เว็บปลอมโฆษณา AI คือเว็บฟิชชิงที่แอบอ้างเป็นบริการโฆษณาของ ChatGPT, Gemini, Claude และแบรนด์ AI อื่น เพื่อหลอกเอารหัสผ่านกับรหัส MFA ของคนดูแลบัญชีโฆษณา ThaiCERT เผยแพร่คำเตือนเมื่อ 8 ต.ค. 2569 บทความนี้เหมาะกับแบรนด์ เอเจนซี และมีเดียบายเออร์ อ่านแล้วจะรู้ว่าบัญชีโฆษณาที่ถูกยึดเข้าข่ายเหตุละเมิดข้อมูลตาม PDPA หรือไม่ และต้องทำอะไร
ลองนึกภาพพนักงานเอเจนซีที่ได้อีเมลเชิญให้ “เชื่อมบัญชีเพื่อปรับแคมเปญด้วย AI” กดปุ่ม Connect แล้วเจอหน้าต่างล็อกอิน Google ที่หน้าตาเหมือนของจริงทุกอย่าง (ตัวอย่างสมมติ) ถ้าเขาใส่รหัสผ่านและรหัส MFA ไป บัญชีของลูกค้าที่เขาดูแลอาจตกอยู่ในมือคนร้ายทันที
สรุปสั้น: ThaiCERT เตือนเมื่อ 8 ต.ค. 2569 ว่ามีเว็บฟิชชิงปลอมเป็นพอร์ทัลโฆษณาของแบรนด์ AI ใช้หน้าล็อกอินปลอมขโมยรหัสผ่านและ MFA แบบเรียลไทม์ ถ้าบัญชีโฆษณาที่ถูกยึดมีข้อมูลส่วนบุคคล เช่น รายชื่อลูกค้า ต้องประเมินว่าเข้าข่ายแจ้ง สคส. ตามมาตรา 37(4) ภายใน 72 ชั่วโมงหรือไม่ ส่วนเอเจนซีต้องแจ้งเหตุให้ลูกค้าตามมาตรา 40
เว็บปลอมโฆษณา AI หลอกขโมย MFA ได้อย่างไร และ ThaiCERT เตือนอะไร
เว็บปลอมโฆษณา AI หลอกผ่านอีเมลเชิญปลอม เมื่อเหยื่อกด Connect จะเจอหน้าต่างล็อกอินปลอมแบบ Browser-in-the-Browser ที่เลียนแบบ Google, Meta, TikTok และ Okta ผู้ควบคุมเลือกได้ว่าจะให้เหยื่อเจอการยืนยัน MFA แบบไหน แล้วนำรหัสไปใช้กับบัญชีจริงทันที ThaiCERT เผยแพร่คำเตือน (อ้างอิง 554/69) เมื่อ 8 ต.ค. 2569 โดยอ้างนักวิจัยของบริษัท Island และ The Hacker News
| ประเด็น | ข้อเท็จจริงตามรายงาน |
|---|---|
| ผู้พบ | นักวิจัยของบริษัท Island |
| แบรนด์ที่ถูกปลอม | Gemini, Claude, ChatGPT, Perplexity, Meta Muse, Manus |
| เป้าหมาย | พนักงานเอเจนซี มีเดียบายเออร์ ผู้ดูแล Manager Account |
| ตัวอย่างเว็บ | museads.ai ขึ้นเมื่อ 16 ก.ย. 2569 |
| คำเตือน ThaiCERT | อ้างอิง 554/69 เมื่อ 8 ต.ค. 2569 |
| จำนวนผู้เสียหาย | แหล่งข่าวไม่ระบุ |
ThaiCERT แนะนำให้ใช้การยืนยันตัวตนที่ทนต่อฟิชชิง ตรวจการเปลี่ยนสิทธิ์ในบัญชีโฆษณาเป็นประจำ และตรวจการเชื่อมต่อ AI ก่อนให้สิทธิ์ ส่วนตัวอย่างเว็บ museads.ai ขึ้นหลัง Meta เปิดตัว Muse ประมาณหนึ่งสัปดาห์ ซึ่งชี้ว่าคนร้ายอาจตามกระแสการเปิดตัวสินค้า (ข้อสังเกตของผู้เขียน)
เว็บปลอมโฆษณา AI กระทบแบรนด์และเอเจนซีไทยอย่างไร
เว็บปลอมโฆษณา AI กระทบแบรนด์และเอเจนซีไทยทั้งเรื่องความปลอดภัยของบัญชีและหน้าที่ตาม PDPA เพราะบัญชีโฆษณาเก็บข้อมูลกลุ่มเป้าหมายและรายชื่อลูกค้าไว้ หัวข้อนี้เป็นการวิเคราะห์ของผู้เขียน
บัญชีโฆษณาที่ถูกยึดเป็นเหตุละเมิดข้อมูลตาม PDPA หรือไม่
เป็นได้ ถ้าบัญชีโฆษณามีข้อมูลส่วนบุคคล เช่น รายชื่อลูกค้าที่อัปโหลดไว้ใช้ Customer Match แล้วคนร้ายเข้าถึงได้ ผู้ควบคุมข้อมูลต้องประเมินเหตุและตัดสินใจเรื่องแจ้ง สคส. ตามมาตรา 37(4) ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ มาตรการรักษาความมั่นคงปลอดภัยที่ต้องมีอยู่ในมาตรา 37(1) เรื่องการอัปโหลดรายชื่อลูกค้าเข้า Google Ads อ่านเพิ่มได้ใน Google Ads Customer Match รับ IP address แบบไม่เข้ารหัสแล้ว ผู้ลงโฆษณาไทยต้องเช็ก PDPA อะไรก่อนอัปโหลด
เอเจนซีที่ดูแลบัญชีให้ลูกค้ามีหน้าที่อะไรเมื่อบัญชีถูกยึด
เอเจนซีที่ดูแลบัญชีให้ลูกค้ามีฐานะผู้ประมวลผลข้อมูล และมีหน้าที่แจ้งเหตุให้ลูกค้าซึ่งเป็นผู้ควบคุมข้อมูลทราบตามมาตรา 40 สัญญาเอเจนซีจึงควรเขียนเรื่อง MFA และเวลาแจ้งเหตุให้ชัดว่าภายในกี่ชั่วโมง เพราะเอเจนซีแจ้งช้าเท่ากับลูกค้าเริ่มประเมินเหตุช้า ขั้นตอนประเมินการแจ้ง สคส. จากคำเตือนของ ThaiCERT อีกเรื่องอ่านได้ใน ThaiCERT เตือนช่องโหว่ Zimbra CVE-2026-73570 ถูกใช้ฝัง Web Shell และดูดอีเมล องค์กรไทยต้องอัปเดตและประเมินการแจ้ง สคส. อย่างไร
แบรนด์และ SME ที่ยิงแอดเองเสี่ยงตรงไหน
เสี่ยงที่บัญชีถูกยึดแล้วถูกนำไปใช้ผิดวัตถุประสงค์ ThaiCERT สรุปว่าบัญชีโฆษณาที่มีประวัติดีนำไปรันแคมเปญของผู้โจมตีหรือขายต่อได้ ยิ่งแพลตฟอร์ม AI มีโฆษณาของตัวเอง คนร้ายก็ยิ่งปลอมได้ง่าย (การวิเคราะห์ของผู้เขียน) เรื่องโฆษณาในแชตบอตอ่านได้ใน ChatGPT Ads เปิดในไทยแล้วตั้งแต่ 23 ก.ย. 2569 ยังไม่มีตัวเลข CTR ของไทย ธุรกิจและเอเจนซีต้องเช็ก PDPA อะไรก่อนซื้อโฆษณาในแชตบอต
ถ้าติดกับเว็บปลอมโฆษณา AI แล้วไม่ประเมินเหตุ จะเสี่ยงอะไร
ถ้าติดกับเว็บปลอมโฆษณา AI แล้วไม่ประเมินเหตุ ธุรกิจเสี่ยงแจ้ง สคส. ไม่ทันกำหนด 72 ชั่วโมงในกรณีที่เหตุเข้าข่าย และเสี่ยงที่ลูกค้าของเอเจนซีไม่ได้รับแจ้งทันเวลา บัญชีที่ถูกยึดยังอาจถูกนำไปรันแคมเปญของคนร้ายต่อ ทำให้ความเสียหายขยายออกไปอีก
แบรนด์และเอเจนซีควรทำอะไรกับบัญชีโฆษณาเพื่อกันเว็บปลอมโฆษณา AI
แบรนด์และเอเจนซีควรเริ่มจากเปลี่ยนวิธียืนยันตัวตนของบัญชีโฆษณาให้ทนต่อฟิชชิง แล้วค่อยวางกติกาและสัญญา 5 ข้อนี้เรียงตามลำดับที่ควรทำ
- 1. เปลี่ยนบัญชีโฆษณาไปใช้ passkey หรือกุญแจความปลอดภัย เริ่มจากบัญชีผู้จัดการ (Manager Account) และบัญชีที่ผูกบัตรหรืออัปโหลดรายชื่อลูกค้า
- 2. ห้ามเชื่อม AI ads tool โดยไม่ผ่านฝ่าย IT ตั้งเป็นนโยบายเขียนลายลักษณ์อักษร และทบทวนการเชื่อมต่อที่มีอยู่ว่าใครอนุมัติ
- 3. ตรวจการเปลี่ยนสิทธิ์ในบัญชีโฆษณาเป็นประจำ ดูผู้ใช้ใหม่ สิทธิ์แอดมินที่เพิ่มขึ้น และการเชื่อมบัญชีที่ไม่รู้จัก
- 4. เขียนขั้นตอนรับมือเหตุไว้ล่วงหน้า ระบุว่าใครประเมินเหตุ ใครแจ้งลูกค้า และใครตัดสินใจเรื่องแจ้ง สคส. ภายใน 72 ชั่วโมง
- 5. แก้สัญญาเอเจนซี ใส่ข้อกำหนดเรื่อง MFA และเวลาแจ้งเหตุให้ผู้ควบคุมข้อมูลทราบตามมาตรา 40
ถ้าต้องการคนช่วยทบทวนสัญญาเอเจนซีและขั้นตอนรับมือเหตุละเมิดข้อมูล ดูรายละเอียดได้ที่ บริการ AI Governance และ PDPA ของ Kooru ติดตามต่อได้ที่ หมวด PDPA & Privacy
มุมมองผู้เชี่ยวชาญ
ข้อสังเกตเชิงวิชาชีพของผมคือ หลายองค์กรคิดว่าเปิด MFA แล้วจบ แต่ในเหตุแบบนี้เหยื่อพิมพ์รหัสให้คนร้ายเองกับมือ MFA ที่ต้องพิมพ์รหัส ถ้าถูกหลอกให้พิมพ์ มันก็เป็นแค่รหัสผ่านอีกตัวหนึ่ง จุดที่ธุรกิจมักพลาดคือเก็บเรื่องนี้ไว้เป็นเรื่องของฝ่าย IT ทั้งที่บัญชีโฆษณามีรายชื่อลูกค้าอยู่ข้างใน จึงเป็นเรื่องของฝ่ายกฎหมายและสัญญาด้วย
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับเว็บปลอมโฆษณา AI
เว็บปลอมโฆษณา AI คืออะไร
เว็บปลอมโฆษณา AI คือแพลตฟอร์มฟิชชิงที่มีคนควบคุมแบบเรียลไทม์ ปลอมเป็นบริการโฆษณาของ Gemini, Claude, ChatGPT, Perplexity, Meta Muse และ Manus อ้างว่าช่วยปรับแคมเปญ ตรวจงบ และเชื่อมบัญชีธุรกิจ แต่จุดประสงค์จริงคือขโมยรหัสผ่านและรหัส MFA
บัญชีโฆษณาถูกยึดต้องแจ้ง สคส. ไหม
ต้องประเมินก่อน ถ้าบัญชีมีข้อมูลส่วนบุคคลและเหตุเข้าข่ายตามมาตรา 37(4) ผู้ควบคุมข้อมูลต้องแจ้ง สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ ส่วนเอเจนซีที่เป็นผู้ประมวลผลต้องแจ้งลูกค้าตามมาตรา 40
ThaiCERT แนะนำให้ป้องกันเว็บปลอมโฆษณา AI อย่างไร
ThaiCERT แนะนำ 3 อย่าง คือ ใช้การยืนยันตัวตนที่ทนต่อฟิชชิง ตรวจการเปลี่ยนสิทธิ์ในบัญชีโฆษณาเป็นประจำ และตรวจการเชื่อมต่อ AI ให้รอบคอบก่อนอนุญาตให้เข้าถึงบัญชีสำคัญ
มีผู้เสียหายจากเว็บปลอมโฆษณา AI กี่ราย
แหล่งข่าวที่ใช้อ้างอิงไม่ได้ระบุจำนวนผู้เสียหาย จึงยังบอกไม่ได้ว่ามีองค์กรไทยถูกหลอกกี่แห่ง
แหล่งอ้างอิง
- ThaiCERT — (อ่านต้นฉบับ) — อ่านข่าวที่ ThaiCERT
- The Hacker News — (อ่านต้นฉบับ) — อ่านข่าวที่ The Hacker News
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
