ห้วงเวลา: 14-20 กันยายน 2569
ในรอบสัปดาห์ระหว่างวันที่ 14-20 กันยายน 2569 ภัยคุกคามทางไซเบอร์ในภาคการค้าปลีกและอีคอมเมิร์ซทวีความรุนแรงขึ้นอย่างมีนัยสำคัญ โดยเฉพาะการโจมตีห่วงโซ่อุปทาน (Supply Chain Attack) ผ่านผู้ให้บริการบุคคลที่สาม ซึ่งส่งผลกระทบต่อเว็บไซต์ร้านค้าออนไลน์กว่าหนึ่งแสนแห่งทั่วโลก ขณะเดียวกันกลุ่มผู้ไม่หวังดีได้พัฒนาเทคนิคการฉ้อโกงฝั่งไคลเอนต์ (Client-side Manipulation) และการเจาะช่องโหว่ปลั๊กอินระบบบริหารจัดการร้านค้ายอดนิยมเพื่อฝัง Web Shell ตลอดจนการปรับใช้เครื่องมือควบคุมระบบระยะไกลและเทคนิค BYOVD ในแคมเปญมัลแวร์เรียกค่าไถ่เพื่อหลบเลี่ยงการตรวจจับและกดดันระบบปฏิบัติการค้าปลีกอย่างต่อเนื่อง
ทีมนักวิจัย Sansec ตรวจพบการโจมตีห่วงโซ่อุปทานครั้งใหญ่ผ่านการเข้าถึงบัญชีจัดการ DNS บน Cloudflare ของผู้ให้บริการด้านการตลาด Brevo (เดิมคือ Sendinblue) โดยผู้โจมตีทำการแก้ไขสคริปต์วิดเจ็ต sdk-loader.js และ brevo-conversations.js เพื่อโหลดโค้ดอันตราย หากผู้เข้าชมเป็นผู้ดูแลระบบที่ล็อกอินเข้าใช้งาน WordPress สคริปต์จะแอบติดตั้งปลั๊กอิน Backdoor จาก https://cdn10.sendibt1[.]com/p/wm.zip โดยอัตโนมัติ แต่หากเป็นผู้เยี่ยมชมทั่วไปจะแสดงหน้าต่างหลอกลวงแบบ ClickFix เพื่อหลอกให้คัดลอกและรันคำสั่งอันตราย ซึ่งส่งผลกระทบต่อเว็บไซต์ลูกค้ารวมถึงหน้าแบบฟอร์มและลิงก์ยกเลิกรับข่าวสารกว่า 100,000 แห่งทั่วโลก
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรและผู้ประกอบการค้าปลีกออนไลน์ในไทยที่ติดตั้งวิดเจ็ตหรือใช้งานระบบการตลาดของ Brevo บนเว็บไซต์ อาจถูกฝัง Backdoor ในระบบบริหารจัดการเนื้อหา หรือผู้ใช้งานในไทยที่คลิกลิงก์อีเมลการตลาดอาจเผชิญการหลอกลวงแบบ ClickFix
ยุทธศาสตร์: ผู้ไม่หวังดีมุ่งเป้าเจาะระบบผู้ให้บริการโครงสร้างพื้นฐานด้านการตลาดดิจิทัลและ SaaS เพื่อใช้เป็นสะพานขยายผลการโจมตีสู่ร้านค้าออนไลน์ในวงกว้าง
ยุทธการ: การผสมผสานระหว่างการฝัง Backdoor แบบเจาะจงผู้ดูแลระบบเว็บไซต์กับการหลอกลวง Social Engineering (ClickFix) ต่อผู้ใช้ทั่วไป แสดงถึงความยืดหยุ่นในการเก็บเกี่ยวเหยื่อหลายระดับ
ยุทธวิธี: ผู้ดูแลระบบควรตรวจสอบบันทึกการร้องขอ POST ไปยัง /wp-admin/update.php?action=upload-plugin และคัดกรองการทำงานของสคริปต์ภายนอกด้วยนโยบายความปลอดภัยเนื้อหา (CSP) อย่างเข้มงวด
ภาคการค้าปลีกออนไลน์, ธุรกิจอีคอมเมิร์ซ, องค์กรที่ใช้งานระบบการตลาด Brevo/Sendinblue, เว็บไซต์ที่ขับเคลื่อนด้วยระบบ WordPress
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
Cloudflare เปิดเผยรายงานการตรวจพบแคมเปญสคริปต์อันตรายบนฝั่ง Client-side จำนวน 4 รูปแบบที่มุ่งเป้าโจมตีเว็บไซต์ร้านค้าปลีกและธุรกิจท่องเที่ยวออนไลน์ โดยพบพฤติกรรมการดักสลับลิงก์พันธมิตร (Affiliate Fraud) ในช่วงนอกเวลาทำการ การแอบโหลดคำสั่งพันธมิตรผ่าน iframe ซ่อนเร้นโดยไม่ต้องรอให้เหยื่อคลิก (Clickless Theft) รวมถึงการใช้เทคนิค Cloaking และการฝังมัลแวร์ Backdoor ตระกูล LNKR เพื่อดักจับข้อมูลและควบคุมทราฟฟิกของผู้ใช้งาน
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อแพลตฟอร์มอีคอมเมิร์ซและร้านค้าออนไลน์ในไทยที่ติดตั้งสคริปต์บุคคลที่สาม โดยอาจสูญเสียรายได้จากระบบพันธมิตร หรือผู้บริโภคในไทยอาจถูกเปลี่ยนเส้นทางการเข้าชมไปยังเว็บไซต์โฆษณาหลอกลวง
ยุทธศาสตร์: ภัยคุกคามฝั่ง Client-side มุ่งสร้างความเสียหายทางการเงินและบิดเบือนสถิติทางธุรกิจโดยหลบเลี่ยงระบบสแกนความปลอดภัยฝั่งเซิร์ฟเวอร์แบบเดิม
ยุทธการ: การใช้กลไกหน่วงเวลา (Time-based Evasion) และการตรวจสอบสภาพแวดล้อมเพื่อเลือกแสดงพฤติกรรมอันตรายเฉพาะกลุ่มเป้าหมาย เพิ่มความซับซ้อนในการตรวจจับ
ยุทธวิธี: ควรใช้งานโซลูชันตรวจจับและควบคุมสคริปต์ฝั่ง Client-side เช่น Content Security Policy (CSP) และ Subresource Integrity (SRI) รวมถึงเฝ้าระวังโดเมนปลายทางที่ผิดปกติ
ภาคการค้าปลีกและอีคอมเมิร์ซ, แพลตฟอร์มจองบริการท่องเที่ยว, ระบบโฆษณาและพันธมิตรออนไลน์, หน้าร้านค้าบนเว็บ
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ทีมนักวิจัย Wordfence รายงานข้อมูลการโจมตีเชิงรุกต่อช่องโหว่ความรุนแรงระดับวิกฤต CVE-2026-27540 (CVSS 9.8) บนปลั๊กอิน WooCommerce Wholesale Lead Capture (เวอร์ชัน 2.0.3.1 และก่อนหน้า) ซึ่งเกิดจากความบกพร่องในการตรวจสอบประเภทไฟล์ที่อัปโหลดผ่าน AJAX handler ส่งผลให้ผู้ไม่หวังดีสามารถส่งคำขออัปโหลดไฟล์ PHP Web Shell (shell.php) ได้โดยไม่ต้องยืนยันตัวตน เพื่อยึดครองเซิร์ฟเวอร์ร้านค้า โดยระบบ Wordfence Firewall บันทึกการสกัดกั้นการโจมตีกว่า 100,000 ครั้ง
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อร้านค้าออนไลน์ในไทยที่สร้างระบบขายส่งบน WordPress และ WooCommerce หากยังไม่ได้อัปเดตปลั๊กอิน อาจถูกแทรกซึมติดตั้ง Web Shell และถูกขโมยฐานข้อมูลลูกค้า
ยุทธศาสตร์: ปลั๊กอินส่วนขยายของระบบอีคอมเมิร์ซยอดนิยมยังคงเป็นเป้าหมายหลักของการสแกนและเจาะระบบอัตโนมัติจากผู้ไม่หวังดีทั่วโลก
ยุทธการ: ผู้โจมตีใช้สคริปต์สแกนและส่ง Payload เพื่อสร้าง Web Shell สำเร็จรูปสำหรับใช้เป็นฐานขยายผลการโจมตีหรือขโมยข้อมูลการชำระเงิน
ยุทธวิธี: ผู้ดูแลระบบต้องเร่งอัปเดตปลั๊กอิน WooCommerce Wholesale Lead Capture เป็นเวอร์ชัน 2.0.3.2 ขึ้นไปทันที และบล็อกรายการ IP ที่พบพฤติกรรมสแกน
ร้านค้าปลีกและระบบขายส่งออนไลน์ (E-Commerce/Wholesale), เว็บไซต์ที่ติดตั้ง WordPress และ WooCommerce
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
นักวิจัยความมั่นคงปลอดภัยจาก Huntress เผยแพร่บทวิเคราะห์มัลแวร์เรียกค่าไถ่ตัวใหม่ Settra ที่มุ่งเป้าโจมตีกลุ่มธุรกิจค้าปลีกและภาคการผลิต โดยพบการติดตั้ง MeshAgent RMM เพื่อใช้เป็นช่องทางควบคุมระบบระยะไกล และการใช้เทคนิค Bring Your Own Vulnerable Driver (BYOVD) เพื่อปิดการทำงานของระบบรักษาความปลอดภัยบนเครื่องเป้าหมาย ก่อนสั่งลบระบบกู้คืนและเข้ารหัสไฟล์เพื่อเรียกค่าไถ่แบบ Double Extortion
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อระบบสารสนเทศของธุรกิจค้าปลีกและระบบบริหารจัดการคลังสินค้าในไทย หากมีการเปิดช่องทาง Remote Desktop (RDP) หรือ VPN ทิ้งไว้ อาจตกเป็นเป้าหมายการแทรกซึมและเรียกค่าไถ่
ยุทธศาสตร์: กลุ่มผู้ไม่หวังดีมุ่งเน้นการโจมตีระบบปฏิบัติการของภาคธุรกิจค้าปลีกที่มีความต่อเนื่องในการให้บริการสูง เพื่อเพิ่มแรงกดดันในการเรียกค่าไถ่
ยุทธการ: การหันมาใช้เครื่องมือ RMM ที่ถูกกฎหมายร่วมกับเทคนิค BYOVD ช่วยให้ผู้โจมตีแฝงตัวและหลบเลี่ยงการตรวจจับของซอฟต์แวร์ EDR ได้อย่างมีประสิทธิภาพ
ยุทธวิธี: ควรจำกัดการใช้งานเครื่องมือ RMM ที่ไม่ได้รับอนุญาตในเครือข่าย ปิดกั้นไดรเวอร์ที่มีช่องโหว่ด้วย Microsoft Vulnerable Driver Blocklist และสำรองข้อมูลแบบออฟไลน์
ภาคการค้าปลีกและห้างร้าน (Retail), ภาคการผลิตและห่วงโซ่อุปทาน (Manufacturing), ระบบ Windows Server และ Workstations
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
/wp-admin/update.php และสแกนหาไฟล์สคริปต์แปลกปลอมในไดเรกทอรีอัปโหลด