สงครามไซเบอร์คืออะไร? องค์กรไทยจะรู้ได้อย่างไรว่าเป็นเป้า ตรวจอย่างไร ป้องกันอย่างไร และ Claude ช่วยอะไรได้บ้าง 2569

1. สงครามไซเบอร์คืออะไร และต่างจากอาชญากรรมไซเบอร์ตรงไหน

สงครามไซเบอร์ (Cyber Warfare) คือการที่รัฐ หรือกลุ่มที่รัฐสนับสนุน ใช้ปฏิบัติการทางคอมพิวเตอร์เพื่อเป้าหมายทางการเมืองหรือการทหาร ไม่ใช่เพื่อเงินโดยตรง เป้าหมายหลักมี 4 แบบ คือ จารกรรมข้อมูล (espionage) ก่อกวนหรือทำลายระบบ (disruption และ sabotage) ปฏิบัติการข่าวสาร (influence operation) และการแอบวางตัวไว้ในระบบล่วงหน้าเพื่อรอจังหวะ (pre-positioning) อาชญากรรมไซเบอร์ทั่วไปต่างกันที่แรงจูงใจ แต่ในทางปฏิบัติเส้นแบ่งนี้บางมาก เพราะกลุ่มอาชญากรใช้ช่วงสงครามเป็นโอกาส และรัฐก็ใช้กลุ่มอาชญากรและกลุ่มแฮกทิวิสต์ (hacktivist) เป็นตัวแทน

สำหรับองค์กรที่ไม่ใช่กองทัพ คำถามจึงไม่ใช่ "ใครยิงใคร" แต่เป็น "ระบบของเราอยู่ในเส้นทางของใครบ้าง" ตารางนี้สรุปผู้เล่น 4 กลุ่มที่เจอได้จริงในปี 2569

กลุ่ม	ต้องการอะไร	ตัวอย่างที่ยืนยันแล้ว ปี 2569	องค์กรไทยเจอได้ในรูปแบบไหน
หน่วยงานรัฐ / กลุ่ม APT APT = Advanced Persistent Threat	ข้อมูลลับ สิทธิ์เข้าถึงระยะยาว และจุดที่กดปุ่มทำลายได้เมื่อต้องการ	CISA (Cybersecurity and Infrastructure Security Agency) ของสหรัฐฯ ออกคำเตือน AA26-097A (7 เม.ย. อัปเดต 22 ก.ค.) ว่ากลุ่มที่เกี่ยวข้องกับอิหร่านเข้าถึง PLC (Programmable Logic Controller) ที่เปิดสู่อินเทอร์เน็ตและมีการควบคุมการเข้าถึงอ่อนแอ ในระบบน้ำ พลังงาน และหน่วยงานท้องถิ่น แล้วแก้ตรรกะควบคุมและข้อมูลบนจอ SCADA (Supervisory Control and Data Acquisition) อุปกรณ์ที่ระบุในคำเตือนมีของ Rockwell Automation, Schneider Electric และ Siemens และ CISA ระบุว่ายี่ห้ออื่นก็อาจได้รับผลกระทบ	โรงงานและสาธารณูปโภคไทยใช้ PLC ยี่ห้อเดียวกัน ถ้าตัวใดต่ออินเทอร์เน็ตตรงและยังใช้รหัสผ่านค่าเริ่มต้น ก็เข้าข่ายเดียวกันไม่ว่ายี่ห้อใด
แฮกทิวิสต์และกลุ่มตัวแทน	สร้างข่าว ทำให้บริการล่ม เปลี่ยนหน้าเว็บ ในจังหวะที่มีความขัดแย้ง	ค่ำ 1 พ.ย. แอปเตือนภัยทางอากาศของยูเครนส่งแจ้งเตือนปลอมว่ามีภัยนิวเคลียร์ ราว 2 ชั่วโมงต่อมาแอปของกระทรวงสถานการณ์ฉุกเฉินรัสเซียถูกใช้ส่งข้อมูลเท็จเช่นกัน เกิดขึ้นคืนเดียวกับที่ข้อตกลงหยุดยิงเฉพาะพื้นที่เคอร์ซอน (27 ต.ค.–1 พ.ย.) สิ้นสุด ยังไม่มีการระบุตัวผู้ก่อเหตุ	ไทยเคยเจอแล้วเมื่อปี 2568 ช่วงความขัดแย้งชายแดน กลุ่มที่สนับสนุนกัมพูชาอ้างว่ายิง DDoS (Distributed Denial of Service) ใส่หน่วยงานไทย 73 ครั้งในสองสัปดาห์ (28 พ.ค.–10 มิ.ย.) ราว 30% เป็นเว็บรัฐ 26% เป็นหน่วยทหาร ที่เหลือเป็นเอกชน
กลุ่มก่อกวนโครงสร้างพื้นฐานที่ยังระบุตัวไม่ได้	ทำให้ระบบทางกายภาพเสียหาย โดยไม่ต้องประกาศตัว	ต.ค. ตู้แช่ในซูเปอร์มาร์เก็ตฝรั่งเศสหลายร้อยสาขาถูกสั่งเข้าโหมดละลายน้ำแข็งจากระยะไกล นายกรัฐมนตรีฝรั่งเศสสั่ง ANSSI (หน่วยงานความมั่นคงปลอดภัยไซเบอร์แห่งชาติของฝรั่งเศส) สอบสวน 11 ต.ค. แล้ว 2 พ.ย. เหตุแบบเดียวกันลามไปไอร์แลนด์ เบลเยียม ลักเซมเบิร์ก สวีเดน เนเธอร์แลนด์ ฟินแลนด์ และเอสโตเนีย อุณหภูมิขึ้นถึง 50°C ยังไม่มีใครอ้างความรับผิดชอบ	ระบบทำความเย็น ระบบอาคาร และเครื่องจักรที่ผู้ขายดูแลจากระยะไกล คือจุดเดียวกับที่ถูกใช้ในเหตุนี้
ผู้ขายสปายแวร์รับจ้าง	เจาะโทรศัพท์ของคนเฉพาะราย ให้ลูกค้าที่เป็นรัฐหรือองค์กร	ราว 30 ต.ค. Apple ส่งแจ้งเตือนภัยคุกคามรอบใหม่ให้ผู้ใช้ใน 99 ประเทศ นับรวมทุกรอบแล้วกว่า 150 ประเทศ ในไทย หัวหน้าพรรคการเมือง 2 พรรคเปิดเผยต่อสาธารณะเองว่าได้รับแจ้งเตือน (2–3 พ.ย.) กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (ดีอี) อยู่ระหว่างตรวจสอบว่าเป็นข้อความของ Apple จริง และ สมช. เรียกประชุมหน่วยงาน 4 พ.ย. บทความนี้ไม่ระบุว่าเป็นสปายแวร์ตัวใด เพราะยังไม่มีผลตรวจทางเทคนิค	ผู้บริหาร ที่ปรึกษากฎหมาย และคนที่ถือข้อมูลการเจรจา คือเป้าของเครื่องมือกลุ่มนี้ ไม่ใช่ระบบขององค์กร

ภาพใหญ่ปี 2569 คือสงครามอิหร่านที่เริ่ม 28 ก.พ. ด้วยปฏิบัติการไซเบอร์ตัดสัญญาณสื่อสารและเซ็นเซอร์ก่อนการโจมตีทางอากาศ ตามด้วยการตอบโต้จากฝั่งอิหร่านที่ยิงออกนอกเขตสงคราม เหตุแรกที่ถูกบันทึกคือ Stryker บริษัทอุปกรณ์การแพทย์ของสหรัฐฯ (12 มี.ค.) ที่กลุ่ม Handala ซึ่งนักวิจัยเชื่อมโยงกับอิหร่าน ลบข้อมูลอุปกรณ์จากระยะไกลผ่านระบบบริหารจัดการอุปกรณ์ของบริษัทเอง จนโรงพยาบาลในออสเตรเลียต้องเฝ้าระวัง และเดือน ก.ค. ระบบน้ำประปาในสหรัฐฯ ราว 30 แห่งถูกโจมตีด้วยวิธีที่สอดคล้องกับกลุ่ม CyberAv3ngers ส่วนสงครามรัสเซีย-ยูเครนยังดำเนินต่อเป็นปีที่ 5 รายงาน APT ของ ESET ฉบับ 28 ต.ค. (ครอบคลุม เม.ย.–ก.ย. 2569) สรุปว่ากลุ่มที่เกี่ยวข้องกับรัสเซียยังเน้นหน่วยงานรัฐและอุตสาหกรรมป้องกันประเทศในยุโรป กลุ่มที่เกี่ยวข้องกับอิหร่านขยายเป้าไปที่บริษัทในอิสราเอลและสหรัฐฯ ส่วนเกาหลีเหนือเน้นบริษัทเทคโนโลยี คริปโต และระบบของนักพัฒนา

2. จะรู้ได้อย่างไรว่าองค์กรเราเป็นเป้า

ไม่มีใครส่งจดหมายมาบอกล่วงหน้า แต่มีสัญญาณ 3 ชั้นที่ตอบคำถามนี้ได้ ชั้นแรกดูจากว่าองค์กรเป็นอะไร ชั้นที่สองดูจากสิ่งที่คนอื่นส่งมาเตือน และชั้นที่สามดูจากร่องรอยในระบบของตัวเอง

ชั้นที่ 1 องค์กรแบบไหนอยู่ในรายการเป้า

รายงาน Microsoft Digital Defense Report 2026 (ข้อมูล ก.ค. 2568–มิ.ย. 2569) ระบุว่าหน่วยงานรัฐเป็นภาคที่ถูกโจมตีมากที่สุด 27% ของเหตุทั้งหมด เพิ่มจาก 17% ในปีก่อน ตามด้วยไอที 17% และสถาบันวิจัยกับการศึกษา 14% ส่วนการโจมตีโครงสร้างพื้นฐานกับหน่วยงานรัฐท้องถิ่นและสถานศึกษา (พ.ย. 2568–เม.ย. 2569) สถาบันวิจัยและมหาวิทยาลัยกินสัดส่วน 38% ระบบขนส่ง 22% และ 78% ของเทคนิคที่ใช้โจมตีโครงสร้างพื้นฐานคือการใช้บัญชีคลาวด์ในทางที่ผิด ไม่ใช่การเจาะเครื่อง

ฝั่งไทย พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 มาตรา 49 กำหนดหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII, Critical Information Infrastructure) ไว้ 7 ด้าน คือ ความมั่นคงของรัฐ บริการภาครัฐที่สำคัญ การเงินการธนาคาร เทคโนโลยีสารสนเทศและโทรคมนาคม การขนส่งและโลจิสติกส์ พลังงานและสาธารณูปโภค และสาธารณสุข บวกด้านอื่นที่คณะกรรมการประกาศเพิ่ม ถ้าองค์กรอยู่ใน 7 ด้านนี้ หรือเป็นผู้ให้บริการของหน่วยงานใน 7 ด้านนี้ ให้ถือว่าเป็นเป้าโดยตำแหน่ง

ลักษณะองค์กร	ใครสนใจ	หลักฐานปี 2569	ระดับ
หน่วยงานรัฐ หน่วยงาน CII 7 ด้าน และผู้ให้บริการของหน่วยงานเหล่านั้น	รัฐ กลุ่มตัวแทน แฮกทิวิสต์	รัฐ 27% ของเหตุทั้งหมด (Microsoft) · ผลประเมินของสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) ปี 2568 หน่วยงานรัฐได้คะแนนเฉลี่ย 59% ลดจาก 65% (ตามที่ไทยรัฐรายงาน) ภัยที่พบมากสุดคือการใช้ช่องโหว่ภายใน การเข้าถึงโดยไม่ได้รับอนุญาต และ DDoS	สูง
มี OT (Operational Technology) หรือ PLC ที่เข้าถึงได้จากอินเทอร์เน็ต เช่น ระบบน้ำ ไฟฟ้า ระบบอาคาร ตู้แช่ สายการผลิต	รัฐที่ต้องการผลทางกายภาพ กลุ่มที่ยังระบุไม่ได้	AA26-097A · ตู้แช่ซูเปอร์มาร์เก็ต 8 ประเทศ · Stryker	สูง
มหาวิทยาลัย สถาบันวิจัย บริษัทที่มีเทคโนโลยีเฉพาะ (โดรน เซมิคอนดักเตอร์ ชีวภาพ)	รัฐ (จารกรรมระยะยาว)	38% ของเหตุในกลุ่มโครงสร้างพื้นฐานและสถานศึกษา (Microsoft) · ปฏิบัติการจารกรรมเล็งห่วงโซ่อุปทานโดรน (Anthropic)	สูง
บริษัทที่ค้าขายหรือมีสำนักงานในประเทศคู่ขัดแย้ง หรือเป็นซัพพลายเออร์ของบริษัทเหล่านั้น	กลุ่มตัวแทน แฮกทิวิสต์	ESET: กลุ่มที่เกี่ยวข้องกับอิหร่านขยายไปที่บริษัทในอิสราเอลและสหรัฐฯ	กลาง
ผู้บริหาร นักการเมือง นักข่าว ทนาย และคนที่ถือข้อมูลการเจรจา (ในฐานะบุคคล)	ลูกค้าของผู้ขายสปายแวร์	Apple แจ้งเตือน 99 ประเทศ · นักการเมืองไทย 2 คนเปิดเผยว่าได้รับ	กลาง
องค์กรทั่วไปที่มีระบบเปิดสู่อินเทอร์เน็ตและมีข้อมูลลูกค้า	อาชญากรที่ใช้จังหวะ ransomware	Mandiant M-Trends 2026: การเจาะผ่านช่องโหว่ของระบบที่เปิดสู่อินเทอร์เน็ตเป็นทางเข้าอันดับ 1 (32%) ติดต่อกัน 6 ปี	พื้นฐาน

ชั้นที่ 2 สัญญาณที่ถูกส่งมาหาคุณ

• แจ้งเตือนจาก Apple มาทาง 3 ช่องพร้อมกัน คือ หน้าจอล็อกและแอป Settings ของ iPhone, อีเมลจาก threat-notifications@email.apple.com และแถบด้านบนหลังล็อกอินที่ account.apple.com วิธีตรวจว่าของจริงคือล็อกอินที่ account.apple.com เอง Apple ยืนยันว่าแจ้งเตือนจริงจะไม่ขอรหัสผ่าน ไม่ขอรหัสยืนยัน ไม่ให้คลิกลิงก์หรือติดตั้งอะไรทั้งสิ้น กรณีของไทยช่วง 2–3 พ.ย. กระทรวงดีอีขอให้ผู้ได้รับส่งข้อความมาตรวจก่อนว่าเป็นของ Apple จริง ซึ่งเป็นขั้นตอนที่ถูกต้องตามแนวทางของ Apple เอง
• แจ้งเตือนจากผู้ให้บริการบัญชี Google และ Microsoft มีระบบแจ้งเตือนผู้ใช้ที่ถูกกลุ่มที่รัฐสนับสนุนเล็งเช่นกัน ถ้าพนักงานได้รับให้ส่งต่อทีมไอทีทันที ไม่ใช่ปิดทิ้ง
• หนังสือจาก ThaiCERT หรือ CERT รายสาขา ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์ประเทศไทย (ThaiCERT) ของ สกมช. แจ้งเตือนหน่วยงานรัฐและ CII เมื่อมีช่องโหว่ร้ายแรง เช่น กรณี PHP2Shell 22 ต.ค. 2569 ที่ส่งแจ้งเตือน สำรวจความเสี่ยง เฝ้าระวัง และติดตามผลแพตช์ภายในวันเดียว ถ้าองค์กรไม่อยู่ในรายชื่อผู้รับ ให้สมัครรับข่าวจากเว็บ thaicert.or.th เอง
• แจ้งเตือนจากผู้ผลิตอุปกรณ์ Rockwell Automation, Schneider Electric และ Siemens ต่างออกประกาศแนวทางของตนหลัง AA26-097A ถ้าใช้อุปกรณ์เหล่านี้แล้วไม่เคยได้รับอีเมลจากผู้ผลิตเลย แปลว่ายังไม่ได้ลงทะเบียนรับประกาศ
• ข้อมูลองค์กรโผล่ในข้อมูลรั่ว บริการตรวจสอบอีเมลรั่วอย่าง Have I Been Pwned รองรับการเฝ้าดูทั้งโดเมน ถ้าอีเมลพนักงานหลายคนอยู่ในชุดข้อมูลรั่วชุดเดียวกัน นั่นคือวัตถุดิบของการโจมตีรอบถัดไป

ชั้นที่ 3 ร่องรอยในระบบ

ตัวเลขที่ต้องจำคือ 14 กับ 122 รายงาน M-Trends 2026 ของ Mandiant (ข้อมูลปี 2568) ระบุว่าผู้โจมตีอยู่ในระบบโดยไม่ถูกพบเฉลี่ย 14 วัน เพิ่มจาก 11 วัน และในกรณีจารกรรมโดยรัฐและปฏิบัติการคนงานไอทีของเกาหลีเหนือ ค่ากลางอยู่ที่ 122 วัน แปลว่า "ไม่มีอาการ" ไม่เท่ากับ "ไม่โดน" ร่องรอยที่ควรหาคือ ล็อกอินสำเร็จจาก IP ของผู้ให้บริการโฮสติ้งต่างประเทศ (AA26-097A ระบุว่าผู้โจมตีเช่าเซิร์ฟเวอร์ของบุคคลที่สามเป็นฐาน) การยืนยันตัวตนแบบ device code ที่พนักงานไม่ได้ทำเอง (วิธีที่ใช้ในปฏิบัติการจารกรรมในรายงาน Anthropic) ทราฟฟิกบนพอร์ต OT 44818, 2222, 102 และ 502 จากภายนอก ไฟล์โปรเจกต์ของ PLC ที่เปลี่ยนโดยไม่มีใบงาน และระเบียน DNS (Domain Name System) ที่เปลี่ยนโดยไม่มีใครสั่ง

3. ตรวจอย่างไร — เช็กลิสต์ 10 ข้อ

เรียงตามลำดับที่ควรทำ ข้อ 1–5 ทีมไอทีทำได้เองภายในสัปดาห์แรก ข้อ 6–10 ต้องมีผู้บริหารหรือเจ้าของกระบวนการร่วม คำสั่งที่ให้ไว้เป็นตัวอย่างบน macOS/Linux ปรับชื่อโดเมนและ IP เป็นของคุณ

ข้อ 1 ทำบัญชีทุกอย่างที่หันหน้าออกอินเทอร์เน็ต

รวม IP สาธารณะ โดเมนย่อย VPN (Virtual Private Network) พอร์ทัลผู้ขาย กล้อง ระบบอาคาร และ PLC ที่ "ต่อชั่วคราว" แล้วลืม วิธีที่ถูกที่สุดคือมองจากข้างนอกเหมือนผู้โจมตี สแกนเฉพาะ IP และโดเมนที่องค์กรเป็นเจ้าของ หรือได้รับอนุญาตเป็นลายลักษณ์อักษรเท่านั้น การสแกนระบบของผู้อื่นโดยไม่ได้รับอนุญาตอาจเข้าข่ายความผิดตาม พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์

# สแกนพอร์ตที่ผู้โจมตีมองหา รวมพอร์ต OT ตาม AA26-097A (44818, 2222, 102, 502)
nmap -Pn -p 21,22,23,80,102,443,502,1433,2222,3389,5432,5900,8080,44818 <public-ip-ของคุณ>

# หาโดเมนย่อยที่ทีมไม่รู้ว่ามี
curl -s "https://crt.sh/?q=%25.example.co.th&output=json" | python3 -c "import sys,json;print('\n'.join(sorted({r['name_value'] for r in json.load(sys.stdin)})))"

ผลที่ได้ให้เทียบกับรายการที่ทีมคิดว่ามี ส่วนต่างคือจุดเสี่ยงอันดับแรก ค้นชื่อองค์กรใน Shodan หรือ Censys ซ้ำอีกชั้น เพราะสองบริการนี้คือที่ที่ผู้โจมตีใช้หาเหยื่อแบบไม่เจาะจง

ข้อ 2 เทียบระบบที่พบกับรายการช่องโหว่ที่ถูกใช้โจมตีจริง

CISA เผยแพร่รายการ KEV (Known Exploited Vulnerabilities) เป็นไฟล์ JSON ที่ดึงได้ฟรี รายงานของ Microsoft คาดว่าปี 2569 จะมี CVE (Common Vulnerabilities and Exposures) ถูกเปิดเผยถึง 72,000 รายการ และช่องโหว่บางตัวถูกใช้โจมตีจริงภายในไม่ถึง 24 ชั่วโมงหลังเปิดเผย การไล่แพตช์ทุกตัวจึงไม่ทัน ต้องเริ่มจากตัวที่ถูกใช้แล้ว

# ดึง KEV แล้วกรองเฉพาะผู้ขายที่คุณใช้ (แก้รายชื่อใน grep)
curl -s https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json \
  | python3 -c "import sys,json;[print(v['dateAdded'],v['cveID'],v['vendorProject'],v['product']) for v in json.load(sys.stdin)['vulnerabilities']]" \
  | grep -iE 'fortinet|ivanti|cisco|microsoft|rockwell|siemens|schneider|php' | sort -r | head -40

กรณี PHP2Shell เดือน ต.ค. เป็นตัวอย่างว่าช่องโหว่ตัวเดียวทำให้หน่วยงานทั้งประเทศต้องตรวจพร้อมกัน ขั้นตอนหาว่าเครื่องไหนมี PHP ซ่อนอยู่อยู่ใน บทความ PHP2Shell

ข้อ 3 อ่านล็อกการยืนยันตัวตนย้อนหลังอย่างน้อย 90 วัน

Microsoft พบว่า 52.2% ของการบุกรุกที่ใช้บัญชีจริง นำไปสู่การขโมยรหัสผ่านเพิ่ม และฟิชชิงคิดเป็น 23% ของการบุกรุกในปีนี้ เพิ่มจาก 7% สิ่งที่ต้องหาในล็อก Microsoft 365, Google Workspace, VPN และ ERP คือ ล็อกอินสำเร็จจากประเทศหรือผู้ให้บริการโฮสติ้งที่องค์กรไม่มีคนอยู่ การยืนยันแบบ device code การอนุมัติ MFA (Multi-Factor Authentication) ซ้ำหลายครั้งในเวลาสั้น และบัญชีผู้ดูแลที่ล็อกอินนอกเวลางาน ถ้าระบบเก็บล็อกไม่ถึง 90 วัน ให้แก้เรื่องนี้ก่อน เพราะเคสจารกรรมอยู่ในระบบเฉลี่ย 122 วัน

ข้อ 4 ตรวจ OT และ PLC ตามแนวทาง AA26-097A

สี่คำถามที่ต้องตอบได้ทุกตัว คือ PLC ตัวนี้เข้าถึงจากอินเทอร์เน็ตตรงได้ไหม สวิตช์โหมดอยู่ที่ RUN หรือ REMOTE ไฟล์โปรเจกต์ที่รันอยู่ตรงกับสำเนาที่รู้ว่าถูกต้องไหม และรหัสผ่านยังเป็นค่าจากโรงงานหรือเปล่า CISA แนะนำให้เทียบตรรกะที่รันอยู่กับสำเนาที่เชื่อถือได้ด้วยเครื่องมือของผู้ผลิต และตรวจ Add-On Instructions ของ Rockwell เป็นพิเศษ เพราะเป็นจุดที่ถูกแก้ในเหตุจริง

ข้อ 5 ตรวจโดเมน DNS และการยืนยันอีเมล

ปฏิบัติการจารกรรมในรายงาน Anthropic ใช้การยึด DNS ของผู้ให้บริการ WiFi โรงแรมเป็นทางเข้า และฟิชชิงที่ปลอมเป็นองค์กรของคุณจะง่ายขึ้นมากถ้าโดเมนไม่มี DMARC (ดู SPF, DKIM, DMARC คืออะไร)

dig +short TXT example.co.th            # ต้องมี v=spf1 ... -all
dig +short TXT _dmarc.example.co.th     # ต้องมี v=DMARC1; p=quarantine หรือ p=reject
dig +short NS example.co.th             # ต้องตรงกับที่จดไว้ที่ registrar

เปิด registrar lock และเปิด MFA ที่บัญชีผู้จดโดเมนด้วย เพราะบัญชีนี้ควบคุมได้ทั้งเว็บและอีเมลขององค์กร

ข้อ 6 ตรวจอุปกรณ์ของคนที่เป็นเป้าโดยตำแหน่ง

ผู้บริหาร ฝ่ายกฎหมาย ฝ่ายการเงิน และคนที่เจรจากับคู่ค้าต่างประเทศ ให้ตรวจ 3 อย่าง หนึ่ง ล็อกอินที่ account.apple.com ดูว่ามีแถบแจ้งเตือนภัยคุกคามหรือไม่ สอง เปิด Lockdown Mode บน iPhone ของคนกลุ่มนี้ ซึ่งเป็นขั้นตอนแรกที่ Apple แนะนำ และผู้ได้รับแจ้งเตือนในไทยรายหนึ่งก็เปิดเผยว่าทำทันที สาม ผู้ใช้ Android เปิด Advanced Protection ของ Google ถ้าได้รับแจ้งเตือน Apple แนะนำให้ติดต่อ Access Now Digital Security Helpline ที่เปิดตลอด 24 ชั่วโมง

ข้อ 7 ตรวจคนนอกที่มีทางเข้าระบบ

ผู้ขายที่ดูแลระบบทำความเย็น ลิฟต์ กล้อง เครื่องจักร และผู้ให้บริการไอทีภายนอก มักมีบัญชี VPN หรือเครื่องมือรีโมตที่องค์กรลืมไปแล้ว เหตุตู้แช่ในยุโรปเข้ามาทางระบบที่ผู้ขายดูแล และ M-Trends ระบุว่าในเหตุบนคลาวด์ การถูกเจาะผ่านบุคคลที่สามคิดเป็น 17% ทำรายชื่อว่าใครเข้าได้ ทางไหน ยังใช้อยู่ไหม แล้วปิดที่ไม่ใช้

ข้อ 8 ตรวจว่า backup อยู่นอกเครือข่ายและกู้ได้จริง

รายงานความเสี่ยงของ สกมช. ปี 2569 แนะนำให้แยกสำเนาสำรองออกจากเครือข่ายหลักเพื่อรับมือ ransomware และ CISA เตือนว่าต้องตรวจว่าสำเนา PLC ไม่มีตรรกะอันตรายปนอยู่ก่อนกู้ ถ้ายังไม่เคยซ้อมกู้ระบบจริง เริ่มจาก เช็กลิสต์ซ้อมกู้คืน ERP และ แผน Disaster Recovery

ข้อ 9 ตรวจบัญชีและคีย์ของ AI และ agent เหมือนบัญชีผู้ดูแลระบบ

ข้อแนะนำแรกที่ Anthropic ให้องค์กรในรายงาน ก.ย. 2569 คือ ให้ถือว่า API key ของ AI และการเชื่อมต่อของ agent เป็นข้อมูลรับรองระดับระบบจริง เพราะผู้โจมตีเล็งมันโดยตรง และให้ซื้อสิทธิ์ใช้ AI ผ่านช่องทางที่ถูกต้องเท่านั้น เพราะข้อเสนอราคาถูกผ่านคนกลางที่ไม่รู้จักมีความเสี่ยงสูง เหตุส่วนขยาย Claude Code ปลอมบน Cursor ปลายเดือน ต.ค. เป็นตัวอย่างล่าสุด ขั้นตอนตรวจเครื่องอยู่ใน เช็กลิสต์ 12 ข้อสำหรับคนใช้ Claude

ข้อ 10 ตรวจว่าคนรู้หน้าที่ตอนเกิดเหตุ

ถามสามคำถามในที่ประชุมผู้บริหาร ใครมีอำนาจสั่งปิดระบบตอนตีสอง ใครเป็นคนโทร ThaiCERT และรายงานเหตุตามกฎหมายภายในเวลาที่กำหนดได้ไหม ถ้าตอบไม่ได้ใน 1 นาที องค์กรยังไม่พร้อม ไม่ว่าจะมีเครื่องมือเท่าไร

ข้อ	ตรวจอะไร	ใครทำ	ใช้เวลา	เครื่องมือ
1	บัญชีระบบที่หันหน้าออกอินเทอร์เน็ต	ไอที	1 วัน	nmap, crt.sh, Shodan
2	เทียบกับ KEV และแจ้งเตือน ThaiCERT	ไอที	ครึ่งวัน แล้วทำทุกสัปดาห์	CISA KEV JSON
3	ล็อกยืนยันตัวตน 90 วัน	ไอที	1–2 วัน	M365/Workspace audit log, VPN log
4	OT/PLC 4 คำถาม	ไอที + วิศวกร OT	1 วันต่อไซต์	เครื่องมือของผู้ผลิต
5	DNS, SPF, DMARC, registrar	ไอที	1 ชั่วโมง	dig
6	อุปกรณ์ผู้บริหาร	ไอที + เจ้าตัว	30 นาทีต่อคน	account.apple.com, Lockdown Mode
7	ทางเข้าของผู้ขายและคนนอก	ไอที + จัดซื้อ	2–3 วัน	รายชื่อสัญญา, VPN user list
8	Backup นอกเครือข่าย + ซ้อมกู้	ไอที + เจ้าของระบบ	1 วันซ้อม	เช็กลิสต์ซ้อมกู้คืน
9	คีย์ AI และ agent	ไอที + ทุกทีมที่ใช้ AI	ครึ่งวัน	Admin console ของแต่ละบริการ
10	หน้าที่ตอนเกิดเหตุ	ผู้บริหาร	1 ประชุม	แผน IR (Incident Response) 1 หน้า

4. ป้องกันอย่างไร — ทำอะไรก่อน

คำแนะนำจาก สกมช. CISA และ Microsoft ปีนี้พูดตรงกัน ทั้งสามแหล่งวางน้ำหนักที่ตัวตนและทางเข้า ไม่ใช่ที่การซื้อเครื่องมือเพิ่ม เรียงตามลำดับความคุ้มค่าได้ 3 ชั้น

ชั้นที่ 1 ทำเดือนนี้ ไม่ต้องซื้ออะไร

• MFA ที่ทนฟิชชิง (passkey หรือกุญแจฮาร์ดแวร์) สำหรับผู้ดูแลระบบ VPN อีเมล และบัญชีคลาวด์ทุกบัญชี รายงานของ สกมช. ปี 2569 ระบุ MFA ร่วมกับ Zero Trust เป็นข้อแนะนำอันดับแรก พื้นฐานเรื่องนี้อยู่ใน 2FA คืออะไร
• เอาหน้าจอผู้ดูแลระบบและ PLC ออกจากอินเทอร์เน็ต ให้อยู่หลัง VPN หรือ jump host มีไฟร์วอลล์กำหนดว่าใครคุยกับ PLC ได้ และบล็อก IP ของผู้ให้บริการโฮสติ้งที่ไม่มีเหตุผลต้องเข้ามา
• แพตช์ระบบที่เปิดสู่อินเทอร์เน็ตภายในวัน สำหรับช่องโหว่ที่อยู่ใน KEV ระบบภายในรอรอบปกติได้
• สำรองข้อมูลแบบ 3-2-1 คือ 3 สำเนา 2 สื่อ 1 ชุดอยู่นอกเครือข่าย และซ้อมกู้
• ลดสิทธิ์ บัญชีผู้ดูแลแยกจากบัญชีใช้งานประจำวัน ไม่มีสิทธิ์ยืน (standing access) ที่ไม่ได้ใช้

ชั้นที่ 2 ทำในไตรมาสนี้

• แบ่งเครือข่าย IT กับ OT ให้ระบบสำนักงานล่มได้โดยสายการผลิตไม่หยุด
• EDR (Endpoint Detection and Response) บนเครื่องผู้ดูแลระบบและเครื่องที่เข้าถึง OT ก่อน แล้วค่อยขยาย
• เก็บล็อกอย่างน้อย 6–12 เดือน ให้ตรวจย้อนหลังได้ครอบคลุม 122 วันของเคสจารกรรม
• ควบคุมทางเข้าของผู้ขาย บัญชีมีวันหมดอายุ เปิดเฉพาะเวลาที่มีใบงาน
• ปิดบริการที่ไม่ใช้บน OT CISA ระบุ Telnet, FTP, RDP, VNC และเว็บเซอร์วิสบนอุปกรณ์ควบคุม

ชั้นที่ 3 ทำให้เป็นระบบ

• แผนรับมือเหตุ 1 หน้า และซ้อมบนโต๊ะ (tabletop) ปีละ 2 ครั้ง Microsoft เสนอให้รัฐบาลทุกระดับซ้อมสม่ำเสมอ และวางแผนโดยสมมติว่าเหตุจะลามไปถึงซัพพลายเออร์
• รู้จัก ThaiCERT ก่อนเกิดเหตุ โทร 02-114-3531 ตลอด 24 ชั่วโมง อีเมล thaicert@ncsa.or.th หรือ LINE @thaicert
• ทำตามมาตรฐานที่บังคับใช้แล้ว หน่วยงานรัฐและ CII มีมาตรฐาน Cloud Security และ Website Security ของ สกมช. ที่มีผลตั้งแต่ ก.ย. 2569 สรุปไว้ใน บทความมาตรฐาน สกมช.

5. Claude ช่วยอะไรได้บ้าง และช่วยอะไรไม่ได้

ต้องพูดเรื่องนี้ให้ตรง เพราะรายงานของ Anthropic เองระบุว่าผู้โจมตีใช้ Claude Haiku, Sonnet และ Opus ในปฏิบัติการจารกรรมที่ถูกตรวจพบ และระบุว่าไม่มีเคสใดในรายงานที่ใช้โมเดลระดับ Fable หรือ Mythos ยกเว้นกรณีลอกเลียนโมเดล (illicit distillation) หนึ่งเคส ความหมายสำหรับฝั่งป้องกันคือ สมมติไว้เลยว่าคู่ต่อสู้มีระบบอัตโนมัติ แล้วใช้เครื่องมือแบบเดียวกันให้ทีมของเราทำงานเร็วขึ้นในส่วนที่ขาดคน

งาน	Claude ช่วยได้อย่างไร	ข้อจำกัดที่ต้องรู้
อ่านล็อกและคัดกรองเหตุ	วางล็อก VPN หรือ audit log ให้สรุปว่ามีล็อกอินจากโฮสติ้งต่างประเทศ device code หรือ MFA ซ้ำผิดปกติไหม เขียน query สำหรับ SIEM (Security Information and Event Management) เทียบ IP กับรายการใน AA26-097A และแปล advisory ภาษาอังกฤษยาว 20 หน้าเป็นเช็กลิสต์ภาษาไทยให้ทีม OT ภายในนาที	ต้องตัดข้อมูลส่วนบุคคลและความลับออกก่อน ใช้แผน Team หรือ Enterprise ที่ไม่นำข้อมูลไปฝึกโมเดลโดยค่าเริ่มต้น ดูรายละเอียดใน Claude Data Governance
แผนรับมือเหตุและการซ้อม	ร่างแผน IR หนึ่งหน้าจากโครงสร้างองค์กรจริง สร้างสถานการณ์ซ้อมบนโต๊ะจากเหตุที่เกิดจริงปีนี้ เช่น ตู้แช่ถูกสั่งละลาย หรือแอปแจ้งเตือนส่งข้อความปลอม แล้วเล่นบทผู้ดำเนินการซ้อม	การตัดสินใจว่าใครมีอำนาจสั่งปิดระบบยังเป็นของผู้บริหาร Claude ช่วยให้คำถามครบ ไม่ได้ตอบแทน
ตรวจโค้ดและคอนฟิก	คำสั่ง /security-review ใน Claude Code ตรวจโค้ดก่อน merge อ่านคอนฟิก nginx ไฟร์วอลล์ หรือสคริปต์ของผู้ขายแล้วชี้จุดที่เปิดกว้างเกินจำเป็น	ตรวจได้เฉพาะสิ่งที่เห็น ไม่เห็นเครือข่ายจริงและไม่แทนการทดสอบเจาะระบบ
งานเอกสารตามกฎหมาย	เรียบเรียงไทม์ไลน์เหตุการณ์จากบันทึกกระจัดกระจาย ร่างรายงานเหตุตามแบบของ สกมช. และร่างหนังสือแจ้ง สคส. ภายใน 72 ชั่วโมง	ข้อเท็จจริงในรายงานต้องมาจากคนที่เห็นเหตุ Claude จัดรูปแบบและตรวจความครบถ้วนให้
อบรมคน	ทำสื่ออบรมเรื่องแจ้งเตือนของ Apple ของจริงกับของปลอม สร้างตัวอย่างอีเมลฟิชชิงสำหรับซ้อมภายในที่ผู้บริหารอนุมัติแล้ว และตอบคำถามพนักงานตลอดเวลา	ตามนโยบายการใช้งานของ Anthropic Claude ปฏิเสธการเขียนมัลแวร์หรือโค้ดเจาะระบบ แม้อ้างว่าเพื่อทดสอบ เว้นแต่ผู้ใช้ผ่านการตรวจสอบตัวตนในโครงการสำหรับผู้เชี่ยวชาญด้านความปลอดภัย
โปรแกรมจาก Anthropic โดยตรง	Cyber Mission (8 ต.ค. 2569 ต่อจาก Project Glasswing เดือน เม.ย.) มีโครงการป้องกันโครงสร้างพื้นฐานร่วมกับพาร์ตเนอร์ 11 ราย เช่น CrowdStrike, Dragos, Nozomi Networks, Palo Alto Networks และ Rockwell Automation และบริการ OSS Scanner ที่สแกนโค้ดโอเพนซอร์สให้ฟรีแบบสมัครเข้าร่วม ส่วน 3 พ.ย. 2569 เปิดเบต้าให้ EDR ของ CrowdStrike, SentinelOne, Palo Alto Networks, Tanium และอีก 3 ราย มองเห็นคำสั่งที่ Claude Cowork รันในเครื่องเสมือนของมัน สำหรับแผน Team และ Enterprise	โครงการโครงสร้างพื้นฐานเริ่มกับกลุ่มเล็กในสหรัฐฯ ก่อน องค์กรไทยเข้าถึงได้ผ่าน OSS Scanner (ถ้าเป็นผู้ดูแลโปรเจกต์โอเพนซอร์ส) และ Cyber Verification Program ที่ต้องสมัครและรอตรวจสอบ

สิ่งที่ Claude ทำแทนไม่ได้ มี 4 อย่างที่ควรเขียนติดผนัง หนึ่ง ไม่แทน EDR, SIEM หรือไฟร์วอลล์ เพราะมันไม่เห็นเครือข่ายของคุณ สอง ไม่ควรรับล็อกดิบที่มีข้อมูลส่วนบุคคลหรือข้อมูล CII ผ่านบัญชีส่วนตัวของพนักงาน สาม ไม่ระบุตัวผู้โจมตีให้ การระบุตัวเป็นงานของหน่วยงานรัฐและบริษัทข่าวกรองที่มีข้อมูลมากกว่า สี่ ไม่เขียนเครื่องมือโจมตีให้ แม้จะเป็นทีม red team ก็ต้องผ่านการตรวจสอบตัวตนของ Anthropic ก่อน

สรุป

สงครามไซเบอร์ปี 2569 ไม่ได้หยุดที่พรมแดนของประเทศที่รบกัน มันเดินทางมาตามยี่ห้อ PLC ที่ใช้ร่วมกัน ตามผู้ขายที่ดูแลระบบจากระยะไกล และตามข้อมูลที่รัฐอื่นอยากได้ คำถามว่าองค์กรไทยเป็นเป้าหรือไม่ ตอบได้จากสามชั้น คือ เราเป็นอะไร ใครเตือนเรา และล็อกบอกอะไร

• รู้ว่าเป็นเป้าแบบไหน หน่วยงานรัฐ CII 7 ด้าน ผู้ให้บริการของหน่วยงานเหล่านั้น องค์กรที่มี OT ต่ออินเทอร์เน็ต และสถาบันวิจัย อยู่ในระดับสูงโดยตำแหน่ง
• ตรวจ 10 ข้อ ครึ่งแรกทีมไอทีทำได้ในสัปดาห์เดียวด้วยเครื่องมือฟรี ครึ่งหลังต้องมีผู้บริหารนั่งด้วย
• ป้องกันจากตัวตนและทางเข้า MFA ที่ทนฟิชชิง ถอดหน้าจอผู้ดูแลระบบและ PLC ออกจากอินเทอร์เน็ต แพตช์ KEV ภายในวัน backup นอกเครือข่าย ก่อนซื้อเครื่องมือใหม่
• ใช้ Claude ในส่วนที่ขาดคน อ่านล็อก แปล advisory ร่างแผน ซ้อมบนโต๊ะ ตรวจโค้ด และทำเอกสารตามกฎหมาย โดยให้คนเป็นผู้ตัดสินใจและถือข้อมูลดิบ

ถ้ามีเวลาแค่วันเดียว ทำข้อ 1 ข้อ 3 และข้อ 10 ก่อน รู้ว่ามีอะไรเปิดอยู่ รู้ว่ามีใครเข้ามาแล้วหรือยัง และรู้ว่าใครต้องโทรหาใคร

ไม่มีอาการไม่ได้แปลว่าไม่โดน เคสจารกรรมอยู่ในระบบเฉลี่ย 122 วัน คำถามแรกของผู้บริหารจึงไม่ใช่ "เราปลอดภัยไหม" แต่เป็น "ล็อกของเราย้อนหลังได้กี่วัน"

- ทีมงาน Grand Linux สรุปจากรายงาน M-Trends 2026 และ Microsoft Digital Defense Report 2026

แหล่งอ้างอิง

ข้อเท็จจริงทั้งหมดตรวจ ณ 3 พ.ย. 2569 จากประกาศของหน่วยงานรัฐ (CISA, สกมช., ThaiCERT, รัฐบาลไทย) รายงานประจำปีของบริษัทความปลอดภัย (Microsoft, Mandiant, ESET, Anthropic) เอกสารทางการของ Apple และข่าวจากสำนักที่ยืนยันกับผู้เกี่ยวข้องโดยตรง เหตุการณ์หลายเรื่องยังไม่มีการระบุตัวผู้ก่อเหตุอย่างเป็นทางการ เช่น ตู้แช่ในยุโรปและแอปเตือนภัยของยูเครนและรัสเซีย บทความจึงระบุว่า "ยังไม่มีการระบุตัว" ตามแหล่งข่าว ไม่ได้อนุมานเอง กรณีแจ้งเตือนของ Apple ในไทย กระทรวงดีอียังอยู่ระหว่างตรวจสอบว่าเป็นข้อความของ Apple จริง บทความจึงไม่ระบุชื่อบุคคลผู้ได้รับแจ้งเตือน และไม่ระบุว่าเป็นสปายแวร์ยี่ห้อใด แม้พาดหัวข่าวบางสำนักจะเอ่ยชื่อ ส่วนคู่มือแจ้งรายงานเหตุ พ.ศ. 2569 ของ สกมช. อ้างจากหน้าที่หน่วยงานท้องถิ่นเผยแพร่ซ้ำ ผู้อ่านควรขอฉบับทางการจาก สกมช. โดยตรง

• ABC News — In an unstable world super-charged by AI, hacking is the new war front (1 พ.ย. 2569)
• CISA / FBI / NSA / EPA / DOE — AA26-097A: Iranian-Affiliated Cyber Actors Exploit Programmable Logic Controllers Across US Critical Infrastructure (7 เม.ย. อัปเดต 22 ก.ค. 2569)
• Wikipedia — Cyberwarfare during the 2026 Iran war (ใช้เฉพาะไทม์ไลน์ภาพรวม) (ตรวจ 3 พ.ย. 2569)
• CNBC — Fake nuclear warnings in Ukraine as Moscow, Kyiv report separate cyberattacks on emergency apps (2 พ.ย. 2569)
• Euronews — Ukraine and Russia say air raid alert apps hit by cyberattacks after truce ends (2 พ.ย. 2569)
• CNBC — New cyberattack on supermarket fridges sweeps across Europe (2 พ.ย. 2569)
• ESET Research — APT Activity Report Q2–Q3 2026: Iran-aligned groups' targeting expands; Belarus-aligned APT activity converges with Russia's war priorities (28 ต.ค. 2569)
• 9to5Mac — Apple recently notified users in 99 countries of potential mercenary spyware attacks (2 พ.ย. 2569)
• Apple Support — About Apple threat notifications and protecting against mercenary spyware (อัปเดต 13 ส.ค. 2569)
• PPTV HD36 — จับตา "เพกาซัส" 2 หัวหน้าพรรคฝ่ายค้านถูกเตือนโจมตีไซเบอร์ จ่อถก สมช. (3 พ.ย. 2569)
• สยามรัฐ — "เลขาฯ สมช." ยันมีแผนรับมือโจมตีไซเบอร์ จ่อเรียกหน่วยงานซักซ้อมพรุ่งนี้ (3 พ.ย. 2569)
• รัฐบาลไทย — "ภราดร" สั่ง สกมช. รับมือช่องโหว่ PHP2Shell: ThaiCERT ดำเนินมาตรการ 4 ด้าน (22 ต.ค. 2569)
• Brickinfo TV — สกมช. เผยรายงานการประเมินความเสี่ยงจากภัยคุกคามทางไซเบอร์ของประเทศไทย พ.ศ. 2569 (235 ผู้ตอบ 134 หน่วยงาน) (4 ต.ค. 2569)
• ไทยรัฐ — ผลประเมินความปลอดภัยทางไซเบอร์ ชี้หน่วยงานรัฐเสี่ยง คะแนนเฉลี่ยลดเหลือ 59% (30 ก.ย. 2568)
• ThaiCERT (สกมช.) — ช่องทางแจ้งเหตุภัยคุกคามไซเบอร์ 24 ชั่วโมง (ตรวจ 3 พ.ย. 2569)
• สกมช. (ฉบับที่ อบจ.เชียงราย เผยแพร่ซ้ำ) — คู่มือประกอบแนวทางการแจ้งรายงานเหตุภัยคุกคามทางไซเบอร์ พ.ศ. 2569 สำหรับหน่วยงาน CII และหน่วยงานของรัฐ (2569)
• The Record — Pro-Cambodian hacktivists launch attacks on Thai government sites amid border dispute (ข้อมูล Radware) (มิ.ย. 2568)
• Microsoft On the Issues — Preparing governments for an era of interconnected cyber risk (Digital Defense Report 2026) (1 ต.ค. 2569)
• Microsoft — Digital Defense Report 2026 (ต.ค. 2569)
• Google Cloud / Mandiant — M-Trends 2026 Executive Edition (มี.ค. 2569)
• Anthropic — Detecting and countering misuse of AI: September 2026 (10 ก.ย. 2569)
• CyberScoop — Anthropic launches cybersecurity program for critical infrastructure and open source (Cyber Mission, OSS Scanner) (8 ต.ค. 2569)
• Cyber Security News — Anthropic enables EDR monitoring for Claude Cowork (beta) (3 พ.ย. 2569)
• Anthropic Help Center — Automated security reviews in Claude Code (ตรวจ 3 พ.ย. 2569)
• CISA — Known Exploited Vulnerabilities Catalog (ตรวจ 3 พ.ย. 2569)