เกิดอะไรขึ้น: 30 ล้าน URL ในเว็บรัฐ

กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (ดีอี) รายงานว่าพบ URL ที่เกี่ยวข้องกับเว็บพนันราว 30 ล้านรายการ กระจายอยู่บนเว็บไซต์หน่วยงานภาครัฐไทยประมาณ 1,000 แห่ง โดยเฉพาะเซิร์ฟเวอร์ในสังกัดกระทรวงสาธารณสุขที่พบสคริปต์แฝงมากถึงราว 8 ล้านรายการ เคสตัวอย่างที่นักวิจัยต่างประเทศหยิบมาวิเคราะห์คือเว็บของวิทยาลัยแห่งหนึ่งในไทยที่ถูกใช้เป็นทางผ่านพาผู้ใช้จากโฆษณาไปสู่เว็บคาสิโน โดยอาศัยความน่าเชื่อถือของโดเมนสถานศึกษาให้หน้าแฝงติดอันดับต้นของ Google

SEO Poisoning ทำงานอย่างไร

  1. 1แฮกเกอร์เจาะเว็บผ่านช่องโหว่ CMS/ปลั๊กอินเก่า รหัสผ่านรั่ว หรือโฮสต์ที่ตั้งค่าไม่ปลอดภัย
  2. 2ฝังหน้าเว็บหรือสคริปต์แฝงจำนวนมาก (หลักพันถึงหลักล้าน URL) ที่มองไม่เห็นจากหน้าเว็บปกติ
  3. 3อาศัยความน่าเชื่อถือ (Domain Authority) ของเว็บที่ถูกเจาะ ดันหน้าพนันให้ติดอันดับบน Google
  4. 4ผู้ใช้ค้นหาหรือคลิกโฆษณา เห็นผลลัพธ์จากโดเมนที่ดูน่าเชื่อถือ คลิกแล้วถูก Redirect ไปเว็บพนัน/ฟิชชิ่ง
  5. 5เจ้าของเว็บมักไม่รู้ตัวเป็นเดือน เพราะหน้าแรกและระบบหลักยังทำงานปกติทุกอย่าง

ผลเสียต่อเจ้าของเว็บรุนแรงกว่าที่คิด: อันดับ SEO ของหน้าจริงร่วงเพราะ Google มองว่าเว็บมีสแปม, เบราว์เซอร์อาจขึ้นเตือนว่าเว็บอันตราย, อีเมลจากโดเมนเริ่มตกถังสแปม และความเชื่อมั่นของลูกค้าเสียหายทันทีที่มีคนพบลิงก์พนันใต้ชื่อแบรนด์ของคุณ

วิธีเช็กว่าเว็บคุณโดนหรือยัง

  • ค้น Google ด้วย site:โดเมนของคุณ ตามด้วยคำอย่าง “บาคาร่า”, “สล็อต”, “casino” — ถ้าพบหน้าที่คุณไม่ได้สร้าง แปลว่าโดนแล้ว
  • เปิด Google Search Console ดูเมนู Security Issues และดูรายงาน Pages ว่ามีจำนวนหน้า Index พุ่งผิดปกติหรือไม่
  • ตรวจไฟล์บนโฮสต์: ไฟล์ .php แปลก ๆ ในโฟลเดอร์ uploads, ไฟล์ที่เพิ่งถูกแก้ไขทั้งที่ไม่ได้อัปเดตเว็บ, โค้ดถูก Obfuscate (base64) ใน index.php หรือ .htaccess
  • เทียบ Sitemap จริงกับจำนวนหน้าที่ Google รู้จัก ถ้าต่างกันหลักพันคือสัญญาณอันตราย
  • ลองเปิดเว็บผ่านมือถือ/เครือข่ายอื่นและจาก Google Cache — สแปมบางแบบแสดงเฉพาะกับ Googlebot (Cloaking)

มาตรฐานเว็บใหม่ของ กมช. ที่เพิ่งมีผล

จังหวะเดียวกับข่าวนี้ มาตรฐานด้านความปลอดภัยเว็บไซต์ของคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (กมช. / NCSA) เพิ่งมีผลบังคับใช้ในสัปดาห์นี้ (กลางเดือนกันยายน 2026) โดยกำหนดข้อปฏิบัติขั้นต่ำด้านความปลอดภัยเว็บไซต์สำหรับหน่วยงานรัฐ หน่วยงานกำกับ และองค์กรโครงสร้างพื้นฐานสำคัญ (CII) พร้อมสนับสนุนให้ภาคเอกชนนำไปใช้ด้วย นอกจากนี้ยังมีมาตรฐานความปลอดภัยคลาวด์ที่กำหนดให้จัดชั้นความลับของข้อมูลส่วนบุคคลบนคลาวด์อย่างน้อยระดับ “ปานกลาง” และให้รายงานผลการดำเนินการต่อสำนักงานภายใน 30 วันหลังดำเนินการแล้วเสร็จ — ทิศทางชัดเจนว่าไทยกำลังยกระดับความปลอดภัยเว็บและคลาวด์ทั้งระบบ ธุรกิจที่ปรับตัวก่อนย่อมได้เปรียบ

วิธีป้องกัน 8 ข้อ

  1. 1อัปเดต CMS, Theme และปลั๊กอินทุกตัวสม่ำเสมอ — ช่องโหว่ WordPress/ปลั๊กอินเก่าคือประตูอันดับหนึ่งของการฝังสแปม
  2. 2ลบปลั๊กอิน/ธีมที่ไม่ใช้ทิ้ง อย่าปล่อยไว้ในระบบแม้จะปิดใช้งาน
  3. 3ใช้รหัสผ่านแข็งแรง + MFA กับหน้า Admin, FTP/SFTP และ Panel ของโฮสต์
  4. 4ติดตั้ง WAF (Web Application Firewall) กรอง Request อันตรายก่อนถึงเว็บ
  5. 5ตั้งสิทธิ์ไฟล์ให้ถูกต้อง (ห้าม 777) และปิดการรัน PHP ในโฟลเดอร์ uploads
  6. 6เปิดใช้ File Integrity Monitoring หรืออย่างน้อยสแกนมัลแวร์อัตโนมัติรายวัน
  7. 7ยืนยันเว็บกับ Google Search Console เพื่อรับอีเมลแจ้งเตือนทันทีเมื่อ Google พบปัญหาความปลอดภัย
  8. 8สำรองข้อมูลเว็บ+ฐานข้อมูลอัตโนมัติ และเก็บสำเนาไว้นอกเซิร์ฟเวอร์หลัก เพื่อให้กู้คืนเวอร์ชันสะอาดได้เสมอ

ถ้าโดนแล้ว แก้อย่างไร

  1. 1เปลี่ยนรหัสผ่านทั้งหมดทันที (Admin, ฐานข้อมูล, FTP, Panel) จากเครื่องที่มั่นใจว่าสะอาด
  2. 2หาและลบไฟล์แปลกปลอม/Backdoor ให้หมด — วิธีที่ชัวร์ที่สุดคือกู้จาก Backup ที่สะอาด แล้วอัปเดตทุกอย่างเป็นเวอร์ชันล่าสุดก่อนเปิดใช้
  3. 3ตรวจ .htaccess, ไฟล์ config และตาราง users ในฐานข้อมูล ว่าไม่มีบัญชี Admin แปลกปลอมหลงเหลือ
  4. 4ใน Google Search Console: ลบหน้าแปลกออกด้วย Removals แล้วส่ง Request Review หาก Google ติดธงความปลอดภัยไว้
  5. 5เฝ้าดูต่ออีกอย่างน้อย 30 วัน เพราะถ้า Backdoor หลงเหลือแม้ไฟล์เดียว สแปมจะกลับมาภายในไม่กี่วัน

แหล่งอ้างอิง