Ransomware คืออะไร

Ransomware (มัลแวร์เรียกค่าไถ่) คือโปรแกรมประสงค์ร้ายที่แอบเข้าระบบ เข้ารหัสไฟล์ทั้งหมดจนใช้งานไม่ได้ แล้วเรียกเงินค่าไถ่แลกกับกุญแจถอดรหัส ยุคปัจจุบันยังพัฒนาเป็น Double Extortion คือขโมยข้อมูลออกไปก่อนเข้ารหัส แล้วขู่เปิดเผยข้อมูลซ้ำอีกชั้นหากไม่จ่าย ทำให้แม้มี Backup ก็ยังโดนกดดัน

สถานการณ์ปี 2026

  • ข้อมูลจาก Group-IB, Chainalysis และ Check Point ชี้ว่าจำนวนการโจมตีทั่วโลกปี 2026 ยังเพิ่มขึ้น ขณะที่อัตราการยอมจ่ายค่าไถ่ลดลงเหลือราว 23% — องค์กรหันมาพึ่ง Backup และการกู้ระบบแทนการจ่าย
  • เฉพาะปี 2026 มีเหตุโจมตีที่ยืนยันแล้วทั่วโลกหลายร้อยกรณี โดยเป้าหมายยอดนิยมคือโรงพยาบาล โรงงาน สถาบันการเงิน และ SME ที่ระบบป้องกันอ่อน
  • ในไทย เหตุข้อมูลรั่วและถูกเจาะระบบเกิดถี่ขึ้นจนหน่วยงานกำกับอย่าง สคส. (PDPC) เริ่มสั่งปรับจริงจัง — องค์กรที่ปล่อยข้อมูลลูกค้ารั่วมีโทษปรับหลักล้านบาท

เคสจริงในไทย: 3BB

กันยายน 2026 บริษัทข่าวกรองภัยคุกคาม Hunt.io เปิดเผยว่าพบเซิร์ฟเวอร์ของผู้โจมตีที่กำลังปฏิบัติการอยู่ภายในเครือข่ายของ 3BB ผู้ให้บริการบรอดแบนด์รายใหญ่ของไทย โดยผู้บุกรุกใช้เครื่องมือบริหารระบบที่ถูกกฎหมายอย่าง MeshCentral เป็น Backdoor ควบคุมเครื่องภายในจากระยะไกล เป้าหมายหลักคือฐานข้อมูล RADIUS ที่เก็บรหัสผ่านอินเทอร์เน็ตของลูกค้า นักวิจัยพบสคริปต์ที่เตรียมไว้คัดลอกฐานข้อมูลดังกล่าวออกไป (หลักฐานชี้ว่า “ถูกเล็งเป้า” แต่ยังไม่ยืนยันว่าข้อมูลหลุดออกไปแล้ว) และประเมินว่าช่องทางเข้าน่าจะเป็นช่องโหว่ FortiGate SSL-VPN (CVE-2024-21762) ที่ไม่ได้แพตช์

แฮกเกอร์เข้ามาทางไหน

  • ช่องโหว่ที่ไม่ได้แพตช์ — โดยเฉพาะ VPN/Firewall ที่เปิดสู่อินเทอร์เน็ต เช่นเคส FortiGate ของ 3BB
  • Phishing — อีเมลหลอกให้กรอกรหัสหรือเปิดไฟล์แนบ ยังเป็นช่องทางอันดับหนึ่งของโลก
  • รหัสผ่านรั่ว/ซ้ำ — ใช้รหัสเดียวกันหลายระบบ เมื่อหลุดที่หนึ่งก็เข้าได้ทุกที่
  • RDP/SSH เปิดสาธารณะ — พอร์ต Remote ที่ไม่มี MFA โดนสแกนและ Brute-force ตลอดเวลา
  • เครื่องมือถูกกฎหมายที่ถูกนำไปใช้ผิดทาง (Living off the Land) — เช่น MeshCentral, AnyDesk ทำให้ระบบตรวจจับมองว่าเป็นงานปกติ

แผนป้องกัน 8 ข้อ

  1. 1อัปเดตแพตช์ OS, VPN, Firewall และซอฟต์แวร์ทุกตัวภายใน 48 ชั่วโมงหลังมีแพตช์ความปลอดภัยสำคัญ
  2. 2เปิด MFA ทุกจุดที่เข้าระบบจากภายนอก — VPN, อีเมล, Panel บริหารเซิร์ฟเวอร์
  3. 3สำรองข้อมูลตามหลัก 3-2-1: สำเนา 3 ชุด สื่อ 2 ประเภท เก็บนอกระบบหลัก (Offline/Immutable) 1 ชุด และทดสอบกู้จริงทุกไตรมาส
  4. 4แบ่งโซนเครือข่าย (Segmentation) — ระบบบัญชี ฐานข้อมูล และเครื่องพนักงานไม่ควรมองเห็นกันหมด
  5. 5จำกัดสิทธิ์ตามหลัก Least Privilege — ไม่มีใครควรใช้ Admin/root เป็นบัญชีประจำวัน
  6. 6ปิดพอร์ตที่ไม่ใช้ เปลี่ยน SSH เป็น Key-based และจำกัด IP ที่เข้าถึงพอร์ตบริหารระบบ
  7. 7ติดตั้งระบบ Monitor/Log แจ้งเตือนพฤติกรรมผิดปกติ เช่น การล็อกอินเวลากลางคืนหรือการคัดลอกไฟล์จำนวนมาก
  8. 8อบรมพนักงานเรื่อง Phishing ปีละสองครั้ง พร้อมทดสอบส่งอีเมลหลอกจริง

ถ้าโดนแล้วต้องทำอะไร

  1. 1ตัดเครื่องที่ติดออกจากเครือข่ายทันที (ถอดสาย/ปิด Wi-Fi) แต่อย่าเพิ่งปิดเครื่อง เพื่อรักษาหลักฐาน
  2. 2แจ้งทีมไอที/ผู้ให้บริการโครงสร้างพื้นฐาน และเปลี่ยนรหัสผ่านระบบสำคัญจากเครื่องที่สะอาด
  3. 3ประเมินขอบเขต: ระบบไหนติด ข้อมูลส่วนบุคคลรั่วหรือไม่ — หากรั่วต้องแจ้ง สคส. ภายใน 72 ชั่วโมงตาม PDPA
  4. 4กู้ระบบจาก Backup ที่สะอาด ห้าม Restore ทับก่อนตรวจว่า Backdoor ถูกกำจัดแล้ว
  5. 5ไม่แนะนำให้จ่ายค่าไถ่ — สถิติชี้ว่าจ่ายแล้วได้ข้อมูลคืนไม่ครบ และตกเป็นเป้าซ้ำ

แหล่งอ้างอิง