AI ขึ้นแท่นความเสี่ยงไซเบอร์อันดับ 1 ไทย จับตาภัยควอนตัม

สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) เปิดผล “รายงานการประเมินความเสี่ยงจากภัยคุกคามทางไซเบอร์ของประเทศไทย พ.ศ. 2569” พบว่า การใช้ AI สนับสนุนการโจมตีและการโจมตีระบบ AI เป็นความเสี่ยงที่ผู้ตอบแบบประเมินเลือกให้ความสำคัญมากที่สุด ขณะที่มัลแวร์เรียกค่าไถ่ การขโมยข้อมูลรับรองตัวตน และช่องโหว่ซอฟต์แวร์ยังเป็นภัยสำคัญ พร้อมเริ่มจับตาความเสี่ยงจากเทคโนโลยีควอนตัม

รายงานดังกล่าวจัดทำภายใต้กรอบการประเมินความเสี่ยงจากภัยคุกคามทางไซเบอร์ระดับประเทศของประเทศไทย หรือ TH-NCRAF 2026 เพื่อสะท้อนภาพความเสี่ยงและแนวโน้มภัยคุกคามที่ประเทศต้องเตรียมรับมือในช่วง 2 ปีข้างหน้า

การประเมินรวบรวมข้อมูลจากผู้ตอบแบบประเมิน 235 ราย จากหน่วยงานที่เข้าร่วม 134 หน่วยงาน นำรายการความเสี่ยง 1,156 รายการมาวิเคราะห์ ครอบคลุม 20 สถานการณ์ความเสี่ยง ตั้งแต่ R1–R20 โดยพบว่า 49.8% ของรายการความเสี่ยงที่ประเมินอยู่ในระดับสูง สะท้อนความจำเป็นในการเตรียมพร้อมรับมือทั้งภัยคุกคามเดิมและภัยรูปแบบใหม่

AI เสี่ยงทั้งเครื่องมือโจมตีและระบบที่ถูกโจมตี

ผลประเมินระบุว่า สถานการณ์ R19 หรือการใช้ AI สนับสนุนการโจมตีและการโจมตีระบบ AI หรือ AI-Enabled Attack ถูกเลือกเป็นความเสี่ยงสำคัญมากที่สุด โดย 68.1% ของผู้ตอบเลือกเป็นความเสี่ยงสำคัญ และ 40.0% ของผู้ตอบจัดให้เป็นความเสี่ยงอันดับ 1

นอกจากนี้ ผลประเมินยังระบุว่า 70.0% ประเมินความเสี่ยงดังกล่าวอยู่ในระดับสูง ขณะที่ 84.2% ของผู้บริหารเลือก AI เป็นความเสี่ยงสำคัญ แสดงให้เห็นว่าประเด็นนี้ได้รับความสนใจในระดับการบริหารองค์กรด้วย

ความเสี่ยงจาก AI ไม่ได้จำกัดอยู่เฉพาะการนำเทคโนโลยีมาเพิ่มประสิทธิภาพการโจมตี แต่ยังครอบคลุมการโจมตีระบบ AI โดยตรง ซึ่งอาจกระทบต่อระบบงานขององค์กร และขยายผลไปยังหน่วยงานที่เชื่อมโยงกัน

สำหรับโอกาสเกิดผลกระทบต่อเนื่องข้ามภาคส่วนจาก AI ผลประเมินระบุสัดส่วน 20.0% สูงที่สุดในบรรดา 20 สถานการณ์ที่ประเมิน

ทั้งนี้ ตัวเลขดังกล่าวเป็นผลการเลือกและประเมินความเสี่ยง ไม่ใช่สัดส่วนของเหตุโจมตีไซเบอร์ที่เกิดขึ้นจริงในประเทศไทย โดยข้อมูลสรุปที่ใช้ประกอบข่าวไม่ได้ระบุฐานคำนวณของตัวเลข 70.0% และ 20.0% อย่างชัดเจน

เปิด 5 ความเสี่ยงที่ถูกเลือกมากที่สุด

เมื่อพิจารณาสถานการณ์ความเสี่ยงตามสัดส่วนผู้ตอบที่เลือกให้ความสำคัญมากที่สุด 5 อันดับ พบว่า

1. R19 การใช้ AI สนับสนุนการโจมตีและการโจมตีระบบ AI 68.1%
2. R4 มัลแวร์เรียกค่าไถ่ หรือ Ransomware 39.6%
3. R6 การขโมยข้อมูลรับรองตัวตน หรือ Credential Theft 38.7%
4. R20 ความเสี่ยงจากเทคโนโลยีควอนตัม หรือ Quantum Threat / PQC 36.6%
5. R5 ช่องโหว่แบบ Zero-Day 35.7%

แม้ AI จะขึ้นมาเป็นความเสี่ยงที่ถูกเลือกมากที่สุด แต่ผลประเมินสะท้อนว่า ภัยพื้นฐานอย่างมัลแวร์เรียกค่าไถ่ การขโมยข้อมูลรับรองตัวตน และช่องโหว่ซอฟต์แวร์ยังเป็นประเด็นที่องค์กรต้องให้ความสำคัญควบคู่กัน

ขณะเดียวกัน การที่ความเสี่ยงจากเทคโนโลยีควอนตัมติดอันดับ 4 ตามสัดส่วนผู้ตอบที่เลือก ชี้ให้เห็นว่าองค์กรจำเป็นต้องเริ่มเตรียมพร้อมสำหรับการเปลี่ยนผ่านสู่การเข้ารหัสที่ทนทานต่อภัยคุกคามจากคอมพิวเตอร์ควอนตัม หรือ Post-Quantum Cryptography (PQC)

เหตุเดียวอาจลุกลามข้ามหน่วยงาน

อีกประเด็นสำคัญของรายงานคือความเสี่ยงเชิงระบบ หรือ Cascade Effect ซึ่งเหตุการณ์ไซเบอร์หนึ่งเหตุการณ์อาจสร้างผลกระทบต่อเนื่องผ่านระบบที่เชื่อมโยงกัน ห่วงโซ่อุปทาน และผู้ให้บริการภายนอก ทำให้ผลกระทบอาจขยายเกินกว่าหน่วยงานที่เกิดเหตุ

ภาคส่วนที่ผู้ตอบประเมินว่าอาจได้รับผลกระทบต่อเนื่องมากที่สุด ได้แก่ บริการภาครัฐที่สำคัญ 53.6% รองลงมาคือ การเงินการธนาคาร 50.2% และ เทคโนโลยีสารสนเทศและโทรคมนาคม 47.2%

สำหรับความเสี่ยงจากห่วงโซ่อุปทาน หรือ Supply Chain แม้มีระดับความเสี่ยงเฉลี่ยปานกลาง แต่มีโอกาสขยายผลกระทบข้ามหน่วยงานสูงเป็นอันดับ 2 สะท้อนว่าการจัดลำดับความสำคัญในการรับมือภัยไซเบอร์ต้องพิจารณาทั้งระดับความเสี่ยงภายในองค์กรและผลกระทบที่อาจส่งต่อไปยังระบบอื่น

ยกระดับกำกับ AI ควบคู่ป้องกันภัยเดิม

รายงานเสนอแนวทางให้หน่วยงานนำไปปรับใช้ตามบริบทและระดับความเสี่ยงของตนเอง โดยครอบคลุม 4 ด้านสำคัญ

การกำกับดูแล AI หรือ AI Governance หน่วยงานควรจัดทำแนวปฏิบัติในการใช้ AI กำกับดูแลระบบ AI และคงการควบคุมโดยมนุษย์ หรือ Human Oversight เพื่อให้การใช้งานมีกรอบกำกับที่ชัดเจน

ความปลอดภัยด้านตัวตนและการเข้าถึงระบบ หรือ Identity & Access Security ควรใช้การยืนยันตัวตนหลายปัจจัย หรือ MFA ควบคุมบัญชีที่มีสิทธิ์สูง และประยุกต์ใช้แนวคิด Zero Trust ในการจัดการสิทธิ์เข้าถึง

ความพร้อมรับมือมัลแวร์เรียกค่าไถ่ หรือ Ransomware Resilience ควรสำรองข้อมูลแยกส่วน ทดสอบการกู้คืน และฝึกซ้อมแผนตอบสนองเหตุการณ์ หรือ Incident Response เพื่อเตรียมพร้อมเมื่อระบบได้รับผลกระทบจากการโจมตี

การบริหารจัดการช่องโหว่ หรือ Vulnerability Management ควรจัดการแพตช์และตั้งค่าระบบให้มีความมั่นคงปลอดภัย เพื่อลดโอกาสถูกโจมตีผ่านช่องโหว่ของซอฟต์แวร์และระบบงาน

ภูมิทัศน์ความเสี่ยงเปลี่ยน องค์กรต้องปรับแผน

ข้อมูลสรุปรายงานระบุว่า จากเดิมที่การใช้ช่องโหว่ซอฟต์แวร์เจาะระบบเป็นความเสี่ยงอันดับ 1 ในปี 2568 สู่การโจมตีเกี่ยวกับ AI ที่ถูกเลือกเป็นความเสี่ยงสำคัญมากที่สุดในปี 2569 สะท้อนการเปลี่ยนแปลงของภูมิทัศน์ความเสี่ยงไซเบอร์ไทย

โจทย์ขององค์กรจึงเป็นการปรับแผนรับมือให้ครอบคลุมทั้งความเสี่ยงจาก AI ภัยพื้นฐานที่ยังมีความสำคัญ และความเสี่ยงระยะข้างหน้าจากเทคโนโลยีควอนตัม พร้อมพิจารณาความเชื่อมโยงกับหน่วยงานและผู้ให้บริการภายนอก เพราะเหตุโจมตีที่เริ่มต้นจากจุดเดียวอาจส่งผลต่อบริการสำคัญในหลายภาคส่วนได้