Antino backdoor คือโปรแกรมแฝงตัวที่ Cisco Talos พบในแคมเปญโจมตีที่เชื่อมโยงกับจีน ใช้สำรวจระบบ ขโมยไฟล์ และฝังตัวในเครื่องเป้าหมายระยะยาว แคมเปญนี้ระบุชื่อรัฐบาลไทยเป็นหนึ่งในเป้าหมาย บทความนี้เหมาะกับหน่วยงานรัฐ ผู้รับเหมารัฐ สำนักงานกฎหมาย และมหาวิทยาลัยที่ทำงานด้าน AI จะได้รู้ว่าเสี่ยงตรงไหนและป้องกันอย่างไร
ลองนึกภาพทนายในสำนักงานกฎหมายที่ทำงานด้านนโยบาย AI ได้อีเมลจาก “เจ้าหน้าที่ต่างประเทศ” แนบลิงก์เอกสารใน OneDrive คลิกไปสองสามทอดก็เจอหน้าล็อกอินที่หน้าตาเหมือนของจริงทุกอย่าง แคมเปญ Antino backdoor ใช้วิธีนี้จริง และไทยอยู่ในรายชื่อเป้าหมาย
สรุปสั้น: The Record รายงานงานวิจัยจาก Proofpoint, Cisco Talos และ Symantec ว่าแคมเปญที่เชื่อมโยงกับจีนเล็งรัฐบาล 8 ประเทศรวมถึงไทย ใช้ Antino backdoor และฟิชชิงหน้า OneDrive ปลอมเพื่อขโมยรหัสผ่าน และเล็งผู้เชี่ยวชาญ AI ในมหาวิทยาลัย think tank และสำนักงานกฎหมาย มาตรการขั้นต่ำที่ควรมีคือ MFA แบบกันฟิชชิงได้ เช่น passkey หรือ FIDO2
Antino backdoor คืออะไร แคมเปญนี้เล็งใครบ้าง
Antino backdoor เป็นมัลแวร์ที่ Cisco Talos พบว่าใช้สำรวจระบบ ขโมยไฟล์ และฝังตัวระยะยาว ในแคมเปญที่ดำเนินการระหว่างกันยายน 2568 ถึงกรกฎาคม 2569 The Record เผยแพร่รายงานเมื่อ 1 ตุลาคม 2569 โดยอ้างงานวิจัยของ Proofpoint, Cisco Talos และ Symantec
เป้าหมายที่ระบุชื่อคือรัฐบาลไต้หวัน อินเดีย ฟิลิปปินส์ กัมพูชา ปากีสถาน ไทย เมียนมา และซีเรีย ส่วน Proofpoint พบฟิชชิงเมื่อ 8 กรกฎาคม 2569 ที่ปลอมเป็นเจ้าหน้าที่และองค์กรจริง แล้วส่งต่อลิงก์หลายทอดไปหน้า OneDrive ปลอมเพื่อขโมยรหัสผ่าน
กลุ่มนี้ยังเล็งผู้เชี่ยวชาญด้าน AI ในมหาวิทยาลัย think tank และสำนักงานกฎหมาย และปลอมโดเมนขององค์กรอย่าง Heritage Foundation และสำนักงานรัฐมนตรีกลาโหมญี่ปุ่น
| ประเด็น | ข้อเท็จจริงตามข่าว |
|---|---|
| ผู้วิจัย | Proofpoint, Cisco Talos, Symantec (รายงานโดย The Record 1 ต.ค. 2569) |
| รัฐบาลเป้าหมาย | ไต้หวัน อินเดีย ฟิลิปปินส์ กัมพูชา ปากีสถาน ไทย เมียนมา ซีเรีย |
| มัลแวร์ | Antino backdoor: สำรวจระบบ ขโมยไฟล์ ฝังตัวระยะยาว |
| ช่วงเวลาแคมเปญ | ก.ย. 2568 – ก.ค. 2569 |
| วิธีฟิชชิง | ปลอมเป็นเจ้าหน้าที่จริง ส่งลิงก์หลายทอดไปหน้า OneDrive ปลอม (พบ 8 ก.ค. 2569) |
| กลุ่มอาชีพที่ถูกเล็ง | ผู้เชี่ยวชาญ AI ในมหาวิทยาลัย think tank สำนักงานกฎหมาย |
Antino backdoor กระทบองค์กรไทยอย่างไร
Antino backdoor กระทบองค์กรไทยโดยตรง เพราะรัฐบาลไทยเป็นเป้าหมายที่ระบุชื่อ และความเสี่ยงลามไปถึงทุกคนที่ถือข้อมูลราชการหรือข้อมูลประชาชน ส่วนนี้เป็นการวิเคราะห์ของผู้เขียนจากข้อเท็จจริงในข่าว
ผู้รับเหมาและผู้ให้บริการของรัฐเสี่ยงแค่ไหน
ผู้รับเหมาและผู้ให้บริการของรัฐเสี่ยงไม่น้อยกว่าหน่วยงานรัฐเอง เพราะคนร้ายมักเข้าทางที่ป้องกันอ่อนที่สุดในห่วงโซ่ บริษัทไอที 20 คนที่ดูแลระบบให้กรมหนึ่ง อาจถือบัญชีที่เข้าถึงข้อมูลประชาชนได้มากกว่าข้าราชการบางคนเสียอีก ถ้าบัญชีนั้นหลุด ความเสียหายก็ตกที่ข้อมูลของรัฐเช่นกัน
ทำไมสำนักงานกฎหมายและที่ปรึกษา AI ถึงตกเป็นเป้า
สำนักงานกฎหมายตกเป็นเป้าเพราะถือข้อมูลลูกค้าที่อ่อนไหวและมีค่าเชิงข่าวกรอง แต่ระบบรักษาความปลอดภัยมักอ่อนกว่าลูกค้าของตัวเอง ทนายที่ให้คำปรึกษาเรื่องนโยบาย AI หรือดีลกับหน่วยงานรัฐ มีทั้งร่างสัญญา ความเห็นทางกฎหมาย และอีเมลโต้ตอบกับเจ้าหน้าที่อยู่ในกล่องเดียว ซึ่งคือสิ่งที่ Antino backdoor ถูกออกแบบมาเพื่อดึงออกไป
มหาวิทยาลัยและ think tank ไทยต้องระวังอะไร
มหาวิทยาลัยและ think tank ไทยที่ทำงานด้าน AI หรือนโยบายรัฐควรระวังอีเมลที่อ้างเป็นองค์กรต่างประเทศที่มีชื่อเสียง เพราะแคมเปญนี้ปลอมโดเมนของ Heritage Foundation และสำนักงานรัฐมนตรีกลาโหมญี่ปุ่นมาแล้ว คำเชิญร่วมสัมมนาหรือขอความเห็นงานวิจัยคือเหยื่อล่อที่ได้ผลกับนักวิชาการ
ถ้าถูกเจาะ มีความรับผิดทางกฎหมายอะไรบ้าง
ถ้าถูกเจาะ คนร้ายมีความผิดตาม พ.ร.บ.คอมพิวเตอร์ มาตรา 5 และมาตรา 7 ฐานเข้าถึงระบบและข้อมูลโดยมิชอบ ส่วนองค์กรที่ถูกเจาะ ถ้ามีข้อมูลส่วนบุคคลรั่ว ต้องแจ้ง สคส. ภายใน 72 ชั่วโมงตาม PDPA มาตรา 37(4) และอาจถูกถามว่ามีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามมาตรา 37(1) แล้วหรือยัง ภาพรวมช่องว่างไซเบอร์ของธุรกิจไทยดูได้ที่ Thailand Digital Outlook ชี้คนไทยเชื่อใจ AI สูงสุดเมื่อเทียบ 23 ประเทศ OECD แต่ธุรกิจมีมาตรการไซเบอร์แค่ 57.42%
ถ้าไม่ทำอะไรเลย จะเสี่ยงอะไร
ถ้าไม่ทำอะไรเลย ความเสี่ยงที่ใหญ่ที่สุดของแคมเปญแบบ Antino backdoor คือไม่รู้ตัวว่าถูกเจาะ เพราะ backdoor ออกแบบมาให้ฝังตัวระยะยาว ข้อมูลลูกค้า ร่างสัญญา และอีเมลกับหน่วยงานรัฐอาจถูกดึงออกไปทีละน้อยเป็นเดือน ถ้ามีข้อมูลส่วนบุคคลรั่ว องค์กรยังต้องรับภาระแจ้งเหตุตาม PDPA และอธิบายลูกค้าว่าทำไมความลับของเขาหลุดออกไป
สำนักงานกฎหมายและองค์กรที่ทำงานกับรัฐควรทำอะไรตอนนี้
สำนักงานกฎหมายและองค์กรที่ทำงานกับรัฐควรปิดช่องการขโมยรหัสผ่านก่อน เพราะแคมเปญ Antino backdoor เริ่มจากหน้าล็อกอินปลอม งานเหล่านี้ส่วนใหญ่ตั้งค่าได้ในระบบที่ใช้อยู่แล้ว
- 1. เปิด passkey หรือ FIDO2 ให้บัญชีสำคัญ เริ่มจาก Microsoft 365/OneDrive ของผู้บริหาร หุ้นส่วน และทีมกฎหมาย
- 2. อบรมเรื่องลิงก์ OneDrive ปลอมด้วยตัวอย่างจริง สอนให้ดูโดเมนก่อนกรอกรหัส และไม่ล็อกอินจากลิงก์ในอีเมล
- 3. ตั้งกฎตรวจอีเมลที่อ้างเป็นเจ้าหน้าที่รัฐหรือองค์กรต่างประเทศ ให้ยืนยันผ่านช่องทางอื่นก่อนเปิดไฟล์หรือคลิกลิงก์
- 4. ตรวจหาการฝังตัวที่อาจเกิดขึ้นแล้ว ให้ทีมไอทีหรือผู้ให้บริการดู log การล็อกอินและการส่งไฟล์ออกผิดปกติย้อนหลัง
- 5. ซ้อมแผนแจ้งเหตุภายใน 72 ชั่วโมง กำหนดว่าใครตัดสินใจแจ้ง สคส. และใครแจ้งลูกค้าที่ได้รับผลกระทบ
ถ้าต้องการคนช่วยวางแผนรับมือเหตุข้อมูลรั่ว ดูรายละเอียดได้ที่ บริการ AI Governance และ PDPA ของ Kooru อ่านกรณีที่ AI ถูกใช้โจมตีองค์กรได้ที่ อาชญากรใช้ AI agent โอเพนซอร์ส 3 ตัวเจาะ 27 องค์กรใน 6 วัน ธุรกิจไทยต้องยกระดับความปลอดภัยอย่างไร และประเด็นอื่นใน หมวด Tech Law & IP
มุมมองผู้เชี่ยวชาญ
ในวิชาชีพเรา เราสาบานว่าจะรักษาความลับของลูกค้า แต่หลายสำนักงานยังล็อกอินอีเมลด้วยรหัสผ่านตัวเดียว ความลับของลูกค้าปลอดภัยได้เท่ากับรหัสผ่านที่อ่อนที่สุดในสำนักงานเท่านั้น แคมเปญนี้บอกชัดว่าคนร้ายไม่ได้เล็งแค่หน่วยงานรัฐ แต่เล็งคนที่รัฐปรึกษาด้วย ผมคิดว่า passkey ควรเป็นมาตรฐานขั้นต่ำของทุกสำนักงานกฎหมายที่ทำงานด้าน AI หรือกับหน่วยงานรัฐ
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ Antino backdoor
Antino backdoor คืออะไร
Antino backdoor คือมัลแวร์ที่ Cisco Talos พบในแคมเปญที่เชื่อมโยงกับจีน ใช้สำรวจระบบ ขโมยไฟล์ และฝังตัวในเครื่องเป้าหมายระยะยาว แคมเปญนี้ดำเนินการระหว่างกันยายน 2568 ถึงกรกฎาคม 2569
ไทยตกเป็นเป้าหมายของแคมเปญนี้จริงไหม
จริง The Record รายงานว่าเป้าหมายคือรัฐบาลไต้หวัน อินเดีย ฟิลิปปินส์ กัมพูชา ปากีสถาน ไทย เมียนมา และซีเรีย ข่าวไม่ได้ระบุว่าหน่วยงานไทยแห่งใดถูกเจาะสำเร็จ
รู้ได้อย่างไรว่าหน้า OneDrive เป็นของปลอม
ให้ดูโดเมนในแถบที่อยู่ก่อนกรอกรหัสผ่านทุกครั้ง และระวังลิงก์ที่พาไปหลายทอดก่อนถึงหน้าล็อกอิน วิธีที่ได้ผลกว่าคือใช้ passkey หรือ FIDO2 เพราะใช้กับเว็บปลอมไม่ได้แม้ผู้ใช้จะหลงเข้าไป
ถ้าอีเมลองค์กรถูกเจาะ ต้องแจ้งใครภายในกี่ชั่วโมง
ถ้ามีข้อมูลส่วนบุคคลรั่ว องค์กรต้องแจ้ง สคส. ภายใน 72 ชั่วโมงตาม PDPA มาตรา 37(4) และควรแจ้งความเพราะการเข้าถึงระบบโดยมิชอบเป็นความผิดตาม พ.ร.บ.คอมพิวเตอร์
แหล่งอ้างอิง
- The Record (อ้างงานวิจัย Proofpoint, Cisco Talos, Symantec) — (อ่านต้นฉบับ) — อ่านรายงานแคมเปญที่ The Record
อ่านหลักการคัดเลือกและตรวจสอบข่าวของเราได้ที่ นโยบายบรรณาธิการ
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
