คนใช้ Claude ต้องเช็กอะไร? ส่วนขยาย Claude Code ปลอมบน Cursor, เว็บปลอม 88 โดเมน, บอตปลอม และฟิชชิงดัก MFA — 12 สิ่งที่ควรทำทันที

1. เกิดอะไรขึ้น 4 แคมเปญปลายเดือนตุลาคม 2569 ที่เล็ง "คนใช้ Claude" โดยตรง

ช่วง 3 สัปดาห์ที่ผ่านมามีแคมเปญโจมตีอย่างน้อย 4 แบบที่ใช้ชื่อ Claude หรือ Claude Code เป็นเหยื่อล่อ ไม่มีแคมเปญไหนเจาะระบบของ Anthropic ได้ ทุกแคมเปญใช้ความไว้ใจในชื่อแบรนด์เป็นช่องทางแทน ตารางนี้สรุปให้เห็นในหน้าเดียวว่าใครเสี่ยง และจะรู้ได้อย่างไรว่าโดน

แคมเปญ	ช่วงเวลา	ใครเสี่ยง	สัญญาณที่ตรวจได้	ใครรายงาน
ส่วนขยาย Claude Code ปลอมบน Cursor Marketplace เวอร์ชัน 2.1.312 และ 2.1.313 ฝัง backdoor SSH (Secure Shell)	29 ต.ค. 2569 เวลา 02:27–13:35 ตามเวลาแปซิฟิก ประมาณ 11 ชั่วโมง	คนใช้ Cursor บน macOS/Windows ที่ติดตั้งหรืออัปเดตอัตโนมัติในช่วงนั้น Cursor ประเมินไม่เกิน 5,000 คน	คีย์ชื่อ svc-telemetry ใน ~/.ssh/authorized_keys, LaunchAgent หรือ scheduled task แปลก, การเชื่อมต่อไป 134.209.82[.]225	Cursor, Phorion, OpenSourceMalware
เว็บปลอมแจกตัวติดตั้ง Claude Code 88 โดเมนบน 10 แพลตฟอร์มโฮสติ้ง กว่า 30 โดเมนปลอมเป็น Claude Code แจกมัลแวร์ ACRStealer	ตั้งแต่ต้นปี 2569 รายงาน 27 พ.ค. ยังมีโดเมนเปิดอยู่ 32 โดเมนตอนรายงาน	นักพัฒนาที่ค้น Google แล้วกดผลโฆษณาแทนเว็บทางการ	ตัวติดตั้งที่เรียก rundll32, mshta หรือคำสั่ง base64 ส่งเข้า zsh, โดเมนที่ไม่ใช่ claude.ai/claude.com/anthropic.com	Straiker, TechRepublic
บอตปลอมตัวเป็น ClaudeBot, ChatGPT, Perplexity 32 ชื่อ ไล่ขอไฟล์ความลับ ~90 path บนเว็บเซิร์ฟเวอร์	ปลายเดือน ก.ย.–ปลายเดือน ต.ค. 2569 วันเดียวเข้าถึง 48% ขององค์กรที่มีบอต AI เข้า	ทุกคนที่มีเว็บเซิร์ฟเวอร์ โดยเฉพาะเว็บ staging ที่เปิดสู่อินเทอร์เน็ต	บอตที่อ้างว่าเป็น ClaudeBot แต่ขอ .env, คีย์ SSH, ไฟล์ credential ของคลาวด์, IP ไม่อยู่ในรายการที่ Anthropic เผยแพร่	Cequence
พอร์ทัลฟิชชิงปลอมเป็น "โฆษณา AI" ของ 6 แบรนด์ รวม Claude ดักทั้งรหัสผ่านและรหัส MFA (Multi-Factor Authentication) โดยมีคนคอยคุมสดอยู่หลังจอ	โดเมนแรกพบ 16 ก.ย. รายงาน 6 ต.ค. 2569	คนที่ดูแลบัญชีโฆษณาหรือบัญชีองค์กร	ป๊อปอัปล็อกอินที่ลากออกนอกหน้าต่างเบราว์เซอร์ไม่ได้, ระบบขอรหัส MFA ซ้ำทันทีหลังใส่ครั้งแรก	Island, The Hacker News

2. ส่วนขยาย Claude Code ปลอมบน Cursor รายละเอียดที่ต้องรู้ก่อนลงมือเช็ก

เหตุการณ์นี้ต่างจากเว็บปลอมทั่วไปตรงที่ของปลอมถูกเผยแพร่ภายใต้ ชื่อส่วนขยายจริง anthropic.claude-code ในมาร์เก็ตเพลสของ Cursor คนที่ติดตั้งหรือเปิดอัปเดตอัตโนมัติไว้จึงได้ของปลอมไปโดยไม่ได้ทำอะไรผิด ข้อเท็จจริงที่ยืนยันแล้ว ณ 3 พ.ย. 2569 มีดังนี้

• ช่องทางเดียวที่ถูกกระทบคือ Cursor Marketplace รายงานแรกเหมารวม VS Code Marketplace, Open VSX และ npm ด้วย แต่ภายหลังยืนยันแล้วว่าช่องทางของ Microsoft, Open VSX และตัวติดตั้ง Claude Code ไม่โดน
• Anthropic ยืนยันว่าไม่ใช่ระบบของตัวเองถูกเจาะ ถ้อยคำทางการคือ "ผู้ไม่หวังดีใช้สิทธิ์เข้าถึงมาร์เก็ตเพลสของ Cursor เผยแพร่ส่วนขยายที่ถูกดัดแปลงใส่ผู้ใช้ Cursor เราไม่ได้เกี่ยวข้องกับการสร้าง เผยแพร่ หรือโฮสต์มัน" และ Anthropic ออกเวอร์ชัน 2.1.314 ทางช่องทางของตัวเองทันทีเพื่อไม่ให้สับสน
• ตัวปลอมทำงานทันทีที่โหลด ไม่ต้องเปิด Claude ไม่ต้องกดอะไร มันเก็บชื่อเครื่อง ชื่อผู้ใช้ ระบบปฏิบัติการ ชื่อตัวแปร environment ที่เกี่ยวกับ credential อีเมลที่ตั้งใน Git และ IP สาธารณะ ส่งไปที่เซิร์ฟเวอร์ 134.209.82[.]225 จากนั้นพยายามเพิ่มคีย์ SSH ชื่อ svc-telemetry ใน authorized_keys เปิดบริการ SSH และเปิด reverse tunnel กลับหาผู้โจมตี พร้อมฝังตัวให้รันทุกครั้งที่เปิดเครื่องผ่าน LaunchAgent บน macOS หรือ scheduled task บน Windows แล้วลองต่อซ้ำทุก 60 วินาที
• โชคดีที่โค้ดของผู้โจมตีมีบั๊ก บน macOS ขั้นเปิด SSH ต้องใช้สิทธิ์ผู้ดูแลจึงล้มเหลวในหลายเครื่อง บน Windows มันเรียก PowerShell ผ่าน /bin/sh ซึ่งไม่มีใน Windows ปกติ แต่ขั้นเก็บข้อมูลเครื่องสำเร็จไปแล้ว และคีย์กับไฟล์ฝังตัวอาจยังค้างอยู่ในเครื่อง
• คำถามที่ยังไม่มีคำตอบ ทั้ง Cursor และ Anthropic ยังไม่อธิบายว่าของปลอมเข้าไปอยู่ในมาร์เก็ตเพลสภายใต้ชื่อ Anthropic ได้อย่างไร Cursor ปิดมาร์เก็ตเพลสชั่วคราวเพื่อตรวจทุกส่วนขยาย หมุนคีย์เข้าถึง และให้ผู้ให้บริการโฮสติ้งปิดเซิร์ฟเวอร์ของผู้โจมตีแล้ว

ช่องทาง	ตัวระบุที่ต้องตรงกัน	สถานะ ณ 3 พ.ย. 2569
VS Code Marketplace (Microsoft)	ผู้เผยแพร่ Anthropic รหัส anthropic.claude-code เวอร์ชันล่าสุด 2.1.317	ไม่ถูกกระทบ
Open VSX	anthropic.claude-code	ไม่ถูกกระทบ
Cursor Marketplace	anthropic.claude-code เวอร์ชัน 2.1.312 และ 2.1.313	ของปลอม ถอดออกแล้ว ให้ย้ายไป 2.1.314 ขึ้นไป
Claude Code CLI ตัวติดตั้งทางการ	curl -fsSL https://claude.ai/install.sh | bash (macOS/Linux) หรือ irm https://claude.ai/install.ps1 | iex (Windows PowerShell)	ไม่ถูกกระทบ
npm	@anthropic-ai/claude-code	ไม่ถูกกระทบ
Homebrew / WinGet	brew install --cask claude-code / winget install Anthropic.ClaudeCode	ไม่ถูกกระทบ
apt / dnf / apk	repo ที่ downloads.claude.ai เซ็นด้วยคีย์ fingerprint 31DD DE24 DDFA B679 F42D 7BD2 BAA9 29FF 1A7E CACE	ไม่ถูกกระทบ

3. เช็กลิสต์ 12 ข้อ ทำตามลำดับ

แบ่งเป็น 3 กลุ่มตามคนทำ ข้อ 1–4 ทุกคนที่ใช้ Claude ข้อ 5–8 นักพัฒนาและทีม IT ข้อ 9–12 แอดมินแผน Team และ Enterprise แต่ละข้อมีคำสั่งหรือเส้นทางในหน้าตั้งค่าให้ทำได้เลย

กลุ่ม A ทุกคนที่ใช้ Claude

ข้อ 1 เช็กว่าเครื่องเคยติดส่วนขยายปลอมจาก Cursor หรือไม่

ทำข้อนี้ก่อนทุกข้อ แม้คุณจะไม่แน่ใจว่าเคยใช้ Cursor เพราะคีย์ที่ถูกฝังไม่หายไปเมื่อถอนส่วนขยาย คำสั่งต้องไม่คืนผลลัพธ์ใด ๆ

# macOS รันใน Terminal ด้วยบัญชีผู้ใช้ปกติ (ไม่ต้อง sudo)
grep -n 'svc-telemetry' ~/.ssh/authorized_keys        # ต้องไม่มีบรรทัดใดออกมา
ls -la ~/Library/LaunchAgents                          # หา .plist ที่ไม่รู้จัก สร้างหลัง 29 ต.ค. 2569
pgrep -fl 'ssh .*-R'                                   # ต้องไม่มี reverse tunnel ค้างอยู่
ls ~/.cursor/extensions 2>/dev/null | grep -i claude   # เคยติด 2.1.312 หรือ 2.1.313 ไหม

# Windows รันใน PowerShell
Select-String -Path "$env:USERPROFILE\.ssh\authorized_keys" -Pattern "svc-telemetry"
Get-ScheduledTask | Where-Object { $_.TaskPath -notlike "\Microsoft*" } | Select-Object TaskName, TaskPath, State
Get-ChildItem "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup"
Get-ChildItem "$env:USERPROFILE\.cursor\extensions" | Where-Object Name -like "*claude*"

ถ้าเจอคีย์ svc-telemetry หรือไฟล์ฝังตัวที่ไม่รู้จัก ให้ถือว่าเครื่องถูกยึดแล้ว ตัดเครื่องออกจากเครือข่าย รันสคริปต์แก้ไขของ Cursor (remediate-macos.sh ด้วยบัญชีผู้ใช้ที่ได้รับผลกระทบ หรือ remediate-windows.ps1 ใน PowerShell สิทธิ์ผู้ดูแล) แล้วเปลี่ยนรหัสผ่านและคีย์ทุกตัวที่เครื่องนั้นเข้าถึงได้ จากเครื่องอื่น ขั้นตอนเต็มอยู่ในข้อ 4 ของบทความ

ข้อ 2 ติดตั้งและอัปเดต Claude Code จากช่องทางทางการเท่านั้น

แคมเปญ 88 โดเมนใช้ 2 วิธีพาคนไปเว็บปลอม คือซื้อโฆษณา Google ให้ขึ้นเหนือผลค้นหาจริง และปั่น SEO (Search Engine Optimization) ด้วย redirect วนลูป มีหน้าภาษาเยอรมันทำไว้เจาะนักพัฒนาเยอรมันโดยเฉพาะ หน้าภาษาไทยจึงเป็นเรื่องของเวลา คำสั่งทางการมีเท่านี้ และทุกคำสั่งอยู่ที่ code.claude.com/docs

# macOS / Linux / WSL
curl -fsSL https://claude.ai/install.sh | bash
# Windows PowerShell
irm https://claude.ai/install.ps1 | iex
# ทางเลือก
brew install --cask claude-code
winget install Anthropic.ClaudeCode
npm install -g @anthropic-ai/claude-code
# ตรวจว่าของแท้ (macOS ต้องขึ้น Anthropic PBC / Windows ต้องขึ้น Anthropic, PBC)
codesign --verify --verbose ~/.local/share/claude/versions/*
Get-AuthenticodeSignature "$env:USERPROFILE\.local\share\claude\versions\*"

กติกาง่าย ๆ 3 ข้อก่อนวางคำสั่งจากเว็บใด ๆ ลงเทอร์มินัล หนึ่ง อ่านให้จบบรรทัด ถ้ามี rundll32, mshta, ข้อความ base64 ยาว ๆ ส่งเข้า zsh หรือ bash ให้หยุด สอง โดเมนต้องลงท้ายด้วย claude.ai, claude.com หรือ anthropic.com เท่านั้น สาม ไม่กดผลค้นหาที่ขึ้นป้าย "Sponsored" เพื่อหาเอกสารเครื่องมือพัฒนา พิมพ์ URL เองหรือใช้ bookmark

ข้อ 3 ห้ามให้รหัสผ่าน รหัส OTP หรือการอนุมัติ MFA กับ AI agent หรือหน้า "Connect" ใด ๆ

พอร์ทัลฟิชชิงที่ Island พบมีคนคุมสดอยู่หลังจอ เมื่อเหยื่อใส่รหัส MFA ผู้ควบคุมกดปฏิเสธแล้วขอรหัสใหม่ได้ทันที หน้าต่างล็อกอินเป็นแบบ BitB (Browser-in-the-Browser) คือวาดป๊อปอัปปลอมไว้ในหน้าเว็บ ไม่ใช่หน้าต่างจริงของ Google หรือ Okta วิธีทดสอบที่ง่ายที่สุดคือ ลากป๊อปอัปออกนอกขอบหน้าต่างเบราว์เซอร์ ของปลอมจะติดอยู่ข้างใน

• ใช้โปรแกรมจัดการรหัสผ่าน มันจะไม่กรอกอัตโนมัติบนโดเมนที่สะกดคล้าย
• บัญชีที่มีสิทธิ์สูง เช่น แอดมินบัญชีโฆษณา แอดมินแผน Team ให้ย้ายไปใช้ passkey หรือกุญแจ FIDO2 ซึ่งฟิชชิงดักไม่ได้
• ถ้ามีการแจ้งเตือน Okta, Google หรือหน้าจอให้กดตัวเลขขึ้นมาโดยที่คุณไม่ได้ล็อกอิน ให้ถือว่ามีคนได้รหัสผ่านคุณไปแล้ว เปลี่ยนทันที
• AI agent ที่ทำงานแทนคุณได้ควรได้สิทธิ์ผ่านช่องทางที่เพิกถอนได้ ไม่ใช่รหัสผ่านตัวจริง ถ้าบริการนั้นไม่มีช่องทางแบบนี้ อย่าต่อ

ข้อ 4 เข้า Claude ผ่าน bookmark หรือพิมพ์ URL เองเท่านั้น

โดเมนทางการที่ใช้งานประจำมีไม่กี่ตัว claude.ai สำหรับแชตและแอดมินแผน Team, claude.com สำหรับข้อมูลผลิตภัณฑ์และราคา, code.claude.com สำหรับเอกสาร Claude Code, anthropic.com สำหรับข่าวและนโยบาย และ support.claude.com สำหรับศูนย์ช่วยเหลือ บันทึก 5 ตัวนี้เป็น bookmark แล้วเลิกเข้าผ่านผลค้นหา เพราะตัวติดตั้งปลอมและพอร์ทัลปลอมอาศัยผลค้นหาทั้งคู่

กลุ่ม B นักพัฒนาและทีม IT

ข้อ 5 เอา API key ออกจากที่เว็บเข้าถึงได้ แล้วหมุนคีย์ที่สงสัยทุกตัว

บอตปลอมของ Cequence ไล่ขอไฟล์ประมาณ 90 path ที่คนชอบเผลอวางไว้ใต้ web root เช่น .env, ไฟล์ credential ของคลาวด์, คีย์ SSH ส่วนตัว และข้อมูล environment ของเซิร์ฟเวอร์ ถ้าเว็บเซิร์ฟเวอร์ของคุณตอบ 200 ให้ไฟล์พวกนี้แม้ครั้งเดียว ให้ถือว่าคีย์ในไฟล์นั้นหลุดแล้ว

# nginx ปิดทุกไฟล์และโฟลเดอร์ที่ขึ้นต้นด้วยจุด (.env .git .ssh .aws) ใส่ใน server block
location ~ /\. { deny all; return 404; }

# ตรวจ log ย้อนหลังว่าเคยมีใครขอ .env แล้วได้ 200 ไหม
grep -E 'GET /[^ ]*\.env[^ ]* HTTP' /var/log/nginx/access.log | grep ' 200 ' | head

จากนั้นเข้า Console ของ Anthropic หมุน API key ที่สงสัยทุกตัว ตั้งเพดานค่าใช้จ่ายต่อ workspace และแยกคีย์ต่อโปรเจกต์ เพื่อให้คีย์ที่หลุดสร้างความเสียหายจำกัดและเพิกถอนได้โดยไม่กระทบงานอื่น อ่านเพิ่มเรื่องการเก็บข้อมูลของ Claude ได้ใน Claude Data Governance & Security

ข้อ 6 ตรวจบอตที่อ้างเป็น ClaudeBot ด้วย IP ไม่ใช่ด้วยชื่อ

ชื่อ User-Agent ปลอมได้ในหนึ่งบรรทัด Anthropic เผยแพร่รายการช่วง IP ของ crawler ไว้ที่ claude.com/crawling/bots.json (ไฟล์ล่าสุดลงวันที่ 20 ต.ค. 2569) บอตที่อ้างชื่อ ClaudeBot แต่ IP ไม่อยู่ในรายการ หรือขอไฟล์ความลับ คือของปลอมแน่นอน Cequence ยังพบจุดสังเกตอีกข้อ บอตปลอมทุกตัวที่อ้างเป็น Claude ใส่ที่อยู่ติดต่อของ crawler Anthropic มาเหมือนกันหมดแม้จะอ้างเป็น agent คนละตัว เพราะคัดลอกสตริงมาวาง

# ดึงรายการช่วง IP ทางการของ Anthropic มาเทียบ
curl -s https://claude.com/crawling/bots.json

# "ClaudeBot" ที่ขอไฟล์ความลับ = ปลอม ไม่ต้องเทียบ IP ด้วยซ้ำ
grep -i 'claudebot' /var/log/nginx/access.log | grep -E '\.env|\.git/|id_rsa|\.aws/|wp-config' | head

เรื่องนี้กระทบรายงานของเราเองด้วย เรานับจำนวนครั้งที่ ClaudeBot เข้าเว็บ grandlinux.com ทุกเดือนจาก User-Agent ใน log ของ nginx ตัวเลขแบบนั้นนับบอตปลอมปนเข้าไปได้ เดือนหน้าเราจะเทียบ IP กับรายการของ Anthropic ก่อนนับ ใครทำรายงานแบบเดียวกันควรทำเหมือนกัน และ robots.txt ไม่ช่วยอะไรกับบอตปลอม เพราะมันไม่อ่านอยู่แล้ว

ข้อ 7 ล็อกช่องทางอัปเดตของเครื่องมือ AI ทั้งองค์กร

เหตุการณ์ Cursor เกิดกับคนที่เปิดอัปเดตอัตโนมัติไว้ ถ้าองค์กรมีนักพัฒนาหลายคน ให้กำหนดช่องทางเดียวและล็อกเวอร์ชันขั้นต่ำ Claude Code มี managed settings ให้แอดมินบังคับได้ทั้งองค์กร

// settings.json ของ Claude Code (ใส่ใน managed settings เพื่อบังคับทุกเครื่อง)
{
  "autoUpdatesChannel": "stable",
  "minimumVersion": "2.1.100"
}
// ถ้าแจกจ่ายผ่านช่องทางภายในและต้องการให้ทุกคนอยู่เวอร์ชันเดียวกัน ให้ตั้ง env DISABLE_UPDATES=1 แทน

• VS Code มีนโยบาย extensions.allowed ให้ระบุผู้เผยแพร่หรือส่วนขยายที่อนุญาต ตั้งผ่าน MDM (Mobile Device Management) ได้ ใช้จำกัดให้ติดตั้งจาก Microsoft Marketplace เท่านั้น
• ทีมที่ใช้ Cursor ควรตรวจว่าส่วนขยายสำคัญมาจากช่องทางไหน และปิดอัปเดตอัตโนมัติของส่วนขยายที่เข้าถึงเทอร์มินัลได้
• ช่อง stable ของ Claude Code ช้ากว่า latest ประมาณ 1 สัปดาห์และข้ามรุ่นที่มีปัญหาใหญ่ สำหรับองค์กรส่วนใหญ่คุ้มกว่า

ข้อ 8 ให้ Claude ตรวจโค้ดของตัวเอง และอ่าน advisory แทนคุณ

Anthropic ระบุชัดในศูนย์ช่วยเหลือว่าโมเดลที่เปิดให้ใช้ทั่วไปทำงานป้องกันได้โดยไม่ต้องขอสิทธิ์พิเศษ ได้แก่ secure code review, threat modeling, แพตช์ช่องโหว่ที่รู้แล้ว หาช่องโหว่ในซอร์สโค้ดของตัวเอง และคัดกรอง alert ด้านความปลอดภัย สิ่งที่ classifier อาจขัดจังหวะคือการวิเคราะห์มัลแวร์และการทดสอบ exploit ซึ่งเป็นเรื่องของข้อ 12

• ใน Claude Code พิมพ์ /security-review ใน repo ที่มีการเปลี่ยนแปลงค้างอยู่ มันตรวจ SQL injection, XSS, ช่องโหว่ authentication/authorization, การจัดการข้อมูลที่ไม่ปลอดภัย และ dependency ที่มีช่องโหว่ Anthropic มี GitHub Action ชื่อเดียวกันให้รันกับทุก pull request และคอมเมนต์จุดที่พบพร้อมวิธีแก้
• วาง advisory จาก CISA หรือผู้ผลิตให้ Claude แปลงเป็นเช็กลิสต์ภาษาไทยสำหรับทีมของคุณ นี่คือวิธีที่เราใช้ตอนเขียน บทความ PHP2Shell คำสั่งตรวจเวอร์ชันและ IOC ทั้งหมดถูกจัดลำดับใหม่จาก advisory ต้นทาง
• ถ้าคุณต่อ Claude เข้ากับระบบภายในผ่าน agent หรือ MCP ให้อ่านเรื่อง Prompt Injection ก่อน เพราะเอกสารหรือหน้าเว็บที่ agent ไปอ่านอาจสั่งงาน agent แทนคุณได้

กลุ่ม C แอดมินแผน Team และ Enterprise

ข้อ 9 เปิด SSO บังคับ MFA ผ่านระบบยืนยันตัวตนขององค์กร และตรวจรายชื่อสมาชิก

Claude ไม่มีสวิตช์ MFA แยกของตัวเอง วิธีบังคับคือเปิด SSO (Single Sign-On) แล้วให้ IdP (Identity Provider) เช่น Google Workspace, Microsoft Entra หรือ Okta บังคับ MFA แทน Owner หรือ Primary Owner ทำได้ที่ claude.ai/admin-settings/organization หัวข้อ Authentication ต้องมีสิทธิ์แก้ DNS ของโดเมนอีเมลบริษัทเพื่อยืนยันโดเมน เมื่อยืนยันแล้วจะมีสวิตช์ "Restrict organization creation" ให้เปิด เพื่อกันพนักงานไปสร้างองค์กร Claude ใหม่ด้วยอีเมลบริษัทเอง

• แผน Team เพิ่มสมาชิกแบบเชิญเท่านั้น การ provision อัตโนมัติผ่าน SCIM อยู่ในแผน Enterprise
• ตรวจรายชื่อสมาชิกทุกเดือน ถอดคนที่ลาออกทันที ที่นั่งที่ค้างคือทางเข้าที่ไม่มีใครดู
• ถ้ายังไม่มี IdP ให้เริ่มจากเปิด 2FA ในบัญชี Google หรือ Microsoft ที่ใช้ล็อกอิน Claude วิธีทำอยู่ใน บทความ 2FA

ข้อ 10 เขียนกติกา 1 หน้าแล้วส่งให้ทุกคน วันนี้

กติกาที่ใช้ได้จริงมีไม่กี่ข้อ ห้ามพิมพ์รหัสผ่าน รหัส OTP หรือเลขบัตรลงในแชต ห้ามติดตั้งส่วนขยายหรือตัวติดตั้งจากลิงก์ที่มีคนส่งมา ติดตั้งจากช่องทางในข้อ 2 เท่านั้น เจอหน้าต่างล็อกอินที่ไม่ได้ร้องขอให้ถ่ายหน้าจอส่งทีม IT ทันที ถ้าองค์กรเพิ่งเริ่มใช้ Claude กติกานี้ควรเป็นส่วนหนึ่งของ แผนโรลเอาต์ 30 วัน ตั้งแต่สัปดาห์แรก

ข้อ 11 ถ้าใช้ Cowork ให้ติด EDR ลงใน VM และตั้งค่าการเก็บข้อมูล

3 พ.ย. 2569 Anthropic เปิด beta ให้แผน Team และ Enterprise ติดตั้ง sensor ของ EDR (Endpoint Detection and Response) เข้าไปใน VM (Virtual Machine) ของ Cowork บน macOS และ Windows เพราะซอฟต์แวร์ความปลอดภัยบนเครื่องโฮสต์มองไม่เห็นคำสั่งที่ Cowork รันในกล่องแยกของมัน ผู้ให้บริการที่รองรับตอนนี้คือ CrowdStrike, SentinelOne, Palo Alto Networks, Tanium, Evoke Security, Neo และ Pluto Security ตั้งค่าผ่าน MDM บน macOS หรือ registry policy บน Windows ต้องใช้ Claude Desktop 4.4212.0 ขึ้นไป

• ครอบคลุมเฉพาะ VM ในเครื่อง ไม่ครอบคลุม session ของ Cowork ที่รันบนเซิร์ฟเวอร์ของ Anthropic
• sensor เห็นทั้ง prompt ไฟล์ และคำตอบของ Claude ใน VM และส่งไปที่ผู้ให้บริการ EDR ไม่ใช่ Anthropic ต้องบอกพนักงานให้รู้ และต้องทดสอบก่อนใช้จริงทุกครั้งที่ Claude หรือ sensor อัปเดต
• Anthropic ระบุเองว่านี่ไม่ใช่การแก้ช่องโหว่ sandbox ของ Cowork ที่เคยมีรายงานก่อนหน้า
• ควบคู่กันให้ Owner ทบทวนการตั้งค่าการเก็บข้อมูลและสวิตช์ "Rate chats" ตาม บทความ Data Governance

ข้อ 12 ทีมความปลอดภัยที่ต้องวิเคราะห์มัลแวร์ สมัคร Cyber Verification Program

ถ้าทีมของคุณเจอ classifier ขัดจังหวะตอนวิเคราะห์ตัวอย่างมัลแวร์หรือตรวจสอบ exploit ให้แอดมินสมัคร CVP (Cyber Verification Program) ระดับ Defense Access ที่ portal.anthropic.com เมนู Programs สมัครครั้งเดียวต่อองค์กรแล้วค่อยกำหนดที่นั่งให้คนที่ต้องใช้ Anthropic ตั้งเป้าตอบภายใน 7 วันทำการ ต้องแนบข้อมูลองค์กร คำอธิบายงานด้านความปลอดภัย และคำรับรองมาตรการควบคุมของระดับที่ขอ บุคคลธรรมดาบนแผนเสียเงินสมัครได้เฉพาะ Defense Access ระดับ Red Team และ Specialized เปิดให้องค์กรเท่านั้น

• โปรแกรมนี้ต้องยอมให้ Anthropic เก็บข้อมูลการใช้เพื่อตรวจจับการใช้ผิด องค์กรที่มีข้อยกเว้นแบบ ZDR (Zero Data Retention) สำหรับโมเดล Fable หรือ Mythos ใช้ CVP ได้โดยไม่ต้องเก็บ
• องค์กรที่ดูแลโปรเจกต์ open source สมัคร OSS Scanner ได้ฟรี เป็นบริการสแกนเป็นระยะที่ส่งรายงานพร้อม proof of concept และแนวทางแพตช์ เปิดตัวพร้อม Cyber Mission เมื่อ 8 ต.ค. 2569

ข้อ	ทำอะไร	ใครทำ	ใช้เวลา
1	หาคีย์ svc-telemetry, ไฟล์ฝังตัว, reverse tunnel	ทุกคน	5 นาที
2	ติดตั้ง/อัปเดต Claude Code จากช่องทางทางการ ตรวจลายเซ็น	ทุกคน	10 นาที
3	ไม่ให้รหัสผ่าน/OTP กับ agent ลากป๊อปอัปทดสอบ ย้ายบัญชีสำคัญไป passkey	ทุกคน	30 นาที
4	ทำ bookmark โดเมนทางการ 5 ตัว เลิกเข้าผ่านผลค้นหา	ทุกคน	5 นาที
5	ปิดไฟล์จุดบนเว็บเซิร์ฟเวอร์ ตรวจ log หมุน API key	นักพัฒนา/IT	1 ชั่วโมง
6	เทียบ IP ของ ClaudeBot กับ bots.json หาบอตที่ขอไฟล์ความลับ	นักพัฒนา/IT	30 นาที
7	ล็อกช่องทางอัปเดตและเวอร์ชันขั้นต่ำผ่าน managed settings	IT	1 ชั่วโมง
8	รัน /security-review และ GitHub Action กับ repo หลัก	นักพัฒนา	ต่อเนื่อง
9	เปิด SSO บังคับ MFA ผ่าน IdP ตรวจรายชื่อสมาชิก	Owner แผน Team	ครึ่งวัน
10	ประกาศกติกา 1 หน้าให้ทุกคน	Owner/HR	1 ชั่วโมง
11	ติด EDR ใน VM ของ Cowork ทบทวนการเก็บข้อมูล	IT/Security	1 วัน รวมทดสอบ
12	สมัคร CVP Defense Access / OSS Scanner	Security lead	รอผล 7 วันทำการ

4. ถ้าพบว่าโดนแล้ว 24 ชั่วโมงแรกทำอะไร

ลำดับนี้ใช้ได้กับทั้งส่วนขยายปลอม ตัวติดตั้งปลอม และกรณีเผลอใส่รหัสในพอร์ทัลปลอม หลักสำคัญคือ อย่าแก้จากเครื่องที่สงสัยว่าโดน

• ชั่วโมงแรก ตัดการเชื่อมต่อ ถอดสายแลน ปิด Wi-Fi อย่าเพิ่งปิดเครื่องถ้าทีม security ต้องการเก็บหลักฐาน และอย่าแค่ถอนส่วนขยาย เพราะสคริปต์ฝังตัวทำงานแยกจากส่วนขยายแล้ว
• จากเครื่องที่สะอาด เปลี่ยนทุกอย่างที่เครื่องนั้นเข้าถึงได้ คีย์ SSH ทุกคู่, API key ของ Anthropic และบริการอื่น, token ของ GitHub/GitLab, credential ของ AWS/GCP/Azure, รหัสผ่านโปรแกรมจัดการรหัสผ่าน และยกเลิก session ที่ล็อกอินค้างทุกบริการ
• ดูย้อนหลังว่าผู้โจมตีทำอะไรไปแล้ว commit หรือ push จากเครื่องนั้นหลัง 29 ต.ค., การล็อกอินจาก IP ที่ไม่รู้จักใน audit log ของคลาวด์และ Git, การสร้าง API key ใหม่ที่คุณไม่ได้สร้าง
• รันสคริปต์แก้ไขของ Cursor แล้วตัดสินใจเรื่องลงเครื่องใหม่ สคริปต์จะออกด้วยรหัสไม่ใช่ศูนย์ถ้ายังมีอะไรค้าง สำหรับเครื่องที่ถือคีย์สำคัญ ลงเครื่องใหม่ถูกกว่าความไม่แน่ใจ
• แจ้งคนที่ต้องแจ้ง ถ้าเครื่องนั้นเข้าถึงข้อมูลส่วนบุคคลของลูกค้าและมีความเสี่ยงต่อสิทธิของเจ้าของข้อมูล PDPA (Personal Data Protection Act) มาตรา 37(4) กำหนดให้แจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงนับแต่ทราบเหตุ หน่วยงานรัฐแจ้ง ThaiCERT หรือ สกมช. ตามกรอบของหน่วยงาน
• บันทึกไทม์ไลน์ไว้ ใช้ Claude ช่วยเรียบเรียงจาก log ได้ แต่คนต้องเป็นผู้ยืนยันทุกบรรทัดก่อนส่งให้ใคร

5. Claude ช่วยอะไรได้ และอะไรที่ต้องเป็นคนทำ

บทความนี้บอกให้ระวังของปลอมที่ใช้ชื่อ Claude แต่ Claude ตัวจริงก็เป็นเครื่องมือที่ช่วยงานป้องกันได้มาก เส้นแบ่งอยู่ที่งานไหนเป็นการอ่านและเรียบเรียง กับงานไหนเป็นการตัดสินใจและลงมือกับระบบจริง

งาน	Claude ช่วยได้ไหม	หมายเหตุ
ตรวจโค้ดของตัวเองหาช่องโหว่ (secure code review)	ได้ ทำได้เลย	/security-review ใน Claude Code หรือ GitHub Action
ทำ threat model ของระบบที่กำลังจะต่อ agent	ได้	ให้มันถามคุณทีละชั้น แล้วสรุปเป็นตาราง
อ่าน advisory ของ CISA/ผู้ผลิต แล้วทำเช็กลิสต์ภาษาไทย	ได้	แนบ advisory ต้นฉบับ สั่งให้อ้างเลขข้อ และเขียน "ไม่ระบุ" เมื่อไม่มีข้อมูล
อ่าน log หา IOC ที่คุณให้รายการไว้	ได้	ส่ง log ที่ตัดข้อมูลส่วนบุคคลออกแล้ว ให้มันเขียน grep ให้ แล้วคุณรันเอง
ร่างประกาศภายใน แบบฝึกสังเกตฟิชชิง สรุปเหตุการณ์ให้ผู้บริหาร	ได้	ตรวจชื่อ วันที่ และตัวเลขทุกตัวก่อนส่ง
วิเคราะห์ตัวอย่างมัลแวร์ ตรวจสอบ exploit	ได้บางส่วน	classifier อาจขัดจังหวะ ต้องสมัคร CVP (ข้อ 12)
ตัดสินใจว่าจะลงเครื่องใหม่หรือไม่	ไม่ได้	คนตัดสินใจจากความสำคัญของคีย์ที่เครื่องนั้นถือ
หมุนคีย์ เปลี่ยนรหัสผ่าน ยกเลิก session	ไม่ได้	ห้ามให้ agent ถือรหัสผ่านจริง ทำเองจากเครื่องสะอาด
ยืนยันว่าตัวติดตั้งเป็นของแท้	ไม่ได้	ตรวจลายเซ็นด้วย codesign หรือ Get-AuthenticodeSignature ด้วยตัวเอง

สรุป

สี่แคมเปญปลายเดือนตุลาคมบอกเรื่องเดียวกัน ผู้โจมตีเลิกเจาะ Anthropic แล้วหันมาเจาะ "ความเคยชิน" ของคนใช้ Claude แทน ส่วนขยายในชื่อจริงบนมาร์เก็ตเพลสที่ไม่ใช่ของทางการ ผลโฆษณาที่ขึ้นก่อนเว็บจริง บอตที่ใช้ชื่อ ClaudeBot ขอไฟล์ความลับ และหน้าล็อกอินที่มีคนคอยกดปฏิเสธรหัส MFA ของคุณสด ๆ

ถ้ามีเวลาแค่ครึ่งชั่วโมงวันนี้ ทำข้อ 1 ข้อ 3 และข้อ 5 ก่อน คือหาคีย์ svc-telemetry ในเครื่อง เลิกให้รหัสผ่านกับ agent หรือป๊อปอัปใด ๆ และเอา .env ออกจากที่เว็บเข้าถึงได้ ที่เหลือทำตามตารางในข้อ 3 ภายในสัปดาห์นี้ ข่าวรอบเดือนทั้งหมดรวมอยู่ใน สรุปข่าว AI ตุลาคม 2569

ชื่อ Claude บนปุ่มดาวน์โหลดไม่ได้แปลว่า Anthropic เป็นคนส่งมา เลขเวอร์ชันก็ไม่ได้บอก ตรวจช่องทางและลายเซ็น ไม่ใช่ตรวจชื่อ

- ทีมงาน Grand Linux จากการเช็กเครื่องของตัวเอง 3 พ.ย. 2569

แหล่งอ้างอิง

ข้อเท็จจริงทั้งหมดตรวจ ณ 3 พ.ย. 2569 จากประกาศของ Cursor และ Anthropic เอกสารทางการของ Claude Code รายงานของบริษัทความปลอดภัยที่พบแคมเปญแต่ละชุด และข่าวจากสำนักที่ยืนยันกับบริษัทโดยตรง เหตุการณ์ยังมีรายละเอียดที่ทั้ง Cursor และ Anthropic ไม่เปิดเผย เช่น ของปลอมเข้าไปอยู่ในมาร์เก็ตเพลสภายใต้ชื่อ Anthropic ได้อย่างไร ถ้ามีข้อมูลใหม่เราจะอัปเดตบทความนี้

• Cursor — Security notice: malicious version of Anthropic.claude-code (2.1.312 and 2.1.313) in the Cursor Marketplace (29–30 ต.ค. 2569)
• BleepingComputer — Malicious Claude Code extension on Cursor planted SSH backdoors (30 ต.ค. 2569)
• The Register — Anthropic: that Claude Code extension compromise couldn't be us (30 ต.ค. 2569)
• TNW — Anthropic denies breach as tampered Claude Code extension hits Cursor users (30 ต.ค. 2569)
• The Hacker News — Official Claude Code extension on Cursor Marketplace trojanized with persistent SSH backdoor (30 ต.ค. 2569)
• Straiker — Fake Claude Code, real malware: ACRStealer impersonation campaign (88 domains) (27 พ.ค. 2569)
• TechRepublic — Fake Claude Code installers deliver credential-stealing malware (2569)
• Cequence — AI agent impersonation: attackers pose as ChatGPT, Claude and Perplexity to hunt for secrets (28 ต.ค. 2569)
• The Hacker News — Fake ChatGPT, Gemini and Claude ad portals capture credentials and MFA codes (Island research) (6 ต.ค. 2569)
• TechCrunch — Bank of America asks customers not to share banking passwords with AI assistants (27 ต.ค. 2569)
• Anthropic — Claude Code setup: official install commands, release channels, binary integrity and code signing (เอกสารทางการ)
• VS Code Marketplace — Claude Code extension (anthropic.claude-code) (ตรวจ 3 พ.ย. 2569)
• Anthropic — published IP ranges of Claude crawlers (bots.json) (ไฟล์ลงวันที่ 20 ต.ค. 2569)
• Anthropic Help Center — Real-time cyber safeguards and the Cyber Verification Program (ตรวจ 3 พ.ย. 2569)
• Anthropic Help Center — Automated security reviews in Claude Code (/security-review) (ตรวจ 3 พ.ย. 2569)
• Anthropic Help Center — Set up single sign-on (SSO) on Team and Enterprise plans (ตรวจ 3 พ.ย. 2569)
• Cybersecurity News — Anthropic enables EDR monitoring in Claude Cowork (beta) (3 พ.ย. 2569)
• CyberScoop — Anthropic rolls out Cyber Mission: Critical Infrastructure Defense Program and OSS Scanner (8 ต.ค. 2569)
• this week in security — November 1, 2026 edition (1 พ.ย. 2569)