สี่เดือนที่ AI เริ่มลงมือแทนคน สรุปภัยไซเบอร์ไทย

Last updated: 11 Aug 2026

55 Views

สี่เดือนที่ AI เริ่มลงมือแทนคน สรุปภัยไซเบอร์ไทย พฤษภาคม ถึง สิงหาคม 2569

บทความจากทีมข่าวกรองภัยคุกคาม E-C.O.P เรียบเรียงจากรายงาน Erawan66 Issue 02 (TLP: CLEAR)

ถ้าจะเลือกคำเดียวมาสรุปไตรมาสนี้ในมุมความมั่นคงปลอดภัย คำนั้นคือ พร่าเลือน เพราะสี่เดือนที่ผ่านมา ตั้งแต่พฤษภาคมถึงสิงหาคม 2569 เป็นช่วงที่เส้นแบ่งเดิม ๆ ของโลกไซเบอร์ไทยเริ่มจางลงพร้อมกันหลายเส้น เส้นระหว่างการเมืองกับไซเบอร์ เส้นระหว่างการก่อกวนกับการหาเงิน และที่น่าตกใจที่สุดคือเส้นระหว่างเครื่องมือกับผู้ลงมือ เพราะไตรมาสนี้เป็นครั้งแรกที่เราเห็น AI ทำหน้าที่แทนแฮ็กเกอร์ในการโจมตีหน่วยงานรัฐของไทยจริง

ก่อนเข้าเนื้อหา ขอเล่าเรื่องที่เราถือเป็นเครื่องวัดตัวเองสักหน่อย ในฉบับที่แล้วเราวางคำทำนายไว้ห้าข้อ ไตรมาสนี้เป็นจริงสี่ข้อ บวกอีกหนึ่งข้อที่เป็นจริงบางส่วน ทั้งเรื่องการโจมตีอุปกรณ์ขอบ การเติบโตของเครื่องมือ AI เชิงรุก และการที่โทรจันการเงินเปลี่ยนไปสวมรอยแบรนด์รัฐ เราเล่าเรื่องนี้ไม่ใช่เพื่ออวด แต่เพื่อบอกว่าภาพที่กำลังจะเล่าต่อจากนี้ตั้งอยู่บนการอ่านทิศทางที่พิสูจน์มาแล้วว่าพอเชื่อถือได้

บทความนี้ชวนอ่านว่าเกิดอะไรขึ้นบ้าง เรื่องไหนน่าสนใจ และเทรนด์ใดที่องค์กรไทยควรจับตาต่อในครึ่งปีหลัง

เมื่อ AI ลงมือเอง กรณีกระทรวงการคลัง

เรื่องเด่นที่สุดของไตรมาสไม่ได้อยู่ที่ความเสียหายที่มากที่สุด แต่อยู่ที่ความแปลกใหม่ที่สุด ผู้โจมตีใช้เครื่องมือชื่อ Hermes ซึ่งเป็น autonomous AI agent แบบโอเพนซอร์สที่เปิดตัวเมื่อต้นปี 2569 ปล่อยให้ทำงานหลังเจาะระบบแบบไม่มีคนคอยสั่ง เพื่อโจมตีกระทรวงการคลัง จุดที่ทำให้เรื่องนี้ต่างจากการใช้เครื่องมือ AI ช่วยงานทั่วไปคือโหมดที่เรียกว่า YOLO mode ซึ่งตัดขั้นตอนให้คนอนุมัติคำสั่งอันตรายออกไปทั้งหมด ปล่อยให้ซอฟต์แวร์ตัดสินใจและลงมือเอง

ในทางเทคนิค agent ตัวนี้ทำงานที่เคยต้องอาศัยผู้เชี่ยวชาญ ทั้งการยกระดับสิทธิ์ การสแกนหาช่องโหว่ระดับ kernel การสำรวจ service ที่เปิดอยู่ และการค้นไฟล์ในระบบ โดยพุ่งเป้าไปที่บริการภายในอย่าง Hadoop, Apache Ambari, GlassFish และ mail server พร้อมเตรียม implant ไว้ในระบบ ร่องรอยทั้งหมดถูกพบเมื่อมี open directory หลุดออกมาบนเซิร์ฟเวอร์ที่โฮสต์ในฮ่องกง หน่วยงานอย่าง NCSA และ ThaiCERT ได้รับแจ้งเหตุและตอบรับภายในวันเดียวกัน ก่อนที่ทีมข่าวกรองภายนอกจะเผยแพร่รายละเอียดต่อสาธารณะในเวลาต่อมา

ทำไมเรื่องนี้จึงสำคัญกว่าที่เห็น เพราะมันเปลี่ยนคำทำนายเรื่อง AI จากสิ่งที่อาจเกิด ให้กลายเป็นสิ่งที่เกิดแล้ว และในบริบทของไทยด้วย เมื่อการโจมตีที่เคยต้องใช้คนเก่งและเวลาหลายวัน ถูกย่นให้ซอฟต์แวร์ทำได้เองในเวลาสั้นลงมาก สมการของฝ่ายตั้งรับก็เปลี่ยนไป องค์กรที่ยังพึ่งการแก้ไขช่องโหว่ตามรอบเดือนจะเริ่มรู้สึกว่าตามไม่ทัน

การเมืองชายแดนที่กลายเป็นสงครามไซเบอร์

อีกเรื่องที่กำหนดบรรยากาศทั้งไตรมาสคือความตึงเครียดตามแนวชายแดนไทยกัมพูชา ซึ่งสะท้อนกลับเข้าสู่พื้นที่ดิจิทัลแทบจะทันที กลุ่มแฮ็กทิวิสต์อย่าง AnonSecKh หรือที่รู้จักในชื่อ Bl4ckCyb3r เร่งการโจมตีแบบทำให้บริการล่ม และการเปลี่ยนหน้าเว็บใส่หน่วยงานรัฐ กองทัพ และภาคการผลิต โดยจังหวะการโจมตีเดินตามเหตุการณ์จริงบนพื้นดินอย่างใกล้ชิด

สิ่งที่ทำให้คลื่นนี้น่าจับตาไม่ใช่ความซับซ้อนทางเทคนิค แต่เป็นความถี่และความสอดคล้องกับข่าว รวมถึงสัญญาณของการเปลี่ยนผ่าน จากการก่อกวนเพื่ออุดมการณ์ ไปสู่การหาเงิน ผ่านการจับมือกับกลุ่มที่มีประวัติเรียกค่าไถ่ หากแนวโน้มนี้เป็นจริงและต่อเนื่อง ความเสี่ยงจะยกระดับจากบริการล่มชั่วคราว ไปสู่การที่ข้อมูลถูกขโมยและถูกเข้ารหัส บทเรียนสำคัญคือ องค์กรไม่ควรมองการก่อกวนที่เห็นอยู่หน้าฉากว่าเป็นเพียงเรื่องภาพลักษณ์ เพราะบางครั้งมันเป็นเพียงควันที่บังการเจาะข้อมูลอยู่เบื้องหลัง

โทรจันการเงินที่หลอกผ่านใบหน้าได้

ในฝั่งของผู้ใช้ทั่วไป อาชญากรรมการเงินผ่านมือถือก็ยกระดับความแนบเนียนขึ้นอีกขั้น โครงข่ายมัลแวร์แบบให้บริการที่เชื่อมโยงกับศูนย์สแกมในกัมพูชา จดโดเมนใหม่ราว 35 โดเมนต่อเดือน เพื่อสวมรอยธนาคาร ประกันสังคม สรรพากร และหน่วยงานสาธารณูปโภค ครอบคลุมอย่างน้อย 21 ประเทศ โดยไทยเป็นหนึ่งในกลุ่มที่ถูกโจมตีหนักที่สุด

ความสามารถที่น่ากังวลที่สุดคือการดักจับข้อมูลใบหน้าระหว่างกระบวนการยืนยันตัวตนแบบ e-KYC ที่เป็นการหลอกลวง ควบคู่กับการดักรหัส OTP สิ่งนี้ทำลายสมมติฐานที่หลายองค์กรยึดถือว่า การยืนยันด้วยใบหน้าคือด่านสุดท้ายที่ปลอมไม่ได้ การที่ผู้ปฏิบัติการหันไปสวมรอยแบรนด์รัฐและสาธารณูปโภคมากขึ้น ยังเกิดขึ้นหลังการยึดทรัพย์มูลค่า 13.07 พันล้านบาทของหน่วยงานบังคับใช้กฎหมายไทย ซึ่งสะท้อนว่าผู้ปฏิบัติการปรับตัวด้วยการกระจายความเสี่ยงไปยังแบรนด์ที่หลากหลายขึ้น สำหรับสถาบันการเงิน ข้อเสนอให้พิจารณาคือการเสริมการตรวจจับการถ่ายสด และการให้ความรู้ลูกค้าอย่างสม่ำเสมอว่าหน่วยงานจริงจะไม่ขอให้ติดตั้งแอปนอกสโตร์ทางการ หรือกรอกรหัสผ่านลิงก์

ช่องโหว่บนอุปกรณ์ขอบที่กลายเป็นประตูหน้า

เรื่องที่สี่คือช่องโหว่บนอุปกรณ์เชื่อมต่อขอบเครือข่าย ในไตรมาสนี้ช่องโหว่ CVE-2026-0257 บนซอฟต์แวร์ PAN-OS ในส่วนเกตเวย์ GlobalProtect ถูกใช้โจมตีจริงภายในไม่กี่วันหลังการเปิดเผย ต้นตอของปัญหาอยู่ที่การใช้ใบรับรองร่วมกันข้ามบริการ ทำให้ผู้โจมตีปลอม session cookie เพื่อข้ามการยืนยันตัวตนและสร้างการเชื่อมต่อ VPN เข้าสู่เครือข่ายภายในได้

ช่องโหว่ประเภทข้ามการยืนยันตัวตนแบบนี้เทียบได้กับการที่ผู้โจมตีเข้าประตูหน้าได้โดยไม่ต้องมีกุญแจของใครเลย และมักเป็นก้าวแรกก่อนการขยับเข้าไปในระบบภายใน สำหรับองค์กรไทยจำนวนมากที่เปิดอุปกรณ์ VPN ไว้ตลอดเวลาเพื่อให้พนักงานเข้าระบบจากภายนอก อุปกรณ์เหล่านี้จึงกลายเป็นพื้นผิวการโจมตีลำดับต้นที่ต้องบริหารการอัปเดตอย่างจริงจัง เหตุการณ์นี้ยังยืนยันคำทำนายจาก Erawan66 Issue 01 ที่ว่าแคมเปญโจมตีอุปกรณ์ขอบจะขยายพ้นผู้ผลิตเดิมไปยังผู้ผลิตรายอื่น

เทรนด์ที่เชื่อมทุกเรื่องเข้าด้วยกัน

ภายใต้เหตุการณ์ที่ดูกระจัดกระจาย มีจุดร่วมหนึ่งที่ชัดเจน ผู้โจมตีในไตรมาสนี้ไม่ได้เก่งขึ้น เขาแค่หยิบของสำเร็จรูปมาใช้ ทั้ง AI ที่ดาวน์โหลดได้ฟรี มัลแวร์แบบเช่าใช้ และช่องโหว่ที่เปิดเผยต่อสาธารณะอยู่แล้ว ต้นทุนการเป็นผู้โจมตีถูกลงจนคนที่ไม่ได้มีทักษะสูงก็สร้างความเสียหายระดับใหญ่ได้ นี่คือการเปลี่ยนแปลงเชิงโครงสร้างของภูมิทัศน์ภัยคุกคาม ไม่ใช่เพียงเครื่องมือชิ้นใดชิ้นหนึ่งที่โผล่ขึ้นมา

เมื่อรวมกับกรณีกระทรวงการคลัง ภาพที่ได้จึงชัดเจนขึ้น เทรนด์ที่ควรจับตาที่สุดเข้าสู่ครึ่งปีหลังคือการที่ AI เริ่มลงมือแทนคนได้เอง เมื่อวงจรตั้งแต่ช่องโหว่ถูกเปิดเผยจนถึงการมีการโจมตีที่ใช้งานได้จริงสั้นลงเรื่อย ๆ การป้องกันที่พึ่งความเร็วของมนุษย์เพียงอย่างเดียวจะเริ่มไม่พอ

ตรวจคำทำนายและมองไปข้างหน้า

จุดเด่นอย่างหนึ่งของ Erawan66 คือการตรวจสอบคำทำนายของฉบับก่อนอย่างตรงไปตรงมา ในไตรมาสนี้ คำทำนายจาก Issue 01 เป็นจริงสี่ข้อจากห้า บวกอีกหนึ่งข้อที่เป็นจริงบางส่วน โดยคำทำนายด้านการโจมตีอุปกรณ์ขอบ การเติบโตของเครื่องมือโจมตีที่ขับเคลื่อนด้วย AI และการเปลี่ยนแบรนด์ของโทรจันการเงิน แม่นยำเป็นพิเศษ ความโปร่งใสในการยอมรับทั้งสิ่งที่ทำนายถูกและสิ่งที่ยังไม่ชัดเจน คือรากฐานของความน่าเชื่อถือในงานข่าวกรอง

สำหรับสิ่งที่ควรทำต่อ องค์กรควรพิจารณาบริหารการอัปเดตอุปกรณ์ขอบเชิงรุก โดยจัดลำดับตามช่องโหว่ที่ถูกใช้โจมตีจริง เสริมความทนทานต่อการโจมตีแบบทำให้บริการล่ม เตรียมพร้อมรับมือค่าไถ่ด้วยสำเนาข้อมูลออฟไลน์ที่ทดสอบการกู้คืนได้ เฝ้าระวังโดเมนและแอปปลอมที่สวมรอยแบรนด์ และที่สำคัญในไตรมาสนี้คือการยกระดับการล่าภัยเชิงรุก เพราะกรณีที่เห็นทั้ง Devman และ Hermes ล้วนมีช่วงที่ผู้โจมตีอยู่ในระบบนานพอที่การเฝ้าดูพฤติกรรมจะจับสัญญาณได้ก่อนความเสียหายจริง

สำหรับผู้บริหารและคณะกรรมการ สาระสำคัญคือความเสียหายไม่ได้จำกัดที่ระบบเทคโนโลยี แต่กระทบต่องบประมาณ การปฏิบัติตามกฎหมายอย่าง PDPA และความเชื่อมั่นของลูกค้า การเตรียมพร้อมจึงเป็นการบริหารความเสี่ยงขององค์กร คำถามที่ควรถามฝ่ายบริหารในวาระถัดไปไม่ใช่เพียงว่าเราถูกโจมตีหรือยัง แต่เป็นว่าเราปิดช่องพื้นฐานได้ครบเพียงใด และหากวันหนึ่ง AI ลงมือโจมตีเราเองแบบที่เกิดกับกระทรวงการคลัง เราจะรู้ตัวภายในกี่นาที

อ่านรายงานฉบับเต็ม Erawan66 Issue 02 (TLP:CLEAR) ได้ที่ https://www.send.co/a/TZJvyrWI หรือติดต่อทีมข่าวกรองภัยคุกคามที่ info@bcg-ecop.net

หมายเหตุ บทความและรายงานจัดทำเพื่อการสร้างความตระหนักด้านความมั่นคงปลอดภัยไซเบอร์ ไม่ถือเป็นคำแนะนำเฉพาะกรณี ผู้อ่านควรใช้วิจารณญาณและตรวจสอบข้อมูลเพิ่มเติมก่อนตัดสินใจ

Tags :

#YourTrustedCybersecuritServicesCompany