Ransomware

รายงานข่าวกรองรายสัปดาห์ของ CYFIRMA ฉบับ 1 ตุลาคม 2569 ระบุว่าไทยเป็นหนึ่งในเป้าหมายหลักของกลุ่มแรนซัมแวร์ The Gentlemen โดยยกกรณีบริษัทพลาสติกวิศวกรรมสัญชาติไทย–ญี่ปุ่นที่ถูกนำขึ้นเว็บไซต์ปล่อยข้อมูล กลุ่มนี้ใช้โมเดล RaaS แบ่งส่วนแบ่งให้สมาชิกสูงถึง 90% และโตเร็วที่สุดในปี 2569 คำอ้างยังไม่ได้รับการยืนยันจากบริษัท แต่สะท้อนแรงกดดันต่อภาคการผลิตไทยที่เพิ่มขึ้น

บริษัท Symantec เปิดเผยว่ากลุ่มแรนซัมแวร์สัญชาติจีน Warlock (Longlegs/Storm-2603) หันมาโจมตีองค์กรในประเทศที่ใช้ภาษาสเปนและโปรตุเกส โดยสองเดือนที่ผ่านมาเจาะเหยื่ออย่างน้อย 4 รายทั้งการประปา โทรคมนาคม หน่วยงานรัฐส่วนภูมิภาค และมหาวิทยาลัย กลุ่มนี้ใช้ช่องโหว่ SharePoint ชุด ToolShell เป็นทางเข้า แล้วปลูก webshell ขโมย machine key ปลอม __VIEWSTATE และใช้ไดรเวอร์ที่มีช่องโหว่ปิดระบบความปลอดภัย ก่อนวางเพย์โหลดบน SYSVOL ให้ Active Directory จำลองกระจายไปทุกโดเมนคอนโทรลเลอร์เอง

ตำรวจสเปนจับกุมเยาวชนอายุ 16 ปีที่ต้องสงสัยว่าเป็นผู้ดูแลหลักของกลุ่มแรนซัมแวร์ KillSec ในปฏิบัติการข้ามชาติที่นำโดยตำรวจฮัมบวร์ก เยอรมนี โดยจับผู้ต้องสงสัยรวม 3 รายในสเปน อังกฤษ และโรมาเนีย เจ้าหน้าที่เข้าค้น 8 จุดใน 4 ประเทศ ยึดเซิร์ฟเวอร์ 5 เครื่องและควบคุมเว็บ leak ที่มีข้อมูลเหยื่อกว่า 110 เทราไบต์ การสืบสวนครอบคลุมการโจมตีราว 1,000 ครั้งทั่วโลก ยืนยันสำเร็จแล้วราว 500 ครั้ง และพบว่ากลุ่มใช้ AI สร้างโครงสร้างพื้นฐานและเลือกเหยื่อ

รัฐวิสาหกิจแอฟริกาใต้ที่ดูแลการควบคุมการจราจรทางอากาศราว 10% ของน่านฟ้าโลก พบมัลแวร์ที่โยงกับแรนซัมแวร์ในเครือข่าย OT ที่รองรับบริการด้านสภาพอากาศ บริษัท ATNS เชื่อว่าทีมเทคนิคหยุดการโจมตีได้ แต่ออกประกาศหาบริษัทนิติวิทยาศาสตร์ไซเบอร์มาสอบสวน พร้อมเหตุที่สองที่อาจเป็นการขโมยข้อมูลจากคนใน ทีมเทคนิคยังพบร่องรอยการส่งข้อมูลออกไปยังไอพีในจีน เหตุนี้สะท้อนความเสี่ยงที่เพิ่มขึ้นของโครงสร้างพื้นฐานการบิน ซึ่งการโจมตีด้วยแรนซัมแวร์ในปี 2025 พุ่งขึ้นหกเท่า

Microsoft เผยรายงานเชิงลึกครั้งแรกของกลุ่ม JADEPUFFER (ติดตามในชื่อ Storm-3168) ที่ใช้ service principal ที่ถูกยึด 2 ตัวโจมตี Azure นานราว 18 ชั่วโมงในเดือนมิถุนายน 2569 ตัวหนึ่งใช้ลาดตระเวน อีกตัวลงมือทำลายกว่า 150 ปฏิบัติการใน 35 นาที ลบ Storage Account กว่า 100 บัญชี พร้อม Key Vault, Function App และฐานข้อมูล SQL แต่ resource lock และ deletion protection ช่วยกันบางส่วนไว้ได้ ต้นเหตุคือ credential ที่พนักงานเผยใน GitHub issue สาธารณะ ประเมินว่าเป็นการโจมตีอัตโนมัติที่มุ่งขัดขวางการกู้คืน

ศาลสหรัฐฯ พิพากษาจำคุกนาย Karen Vardanyan ชาวอาร์เมเนียวัย 35 ปี เป็นเวลา 24 เดือน คุมประพฤติต่ออีก 3 ปี และสั่งชดใช้ค่าเสียหายกว่า 1.21 ล้านดอลลาร์ จากบทบาทในการโจมตีด้วยแรนซัมแวร์ Ryuk เขาถูกส่งตัวข้ามแดนจากยูเครนหลังถูกจับในปี 2568 และรับสารภาพเมื่อกรกฎาคม 2569 ว่าเป็นผู้จัดหาช่องทางเข้าเครือข่ายองค์กรระหว่างปี 2562 ถึง 2563 กลุ่ม Ryuk ดำเนินการโดยทีม Wizard Spider สร้างรายได้จากค่าไถ่รวมกว่า 150 ล้านดอลลาร์ ก่อนปิดตัวและเปลี่ยนชื่อเป็น Conti

นักวิจัยจาก CyberXTron พบปฏิบัติการแรนซัมแวร์ใหม่ชื่อ Galago ที่อ้างว่าจับมือเป็นพันธมิตรกับกลุ่ม Panzer. จนถึงตอนนี้ยังไม่มีการยืนยันการบุกรุกของ Galago หรือเหยื่อที่ถูกเผยแพร่บนเว็บปล่อยข้อมูลของกลุ่ม. เว็บปล่อยข้อมูลของ Galago ยังไม่มีการเคลื่อนไหว. มีเพียงคำอ้างว่าเจาะองค์กรสาธารณสุขในไอซ์แลนด์ ดูดข้อมูล 105 GB. Panzer เองปล่อยข้อมูลเหยื่อ 32 รายระหว่าง 5 ส.ค.-23 ก.ย. แต่ยังโยง Galago เข้ากับ Panzer ไม่ได้แน่ชัด.

รายงานจาก Positive Technologies ระบุว่าสหรัฐอาหรับเอมิเรตส์และซาอุดีอาระเบียรวมกันรับภาระถึงครึ่งหนึ่งของการโจมตีไซเบอร์ทั้งภูมิภาคอ่าวเปอร์เซียในครึ่งแรกของปี 2026 ข้อมูลจาก Check Point ชี้ว่าองค์กรในสองประเทศเจอเฉลี่ยเกือบ 2,700 ครั้งต่อสัปดาห์ สูงกว่าค่าเฉลี่ยโลก การใช้ประโยชน์ช่องโหว่กลายเป็นช่องทางเจาะหลักที่ 38% และการโจมตีเปลี่ยนจาก DDoS ที่มองเห็นง่ายไปสู่การแทรกซึมเงียบ ๆ ที่ยากตรวจจับ พร้อมสัญญาณว่า AI กำลังเร่งการโจมตีจากช่องโหว่

กลุ่ม ShinyHunters เจาะเว็บไซต์รั่วข้อมูลบนดาร์กเว็บของกลุ่มแรนซัมแวร์คู่แข่ง Clop แล้วขึ้นข้อความ DOMAIN SEIZED BY SHINYHUNTERS โดยอ้างว่าใช้ช่องโหว่อัปโหลดไฟล์แบบไม่ต้องยืนยันตัวตนใน Grav CMS ผู้โจมตีอ้างว่าขโมยซอร์สโค้ด ปลั๊กอิน ล็อก และคีย์ส่วนตัวของบริการ Onion พร้อมขู่แฉรายชื่อบริษัทที่จ่ายค่าไถ่ในแคมเปญ Oracle EBS ทำให้เหยื่อเดิมของ Clop เสี่ยงถูกกรรโชกซ้ำ

Kaspersky เผยการโจมตีของแรนซัมแวร์ PAYLOAD ที่ใช้ Group Policy Object (GPO) บน Active Directory ป่วนทั้งโดเมน Windows โดยไม่เข้ารหัสไฟล์และไม่วางไฟล์แรนซัมแวร์ ผู้โจมตีเข้าองค์กรผู้ผลิตในตะวันออกกลางผ่าน FortiGate SSL VPN ด้วยบัญชีที่ถูกขโมย แล้วสร้าง GPO ชื่อ PAYLOAD ผูกที่รากโดเมนเพื่อเปลี่ยนวอลเปเปอร์ ปิดไฟร์วอลล์และบัญชีผู้ดูแล พร้อมขโมยข้อมูลไปแฉบนดาร์กเว็บ เป็นโมเดลกรรโชกแบบไม่เข้ารหัส