เตือนภัยไซเบอร์ชุกชุม เปิดไทม์ไลน์โจมตีโลก จี้ไทยเร่งรับมือ

พลอากาศตรี อมร ชมเชย อดีตเลขาธิการคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) ในฐานะผู้เชี่ยวชาญด้านไซเบอร์ซิเคียวริตี้ กล่าวว่า ช่วงเดือนตุลาคม–พฤศจิกายน 2569 เกิดเหตุโจมตีทางไซเบอร์ร้ายแรงหลายกรณี รวมถึงการโจมตีที่ใช้ปัญญาประดิษฐ์เป็นเครื่องมือ หรือ AI Enabled Attacks ทุกหน่วยงานในประเทศไทยจึง “ต้องเตรียมตัว” พร้อมติดตามและตรวจสอบความพร้อมอย่างต่อเนื่อง

ข้อมูลสรุปสถานการณ์ภัยคุกคามไซเบอร์ที่พลอากาศตรี อมร นำเสนอ ชี้ให้เห็นว่า ภัยคุกคามไม่ได้จำกัดอยู่เพียงการขโมยข้อมูลภายในองค์กร แต่ลุกลามไปถึงระบบควบคุมอุปกรณ์ทางกายภาพ การใช้เครื่องมือ AI ขององค์กรย้อนกลับมาเป็นช่องทางโจมตี และการโจมตีผู้ให้บริการเทคโนโลยีที่สร้างผลกระทบต่อเนื่องถึงหลายหน่วยงาน

โดยมี 3 กรณีศึกษาสำคัญจากยุโรป ธุรกิจสินทรัพย์ดิจิทัล และญี่ปุ่น ที่ผู้บริหารองค์กร ผู้บริหารด้านความมั่นคงปลอดภัยสารสนเทศ หรือ CISO และผู้ปฏิบัติงานด้านไซเบอร์ควรนำมาทบทวนมาตรการป้องกันของตนเอง

เจาะตู้แช่ยุโรป สั่งอุณหภูมิพุ่ง 50 องศา

กรณีแรก การโจมตีระบบควบคุมความเย็นของซูเปอร์มาร์เก็ตในยุโรป ทั้งฝรั่งเศส เบลเยียม และสวีเดน ครอบคลุมซูเปอร์มาร์เก็ตนับร้อยแห่งในฝรั่งเศส IKEA สาขา Mons ในเบลเยียม และเครือ ICA กับ Coop ในสวีเดน

ผู้โจมตีเจาะเข้าสู่ระบบควบคุมความเย็นอุตสาหกรรมที่เชื่อมต่ออินเทอร์เน็ตโดยตรง เช่น คอนโทรลเลอร์และระบบทำความเย็น ก่อนสั่งปรับอุณหภูมิตู้แช่แข็งสูงถึง 50 องศาเซลเซียสในช่วงกลางดึก ส่งผลให้อาหารสดและสินค้าแช่แข็งเสียหาย

กรณีนี้สะท้อนความเสี่ยงของเทคโนโลยีปฏิบัติการ หรือ OT และอุปกรณ์เชื่อมต่ออินเทอร์เน็ต หรือ IoT ในธุรกิจค้าปลีกและห่วงโซ่อุปทานอาหาร โดยเฉพาะอุปกรณ์ที่ขาดการแบ่งแยกเครือข่ายและยังใช้รหัสผ่านเริ่มต้นจากผู้ผลิต ซึ่งอาจเปิดทางให้การโจมตีไซเบอร์สร้างความเสียหายทางกายภาพได้ทันที

เปิดลำดับโจมตี Binance ใช้ AI ขยายผลเข้าระบบ

กรณีที่ 2 การโจมตี Binance ซึ่งมีความเสียหายประมาณ 6.3 พันล้านดอลลาร์สหรัฐ ผ่าน 10 บล็อกเชน โดยผู้โจมตีเตรียมการหลายขั้นตอน ก่อนเข้าถึงระบบกระเป๋าสินทรัพย์ดิจิทัลที่เชื่อมต่อออนไลน์ หรือ Hot Wallet

ลำดับเหตุการณ์เริ่มตั้งแต่เดือนมิถุนายน 2569 เมื่อวิศวกรค้นหาเครื่องมือ AI ช่วยเขียนโค้ดผ่าน Google และติดตั้งแพ็กเกจ Homebrew ที่ฝังมัลแวร์ ทำให้ผู้โจมตีได้ข้อมูลโครงสร้างทีมงานไปใช้ต่อ

ต่อมาในเดือนกันยายน ผู้โจมตีปลอมเป็นบริษัทร่วมทุน หรือ VC ล่อลวงวิศวกรอีกคนเข้าสัมภาษณ์งานผ่านวิดีโอคอล ก่อนหลอกให้ดาวน์โหลดไฟล์โค้ดอันตราย

จากนั้นในเดือนตุลาคม ผู้โจมตีใช้เครื่องคอมพิวเตอร์ที่ยึดครองได้สั่งงานเครื่องมือ AI ภายในบริษัท เพื่อค้นหาโครงสร้างระบบและขยายการเข้าถึงไปยังบริการลงนามธุรกรรมของ Hot Wallet ก่อนใช้กลไกการมอบสิทธิ์ของ Ethereum หรือ EIP-7702 ร่วมกับคำสั่งอัตโนมัติเคลื่อนย้ายสินทรัพย์

บทเรียนสำคัญคือ เครื่องมือ AI ภายในองค์กรอาจกลายเป็นแผนที่นำทางให้ผู้โจมตี หากไม่ได้จำกัดสิทธิ์เข้าถึงข้อมูลสำคัญอย่างรัดกุม เมื่อเครื่องพนักงานถูกยึดครอง ผู้โจมตีอาจใช้สิทธิ์ดังกล่าวค้นหาข้อมูลและเข้าถึงระบบหลักต่อไปได้

ญี่ปุ่นเผชิญข้อมูลรั่ว–คลาวด์ล่มเป็นลูกโซ่

กรณีที่ 3  เหตุโจมตีองค์กรขนาดใหญ่ในญี่ปุ่น ทั้งการรั่วไหลของข้อมูลส่วนบุคคลและการโจมตีบริการคลาวด์ ซึ่งส่งผลกระทบต่อผู้ใช้งานหลายองค์กรพร้อมกัน

ในกรณีบริการเช่ารถ Times Car ของ Park24 ข้อมูลระบุว่ามีข้อมูลใบขับขี่รั่วไหลกว่า 6.6 ล้านราย สะท้อนความเสี่ยงจากการนำข้อมูลเอกสารยืนยันตัวตนไปใช้สวมรอยทำธุรกรรม

ขณะที่ IDCF Cloud ของ IDC Frontier ในเครือ SoftBank ถูกโจมตีด้วยโปรแกรมเรียกค่าไถ่ หรือ Ransomware ส่งผลให้ระบบของบริษัทเอกชนและหน่วยงานท้องถิ่นได้รับผลกระทบรวม 495 แห่ง แสดงให้เห็นความเสี่ยงจากการพึ่งพาผู้ให้บริการเทคโนโลยีร่วมกัน ซึ่งอาจทำให้เหตุโจมตีจุดเดียวขยายผลเป็นวงกว้าง

อีกปัจจัยที่ต้องจับตาคือ การใช้ Generative AI สร้างอีเมลหลอกลวงและข้อความโจมตีได้อย่างแนบเนียนในระดับเจ้าของภาษา ทำให้ข้อจำกัดด้านภาษาที่เคยเป็นอุปสรรคของผู้โจมตีลดลง

จี้หน่วยงานไทยตรวจความพร้อม 4 ด้าน

สำหรับการรับมือควรให้ความสำคัญกับการตรวจสอบความพร้อมขององค์กรใน 4 ด้าน

ด้านแรก กำกับดูแล AI และเครื่องมือของนักพัฒนา ตรวจสอบความปลอดภัยของแพ็กเกจโอเพนซอร์สและเครื่องมือ AI ที่ติดตั้ง พร้อมจำกัดสิทธิ์การเข้าถึงตามความจำเป็น หรือ Least Privilege เพื่อไม่ให้ระบบ AI เข้าถึงข้อมูลลับของระบบหลักเกินขอบเขตงาน

ด้านที่ 2  แยกเครือข่าย OT และ IoT โดยแยกระบบควบคุมอาคาร ระบบทำความเย็น และอุปกรณ์อัจฉริยะออกจากอินเทอร์เน็ตสาธารณะ พร้อมตั้งระบบแจ้งเตือนเมื่อค่าการทำงานทางกายภาพผิดปกติ

ด้านที่ 3 ยกระดับการยืนยันตัวตน เมื่อข้อมูลบัตรประชาชนหรือใบขับขี่มีโอกาสรั่วไหล องค์กรควรใช้การยืนยันตัวตนหลายปัจจัย ร่วมกับเทคโนโลยีเข้ารหัสและการตรวจสอบบุคคลจริงด้วยข้อมูลชีวมิติ เพื่อลดความเสี่ยงจากการสวมรอย

ด้านที่ 4 ทบทวนทรัพย์สินไอทีและแผนรับเหตุ เร่งสำรวจบัญชีทรัพย์สินไอที หรือ IT Asset Inventory และบัญชีส่วนประกอบซอฟต์แวร์ หรือ SBOM พร้อมปรับปรุงแผนปฏิบัติเมื่อเกิดเหตุไซเบอร์และกระบวนการอุดช่องโหว่ให้พร้อมใช้งาน

พลอากาศตรี อมร ย้ำว่า ทุกหน่วยงานในไทยต้องเตรียมตัวรับมือ และติดตามตรวจสอบความพร้อมอย่างต่อเนื่อง ท่ามกลางเหตุโจมตีที่เกิดขึ้นหลายรูปแบบและสามารถส่งผลกระทบได้ทั้งข้อมูล ระบบงาน และทรัพย์สินขององค์กร