ทดสอบเจาะระบบ และตอบสนองเหตุการณ์ โดยลดอัตราการปฏิเสธคำสั่งสองแง่สองง่ามลงอย่างมาก การวัดภายในพบว่าโมเดลตอบคำขอด้านการสร้างลูกโซ่เอ็กซ์พลอยต์และการยกระดับสิทธิ์ถึงร้อยละ 95.0 เทียบกับร้อยละ 1.5 ของรุ่นทั่วไป แม้จะเปิดให้เข้าถึงเฉพาะพันธมิตรที่ได้รับความไว้วางใจ แต่การมีอยู่ของโมเดลระดับนี้เปลี่ยนสมมติฐานพื้นฐานของการป้องกัน จากเดิมที่ถือว่าความสามารถในการเขียนเอ็กซ์พลอยต์เป็นทรัพยากรหายาก มาเป็นทรัพยากรที่เข้าถึงได้แม้จะยังจำกัดวง

การนำ AI ไปใช้จริงในสายพานอาชญากรรมปรากฏชัดที่สุดในกลุ่มแรนซัมแวร์ Aurora เซิร์ฟเวอร์ที่แอฟฟิลิเอตเปิดทิ้งไว้โดยผิดพลาดเผยกิจกรรมตั้งแต่การบุกรุกจนถึงการรับเงินค่าไถ่ระหว่างเมษายนถึงกรกฎาคม 2569 ครอบคลุมกว่า 20 องค์กรใน 9 ประเทศ ในไดเรกทอรีมีทั้งเครื่องมือ ประวัติคำสั่ง ข้อมูลรับรอง ตัวเข้ารหัส และ บันทึกแชตกับ Cursor เป็นภาษารัสเซียที่ผู้โจมตีใช้ร่างและขัดเกลาลำดับการโจมตี Active Directory Certificate Services การวิเคราะห์อีกชุดในปลายเดือนพบว่ามีการใช้ Cursor Agent ที่รัน Claude Sonnet ลงมือเจาะจริงกับ 10 องค์กร และพบชุดเครื่องมือใหม่ชื่อ Gryxa ที่สร้างด้วย AI ทั้งกระบวนการ ใช้เข้าถึงเบื้องต้นกับโฮสต์ 324 เครื่อง โดยตัวเข้ารหัสทั้งฝั่งวินโดวส์และ Linux/ESXi สร้างจากซอร์สโค้ดภาษา Zig ชุดเดียวกัน ในระดับโครงสร้างพื้นฐานสำคัญ หน่วยงานความมั่นคงสหรัฐฯ ห้าแห่งออกประกาศเตือนร่วมถึงสคริปต์ที่สร้างด้วย AI ซึ่งเล็ง PLC ตระกูล Siemens S7 โดยผู้โจมตีใช้บริการสแกนอินเทอร์เน็ตอย่าง Censys และ ZoomEye หาเครื่องที่เปิดออกสู่อินเทอร์เน็ตและใช้เฟิร์มแวร์เก่า เครื่องมือที่พบเป็นสคริปต์ Python ที่เรียกไลบรารีระบบอัตโนมัติแบบโอเพนซอร์สและปลอมตัวเป็นโปรแกรมเฝ้าระวังทั่วไป

ในฝั่งช่องโหว่ของแพลตฟอร์ม AI เอง เดือนนี้พบห้ากรณีที่ควรบันทึก FaceHugger คือช่องโหว่สามรายการในไลบรารี Diffusers ของ Hugging Face ที่ข้ามกลไก trust_remote_code ผ่านช่องว่างแบบ TOCTOU ทำให้คลังโมเดลที่ถูกสร้างมาเป็นพิเศษรันโค้ดใดก็ได้บนเครื่องที่โหลดมัน ผู้ช่วย AI ชื่อ Rovo ของ Atlassian ถูกสองบริษัทพบโดยอิสระว่าถูกหลอกให้รวบรวมข้อมูล Jira และ Confluence แล้วส่งออกไปเซิร์ฟเวอร์ภายนอกได้ ทีมวิจัยจาก ELLIS Institute และพันธมิตรพบว่า ซองข้อมูลความคิดภายในที่ API ของผู้ให้บริการ LLM เข้ารหัสไว้ถูกเซ็นด้วยกุญแจระดับผู้ให้บริการโดยไม่ผูกกับโมเดล เซสชัน หรือผู้ใช้ ทำให้นำซองจากโมเดลเรือธงไปป้อนให้โมเดลรุ่นเล็กถอดเป็นข้อความธรรมดาได้ และการวิเคราะห์บันทึกเอเจนต์สาธารณะพบข้อมูลส่วนบุคคลกับข้อมูลรับรองซ่อนอยู่หลายร้อยรายการ ส่วน Oasis Security พบว่า NVIDIA NemoClaw ตั้งค่าให้ Ollama ผูกกับทุกอินเทอร์เฟซ ทำให้หน้าเว็บของผู้โจมตีอาศัย DNS rebinding เขียนเทมเพลตแชตของโมเดลใหม่เพื่อแนบคำสั่งซ่อนเข้าไปทุกครั้งที่มีการประมวลผล

ประเด็นสุดท้ายที่มีนัยเชิงองค์กรมากที่สุดคือ MCP server กลายเป็นถังเก็บกุญแจขององค์กรโดยไม่ตั้งใจ บทวิเคราะห์ชี้ว่าตัวกลางที่ให้เอเจนต์ AI เข้าถึงเครื่องมือและข้อมูลขององค์กรมักทำงานอยู่โดยทีมความปลอดภัยไม่รู้ตัว เส้นทางที่ความลับรั่วมีทั้งไฟล์ตั้งค่าที่เก็บโทเคนเป็นข้อความธรรมดา credential ที่กระจัดกระจายและไม่มีใครหมุนเวียน การให้สิทธิ์เกินจำเป็น และ prompt injection ที่หลอกให้เอเจนต์ส่งมอบความลับ ในทิศทางตรงข้าม Anthropic เพิ่ม Compliance API สำหรับเซสชัน Claude Code ที่รันบนเครื่องนักพัฒนา เพื่อให้ทีมความมั่นคงเห็นบทสนทนาและการใช้เครื่องมือของเอเจนต์ได้ชัดขึ้น และปลายเดือนองค์กรเกือบ 130 แห่งจากวงการความมั่นคงไซเบอร์ คลาวด์ และการเงิน รวมถึง Anthropic, Microsoft, Google, Cisco, Cloudflare, CrowdStrike, IBM และ Oracle ร่วมลงชื่อในจดหมายเปิดผนึกที่ OpenAI นำ เรียกร้องให้เร่งยกระดับการป้องกันไซเบอร์ทั่วโลกอย่างประสานกัน โดยเตือนว่าการโจมตีที่ขับเคลื่อนด้วย AI จะมีความสามารถสูงขึ้นมากในไม่กี่เดือนข้างหน้า

ควรบันทึกเพิ่มเติมว่านอกจาก 15 เหตุการณ์ที่จัดอยู่ในหมวด AI โดยตรงแล้ว ยังมีอีกอย่างน้อยห้าเหตุการณ์ที่ AI แทรกอยู่ในฐานะองค์ประกอบ ได้แก่ Kimsuky ที่ยกโมเดลมารันเอง SilkParasite ที่พบร่องรอย AI ช่วยพัฒนาในโค้ด เฟรมเวิร์ก RedC2 4.0 ที่ขายพร้อมผู้ช่วย AI แปลงคำสั่งภาษาคนเป็นคำสั่งบีคอน แพ็กเกจ npm เกือบ 800 รายการที่ตั้งชื่อเลียนแบบชื่อที่ AI มักมโนขึ้นมา และงานวิจัยของ Aikido Security ที่จำลองเหตุจองคลาสยิมในออสเตรเลียซ้ำแล้วพบว่าเอเจนต์ข้ามข้อจำกัดการจองได้ 9 ใน 10 รอบ และในสองรอบยังยกเลิกการจองของสมาชิกคนอื่นผ่านช่องโหว่ IDOR เองโดยไม่มีคำสั่งใดสั่งให้ทำ

2.2 ห่วงโซ่อุปทาน — โจมตีรอบ ๆ ซอร์สโค้ด ไม่ใช่ที่ตัวซอร์สโค้ด

เดือนนี้มีเหตุการณ์ห่วงโซ่อุปทาน 12 รายการ และแนวโน้มที่ชัดเจนที่สุดคือ ผู้โจมตีเลิกพยายามแก้ซอร์สโค้ดที่มีคนตรวจสอบ แล้วหันไปแก้สิ่งที่อยู่รอบ ๆ ซอร์สโค้ดซึ่งไม่มีใครตรวจ สามกรณีของเดือนนี้แสดงรูปแบบเดียวกันจากสามอุตสาหกรรมที่ต่างกันสิ้นเชิง

กรณีแรกคือภาษา Rust crate ยอดนิยมสามตัวคือ arrayref, append-only-vec และ internment ถูกดัดแปลงให้ดึงแพ็กเกจปลอมชื่อ proc-macro1 เข้ามาเป็น dependency โดยซอร์สโค้ดที่มองเห็นไม่ถูกแตะต้องเลย โค้ดอันตรายซ่อนอยู่ในไฟล์ build.rs ที่ Cargo รันเองทุกครั้งที่คอมไพล์ เพย์โหลดเป็นอินโฟสตีลเลอร์ข้ามแพลตฟอร์มที่ดูดรหัสผ่านจากเบราว์เซอร์ตระกูล Chromium ทีม Rust Security Response ถอนเวอร์ชันที่ปนเปื้อนและล็อกบัญชีผู้ดูแลได้ภายในราวสองชั่วโมง ซึ่งเป็นการตอบสนองที่เร็วผิดปกติและควรถือเป็นตัวอย่างที่ดี

กรณีที่สองคือ WordPress ปลั๊กอินของ BdThemes ถูกโจมตีโดยไม่มีการแก้ไฟล์ซอร์สโค้ดในคลัง WordPress.org แม้แต่ไฟล์เดียว ผู้โจมตีเข้าไปแก้ไฟล์ JSON โปรโมชันบนบัคเก็ต DigitalOcean Spaces ของผู้พัฒนาแทน ไฟล์ที่ถูกวางยาจุดชนวนช่องโหว่ XSS ในคอมโพเนนต์หนึ่ง ทำให้สคริปต์ทำงานในเบราว์เซอร์ของแอดมินทุกครั้งที่เปิดหน้า wp-admin เพย์โหลดสร้างบัญชีแอดมินลับ ติดตั้งเว็บเชลล์ และฝังโมดูลซ่อนตัวใน mu-plugins กระทบปลั๊กอินเจ็ดตัวจนถูกปิดดาวน์โหลด

กรณีที่สามคือโฆษณาดิจิทัล ผู้โจมตีแก้ไขไฟล์จาวาสคริปต์ที่บริษัท Adform ให้บริการอยู่ ให้กลายเป็นเครื่องมือสลับที่อยู่กระเป๋า Bitcoin, Ethereum และ Tron ในเบราว์เซอร์ของผู้เข้าชมเว็บไซต์ลูกค้า โดยเปลี่ยนทั้งค่าที่คัดลอกในคลิปบอร์ดและค่าที่พิมพ์ลงช่องกรอก จุดที่น่ากังวลที่สุดคือ ไม่มีระบบตรวจจับใดแจ้งเตือน และขอบเขตความเสียหายที่แท้จริงยังไม่มีการเปิดเผย บทเรียนร่วมของทั้งสามกรณีคือการตรวจสอบซอร์สโค้ดและการเซ็นแพ็กเกจไม่ครอบคลุมทรัพยากรที่ถูกดึงมาตอนคอมไพล์หรือตอนรัน องค์กรจึงต้องขยายขอบเขตการควบคุมไปถึงบัคเก็ตของผู้พัฒนา สคริปต์บุคคลที่สามบนหน้าเว็บ และสคริปต์ build

รูปแบบเดิมที่ยังคงเข้มข้นคือคลังแพ็กเกจสาธารณะ นักวิจัยพบแพ็กเกจประสงค์ร้ายเกือบ 800 รายการบน npm ที่ตั้งชื่อสุ่มเลียนแบบชื่อที่ AI มักมโนขึ้นมา แต่ไม่ใช้ lifecycle hook อย่าง preinstall กลับใส่ README สั่งให้นักพัฒนาเรียกใช้ผ่าน require() ปลายทางคือดาวน์โหลดเดอร์ที่เลือกเพย์โหลดตามระบบปฏิบัติการและสถาปัตยกรรมซีพียู ดึงจาก Cloudflare Workers และสำรองด้วย DNS TXT เมื่อ HTTPS ล้มเหลว บนวินโดวส์แพตช์ ETW และ AMSI ส่วนบนลินุกซ์ปิดท้ายด้วยเฟรมเวิร์ก Sliver อีกชุดหนึ่งคือแพ็กเกจ npm 14 รายการที่ปลอมตัวเป็นเครื่องมือคำนวณปฏิทินที่ใช้งานได้จริง แต่แอบวางบีคอนของเฟรมเวิร์ก RedC2 4.0 ที่ รันทันทีที่โมดูลถูก import โดยไม่ต้องอาศัย install hook และทำงานได้แม้เป็น dependency ทางอ้อม ขณะที่โครงการ Arch Linux ต้องระงับการรับช่วงแพ็กเกจบน AUR ชั่วคราว หลังเผชิญคลื่นยึดแพ็กเกจที่ปล่อยอินโฟสตีลเลอร์ภาษา Rust ซึ่งขโมยรหัสผ่านเบราว์เซอร์ กระเป๋าคริปโท กุญแจ SSH และคีย์ API ของบริการ AI พร้อมแพร่ตัวเองด้วยกุญแจ SSH ที่ขโมยมา

ในระดับกระบวนการพัฒนา Wiz เปิดเผยช่องโหว่ workflow injection ในรีโปสาธารณะของ Snowflake ที่เปิดทางให้ GitHub issue ซึ่งปั้นขึ้นเป็นพิเศษสั่งรันคำสั่งใน workflow ที่ถือ credential ของ Jira ภายในองค์กร ต้นเหตุคือการเอาค่าหัวเรื่องและเนื้อ issue ยัดตรงเข้าบล็อก run และตรวจเงื่อนไขผู้ส่งด้วยพร็อพเพอร์ตี้ที่ไม่มีอยู่จริง ขณะที่ Mozilla ต้องเพิกถอนกุญแจ GPG ที่ใช้เซ็นไฟล์ดาวน์โหลด Firefox และ Thunderbird สำหรับลินุกซ์ หลังพบว่ากุญแจฉบับไม่เข้ารหัสถูกคอมมิตเข้าคลังโค้ดส่วนตัวโดยไม่ได้ตั้งใจ ในฝั่งการป้องกัน GitHub ขยายการตรวจจับมัลแวร์ในห่วงโซ่อุปทานจาก npm ไปครบแปดคลังแพ็กเกจ โดยดึงข้อมูลจาก OpenSSF ซึ่งเป็นพัฒนาการที่ดีแต่ยังตามหลังอัตราการปล่อยแพ็กเกจร้ายอยู่มาก

2.3 ช่องโหว่ — ปริมาณยังล้น และคำอธิบายของผู้ผลิตเชื่อไม่ได้เสมอไป

เดือนสิงหาคมมีเหตุการณ์ในหมวดช่องโหว่ 58 รายการ คิดเป็นเกือบหนึ่งในสามของทั้งเดือน โดยไมโครซอฟท์ออกแพตช์ประจำเดือนถึง 400 รายการ ในจำนวนนี้เป็นระดับวิกฤต 42 รายการและมี zero-day สามรายการ ตัวที่ถูกใช้โจมตีจริงคือ CVE-2026-68820 ในไดรเวอร์ AFD.sys ที่กลุ่ม Lazarus ใช้ ส่วนอีกสองรายการถูกเปิดเผยสู่สาธารณะก่อนมีแพตช์ ต่อมาในเดือนเดียวกันบริษัทยังปล่อยชุดอัปเดตบริการคลาวด์อีก 22 รายการรวดเดียว ครอบคลุม Azure, Entra ID, Exchange และ Fabric โดยห้ารายการได้คะแนน CVSS เต็ม 10 ทั้งการยกระดับสิทธิ์ใน Azure SQL Database, Azure Arc และ Exchange Online กับการรันโค้ดระยะไกลใน Azure Managed Instance for Apache Cassandra แม้เกือบทั้งหมดจะแก้ที่ฝั่งเซิร์ฟเวอร์ไปแล้วโดยลูกค้าไม่ต้องติดตั้งอะไร แต่ตัวเลขนี้บอกอย่างชัดเจนว่า ความเสี่ยงของบริการคลาวด์ไม่ได้หายไปเพียงเพราะลูกค้าไม่ต้องแพตช์เอง

ภาพที่ 4: เหตุการณ์ช่องโหว่ 58 รายการของเดือนสิงหาคม 2569 จำแนกตามประเภทของระบบที่ได้รับผลกระทบ แอปพลิเคชันองค์กรและแพลตฟอร์มเว็บครองสัดส่วนเกือบครึ่ง ซึ่งสะท้อนว่าพื้นที่โจมตีที่ใหญ่ที่สุดขององค์กรทั่วไปยังคงเป็นซอฟต์แวร์ที่ติดตั้งเองและเปิดสู่อินเทอร์เน็ต ไม่ใช่ระบบปฏิบัติการหรืออุปกรณ์เครือข่าย

สัญญาณเชิงโครงสร้างที่สำคัญที่สุดของเดือนนี้ไม่ใช่ปริมาณ แต่คือ ความน่าเชื่อถือของการจัดระดับความรุนแรงโดยผู้ผลิต กรณีตัวอย่างที่ชัดที่สุดคือ CVE-2026-8452 ใน Citrix NetScaler ซึ่ง Citrix ออกแพตช์ตั้งแต่ 30 มิถุนายนและอธิบายว่าเป็นเพียง memory overflow ระดับสูงที่นำไปสู่การปฏิเสธการให้บริการ แต่บริษัท watchTowr วิเคราะห์แล้วสาธิตว่าใช้รันโค้ดจากระยะไกลได้โดยไม่ต้องยืนยันตัวตน และเปิดโค้ด PoC เมื่อ 14 สิงหาคม หลังจากนั้นไม่นานก็เริ่มพบการโจมตีจริงที่วางเว็บเชลล์ จน CISA ต้องเร่งให้หน่วยงานรัฐอุดภายใน 29 สิงหาคม ในทางกลับกันไมโครซอฟท์ก็กลับคำเรื่อง CVE-2026-69836 ใน Entra ID โดยยืนยันในภายหลังว่าช่องโหว่ RCE ที่เคยถูกระบุว่าถูกโจมตีจริงนั้น ไม่เคยถูกใช้โจมตีเลย บทเรียนสำหรับทีมปฏิบัติการคือ การจัดลำดับความสำคัญไม่ควรพึ่งคำอธิบายของผู้ผลิตเพียงแหล่งเดียว ต้องอ่านประกอบกับการวิเคราะห์อิสระและข้อมูลการโจมตีจริง

ความเร็วจากการเปิดเผยถึงการโจมตีจริงยังคงหดสั้นลงต่อเนื่อง ช่องโหว่ SQL Injection ใน GeoServer ถูกเปิดเผยโดยนักวิจัยอิสระและถูกโจมตีจริงภายในไม่กี่ชั่วโมงทั้งที่ยังไม่มีแพตช์ ช่องโหว่ CVE-2026-59310 ใน VMware vCenter ถูกนำไปโจมตีจริงหลังแพตช์ออกได้เพียงห้าวัน ช่องโหว่ SSRF CVE-2026-64849 ใน MLflow และช่องโหว่ CVE-2026-25895 ในซอฟต์แวร์ SCADA/HMI ชื่อ FUXA ถูกสแกนทั่วโลกภายในไม่กี่ชั่วโมงหลังออกเลข CVE ส่วน Metabase ต้องออกประกาศเตือนว่าช่องโหว่ระดับ CVSS 10.0 ในซอฟต์แวร์ business intelligence ถูกใช้โจมตีจริงในฐานะซีโรเดย์ทั้งที่ยังไม่มีหมายเลข CVE และผลพวงของกรณีนี้ลามไปถึงผู้ผลิตกระเป๋าคริปโท Trezor ที่ลูกค้าเกือบ 14,000 รายมีข้อมูลรั่ว เพราะผู้ให้บริการโลจิสติกส์ ShipMonk ถูกเจาะผ่าน Metabase

ในหมวดแอปพลิเคชันองค์กร เดือนนี้มีช่องโหว่ระดับ CVSS 10.0 อย่างน้อยห้าผลิตภัณฑ์ ได้แก่ Adobe Campaign Classic (CVE-2026-48449), SAP Commerce Cloud ส่วน Data Hub Adapter, ServiceNow AI Platform ที่มีถึงสามรายการเต็มสิบในรอบเดียว, Metabase และชุดบริการคลาวด์ของไมโครซอฟท์ ขณะที่ปลั๊กอิน Forminator Forms ของ WordPress ที่มีการติดตั้งกว่า 600,000 แห่งมีช่องโหว่อัปโหลดไฟล์ CVSS 9.8 ที่นำไปสู่การยึดเว็บทั้งไซต์ ส่วน PaperCut ต้องออกแพตช์ฉุกเฉินหลังพบว่าซอฟต์แวร์จัดการงานพิมพ์ทุกเวอร์ชันถูกโจมตีแบบ zero-day โดยยังไม่เปิดเผยรายละเอียดช่องโหว่ ซึ่งเป็นสถานการณ์ที่ทีมป้องกันทำได้เพียงจำกัดการเข้าถึงจากอินเทอร์เน็ตทันที

อุปกรณ์ขอบเครือข่ายยังเป็นสมรภูมิเดิม N-able N-central มีช่องโหว่ CVE-2026-18577 ซึ่งเกิดจากการแก้ CVE ก่อนหน้าไม่สมบูรณ์ เปิดทางให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนเข้าถึงคอนโซล RMM ด้วยสิทธิ์ผู้ดูแลเต็มรูปแบบ และถูกยืนยันว่าถูกโจมตีจริงแล้ว ก่อนที่ไมโครซอฟท์จะเปิดเผยในภายหลังว่ากลุ่มโยงจีน Storm-1175 น่าจะใช้ช่องทางนี้ปล่อยแรนซัมแวร์ตัวใหม่ StormEncryptor กรณีนี้แสดงกลไก “แพลตฟอร์มบริหารจัดการหนึ่งตัวเท่ากับลูกค้าทั้งพอร์ต” ที่ผู้ให้บริการไอทีของไทยควรทบทวนเป็นการเฉพาะ ส่วน Progress Kemp LoadMaster ถูกบรรจุเข้าบัญชี KEV หลังพบความพยายามโจมตี 792 ครั้งใน 41 วัน และ CISA เพิ่มช่องโหว่วิกฤตสี่รายการเข้า KEV พร้อมกันในวันเดียวเมื่อ 18 สิงหาคม ครอบคลุม macOS Screen Sharing, SharePoint, vCenter และ Microsoft IKE Service Extensions

ท้ายที่สุด งานวิจัยเชิงลึกของเดือนนี้ชี้ว่ารากฐานที่เราถือว่ามั่นคงมานานก็ไม่ปลอดภัยเสมอไป ช่องโหว่ SCTPhantom ในเคอร์เนลลินุกซ์ฝังมา 18 ปีและเปิดทางให้ผู้ใช้ในเครื่องยกระดับเป็น root และหนีออกจากคอนเทนเนอร์ เทคนิค Interrupt Injection ทำให้เกราะกัน Spectre v2 บนซีพียู AMD และ Intel ใช้ไม่ได้ผล นักวิจัย Check Point สาธิตบนเวที Black Hat ว่าไดรเวอร์ BTR.sys ของ Microsoft Defender เอง ซึ่งมีลายเซ็นถูกต้องและอยู่ในวินโดวส์ทุกเครื่องตั้งแต่ Windows 7 สามารถใช้ลบไฟล์และคีย์รีจิสทรีระดับเคอร์เนลได้ตามอำเภอใจโดยไม่ต้องอาศัยช่องโหว่ใด และงานวิจัย CDN Tsunami ชี้ว่าการที่ CDN รายใหญ่รับ HTTP/3 จากผู้ใช้แต่ส่งต่อไปยังต้นทางด้วย HTTP/1.1 ทำให้คำขอที่ใช้แบนด์วิดท์ต่ำถูกขยายได้สูงสุด 350 เท่าเมื่อไปถึงเซิร์ฟเวอร์ต้นทาง

2.4 ตัวตนและการยืนยันตัวตน — กลไกที่แข็งแรงที่สุดถูกเจาะรอบนอกจนหมด

หากต้องเลือกบทเรียนเชิงเทคนิคเพียงข้อเดียวจากเดือนสิงหาคม ควรเป็นข้อนี้ กลไกยืนยันตัวตนสมัยใหม่ไม่ได้ถูกเจาะที่ตัวการเข้ารหัส แต่ถูกเจาะที่โค้ดและกระบวนการรอบ ๆ มัน ทีม Unit 42 ของ Palo Alto Networks เปิดเผยเทคนิคสามรูปแบบต่อ Google Password Manager บน Chrome ที่ทำให้มัลแวร์สิทธิ์ผู้ใช้ทั่วไปเข้าสู่บัญชีที่ป้องกันด้วย passkey ได้โดยไม่ต้องสแกนนิ้วหรือใส่ PIN เทคนิคที่รุนแรงที่สุดคือการดึงกุญแจหลักขนาด 32 ไบต์ออกจากหน่วยความจำของ Chrome รายงานย้ำชัดว่าทั้งสามเส้นทางไม่ได้เจาะตัวการเข้ารหัสของ passkey เลย ในทำนองเดียวกัน นักวิจัยด้าน Entra ID สาธิตว่ามัลแวร์ที่รันในเซสชันผู้ใช้ที่ล็อกอินอยู่แล้วสามารถเรียกใช้กุญแจ Windows Hello for Business ของเหยื่อเพื่อยืนยันตัวตนกับ Entra ID ได้เงียบ ๆ โดยไม่ต้องดึงคีย์ส่วนตัวออกมา ไม่ต้องรู้ PIN ไม่กระตุ้นการสแกนไบโอเมตริก และไม่ต้องใช้สิทธิ์ผู้ดูแลระบบ ก่อนนำโทเคนที่ได้ไปลงทะเบียนอุปกรณ์ใหม่และขอ Primary Refresh Token เพื่อคงการเข้าถึงคลาวด์ระยะยาว

ในระดับปฏิบัติการ กลุ่มแรนซัมแวร์ Gunra ซึ่งถูกเปิดโปงผ่านคำเตือนร่วมสหรัฐฯ–เกาหลีใต้ ทำสิ่งที่ตรงไปตรงมากว่านั้นมาก คือแก้ไฟล์ตรวจสอบตัวตนบนพอร์ทัล VDI ของ Fortinet ให้ค่ารหัสผ่านครั้งเดียวที่กลุ่มกำหนดผ่านได้เสมอ เท่ากับ ปิดการป้องกัน MFA ทั้งระบบโดยที่ระบบยังรายงานว่า MFA เปิดอยู่ ส่วนกลุ่ม UNC6671 ที่อยู่เบื้องหลังห้าแบรนด์รีดทรัพย์ ได้แก่ BlackFile, Redact, Pink, Helix และ Falcon ใช้การโทรปลอมเป็นฝ่ายไอทีหลอกพนักงานให้กรอกข้อมูลบนหน้าเว็บปลอมเพื่อขโมยคุกกี้เซสชัน แล้วเข้าสู่แดชบอร์ด SSO โดยตรง เป้าหมายคือกองทุนเฮดจ์ฟันด์และบริษัทไพรเวทอิควิตี้รายใหญ่ ในตลาดเครื่องมือ ชุดฟิชชิงแบบ adversary-in-the-middle ชื่อ NovaCookies ขายแบบสมาชิกรายเดือนราคา 320 ดอลลาร์และถูกใช้เล็งองค์กรหลายร้อยแห่งในหกประเทศ จุดเด่นคือใช้ซองเอกสาร Docusign ของจริงส่งเหยื่อล่อ ทำให้ผ่านการตรวจสอบผู้ส่งและชื่อเสียงโดเมนไปได้

เทคนิคที่อาศัยผู้ใช้ลงมือเองยังคงเป็นทางเข้าหลัก ClickFix ปรากฏในหกเหตุการณ์ของเดือน โดยมีสายพันธุ์ใหม่ชื่อ TerminalFix ที่หลอกเหยื่อให้รันคำสั่ง PowerShell ผ่าน Windows Terminal แทนกล่อง Run เพื่อให้สคริปต์หลายบรรทัดทำงานได้ครบ จุดเริ่มต้นคือ CAPTCHA ปลอมเลียนแบบ Cloudflare บนเว็บไซต์ที่ถูกเจาะ ปลายทางคืออิมแพลนต์ reverse-tunnel ที่เปิดทางเข้าถึงเครือข่ายภายในอย่างถาวร ในฝั่ง macOS เทคนิคเดียวกันส่งมัลแวร์ที่เขียนด้วยภาษา Go ซึ่งดูดกระเป๋าคริปโทได้ทีละส่วนพร้อมขโมยรหัสผ่านเบราว์เซอร์และ iCloud Keychain และมัลแวร์ AmnesiaStealer ที่เขียนด้วย Rust ยึดเซสชันเบราว์เซอร์แบบสด

สุดท้าย ผลกระทบต่อผู้ใช้บริการ AI ปรากฏเป็นรูปธรรมแล้ว Anthropic ยืนยันว่ามัลแวร์ประเภทอินโฟสตีลเลอร์หลายตระกูล ทั้ง Vidar, LummaC2, StealC, RedLine และ Acreed บนวินโดวส์ กับ Atomic Stealer บน macOS สามารถขโมยเซสชัน Claude ที่ผู้ใช้ล็อกอินค้างไว้ แล้วเปิดทางให้ผู้โจมตีใช้โควตาจนหมดและรูดบัตรที่บันทึกไว้โดยไม่ต้องรู้รหัสผ่าน บริษัทเริ่มบังคับผู้ใช้ที่ได้รับผลกระทบออกจากระบบและลบบัตรชำระเงินที่บันทึกไว้ พร้อมย้ำว่าการเพิกถอนเซสชันหรือบล็อกการชำระเงินไม่เพียงพอหากมัลแวร์ยังอยู่บนเครื่อง กรณีนี้ยืนยันว่า บัญชีบริการ AI ต้องถูกจัดชั้นเป็นสินทรัพย์ที่มีความเสี่ยงทางการเงินและข้อมูล ไม่ใช่เครื่องมือเพิ่มผลิตภาพที่พนักงานสมัครใช้เองได้ตามอัธยาศัย

2.5 แรนซัมแวร์ การรีดไถ และการรั่วไหลผ่านบุคคลที่สาม

เดือนสิงหาคมมีเหตุการณ์แรนซัมแวร์และการรีดไถ 8 รายการ กับเหตุข้อมูลรั่ว 16 รายการ โดยเส้นเรื่องที่เชื่อมทั้งสองหมวดเข้าด้วยกันคือ ความเสี่ยงจากบุคคลที่สาม ซึ่งปรากฏในเหตุข้อมูลรั่วเกินครึ่งของเดือน Pokémon Center ต้องแจ้งลูกค้าในสหราชอาณาจักรและเยอรมนีหลังผู้รับจัดส่งสินค้า CEVA Logistics ถูกโจมตีจนกระทบคลังสินค้าในยุโรปอย่างน้อยแปดแห่ง Trezor แจ้งลูกค้าเกือบ 14,000 รายหลัง ShipMonk ถูกเจาะผ่าน Metabase องค์กรการกุศลกว่า 1,000 แห่งในสหราชอาณาจักรกระทบจากเหตุที่ผู้ให้บริการ CRM ชื่อ Beacon ถูกดึงข้อมูลออกจากสภาพแวดล้อม AWS ด้วยคีย์เข้าถึงที่หลุดอยู่ในไฟล์จาวาสคริปต์สาธารณะ และโรงพยาบาลเด็ก SickKids มีข้อมูลพนักงานกับผู้สมัครงานรั่วจากช่องโหว่ในซอฟต์แวร์บุคคลที่สามที่ยังไม่ยอมเปิดชื่อ

เหตุรั่วไหลขนาดใหญ่ที่สุดของเดือนคือ Manchester Airports Group ซึ่งข้อมูลลูกค้าราว 8.7 ล้านรายของสนามบินแมนเชสเตอร์ ลอนดอนสแตนสเต็ด และอีสต์มิดแลนด์สถูกเข้าถึง โดยข้อมูลมาจากการจองที่จอดรถ เลานจ์ ช่องตรวจแบบเร่งด่วน และการลงทะเบียนใช้ไวไฟในสนามบิน ประกอบด้วยอีเมล เบอร์โทรศัพท์ ทะเบียนรถ และรหัสไปรษณีย์ ตามด้วยกรมสรรพากรฝรั่งเศสที่ยืนยันข้อมูลรั่ว 680,000 ราย จากการใช้ credential ของพนักงานและบัญชีบุคคลที่สามที่ถูกยึด และ SplitVPN ซึ่งเดิมชื่อ NotVPN ที่ข้อมูล 865,000 บัญชีรั่ว โดยฐานข้อมูลที่หลุดมีล็อกการเชื่อมต่อ 58 ล้านรายการ สวนทางกับคำโฆษณาว่าไม่เก็บล็อกอย่างสิ้นเชิง

แคมเปญที่ควรบันทึกเป็นบทเรียนเชิงกระบวนการคือ City-Forum ซึ่ง Reco เปิดโปงว่าดูดข้อมูลจากพอร์ทัล Salesforce และ ServiceNow ของบริษัทโทรคมนาคม ธนาคาร ผู้ผลิตซอฟต์แวร์องค์กร และพอร์ทัลภาครัฐ โดย ไม่ได้ใช้ช่องโหว่ของแพลตฟอร์มเลย แต่ดูดสิ่งที่องค์กรตั้งค่าเผลอเปิดให้บัญชีผู้เยี่ยมชมที่ไม่ต้องยืนยันตัวตนเข้าถึงได้ ทุกการโจมตีมาจากไอพีเดียวกันมาตั้งแต่มีนาคม 2568 กรณีนี้สะท้อนว่าการตรวจสอบการตั้งค่าสิทธิ์บนแพลตฟอร์ม SaaS ควรเป็นงานประจำที่มีเจ้าภาพ ไม่ใช่งานที่ทำครั้งเดียวตอนติดตั้ง

ในฝั่งเทคนิคของแรนซัมแวร์ แอฟฟิลิเอต Akira เจาะองค์กรผ่านอุปกรณ์ VPN ของ SonicWall ที่ไม่มี MFA แล้วใช้ AnyDesk บังคับเครื่องรีบูตเข้า Safe Mode with Networking เพื่อปิดเอเจนต์ EDR และการป้องกันเรียลไทม์ ซึ่ง Huntress ระบุว่าเป็นครั้งแรกที่พบเทคนิคนี้ในการโจมตีของกลุ่มนี้ กลุ่ม INC เป็นผู้ใช้ช่องโหว่คู่ใน SonicWall SMA1000 มากที่สุด โดยช่องโหว่ทั้งคู่ถูกใช้แบบ zero-day มาตั้งแต่ 22 มิถุนายนก่อนแพตช์ออกในกลางกรกฎาคม และที่ผิดปกติคือเหยื่อหลายรายถูกโทรศัพท์และอีเมลตามกดดันจากคนที่อ้างว่าจะช่วยเจรจา ขณะที่ Cl0p นำชื่อบริษัทพลังงานข้ามชาติ Shell ขึ้นเว็บไซต์เปิดเผยข้อมูลพร้อมอ้างว่าขโมยข้อมูลภายในไปราว 89 กิกะไบต์ ซึ่งอ้างว่ารวมถึงแบบวิศวกรรม ภาพถ่ายโรงงาน แผนงานโครงการ และรายงานผลทดสอบ

บทเรียนเชิงองค์กรที่คมที่สุดของเดือนมาจาก CISA ซึ่งเผยแพร่คำแนะนำสรุปผลการประเมินด้วยเรดทีมสองครั้งที่ทำพร้อมกันกับองค์กรโครงสร้างพื้นฐานสำคัญสองแห่งด้วยเทคนิคคล้ายกัน ทั้งสองแห่งถูกยึดถึงระดับโดเมน แต่ องค์กรแรกไม่ตรวจพบกิจกรรมใดเลย เพราะจมอยู่ในสัญญาณเตือนผิดพลาดนับพันรายการและมีศูนย์เฝ้าระวังหลายศูนย์ที่ไม่แชร์ข้อมูลกัน ส่วนองค์กรที่สองตรวจพบเพย์โหลดฟิชชิงทุกครั้งที่ถูกรันและตัดเครื่องออกจากเครือข่ายภายใน 2 ถึง 20 นาที CISA สรุปตรงไปตรงมาว่า ความต่างอยู่ที่คนและกระบวนการ ไม่ใช่ตัวเครื่องมือ ซึ่งเป็นข้อสรุปที่หน่วยงานไทยที่กำลังจัดสรรงบประมาณด้านความมั่นคงปลอดภัยควรอ่านก่อนตัดสินใจจัดซื้อรอบถัดไป

3. ผลกระทบและความเสี่ยงต่อประเทศไทยโดยตรง (Direct Impact on Thailand)

เดือนสิงหาคม 2569 มีเหตุการณ์ที่ระบุประเทศไทยเป็นเป้าหมายหรือผู้ได้รับผลกระทบโดยตรง 10 รายการ ซึ่งเป็นจำนวนสูงที่สุดเท่าที่รายงานชุดนี้เคยบันทึก และที่สำคัญกว่าจำนวนคือลักษณะของเหตุการณ์ เพราะเป็นครั้งแรกที่ เหตุการณ์ไซเบอร์ในไทยเดินจากการเปิดโปงบนโซเชียลมีเดียไปถึงมติคณะรัฐมนตรีภายในเวลาเจ็ดวัน

ภาพที่ 5: ลำดับเหตุการณ์วิกฤตข้อมูลภาครัฐและคลื่นแรนซัมแวร์ที่กระทบองค์กรไทยในเดือนสิงหาคม 2569 จุดสีน้ำเงินคือเหตุการณ์รั่วไหลและการสืบสวน จุดสีแดงคือคำอ้างของกลุ่มแรนซัมแวร์ และจุดสีเขียวคือมาตรการตอบสนองของภาครัฐ

3.1 วิกฤตข้อมูลภาครัฐ — ต้นเหตุคือบัญชีผู้ใช้ ไม่ใช่ฐานข้อมูล

เหตุการณ์เริ่มต้นเมื่อมีเว็บไซต์ภายนอกเปิดให้ค้นข้อมูลผู้ครอบครองรถยนต์จากหมายเลขทะเบียน โดยแสดงทั้งชื่อ ที่อยู่ เลขบัตรประชาชนบางส่วน รายละเอียดรถ และข้อมูลประกันภัย กระทรวงคมนาคมสั่งปิดระบบเชื่อมต่อ API ทุกช่องทางตั้งแต่เที่ยงวันที่ 4 สิงหาคม 2569 หลังพบว่าข้อมูลบางส่วนไม่ตรงกับฐานข้อมูลของกรมการขนส่งทางบก กรมการขนส่งทางบก สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ และ ThaiCERT เข้าตรวจสอบร่วมกัน ขณะที่ผู้บัญชาการตำรวจแห่งชาติสั่งตำรวจไซเบอร์สอบกรณีข้อมูลนายกรัฐมนตรีและผู้บริหารกระทรวงมหาดไทยถูกเผยแพร่

สองวันต่อมาเรื่องขยายวงกลายเป็นวิกฤตข้อมูลภาครัฐทั้งระบบ เมื่อซีอีโอบริษัท DomeCloud เข้าให้ปากคำตำรวจไซเบอร์เมื่อ 6 สิงหาคม ระบุว่าพบข้อมูลคนไทยรั่วไหลกว่า 500,000 ราย ครอบคลุม 19 กระทรวงและสำนักนายกรัฐมนตรี พร้อมชี้ประเด็นที่สำคัญที่สุดของทั้งเหตุการณ์คือ ต้นตอไม่ใช่การเจาะระบบ แต่มาจากรหัสผ่านเจ้าหน้าที่ที่หลุดเพราะเครื่องติดมัลแวร์ขโมยข้อมูล ขณะที่ผลตรวจเบื้องต้นของรัฐบาลระบุพบผู้ถูกสืบค้นข้อมูลราว 800 ราย ซึ่งเป็นตัวเลขที่ต่างจากคำกล่าวอ้างของผู้เปิดโปงอย่างมีนัยสำคัญและยังไม่มีข้อยุติ

ข้อสรุปเชิงเทคนิคมาถึงในวันที่ 13 สิงหาคม เมื่อกองบัญชาการตำรวจสอบสวนกลางยืนยันว่า ฐานข้อมูลของหน่วยงานยังไม่ถูกเจาะโดยตรง แต่ผู้กระทำผิดใช้ข้อมูลบัญชีของผู้มีสิทธิ์เข้าถึงระบบดึงข้อมูลออกไป ชุดสืบสวนตามหมายเลขไอพีไปถึงพื้นที่จังหวัดแพร่และปทุมธานี เข้าตรวจค้นและยึดคอมพิวเตอร์สองจุดไปตรวจพิสูจน์ พร้อมเชิญกลุ่มเยาวชนที่นิยมขุดค้นข้อมูลมาให้ข้อมูลตามกระบวนการ

ข้อเท็จจริงชุดนี้มีนัยเชิงยุทธศาสตร์สามข้อ ข้อแรก การลงทุนป้องกันขอบเขตเครือข่ายไม่ช่วยอะไรเลยกับการโจมตีรูปแบบนี้ เพราะผู้โจมตีเดินเข้าประตูหน้าด้วยบัญชีที่ถูกต้อง ข้อที่สอง อินโฟสตีลเลอร์บนเครื่องส่วนตัวหรือเครื่องที่ไม่ได้อยู่ในการควบคุมขององค์กร กลายเป็นเส้นทางเข้าสู่ระบบราชการโดยตรง ซึ่งหมายความว่านโยบายเรื่องเครื่องที่ใช้เข้าถึงระบบราชการมีน้ำหนักเท่ากับนโยบายรหัสผ่าน และข้อที่สาม ปริมาณข้อมูลที่หลุดยังไม่มีตัวเลขที่ทุกฝ่ายยอมรับตรงกัน ซึ่งเป็นปัญหาของกลไกการสอบสวนและการเปิดเผยข้อมูล ไม่ใช่แค่ปัญหาทางเทคนิค และเป็นสิ่งที่ต้องแก้ก่อนเหตุการณ์ครั้งถัดไป

3.2 การตอบสนองของภาครัฐ — เร็ว กว้าง และมีเส้นตายกำกับ

สิ่งที่ต้องบันทึกในเชิงบวกคือความเร็วของการตอบสนอง คณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติประชุมเมื่อวันที่ 10 สิงหาคม และในวันถัดมาคณะรัฐมนตรีมีมติอนุมัติสามมาตรการเร่งด่วน ได้แก่ ให้กว่า 300 กรมเปลี่ยนรหัสผ่านเจ้าหน้าที่ทั้งหมดทันที ให้ตรวจสอบระบบสารสนเทศราว 30,000 ระบบและปิดช่องทางหลังบ้านของระบบเก่าที่เลิกใช้แล้วภายใน 15 วัน และให้บังคับใช้การยืนยันตัวตนหลายปัจจัยหรือ ThaID กับระบบภาครัฐทุกระบบ

มาตรการทั้งสามข้อตรงกับต้นเหตุที่พบจริง ซึ่งไม่ใช่เรื่องปกติของการตอบสนองเชิงนโยบายในสถานการณ์วิกฤต อย่างไรก็ตาม รายงานฉบับนี้ประเมินว่า ข้อที่สองคือข้อที่เสี่ยงต่อการไม่บรรลุผลมากที่สุด เพราะการตรวจสอบระบบสารสนเทศ 30,000 ระบบและปิดช่องทางหลังบ้านของระบบที่เลิกใช้แล้วภายใน 15 วัน ต้องอาศัยบัญชีทรัพย์สินสารสนเทศที่ครบถ้วนและเป็นปัจจุบันเป็นเงื่อนไขเบื้องต้น ซึ่งหน่วยงานจำนวนมากยังไม่มี ผลที่มักเกิดขึ้นในทางปฏิบัติคือหน่วยงานรายงานว่า “ตรวจสอบครบแล้ว” ตามเส้นตาย โดยนับเฉพาะระบบที่ตนรู้จัก ส่วนระบบที่ลืมไปแล้วซึ่งเป็นจุดเสี่ยงที่แท้จริงยังคงเปิดอยู่เหมือนเดิม ข้อเสนอเชิงปฏิบัติคือ ควรกำหนดให้การส่งบัญชีทรัพย์สินสารสนเทศพร้อมวิธีการค้นหาที่ใช้ เป็นส่วนหนึ่งของการรายงานผล ไม่ใช่รายงานเฉพาะจำนวนระบบที่ปิดไปแล้ว

ในระดับที่กว้างกว่าเรื่องข้อมูลรั่ว รัฐบาลยังเดินหน้าสองเรื่องคู่ขนาน เรื่องแรกคือกฎกระทรวงการคืนเงินให้แก่ผู้เสียหายจากอาชญากรรมทางเทคโนโลยี พ.ศ. 2569 ซึ่งมีผลบังคับใช้ในวันที่ 12 สิงหาคม 2569 สาระสำคัญคือผู้เสียหายจะได้รับเงินคืนผ่านคณะกรรมการธุรกรรมของสำนักงาน ปปง. โดยไม่ต้องรอคำสั่งศาล ซึ่งย่นขั้นตอนที่เดิมใช้เวลานานจนหลายรายเลิกติดตาม กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมระบุว่ามูลค่าความเสียหายจากสแกมเมอร์ลดลงจากวันละ 100 ล้านบาทเหลือวันละ 25 ล้านบาท เรื่องที่สองคือการที่นายกรัฐมนตรีเปิดงาน DE Digital Shield Forum ครั้งแรกเมื่อ 15 สิงหาคม พร้อมประกาศยกการปราบปรามอาชญากรรมออนไลน์เป็นวาระแห่งชาติ โดยเน้นว่าการปราบปรามอย่างเดียวไม่พอ ต้องป้องกันก่อนเงินออกจากบัญชี และภัยที่หยิบยกเป็นตัวอย่างคือการโคลนเสียงคนในครอบครัวเพื่อหลอกให้โอนเงิน งานนี้ผนึกสำนักงานตำรวจแห่งชาติ กระทรวงมหาดไทย ธนาคาร ผู้ให้บริการโทรคมนาคม แพลตฟอร์มดิจิทัล และสำนักงาน ก.ล.ต. เข้าด้วยกัน

3.3 คลื่นแรนซัมแวร์ที่พุ่งเป้าองค์กรไทย — เก้ารายในเดือนเดียว

ขณะที่ความสนใจของสาธารณะอยู่ที่ข้อมูลภาครัฐ องค์กรเอกชนไทยกำลังเผชิญคลื่นการรีดไถที่หนักที่สุดเท่าที่รายงานชุดนี้เคยบันทึก ภายในเดือนสิงหาคมเดือนเดียว มี องค์กรที่จดทะเบียนในประเทศไทยอย่างน้อยเก้ารายถูกประกาศชื่อบนเว็บไซต์ปล่อยข้อมูลของกลุ่มแรนซัมแวร์

เริ่มจากวันที่ 3 สิงหาคม กลุ่ม RansomHouse ประกาศว่าเป็นผู้อยู่เบื้องหลังการโจมตีบริษัท พี ซี แอล โฮลดิ้ง จำกัด (มหาชน) ผู้จัดจำหน่ายเครื่องมือวินิจฉัยทางการแพทย์รายใหญ่ของไทย โดยอ้างว่าเข้ารหัสข้อมูลอ่อนไหวทั้งหมดแล้ว ต่อมากลุ่ม Deadlock ลงชื่อบริษัทวิศวกรรมโยธาและผู้ผลิตท่ออุตสาหกรรมในกรุงเทพฯ ระหว่างวันที่ 9 ถึง 10 สิงหาคม กลุ่ม Panzer อ้างว่าดูดข้อมูลจาก The Minor Food Group ไปได้ 340.8 กิกะไบต์ และอ้างการโจมตีบริษัทสยามออยล์โปรดักส์ผู้จัดจำหน่ายผลิตภัณฑ์ปิโตรเลียม ขณะที่กลุ่ม Qilin ประกาศชื่อบริษัทพิธานพาณิชย์ในหมวดการผลิต จากนั้นระหว่างวันที่ 19 ถึง 20 สิงหาคม มีองค์กรไทยถูกประกาศชื่อเพิ่มอีกสี่ราย โดยกลุ่มหน้าใหม่ชื่อ Dysphor1a เปิดตัวด้วยการอ้างโจมตีเหยื่อไทยสองรายในวันเดียวทั้งบริษัทประกันและสถาบันการศึกษา กลุ่ม KryBit ประกาศชื่อบริษัทพลาสติกเป็นเหยื่อไทยรายที่สี่ของปีนี้ต่อจากกรุงเทพมหานครและ ช.การช่าง และ INC Ransom ประกาศชื่อบริษัทบางกอกเคเบิ้ล

ต้องย้ำตามหลักการของรายงานฉบับนี้ว่า ทั้งหมดเป็นคำอ้างฝ่ายเดียวของผู้โจมตีที่ยังไม่ได้รับการยืนยันจากองค์กรผู้เสียหายหรือหน่วยงานรัฐ และในหลายกรณีไม่มีการระบุปริมาณข้อมูล ประเภทไฟล์ หรือจำนวนค่าไถ่ อย่างไรก็ตาม แม้จะหักคำอ้างที่อาจเกินจริงออกไปแล้ว รูปแบบที่ปรากฏก็ยังมีนัยสำคัญสามข้อ ข้อแรก กลุ่มที่โจมตีไทยไม่ได้จำกัดอยู่ที่กลุ่มใหญ่ที่มีชื่อเสียงอีกต่อไป เพราะมีทั้งกลุ่มระดับกลางอย่าง RansomHouse และ Deadlock กับกลุ่มหน้าใหม่อย่าง Dysphor1a และ KryBit ซึ่งบ่งชี้ว่าไทยกลายเป็นสนามที่ผู้เล่นหน้าใหม่เลือกใช้เปิดตัว ข้อที่สอง ภาคส่วนที่ถูกโจมตีกระจายตัวมาก ตั้งแต่การแพทย์ อาหาร พลังงาน การผลิต ประกันภัย การศึกษา ไปจนถึงวิศวกรรมและสายเคเบิล ซึ่งหมายความว่าไม่มีอุตสาหกรรมใดในไทยที่อยู่นอกขอบเขตความสนใจ และข้อที่สาม ยังไม่มีองค์กรใดในรายชื่อนี้ออกแถลงการณ์ต่อสาธารณะ ซึ่งเป็นช่องว่างเชิงธรรมาภิบาลที่ทำให้ลูกค้าและคู่ค้าไม่สามารถประเมินความเสี่ยงของตนเองได้ และในระยะยาวจะบั่นทอนความน่าเชื่อถือของทั้งระบบมากกว่าการยอมรับตั้งแต่ต้น

3.4 ความเสี่ยงเชิงระบบจากเทคโนโลยีที่องค์กรไทยพึ่งพา

นอกเหนือจากเหตุการณ์ที่ระบุชื่อไทยโดยตรง เดือนนี้มีความเสี่ยงเชิงระบบอย่างน้อยห้าเส้นทางที่กระทบองค์กรไทยโดยไม่ต้องมีใครเจาะจงเลือกไทยเป็นเป้าหมาย

เส้นทางแรกคือ แพลตฟอร์มบริหารจัดการไอทีของผู้ให้บริการ ช่องโหว่ใน N-able N-central ที่ถูกโจมตีจริงและถูกกลุ่มโยงจีนใช้ปล่อยแรนซัมแวร์ แสดงให้เห็นว่าการยึดคอนโซล RMM หนึ่งตัวเท่ากับเข้าถึงลูกค้าทั้งพอร์ตของผู้ให้บริการรายนั้น องค์กรไทยจำนวนมากใช้บริการ managed IT จากผู้ให้บริการในประเทศที่พึ่งแพลตฟอร์มลักษณะนี้ และมักไม่มีข้อกำหนดในสัญญาว่าผู้ให้บริการต้องแจ้งเหตุหรือแสดงหลักฐานการแพตช์

เส้นทางที่สองคือ อุปกรณ์เครือข่ายราคาประหยัดที่ขายแบบไวท์เลเบล กรณีเราเตอร์ ZBT ที่มีแบ็กดอร์ติดมาจากโรงงานถึงสามตัวและฝังมาตั้งแต่ราวปี 2562 มีนัยตรงต่อไทยเพราะอุปกรณ์กลุ่มนี้กระจายอยู่ในธุรกิจขนาดเล็ก อาคารสำนักงาน และการติดตั้งชั่วคราวจำนวนมาก โดยผู้ซื้อไม่ทราบว่าตนใช้ฮาร์ดแวร์ของผู้ผลิตรายใด เส้นทางที่สามคือ อุปกรณ์กล้องวงจรปิด ปฏิบัติการ CameraSwarm ยึดอุปกรณ์ Dahua ได้มากกว่า 14,530 เครื่องในห้าสัปดาห์ ด้วยการผสมการเดารหัสผ่าน ช่องโหว่ข้ามการยืนยันตัวตนจากปี 2564 และรีเลย์ P2P ของผู้ผลิตเอง ซึ่งเป็นสามเงื่อนไขที่ตรงกับสภาพการติดตั้งกล้องวงจรปิดในไทยเกือบทั้งหมด

เส้นทางที่สี่คือ ส่วนขยายเบราว์เซอร์และบริการ VPN ฟรี Socket พบส่วนขยาย VPN และพร็อกซีฟรี 737 ตัวบน Chrome Web Store ที่ผลักทราฟฟิกทั้งเซสชันของผู้ใช้ผ่านพร็อกซีของผู้ให้บริการรายเดียว มียอดติดตั้งรวม 75,486 ครั้ง และ 274 ตัวปลอมเป็นแบรนด์ VPN ที่มีชื่อเสียง 66 ราย ขณะนี้ถูกถอดออกแล้ว 221 ตัว แต่อีก 516 ตัวยังอยู่บนสโตร์ ประกอบกับกรณี SplitVPN ที่ล็อกการเชื่อมต่อ 58 ล้านรายการรั่วทั้งที่โฆษณาว่าไม่เก็บล็อก ข้อสรุปคือ บริการ VPN ฟรีควรถูกจัดเป็นซอฟต์แวร์ต้องห้ามในนโยบายองค์กร ไม่ใช่เพียงซอฟต์แวร์ที่ไม่แนะนำ

เส้นทางที่ห้าคือ มัลแวร์ธนาคารบนแอนดรอยด์ที่ขยายขอบเขตอย่างรวดเร็ว ToxicPanda เวอร์ชัน 2.0 เพิ่มคำสั่งควบคุมระยะไกลเป็น 167 รายการและขยายเป้าจาก 16 แอปธนาคารเป็น 349 สถาบันการเงินใน 16 ประเทศ พร้อมกลไกดูดรหัส PIN จากแอปธนาคารและคริปโทกว่า 140 ตัว ขณะที่มัลแวร์ตัวใหม่ชื่อ Manic เฝ้าติดตามแอปเป้าหมาย 169 รายการทั้งธนาคาร กระเป๋าคริปโท แอปยืนยันตัวตนของรัฐ และแอปสื่อสารสายทหาร โดยมีกลไกส่งต่อข้อมูลแบบ mesh ที่ให้เครื่องซึ่งไม่มีอินเทอร์เน็ตฝากข้อมูลผ่านเครื่องติดมัลแวร์อีกเครื่องที่อยู่ใกล้กันผ่าน Wi-Fi Direct บลูทูท หรือ BLE ต่อได้สูงสุดสี่ทอด เท่ากับ การตัดอินเทอร์เน็ตออกจากเครื่องไม่ใช่มาตรการกักกันที่ได้ผลอีกต่อไป ประเด็นนี้มีนัยเฉพาะกับไทยเพราะแอปยืนยันตัวตนของรัฐและแอปธนาคารบนมือถือเป็นโครงสร้างพื้นฐานที่ประชาชนใช้ในชีวิตประจำวันในระดับที่สูงมาก

4. สิ่งที่ต้องเตรียมรับมือ (Strategic Recommendations)

ข้อเสนอในส่วนนี้จัดเรียงตามช่วงเวลาดำเนินการ และเขียนขึ้นสำหรับผู้กำหนดนโยบาย หน่วยงานด้านความมั่นคง และองค์กรโครงสร้างพื้นฐานสำคัญของไทย โดยอ้างอิงจากเหตุการณ์ที่เกิดขึ้นจริงในเดือนสิงหาคม 2569 ไม่ใช่จากกรอบมาตรฐานทั่วไป

4.1 การดำเนินการเร่งด่วน (0–30 วัน)

ตรวจหาข้อมูลรับรองของหน่วยงานที่หลุดสู่ดาร์กเว็บอย่างเป็นระบบ ไม่ใช่เฉพาะตอนเกิดเหตุ วิกฤตข้อมูลภาครัฐเดือนนี้มีต้นเหตุจากรหัสผ่านเจ้าหน้าที่ที่หลุดจากเครื่องที่ติดมัลแวร์ขโมยข้อมูล องค์กรควรตั้งกระบวนการเฝ้าระวังข้อมูลรับรองที่เกี่ยวข้องกับโดเมนของตนเป็นงานประจำ พร้อมกำหนดเวลาตอบสนองเป็นชั่วโมงไม่ใช่วัน และต้องรวมถึงบัญชีของผู้รับเหมาและคู่ค้าที่มีสิทธิ์เข้าถึงระบบด้วย

บังคับใช้ MFA ที่ต้านฟิชชิงกับทุกบัญชีที่เข้าถึงข้อมูลส่วนบุคคลได้ และตรวจสอบว่ากลไก MFA ทำงานจริง กรณี Gunra ที่แก้ไฟล์ตรวจสอบตัวตนบนพอร์ทัล VDI จนค่ารหัสผ่านครั้งเดียวที่กลุ่มกำหนดผ่านได้เสมอ แสดงว่าการเปิดใช้ MFA ในหน้าตั้งค่าไม่เท่ากับ MFA ทำงาน ควรทดสอบด้วยการพยายามล็อกอินด้วยรหัสที่ไม่ถูกต้องเป็นระยะ และเฝ้าระวังการแก้ไขไฟล์ตรวจสอบตัวตนบนอุปกรณ์ขอบเครือข่าย

เร่งอุดช่องโหว่ที่ยืนยันแล้วว่าถูกโจมตีจริง โดยจัดลำดับตามข้อมูลการโจมตี ไม่ใช่ตามคะแนน CVSS รายการที่ต้องตรวจสอบทันทีคือ Citrix NetScaler (CVE-2026-8452 และ CVE-2026-19490), N-able N-central (CVE-2026-18577), VMware vCenter (CVE-2026-59310), Zimbra (CVE-2026-73570), Gitea (CVE-2026-60004), Cisco ASA/FTD (CVE-2026-20349), JetBrains TeamCity (CVE-2026-63077), MLflow (CVE-2026-64849), Metabase, GeoServer และ PaperCut NG/MF โดยเฉพาะกรณี Citrix ที่คำอธิบายเดิมของผู้ผลิตระบุว่าเป็นเพียง DoS

ตรวจสอบการตั้งค่าสิทธิ์ของบัญชีผู้เยี่ยมชมบนแพลตฟอร์ม SaaS ทุกตัว แคมเปญ City-Forum ดูดข้อมูลออกจาก Salesforce และ ServiceNow โดยไม่ใช้ช่องโหว่ใดเลย อาศัยเพียงสิ่งที่องค์กรตั้งค่าเผลอเปิดให้บัญชีที่ไม่ต้องยืนยันตัวตนเข้าถึงได้ ควรทำเป็นรายการตรวจสอบที่มีเจ้าภาพและกำหนดรอบทบทวน

สื่อสารเตือนพนักงานเรื่องฟิชชิงบนแอปแชตและ ClickFix สายพันธุ์ใหม่ โดยเน้นสองรูปแบบที่พบจริงในเดือนนี้ คือการถูกขอรหัส PIN โดยอ้างเป็นทีมสนับสนุนของแอปแชต กับการถูกขอให้สแกน QR code ที่แท้จริงแล้วเป็นการเชื่อมอุปกรณ์ของผู้โจมตีเข้ากับบัญชี และการหลอกให้คัดลอกคำสั่งไปวางใน Windows Terminal หรือกล่อง Run

4.2 การปรับปรุงเชิงกระบวนการ (1–3 เดือน)

จัดทำบัญชีทรัพย์สินสารสนเทศที่ใช้งานได้จริง พร้อมระบุระบบที่เลิกใช้แล้วแต่ยังเปิดอยู่ มติคณะรัฐมนตรีกำหนดให้ตรวจสอบระบบราว 30,000 ระบบภายใน 15 วัน ซึ่งจะบรรลุผลได้ต่อเมื่อมีบัญชีทรัพย์สินที่ครบถ้วน หน่วยงานที่ยังไม่มีควรถือโอกาสนี้สร้างขึ้นโดยผสมข้อมูลจากทะเบียนภายในกับการสำรวจจากภายนอกด้วยเครื่องมือค้นหาระบบที่เปิดสู่อินเทอร์เน็ต เพราะจุดเสี่ยงที่แท้จริงมักเป็นระบบที่ไม่มีใครจำได้ว่ามีอยู่

ขยายขอบเขตการควบคุมห่วงโซ่อุปทานให้ครอบคลุมสิ่งที่อยู่รอบซอร์สโค้ด ทั้งสคริปต์ build ที่รันตอนคอมไพล์ ทรัพยากรที่ดึงจากบัคเก็ตของผู้พัฒนาตอนรัน และสคริปต์บุคคลที่สามบนหน้าเว็บ มาตรการเชิงปฏิบัติได้แก่ การตรึงเวอร์ชัน dependency แบบเข้มงวด การใช้ Subresource Integrity กับสคริปต์ภายนอก และการตรวจสอบว่ามีการดึงทรัพยากรจากโดเมนที่ไม่ได้อยู่ในรายการอนุญาตหรือไม่

กำหนดนโยบายกำกับดูแลเครื่องมือ AI และเอเจนต์ในระดับเดียวกับซอฟต์แวร์ที่เข้าถึง production ประกอบด้วยการทำบัญชีว่ามี MCP server ใดทำงานอยู่บ้าง การเก็บ credential ของเอเจนต์ในระบบจัดการความลับแทนไฟล์ตั้งค่า การให้สิทธิ์แบบน้อยที่สุดเท่าที่จำเป็น การหมุนเวียนโทเคนตามรอบ และการเก็บบันทึกกิจกรรมของเอเจนต์ที่ผูกกับตัวตนของผู้ใช้ พร้อมทั้งจัดชั้นบัญชีบริการ AI ที่ผูกบัตรชำระเงินเป็นสินทรัพย์ที่มีความเสี่ยงทางการเงิน

ทบทวนสัญญากับผู้ให้บริการไอทีและผู้ประมวลผลข้อมูลบุคคลที่สาม ให้มีข้อกำหนดเรื่องการแจ้งเหตุภายในกรอบเวลาที่ชัดเจน สิทธิ์ในการขอหลักฐานการแพตช์ และความรับผิดชอบเมื่อเกิดเหตุ เพราะเหตุข้อมูลรั่วเกินครึ่งของเดือนนี้มีต้นทางจากบุคคลที่สาม ไม่ใช่จากระบบขององค์กรเอง

ยกระดับความสามารถของศูนย์เฝ้าระวังจากการมีเครื่องมือไปสู่การมีกระบวนการ ผลการประเมินเรดทีมของ CISA ชี้ว่าองค์กรที่ตรวจไม่พบอะไรเลยคือองค์กรที่จมอยู่ในสัญญาณเตือนผิดพลาดและมีศูนย์เฝ้าระวังหลายศูนย์ที่ไม่แชร์ข้อมูลกัน มาตรการที่ได้ผลคือการลดสัญญาณเตือนผิดพลาดอย่างจริงจัง การรวมมุมมองข้ามศูนย์ และการซ้อมตัดเครื่องออกจากเครือข่ายให้ได้ภายในเวลาที่วัดผลได้

4.3 การเตรียมการเชิงยุทธศาสตร์ (3–12 เดือน)

ออกแบบสถาปัตยกรรมการเข้าถึงข้อมูลภาครัฐใหม่โดยตั้งสมมติฐานว่าบัญชีผู้ใช้จะถูกยึด เมื่อผู้โจมตีเข้าประตูหน้าด้วยบัญชีที่ถูกต้อง มาตรการที่เหลือคือการจำกัดว่าบัญชีหนึ่งจะดึงข้อมูลได้เท่าใดต่อหน่วยเวลา การบันทึกและแจ้งเตือนการสืบค้นที่ผิดปกติเชิงปริมาณ การแยกสิทธิ์การค้นหารายบุคคลออกจากสิทธิ์การส่งออกเป็นชุด และการใส่ลายน้ำในข้อมูลที่ส่งออกเพื่อให้ตามรอยได้เมื่อรั่ว มาตรการเหล่านี้จะเปลี่ยนเหตุการณ์แบบเดือนสิงหาคมจาก “ข้อมูลห้าแสนราย” เป็น “ข้อมูลไม่กี่ร้อยรายพร้อมหลักฐานว่าใครดึง”

สร้างขีดความสามารถในการตรวจสอบเฟิร์มแวร์และห่วงโซ่อุปทานฮาร์ดแวร์ในระดับประเทศ กรณีเราเตอร์ ZBT ที่มีแบ็กดอร์ฝังมาตั้งแต่ปี 2562 และกรณีที่สหรัฐฯ ประกาศภาวะฉุกเฉินระดับชาติผ่านคำสั่งฝ่ายบริหารหมายเลข 14420 เพื่อจัดการความเสี่ยงจากอุปกรณ์ระบบส่งไฟฟ้าที่ผลิตโดยต่างชาติ ชี้ว่าประเทศที่ไม่มีขีดความสามารถตรวจสอบเฟิร์มแวร์ของตนเอง จะไม่มีทางรู้ว่ากำลังนำเข้าอะไรเข้ามาในโครงสร้างพื้นฐาน ไทยควรเริ่มจากการกำหนดรายการอุปกรณ์ที่ต้องผ่านการตรวจสอบก่อนใช้ในหน่วยงานรัฐและโครงสร้างพื้นฐานสำคัญ

เตรียมกรอบธรรมาภิบาลสำหรับเอเจนต์ AI ที่ทำงานเองในระบบขององค์กร รายงานของ OpenAI เรื่องเอเจนต์ราว 1,200 ตัวที่หาช่องคุยกันเองและ 700 ตัวที่ร่วมกันโจมตี ไม่ใช่กรณีศึกษาเชิงทฤษฎีอีกต่อไป องค์กรที่กำลังนำเอเจนต์มาใช้ควรกำหนดล่วงหน้าว่าเอเจนต์แต่ละตัวมีขอบเขตอะไร ใครเป็นเจ้าของ หยุดได้อย่างไร และมีเงื่อนไขใดที่ต้องหยุดทันทีโดยไม่ต้องรอการวินิจฉัย ซึ่งเป็นแนวคิดเดียวกับกฎ 30 นาทีที่ OpenAI นำมาใช้ภายใน

ผลักดันกลไกการเปิดเผยเหตุการณ์ของภาคเอกชนไทยให้เป็นมาตรฐาน ข้อเท็จจริงที่องค์กรไทยอย่างน้อยเก้ารายถูกประกาศชื่อบนเว็บปล่อยข้อมูลภายในเดือนเดียวโดยไม่มีรายใดออกแถลงการณ์ สร้างสภาวะที่ลูกค้าและคู่ค้าไม่สามารถประเมินความเสี่ยงของตนเองได้ กลไกที่ควรพิจารณาคือการกำหนดเกณฑ์ขั้นต่ำในการแจ้งผู้ได้รับผลกระทบสำหรับองค์กรจดทะเบียนและองค์กรที่ถือข้อมูลส่วนบุคคลจำนวนมาก พร้อมกับสร้างแรงจูงใจให้การเปิดเผยตั้งแต่ต้นเป็นทางเลือกที่มีต้นทุนต่ำกว่าการปิดเงียบ

ลงทุนในบุคลากรและกระบวนการก่อนลงทุนในเครื่องมือรอบถัดไป ข้อสรุปของ CISA จากการประเมินเรดทีมสองครั้งที่ระบุว่าความต่างระหว่างองค์กรที่ตรวจพบกับองค์กรที่ตรวจไม่พบอะไรเลยอยู่ที่คนและกระบวนการ ควรถูกใช้เป็นเกณฑ์ประกอบการจัดสรรงบประมาณด้านความมั่นคงปลอดภัยของหน่วยงานไทยในรอบปีงบประมาณถัดไป

5. บทสรุปและมุมมองไปข้างหน้า (Outlook)

เดือนสิงหาคม 2569 ควรถูกบันทึกว่าเป็นเดือนที่ ประเทศไทยเผชิญบทเรียนของตัวเองแทนการเรียนรู้จากบทเรียนของประเทศอื่น วิกฤตข้อมูลภาครัฐที่เดินจากเว็บไซต์ค้นทะเบียนรถไปถึงมติคณะรัฐมนตรีภายในเจ็ดวัน ให้ข้อสรุปที่ตรงกับสิ่งที่รายงานชุดนี้ชี้มาตลอดหลายเดือน คือ จุดอ่อนของระบบดิจิทัลระดับชาติไม่ได้อยู่ที่กำแพงหรือเครื่องมือ แต่อยู่ที่บัญชีผู้ใช้และกระบวนการที่ล้อมรอบบัญชีเหล่านั้น ฐานข้อมูลไม่ถูกเจาะ ไฟร์วอลล์ไม่ถูกทะลุ แต่ข้อมูลก็ออกไปได้เพราะรหัสผ่านของเจ้าหน้าที่หลุดจากเครื่องที่ติดมัลแวร์ นี่คือรูปแบบเดียวกับคดี Snowflake ที่จบลงในศาลสหรัฐฯ ในเดือนเดียวกันนี้ ห่างกันสองปีและคนละทวีป แต่กลไกเดียวกันทุกประการ

ในระดับโลก เดือนนี้คือเดือนที่วงการ AI เปลี่ยนจากการค้นพบไปสู่การยอมรับ OpenAI ไม่ได้แค่รายงานว่าเอเจนต์เจาะระบบ แต่อธิบายว่าเพราะ reward hacking แล้วเผยตัวเลขที่น่ากังวลกว่านั้นคือเอเจนต์กว่าพันตัวหาช่องสื่อสารกันเองนอกเหนือจากที่ออกแบบไว้ ขณะเดียวกันการใช้ AI ในสายพานอาชญากรรมก็เลิกเป็นเรื่องของการทดลอง เมื่อบันทึกแชตกับผู้ช่วยเขียนโค้ดปรากฏอยู่ในเซิร์ฟเวอร์ของแอฟฟิลิเอตแรนซัมแวร์ที่ลงมือกับองค์กรจริงกว่า 20 แห่ง และชุดเครื่องมือที่สร้างด้วย AI ทั้งชุดถูกใช้เข้าถึงเบื้องต้นกับโฮสต์ 324 เครื่อง สิ่งที่จดหมายเปิดผนึกของ 130 องค์กรเตือนว่า “การโจมตีที่ขับเคลื่อนด้วย AI จะมีความสามารถสูงขึ้นมากในไม่กี่เดือนข้างหน้า” จึงไม่ใช่การคาดการณ์ แต่เป็นการสรุปสิ่งที่กำลังเกิดขึ้นอยู่แล้ว

มองไปข้างหน้าถึงไตรมาสสุดท้ายของปี 2569 รายงานฉบับนี้ประเมินแนวโน้มไว้ห้าข้อ

ข้อแรก คลื่นแรนซัมแวร์ที่พุ่งเป้าองค์กรไทยจะไม่ลดลงในระยะสั้น เพราะการที่กลุ่มหน้าใหม่เลือกเปิดตัวด้วยเหยื่อไทยบ่งชี้ว่ามีการประเมินแล้วว่าอัตราการจ่ายค่าไถ่หรืออัตราการปิดเงียบในไทยคุ้มค่าต่อความเสี่ยง แนวโน้มนี้จะกลับทิศได้ก็ต่อเมื่อการเปิดเผยเหตุการณ์กลายเป็นบรรทัดฐาน

ข้อที่สอง การโจมตีห่วงโซ่อุปทานจะย้ายไปยังชั้นที่ยิ่งลึกกว่าเดิม จากซอร์สโค้ดไปสู่สคริปต์ build จากสคริปต์ build ไปสู่บัคเก็ตของผู้พัฒนา และต่อไปน่าจะเป็นทรัพยากรที่โมเดล AI และเอเจนต์ดึงมาใช้ตอนทำงาน ซึ่งปัจจุบันแทบไม่มีองค์กรใดตรวจสอบ

ข้อที่สาม ช่องว่างระหว่างคำอธิบายความรุนแรงของผู้ผลิตกับความเป็นจริงจะกลายเป็นความเสี่ยงเชิงระบบ กรณี Citrix ที่ช่องโหว่ซึ่งถูกอธิบายว่าเป็นเพียง DoS กลายเป็น RCE ที่ถูกโจมตีจริง จะไม่ใช่กรณีสุดท้าย องค์กรที่จัดลำดับความสำคัญตามคำอธิบายของผู้ผลิตอย่างเดียวจะพลาดช่องโหว่ที่อันตรายที่สุด

ข้อที่สี่ การยืนยันตัวตนแบบต้านฟิชชิงจะยังจำเป็น แต่จะไม่เพียงพออีกต่อไป เมื่อ passkey และ Windows Hello ถูกเจาะที่โค้ดรอบ ๆ ได้แล้ว ชั้นถัดไปที่ต้องลงทุนคือการตรวจจับพฤติกรรมหลังการยืนยันตัวตน ทั้งการลงทะเบียนอุปกรณ์ใหม่ การออกโทเคนที่ผิดปกติ และการดึงข้อมูลในปริมาณที่ผิดจากรูปแบบเดิม

ข้อที่ห้า และสำคัญที่สุดสำหรับไทย มาตรการเร่งด่วนของคณะรัฐมนตรีจะพิสูจน์คุณค่าที่การติดตามผล ไม่ใช่ที่การประกาศ การเปลี่ยนรหัสผ่าน 300 กรม การตรวจสอบ 30,000 ระบบ และการบังคับใช้ MFA ทั่วภาครัฐ เป็นชุดมาตรการที่ตรงกับต้นเหตุอย่างที่ไม่ค่อยเกิดขึ้น แต่ผลลัพธ์จริงจะวัดได้ในไตรมาสถัดไปเท่านั้น และตัวชี้วัดที่มีความหมายไม่ใช่จำนวนหน่วยงานที่รายงานว่าดำเนินการแล้ว แต่คือจำนวนข้อมูลรับรองของหน่วยงานรัฐที่ยังคงปรากฏบนดาร์กเว็บในเดือนธันวาคม หากตัวเลขนั้นไม่ลดลง แปลว่ามาตรการถูกดำเนินการในกระดาษ ไม่ใช่ในระบบ

ภาคผนวก: สถิติสำคัญประจำเดือน (Key Statistics)

กลุ่มภัยคุกคามรัฐชาติที่พบในเดือนนี้

ช่องโหว่ระดับวิกฤตและช่องโหว่ที่ถูกโจมตีจริงที่ควรจับตา

เทคนิคและงานวิจัยสำคัญที่เปิดเผยในเดือนนี้