CGI-CTI-WEEKLY-20260928-RET  ·  VER 1.0  ·  TLP:CLEAR

รายงานการเฝ้าระวังความมั่นคงปลอดภัยไซเบอร์ภาคการค้าปลีกและอีคอมเมิร์ซ ประจำสัปดาห์

Retail & E-Commerce Sector Weekly Report

ห้วงเวลา: 21-27 กันยายน 2569

TLP:CLEAR
HIGH RISK (ความเสี่ยงระดับสูง) ตรวจพบการโจมตีห่วงโซ่อุปทาน CDN ของระบบอีคอมเมิร์ซ การแพร่กระจายสคริปต์หลอกลวงค่าจัดส่งสินค้า และการฝังมัลแวร์ในแพ็กเกจจัดการระบบหลังบ้านร้านค้าออนไลน์

ภาพรวมประจำสัปดาห์

ในรอบสัปดาห์ระหว่างวันที่ 21-27 กันยายน 2569 ภาคการค้าปลีกและอีคอมเมิร์ซเผชิญภัยคุกคามไซเบอร์ที่มุ่งเป้าโครงสร้างพื้นฐานดิจิทัลและกระบวนการซื้อขายออนไลน์อย่างเข้มข้น ประเด็นสำคัญอันดับแรกคือการโจมตีห่วงโซ่อุปทานบนโครงข่าย Brevo CDN ผ่านการขโมย API Key เพื่อฝังสคริปต์หลอกลวงแบบ ClickFix ไปยังเว็บไซต์ธุรกิจและร้านค้าออนไลน์นับพันแห่ง ขณะเดียวกันกลุ่มผู้ไม่หวังดีได้ขยายปฏิบัติการหลอกลวงผู้บริโภคผ่านเครือข่ายโดเมนส่วนลดค่าจัดส่งสินค้า เช่น ShipmentsFree ที่ดักจับเหยื่อบนหน้ายืนยันคำสั่งซื้อเพื่อเรียกเก็บเงินรายเดือนอัตโนมัติ นอกจากนี้ยังพบการใช้โฆษณา Google Ads หลอกล่อผู้ซื้อสินค้าไปยังร้านค้าอีคอมเมิร์ซปลอมเพื่อเปิดหน้าต่างล็อกเบราว์เซอร์กรรโชกทรัพย์ รวมถึงการปล่อยมัลแวร์ PolinRider แทรกซึมในแพ็กเกจ Laravel Nova ซึ่งเป็นระบบบริหารหลังบ้านร้านค้าออนไลน์โดยอาศัยบล็อกเชน Ethereum ในการควบคุมคำสั่ง

เหตุการณ์เด่นประจำสัปดาห์

การโจมตีห่วงโซ่อุปทาน Brevo CDN ผ่านการขโมย Cloudflare API Key เพื่อฝังมัลแวร์ ClickFix

เผยแพร่: 22 กันยายน 2569 · แหล่งที่มา: Wiz Research Admiralty B2

ทีมนักวิจัยความมั่นคงปลอดภัยจาก Wiz เปิดเผยว่าผู้ไม่หวังดีได้ขโมย Cloudflare API Key ของแพลตฟอร์มการตลาดดิจิทัลและอีเมลสำหรับอีคอมเมิร์ซ Brevo (ชื่อเดิม Sendinblue) โดยนำไปสร้างโดเมนย่อย CDN ปลอมแปลงบนโครงสร้างพื้นฐานเดิม เพื่อลักลอบฝังสคริปต์หลอกลวงประเภท ClickFix หวังส่งมัลแวร์ขโมยข้อมูลไปยังผู้เยี่ยมชมเว็บไซต์และร้านค้าออนไลน์ที่เรียกใช้งานไฟล์สคริปต์จาก Brevo

ผลกระทบต่อประเทศไทย

มีความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อผู้ประกอบการค้าปลีกและอีคอมเมิร์ซในประเทศไทย เนื่องจาก Brevo เป็นผู้ให้บริการระบบส่งอีเมลยืนยันคำสั่งซื้อ (Transactional Email) และแคมเปญการตลาดยอดนิยม หากเว็บไซต์ในไทยเรียกใช้สคริปต์จาก CDN ดังกล่าว อาจทำให้ผู้บริโภคชาวไทยที่เข้ามาสั่งซื้อสินค้าตกเป็นเป้าหมายของการติดตั้งมัลแวร์ขโมยรหัสผ่านได้

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: ผู้โจมตีมุ่งเน้นการเจาะระบบผู้ให้บริการคลาวด์และเครื่องมือทางการตลาดเพื่อเปลี่ยนเป็นฐานแพร่กระจายมัลแวร์สู่ผู้บริโภคและธุรกิจปลายน้ำในระดับวงกว้าง

ยุทธการ: การเข้าควบคุมสิทธิ์ระดับ API ช่วยให้ผู้ไม่หวังดีสามารถปรับแต่ง DNS Record และคอนฟิก CDN บนโดเมนที่มีความน่าเชื่อถือสูงได้โดยไม่ถูกแจ้งเตือนจากระบบความปลอดภัยดั้งเดิม

ยุทธวิธี: ผู้ดูแลระบบอีคอมเมิร์ซต้องตรวจสอบการตั้งค่า Content Security Policy (CSP) และ Subresource Integrity (SRI) เพื่อป้องกันการประมวลผลสคริปต์ภายนอกที่ถูกดัดแปลง

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

แพลตฟอร์มการตลาดดิจิทัล, ร้านค้าอีคอมเมิร์ซ, ธุรกิจค้าปลีกออนไลน์ และระบบส่งอีเมลยืนยันคำสั่งซื้อ

MITRE ATT&CK
T1195.002 Compromise Software Supply Chain T1583.001 Acquire Infrastructure: Domains T1586.002 Compromise Accounts: Cloud Accounts T1204.004 Malicious Copy and Paste T1059.007 JavaScript T1071.001 Web Protocols
IOC ที่สำคัญ
glegchner[.]com hxxps://glegchner[.]com/ads[.]php cdn10.sendibt1[.]com yelahaye[.]surf boiseno[.]club

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Wiz Research →

ขบวนการโดเมนส่วนลดค่าจัดส่งหลอกลวง ShipmentsFree ดูดเงินผู้บริโภคผ่านค่าธรรมเนียมรายเดือนอัตโนมัติ

เผยแพร่: 25 กันยายน 2569 · แหล่งที่มา: Malwarebytes Threat Intelligence Admiralty A1

รายงานการสืบสวนจาก Malwarebytes และ KrebsOnSecurity เปิดเผยพฤติกรรมเครือข่ายโดเมนข้อเสนอคืนเงินค่าจัดส่งสินค้า เช่น ShipmentsFree ที่เชื่อมต่อเข้ากับหน้ายืนยันการสั่งซื้อของร้านค้าออนไลน์ โดยแสดงหน้าต่างโฆษณาลวงว่ามอบเงินคืนค่าจัดส่งทันที แต่แท้จริงเป็นการล่อลวงให้ผู้ซื้อกรอกข้อมูลบัตรเครดิตเพื่อสมัครสมาชิกระบบหักเงินรายเดือนอัตโนมัติอย่างต่อเนื่อง

ผลกระทบต่อประเทศไทย

มีความเสี่ยงทางอ้อมต่อผู้บริโภคชาวไทยที่นิยมสั่งซื้อสินค้าออนไลน์จากต่างประเทศผ่านร้านค้าข้ามพรมแดน (Cross-Border E-Commerce) และสร้างความเสี่ยงด้านชื่อเสียงต่อผู้ประกอบการค้าปลีกไทยหากมีการนำเครือข่ายโฆษณาบุคคลที่สามที่ไม่ผ่านการคัดกรองมาติดตั้งบนหน้าระบบชำระเงิน

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: กลุ่มมิจฉาชีพทางธุรกิจแปลงรูปแบบการฉ้อโกงให้ดูถูกกฎหมายในเชิงข้อกำหนดการใช้งานเพื่อหลบเลี่ยงการดำเนินคดีอาญาและดักเก็บค่าธรรมเนียมจากผู้บริโภคในระยะยาว

ยุทธการ: ผู้ดำเนินการใช้โดเมนหลากหลายชื่อในการกระจายทราฟฟิกและร่วมมือกับเครือข่าย Affiliate Marketing เพื่อแทรกซึมเข้าสู่ขั้นตอนสุดท้ายของกระบวนการชำระเงิน

ยุทธวิธี: ร้านค้าออนไลน์ต้องตัดการเชื่อมต่อกับสคริปต์โฆษณาของบุคคลที่สามบนหน้าสั่งซื้อสำเร็จ พร้อมทั้งแจ้งเตือนลูกค้าให้ระมัดระวังข้อเสนอเงินคืนที่ต้องผูกบัตรเครดิตซ้ำซ้อน

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ผู้บริโภคและนักช้อปออนไลน์, ระบบชำระเงินอีคอมเมิร์ซ (Payment Funnel), แพลตฟอร์มค้าปลีกข้ามพรมแดน

MITRE ATT&CK
T1583.001 Acquire Infrastructure: Domains T1204.001 Malicious Link T1657 Financial Theft T1036 Masquerading T1071.001 Web Protocols
IOC ที่สำคัญ
shipmentsfree[.]com freeshipments[.]com free-shipments[.]com myshipmentsfree[.]com shipmentfree[.]com

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Malwarebytes Threat Intelligence →

ชุดเครื่องมือหลอกลวง Tech-Support ลวงผู้ซื้อสินค้าออนไลน์ผ่านโฆษณา Google Ads และร้านค้าอีคอมเมิร์ซปลอม

เผยแพร่: 24 กันยายน 2569 · แหล่งที่มา: Netskope Threat Labs Admiralty B2

ทีมนักวิจัยจาก Netskope Threat Labs รายงานการตรวจพบแคมเปญ Malvertising บนระบบโฆษณา Google Ads ที่ดักจับผู้ค้นหาสินค้าแฟชั่นและของใช้ในบ้าน โดยนำทางไปยังหน้าร้านค้าออนไลน์ลวง เช่น megaformarts[.]shop และร้านค้าจำลองบน Heroku ก่อนเปลี่ยนเส้นทางไปยังหน้า Browser Locker ปลอมแปลงเป็นหน้าต่างเตือนภัยของระบบปฏิบัติการเพื่อหลอกลวงเงินค่าบริการช่วยเหลือทางเทคนิค

ผลกระทบต่อประเทศไทย

มีความเสี่ยงทางอ้อมต่อผู้บริโภคและพนักงานในองค์กรไทยที่ใช้งานเครื่องคอมพิวเตอร์ค้นหาสินค้าออนไลน์ หากหลงเชื่อคำเตือนปลอมและโทรศัพท์ติดต่อผู้ไม่หวังดี อาจนำไปสู่การติดตั้งซอฟต์แวร์รีโมตคอนโทรลเพื่อโจรกรรมข้อมูลทางการเงินหรือกรรโชกทรัพย์

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: เครือข่ายอาชญากรรมทางไซเบอร์ผสานการโฆษณาค้นหาเข้ากับร้านค้าอีคอมเมิร์ซลวงเพื่อหลบเลี่ยงระบบคัดกรองอัตโนมัติของแพลตฟอร์มโฆษณาขนาดใหญ่

ยุทธการ: มีการใช้โดเมน `.shop` และ `.online` พร้อมสคริปต์ JavaScript ในการตรวจสอบพฤติกรรมผู้ใช้เพื่อคัดแยกผู้บริโภคจริงออกจากบอตและทีมวิเคราะห์ความปลอดภัย

ยุทธวิธี: ฝ่ายไอทีควรบล็อกรายชื่อโดเมน C2 และติดตั้งระบบกรองเนื้อหาบนเว็บ รวมถึงรณรงค์ให้ผู้ใช้งานปิดแท็บหน้าต่างที่ถูกล็อกผ่าน Task Manager แทนการโทรติดต่อเบอร์แปลกปลอม

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ผู้บริโภคออนไลน์, ธุรกิจค้าปลีกสินค้าอุปโภคบริโภค, เครือข่ายโฆษณาดิจิทัล และเครื่องลูกข่ายขององค์กร

MITRE ATT&CK
T1583.008 Malvertising T1189 Drive-by Compromise T1204.001 Malicious Link T1059.007 JavaScript T1497.002 User Activity Based Checks T1140 Deobfuscate/Decode Files or Information T1036 Masquerading T1071.001 Web Protocols
IOC ที่สำคัญ
app.megaformarts[.]shop megaformarts[.]shop app.bagsalesummer[.]shop dev.shopease[.]online 100dc525ef42380ba02d26406f7f21eab6d830c3719deeaaf9c609698fc1b074

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Netskope Threat Labs →

ผู้โจมตีปล่อยมัลแวร์ PolinRider ฝังในแพ็กเกจ Laravel Nova สำหรับระบบหลังบ้านอีคอมเมิร์ซโดยใช้ Ethereum เป็น C2

เผยแพร่: 22 กันยายน 2569 · แหล่งที่มา: SlowMist Research Admiralty B2

ทีมนักวิจัยความมั่นคงปลอดภัยจาก SlowMist ตรวจพบการแทรกซึมมัลแวร์ขโมยข้อมูล PolinRider ลงในแพ็กเกจโอเพนซอร์ส visanduma/nova-two-factor สำหรับระบบ Laravel Nova ซึ่งเป็นแดชบอร์ดบริหารจัดการหลังบ้านที่นิยมใช้ในเว็บไซต์ค้าปลีกและอีคอมเมิร์ซ โดยมัลแวร์จะดึง IP ของเซิร์ฟเวอร์ C2 จากธุรกรรมบนบล็อกเชน Ethereum เพื่อขโมยข้อมูลรหัสผ่าน คุกกี้เซสชัน และโทเคนยืนยันตัวตน

ผลกระทบต่อประเทศไทย

มีความเสี่ยงทางอ้อมต่อทีมนักพัฒนาเว็บและผู้ดูแลระบบร้านค้าออนไลน์ในไทยที่ใช้งาน Laravel Framework ในการพัฒนาระบบหลังบ้านร้านค้า หากมีการติดตั้งหรืออัปเดตแพ็กเกจดังกล่าว อาจทำให้สิทธิ์การเข้าถึงฐานข้อมูลสินค้า ข้อมูลคำสั่งซื้อ และรหัสผ่านของผู้ดูแลระบบถูกขโมยออกไปได้

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: ภัยคุกคามห่วงโซ่อุปทานซอฟต์แวร์ยกระดับการพรางโครงสร้างพื้นฐาน C2 ผ่านเทคโนโลยีบล็อกเชน ทำให้การสั่งระงับหรือบล็อกเซิร์ฟเวอร์ควบคุมไม่สามารถทำได้จากศูนย์กลาง

ยุทธการ: ผู้โจมตีซ่อนโค้ดอันตรายในไฟล์คอนฟิกูเรชันของไลบรารี Frontend และใช้ Smart Contract Transaction Data เป็น Dead Drop Resolver ในการกระจายชุดคำสั่งขั้นต่อไป

ยุทธวิธี: ผู้พัฒนาแพลตฟอร์มอีคอมเมิร์ซต้องตรวจสอบโค้ดภายนอกก่อนรวมเข้าสู่ Production (Code Review) และใช้งานเครื่องมือ Software Composition Analysis (SCA) เพื่อตรวจจับโค้ดผิดปกติใน Dependency

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

นักพัฒนาซอฟต์แวร์อีคอมเมิร์ซ, เว็บไซต์ร้านค้าออนไลน์ที่พัฒนาด้วย Laravel PHP, ระบบจัดการหลังบ้าน (Admin Dashboard) และระบบยืนยันตัวตน 2FA

MITRE ATT&CK
T1195.001 Compromise Software Dependencies T1059.007 JavaScript T1059.006 Python T1102.001 Dead Drop Resolver T1555.003 Credentials from Web Browsers T1539 Steal Web Session Cookie T1552.001 Credentials In Files T1071.001 Web Protocols
IOC ที่สำคัญ
166.88.134[.]75 166.88.134[.]62 23.27.13[.]135 166.88.73[.]46 515a53291d25d229e1f9fa72e66407e1cfd7e77c91478400b24d5185af68531a

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: SlowMist Research →

ข้อสังเกตประจำสัปดาห์

ข้อเสนอแนะ

สรุป: ภัยคุกคามต่อภาคการค้าปลีกและอีคอมเมิร์ซในรอบสัปดาห์เน้นการโจมตีห่วงโซ่อุปทาน CDN การใช้เทคนิคหลอกลวงส่วนลดค่าจัดส่งเพื่อดูดเงินผู้บริโภค และการฝังมัลแวร์ในแพ็กเกจระบบหลังบ้านร้านค้าออนไลน์ องค์กรควรรัดกุมการจัดการ API Key ตรวจสอบไลบรารีโอเพนซอร์ส และควบคุมสคริปต์ภายนอกบนหน้าชำระเงินอย่างเคร่งครัด

TLP:CLEAR

ห้วงเวลาข้อมูล: 21-27 กันยายน 2569  ·  CYBER GUARD INTELLIGENCE CO., LTD. (บริษัท ไซเบอร์ การ์ด อินเทลลิเจนซ์ จำกัด)