ในรอบสัปดาห์ระหว่างวันที่ 14–20 กันยายน 2569 ภาคการศึกษาและสถาบันวิจัยเผชิญแรงกดดันด้านความมั่นคงปลอดภัยไซเบอร์จากสองทิศทางหลัก ประการแรกคือปฏิบัติการจารกรรมข้อมูลข่าวกรองทางไซเบอร์โดยกลุ่มภัยคุกคามระดับรัฐ (Advanced Persistent Threat) เช่น กลุ่ม SideCopy และกลุ่ม Handala ที่มุ่งเป้าโจมตีอาจารย์ นักวิชาการ และศูนย์วิจัยขั้นสูงโดยตรง เพื่อขโมยทรัพย์สินทางปัญญาและข้อมูลความสัมพันธ์ระหว่างประเทศผ่านการใช้มัลแวร์สอดแนมเฉพาะทาง ประการที่สองคือการโจมตีทางอ้อมผ่านห่วงโซ่อุปทานซอฟต์แวร์ (Software Supply Chain) และโครงสร้างพื้นฐานวิจัยยุคใหม่ โดยตรวจพบมัลแวร์ซุกซ่อนในแพ็กเกจ npm ด้านคณิตศาสตร์ที่นักศึกษาและนักวิจัยใช้งานอย่างแพร่หลาย ตลอดจนการตรวจพบกิจกรรมผิดปกติจากระบบ AI Agent บนแพลตฟอร์มแบ่งปันโมเดล Hugging Face สถานการณ์เหล่านี้ชี้ชัดว่าภาคการศึกษาไม่ใช่เป้าหมายรองอีกต่อไป แต่เป็นเป้าหมายยุทธศาสตร์ในการเข้าถึงงานวิจัยต้นน้ำและโครงสร้างพื้นฐานคลาวด์
Trellix ตรวจพบแคมเปญจารกรรมข้อมูลไซเบอร์โดยกลุ่ม SideCopy APT มุ่งเป้าโจมตีสถาบันการศึกษาระดับอุดมศึกษาและศูนย์วิจัยด้านความมั่นคง โดยใช้เทคนิคสเปียร์ฟิชชิงแนบไฟล์ ZIP ล่อลวงเป็นเอกสารด้านการศึกษาเพื่อส่งมัลแวร์ LNK และ HTA สคริปต์ จากนั้นทำการโหลดมัลแวร์ ReverseRAT เข้าสู่หน่วยความจำเพื่อควบคุมเครื่องเหยื่อ ดักจับภาพหน้าจอ และขโมยรหัสผ่าน
ยังไม่พบหลักฐานการโจมตีหน่วยงานการศึกษาในไทยโดยตรง แต่มีความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อมหาวิทยาลัยและสถาบันวิจัยเทคโนโลยีของไทยที่มีโครงการวิจัยร่วมระดับนานาชาติ เนื่องจากผู้โจมตีใช้เทคนิคการล่อลวงด้วยเอกสารทางการศึกษาและโครงสร้างพื้นฐานโดเมนการศึกษาปลอมแปลง
ยุทธศาสตร์: กลุ่มภัยคุกคามระดับรัฐยังคงมุ่งเป้าโจมตีภาคการศึกษาและสถาบันวิจัยขั้นสูงเพื่อเข้าถึงทรัพย์สินทางปัญญา ข้อมูลเทคโนโลยีสองทาง (Dual-use Technology) และงานวิจัยยุทธศาสตร์
ยุทธการ: ผู้โจมตีพัฒนาห่วงโซ่การส่งมัลแวร์แบบหลายขั้นตอนโดยใช้ไฟล์ LNK ควบคู่ MSHTA และสคริปต์ Batch เพื่อหลบเลี่ยงการตรวจจับของระบบความปลอดภัยเครือข่าย
ยุทธวิธี: ปิดกั้นหรือเฝ้าระวังกระบวนการ mshta.exe ตรวจสอบการเรียกใช้สคริปต์จากโฟลเดอร์ชั่วคราว และเฝ้าระวังการสร้างค่า Registry Run Keys ผิดปกติ
สถาบันอุดมศึกษา มหาวิทยาลัยวิจัย และหน่วยงานวิจัยเทคโนโลยีและการทหาร
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
Group-IB ตรวจพบปฏิบัติการสอดแนมไซเบอร์โดยกลุ่ม Handala ซึ่งมีเป้าหมายเป็นนักวิจัยด้านการเมืองระหว่างประเทศและนักวิชาการ โดยใช้การล่อลวงผ่านแอปพลิเคชันส่งข้อความเพื่อส่งแบ็กดอร์ HEAVYGRAM และโหลดเดอร์ CRUDEEXCLUDE ที่สั่งการผ่าน Telegram Bot API เพื่อดักบันทึกเสียงผ่านไมโครโฟน บันทึกภาพหน้าจอ และขโมยเอกสารงานวิจัย
ไม่พบเป้าหมายโดยตรงในประเทศไทย แต่เป็นกรณีศึกษาเชิงยุทธศาสตร์สำหรับนักวิชาการและศูนย์วิจัยด้านความสัมพันธ์ระหว่างประเทศในไทยที่อาจตกเป็นเป้าหมายฟิชชิงผ่านช่องทางแอปส่งข้อความและการประชุมวิชาการนานาชาติ
ยุทธศาสตร์: การใช้แอปพลิเคชันสื่อสารส่วนบุคคลในการปฏิบัติการจารกรรมข้อมูลข่าวกรองต่อนักวิชาการกลายเป็นช่องทางหลักที่ขยายตัวอย่างมีนัยสำคัญ
ยุทธการ: การใช้ Telegram Bot API เป็นช่องทาง C2 สองทิศทางช่วยให้ทราฟฟิกของมัลแวร์ดูกลมกลืนกับเครือข่ายปกติและผ่านระบบไฟร์วอลล์ได้ง่าย
ยุทธวิธี: องค์กรการศึกษาควรเฝ้าระวังการใช้งาน Telegram API บนคอมพิวเตอร์ที่เก็บงานวิจัยสำคัญ และตรวจสอบปริมาณการส่งข้อมูลขาออกผิดปกติ
สถาบันการศึกษา มหาวิทยาลัย นักวิชาการด้านความสัมพันธ์ระหว่างประเทศ และสื่อสารมวลชน
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
SafeDep ตรวจพบภัยคุกคามในห่วงโซ่อุปทานซอฟต์แวร์บน npm registry โดยพบแพ็กเกจด้านคณิตศาสตร์ ได้แก่ mathmain, mathsbase และ math-universe ถูกฝังโค้ดอันตรายในลักษณะ Encrypted Loader ภายในไฟล์ไลบรารียูทิลิตี โค้ดดังกล่าวจะทำการถอดรหัสเพย์โหลดในหน่วยความจำขณะแอปพลิเคชันทำงานเพื่อลักลอบดาวน์โหลดคำสั่งควบคุมระยะไกล ส่งผลกระทบต่อนักศึกษา นักวิจัยด้านวิทยาศาสตร์ข้อมูล และนักพัฒนาซอฟต์แวร์
มีความเสี่ยงระดับปานกลางต่อคณะวิทยาศาสตร์ วิศวกรรมศาสตร์ และศูนย์วิจัยในมหาวิทยาลัยไทยที่ใช้ไลบรารี Node.js ในการประมวลผลข้อมูลทางคณิตศาสตร์หรือการเรียนการสอน หากไม่มีการตรวจสอบ Software Bill of Materials (SBOM) ก่อนติดตั้งแพ็กเกจ
ยุทธศาสตร์: การแทรกแซง Open-Source Packages สำหรับงานคำนวณและคณิตศาสตร์เป็นเป้าหมายใหม่ในการแทรกซึมเข้าสู่สภาพแวดล้อมการวิจัยและระบบการศึกษา
ยุทธการ: ผู้โจมตีใช้เทคนิคการเข้ารหัสเพย์โหลด (Payload Encryption) และการโหลดโค้ดแบบไดนามิกเพื่อหลบเลี่ยงระบบ Static Code Analysis บนคลาวด์และ CI/CD
ยุทธวิธี: กำหนดให้นักวิจัยและนักพัฒนาใช้เครื่องมือ Package Audit และล็อกเวอร์ชัน Dependencies พร้อมปิดกั้นการรันสคริปต์ติดตั้งอัตโนมัติ (npm install --ignore-scripts)
สถาบันการศึกษา คณะวิทยาศาสตร์และวิศวกรรมศาสตร์ นักพัฒนาซอฟต์แวร์และวิทยาศาสตร์ข้อมูล
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
SentinelLabs รายงานการตรวจพบกิจกรรมผิดปกติจากระบบเอเจนต์ OpenAI ที่ถูกใช้ในทางมิชอบ โดยผู้ไม่หวังดีสร้างบัญชีอัตโนมัติบน Hugging Face เพื่อตั้งค่า Relay Proxies, ดำเนินการทดสอบ Server-Side Request Forgery (SSRF) ผ่านไฟล์เวิร์กบุ๊ก Excel (formbin.xlsx) และลักลอบดึงโทเค็นสิทธิ์การเข้าถึงโมเดลปัญญาประดิษฐ์ ซึ่งส่งผลกระทบต่อห้องปฏิบัติการวิจัย AI ในสถาบันอุดมศึกษา
มีความเสี่ยงโดยตรงต่อนักวิจัยปัญญาประดิษฐ์และห้องปฏิบัติการวิจัยของมหาวิทยาลัยในไทยที่เผยแพร่หรือใช้งานโมเดล AI บน Hugging Face Space โดยอาจถูกใช้เป็นช่องทาง Relay สำหรับการโจมตีหรือถูกขโมย Access Token
ยุทธศาสตร์: แพลตฟอร์มโอเพนซอร์สด้าน AI กลายเป็นเป้าหมายสำคัญในการแทรกซึมและขโมยทรัพยากรการประมวลผลรวมถึงโมเดลวิจัยขั้นสูงของสถาบันการศึกษา
ยุทธการ: การใช้ AI Agent ในการสร้างบัญชีและทดสอบช่องโหว่ SSRF แบบอัตโนมัติช่วยเพิ่มความเร็วและขอบเขตในการเจาะระบบโครงสร้างพื้นฐานคลาวด์
ยุทธวิธี: ผู้ดูแลระบบควรจำกัดขอบเขตสิทธิ์ของ API Tokens ตรวจสอบการอนุญาต Outbound Webhook และระงับการประมวลผลไฟล์สเปรดชีตที่ไม่น่าเชื่อถือในสภาพแวดล้อมวิจัย
สถาบันการศึกษา ห้องปฏิบัติการวิจัยปัญญาประดิษฐ์ มหาวิทยาลัย และผู้พัฒนาโมเดล AI/ML
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง