Data-Extortion

แก๊ง Everest ประกาศบนเว็บไซต์ประจานว่าขโมยข้อมูล 590.69 GB หรือราว 108,426 ไฟล์จาก PwC เมื่อ 22 ตุลาคม 2569 ข้อมูลที่อ้างเป็นเอกสาร HR บันทึกการอบรม เอกสารภายใน และโค้ดตั้งค่า SSO จากระบบ Cornerstone OnDemand ครอบคลุมออสเตรเลีย จีน แคนาดา และสหราชอาณาจักร คำกล่าวอ้างนี้ยังไม่ได้รับการยืนยันและ PwC ยังไม่ให้ความเห็น ยังไม่พบหลักฐานการเข้ารหัสระบบ ค่าไถ่ หรือช่องทางเจาะ

Foresiet รายงานแก๊งรีดไถข้อมูลหน้าใหม่ชื่อ ScarlettGroup ที่ประจานชื่อบริษัทบนเว็บไซต์ Tor พร้อมนาฬิกานับถอยหลังขู่ปล่อยข้อมูลที่อ้างว่าขโมยมา แก๊งเริ่มปรากฏราวกันยายน 2569 และเด่นขึ้นในเดือนตุลาคม รายชื่อเหยื่อครอบคลุมเทคโนโลยี การศึกษา รัฐบาล และบันเทิง Foresiet ยังไม่พบวิธีเจาะระบบ มัลแวร์ หรือหลักฐานว่าเข้ารหัสไฟล์แบบแรนซัมแวร์ และไม่มีจำนวนเหยื่อที่ยืนยันแล้ว รายงานย้ำว่าการถูกประจานบนเว็บไม่ใช่หลักฐานว่าถูกเจาะจริง

อดีตทหารกองทัพบกสหรัฐฯ นาย Cameron John Wagenius วัย 22 ปี ถูกศาลตัดสินจำคุก 70 เดือน ฐานแฮ็กเข้าระบบของ AT&T และ Verizon เพื่อดึงข้อมูลอ่อนไหวและข่มขู่กรรโชกเหยื่อ ในเดือนพฤศจิกายน 2024 เขาเปิดเผยบันทึกการโทรของเจ้าหน้าที่รัฐและขู่จะปล่อยข้อมูลเพิ่ม เขาใช้ฉายา kiberphant0m ร่วมมือกับผู้อื่นเจาะอย่างน้อย 10 องค์กรด้วย SSH Brute พยายามกรรโชกรวมกว่า 1 ล้านดอลลาร์ และถูกสั่งชดใช้อีก 294,978 ดอลลาร์ ผู้ร่วมขบวนการรวมถึง Connor Moucka (Judische) และ John Binns ที่พัวพันเหตุ Snowflake

บริษัท Arctic Wolf เปิดเผยกลุ่มขโมยข้อมูลและข่มขู่เรียกค่าไถ่ชื่อ PREY-0058 ที่โทรปลอมตัวเป็นฝ่ายไอทีภายในเพื่อหลอกผู้บริหารเข้าหน้าล็อกอิน Microsoft 365 ปลอม แล้วดักโทเค็นเซสชันด้วยเทคนิค adversary-in-the-middle ผู้โจมตีเล่นซ้ำโทเค็นผ่านพร็อกซีที่อยู่ใน ASN เดียวกับเหยื่อเพื่อเลี่ยงการตรวจจับ จากนั้นกวาดข้อมูลจาก SharePoint OneDrive Exchange และ Box แล้วส่งข้อความเรียกค่าไถ่ จุดที่ต่างจากการโจมตีทั่วไปคือไม่มีมัลแวร์บนเครื่องและไม่มีการเคลื่อนที่ในเครือข่าย

ระหว่างวันที่ 19 ถึง 20 สิงหาคม 2569 มีองค์กรไทยถูกประกาศชื่อบนเว็บปล่อยข้อมูลของกลุ่มแรนซัมแวร์เพิ่มอีก 4 ราย กลุ่มหน้าใหม่ชื่อ Dysphor1a เปิดตัวด้วยการอ้างโจมตีเหยื่อไทย 2 รายในวันเดียวทั้งบริษัทประกันและสถาบันการศึกษา ขณะที่ KryBit ประกาศชื่อบริษัทพลาสติกเป็นเหยื่อไทยรายที่ 4 ของปีนี้ ต่อจากกรุงเทพมหานครและ ช.การช่าง ส่วน INC Ransom ประกาศชื่อบางกอกเคเบิ้ล ทั้งหมดยังเป็นคำอ้างฝ่ายเดียวที่ไม่มีการยืนยัน

ระหว่างวันที่ 9 ถึง 10 สิงหาคม 2569 มีบริษัทที่จดทะเบียนในประเทศไทยถูกประกาศชื่อบนเว็บปล่อยข้อมูลของกลุ่มแรนซัมแวร์ถึงสามรายติดกัน กลุ่ม Panzer อ้างว่าดูดข้อมูลจาก The Minor Food Group ไปได้ 340.8 GB และอ้างการโจมตีบริษัทสยามออยล์โปรดักส์ผู้จัดจำหน่ายผลิตภัณฑ์ปิโตรเลียม ขณะที่กลุ่ม Qilin ประกาศชื่อบริษัทพิธานพาณิชย์ในหมวดการผลิต ทั้งหมดเป็นคำอ้างฝ่ายเดียวที่ยังไม่มีการยืนยันจากฝั่งผู้เสียหาย และยังไม่มีองค์กรใดออกแถลงการณ์

ผู้โจมตีที่เชื่อมโยงกับกลุ่มแรนซัมแวร์ Cl0p กำลังเจาะระบบ PTC Windchill และ FlexPLM ที่เปิดสู่อินเทอร์เน็ต โดยเชนช่องโหว่เปิดเผยข้อมูลก่อนยืนยันตัวตนใน FlexPLM WSDL เข้ากับช่องโหว่ฝั่งเซิร์ฟเวอร์ใน Windchill login servlet จนรันโค้ดได้โดยไม่ต้องล็อกอินและวาง JSP web shell คาดใช้ CVE-2026-12569 คะแนน 9.3 ที่อยู่ใน KEV แล้ว เป้าหมายคือภาคการผลิต ยานยนต์ การบิน และค้าปลีก เพื่อขโมยข้อมูลออกแบบไปกรรโชกแบบสองชั้น