ในรอบสัปดาห์ระหว่างวันที่ 21-27 กันยายน 2569 ภัยคุกคามไซเบอร์ในภาคการเงินและการธนาคารมีความเคลื่อนไหวเชิงรุกในระดับสูง โดยมีจุดเน้นสำคัญอยู่ที่การนำเทคโนโลยีปัญญาประดิษฐ์มาช่วยสร้างโครงสร้างพื้นฐานสำหรับโทรจันควบคุมอุปกรณ์บนระบบ Android (RemControl) เพื่อโจมตีแอปพลิเคชันธนาคารพาณิชย์ ขณะเดียวกันกลุ่มผู้ไม่หวังดีได้ยกระดับการโจมตี Supply Chain ผ่านแพลตฟอร์มส่วนขยายของนักพัฒนา (Open VSX) เพื่อลอบติดตั้งเครื่องมือควบคุมระยะไกล ScreenConnect ขโมยคีย์สินทรัพย์ดิจิทัล นอกจากนี้ยังพบการใช้โฆษณาปลอมบนเครือข่ายค้นหาเพื่อดักจับคีย์กู้คืนของกระเป๋าเงินฮาร์ดแวร์ Ledger และการเจาะช่องโหว่เกตเวย์ VPN ก่อนนำฐานข้อมูลลูกค้าไปต่อยอดสู่ระบบหลอกลวงใบแจ้งหนี้อัตโนมัติ (Operation Master) ซึ่งสะท้อนถึงการเชื่อมโยงระหว่างการโจมตีโครงสร้างพื้นฐานและการฉ้อโกงทางการเงินแบบครบวงจร
นักวิจัยจาก Group-IB เปิดเผยการค้นพบมัลแวร์โทรจันธนาคารบนระบบปฏิบัติการ Android ตัวใหม่ชื่อ RemControl ที่ให้บริการในรูปแบบมัลแวร์พร้อมใช้งาน (MaaS) มุ่งเป้าโจมตีลูกค้าสถาบันการเงินกว่า 30 แห่งในยุโรป ตะวันออกกลาง และแคนาดา มัลแวร์ถูกเผยแพร่ผ่านโฆษณาหลอกลวงที่นำไปสู่หน้าดาวน์โหลดแอปพลิเคชันจำลองชื่อ TVTap เมื่อติดตั้งแล้วจะหลอกล่อให้ผู้ใช้เปิดสิทธิ์ Accessibility Service เพื่อแทรกหน้าต่าง Phishing Overlay บันทึกการกดแป้นพิมพ์ สตรีมภาพหน้าจอแบบเรียลไทม์ และควบคุมอุปกรณ์ทางไกล ทั้งนี้พบหลักฐานชัดเจนว่าผู้พัฒนานำระบบ AI มาช่วยสร้างโค้ดสำหรับระบบควบคุม C2 และหน้า Overlay ดังกล่าว
แม้ในรายงานต้นฉบับจะยังไม่ระบุชื่อสถาบันการเงินในไทยเป็นเป้าหมายโดยตรง แต่สถาบันการเงินและผู้ใช้งานแอปธนาคารในไทยมีความเสี่ยงทางอ้อมในระดับสูง เนื่องจากเทคนิคการหลอกลวงผ่าน Accessibility Service และโฆษณาปลอมเป็นเวกเตอร์ยอดนิยมที่ผู้ไม่หวังดีนำมาปรับใช้โจมตีผู้ใช้งานในภูมิภาคเอเชียตะวันออกเฉียงใต้อย่างต่อเนื่อง
ยุทธศาสตร์: ธนาคารพาณิชย์และผู้กำกับดูแลต้องเร่งผลักดันมาตรฐานความปลอดภัยแอปพลิเคชัน (Mobile App Shielding) เพื่อตรวจจับและยับยั้งการทำงานของ Accessibility Service ที่ไม่ปลอดภัย
ยุทธการ: ศูนย์ปฏิบัติการความปลอดภัยควรเฝ้าระวังพฤติกรรมการสื่อสารไปยัง Telegram Dead-drop และโดเมนพร็อกซีของเครือข่าย RemControl อย่างใกล้ชิด
ยุทธวิธี: ฝ่ายไอทีควรกำหนดนโยบายความปลอดภัยบนอุปกรณ์พกพาขององค์กรเพื่อปิดกั้นการไซด์โหลดแอปจากภายนอกและบล็อกการเชื่อมต่อกับ C2 แผงควบคุม
ภาคการธนาคารพาณิชย์ (Retail Banking), ธุรกิจบริการทางการเงินบนมือถือ, ผู้ใช้งานอุปกรณ์ Android
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
นักวิจัยความมั่นคงปลอดภัยจาก Kaspersky ตรวจพบแคมเปญโจมตีห่วงโซ่อุปทาน (Supply Chain) ที่มุ่งเป้าไปยังนักพัฒนาบล็อกเชนและสัญญาอัจฉริยะ โดยผู้ไม่หวังดีได้อัปโหลดส่วนขยายปลอมชื่อ Solidity Language (เช่น juan-bianco.solidity-vlang) ขึ้นบนคลัง Open VSX พร้อมปั่นยอดดาวน์โหลดให้สูงเพื่อหลอกลวงผู้ใช้ เมื่อนักพัฒนาติดตั้งส่วนขยายดังกล่าว โปรแกรมจะแอบติดตั้งเครื่องมือควบคุมระยะไกล ScreenConnect เพื่อเปิดทางให้ผู้โจมตีเข้าสู่เครื่องเป้าหมาย จากนั้นจึงส่งมัลแวร์ Quasar RAT และโปรแกรมขโมยข้อมูลเข้ามาดึง Seed Phrase กระเป๋าเงินคริปโต ข้อมูลล็อกอินเบราว์เซอร์ และกุญแจ SSH สร้างความเสียหายกว่า 500,000 ดอลลาร์สหรัฐ
มีความเป็นไปได้สูงที่นักพัฒนาซอฟต์แวร์ด้าน Web3 และบริษัทสตาร์ทอัปฟินเทคในประเทศไทยที่ใช้เครื่องมือพัฒนา VS Code หรือ Cursor จะได้รับผลกระทบจากการติดตั้งส่วนขยายดังกล่าว ซึ่งก่อให้เกิดความเสี่ยงโดยตรงต่อการรั่วไหลของ Private Keys และทรัพย์สินดิจิทัลขององค์กร
ยุทธศาสตร์: องค์กรฟินเทคและผู้ประกอบธุรกิจสินทรัพย์ดิจิทัลต้องกำหนดนโยบายควบคุมการใช้งาน Third-party Extensions ในสภาพแวดล้อมการพัฒนาซอฟต์แวร์อย่างเข้มงวด
ยุทธการ: ฝ่ายความมั่นคงปลอดภัยสารสนเทศควรตรวจสอบการทำงานของโปรแกรมรีโมต (RMM) บนเครื่องคอมพิวเตอร์ของนักพัฒนาเพื่อสกัดกั้นการเข้าถึงระบบโดยไม่ได้รับอนุญาต
ยุทธวิธี: นักพัฒนาควรตรวจสอบชื่อผู้เผยแพร่ส่วนขยายก่อนติดตั้ง และหากพบว่ามีการติดตั้งส่วนขยายปลอมต้องดำเนินการโยกย้ายสินทรัพย์และเปลี่ยนกุญแจดิจิทัลทันที
ธุรกิจสินทรัพย์ดิจิทัล (Cryptocurrency & Web3), บริษัทพัฒนาซอฟต์แวร์ฟินเทค, นักพัฒนาสัญญาอัจฉริยะ (Smart Contract)
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ทีมวิจัย Zscaler ThreatLabz ตรวจพบแคมเปญฟิชชิ่งที่อาศัยโฆษณาที่ได้รับการยืนยันบนระบบ Google Ads เพื่อล่อลวงผู้ใช้งานกระเป๋าเงินฮาร์ดแวร์ Ledger ในหลายภูมิภาค ผู้โจมตีสร้างกระบวนการส่งต่อผู้ใช้แบบหลายขั้นตอน โดยเริ่มต้นจาก Google Cloud Storage เชื่อมโยงไปยังโดเมนบน Vercel ที่เปลี่ยนชื่อทุก 15-20 นาที เพื่อหลบเลี่ยงการตรวจจับ จากนั้นจะนำเหยื่อเข้าสู่หน้า Google Sites ที่ฝังแบบฟอร์มตรวจสอบอุปกรณ์ปลอม เพื่อหลอกให้เหยื่อกรอกรหัสลับ 24 คำ (Secret Recovery Phrase) ข้อมูลดังกล่าวจะถูกส่งไปยังเซิร์ฟเวอร์ควบคุมของผู้โจมตีเพื่อนำไปกู้คืนวอลเล็ตและโอนถ่ายสินทรัพย์ดิจิทัลออกทั้งหมด
นับเป็นความเสี่ยงโดยตรงต่อนักลงทุนรายบุคคลและสถาบันในประเทศไทยที่ถือครองสินทรัพย์ดิจิทัลผ่านฮาร์ดแวร์วอลเล็ต โดยการค้นหาซอฟต์แวร์ผ่าน Google Search ในไทยมีโอกาสแสดงผลโฆษณาที่เป็นอันตรายเหล่านี้แก่ผู้ใช้งาน
ยุทธศาสตร์: สถาบันที่ให้บริการจัดการสินทรัพย์ดิจิทัลต้องสร้างวัฒนธรรมความปลอดภัย (Security Awareness) และย้ำเตือนข้อห้ามในการเปิดเผยรหัสลับการกู้คืน
ยุทธการ: หน่วยงานดูแลระบบเครือข่ายควรปิดกั้นการเข้าถึงโดเมนฟิชชิ่งที่มีการสร้างขึ้นใหม่บนแพลตฟอร์มคลาวด์สาธารณะ เช่น Vercel และ Google Sites
ยุทธวิธี: ผู้ใช้งานต้องพิมพ์ URL ทางการ (ledger.com) ด้วยตนเอง และห้ามป้อนรหัสลับ 24 คำลงบนเว็บเบราว์เซอร์หรือคอมพิวเตอร์อย่างเด็ดขาด
ผู้ลงทุนในสินทรัพย์ดิจิทัล, บริษัทบริหารจัดการกองทุนคริปโต, ผู้ใช้งานฮาร์ดแวร์วอลเล็ต Ledger
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
หน่วยวิจัยความมั่นคงปลอดภัย SOCRadar (STRU) ตรวจพบแคมเปญ Operation Master ดำเนินการโดยกลุ่มผู้คุกคามในชื่อ "masterblack" ซึ่งเริ่มต้นจากการโจมตีช่องโหว่ข้ามการยืนยันตัวตนบน PAN-OS GlobalProtect (CVE-2026-0257) เพื่อเข้ายึดเซิร์ฟเวอร์ Windows ขององค์กรเป้าหมายและติดตั้งเครื่องมือ AdaptixC2 ร่วมกับการใช้ SQL Injection เจาะฐานข้อมูลระบบ จากนั้นผู้โจมตีได้นำข้อมูลการชำระเงินและข้อมูลลูกค้าที่ได้ไปสร้างแพลตฟอร์มหลอกลวงใบแจ้งหนี้อัตโนมัติ โดยส่งอีเมลและ SMS ล่อลวงกว่า 3.9 ล้านข้อความเพื่อหลอกลวงเงินจากผู้ใช้บริการ
เป็นความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อสถาบันการเงินและองค์กรธุรกิจในไทยที่ใช้งานระบบ VPN สำหรับการทำงานทางไกล โดยผู้ไม่หวังดีอาจนำข้อมูลที่รั่วไหลมาสวมรอยส่งใบแจ้งหนี้ปลอมเพื่อหลอกรับเงินโอนจากคู่ค้าและลูกค้าในประเทศ
ยุทธศาสตร์: ผู้บริหารฝ่ายความมั่นคงปลอดภัยต้องบูรณาการระบบป้องกันเครือข่ายภายนอกเข้ากับกลไกการตรวจจับการฉ้อโกงทางการเงิน (Fraud Prevention) อย่างเป็นระบบ
ยุทธการ: ฝ่ายปฏิบัติการต้องตรวจสอบและอัปเดตแพตช์เกตเวย์ VPN อย่างสม่ำเสมอ พร้อมติดตั้งระบบยืนยันความถูกต้องของใบแจ้งหนี้แบบแยกช่องทาง (Out-of-band Verification)
ยุทธวิธี: ฝ่ายไอทีควรปิดกั้นช่องทาง C2 ของ AdaptixC2 ตรวจจับความผิดปกติของทราฟฟิก DNS Tunneling และจำกัดสิทธิ์คำสั่ง xp_cmdshell บนเซิร์ฟเวอร์ฐานข้อมูล
ธุรกิจการเงินและระบบชำระเงิน, องค์กรธุรกิจที่ใช้งานระบบ VPN, ภาคสาธารณูปโภคและบริการลูกค้า
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง