ThaiCERT เตือนภัยไซเบอร์ยุค AI เร่งโจมตีเร็วขึ้น จี้องค์กรปิดช่องโหว่

ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ หรือ ThaiCERT แจ้งเตือนหน่วยงานและองค์กรให้เฝ้าระวังภัยคุกคามทางไซเบอร์รูปแบบใหม่ หลังเทคโนโลยีปัญญาประดิษฐ์ หรือ AI เพิ่มความเร็วและขีดความสามารถในการโจมตี ตั้งแต่การค้นหาช่องโหว่ สำรวจเป้าหมาย พัฒนาเครื่องมือโจมตี ไปจนถึงการสร้างข้อความ เสียง และวิดีโอปลอมเพื่อหลอกลวงเหยื่อ

ThaiCERT ระบุว่า AI มีศักยภาพทั้งด้านการวิเคราะห์ข้อมูล การพัฒนาซอฟต์แวร์ และการใช้งานเครื่องมืออัตโนมัติ จึงสามารถนำมาใช้สนับสนุนการค้นหาและแก้ไขช่องโหว่ได้ แต่ในอีกด้านหนึ่ง ผู้ไม่หวังดีก็สามารถใช้ AI วิเคราะห์จุดอ่อนของระบบและออกแบบแนวทางโจมตีได้รวดเร็วและครอบคลุมมากขึ้น

AI ลดต้นทุนผู้โจมตี เร่งค้นหาช่องโหว่ใหม่

ความเสี่ยงที่องค์กรต้องเผชิญไม่ได้จำกัดอยู่เฉพาะการโจมตีผ่านช่องโหว่ที่มีการเปิดเผยแล้ว หรือ Known CVEs ในระบบที่ยังไม่ได้รับการอัปเดตเท่านั้น แต่ยังรวมถึงการใช้ AI ช่วยค้นหาช่องโหว่ใหม่ วิเคราะห์ข้อผิดพลาดของซอฟต์แวร์ และตรวจสอบการตั้งค่าระบบที่ไม่เหมาะสม

AI ยังช่วยลดข้อจำกัดด้านเวลา บุคลากร และทรัพยากรของผู้โจมตี โดยเฉพาะในขั้นตอนสำรวจเป้าหมาย หรือ Reconnaissance การประมวลผลข้อมูลจำนวนมาก รวมถึงการดัดแปลงวิธีโจมตีเพื่อหลีกเลี่ยงระบบตรวจจับ

ผลที่ตามมาคือ ระยะเวลาระหว่างการเปิดเผยช่องโหว่กับการนำช่องโหว่นั้นไปใช้โจมตีมีแนวโน้มสั้นลง ทำให้ทีมรักษาความปลอดภัยขององค์กรมีเวลาตรวจสอบและติดตั้งแพตช์น้อยลง

ฟิชชิง–Deepfake เจาะจุดอ่อนมนุษย์

อีกหนึ่งความเสี่ยงสำคัญคือการนำ AI มาใช้เพิ่มประสิทธิภาพการโจมตีแบบ Social Engineering โดยผู้โจมตีสามารถสร้างข้อความฟิชชิงที่เจาะจงเป็นรายบุคคล เลียนแบบรูปแบบการสื่อสารของบุคคลในองค์กร หรือสร้างเสียง ภาพ และวิดีโอปลอมระดับสูง หรือ Deepfake เพื่อแอบอ้างเป็นผู้บริหารและบุคคลที่น่าเชื่อถือ

เป้าหมายคือทำให้เหยื่อเปิดเผยชื่อผู้ใช้ รหัสผ่าน หรือข้อมูลยืนยันตัวตน ตลอดจนปฏิบัติตามคำสั่ง เช่น โอนเงิน เปลี่ยนบัญชีรับเงิน ดาวน์โหลดไฟล์ หรือคลิกลิงก์ที่ติดตั้งมัลแวร์

ThaiCERT ระบุว่า จุดเริ่มต้นของการโจมตีจำนวนมากยังมาจากความผิดพลาดของมนุษย์ โดยผู้โจมตีจะสร้างความน่าเชื่อถือก่อนหลอกให้เหยื่อดำเนินการบางอย่าง ดังนั้น เสียง ภาพ หรือวิดีโอจึงไม่ควรถูกใช้เป็นหลักฐานยืนยันตัวตนเพียงอย่างเดียว

พบ AI ช่วยปฏิบัติการจารกรรมไซเบอร์หลายขั้นตอน

กรณีศึกษาจากรายงานของ Anthropic พบการใช้ AI ในปฏิบัติการจารกรรมไซเบอร์แบบกึ่งอัตโนมัติหลายขั้นตอน ตั้งแต่การสำรวจเครือข่าย การพัฒนาและทดสอบโค้ดโจมตี การรวบรวมข้อมูลรับรองการเข้าถึง ไปจนถึงการถ่ายโอนข้อมูลออกจากองค์กร

รายงานระบุว่า กลุ่มผู้ไม่หวังดีมุ่งเป้าไปยังองค์กรประมาณ 30 แห่ง และสามารถรุกล้ำเข้าสู่ระบบได้บางส่วนในบางกรณี สะท้อนแนวโน้มการเชื่อมต่อ AI เข้ากับเครื่องมือปฏิบัติการทางไซเบอร์ เพื่อดำเนินกิจกรรมโจมตีภายใต้การควบคุมของมนุษย์แบบกึ่งอัตโนมัติ

ขณะเดียวกัน ยังพบการใช้ AI สำรวจช่องโหว่ ขโมยหรือนำข้อมูลรับรองเดิมกลับมาใช้ และรวบรวมข้อมูลสำคัญเพื่อเตรียมเรียกค่าไถ่หรือแสวงหาประโยชน์ โดยบางกรณีผู้โจมตีเข้าควบคุมบัญชีของผู้ให้บริการซอฟต์แวร์ผ่านระบบคลาวด์ หรือ SaaS ก่อนขยายผลไปยังข้อมูลขององค์กรลูกค้า

สถานการณ์ดังกล่าวทำให้องค์กรต้องให้ความสำคัญกับการควบคุมสิทธิ์เข้าถึง การปกป้องโทเคน รหัสผ่าน และกุญแจยืนยันตัวตน รวมถึงตรวจสอบกิจกรรมผิดปกติที่เกิดขึ้นผ่านบริการภายนอก

นอกจากนี้ สำนักงานสอบสวนกลางสหรัฐ หรือ FBI และศูนย์รับเรื่องร้องเรียนอาชญากรรมทางอินเทอร์เน็ต หรือ IC3 ยังเคยรายงานการใช้ข้อความและเสียงสังเคราะห์จาก AI แอบอ้างเป็นเจ้าหน้าที่ระดับสูง เพื่อชักจูงให้เหยื่อเปลี่ยนช่องทางสื่อสารหรือคลิกลิงก์มัลแวร์ภายใต้ข้ออ้างด้านความปลอดภัยและความรวดเร็ว

เสี่ยงลุกลามจากบัญชีเดียวสู่ทั้งเครือข่าย

ThaiCERT ประเมินว่า การใช้ AI สนับสนุนการโจมตีอาจสร้างผลกระทบต่อความมั่นคงปลอดภัยของข้อมูลและความต่อเนื่องทางธุรกิจอย่างน้อย 5 ด้าน ได้แก่

1. ระยะเวลาอุดช่องโหว่ก่อนถูกโจมตีสั้นลง
2. ระบบเก่า ระบบทดสอบ และบริการที่ไม่มีผู้ดูแลถูกค้นพบได้เร็วขึ้น
3. ข้อมูลรับรองที่รั่วไหลถูกนำไปขยายสิทธิ์และโจมตีระบบอื่น
4. ความเสียหายแพร่กระจายผ่านผู้ให้บริการและห่วงโซ่อุปทาน
5. ทีมรักษาความปลอดภัยมีเวลาตรวจจับและควบคุมเหตุการณ์ลดลง

หากผู้โจมตีได้ข้อมูลบัญชีเพียงจุดเดียว อาจใช้เป็นช่องทางเคลื่อนที่ภายในเครือข่าย หรือ Lateral Movement เพื่อเข้าถึงระบบอื่นต่อเนื่อง ทำให้เหตุการณ์เล็กสามารถขยายเป็นการรั่วไหลของข้อมูล การเรียกค่าไถ่ หรือการหยุดชะงักของบริการสำคัญได้

เปิด 10 แนวทางรับมือภัยไซเบอร์จาก AI

ThaiCERT แนะนำให้องค์กรทบทวนความพร้อมทั้งด้านเทคโนโลยี กระบวนการ และบุคลากร โดยจัดลำดับดำเนินการตามความสำคัญของระบบและผลกระทบต่อธุรกิจ ดังนี้

1. อุดช่องโหว่ตามระดับความเสี่ยง
เร่งสแกนและแก้ไขระบบที่เปิดให้บริการผ่านอินเทอร์เน็ต รวมถึงช่องโหว่ที่พบว่าถูกนำไปใช้โจมตีจริง พร้อมกำหนดกรอบเวลาแก้ไขตามระดับความรุนแรง

2. ลดพื้นที่เสี่ยงต่อการโจมตี
จัดทำทะเบียนเว็บไซต์ แอปพลิเคชัน API บริการคลาวด์ ระบบพัฒนา ระบบทดสอบ และ Staging ให้ครบถ้วน ระบุผู้รับผิดชอบ พร้อมปิดบริการที่ไม่มีความจำเป็น

3. บังคับใช้การยืนยันตัวตนหลายขั้นตอน
ใช้ Multi-Factor Authentication หรือ MFA โดยเฉพาะบัญชีผู้ดูแลระบบและบริการคลาวด์สำคัญ รวมถึงพิจารณาใช้ Passkey หรือ FIDO2 และทบทวนสิทธิ์ของบัญชีผู้ใช้ Service Accounts และ API Keys อย่างสม่ำเสมอ

4. แบ่งแยกเครือข่ายและระบบสำคัญ
จำกัดการเข้าถึงภายในองค์กรตามความจำเป็น เพื่อลดโอกาสที่ผู้โจมตีจะเคลื่อนย้ายจากระบบหนึ่งไปยังอีกระบบหนึ่ง

5. ตรวจสอบซอฟต์แวร์และผู้ให้บริการภายนอก
ดูแลความปลอดภัยตั้งแต่ขั้นตอนพัฒนา ทดสอบ และนำระบบขึ้นใช้งาน ตรวจสอบโค้ด ส่วนประกอบซอฟต์แวร์ และความเสี่ยงจากคู่ค้าหรือผู้ให้บริการที่เข้าถึงข้อมูลขององค์กร

6. เพิ่มระบบตรวจจับเหตุผิดปกติ
รวบรวมบันทึกเหตุการณ์จากระบบสำคัญเข้าสู่ศูนย์กลาง เพื่อเชื่อมโยงพฤติกรรม เช่น การใช้สิทธิ์ระดับสูง การเข้าสู่ระบบผิดปกติ หรือการถ่ายโอนข้อมูลจำนวนมาก

7. เพิ่มขั้นตอนป้องกัน Social Engineering
การเปลี่ยนบัญชีรับเงิน เปิดเผยข้อมูลสำคัญ หรือทำรายการมูลค่าสูง ต้องยืนยันผ่านช่องทางอื่นและไม่ให้บุคคลเพียงคนเดียวเป็นผู้อนุมัติ

8. ฝึกซ้อมแผนรับมือเหตุไซเบอร์
กำหนดผู้รับผิดชอบและช่องทางสื่อสารให้ชัดเจน รวมถึงเตรียมขั้นตอนแยกระบบ เปลี่ยนหรือยกเลิกบัญชีที่ถูกโจมตี และรักษาหลักฐานดิจิทัล

9. สำรองข้อมูลตามหลัก 3-2-1
เก็บข้อมูล 3 ชุด บนสื่ออย่างน้อย 2 ประเภท และมีสำเนา 1 ชุดแยกออกจากระบบหลัก พร้อมใช้ระบบสำรองข้อมูลที่แก้ไขหรือลบได้ยาก และทดสอบการกู้คืนเป็นระยะ

10. กำหนดนโยบายกำกับการใช้ AI
ประเมินความเสี่ยงจากการเชื่อมต่อ AI กับระบบและบริการภายนอก จำกัดสิทธิ์เข้าถึง จัดเก็บบันทึกการใช้งาน และกำหนดให้มนุษย์อนุมัติการดำเนินการที่อาจกระทบต่อระบบหรือข้อมูลสำคัญ

ThaiCERT ย้ำว่า หน่วยงานและประชาชนควรติดตามข้อมูลภัยคุกคามจากแหล่งที่เชื่อถือได้ พร้อมทบทวนมาตรการป้องกันอย่างต่อเนื่อง เพื่อให้การนำ AI มาใช้งานดำเนินควบคู่กับการรักษาความปลอดภัยของระบบและข้อมูลอย่างเหมาะสม