Retail & E-Commerce Threat Intelligence Weekly Report
ห้วงเวลา: 28 กันยายน - 4 ตุลาคม 2569
TLP:CLEARในรอบสัปดาห์ระหว่างวันที่ 28 กันยายน ถึง 4 ตุลาคม 2569 ภาคส่วนค้าปลีกและพาณิชย์อิเล็กทรอนิกส์ (Retail & E-Commerce) เผชิญกับแรงกดดันทางไซเบอร์ที่เพิ่มสูงขึ้นอย่างมีนัยสำคัญ ครอบคลุมทั้งระดับผู้บริโภค แพลตฟอร์มหน้าร้านค้าออนไลน์ และโครงสร้างพื้นฐานระบบหลังบ้านขององค์กร ประการแรก ทีมนักวิจัย Check Point Research ตรวจพบการจดทะเบียนโดเมนฟิชชิ่งแอบอ้างมหกรรมลดราคาสินค้า Amazon Prime Big Deal Days 2026 พุ่งสูงขึ้นถึง 42% ในรอบ 3 เดือน โดยพบสัดส่วนโดเมนอันตรายสูงถึง 6.5% เพื่อดักจับข้อมูลบัตรชำระเงิน ประการที่สอง ทีมนักวิจัย Akamai ตรวจพบแคมเปญส่วนขยายเบราว์เซอร์อันตราย 32 รายการบน Chrome Web Store และ Edge Add-ons ที่มีเหยื่อติดตั้งกว่า 9,800 ราย แอบดักขโมยคุกกี้เซสชันการซื้อสินค้าและสวมรอยลิงก์พันธมิตรอีคอมเมิร์ซ (Affiliate Fraud) บนแพลตฟอร์มอย่าง Coupang ประการที่สาม LevelBlue SpiderLabs เปิดโปงชุดเครื่องมือ TIKTOUK ที่ปฏิบัติการสแกนเจาะระบบ WordPress และ WooCommerce ขโมยไฟล์คอนฟิก ถอดรหัสรหัสผ่านปลั๊กอิน SMTP และสกัดกุญแจ AWS API Keys ของร้านค้าออนไลน์กว่า 37,000 โดเมน และประการสุดท้าย กลุ่มกรรโชกทรัพย์ Cinder ได้เปิดตัว Tor Leak Site ขู่เผยแพร่ข้อมูลองค์กรธุรกิจขนาดใหญ่ 8 แห่ง รวมกว่า 12.3 TiB ซึ่งพุ่งเป้าภาคค้าปลีกและระบบสินเชื่อ ณ จุดขายสินค้า (POS/BNPL) โดยไม่พึ่งพามัลแวร์เข้ารหัสไฟล์
Check Point Research รายงานการตรวจพบคลื่นการโจมตีทางไซเบอร์ที่พุ่งเป้าผู้บริโภคก่อนมหกรรมลดราคาใหญ่ Fall Prime Day หรือ Prime Big Deal Days (จัดขึ้นวันที่ 6-7 ตุลาคม 2569) โดยสถิติการจดทะเบียนโดเมนที่แอบอ้างแบรนด์ Amazon เพิ่มขึ้นต่อเนื่อง 3 เดือนติดต่อกัน จาก 905 โดเมนในเดือนกรกฎาคม สู่ 1,284 โดเมนในเดือนกันยายน 2569 (เพิ่มขึ้น 42% ในรอบไตรมาส และเพิ่มขึ้น 37% เมื่อเทียบกับปีก่อนหน้า) โดยระบบ Check Point ThreatCloud AI จำแนกว่า 6.5% ของโดเมนที่จดทะเบียนใหม่ (1 ในทุก 16 โดเมน) มีพฤติกรรมเป็นอันตรายหรือน่าสงสัย กลุ่มผู้โจมตีได้ตั้งโครงสร้างพื้นฐานร้านค้าจำลองและส่งอีเมลฟิชชิ่งแอบอ้างว่าบัญชีผู้ใช้ถูกระงับหรือแจกบัตรของขวัญฟรี รวมถึงใช้ Generative AI สร้างข้อความฟิชชิ่งภาษาท้องถิ่นที่แนบเนียนเพื่อลวงขโมยข้อมูลรหัสผ่าน ข้อมูลบัตรเครดิต และข้อมูลส่วนบุคคลของผู้ซื้อสินค้า
ผู้บริโภคและธุรกิจนำเข้าสินค้าในไทยที่ใช้บริการสั่งซื้อสินค้าผ่าน Amazon Global หรือแพลตฟอร์มต่างประเทศมีความเสี่ยงทางอ้อมที่จะได้รับอีเมลหลอกลวงหรือเข้าใช้งานหน้าเช็กเอาต์ปลอม ขณะเดียวกัน แพลตฟอร์มอีคอมเมิร์ซชั้นนำในไทยอาจถูกมิจฉาชีพนำโมเดลการสร้างโดเมนปลอมและโปรโมชันลดราคาไปลอกเลียนแบบในช่วงเทศกาลช้อปปิ้งออนไลน์ไตรมาสสุดท้าย (เช่น เทศกาล 10.10 และ 11.11)
ยุทธศาสตร์: ผู้โจมตีฉวยโอกาสจากช่วงเวลาที่มีปริมาณธุรกรรมการเงินและคำสั่งซื้อออนไลน์หนาแน่นสูงเพื่อพรางกิจกรรมการขโมยข้อมูลส่วนบุคคลและการเงินในวงกว้าง
ยุทธการ: อาชญากรไซเบอร์สร้างโครงสร้างพื้นฐานแคมเปญโดเมนล่วงหน้าเป็นเครือข่ายและใช้ Generative AI ยกระดับความน่าเชื่อถือของเนื้อหาหลอกลวงข้ามภาษา
ยุทธวิธี: ใช้เทคนิค Typosquatting แอบอ้างชื่อแบรนด์ยอดนิยมควบคู่กับการส่งอีเมลแจ้งเตือนสถานะบัญชีด่วนเพื่อกดดันให้เหยื่อกรอกข้อมูลบัตรเครดิตบนเว็บไซต์ปลอม
ธุรกิจค้าปลีกออนไลน์, แพลตฟอร์มอีคอมเมิร์ซ, ผู้ให้บริการระบบประมวลผลการชำระเงิน (Payment Gateway) และผู้บริโภคทั่วไป
ทีมนักวิจัย Akamai ตรวจพบแคมเปญห่วงโซ่อุปทานผ่านส่วนขยายเบราว์เซอร์ (Browser Extensions) จำนวน 32 รายการที่ถูกปล่อยผ่านร้านค้าทางการ Google Chrome Web Store และ Microsoft Edge Add-ons Store ส่งผลกระทบต่อผู้ใช้งานมากกว่า 9,800 ราย โดยส่วนขยายเหล่านี้แอบอ้างเป็นเครื่องมือเพิ่มประสิทธิภาพการทำงานทั่วไป เช่น ส่วนขยายแปลงไฟล์ PDF, ตัวบล็อกโฆษณา และเครื่องมือช่วยงานด้าน SEO แต่เบื้องหลังกลับเชื่อมต่อไปยังไฟล์คอนฟิกบน jsDelivr CDN เพื่อรับคำสั่งแบบไดนามิก ตัวมัลแวร์จะคอยตรวจจับ URL ที่ผู้ใช้เข้าชม ดักขโมยประวัติการท่องเว็บ คุกกี้ และเซสชันโทเคน พร้อมทั้งแทรกแซงกระบวนการซื้อสินค้าออนไลน์ด้วยการสวมรอยลิงก์พันธมิตร (Affiliate Fraud) เปลี่ยนไปใช้รหัสแนะนำของผู้โจมตีบนแพลตฟอร์มค้าปลีก Coupang เพื่อดักรับค่าคอมมิชชันโดยมิชอบ
ผู้บริโภคและพนักงานในองค์กรค้าปลีกของไทยที่ติดตั้งส่วนขยายเบราว์เซอร์ที่ไม่ได้รับการตรวจสอบ มีความเสี่ยงเชิงอนุมานต่อการถูกดักจับคุกกี้เซสชันที่ใช้ล็อกอินเข้าระบบหลังบ้านร้านค้าออนไลน์ และผู้ประกอบการค้าปลีกออนไลน์ในไทยที่ทำระบบการตลาดพันธมิตร (Affiliate Program) มีความเสี่ยงทางอ้อมในการสูญเสียรายได้จากการถูกสวมรอยแทรกแซงทราฟฟิกชำระเงิน
ยุทธศาสตร์: ผู้โจมตีเปลี่ยนเครื่องมือส่วนขยายเบราว์เซอร์ในชีวิตประจำวันให้กลายเป็นแพลตฟอร์มสปายแวร์และเครื่องมือฉ้อโกงรายได้ค่าคอมมิชชันในระบบนิเวศอีคอมเมิร์ซ
ยุทธการ: อาศัยความน่าเชื่อถือของ Web Store ทางการ และใช้การดึงโค้ดคอนฟิกจากภายนอกแบบไดนามิกผ่าน CDN เพื่อหลบเลี่ยงการตรวจสอบโค้ดแบบคงที่
ยุทธวิธี: ขอสิทธิ์ระดับสูงของเบราว์เซอร์ เช่น webRequest และ cookies เพื่อดักจับทราฟฟิก HTTP แทรกแซงคำขอ URL และสับเปลี่ยนพารามิเตอร์ Affiliate Tag ขณะทำธุรกรรม
แพลตฟอร์มอีคอมเมิร์ซ, ผู้ให้บริการระบบ Affiliate Marketing, ร้านค้าออนไลน์ และผู้ใช้งานอินเทอร์เน็ตทั่วไป
LevelBlue SpiderLabs เผยแพร่งานวิจัยชุดเครื่องมือ TIKTOUK ซึ่งเป็นเฟรมเวิร์กอัตโนมัติสำหรับการสแกนและดักเก็บข้อมูลระบุตัวตนบนเว็บไซต์ WordPress และระบบร้านค้าออนไลน์ WooCommerce โดยชุดเครื่องมือประกอบด้วยสคริปต์ไพธอนหลัก เช่น wp2s_poll.py ทำหน้าที่สแกนค้นหาเส้นทาง REST API ที่ผิดปกติ และ wp2s_crack.py ที่คอยดึงไฟล์สำรองและไฟล์คอนฟิกที่มีช่องโหว่ (อาทิ wp-config.php.bak, .env, debug.log) รวมถึงถอดรหัสรหัสผ่านอีเมลที่จัดเก็บไว้ในปลั๊กอินยอดนิยมอย่าง WP Mail SMTP, Easy WP SMTP และ FluentSMTP จากการตรวจสอบแผงควบคุม (C2 Panel) ที่รั่วไหลของกลุ่มผู้โจมตี พบข้อมูล Credentials ของเซิร์ฟเวอร์จริงกว่า 50,000 รายการ จาก 37,000 โดเมนทั่วโลก ซึ่งรวมถึงกุญแจ AWS API Keys ที่เปิดใช้งานบริการ SES, EC2 และ Bedrock ซึ่งเอื้อให้ผู้โจมตีสามารถยึดเซิร์ฟเวอร์หน้าร้านและฝังมัลแวร์ขโมยบัตรเครดิต (Web Skimmer) ได้โดยตรง
ผู้ประกอบการค้าปลีก เอสเอ็มอี และร้านค้าออนไลน์ในไทยจำนวนมากพึ่งพาระบบ WordPress ร่วมกับ WooCommerce ในการเปิดร้านค้าออนไลน์ หากระบบไม่มีการปิดกั้นการเข้าถึงไฟล์สำรอง หรือใช้ปลั๊กอิน SMTP ที่มีช่องโหว่ มีความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ที่จะถูกสแกนขโมยกุญแจเชื่อมต่อระบบชำระเงินและกุญแจ AWS ซึ่งส่งผลกระทบโดยตรงต่อความปลอดภัยของข้อมูลลูกค้าตามกฎหมาย PDPA
ยุทธศาสตร์: การพุ่งเป้าระบบจัดการเนื้อหายอดนิยมอย่าง WordPress เป็นการจู่โจมห่วงโซ่อุปทานระดับโครงสร้างพื้นฐานของธุรกิจค้าปลีกออนไลน์และวิสาหกิจขนาดกลางและขนาดย่อม
ยุทธการ: สร้างเครือข่ายศูนย์กลางสั่งการอัตโนมัติเพื่อแบ่งงานสแกน ถอดรหัสลับการตั้งค่าระบบ และคัดกรองกุญแจคลาวด์ที่มีมูลค่าสูงเพื่อนำไปจำหน่ายต่อหรือขยายผลการโจมตี
ยุทธวิธี: ใช้คำขอ REST batch ที่มีโครงสร้างผิดปกติและใช้ UNION SELECT ดึงข้อมูลตาราง wp_options ควบคู่กับสแกนเนอร์ jscrawl-amd64 เพื่อค้นหา Secrets ในโค้ด JavaScript
ร้านค้าออนไลน์บนระบบ WordPress/WooCommerce, ผู้ให้บริการคลาวด์และโฮสติ้ง, ผู้ให้บริการระบบเกตเวย์การชำระเงิน
CyberXTron เผยแพร่งานวิเคราะห์ภัยคุกคามกลุ่มใหม่ในชื่อ Cinder ซึ่งดำเนินปฏิบัติการกรรโชกทรัพย์ทางการเงิน (Data Extortion) โดยเปิดตัว Tor Leak Site เมื่อปลายเดือนสิงหาคมและเคลื่อนไหวต่อเนื่องถึงปลายเดือนกันยายน 2569 โดยอ้างว่าได้เจาะระบบและขโมยข้อมูลของ 8 องค์กรธุรกิจขนาดกลางถึงใหญ่ในสหรัฐฯ รวมปริมาณข้อมูลกว่า 12.3 TiB ครอบคลุมภาคค้าปลีก (Retail), ระบบสินเชื่อและการเงิน ณ จุดขาย (POS/BNPL เช่น บริษัทแม่ของ Acima) รวมถึงระบบโลจิสติกส์และการผลิต โดยกลุ่ม Cinder ไม่มีการใช้มัลแวร์เข้ารหัสไฟล์ (No Ransomware Encryption) แต่ใช้วิธีลักลอบสูบข้อมูลออกนอกระบบ แล้วสร้างวาทกรรมเสมือนเป็นผู้แจ้งช่องโหว่ความปลอดภัย ขู่ว่าจะนำข้อมูลออกประมูลหรือเผยแพร่สู่สาธารณะหากเหยื่อไม่จ่ายเงินค่าไถ่เพื่อทำลายข้อมูลภายใน 30 วัน
ธุรกิจค้าปลีก ห้างสรรพสินค้า และเครือข่ายเชนสโตร์ในไทยที่มีฐานข้อมูลลูกค้า บันทึกการทำธุรกรรม และระบบสะสมแต้ม (Loyalty Program) ขนาดใหญ่ มีความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ที่จะตกเป็นเป้าหมายของกลุ่มกรรโชกทรัพย์ที่เปลี่ยนผ่านจากมัลแวร์ล็อกไฟล์มาเป็นการขโมยข้อมูลล้วน ซึ่งส่งผลกระทบต่อชื่อเสียงองค์กรและการบังคับใช้ตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล (PDPA)
ยุทธศาสตร์: กลุ่มผู้ก่อเหตุปรับเปลี่ยนกลยุทธ์จาก Ransomware สู่ Pure Data Extortion เพื่อหลีกเลี่ยงผลกระทบต่อความต่อเนื่องทางธุรกิจของเหยื่อ แต่เน้นสร้างแรงกดดันด้านกฎหมายคุ้มครองข้อมูลและภาพลักษณ์
ยุทธการ: อาศัยการเจาะระบบเพื่อขโมยบัญชีผู้ใช้ที่มีสิทธิ์สูง ลักลอบนำข้อมูลปริมาณมหาศาลออกจากระบบคลาวด์และฐานข้อมูลภายในอย่างต่อเนื่องโดยไม่ให้ระบบตรวจจับพฤติกรรมเข้ารหัส
ยุทธวิธี: ใช้บัญชีผู้ใช้งานที่ถูกต้อง (Valid Accounts) แทรกซึมเข้าสู่ที่เก็บข้อมูล และถ่ายโอนข้อมูลผ่านการเชื่อมต่อไปยัง Tor v3 Onion Service เพื่อเปิดช่องทางเจรจาเรียกค่าไถ่
ธุรกิจค้าปลีก (Retail), ธุรกิจบริการสินเชื่อและเช่าซื้อหน้าร้าน (Consumer Lease/BNPL), ระบบโลจิสติกส์ และห่วงโซ่อุปทานสินค้า