Ransomware

ระหว่าง 14-17 ตุลาคม 2569 มีองค์กรในไทยถูกนำชื่อขึ้นเว็บปล่อยข้อมูลของกลุ่มแรนซัมแวร์ 5 ราย กลุ่ม The Gentlemen อ้างเจาะ 3 ราย ได้แก่ มิวเซียมสยาม บริษัท ไทยฮะ (KASET) และโรงเรียนนานาชาติ Wellington College กรุงเทพฯ ส่วน LockBit5 อ้างเจาะ SKY CC ผู้ให้บริการคอนแทคเซ็นเตอร์ และ Qilin อ้างเจาะ First Brothers ทั้งหมดยังเป็นคำกล่าวอ้างที่ไม่มีองค์กรใดยืนยันและไม่ระบุขนาดข้อมูล ข่าวนี้ตามหลังการอ้างเจาะกองทัพอากาศไทยเมื่อ 10 ตุลาคม

รายงาน Ransomware Risk Report 2026 ของ Semperis พบว่าองค์กร 2 ใน 5 ที่ตอบแบบสำรวจเคยถูกข่มขู่ระหว่างเหตุแรนซัมแวร์ แบ่งเป็นขู่ทำร้ายทางกายภาพ 17% และข่มขู่ทางจิตใจ 23% รูปแบบมีตั้งแต่ข้อความข่มขู่ ขู่ครอบครัว ไปจนถึงขู่ลักพาตัว และ 53% อ้างว่าผู้โจมตีทำตามที่ขู่จริง แต่ข้อมูลทั้งหมดมาจากการรายงานตัวเอง Dark Reading จึงยังหาเคสความรุนแรงที่ยืนยันได้ไม่เจอ หลักฐานแข็งที่มีอยู่จริงคือการทำร้ายร่างกายเพื่อชิงคริปโตที่พุ่งขึ้น และกลุ่ม Silent Ransom ที่ปลอมเป็นช่างไอทีเข้าสำนักงาน

หน่วยงาน CSA ของสิงคโปร์เผยรายงาน Singapore Cybersecurity Health Report 2025 ที่สำรวจธุรกิจและองค์กรไม่แสวงกำไร 2,005 แห่ง พบว่าเกือบ 9 ใน 10 เจอเหตุไซเบอร์อย่างน้อยหนึ่งครั้งในปี 2568 แรนซัมแวร์เป็นเหตุที่พบบ่อยที่สุด ตามด้วยบัญชีถูกยึดและการหลอกลวงทางสังคม ผลกระทบทางธุรกิจลดลงจากการสำรวจปี 2566 แต่ธุรกิจ 46% ยังเชื่อว่าตัวเองไม่ใช่เป้าหมาย ศูนย์ Cyber Resilience Centre จึงเปิดสายด่วน Cyber Incident Helpline ช่วยคัดกรองและให้คำปรึกษาแก่องค์กรที่เกิดเหตุ

หน่วย ASEC ของบริษัท AhnLab รายงานว่ากลุ่ม Kimsuky ใช้เรซูเมไฟล์ Hangul Word Processor ปลอมเป็นใบสมัครงานเพื่อปล่อยแรนซัมแวร์ Funhouse การเปิดไฟล์จะแตกไฟล์ VbsEdit กับสคริปต์ลงโฟลเดอร์ชั่วคราว และเมื่อคลิกลิงก์ในเอกสารจะเริ่มห่วงโซ่ Batch, VBS, PowerShell, แบ็กดอร์ Python และ Quasar RAT ที่ใช้ปล่อยแรนซัมแวร์ Funhouse เป็นสายพันธุ์ของ Endpoint ransomware โดย Quasar ใช้ mutex เดียวกันในเคสกุมภาพันธ์ มิถุนายน และกันยายน รายงานไม่ระบุจำนวนเหยื่อ

ReliaQuest รายงานว่ากลุ่มแรนซัมแวร์หลายกลุ่ม รวมถึง Qilin และ Settra ใช้ช่องโหว่ CVE-2026-0257 (CVSS 7.8) ใน PAN-OS GlobalProtect และ Prisma Access ตั้งเซสชัน VPN โดยไม่ต้องมีรหัสผ่าน หลังเข้าเครือข่ายพบการใช้ Cobalt Strike, BloodHound และ SharpHound ช่องโหว่กระทบเฉพาะระบบที่เปิด authentication override cookie ร่วมกับใบรับรองบางแบบ Palo Alto แนะนำให้อัปเดตและสร้างใบรับรองใหม่สำหรับ cookie โดยเฉพาะ ReliaQuest เตือนว่าแพตช์อย่างเดียวไม่ตัดสิทธิ์ที่ได้ไปก่อน ต้องยุติเซสชันทั้งหมดและสืบสวนต่อ

กลุ่มแรนซัมแวร์ The Gentlemen นำชื่อกองทัพอากาศไทย (rtaf.mi.th) ขึ้นเว็บไซต์ปล่อยข้อมูล โดย Ransomware.live ตรวจพบเมื่อ 11 ต.ค. 2569 เวลาราว 03:30 น. คำอ้างไม่ระบุขนาดหรือประเภทข้อมูล และยังไม่มีการชี้แจงจากกองทัพอากาศ ข้อมูลประกอบบนหน้าเดียวกันแสดงว่ามีรหัสผ่านที่ผูกกับโดเมน rtaf.mi.th หลุดผ่านมัลแวร์ infostealer กว่า 51,000 รายการ คำอ้างเกิดขึ้นหนึ่งวันก่อนเปิดประชุม IMF–ธนาคารโลกที่กรุงเทพฯ ซึ่ง สกมช. เฝ้าระวัง 24 ชั่วโมง ควรถือเป็นคำอ้างที่รอพิสูจน์ แต่ควรเร่งตรวจบัญชีที่รั่ว

กระทรวงยุติธรรมสหรัฐฯ ตั้งข้อหาฉ้อโกงทางสายโทรคมนาคม 2 กระทงและสมคบคิดอีก 1 กระทงกับนาย Zohar Pinhasi เจ้าของบริษัทกู้ข้อมูลแรนซัมแวร์ MonsterCloud ในฟลอริดา เขาถูกกล่าวหาว่าบอกเหยื่อว่ามีเครื่องมือถอดรหัสเฉพาะและเตือนไม่ให้จ่ายค่าไถ่ แต่แอบติดต่อจ่ายค่าไถ่ให้ผู้โจมตีเพื่อซื้อตัวถอดรหัสเอง แล้วเรียกเก็บค่าบริการสูงกว่าค่าไถ่หลายเท่า รวมแล้วเก็บเงินลูกค้ากว่า 19 ล้านดอลลาร์ ขณะจ่ายค่าไถ่ไปกว่า 8 ล้านดอลลาร์ หากถูกตัดสินว่าผิดอาจได้รับโทษจำคุกสูงสุด 20 ปีต่อกระทง

บริษัท Advantest ผู้ผลิตอุปกรณ์ทดสอบชิปรายใหญ่ของญี่ปุ่น เริ่มส่งหนังสือแจ้งผู้ได้รับผลกระทบจากเหตุแรนซัมแวร์ที่เปิดเผยเมื่อกุมภาพันธ์ 2569 บริษัทยืนยันว่าผู้โจมตีขโมยข้อมูลส่วนบุคคล ทั้งชื่อ วันเกิด เลขประกันสังคม เลขพาสปอร์ต ใบขับขี่ และข้อมูลการแพทย์กับการเงิน Advantest ไม่เปิดเผยจำนวนผู้ได้รับผลกระทบทั้งหมด แต่เอกสารที่ยื่นต่อแคลิฟอร์เนียระบุว่ามีผู้อยู่อาศัยในรัฐนั้นกว่า 500 ราย ยังไม่มีกลุ่มแรนซัมแวร์ใดอ้างว่าเป็นผู้ก่อเหตุ

ชายสัญชาติรัสเซียวัย 28 ปีที่ถูกเชื่อว่าเป็นสมาชิกแกนหลักของแรนซัมแวร์ Qilin ถูกจับกุมที่เมืองโอซากาเมื่อเดือนพฤษภาคม 2569 และมีรายงานว่าถูกส่งตัวให้ทางการเยอรมนีเมื่อวันที่ 2 ตุลาคม เยอรมนีต้องการตัวเขาจากการเจาะบริษัทโลจิสติกส์เมื่อกันยายน 2567 เข้ารหัสระบบ และรีดไถคริปโตกว่า 160,000 ดอลลาร์ Qilin หรือ Agenda เป็นปฏิบัติการ RaaS ที่มีเหยื่อมากที่สุดรายหนึ่งของโลก การจับกุมครั้งนี้เป็นหนึ่งในไม่กี่ครั้งที่ไปถึงตัวสมาชิกกลุ่ม

บริษัท CloudSEK พบแอฟฟิลิเอตแรนซัมแวร์ชื่อ Azazel ที่ทำงานร่วมกับกลุ่ม The Gentlemen ลงทะเบียน reverse shell เป็นเครื่องมือในผู้ช่วยเขียนโค้ด AI ผ่าน MCP แล้วใช้สั่งงานในเครือข่ายเหยื่อจริง แคมเปญกระทบกว่า 20 องค์กรใน 6 ประเทศ ส่วนใหญ่เริ่มจากความลับที่ขโมยจาก GitLab pipeline และประวัติ repository เหยื่อรายหนึ่งเสียข้อมูลทะเบียนการเงินกว่า 120,000 รายการ ส่วนแพลตฟอร์ม AI การแพทย์ถูกเจาะผ่าน SSRF และถูกดูดข้อมูลเกิน 6 TB