ในรอบสัปดาห์ระหว่างวันที่ 21-27 กันยายน 2569 ภัยคุกคามทางไซเบอร์ที่มุ่งเป้าภาคสาธารณสุขและการแพทย์มีความเคลื่อนไหวสำคัญหลายประการ โดยตรวจพบการปลอมแปลงเว็บไซต์ระบบบริการสุขภาพแห่งชาติอิตาลีเพื่อกระจายมัลแวร์ StreamRat บน Android และ XWorm บน Windows ผ่านการคัดกรองประเภทอุปกรณ์ ขณะเดียวกันกลุ่มมัลแวร์เรียกค่าไถ่ Galago ได้เปิดตัวเป็นพันธมิตรกับกลุ่ม Panzer พร้อมอ้างการโจมตีขโมยข้อมูลโรงพยาบาลในไอซ์แลนด์ นอกจากนี้ยังพบการจดทะเบียนโดเมนเลียนแบบ Passkey มุ่งเป้าล่อลวงภาคสาธารณสุขและบริษัทยาด้วยเทคนิค Vishing รวมถึงการโจมตีเว็บไซต์คลินิกและศูนย์สุขภาพเพื่อฝังโค้ดหลอกลวง ClickFix แพร่กระจาย Psychedelic Stealer ทั้งหมดนี้สะท้อนว่าผู้ไม่หวังดีกำลังใช้ความน่าเชื่อถือของบริการสุขภาพเป็นเครื่องมือในการเจาะระบบและกวาดข้อมูลสำคัญ
CERT-AgID ตรวจพบแคมเปญภัยคุกคามที่สร้างเว็บไซต์หลอกลวงเลียนแบบอัตลักษณ์ของระบบบริการสุขภาพแห่งชาติอิตาลี (Servizio Sanitario Nazionale - SSN) เพื่อส่งมอบมัลแวร์ข้ามระบบปฏิบัติการ โดยหน้าเว็บจะตรวจสอบ User-Agent ของเหยื่อ หากเข้าชมผ่าน Android จะส่งไฟล์ SSN.apk เพื่อติดตั้งโทรจัน StreamRat ที่ขอสิทธิ์ Accessibility Services ในการดักจับหน้าจอและสร้างหน้าต่างซ้อนทับหลอกลวง ส่วนผู้ใช้ Windows จะได้รับไฟล์สคริปต์ SSN Windows.bat ที่เรียกใช้ PowerShell แบบซ่อนหน้าต่างเพื่อดึงโค้ดฝังตัวในไฟล์ 2.jpg และรันโทรจันควบคุมเครื่องระยะไกล XWorm ในหน่วยความจำ
แม้เหตุการณ์นี้เกิดขึ้นกับบริการสุขภาพในอิตาลี แต่จัดเป็นความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรในไทย โดยผู้ไม่หวังดีสามารถนำเทคนิคการคัดกรอง User-Agent และการแอบอ้างแอปพลิเคชันบริการสุขภาพภาครัฐ (เช่น ระบบหมอพร้อม หรือ Health ID) มาใช้หลอกลวงประชาชนและบุคลากรทางการแพทย์ในประเทศไทย เพื่อขโมยสิทธิ์การเข้าถึงและควบคุมอุปกรณ์ปลายทางได้ในลักษณะเดียวกัน
ยุทธศาสตร์: ผู้ไม่หวังดีอาศัยความน่าเชื่อถือของระบบบริการสุขภาพระดับชาติเป็นเครื่องมือสร้างความไว้วางใจในการกระจายมัลแวร์ควบคุมอุปกรณ์ข้ามแพลตฟอร์ม
ยุทธการ: การใช้งานโครงสร้างพื้นฐานเว็บฟิชชิ่งแบบคัดกรอง User-Agent ช่วยให้ส่งมอบเพย์โหลด StreamRat และ XWorm ได้อย่างแม่นยำตามประเภทอุปกรณ์ของเหยื่อ
ยุทธวิธี: หน่วยงานต้องบล็อกโดเมนเลียนแบบ ตรวจจับสคริปต์ PowerShell ที่เรียกใช้คำสั่ง Assembly::Load() และกำหนดนโยบาย MDM ห้ามเปิดสิทธิ์ Accessibility แก่แอปพลิเคชันภายนอก
ประชาชนผู้ใช้งานระบบบริการสุขภาพ, บุคลากรทางการแพทย์, อุปกรณ์พกพา Android และเครื่องคอมพิวเตอร์ลูกข่ายระบบปฏิบัติการ Windows
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
นักวิจัยจาก CyberXTron รายงานการตรวจพบปฏิบัติการมัลแวร์เรียกค่าไถ่กลุ่มใหม่ในชื่อ Galago ซึ่งเริ่มเคลื่อนไหวตั้งแต่ต้นเดือนกันยายน 2569 โดยกลุ่มดังกล่าวอ้างตัวเป็นพันธมิตรปฏิบัติการร่วมกับกลุ่มเรียกค่าไถ่ Panzer และใช้โครงสร้างพื้นฐานเว็บไซต์รั่วไหลข้อมูล (Dark Leak Site) บนเครือข่าย Tor ภายใต้ชื่อโดเมนที่ขึ้นต้นด้วย pnzr เหมือนกัน ทั้งนี้กลุ่ม Galago ได้อ้างการโจมตีเจาะระบบและขโมยข้อมูลขนาด 105 GB จาก Inter ehf ซึ่งเป็นองค์กรบริการโรงพยาบาลและการแพทย์ในประเทศไอซ์แลนด์ พร้อมขู่ว่าจะเปิดเผยข้อมูลสู่สาธารณะหากไม่มีการจ่ายค่าไถ่
ปัจจุบันยังไม่พบหลักฐานว่ากลุ่ม Galago ทำการโจมตีเป้าหมายในประเทศไทยโดยตรง อย่างไรก็ตาม ความร่วมมือของกลุ่มมัลแวร์เรียกค่าไถ่ในการแบ่งปันโครงสร้างพื้นฐานสะท้อนถึงภัยคุกคามการกรรโชกทรัพย์สองทาง (Double-Extortion) ที่พร้อมพุ่งเป้าสถานพยาบาลทั่วโลก ทำให้โรงพยาบาลและศูนย์การแพทย์ในไทยที่เปิดพอร์ตเชื่อมต่อระยะไกลจำเป็นต้องเฝ้าระวังอย่างใกล้ชิด
ยุทธศาสตร์: กลุ่มมัลแวร์เรียกค่าไถ่รายใหม่เลือกสร้างพันธมิตรและใช้โครงสร้างพื้นฐานร่วมกับกลุ่มเดิมเพื่อเร่งขยายการปฏิบัติการโจมตีเป้าหมายสาธารณสุข
ยุทธการ: คนร้ายใช้ยุทธวิธีการกรรโชกทรัพย์สองทางด้วยการขโมยข้อมูลเวชระเบียนก่อนขู่เปิดเผยผ่าน Tor Dark Leak Site เพื่อกดดันให้เหยื่อยอมจ่ายค่าไถ่
ยุทธวิธี: ผู้ดูแลระบบโรงพยาบาลต้องบังคับใช้ระบบสำรองข้อมูลแบบออฟไลน์ที่แยกขาดจากเครือข่ายหลัก และปิดกั้นเส้นทางสื่อสารสู่เครือข่าย Tor ในระดับเกตเวย์
โรงพยาบาล, องค์กรและสถานพยาบาลสาธารณสุข, ระบบจัดเก็บข้อมูลเวชระเบียนผู้ป่วย (EHR/EMR)
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
หน่วยวิจัย Unit 42 ของ Palo Alto Networks ตรวจพบการจดทะเบียนโดเมน my-passkeys[.]com ซึ่งมีความเชื่อมโยงกับกลุ่มภัยคุกคามในเครือข่าย Com โดยตรวจพบการสร้างซับโดเมนเฉพาะเจาะจงที่เลียนแบบชื่อองค์กรในภาคการดูแลสุขภาพและบริษัทยาอย่างน้อย 2 แห่ง การเคลื่อนไหวของโครงสร้างพื้นฐานนี้บ่งชี้ถึงการเตรียมการโจมตีแบบวิชชิ่ง (Vishing) ทางโทรศัพท์เพื่อล่อลวงให้เจ้าหน้าที่หลงเชื่อและส่งมอบข้อมูลยืนยันตัวตนหรือลงทะเบียน Passkey ปลอมให้แก่คนร้าย
องค์กรด้านการแพทย์และบริษัทยาในประเทศไทยอาจเผชิญความเสี่ยงจากการถูกโจมตีด้วยวิศวกรรมสังคมทางเสียง โดยคนร้ายอาจแอบอ้างเป็นเจ้าหน้าที่ฝ่ายเทคโนโลยีสารสนเทศเพื่อหลอกล่อให้บุคลากรเข้าสู่พอร์ทัลยืนยันตัวตน Passkey ปลอม ซึ่งนำไปสู่การสูญเสียการควบคุมบัญชีผู้ใช้งานระดับองค์กร
ยุทธศาสตร์: กลุ่มภัยคุกคามปรับเปลี่ยนวิธีการโจมตีตามเทคโนโลยีความปลอดภัย โดยมุ่งเป้าเจาะระบบยืนยันตัวตน Passkey และ MFA ผ่านการหลอกลวงทางเสียงที่เจาะจงเป้าหมาย
ยุทธการ: การเตรียมโดเมนและซับโดเมนตามชื่อองค์กรเป้าหมายช่วยเพิ่มความน่าเชื่อถือในการหลอกลวงเหยื่อผ่านโทรศัพท์เพื่อลักลอบเก็บข้อมูลรับรองตัวตน
ยุทธวิธี: องค์กรสุขภาพต้องจัดฝึกอบรมความตระหนักรู้แก่พนักงานเรื่องกลลวง Vishing และเปิดใช้ระบบตรวจจับการเข้าถึงโดเมนที่เพิ่งจดทะเบียนใหม่ (Newly Registered Domains)
โรงพยาบาล, บริษัทยาและเวชภัณฑ์, บุคลากรทางการแพทย์และเจ้าหน้าที่ฝ่ายเทคโนโลยีสารสนเทศ
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
Arctic Wolf Labs ตรวจพบแคมเปญโจมตีที่เข้ายึดครองเว็บไซต์ธุรกิจและสถานพยาบาลหลายแห่ง รวมถึงคลินิกรักษาเส้นผมและศูนย์บริการด้านจิตวิทยา โดยคนร้ายได้ฉีดสคริปต์ตัวติดตาม Traffic Distribution System (TDS) เพื่อแสดงหน้าต่างยืนยันตัวตน Cloudflare CAPTCHA ปลอมตามเทคนิค ClickFix ล่อลวงให้ผู้เข้าชมเว็บไซต์คัดลอกคำสั่งไปรันในกล่องคำสั่ง Run หรือ PowerShell บนเครื่อง ส่งผลให้เกิดการดาวน์โหลดมัลแวร์ Psychedelic Stealer เพื่อกวาดขโมยรหัสผ่าน เซสชันคุกกี้ และข้อมูลกระเป๋าเงินดิจิทัลในเบราว์เซอร์
เว็บไซต์ของโรงพยาบาล คลินิกเอกชน และพอร์ทัลบริการสุขภาพในไทยที่ใช้งานระบบจัดการเนื้อหา (CMS) ที่ขาดการดูแลความปลอดภัย มีความเสี่ยงที่จะถูกเจาะระบบเพื่อฝังโค้ด ClickFix ซึ่งอาจทำให้ประชาชนและผู้ป่วยที่เข้ามาใช้งานเว็บไซต์ถูกหลอกติดตั้งมัลแวร์ขโมยข้อมูลโดยไม่รู้ตัว
ยุทธศาสตร์: ผู้ไม่หวังดีใช้เว็บไซต์สถานพยาบาลที่ถูกเจาะเป็นฐานกระจายมัลแวร์ (Watering Hole) เพื่อขยายจำนวนผู้ตกเป็นเหยื่อในวงกว้าง
ยุทธการ: กลลวง ClickFix ที่หลอกให้เหยื่อคัดลอกโค้ดไปสั่งรันเองช่วยหลบเลี่ยงกลไกการตรวจจับไฟล์ดาวน์โหลดอันตรายบนเว็บเบราว์เซอร์ได้อย่างมีประสิทธิภาพ
ยุทธวิธี: ผู้ดูแลระบบเว็บต้องตรวจสอบความสมบูรณ์ของโค้ดสคริปต์บนหน้าเว็บสม่ำเสมอ และกำหนดค่านโยบายบล็อกการรันคำสั่ง PowerShell จากคลิปบอร์ดของผู้ใช้งาน
เว็บไซต์คลินิกและสถานพยาบาล, เว็บไซต์ธุรกิจบริการ, ข้อมูลประจำตัวและเซสชันเบราว์เซอร์ของผู้ใช้งานทั่วไป
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง