Phishing-as-a-Service คือบริการสำเร็จรูปที่อาชญากรเช่าใช้เพื่อส่งข้อความหลอกลวงและทำหน้าเว็บปลอมเก็บรหัสผ่าน โดยไม่ต้องเขียนเครื่องมือเอง Microsoft รายงานเมื่อ 14 ตุลาคม 2569 ว่ายึดโดเมนและปิดบริการแบบนี้ 3 แพลตฟอร์มตามคำสั่งศาลสหรัฐฯ บทความนี้เหมาะกับเจ้าของกิจการ ฝ่ายไอที และฝ่ายกฎหมายที่ใช้ Microsoft 365 อ่านแล้วจะรู้ว่าองค์กรไทยควรป้องกันและรับมืออย่างไร
ลองนึกภาพพนักงานบัญชีของบริษัท 20 คนที่เปิดอีเมลหน้าตาเหมือนแจ้งเตือนจาก Microsoft ให้ยืนยันบัญชีก่อนถูกระงับ แล้วกรอกรหัสผ่านลงในหน้าเว็บที่เหมือนของจริงทุกอย่าง (ตัวอย่างสมมติ) เรื่องนี้ไม่ไกลตัว เพราะ Microsoft รายงานว่าชุดเครื่องมือที่ถูกปิดครั้งนี้ส่งข้อความหลอกรวมกว่า 1 พันล้านฉบับ
สรุปสั้น: Microsoft รายงานว่ายึดโดเมนและปิด 3 แพลตฟอร์ม Phishing-as-a-Service ภาษาจีน คือ YAM Store, CoGUI และ Iron Man ที่ปลอมเป็นองค์กรกว่า 75,000 แห่งใน 150 ประเทศ แหล่งข่าวไม่ได้ระบุไทย แต่องค์กรไทยที่ใช้ Microsoft 365 ควรใช้ MFA ที่ต้านฟิชชิง ตรวจโดเมนปลอมของแบรนด์ และเตรียมขั้นตอนแจ้งเหตุภายใน 72 ชั่วโมงตาม PDPA
Phishing-as-a-Service คืออะไร และ Microsoft ปิดอะไรไปบ้าง
Phishing-as-a-Service คือการขายหรือให้เช่าชุดเครื่องมือฟิชชิงแบบครบวงจร ผู้เช่าเลือกแม่แบบหน้าเว็บปลอม ใส่รายชื่อเหยื่อ แล้วระบบส่งข้อความและเก็บรหัสผ่านให้ Microsoft ดำเนินคดีและยึดโดเมนตามคำสั่งศาลสหรัฐฯ (ศาลแขวงภาคใต้ของรัฐฟลอริดา) กับ 3 แพลตฟอร์ม ได้แก่ YAM Store, CoGUI และ Iron Man ซึ่ง Microsoft ติดตามเป็นกลุ่ม Storm-3119 และ Storm-2990
ตามที่ Microsoft รายงาน ตั้งแต่เดือนมกราคม 2569 แพลตฟอร์มเหล่านี้ส่งข้อความกว่า 750 ล้านฉบับมุ่งเป้าลูกค้า Microsoft และรวมกันเกิน 1 พันล้านฉบับ โดยปลอมเป็นองค์กรกว่า 75,000 แห่งใน 150 ประเทศ เป้าหมายของผู้โจมตีคือรหัสผ่าน ข้อมูลส่วนบุคคล และข้อมูลธนาคาร
| ประเด็น | ข้อเท็จจริงตามรายงาน |
|---|---|
| ผู้รายงาน | Microsoft (ผ่าน The Record และ BleepingComputer) เมื่อ 14 ต.ค. 2569 |
| แพลตฟอร์มที่ถูกปิด | YAM Store · CoGUI · Iron Man |
| ข้อความที่ส่ง | เล็งลูกค้า Microsoft กว่า 750 ล้านฉบับ รวมเกิน 1 พันล้านฉบับ ตั้งแต่ ม.ค. 2569 |
| องค์กรที่ถูกแอบอ้าง | กว่า 75,000 แห่ง ใน 150 ประเทศ (ไม่ระบุไทย) |
| มาตรการ | ปิดบัญชีที่เกี่ยวข้องกับ YAM Store กว่า 20,000 บัญชี บล็อกโดเมนปลอม 100,000 โดเมน |
| ความร่วมมือ | ตำรวจญี่ปุ่น Health-ISAC และ Resecurity |
Iron Man มีแม่แบบหลอกลวงมากกว่า 2,300 แบบตามที่รายงาน ตัวเลขทั้งหมดเป็นข้อมูลจาก Microsoft ซึ่งสื่อทั้งสองแหล่งรายงานซ้ำ
Phishing-as-a-Service กระทบธุรกิจไทยอย่างไร
Phishing-as-a-Service กระทบธุรกิจไทยในลักษณะความเสี่ยงที่มองไม่เห็นจนกว่าบัญชีจะถูกยึด แหล่งข่าวไม่ได้ระบุว่ามีเหยื่อในไทย แต่ชุดฟิชชิงแบบเช่าใช้ขายได้ทั่วโลก ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน ไม่ใช่ข้อเท็จจริงที่รายงานในข่าว ThaiCERT เคยเตือนเว็บปลอมโฆษณา AI ที่ขโมยรหัส MFA มาแล้ว ดูรายละเอียดใน ThaiCERT เตือนเว็บปลอมโฆษณา ChatGPT Gemini Claude ขโมยรหัส MFA บัญชีโฆษณาถูกยึดเป็นเหตุละเมิด PDPA หรือไม่
องค์กรไทยที่ใช้ Microsoft 365 เสี่ยงอะไรจากข่าวนี้
องค์กรไทยที่ใช้ Microsoft 365 เสี่ยงถูกหลอกให้กรอกรหัสผ่านในหน้าเว็บปลอมที่ลอกหน้าล็อกอินของจริง Microsoft ระบุว่าเป้าหมายคือลูกค้าของตนเอง อีเมลองค์กรจึงเป็นจุดเข้าสำคัญ เมื่อผู้โจมตีได้บัญชีพนักงานแล้ว ก็อ่านอีเมล ดึงไฟล์แนบ และส่งอีเมลหลอกต่อไปยังลูกค้าในชื่อบริษัทได้
บริษัทขนาดเล็กที่ไม่มีฝ่ายไอทีเต็มเวลาเสี่ยงที่สุด เพราะมักใช้รหัสผ่านอย่างเดียวหรือ SMS OTP ซึ่งเป็นด่านที่ชุดฟิชชิงสมัยนี้ออกแบบมาเลี่ยง แนวโน้มที่ ธปท. ผลักดันให้เลิก SMS OTP สรุปไว้ใน ธปท. เขย่าเกม Security: เลิก SMS OTP แล้วธุรกิจไทยต้องทำอะไรต่อ?
ถ้าบัญชีพนักงานถูกยึดจากอีเมลปลอม ต้องแจ้งเหตุตาม PDPA ไหม
ต้องแจ้งถ้าเหตุนั้นเป็นการละเมิดข้อมูลส่วนบุคคลที่มีความเสี่ยงต่อสิทธิของเจ้าของข้อมูล องค์กรต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ ตามมาตรา 37(4) ของ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และต้องมีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามมาตรา 37(1) ด้วย
การเปิด MFA เป็นหนึ่งในหลักฐานที่ดีที่สุดว่าองค์กรทำตามหน้าที่นี้ ข้อสังเกตเรื่องความเสี่ยงที่องค์กรไทยมักมองข้ามอยู่ใน MFA และ PDPA สัญญาณเตือนองค์กรไทย จากข้อมูลรั่วถึงแฟ้มกระดาษ ฝั่งผู้โจมตี การเข้าบัญชีของผู้อื่นโดยมิชอบอาจเข้าข่ายความผิดตามมาตรา 5 ของ พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์
ไทยมีกลไกยึดโดเมนแบบ Microsoft หรือไม่
ผู้เขียนยังไม่พบกลไกที่เทียบเท่าในไทย ซึ่งเป็นความเห็นเชิงวิเคราะห์ ไม่ใช่ข้อสรุปทางกฎหมาย กรณีของ Microsoft แสดงว่าบริษัทเอกชนที่มีหลักฐานครบสามารถใช้คำสั่งศาลปิดโครงสร้างพื้นฐานของเครือข่ายหลอกลวงข้ามประเทศได้ แต่ต้องใช้ศาลต่างประเทศและทีมข้อมูลหลักฐานขนาดใหญ่ ธุรกิจไทยส่วนใหญ่จึงควรวางแผนป้องกันและตรวจจับเองก่อน แล้วแจ้งหน่วยงานที่เกี่ยวข้องเมื่อพบโดเมนปลอมที่แอบอ้างแบรนด์
ถ้าไม่ทำอะไรเลย องค์กรไทยเสี่ยงอะไร
ถ้าไม่ทำอะไร องค์กรเสี่ยง 3 เรื่อง เรื่องแรกคือบัญชีพนักงานถูกยึดโดยที่ไม่มีใครรู้ เพราะอีเมลปลอมแนบเนียนจนพนักงานแยกไม่ออก เรื่องที่สองคือข้อมูลลูกค้าหรือพนักงานรั่วแล้วแจ้ง สคส. ไม่ทัน 72 ชั่วโมง
เรื่องที่สามคือชื่อบริษัทถูกนำไปส่งอีเมลหลอกลูกค้าต่อ ซึ่งทำให้เสียความเชื่อมั่นแม้องค์กรไม่ได้ตั้งใจ ค่าเสียหายมักไม่ใช่ค่าปรับ แต่เป็นเวลาที่ต้องใช้กู้บัญชีและอธิบายต่อลูกค้า
องค์กรที่ใช้ Microsoft 365 ควรทำอะไรตอนนี้
องค์กรที่ใช้ Microsoft 365 ควรทำ 4 เรื่องนี้ก่อนจะเจอเหตุจริง เพื่อลดโอกาสที่ Phishing-as-a-Service จะทำให้บัญชีพนักงานถูกยึด
- 1. เปิด MFA แบบ passkey หรือ FIDO2 เริ่มจากบัญชีผู้ดูแลระบบ ฝ่ายการเงิน และผู้บริหาร แล้วลดการพึ่งพา SMS OTP อย่างเดียว
- 2. ตรวจโดเมนปลอมที่แอบอ้างแบรนด์ตัวเอง ค้นชื่อแบรนด์และชื่อโดเมนใกล้เคียงเป็นรอบ ๆ และตั้งช่องทางรับแจ้งจากลูกค้าเมื่อพบอีเมลปลอม
- 3. ซ้อมพนักงานรับมืออีเมลและ SMS ปลอม ใช้ตัวอย่างข้อความจริงที่หลอกให้ยืนยันบัญชี และกำหนดว่าพนักงานต้องรายงานใคร
- 4. เขียนขั้นตอนแจ้งเหตุ 72 ชั่วโมง ระบุว่าใครตัดสินใจ ใครประเมินความเสี่ยงต่อเจ้าของข้อมูล และใครติดต่อ สคส. เมื่อบัญชีถูกยึด
ถ้าต้องการคนช่วยวางขั้นตอนและเอกสารเหล่านี้ ดูได้ที่ บริการ AI Governance และ PDPA ของ Kooru
มุมมองผู้เชี่ยวชาญ
ข้อสังเกตเชิงวิชาชีพของผมคือ ข่าวนี้ไม่ได้บอกว่ามีคนไทยโดนหลอก แต่บอกว่าการหลอกลวงกลายเป็นสินค้าที่ใครก็เช่าได้ เมื่ออาชญากรเช่าฟิชชิงได้เหมือนสมัครแอปรายเดือน องค์กรที่ยังพึ่งรหัสผ่านอย่างเดียวก็เหมือนล็อกประตูหน้าบ้านด้วยกลอนไม้ จุดที่องค์กรมักพลาดคือคิดว่าการอบรมพนักงานอย่างเดียวพอ ควรเสริมด้วยการล็อกอินแบบ passkey ที่ต่อให้พนักงานหลงกรอกก็ไม่หลุด
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ Phishing-as-a-Service
Phishing-as-a-Service ต่างจากฟิชชิงทั่วไปอย่างไร
Phishing-as-a-Service คือรูปแบบที่ผู้ให้บริการทำชุดเครื่องมือไว้ให้เช่า ผู้เช่าไม่ต้องมีทักษะเขียนโปรแกรมก็ส่งฟิชชิงจำนวนมากได้ ตามรายงาน Iron Man มีแม่แบบหลอกลวงกว่า 2,300 แบบ ทำให้ผู้โจมตีมือใหม่ก็เลือกใช้ได้ทันที
Microsoft ปิดแพลตฟอร์มฟิชชิงใดบ้าง และปิดอย่างไร
Microsoft รายงานว่าปิด YAM Store, CoGUI และ Iron Man ด้วยการดำเนินคดีและยึดโดเมนตามคำสั่งศาลสหรัฐฯ (ศาลแขวงภาคใต้ของรัฐฟลอริดา) พร้อมปิดบัญชีที่เกี่ยวข้องกับ YAM Store กว่า 20,000 บัญชี และบล็อกโดเมนปลอม 100,000 โดเมน
ข่าวนี้มีเหยื่อในไทยหรือไม่
แหล่งข่าวระบุว่าข้อความปลอมเป็นองค์กรใน 150 ประเทศ แต่ไม่ได้ระบุไทย จึงยังยืนยันไม่ได้ว่ามีเหยื่อในไทย อย่างไรก็ตามชุดฟิชชิงแบบเช่าใช้เป็นสินค้าที่ขายได้ทั่วโลก องค์กรไทยที่ใช้ Microsoft 365 จึงควรถือว่าเป็นเป้าหมายที่เป็นไปได้
บัญชีองค์กรถูกยึดจากฟิชชิง ต้องแจ้ง สคส. เมื่อไร
ต้องแจ้งภายใน 72 ชั่วโมงนับแต่ทราบเหตุ ถ้าเป็นการละเมิดข้อมูลส่วนบุคคลที่มีความเสี่ยงต่อสิทธิของเจ้าของข้อมูล ตามมาตรา 37(4) ของ PDPA องค์กรจึงควรเตรียมขั้นตอนประเมินเหตุและผู้ตัดสินใจไว้ล่วงหน้า
แหล่งอ้างอิง
- The Record — (อ่านต้นฉบับ) — อ่านข่าวที่ The Record
- BleepingComputer — (อ่านต้นฉบับ) — อ่านข่าวที่ BleepingComputer
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
