Extortion

บริษัท ASOS ร้านค้าแฟชั่นออนไลน์ของสหราชอาณาจักรกำลังสอบสวนเหตุไซเบอร์ หลังลูกค้าได้รับการแจ้งเตือนในแอปหัวข้อ ASOS HACKED เมื่อ 6 ตุลาคม 2569 ข้อความอ้างว่ายึด Snowflake ของบริษัทได้ทั้งหมดและขู่ปล่อยข้อมูลพร้อมลิงก์ Telegram ASOS ยืนยันว่ามีการใช้งานโดยไม่ได้รับอนุญาตบนแพลตฟอร์มภายนอกที่ใช้สื่อสารกับลูกค้า และชื่อกับช่องทางติดต่ออาจถูกเข้าถึง บริษัทเชื่อว่าข้อมูลบัตรและรหัสผ่านไม่ได้รับผลกระทบ ส่วนคำอ้างเรื่อง Snowflake ยังไม่ได้รับการยืนยัน

นาย Daniel Rhyne อดีตวิศวกรโครงสร้างพื้นฐานของบริษัทอุตสาหกรรมในนิวเจอร์ซีย์ถูกศาลสหรัฐฯ ตัดสินจำคุก 32 เดือนเมื่อ 28 กันยายน 2569 เขาสร้าง VM ลับในเครือข่ายบริษัทแล้วใช้บัญชีแอดมินโดเมนตั้ง scheduled task ลบบัญชีแอดมินโดเมน 13 บัญชีและเปลี่ยนรหัสผ่านผู้ใช้ 301 บัญชี รหัสผ่านแอดมินในเครื่องที่กระทบมี 254 เซิร์ฟเวอร์และ 3,284 เครื่องลูกข่าย จากนั้นส่งอีเมลเรียกค่าไถ่ 20 BTC และขู่ปิดเซิร์ฟเวอร์วันละ 40 เครื่อง หลักฐานจากแล็ปท็อป ภาพกล้องวงจรปิด IP บ้าน และรหัสผ่านที่ใช้ซ้ำชี้ตัวเขา

บริษัท CloudSEK พบแอฟฟิลิเอตแรนซัมแวร์ชื่อ Azazel ที่ทำงานร่วมกับกลุ่ม The Gentlemen ลงทะเบียน reverse shell เป็นเครื่องมือในผู้ช่วยเขียนโค้ด AI ผ่าน MCP แล้วใช้สั่งงานในเครือข่ายเหยื่อจริง แคมเปญกระทบกว่า 20 องค์กรใน 6 ประเทศ ส่วนใหญ่เริ่มจากความลับที่ขโมยจาก GitLab pipeline และประวัติ repository เหยื่อรายหนึ่งเสียข้อมูลทะเบียนการเงินกว่า 120,000 รายการ ส่วนแพลตฟอร์ม AI การแพทย์ถูกเจาะผ่าน SSRF และถูกดูดข้อมูลเกิน 6 TB

สำนักข่าว Reuters รายงานว่าทางการจอร์แดนควบคุมตัวนาย Saif al-Din Khader หรือ Rey ผู้ต้องสงสัยเป็นสมาชิกคนสำคัญของกลุ่มขู่กรรโชก ShinyHunters ตั้งแต่ 29 ก.ย. 2026 Rey กำลังช่วย FBI ระบุตัวสมาชิกคนอื่นในกลุ่ม เขาเคยเป็นหนึ่งในสามแอดมินของ Scattered LAPSUS$ Hunters และเคยดูแลเว็บ leak ของ Hellcat กับ BreachForums การจับกุมเกิดหลังตำรวจดัตช์จับชายวัย 24 ปีเมื่อสัปดาห์ก่อน ขณะ FBI ระบุว่ากลุ่มนี้เจาะองค์กรกว่า 140 แห่ง และได้ค่าไถ่อย่างน้อย 70 ล้านดอลลาร์

ตำรวจสเปนจับกุมเยาวชนอายุ 16 ปีที่ต้องสงสัยว่าเป็นผู้ดูแลหลักของกลุ่มแรนซัมแวร์ KillSec ในปฏิบัติการข้ามชาติที่นำโดยตำรวจฮัมบวร์ก เยอรมนี โดยจับผู้ต้องสงสัยรวม 3 รายในสเปน อังกฤษ และโรมาเนีย เจ้าหน้าที่เข้าค้น 8 จุดใน 4 ประเทศ ยึดเซิร์ฟเวอร์ 5 เครื่องและควบคุมเว็บ leak ที่มีข้อมูลเหยื่อกว่า 110 เทราไบต์ การสืบสวนครอบคลุมการโจมตีราว 1,000 ครั้งทั่วโลก ยืนยันสำเร็จแล้วราว 500 ครั้ง และพบว่ากลุ่มใช้ AI สร้างโครงสร้างพื้นฐานและเลือกเหยื่อ

FBI เรียกร้องให้สมาชิกกลุ่ม ShinyHunters เข้ามอบตัว หลังจับกุมผู้ต้องสงสัยที่เป็นหนึ่งในแกนนำ คือนาย Pepijn van der Stap วัย 24 ปี ในเนเธอร์แลนด์เมื่อวันที่ 15 กันยายน ซึ่งตำรวจระบุว่ายังถูกสงสัยวางแผนฆาตกรรม 2 คดี FBI ระบุว่าเขาเกี่ยวพันการแฮ็กกว่า 140 องค์กรและเก็บค่าไถ่อย่างน้อย 70 ล้านดอลลาร์ตั้งแต่ปี 2025 กลุ่มยังท้าทายและอ้างว่าการแฮ็กเว็บสมัครงาน FBI เป็นแคมเปญการตลาด ผู้เชี่ยวชาญมองว่าการจับกุมเป็นการรบกวนไม่ใช่จุดจบ เพราะกลุ่มทำงานแบบกระจายศูนย์

กลุ่มขู่กรรโชกไซเบอร์ ShinyHunters อ้างว่าเจาะเข้า FBI และขโมยข้อมูลของเจ้าหน้าที่ทั้งอดีตและปัจจุบัน รวมถึงผู้ที่ยื่นใบสมัครงาน โดยกลุ่มระบุว่าเจาะผ่านช่องโหว่ zero-day ของ Oracle PeopleSoft และเปลี่ยนหน้าเว็บ FBIjobs.gov เป็นข้อความว่าถูกยึด FBI ยืนยันว่ากำลังสอบสวนแต่ยังไม่ทราบจุดที่ถูกเจาะว่าเป็นระบบตนเองหรือผู้ให้บริการภายนอก กลุ่มอ้างว่าได้ข้อมูลราว 2 TB จากหลายบริการภายในและยืนยันว่าไม่ได้มีแรงจูงใจทางการเงิน

กลุ่ม ShinyHunters เจาะเว็บไซต์รั่วข้อมูลบนดาร์กเว็บของกลุ่มแรนซัมแวร์คู่แข่ง Clop แล้วขึ้นข้อความ DOMAIN SEIZED BY SHINYHUNTERS โดยอ้างว่าใช้ช่องโหว่อัปโหลดไฟล์แบบไม่ต้องยืนยันตัวตนใน Grav CMS ผู้โจมตีอ้างว่าขโมยซอร์สโค้ด ปลั๊กอิน ล็อก และคีย์ส่วนตัวของบริการ Onion พร้อมขู่แฉรายชื่อบริษัทที่จ่ายค่าไถ่ในแคมเปญ Oracle EBS ทำให้เหยื่อเดิมของ Clop เสี่ยงถูกกรรโชกซ้ำ

Kaspersky เผยการโจมตีของแรนซัมแวร์ PAYLOAD ที่ใช้ Group Policy Object (GPO) บน Active Directory ป่วนทั้งโดเมน Windows โดยไม่เข้ารหัสไฟล์และไม่วางไฟล์แรนซัมแวร์ ผู้โจมตีเข้าองค์กรผู้ผลิตในตะวันออกกลางผ่าน FortiGate SSL VPN ด้วยบัญชีที่ถูกขโมย แล้วสร้าง GPO ชื่อ PAYLOAD ผูกที่รากโดเมนเพื่อเปลี่ยนวอลเปเปอร์ ปิดไฟร์วอลล์และบัญชีผู้ดูแล พร้อมขโมยข้อมูลไปแฉบนดาร์กเว็บ เป็นโมเดลกรรโชกแบบไม่เข้ารหัส

บริษัท Bimbo Bakeries USA ยืนยันว่าข้อมูลพนักงานถูกขโมยจากการโจมตีช่องโหว่ zero-day ใน Oracle E-Business Suite ผ่านผู้ให้บริการภายนอกที่ใช้ระบบดังกล่าว การสอบสวนสรุปตั้งแต่ 6 ธันวาคม 2568 ว่ามีไฟล์ถูกดึงออกไปจริง แต่กว่าจะยืนยันว่าไฟล์นั้นมีชื่อและหมายเลขประกันสังคมก็ถึง 19 สิงหาคม 2569 ไทม์ไลน์และช่องทางตรงกับแคมเปญกรรโชกของกลุ่ม Clop ที่ใช้ CVE-2025-61882 คะแนน CVSS 9.8 บริษัทไม่เปิดเผยจำนวนผู้ได้รับผลกระทบและไม่ยืนยันว่าถูกเรียกค่าไถ่หรือไม่