Retail & E-Commerce Sector Weekly Report
ห้วงเวลา: 7-13 กันยายน 2569
TLP:CLEARในรอบสัปดาห์ที่ผ่านมา ภาคการค้าปลีกและอีคอมเมิร์ซเผชิญหน้ากับภัยคุกคามทั้งในมิติด้านการเงิน ห่วงโซ่อุปทาน และข้อมูลผู้บริโภค โดยมีประเด็นสำคัญ 4 ประการ ได้แก่ (1) ชุดเครื่องมือฟิชชิง Darcula แอบอ้างแพลตฟอร์มอีคอมเมิร์ซและระบบใบกำกับภาษีอิเล็กทรอนิกส์ เพื่อดักขโมยข้อมูลบัตรเครดิตและรหัสยืนยันตัวตนของผู้ซื้อสินค้าออนไลน์ (2) แคมเปญหลอกลวงสวมรอยผู้บริหารและออกใบแจ้งหนี้ปลอมด้วย Generative AI (BEC/Invoice Fraud) มุ่งเป้าฝ่ายการเงินและคู่ค้าในห่วงโซ่อุปทานค้าปลีก (3) กลุ่มแรนซัมแวร์ DragonForce ที่เจาะจงโจมตีระบบคลังสินค้า โลจิสติกส์ และบริษัทค้าปลีกด้วยการแฝงตัวผ่าน Microsoft Teams และเข้ารหัสเครื่องแม่ข่ายเสมือน VMware ESXi และ (4) รายงานวิเคราะห์ยุทธวิธีของกลุ่ม Scattered Spider ที่มุ่งเน้นการทำวิศวกรรมสังคมหลอกลวงฝ่ายบริการลูกค้า (Customer Service) และ Helpdesk เพื่อขโมยข้อมูลสิทธิ์และขยายผลเข้าสู่ระบบหลังบ้านของธุรกิจค้าปลีก
ทีมนักวิจัยความมั่นคงปลอดภัย TeamT5 เผยแพร่รายงานวิเคราะห์ปฏิบัติการฟิชชิงที่ดำเนินงานในช่วงเดือนมกราคมถึงพฤษภาคม 2569 ซึ่งพัฒนาขึ้นบนชุดเครื่องมือ Darcula PhaaS โดยแอบอ้างแพลตฟอร์มอีคอมเมิร์ซยอดนิยมในไต้หวัน (เช่น MOMO) และระบบใบกำกับภาษีอิเล็กทรอนิกส์ (E-Invoice) ของรัฐบาลไต้หวัน เพื่อหลอกล่อให้ผู้ซื้อสินค้าออนไลน์ในไต้หวันกรอกหมายเลขโทรศัพท์ ข้อมูลบัตรเครดิต และรหัสยืนยันตัวตนสองปัจจัย (2FA) ข้อมูลที่เหยื่อกรอกจะถูกเข้ารหัสด้วยอัลกอริทึม Rabbit ภายในไฟล์จาวาสคริปต์ก่อนส่งต่อไปยังเซิร์ฟเวอร์ควบคุมของผู้ไม่หวังดีแบบเรียลไทม์
กลุ่มอาชญากรไซเบอร์ที่ใช้ภาษาจีนตัวย่อและดำเนินงานบนแพลตฟอร์ม Darcula Phishing-as-a-Service (PhaaS)
อีเมลฟิชชิงที่ส่งจากบัญชีที่ถูกแฮกของมหาวิทยาลัยเกาหลี พร้อมลิงก์นำทางไปยังหน้าเว็บตรวจสอบใบกำกับภาษีอิเล็กทรอนิกส์ปลอม
แคมเปญนี้ส่งอีเมลหลอกลวงให้ผู้ซื้อสินค้าออนไลน์ในไต้หวันตรวจสอบใบกำกับภาษีเพื่อลุ้นรับรางวัล โดยนำทางไปยังโดเมนฟิชชิง เช่น hxxps://einvoiceg[.]com/gov/ และ hxxps://einvoicegs[.]com/gov/ หน้าเว็บปลอมได้รับการออกแบบให้เหมือนระบบราชการไต้หวัน แต่แสดงโลโก้ธนาคารพาณิชย์และขอให้กรอกหมายเลขโทรศัพท์และข้อมูลบัตรเครดิตเพื่อผูกบัญชี ตัวโค้ดฟิชชิง app/chunk/DgZYu39z.js ใช้การเข้ารหัส Rabbit ซึ่งเป็นเอกลักษณ์ของชุดเครื่องมือ Darcula เมื่อเหยื่อกรอกข้อมูลบัตร ระบบจะเปลี่ยนเส้นทางไปยังหน้าขอรหัส 2FA ทันทีเพื่อนำข้อมูลไปใช้ทำธุรกรรมการเงินฉ้อโกง
มีความเสี่ยงสูงและเป็นภัยคุกคามข้ามพรมแดน (High Risk / Cross-Border Threat) - แพลตฟอร์มฟิชชิง Darcula มีการขยายโครงสร้างพื้นฐานมายังกลุ่มประเทศในแถบเอเชียตะวันออกเฉียงใต้และไทยอย่างต่อเนื่อง โดยมักแอบอ้างบริการส่งพัสดุและระบบใบกำกับภาษีอิเล็กทรอนิกส์ (e-Tax Invoice / e-Receipt) ของไทย รูปแบบการหลอกให้กรอกข้อมูลบัตรเครดิตเพื่อแลกรับคะแนนสะสมหรือสิทธิประโยชน์ เป็นกลลวงที่แพร่ระบาดและสร้างความเสียหายต่อผู้บริโภคและนักช้อปออนไลน์ชาวไทยเป็นจำนวนมาก
ยุทธศาสตร์: ธุรกิจอีคอมเมิร์ซและผู้ให้บริการค้าปลีกต้องสร้างความตระหนักรู้แก่ลูกค้าเกี่ยวกับรูปแบบการหลอกลวงที่อิงกับใบเสร็จและภาษีดิจิทัล
ยุทธการ: ผู้โจมตีใช้บริการ PhaaS ที่มีการพัฒนาโค้ดอย่างต่อเนื่องและใช้การเข้ารหัสเพย์โหลดเพื่อหลบเลี่ยงการตรวจจับของระบบคัดกรองเว็บ
ยุทธวิธี: หน่วยงานด้านความปลอดภัยควรบล็อกโดเมนฟิชชิงในเครือข่าย Darcula และเฝ้าระวังการส่งต่อข้อมูลที่เข้ารหัสด้วยอัลกอริทึม Rabbit สู่ภายนอก
ผู้ซื้อสินค้าออนไลน์ ผู้ถือบัตรเครดิต แพลตฟอร์มอีคอมเมิร์ซ และระบบการชำระเงินในไต้หวัน (Taiwan)
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ไมโครซอฟท์ตรวจพบแคมเปญหลอกลวงทางการเงินแบบ Business Email Compromise (BEC) และ Invoice Fraud ที่นำปัญญาประดิษฐ์ (Generative AI) มาใช้ร่างข้อความอีเมลหลอกลวงแบบเฉพาะเจาะจง โดยแอบอ้างเป็นผู้บริหารระดับสูงหรือคู่ค้าสำคัญ เช่น ServiceNow เพื่อส่งใบแจ้งหนี้ปลอมและสั่งการให้ฝ่ายการเงินของร้านค้าและธุรกิจค้าปลีกเปลี่ยนแปลงบัญชีธนาคารปลายทาง ก่อนจะโอนเงินผ่านระบบ ACH หรือการโอนเงินระหว่างประเทศไปยังบัญชีของผู้ไม่หวังดี
กลุ่มอาชญากรไซเบอร์ที่มุ่งเน้นการฉ้อโกงทางการเงินต่อองค์กรธุรกิจและร้านค้า (Financially Motivated Threat Actors / BEC Cybercrime Syndicate)
อีเมลหลอกลวงแนบไฟล์ใบแจ้งหนี้ปลอม (Spearphishing Attachment) ส่งจากกล่องข้อความภายนอกที่จดทะเบียนโดเมนเลียนแบบคู่ค้า เช่น service-nowinc[.]com ร่วมกับการใช้บริการส่งต่ออีเมลภายนอก
ผู้โจมตีทำการรวบรวมข้อมูลโครงสร้างองค์กร รายชื่อผู้บริหาร และคู่ค้าทางธุรกิจจากแหล่งข้อมูลสาธารณะ จากนั้นใช้ Generative AI ช่วยเขียนเนื้อหาอีเมลและจัดทำใบแจ้งหนี้ที่มีรูปแบบและภาษาทางธุรกิจแนบเนียน เพื่อลดความสงสัยของฝ่ายบัญชี ตัวอีเมลถูกส่งผ่านโครงสร้างพื้นฐานของผู้ให้บริการบุคคลที่สาม และใช้โดเมนสวมรอย เช่น service-nowinc[.]com ที่ระบุอีเมลผู้ติดต่อ gomez@service-nowinc[.]com พร้อมทั้งตั้งค่าที่อยู่ตอบกลับ (Reply-To) ไปยังโดเมน domainlify[.]net เมื่อเหยื่อหลงเชื่อโอนเงินเข้าบัญชีตามคำขอ ผู้โจมตีจะยักยอกเงินออกไปยังเครือข่ายบัญชีม้าทันที
มีความเป็นไปได้สูง (Likely) - ภาคธุรกิจค้าปลีก ห้างสรรพสินค้า และร้านค้าออนไลน์ในประเทศไทยมีการทำธุรกรรมชำระเงินกับคู่ค้า ซัพพลายเออร์ และผู้ผลิตสินค้าจำนวนมากในแต่ละวัน การที่ผู้โจมตีนำ Generative AI มาช่วยสร้างเนื้อหาอีเมลและใบแจ้งหนี้ปลอมที่แนบเนียนทางภาษาธุรกิจ ทำให้ฝ่ายบัญชีและการเงินของร้านค้ามีโอกาสหลงเชื่อสูง โดยเฉพาะหากขาดขั้นตอนการตรวจสอบยืนยันการเปลี่ยนแปลงเลขบัญชีผ่านช่องทางสื่อสารอื่น (Out-of-band Verification)
ยุทธศาสตร์: การนำ AI มาช่วยในการทำ BEC ทำให้การหลอกลวงแนบเนียนจนการสังเกตไวยากรณ์หรือข้อความผิดปกติแบบเดิมไม่เพียงพอ องค์กรต้องบังคับใช้กระบวนการอนุมัติการจ่ายเงินแบบสองทาง (Dual Authorization)
ยุทธการ: ผู้ไม่หวังดีมุ่งเน้นการโจมตีไปที่ห่วงโซ่การชำระเงินของร้านค้าและซัพพลายเออร์ โดยอาศัยจังหวะเวลาที่มีการเปลี่ยนแปลงสัญญาหรือรอบการชำระเงินตามปกติ
ยุทธวิธี: ฝ่ายบัญชีต้องตรวจสอบการเปลี่ยนแปลงเลขบัญชีของคู่ค้าผ่านช่องทางการสื่อสารที่ยืนยันตัวตนได้ (Out-of-band verification) เช่น การโทรศัพท์ไปยังเบอร์ติดต่อที่บันทึกไว้ในระบบก่อนทำธุรกรรม
ภาคการค้าปลีก ร้านค้าออนไลน์ ฝ่ายจัดซื้อและบัญชีของธุรกิจ และผู้ให้บริการในห่วงโซ่อุปทาน
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
รายงานวิเคราะห์โปรไฟล์ภัยคุกคามโดย DeXpose เปิดเผยภาพรวมพฤติกรรมและการเติบโตของกลุ่มพันธมิตรแรนซัมแวร์ DragonForce ซึ่งมีรูปแบบการโจมตีกรรโชกทรัพย์สองชั้น (Double-Extortion) มุ่งเป้าห้างสรรพสินค้า คลังสินค้า และเครือข่ายค้าปลีกขนาดใหญ่ โดยเฉพาะกรณีศึกษาในอดีต (กุมภาพันธ์-พฤษภาคม 2568) เช่น Marks & Spencer, Co-op และ Harrods ซึ่งกลุ่มผู้โจมตีใช้ช่องโหว่บนซอฟต์แวร์ SimpleHelp RMM หรือร่วมมือกับกลุ่มพันธมิตรเพื่อหลอกลวง Helpdesk ขโมยฐานข้อมูล Active Directory แฝงตัวผ่านแบ็กดอร์ Backdoor.Turn บน Microsoft Teams และเข้ารหัสเครื่องแม่ข่ายเสมือน VMware ESXi โดยสถิติล่าสุด ณ เดือนสิงหาคม 2569 กลุ่มนี้อ้างว่ามีเหยื่อรวมกว่า 645 รายใน 65 ประเทศทั่วโลก (รวมถึงเหยื่อใหม่ 101 รายในไตรมาสที่ 1 ปี 2569)
กลุ่มแรนซัมแวร์ DragonForce (Cartel Operations) ซึ่งดึงเอาเครื่องมือและเครือข่ายพันธมิตรของ RansomHub และ LockBit เข้ามาร่วมปฏิบัติการกรรโชกทรัพย์
การเจาะช่องโหว่บนเซิร์ฟเวอร์ SimpleHelp RMM การใช้ข้อมูลบัญชีผู้ใช้ที่รั่วไหล และการโทรหลอกลวงเจ้าหน้าที่ไอที (Helpdesk Vishing) เพื่อรีเซ็ตรหัสผ่าน
บทวิเคราะห์ทางเทคนิคระบุว่า ในปฏิบัติการโจมตีเครือข่ายค้าปลีก ผู้โจมตีจะใช้เทคนิค Living-off-the-Land (LOLBAS) ผ่านคำสั่ง PsExec และ WMIC เพื่อกระจายตัวเข้ารหัสไปยังเครื่องลูกข่ายและเซิร์ฟเวอร์ พร้อมทั้งใช้แบ็กดอร์ Backdoor.Turn ส่งทราฟฟิก C2 ผ่านโครงสร้างพื้นฐานของ Microsoft Teams เพื่อแฝงตัวในระบบ ก่อนจะสกัดข้อมูลลับ ขโมยฐานข้อมูล Active Directory และปล่อยตัวเข้ารหัสแรนซัมแวร์กุญแจ AES-256 เจาะจงทำลายเครื่องแม่ข่ายเสมือนบน VMware ESXi ส่งผลให้ระบบคลังสินค้าและการกระจายสินค้าของห้างค้าปลีกหยุดชะงักอย่างรุนแรง
มีความเสี่ยงระดับสูง (High Risk) - ธุรกิจค้าปลีก ห้างค้าปลีกสมัยใหม่ (Modern Trade) และศูนย์กระจายสินค้า (Distribution Centers) ในประเทศไทยพึ่งพาระบบคลังสินค้าและระบบโลจิสติกส์แบบ Just-in-Time เป็นอย่างมาก หากระบบเซิร์ฟเวอร์เสมือน VMware ESXi ถูกเข้ารหัสและข้อมูลทางธุรกิจถูกขโมยไป จะส่งผลให้การบริหารสต็อกและการส่งมอบสินค้าไปยังสาขาทั่วประเทศต้องหยุดชะงัก นำไปสู่ความสูญเสียทางรายได้และความเสียหายต่อห่วงโซ่อุปทานการค้าปลีกของไทยอย่างรุนแรง
ยุทธศาสตร์: ห่วงโซ่อุปทานค้าปลีกและระบบคลังสินค้ามีความอ่อนไหวสูงต่อความล่าช้า ทำให้ตกเป็นเป้าหมายหลักของการเรียกค่าไถ่เพื่อบีบให้ยอมจ่ายเงิน
ยุทธการ: ผู้ไม่หวังดีใช้การอำพรางทราฟฟิก C2 ผ่านแอปพลิเคชันธุรกิจอย่าง Microsoft Teams เพื่อให้มีเวลาสำรวจและขโมยข้อมูลลับเป็นเวลานาน
ยุทธวิธี: หน่วยงานค้าปลีกต้องจำกัดการเข้าถึงพอร์ตจัดการของเครื่องแม่ข่ายเสมือน VMware ESXi และเปิดใช้งานระบบตรวจจับการเรียกใช้คำสั่ง WMIC และ PsExec ข้ามโฮสต์
ภาคการค้าปลีก ห้างสรรพสินค้า ศูนย์กระจายสินค้า คลังสินค้า และระบบห่วงโซ่อุปทาน
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
รายงานโปรไฟล์กลุ่มภัยคุกคามโดย DeXpose วิเคราะห์พฤติกรรมและการพัฒนาของกลุ่มอาชญากรไซเบอร์ Scattered Spider (UNC3944 / Octo Tempest / 0ktapus) ซึ่งมีประวัติพุ่งเป้าโจมตีธุรกิจค้าปลีก แพลตฟอร์มอีคอมเมิร์ซ ห้างสรรพสินค้า และระบบบริการลูกค้า ผ่านแคมเปญในอดีต (เช่น กรณี MGM/Caesars ในปี 2566 และคลื่นการโจมตีธุรกิจค้าปลีกในสหราชอาณาจักรช่วงฤดูใบไม้ผลิ 2568) โดยใช้การโทรศัพท์หลอกลวงเจ้าหน้าที่ IT Helpdesk (Voice Phishing หรือ Vishing) ร่วมกับการยิงคำขอแจ้งเตือน MFA ซ้ำๆ (MFA Fatigue) เพื่อรีเซ็ตรหัสผ่านและขโมยบัญชีผู้ดูแลระบบ เมื่อเข้าสู่ระบบ Identity ได้ ผู้โจมตีจะยึดครองระบบ Active Directory และเชื่อมต่อไปยังไฮเปอร์ไวเซอร์ VMware ESXi เพื่อสั่งปิดและเข้ารหัสระบบเครื่องแม่ข่ายด้วยแรนซัมแวร์
Scattered Spider (UNC3944 / Octo Tempest / 0ktapus) กลุ่มแฮกเกอร์ที่มีความเชี่ยวชาญสูงด้านวิศวกรรมสังคมและการเจาะระบบ Identity
การโทรศัพท์หลอกลวงเจ้าหน้าที่ Helpdesk (Vishing) การสลับซิมการ์ด (SIM Swapping) และการสร้างคำขอยืนยันตัวตน MFA ถี่ผิดปกติเพื่อสร้างความรำคาญ (MFA Fatigue)
บทวิเคราะห์ระบุรูปแบบการปฏิบัติการว่า ผู้โจมตีทำการรวบรวมข้อมูลส่วนบุคคลของพนักงานฝ่ายบริการลูกค้าและไอทีจากโซเชียลมีเดีย จากนั้นโทรศัพท์ไปยัง Helpdesk เพื่อแอบอ้างเป็นพนักงานและขอรีเซ็ตข้อมูล MFA ไปยังอุปกรณ์ของผู้โจมตี เมื่อสามารถเข้าสู่ Okta หรือ Azure AD ได้ ผู้โจมตีจะติดตั้งเครื่องมือรีโมต เช่น AnyDesk หรือ ScreenConnect หรือโทรจัน RattyRAT เพื่อคงการเชื่อมต่อ จากนั้นจะทำการสำรวจสิทธิ์ใน Active Directory และเจาะลึกไปยังคลัสเตอร์เซิร์ฟเวอร์ VMware ESXi ที่ควบคุมระบบชำระเงิน POS หรือระบบจัดการร้านค้า ก่อนจะนำมัลแวร์แรนซัมแวร์พันธมิตร (เช่น DragonForce หรือ RansomHub) มาเข้ารหัสไฟล์อิมเมจของเครื่องเสมือน ทำให้การขายและการดำเนินงานต้องหยุดชะงัก
มีความเสี่ยงระดับวิกฤต (Critical Risk) - แพลตฟอร์มอีคอมเมิร์ซและเครือข่ายค้าปลีกในไทยมีทีมงานบริการลูกค้า (Customer Service / Call Center) และ IT Helpdesk จำนวนมาก ซึ่งมักเน้นการอำนวยความสะดวกอย่างรวดเร็ว ทำให้กลายเป็นเป้าหมายหลักที่กลุ่มแฮกเกอร์ใช้จิตวิทยาหลอกลวงเพื่อขอรีเซ็ตรหัสผ่านและสิทธิ์ MFA หากผู้โจมตีเข้าถึงระบบ Identity Provider ได้ อาจนำไปสู่การเจาะระบบชำระเงิน POS และการรั่วไหลของข้อมูลบัตรเครดิตตลอดจนข้อมูลส่วนบุคคลของลูกค้าชาวไทยนับล้านราย
ยุทธศาสตร์: ธุรกิจค้าปลีกพึ่งพาระบบ Identity ในการเชื่อมโยงระบบสาขาและหน้าร้าน การถูกยึด Identity Provider จึงสร้างความเสียหายครอบคลุมทุกช่องทางการจำหน่าย
ยุทธการ: ผู้โจมตีอาศัยช่องว่างในขั้นตอนการทำงานของเจ้าหน้าที่บริการลูกค้า มากกว่าการพยายามเจาะผ่านไฟร์วอลล์หรือช่องโหว่ทางเทคนิคที่ซับซ้อน
ยุทธวิธี: องค์กรค้าปลีกต้องเปลี่ยนผ่านสู่ระบบยืนยันตัวตน FIDO2/Passkey และกำหนดระเบียบที่เข้มงวดให้การรีเซ็ต MFA ต้องมีการยืนยันตัวตนแบบหลายขั้นตอนที่ Helpdesk
ภาคการค้าปลีก แพลตฟอร์มอีคอมเมิร์ซ ห้างสรรพสินค้า ธุรกิจโรงแรม และระบบชำระเงินดิจิทัล
ดูรายละเอียดการวิเคราะห์และ TTPs เพิ่มเติมที่ลิงก์ด้านล่าง
WMIC, PsExec และการเชื่อมต่อ API ของ Microsoft Teams ที่ผิดปกติ