ARTEX Claude Code คือคู่เครื่องมือที่ CrowdStrike ระบุว่าผู้โจมตีใช้เจาะระบบธนาคารในเกาหลีใต้ช่วงปลายกันยายนถึงต้นตุลาคม 2569 โดย ARTEX เป็นเครื่องมือเจาะระบบแบบ agentic โอเพนซอร์สจากจีน และใช้ร่วมกับ Claude Code บทความนี้เหมาะกับธนาคาร ฟินเทค สหกรณ์ และบริษัทที่เปิดระบบให้คนนอกล็อกอิน อ่านแล้วจะรู้ว่า ThaiCERT เตือนอะไรและต้องเตรียมอะไร
ลองนึกภาพเจ้าหน้าที่ไอทีของสหกรณ์แห่งหนึ่ง (ตัวอย่างสมมติ) ที่เห็นคนล็อกอินเข้าระบบตรวจสถานะสินเชื่อรัว ๆ ตอนตีสาม เมื่อก่อนต้องมีแฮกเกอร์ฝีมือดีนั่งทำทั้งคืน แต่ ARTEX Claude Code ทำให้ AI agent ทำต่อเนื่องแทนได้ เรื่องนี้ต่อยอดจากข่าวแฮกแบงก์เกาหลีใต้ที่เราเคยเล่าไว้ใน เกาหลีใต้สั่งสอบแฮกแบงก์ 6 แห่ง Shinhan รั่ว 25,000 ราย เหตุ credential stuffing ธนาคารและฟินเทคไทยต้องปิดช่องโหว่ระบบตัวแทนอย่างไร ข่าวใหม่คือหลักฐานว่าผู้โจมตีใช้ AI agent ลงมือเอง
สรุปสั้น: CrowdStrike ระบุว่าผู้โจมตีใช้ ARTEX ร่วมกับ Claude Code เจาะระบบแบงก์เกาหลีใต้ และ ThaiCERT เตือนสถาบันการเงินไทยเมื่อ 12 ตุลาคม 2569 ให้ตรวจ log และเพิกถอน session ที่อาจรั่ว ถ้าข้อมูลส่วนบุคคลรั่วต้องแจ้ง สคส. ภายใน 72 ชั่วโมง องค์กรควรเตรียม log การสแกน MFA แผนแจ้งเหตุ และเงื่อนไขแจ้งเหตุในสัญญาผู้รับจ้าง
ARTEX Claude Code คืออะไร เกิดอะไรขึ้นกับแบงก์เกาหลีใต้
ARTEX Claude Code คือการใช้เครื่องมือเจาะระบบ ARTEX ร่วมกับ Claude Code และโมเดลอื่น โดยผู้โจมตีที่ CrowdStrike เชื่อว่าพูดภาษาจีนและหวังเงิน ตัวโมเดลหลักของ ARTEX คือ DeepSeek v4.1-flash เสริมด้วย GLM-5.3 และ Grok 4.6 ซึ่ง CrowdStrike ประเมินด้วยความเชื่อมั่นระดับปานกลาง
หลักฐานหลุดออกมาจาก open directory บนเซิร์ฟเวอร์ในฮ่องกง ประกอบด้วยประวัติ session ของ Claude Code ไฟล์ memory ของ Claude ไฟล์ตั้งค่า ARTEX และพรอมต์ภาษาจีนที่สั่งให้เจาะระบบ ผู้โจมตียังถาม Claude ว่าจะขายข้อมูลที่ขโมยได้ที่ไหน โดยคำตอบพาไปยังกลุ่ม Telegram ของเกาหลี
| ประเด็น | ข้อเท็จจริงตามรายงาน |
|---|---|
| ช่วงโจมตี | ปลายกันยายนถึงต้นตุลาคม 2569 (CrowdStrike เผยแพร่ 7 ตุลาคม 2569) |
| Shinhan Bank | ผู้ได้รับผลกระทบราว 25,000 ราย (ตัวเลขจาก Straits Times ผ่าน Infosecurity) |
| Yegaram Savings Bank | ผู้ได้รับผลกระทบราว 40,000 ราย (แหล่งเดียวกัน) |
| ธนาคารอื่นที่ BleepingComputer ระบุชื่อ | KB Kookmin และ Hana |
| ผู้พัฒนา ARTEX | ปิดซอร์สเมื่อ 8 ตุลาคม 2569 แต่โค้ดเดิมถูกนำไปทำเวอร์ชันอังกฤษและเกาหลีแล้ว |
จำนวนองค์กรที่ถูกเจาะทั้งหมดยังยืนยันไม่ได้ คณะกรรมการกำกับทางการเงินเกาหลี (FSC) ออกประกาศเตือนผู้บริโภคเรื่องฟิชชิงและสินเชื่อหลอกลวงเมื่อ 6 ตุลาคม 2569 ข้อมูลทั้งหมดในหัวข้อนี้เป็นสิ่งที่ผู้ตรวจสอบและสื่อรายงาน ยังไม่ใช่ข้อสรุปของศาล
ARTEX Claude Code กระทบธนาคารและธุรกิจไทยอย่างไร
ARTEX Claude Code กระทบธุรกิจไทยในสองทาง ทางแรกคือคำเตือนของ ThaiCERT ที่ชี้ว่าเครื่องมือเปิดซอร์สชุดเดียวกันนำมาใช้กับธนาคารไทยได้ ทางที่สองคือเวลาตอบสนองของฝ่ายป้องกันที่สั้นลง ส่วนนี้ผสมข้อเท็จจริงตามรายงานกับการวิเคราะห์ของผู้เขียน
ThaiCERT เตือนสถาบันการเงินไทยว่าอย่างไร
ThaiCERT ออกรายงาน 561/69 เมื่อ 12 ตุลาคม 2569 แนะนำหน่วยงานที่เปิดบริการสำคัญบนอินเทอร์เน็ตให้ตรวจ log การสแกนและ proxy ที่ผิดปกติ และเพิกถอน session กับ credential ที่อาจรั่ว รายละเอียดทั้งหมดอ้างตามที่ ThaiCERT เผยแพร่ ผู้อ่านควรเปิดรายงานต้นฉบับเทียบอีกครั้ง
จุดที่ถูกเจาะในเกาหลีคือระบบที่ให้คนนอกหรือพนักงานล็อกอินจากภายนอก เช่น ระบบตรวจสถานะสินเชื่อและระบบมือถือของพนักงาน องค์กรไทยที่มีระบบคล้ายกัน ทั้งธนาคาร ฟินเทค สหกรณ์ และบริษัทที่ให้นายหน้าล็อกอิน ควรถือว่าเป็นเป้าหมายแบบเดียวกัน
AI agent โจมตีธนาคาร ทำให้ผู้โจมตีรายเล็กอันตรายขึ้นอย่างไร
AI agent โจมตีธนาคาร ทำให้เส้นแบ่งเดิมที่ว่าผู้โจมตีรายเล็กไม่มีทักษะพอเจาะแบงก์กำลังหายไป ผู้โจมตีคนเดียวที่มี agent ทำงานหลายขั้นตอนต่อเนื่องได้ทั้งคืน นี่คือการวิเคราะห์ของผู้เขียน ไม่ใช่ข้อสรุปของ CrowdStrike
ผลคือทีมไอทีที่เคยมีเวลาตรวจ log วันละครั้งอาจมีเวลาน้อยลงมาก ผู้ให้บริการระบบรับจ้างก็เช่นกัน ถ้าเงื่อนไขในสัญญาให้เวลาแจ้งเหตุเป็นสัปดาห์ องค์กรจะแจ้ง สคส. ภายใน 72 ชั่วโมงไม่ทัน เรื่องความรับผิดชอบด้านมาตรการรักษาความมั่นคงปลอดภัยดูเพิ่มได้ใน คู่มือ: มาตรการรักษาความมั่นคงปลอดภัยขั้นต่ำตาม PDPA ต้องมีอะไรบ้าง?
ถ้าข้อมูลส่วนบุคคลรั่ว ต้องแจ้ง สคส. ภายในกี่ชั่วโมง
ต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ ตามมาตรา 37(4) ของ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ไม่ว่าผู้บุกรุกจะเป็นคนหรือ AI agent กรณีล่าสุดที่ไทยเจอใกล้เคียงกันอ่านได้ใน H.I.S. ไทยถูกเจาะ ข้อมูลพาสปอร์ตสูงสุด 627 คนอาจรั่ว ธุรกิจท่องเที่ยวไทยจะตอบ PDPA 72 ชั่วโมงได้อย่างไร
ผู้ให้บริการโมเดล AI จะถูกลากเข้าเรื่องนี้อย่างไร
บัญชี Claude ของผู้โจมตีกลายเป็นหลักฐานชิ้นสำคัญ ผู้เขียนมองว่าคำถามเรื่องความรับผิดของผู้ให้บริการโมเดลและการเก็บ log จะตามมา ขณะนี้ยังไม่มีคำวินิจฉัยของหน่วยงานใดในเรื่องนี้ และรายงานที่มีอยู่ไม่ได้ระบุว่าผู้ให้บริการโมเดลทำผิด
สำหรับไทย สกมช. เพิ่งจัดการโจมตีด้วย AI เป็นความเสี่ยงไซเบอร์อันดับ 1 ตามที่เล่าไว้ใน สกมช. เผยรายงานความเสี่ยงไซเบอร์ไทย 2569 ชี้การโจมตีด้วย AI ขึ้นอันดับ 1 ผู้ตอบ 68.1% องค์กรไทยควรปรับทะเบียนความเสี่ยงและสัญญาผู้ให้บริการ AI อย่างไร
ถ้าไม่ทำอะไรเลย องค์กรไทยเสี่ยงอะไร
ถ้าไม่เตรียมรับมือ ARTEX Claude Code องค์กรเสี่ยง 3 เรื่อง เรื่องแรก ระบบที่คนนอกล็อกอินได้ถูกเดารหัสจนเข้าได้โดยไม่มีใครเห็น เพราะไม่มีใครตรวจ log เรื่องที่สอง ข้อมูลลูกค้ารั่วแล้วแจ้ง สคส. ไม่ทันภายใน 72 ชั่วโมง
เรื่องที่สาม คือลูกค้าและพันธมิตรถามหาหลักฐานว่าองค์กรมีมาตรการ ถ้าตอบไม่ได้ ผลด้านชื่อเสียงอาจหนักกว่าค่าปรับ ข่าวจากเกาหลีใต้ระบุตัวเลขผู้ได้รับผลกระทบเป็นหลักหมื่นรายต่อธนาคารหนึ่งแห่ง ซึ่งเพียงพอให้ลูกค้าไทยเลิกไว้ใจได้
สถาบันการเงินและองค์กรที่เปิดระบบให้คนนอกล็อกอิน ควรทำอะไรตอนนี้
องค์กรที่เปิดระบบให้คนนอกล็อกอินควรทำ 4 เรื่องก่อน เพื่อรับมือการโจมตีแบบ ARTEX Claude Code ที่ทำงานเร็วและต่อเนื่อง
- 1. ตรวจ log หาการสแกนและการส่งข้อมูลออกผิดปกติ ดูการล็อกอินล้มเหลวรัว ๆ proxy แปลก และข้อมูลที่ไหลออกนอกเวลาทำงาน ตามแนวทางที่ ThaiCERT แนะนำ
- 2. ทบทวน MFA และสิทธิ์ของระบบที่คนนอกใช้ ปิดบัญชีที่ไม่ใช้ บังคับ MFA และเพิกถอน session กับ credential ที่อาจรั่ว
- 3. เพิ่มสถานการณ์ AI agent โจมตีในแผนรับมือเหตุละเมิด กำหนดว่าใครตัดสินใจ ใครแจ้ง สคส. และซ้อมให้ทันภายใน 72 ชั่วโมง
- 4. ตรวจสัญญาผู้รับจ้างว่าเวลาแจ้งเหตุสั้นพอ ให้ผู้รับจ้างแจ้งองค์กรโดยเร็ว เพื่อให้องค์กรมีเวลาเหลือแจ้ง สคส. ได้ทัน
ถ้าต้องการคนช่วยตรวจและวางเอกสาร ดูได้ที่ บริการ AI Governance และ PDPA ของ Kooru
มุมมองผู้เชี่ยวชาญ
ข้อสังเกตเชิงวิชาชีพของผมคือ ข่าวนี้ไม่ได้บอกว่า AI เก่งขึ้น แต่บอกว่าต้นทุนของการโจมตีลดลงมาก ถ้าผู้โจมตีคนเดียวมีทีมเจาะระบบเป็น AI องค์กรที่ตั้งเวลาแจ้งเหตุเป็นสัปดาห์ก็แพ้ตั้งแต่ยังไม่เริ่ม จุดที่องค์กรมักพลาดคือเขียนแผนแจ้งเหตุสำหรับผู้โจมตีที่ช้า ควรเช็กว่าแผนของตัวเองรับมือเหตุที่ลุกลามในชั่วโมงเดียวได้หรือไม่
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ ARTEX Claude Code
ARTEX คืออะไร ใครเป็นผู้พัฒนา
ARTEX เป็นเครื่องมือเจาะระบบแบบ agentic โอเพนซอร์สจากจีน ผู้พัฒนาปิดซอร์สเมื่อ 8 ตุลาคม 2569 แต่โค้ดเดิมถูกนำไปทำเวอร์ชันอังกฤษและเกาหลีแล้ว ตามที่ ThaiCERT และสื่อรายงาน
ใครเป็นผู้อยู่เบื้องหลังการโจมตีแบงก์เกาหลีใต้ครั้งนี้
CrowdStrike ระบุว่าเป็นผู้โจมตีที่เชื่อว่าพูดภาษาจีนและหวังเงิน นี่เป็นการประเมินของผู้รายงาน ยังไม่มีคำพิพากษาหรือการยืนยันจากหน่วยงานรัฐ
ThaiCERT แนะนำให้ทำอะไร
ThaiCERT แนะนำให้ตรวจ log การสแกนและ proxy ที่ผิดปกติ และเพิกถอน session กับ credential ที่อาจรั่ว ตามรายงาน 561/69 ที่ออกเมื่อ 12 ตุลาคม 2569
ธนาคารไทยถูกโจมตีด้วย ARTEX แล้วหรือยัง
ยังไม่มีรายงานในข้อมูลที่ใช้เขียนบทความนี้ว่าธนาคารไทยถูกโจมตีด้วย ARTEX ThaiCERT ออกคำเตือนเชิงป้องกัน เพราะเครื่องมือเปิดซอร์สชุดเดียวกันนำมาใช้กับระบบในไทยได้
อ่านต่อ: ความรู้ที่เกี่ยวกับเรื่องนี้
- จดหมายแจ้งเจ้าของข้อมูลเมื่อข้อมูลรั่ว ต้องมีอะไรบ้าง — เมื่อเหตุมีความเสี่ยงสูง ผู้ควบคุมข้อมูลต้องแจ้งเจ้าของข้อมูลโดยไม่ชักช้า บทความนี้ลงรายการที่จดหมายต้องมี (aipdpa.com)
แหล่งอ้างอิง
- ThaiCERT — (อ่านต้นฉบับ) — อ่านรายงานที่ ThaiCERT
- Infosecurity Magazine — (อ่านต้นฉบับ) — อ่านข่าวที่ Infosecurity Magazine
- BleepingComputer — (อ่านต้นฉบับ) — อ่านข่าวที่ BleepingComputer
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
