South-Korea

ตำรวจนครบาลโซลจับชายวัย 32 ปีที่ถูกกล่าวหาว่าเป็นหัวหน้าปฏิบัติการแฮ็กโดยใช้ AI เจาะองค์กรราว 90 แห่ง ทั้งโรงพยาบาล สถาบันกวดวิชา สนามกอล์ฟ มหาวิทยาลัย และบริษัทในเครือของบริษัทใหญ่ ขโมยข้อมูลรวม 8.2 ล้านรายการ ผู้ต้องสงสัยเคยทำงานเพนเทสต์ระหว่างปี 2562-2565 และหันมาใช้ AI อย่างกว้างขวางตั้งแต่ปลายสิงหาคม 2569 กลุ่มนี้ขู่ 38 องค์กรว่าจะเปิดเผยข้อมูล รวมยอดเรียก 360 ล้านวอน ยังไม่มีการเปิดเผยช่องโหว่ที่ใช้ และยังไม่มีหลักฐานว่า AI เจาะได้เองทุกขั้น

บริษัท Trellix พบแคมเปญฟิชชิงภาษาเกาหลีที่ปลอมเป็นใบกำกับภาษีของ FedEx เล็งพนักงานฝ่ายบัญชี เพื่อติดตั้ง Sirius Backdoor สายพันธุ์ใหม่ ไฟล์แนบเป็น PDF หน้าเปล่าที่สั่ง PowerShell ถอดรหัสโค้ดหลายชั้นแล้วรันในหน่วยความจำ แทบไม่ทิ้งไฟล์บนดิสก์ มัลแวร์ปิด ETW เพื่อทำให้ EDR มองไม่เห็น ฉีดตัวเองเข้าโปรเซสที่เชื่อถือได้ และฝังกลไกให้อยู่รอดแม้รีเซ็ต Windows ผู้ดูแลระบบควรบล็อก Adobe Reader ไม่ให้สร้าง child process และเปิด Script Block Logging

Kaspersky เปิดเผย Operation FlashHole ของกลุ่ม Lazarus ที่เจาะองค์กรเกาหลีใต้อย่างน้อย 3 แห่งในภาคซอฟต์แวร์ ก่อสร้าง และอุปกรณ์สื่อสาร ห่วงโซ่การโจมตีรันโค้ดอันตรายภายใต้โปรเซสของ CrossWeb EX โปรแกรมความปลอดภัยที่ใช้เข้าเว็บธนาคารและเว็บรัฐ มัลแวร์ LPEClient ใช้ ML-KEM-1024 ซึ่งเป็นการเข้ารหัสหลังควอนตัมตามมาตรฐาน FIPS 203 สร้างกุญแจป้องกันเพย์โหลดขั้นถัดไประหว่างส่ง เพย์โหลดถูกถอดรหัสด้วย Threefish แล้วรันในหน่วยความจำ หลักฐานแรกสุดย้อนไปถึงกรกฎาคม 2568

Recorded Future ติดตามผู้โจมตีที่โยงกับเหตุเจาะสถาบันการเงินเกาหลีใต้ในชื่อ TAG-217 และพบว่าเริ่มเตรียมการตั้งแต่สิงหาคม 2569 ก่อนเหตุเป็นข่าวหลายสัปดาห์ ผู้โจมตีใช้ Claude Code, DeepSeek, Grok และ Zhipu AI ร่วมกับเฟรมเวิร์ก ARTEX เหตุเจาะทำข้อมูลส่วนบุคคลรั่วอย่างน้อย 68,000 คนจากอย่างน้อย 7 สถาบัน ไดเรกทอรีเปิดบนเซิร์ฟเวอร์ผู้โจมตีเผยเครื่องมือขโมยวอลเล็ตคริปโต ยกระดับสิทธิ์ลินุกซ์ และทดสอบมือถือ แต่ Recorded Future ย้ำว่าหลักฐานไม่ได้ชี้ว่าเครื่องมือทั้งหมดถูกใช้กับเหยื่อ

สำนักงานตรวจคนเข้าเมืองร่วมกับตำรวจเกาหลีใต้ บุกค้น 3 จุดในกรุงเทพฯ จับกุมชาวเกาหลีใต้ 8 คนและชาวจีน 2 คน ที่ตั้งฐานปฏิบัติการแก๊งคอลเซ็นเตอร์ ผู้ต้องหาชาวเกาหลีทำหน้าที่แอดมิน ปลอมเป็นอัยการหรือเจ้าหน้าที่รัฐเกาหลีโทรข่มขู่ให้เหยื่อโอนเงิน ส่วนนายทุนจีนจัดหาสถานที่และอุปกรณ์ ความเสียหายเบื้องต้นกว่า 100 ล้านบาท เหยื่อส่วนใหญ่เป็นชาวเกาหลีใต้ คดีขยายผลจากการจับชาวเกาหลีที่อยู่เกินกำหนดเมื่อ 4 กันยายน 2569

บริษัท CrowdStrike พบแคมเปญโจมตีบริษัทการเงินเกาหลีใต้ช่วงปลาย ก.ย.–ต้น ต.ค. 2569 ที่ใช้ ARTEX เครื่องมือเจาะระบบแบบ agentic AI โอเพนซอร์สจากจีน จนขโมยข้อมูลออกไปได้ หลักฐานมาจากไดเรกทอรีเปิดบน IP ฮ่องกงที่มีประวัติ Claude Code และคอนฟิก ARTEX ผู้โจมตียังไม่ถูกระบุตัว แต่น่าจะพูดภาษาจีนและหวังผลทางการเงิน ผู้พัฒนา Autumn-27 ประกาศปิดซอร์สและหยุดพัฒนา ARTEX แล้ว ขณะเดียวกัน ZenoX เผย SCARLET LOOP แพลตฟอร์ม AI ยึดบัญชีที่ทดสอบ credential กว่า 12 ล้านชุด

บริษัท Rapid7 เปิดเผยชุดเครื่องมือ Linux ที่ไม่เคยมีการบันทึกมาก่อน ซึ่งถูกคอมไพล์ฝังลงในโหลดบาลานเซอร์ HAProxy ขององค์กรเกาหลีใต้สองแห่งโดยตรง ตัวแบ็กดอร์ชื่อ ted ดักการรับส่งข้อมูลเว็บและส่งหน้าเว็บที่ถูกแก้ไขให้เฉพาะผู้เข้าชมที่ผ่านเงื่อนไขที่กำหนดไว้ คำสั่งควบคุมถูกลบออกจากตัวนับการเชื่อมต่อของ HAProxy เอง ทำให้ทั้งบันทึกฝั่งแบ็กเอนด์และสถิติของโหลดบาลานเซอร์ไม่บันทึกอะไรไว้เลย Rapid7 ระบุว่าต้องมีหลักฐานเพิ่มเติมจึงจะประเมินตัวผู้ก่อเหตุได้ชัดกว่านี้

หน่วยงานความมั่นคงสหรัฐหลายแห่งร่วมกับสำนักงานตำรวจแห่งชาติเกาหลีใต้ออกคำเตือนร่วม เปิดโปงคลื่นการโจมตีของกลุ่มแรนซัมแวร์ Gunra ที่ใช้ช่องโหว่เก่าใน VPN ของ Fortinet คือ CVE-2024-55591 และ CVE-2025-24472 เป็นทางเข้าหลัก จุดที่อันตรายที่สุดคือผู้โจมตีแก้ไฟล์ตรวจสอบตัวตนบนพอร์ทัล VDI ให้ค่ารหัสผ่านครั้งเดียวที่กลุ่มกำหนดผ่านได้เสมอ เท่ากับปิดการป้องกัน MFA กลุ่มขโมยข้อมูลจาก OneDrive และ SharePoint ก่อนเข้ารหัสด้วย ChaCha20 และ RSA-4096 แล้วให้เวลาเหยื่อ 5-7 วันก่อนขู่ปล่อยข้อมูล

หน่วยงานรัฐเกาหลีใต้ 4 แห่งร่วมกับบริษัทความปลอดภัย 4 ราย เปิดเผยแคมเปญจารกรรมของกลุ่มรัฐหนุนหลังที่เจาะเว็บไซต์ในประเทศเป็นกับดัก watering hole ผู้โจมตีฉวยช่องโหว่ buffer overflow ในซอฟต์แวร์ลงลายมือชื่ออิเล็กทรอนิกส์ AnySign4PC ติดตั้งแบ็กดอร์ SIGNBT และ COPPERHEDGE โดยเหยื่อไม่ต้องคลิกหรือดาวน์โหลดอะไรเลย KISA ระบุเวอร์ชัน 1.1.4.4-1.1.4.6 มีช่องโหว่และแก้ใน 1.1.5.0 บริษัท AhnLab พบร่องรอยใน 72 องค์กรและพบหลักฐานทับซ้อนกับการโจมตีที่จบด้วยแรนซัมแวร์ Gunra

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลของเกาหลีใต้สั่งปรับ KT Corporation เป็นเงิน 53,979 ล้านวอนหรือราว 39 ล้านดอลลาร์ จากเหตุผู้บุกรุกฝังตัวในเครือข่ายภายในนานเกือบ 11 เดือน ต้นตอคือเฟมโตเซลล์ที่สูญหายและมีใบรับรองยืนยันตัวตนที่ยังใช้ได้ ผู้โจมตีนำไปติดตั้งบนอุปกรณ์ที่ทำขึ้นเองจนกลายเป็นสถานีฐานปลอมและดักทราฟฟิกโทรศัพท์ได้ ข้อมูลผู้ใช้ 16,647 รายรั่วไหลและเกิดการชำระเงินฉ้อฉลกับลูกค้าอย่างน้อย 368 ราย ระหว่างสอบสวนยังพบเซิร์ฟเวอร์ 38 เครื่องติดมัลแวร์ BPFDoor มาตั้งแต่ปี 2567