สปายแวร์ AdFection คือชื่อที่ Citizen Lab ตั้งให้เทคนิคส่งสปายแวร์ Candiru ผ่านโฆษณาออนไลน์เป้าหมายแบบ zero-click คือแค่โฆษณาแสดงผลบนเครื่องก็ติดได้ ตามรายงานเมื่อ 15 ตุลาคม 2569 (ค.ศ. 2026) บทความนี้เหมาะกับเจ้าของแบรนด์ เอเจนซี เจ้าของแอป และ DPO ที่ซื้อหรือขายโฆษณาโปรแกรมเมติก อ่านแล้วจะรู้ว่าต้องตรวจพาร์ตเนอร์โฆษณาอย่างไร
ลองนึกภาพเจ้าของแอปข่าวที่ขายพื้นที่โฆษณาให้เครือข่ายอัตโนมัติ แล้ววันหนึ่งโฆษณาที่ขึ้นในแอปของตัวเองกลายเป็นประตูให้สปายแวร์เข้าเครื่องผู้อ่าน โดยเจ้าของแอปไม่เห็นโค้ดร้ายสักบรรทัด เรื่องนี้เกิดขึ้นจริงตามรายงาน และย้ายคำถามเรื่องโฆษณาจากความเป็นส่วนตัวไปเป็นความปลอดภัยของระบบ
สรุปสั้น: Citizen Lab รายงานว่าสปายแวร์ Candiru ถูกส่งผ่านโฆษณาเป้าหมายแบบ zero-click โดยผู้ให้บริการโฆษณา Discover-Tech คัดเฉพาะเครื่องเป้าหมายจาก IP และรหัสโฆษณา ผู้ขายพื้นที่โฆษณาจึงไม่เห็นโค้ดร้าย รายงานระบุว่าไทยอยู่ในรายชื่อประเทศที่พบโฆษณา ไม่ได้แปลว่าไทยถูกโจมตี ธุรกิจที่ซื้อ-ขายโฆษณาควรตรวจพาร์ตเนอร์ตามหน้าที่รักษาความปลอดภัยของ PDPA
สปายแวร์ AdFection คืออะไร เกิดอะไรขึ้น
สปายแวร์ AdFection คือเทคนิคที่ Citizen Lab (ห้องวิจัยของมหาวิทยาลัยโตรอนโต) เรียกว่าเป็นการยืนยันทางเทคนิคต่อสาธารณะครั้งแรกว่า สปายแวร์รับจ้างระดับรัฐถูกส่งผ่านโฆษณาเป้าหมายแบบ zero-click ผู้ให้บริการด้านโฆษณา Discover-Tech (อิสราเอล) ใช้แพลตฟอร์ม Controlium และ MyDSP คัดอุปกรณ์เป้าหมายจาก IP และรหัสโฆษณา แล้วส่งโค้ดอันตรายเฉพาะเครื่องที่ตรงเงื่อนไข เครื่องอื่นไม่ได้รับโค้ดนั้น
ตัวเลขในรายงานมาจากการวิเคราะห์บันทึกการประมูลโฆษณาราว 4 พันล้านรายการ ระหว่างมีนาคมถึงมิถุนายน 2569 MyDSP เสนอราคา 3.77 พันล้านการแสดงผลและชนะ 442 ล้านครั้ง โฆษณาที่มีสคริปต์ต้องสงสัยปรากฏในแอป 75,373 แอป และเว็บไซต์ 120,768 แห่ง กับผู้ใช้ใน 161 ประเทศ ตัวเลขชุดนี้ไม่ใช่จำนวนผู้ติดเชื้อ แต่ Citizen Lab ประเมินว่ามีผู้ใช้ระดับหลักแสนถึงหลักล้านถูกพาไปยังโดเมนที่เชื่อมกับ Candiru
| ประเด็น | ข้อเท็จจริงตามรายงาน |
|---|---|
| ผู้เผยแพร่ | Citizen Lab เมื่อ 15 ตุลาคม 2569 |
| ผู้ให้บริการโฆษณาที่ถูกระบุ | Discover-Tech (อิสราเอล) ผ่าน Controlium และ MyDSP |
| บันทึกที่วิเคราะห์ | ราว 4 พันล้านรายการ (มี.ค.–มิ.ย. 2569) |
| แอป / เว็บที่พบสคริปต์ต้องสงสัย | 75,373 แอป · 120,768 เว็บไซต์ · ผู้ใช้ 161 ประเทศ |
| เหยื่อที่ยืนยัน | Al Jazeera อย่างน้อย 45 เครื่อง (2567–2568) ถูกใส่ Candiru |
หลังรายงาน Google ตัด Discover-Tech ออกจากระบบแลกเปลี่ยนโฆษณา Google และ IAB Europe ลบออกจากทะเบียนผู้ขายเมื่อต้นตุลาคม 2569 Beeswax ลบบัญชี Vungle ระงับ และ Eskimi บล็อกบัญชี ส่วน Xandr ไม่ตอบภายในเวลาที่กำหนด Citizen Lab เรียกร้องให้หน่วยงานกำกับตรวจสอบว่า Discover-Tech และ Candiru ฝ่าฝืนกฎหมายหรือไม่ ซึ่งยังเป็นข้อเรียกร้อง ไม่ใช่ข้อสรุปว่าผิด
สปายแวร์ AdFection กระทบธุรกิจไทยอย่างไร
สปายแวร์ AdFection กระทบธุรกิจไทยตรงที่ห่วงโซ่โฆษณาที่ซื้อขายอัตโนมัติกลายเป็นช่องทางส่งมัลแวร์ได้ ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน รายงานระบุว่าไทยอยู่ในรายชื่อประเทศที่พบการแสดงผลโฆษณาของ Discover-Tech บนเครือข่ายที่ภาครัฐดำเนินการ และมีผู้ใช้ Controlium 1 รายล็อกอินจากไทย ซึ่งไม่ได้แปลว่าไทยถูกโจมตี เป็นผู้ซื้อ หรือหน่วยงานไทยทำผิด
แบรนด์และเอเจนซีที่ซื้อโฆษณาโปรแกรมเมติกต้องเจออะไร
แบรนด์และเอเจนซีต้องตอบให้ได้ว่าโฆษณาของตนวิ่งผ่าน DSP และ SSP รายใดบ้าง และรายนั้นอยู่ในรายชื่อที่ถูกถอดหรือไม่ แบรนด์ที่ยกการซื้อสื่อให้เอเจนซีทั้งก้อนอาจถูกถามว่าตรวจพาร์ตเนอร์อย่างเหมาะสมหรือยัง เรื่องการยืนยันตัวตนผู้ลงโฆษณาสรุปไว้ใน ETDA ให้แพลตฟอร์มพิสูจน์ตัวตนผู้ลงโฆษณาก่อนเผยแพร่ทุกครั้ง SME และเอเจนซี่ยิงแอดต้องเตรียมอะไรก่อน พ.ย. 69
เจ้าของแอปและเว็บที่ขายพื้นที่โฆษณาต้องระวังอะไร
เจ้าของแอปและเว็บที่ขายพื้นที่โฆษณาต้องรู้ว่าเครือข่ายโฆษณาที่เชื่อมอยู่ปล่อยสคริปต์อะไรเข้ามาในหน้าของตน เพราะผู้ใช้ของตนคือคนที่ได้รับโฆษณา ควรตั้งบล็อกสคริปต์ที่ไม่รู้ที่มา และทบทวนรายชื่อพาร์ตเนอร์เป็นระยะ ข้อกำหนดความปลอดภัยขั้นต่ำตาม PDPA อธิบายไว้ใน คู่มือ: มาตรการรักษาความมั่นคงปลอดภัยขั้นต่ำตาม PDPA ต้องมีอะไรบ้าง?
PDPA กำหนดหน้าที่อะไรเมื่อโฆษณากลายเป็นช่องทางโจมตี
PDPA มาตรา 37(1) กำหนดให้ผู้ควบคุมข้อมูลจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และการเลือกผู้ประมวลผลหรือพาร์ตเนอร์โฆษณาเป็นส่วนหนึ่งของหน้าที่นี้ ผู้เขียนมองว่า ผู้ควบคุมข้อมูลที่ยกงานโฆษณาให้เอเจนซีทั้งก้อนอาจต้องแสดงได้ว่าได้ตรวจสอบพาร์ตเนอร์อย่างเหมาะสม นี่เป็นการวิเคราะห์ ไม่ใช่คำวินิจฉัยของ สคส. บทเรียนเรื่องผู้ให้บริการภายนอกทำข้อมูลรั่วดูได้ใน 44 รัฐสหรัฐฯ ปรับ Labcorp $2.3M เพราะ vendor ทำข้อมูลรั่ว บทเรียน Vendor Governance ที่ธุรกิจไทยใช้ได้ทันที
ถ้าไม่ทำอะไรเลย เสี่ยงอะไร
ถ้าไม่ทำอะไร องค์กรเสี่ยงที่จะไม่รู้ว่าโฆษณาของตนวิ่งผ่านพาร์ตเนอร์ที่ถูกถอดออกจากระบบไปแล้ว และไม่มีหลักฐานว่าเคยตรวจ เมื่อเกิดเหตุกับผู้ใช้หรือพนักงาน จะอธิบายต่อ สคส. ได้ยากว่าวางมาตรการรักษาความปลอดภัยของข้อมูลส่วนบุคคลตามมาตรา 37(1) ไว้อย่างไร
ธุรกิจที่ซื้อ-ขายโฆษณาควรทำอะไรตอนนี้
ธุรกิจที่ซื้อ-ขายโฆษณาโปรแกรมเมติกควรทำ 4 เรื่องเพื่อตรวจพาร์ตเนอร์และลดความเสี่ยงจากสปายแวร์ AdFection โดยไม่ต้องรอข่าวว่าไทยได้รับผลกระทบจริง
- 1. ทำแผนผังพาร์ตเนอร์โฆษณา ขอรายชื่อ DSP SSP และเครือข่ายโฆษณาที่เอเจนซีใช้จริง แล้วเทียบกับรายชื่อที่ถูกถอดตามรายงาน
- 2. ตรวจสคริปต์บุคคลที่สามบนแอปและเว็บ ตั้งบล็อกสคริปต์ที่ไม่รู้ที่มา และสั่งให้ผู้ให้บริการโฆษณาแจ้งก่อนเพิ่มพาร์ตเนอร์ใหม่
- 3. ใส่ข้อแจ้งเหตุในสัญญาเอเจนซีและพาร์ตเนอร์ กำหนดให้แจ้งทันทีเมื่อพบพาร์ตเนอร์ถูกถอดหรือสงสัยว่าส่งโค้ดอันตราย
- 4. เปิดโหมดป้องกันให้คนเสี่ยงสูง ใช้ Lockdown Mode หรือตัวบล็อกเนื้อหากับผู้บริหาร นักข่าว และบุคลากรที่เข้าถึงข้อมูลสำคัญ
ถ้าต้องการคนช่วยทบทวนสัญญาและรายชื่อพาร์ตเนอร์ ดูได้ที่ บริการ AI Governance และ PDPA ของ Kooru และอ่านเรื่องการซื้อโฆษณาในแชต AI เพิ่มใน ChatGPT Ads เปิดในไทยแล้ว SME ที่อยากลงโฆษณาในแชต AI ต้องรู้อะไรเรื่องกฎหมายและข้อมูลลูกค้า
มุมมองผู้เชี่ยวชาญ
ข้อสังเกตเชิงวิชาชีพของผมคือ ข่าวนี้ย้ายโฆษณาจากแผนกการตลาดไปอยู่ในแผนกความปลอดภัย ช่องโฆษณาที่เราซื้อเพื่อหาลูกค้า อาจเป็นช่องเดียวกับที่คนแอบเข้าเครื่องลูกค้าก็ได้ จุดที่องค์กรมักพลาดคือไม่รู้ว่าโฆษณาวิ่งผ่านพาร์ตเนอร์รายใด เพราะยกให้เอเจนซีทั้งก้อน ควรขอรายชื่อและใส่ข้อแจ้งเหตุในสัญญาก่อนเกิดเรื่อง
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับสปายแวร์ AdFection
สปายแวร์ AdFection ติดเครื่องได้อย่างไร
ตามรายงานของ Citizen Lab โฆษณาที่ถูกคัดเฉพาะเครื่องเป้าหมายจาก IP และรหัสโฆษณาจะส่งโค้ดอันตรายแบบ zero-click คือไม่ต้องกด แค่โฆษณาแสดงผลบนเครื่องก็ติดได้ เครื่องอื่นไม่ได้รับโค้ดนั้น
ตัวเลข 161 ประเทศหมายถึงมีคนติดสปายแวร์ 161 ประเทศใช่หรือไม่
ไม่ใช่ ตัวเลขนี้คือประเทศที่พบผู้ใช้ซึ่งเห็นโฆษณาที่มีสคริปต์ต้องสงสัย ไม่ใช่จำนวนผู้ติดเชื้อ Citizen Lab ประเมินว่ามีผู้ใช้หลักแสนถึงหลักล้านถูกพาไปยังโดเมนที่เชื่อมกับ Candiru
ไทยถูกโจมตีด้วยสปายแวร์ AdFection หรือไม่
ไม่มีข้อมูลยืนยันเช่นนั้น รายงานระบุว่าไทยอยู่ในรายชื่อประเทศที่พบการแสดงผลโฆษณาของ Discover-Tech บนเครือข่ายที่ภาครัฐดำเนินการ และมีผู้ใช้ Controlium 1 รายล็อกอินจากไทย ซึ่งไม่ได้แปลว่าไทยถูกโจมตีหรือเป็นผู้ซื้อ
อ่านต่อ: ความรู้ที่เกี่ยวกับเรื่องนี้
- สัญญาประมวลผลข้อมูลส่วนบุคคล (ผู้ควบคุม–ผู้ประมวลผล) ต้องมีอะไรบ้าง — ข้อตกลงที่ PDPA กำหนดให้มีเมื่อส่งข้อมูลให้ผู้อื่นทำงานแทน เช่น เอเจนซีที่ดูแลข้อมูลลูกค้าให้ (ok.aipdpa.com)
แหล่งอ้างอิง
- Citizen Lab — (อ่านต้นฉบับ) — อ่านรายงานที่ Citizen Lab
- BleepingComputer — (อ่านต้นฉบับ) — อ่านข่าวที่ BleepingComputer
- Privacy Guides — (อ่านต้นฉบับ) — อ่านข่าวที่ Privacy Guides
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
