Retail & E-Commerce Sector Weekly Report
ห้วงเวลา: 12-18 ตุลาคม 2569
TLP:CLEARในรอบสัปดาห์ระหว่างวันที่ 12-18 ตุลาคม 2569 สถานการณ์ภัยคุกคามความมั่นคงปลอดภัยไซเบอร์สำหรับภาคการค้าปลีกและอีคอมเมิร์ซ (Retail & E-Commerce) อยู่ในระดับความเสี่ยงสูง (High Risk) จากความพยายามของอาชญากรไซเบอร์ในการเจาะระบบห่วงโซ่อุปทานซอฟต์แวร์และการขโมยข้อมูลทางการเงินของผู้บริโภคอย่างเข้มข้น ประการแรก Cside ตรวจพบการโจมตีห่วงโซ่อุปทานฝั่งไคลเอนต์ (Client-Side Supply Chain Hijack) มุ่งเป้าแอปพลิเคชันยอดนิยมบน Shopify เช่น Hulk Product Options, Swym Wishlist Plus และ Selleasy โดยผู้โจมตีแทรกแซง API การตั้งค่าของนักพัฒนาแอปเพื่อส่งโค้ด JavaScript อันตรายไปดักจับและเปลี่ยนเส้นทางการชำระเงินไปยังโดเมนฟิชชิ่ง biliing[.]top ประการที่สอง Wordfence รายงานการประนีประนอมห่วงโซ่อุปทานบนปลั๊กอิน Rank Math SEO PRO เวอร์ชัน 3.0.123 สำหรับ WordPress ซึ่งมีการวางโค้ดอันตรายในแพ็กเกจทางการเพื่อสร้างบัญชีผู้ดูแลระบบและเปิดช่องทางเชื่อมต่อ C2 ไปยัง rank1cdn[.]com ประการที่สาม พันธมิตรความมั่นคงปลอดภัยระหว่างประเทศร่วมกับ Proofpoint และ Microsoft เข้าทลายโครงสร้างพื้นฐานชุดเครื่องมือฟิชชิ่งภาษาจีน CoGUI, CoAceV และ CoFish_Ws ภายใต้เครือข่าย YAM Store และ Iron Man ซึ่งส่งอีเมลหลอกลวงกว่าหนึ่งพันล้านฉบับสวมรอยแบรนด์ค้าปลีกชั้นนำและบริการชำระเงิน และประการที่สี่ CYFIRMA เผยแพร่รายงานประจำสัปดาห์ระบุถึงกลุ่มภัยคุกคาม ShinyHunters (UNC6240) ที่พัฒนาเทคนิคการขโมยโทเคน OAuth และการติดตั้งเว็บเชลล์ JSP มุ่งเป้าขู่กรรโชกข้อมูลลูกค้าขององค์กรค้าปลีกและอีคอมเมิร์ซระดับสากล โดยตรวจพบการแพร่ระบาดของแรนซัมแวร์ Majin ที่มีประเทศไทยเป็นหนึ่งในเป้าหมายหลัก
นักวิจัยความปลอดภัยจาก Cside เปิดเผยรายละเอียดการโจมตีห่วงโซ่อุปทานฝั่งไคลเอนต์ที่เริ่มต้นขึ้นเมื่อช่วงวันที่ 10 ตุลาคม 2569 โดยผู้ไม่หวังดีสามารถแทรกแซง API การตั้งค่าของแอปพลิเคชันยอดนิยมบน Shopify ได้แก่ Hulk Product Options (HulkApps), Swym Wishlist Plus และ Selleasy ส่งผลให้การเรียกขอข้อมูลคอนฟิกูเรชันส่งโค้ด JavaScript อันตรายขนาด 22.7 KB กลับมาในฟิลด์ advanced_users.custom_js โค้ดดังกล่าวจะแฝงตัวและทำงานแบบไดนามิกในเบราว์เซอร์ของลูกค้า เมื่อผู้ซื้อคลิกปุ่ม Checkout ฟังก์ชัน hijack จะยกเลิกการทำงานปกติและเปลี่ยนเส้นทางผู้ซื้อไปยังหน้าชำระเงินปลอมบนโดเมน biliing[.]top ซึ่งเลียนแบบหน้าต่างชำระเงินของ Shopify เพื่อดักขโมยข้อมูลบัตรเครดิตและข้อมูลส่วนบุคคลส่งไปยังเอนด์พอยต์ /api/submissions (ไอพี 45.197.2.217) จากนั้นจึงส่งต่อผู้ซื้อกลับไปยังหน้าชำระเงินจริงของ Shopify ทำให้คำสั่งซื้อสำเร็จตามปกติโดยที่ผู้ซื้อและเจ้าของร้านไม่ทันสังเกตเห็นความผิดปกติ
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อผู้ประกอบการร้านค้าออนไลน์และผู้บริโภคชาวไทยที่ใช้งานแพลตฟอร์ม Shopify ในการดำเนินธุรกิจอีคอมเมิร์ซข้ามพรมแดน หากร้านค้ามีการติดตั้งแอปพลิเคชันเสริมจากบุคคลที่สามที่ถูกประนีประนอม ข้อมูลบัตรเครดิตและที่อยู่จัดส่งของลูกค้าชาวไทยอาจถูกดักจับและส่งออกไปยังเซิร์ฟเวอร์ควบคุมของผู้โจมตีทันที ส่งผลให้เกิดความเสียหายทางการเงินและความรับผิดชอบตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล
ยุทธศาสตร์: ผู้โจมตีเปลี่ยนเป้าหมายจากการเจาะเซิร์ฟเวอร์ส่วนกลางของ Shopify ที่มีความเข้มงวดสูง มาเป็นการแทรกแซงระบบนิเวศแอปพลิเคชันของบุคคลที่สามเพื่อข้ามผ่านการตรวจสอบและเข้าถึงสิทธิ์การทำงานในเบราว์เซอร์ของผู้บริโภคโดยตรง
ยุทธการ: การส่งโค้ดอันตรายผ่าน API การตั้งค่าแบบไดนามิกช่วยหลบเลี่ยงการสแกนโค้ดสถิตบน CDN ของแพลตฟอร์ม และการตั้งค่าให้ทำงานเพียงครั้งเดียวต่อเซสชันช่วยหลีกเลี่ยงการตรวจพบจากทีมตรวจสอบความปลอดภัยของร้านค้า
ยุทธวิธี: ผู้ประกอบการค้าปลีกต้องตรวจสอบรายการสคริปต์ภายนอกที่โหลดบนหน้าเว็บ ตรวจสอบการเปลี่ยนเส้นทางในปุ่ม Checkout และบล็อกการเชื่อมต่อไปยังโดเมน biliing[.]top และโดเมนที่เกี่ยวข้องบนอุปกรณ์เครือข่าย
ร้านค้าออนไลน์และผู้ประกอบการบนแพลตฟอร์ม Shopify, ผู้พัฒนาแอปพลิเคชันสำหรับระบบอีคอมเมิร์ซ, ผู้บริโภคที่ทำธุรกรรมชำระเงินผ่านบัตรเครดิต
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ทีมวิจัย Wordfence ตรวจพบเหตุการณ์ประนีประนอมห่วงโซ่อุปทานระดับวิกฤต (CVE-2026-111862 คะแนน CVSS 9.8) ในปลั๊กอิน Rank Math SEO PRO เวอร์ชัน 3.0.123 ซึ่งเป็นเครื่องมือเพิ่มประสิทธิภาพการสืบค้นที่ถูกติดตั้งอย่างแพร่หลายบนเว็บไซต์พาณิชย์อิเล็กทรอนิกส์ที่ใช้ WordPress และ WooCommerce โดยแพ็กเกจติดตั้งที่เปิดให้ดาวน์โหลดระหว่างวันที่ 15 ถึง 16 ตุลาคม 2569 ถูกแทรกโค้ดอันตรายที่สามารถเชื่อมต่อไปยังโดเมนควบคุม rank1cdn[.]com โค้ดดังกล่าวจะฝังแบ็กดอร์แบบสร้างตัวเองซ้ำ (Self-Rebuilding Backdoor) ปลอมแปลงไฟล์ระบบหลักในโฟลเดอร์ wp-includes และลักลอบสร้างบัญชีผู้ดูแลระบบลับที่มีอีเมลลงท้ายด้วยโดเมน @wp-mail.net นอกจากนี้ มัลแวร์ยังสามารถลักลอบอ่านรหัสผ่านฐานข้อมูล คีย์ความปลอดภัย และข้อมูลรับรองที่จัดเก็บในไฟล์ wp-config.php ส่งกลับไปยังผู้โจมตี ทั้งนี้ ปลั๊กอินเวอร์ชันฟรีบน WordPress.org ไม่ได้รับผลกระทบจากเหตุการณ์นี้
ความเสี่ยงระดับสูงต่อเว็บไซต์อีคอมเมิร์ซ ร้านค้าออนไลน์ และธุรกิจค้าปลีกในประเทศไทยที่ขับเคลื่อนด้วยระบบ WordPress และ WooCommerce - เนื่องจาก Rank Math SEO PRO เป็นปลั๊กอินยอดนิยมที่ผู้ประกอบการไทยใช้ในการทำตลาดออนไลน์ หากร้านค้าดาวน์โหลดหรืออัปเดตเวอร์ชันที่มีช่องโหว่ ผู้โจมตีจะสามารถควบคุมระบบหลังบ้าน เข้าถึงประวัติการสั่งซื้อ ข้อมูลส่วนบุคคลของลูกค้า และแก้ไขระบบรับชำระเงินเพื่อเบี่ยงเบนรายได้ของร้านค้า
ยุทธศาสตร์: อาชญากรไซเบอร์มุ่งเป้าแทรกซึมช่องทางการเผยแพร่ซอฟต์แวร์ระดับพรีเมียม เพื่อใช้ความน่าเชื่อถือของผู้พัฒนาเป็นสะพานเชื่อมเข้าสู่ระบบร้านค้าออนไลน์จำนวนมากพร้อมกันในคราวเดียว
ยุทธการ: การติดตั้งแบ็กดอร์แบบฝังแน่นที่สร้างตัวเองใหม่ทุกครั้งที่มีการเข้าชมหน้าเว็บ ทำให้การลบไฟล์เพียงอย่างเดียวไม่สามารถกำจัดภัยคุกคามได้ จำเป็นต้องลบโฟลเดอร์ปลั๊กอินและคลีนฐานข้อมูลทั้งหมด
ยุทธวิธี: ผู้ดูแลระบบต้องอัปเดตปลั๊กอินเป็นเวอร์ชัน 3.0.124 ทันที ตรวจสอบและลบบัญชีผู้ดูแลระบบแปลกปลอมที่ใช้อีเมล @wp-mail.net และบล็อกการสื่อสารเครือข่ายไปยังโดเมน rank1cdn[.]com
เว็บไซต์ร้านค้าออนไลน์ที่ใช้ระบบ WordPress และ WooCommerce, ผู้ประกอบการค้าปลีกดิจิทัล, เว็บไซต์สื่อและแคตตาล็อกสินค้าออนไลน์
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
หน่วยงานความมั่นคงระหว่างประเทศและภาคเอกชนด้านไซเบอร์ นำโดย Proofpoint, Microsoft, ศูนย์ปราบปรามอาชญากรรมทางไซเบอร์แห่งประเทศญี่ปุ่น (JC3), Resecurity, Cloudflare และ Health-ISAC ประสบความสำเร็จในการปฏิบัติการทางกฎหมายและเทคนิคเพื่อยับยั้งโครงสร้างพื้นฐานบริการฟิชชิ่งสำเร็จรูป (PaaS) สัญชาติจีน ได้แก่ CoGUI, CoAceV และ CoFish_Ws ภายใต้เครือข่าย YAM Store (Storm-3119) และ Iron Man (Storm-2990) โดยตั้งแต่เดือนมกราคม 2569 เครือข่ายดังกล่าวส่งอีเมลหลอกลวงมากกว่าหนึ่งพันล้านฉบับ พุ่งเป้าองค์กรกว่า 75,000 แห่งทั่วโลก และสวมรอยแบรนด์ชั้นนำถึง 66 แบรนด์ โดยเฉพาะแพลตฟอร์มอีคอมเมิร์ซและระบบชำระเงินยอดนิยม เช่น Amazon, Rakuten, PayPay, MyJCB และ Paidy ชุดเครื่องมือฟิชชิ่งเหล่านี้มีความสามารถขั้นสูงในการตรวจจับและหลบเลี่ยงการวิเคราะห์ของระบบตรวจจับอัตโนมัติ (Anti-Analysis) พร้อมกลไกดักจับรหัสผ่านแบบใช้ครั้งเดียว (OTP) แบบเรียลไทม์เพื่อขโมยข้อมูลบัตรเครดิต
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อผู้บริโภคชาวไทยที่นิยมสั่งซื้อสินค้าข้ามพรมแดนจากประเทศญี่ปุ่นและแพลตฟอร์มต่างประเทศ - แม้แคมเปญจะมุ่งเป้าแบรนด์ในเอเชียตะวันออกเป็นหลัก แต่ผู้บริโภคชาวไทยที่ใช้บริการจองสินค้าหรือบัตรเครดิตระหว่างประเทศอาจได้รับอีเมลหลอกลวง นอกจากนี้ เทมเพลตและสคริปต์ของชุดเครื่องมือ PhaaS ดังกล่าวมักถูกนำไปดัดแปลงเพื่อสวมรอยแบรนด์ค้าปลีกและเกตเวย์การชำระเงินในภูมิภาคเอเชียตะวันออกเฉียงใต้
ยุทธศาสตร์: ขบวนการอาชญากรรมไซเบอร์ได้ยกระดับสู่ระบบอุตสาหกรรม PhaaS เชิงพาณิชย์ที่มีการพัฒนาฟังก์ชันการหลบเลี่ยงอย่างต่อเนื่อง และให้บริการเช่าโครงสร้างพื้นฐานแก่กลุ่มผู้โจมตีทางการเงินหลายกลุ่ม
ยุทธการ: ความร่วมมือระหว่างภาครัฐ เอกชน และการดำเนินการทางศาลเพื่อยึดและเปลี่ยนเส้นทางโดเมนควบคุม (Domain Seizure) ถือเป็นกลยุทธ์ที่มีประสิทธิภาพสูงสุดในการตัดวงจรการสื่อสารและขัดขวางการทำงานของชุดเครื่องมือฟิชชิ่งขนาดใหญ่
ยุทธวิธี: ผู้ดูแลระบบเกตเวย์อีเมลต้องปรับปรุงนโยบายการกรองโดเมนที่จดทะเบียนใหม่ เฝ้าระวังแพทเทิร์น URL ที่เลียนแบบบริการชำระเงิน และประชาสัมพันธ์ให้ผู้บริโภคระมัดระวังการกรอกรหัส OTP บนเว็บไซต์ที่ไม่คุ้นเคย
แพลตฟอร์มอีคอมเมิร์ซและมาร์เก็ตเพลสออนไลน์, ผู้ให้บริการเกตเวย์การชำระเงินและบริการซื้อก่อนจ่ายทีหลัง (BNPL), สถาบันการเงินผู้ออกบัตรเครดิต, บริษัทขนส่งพัสดุ
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
CYFIRMA เผยแพร่รายงานข่าวกรองภัยคุกคามประจำสัปดาห์ โดยเน้นย้ำถึงวิวัฒนาการทางยุทธวิธีของกลุ่มภัยคุกคาม ShinyHunters (หรือรู้จักในชื่อ UNC6240) ซึ่งมีประวัติการเจาะระบบเพื่อโจรกรรมข้อมูลขนาดใหญ่และขู่กรรโชกทรัพย์ในภาคการค้าปลีก การตลาดทางตรง และอีคอมเมิร์ซ กลุ่มผู้ก่อเหตุใช้ประโยชน์จากข้อมูลประจำตัวที่ได้มาโดยมิชอบ โทเคน OAuth ที่ถูกประนีประนอม และการโจมตีทางวิศวกรรมสังคมเพื่อเข้าถึงสภาพแวดล้อมคลาวด์ จากนั้นจะติดตั้งสเตเจอร์อัปโหลดและเว็บเชลล์ JSP (u.jsp และ x.jsp) เพื่อขโมยฐานข้อมูลลูกค้า นอกจากนี้ รายงานยังได้ติดตามกิจกรรมของโทรจันควบคุมระยะไกล RuRAT ที่ออกแบบมาเพื่อคงสถานะการควบคุมระบบและดักเก็บข้อมูลอย่างต่อเนื่อง ควบคู่ไปกับการแพร่กระจายของมัลแวร์เรียกค่าไถ่กลุ่มใหม่อย่าง Majin ซึ่งใช้กลยุทธ์กรรโชกทรัพย์สองชั้น (Double Extortion) ต่อองค์กรธุรกิจค้าปลีก
ผลกระทบโดยตรงและเชิงยุทธศาสตร์ระดับสูง (Confirmed Target Geography): รายงานการตรวจจับเชิงลึกของ CYFIRMA ระบุรายชื่อประเทศไทย (Thailand) ไว้อย่างชัดเจนในกลุ่มประเทศเป้าหมายหลักของการโจมตีด้วยแรนซัมแวร์ Majin ควบคู่กับกลุ่มอุตสาหกรรมค้าปลีกและอีคอมเมิร์ซ (Retail & E-Commerce) โดยผู้ไม่หวังดีใช้ประโยชน์จากข้อมูลรับรองที่รั่วไหลและโทเคนคลาวด์เพื่อขโมยฐานข้อมูลผู้บริโภคและล็อกไฟล์ขู่กรรโชกสองชั้น (Double Extortion) ซึ่งสร้างความเสี่ยงต่อความต่อเนื่องทางธุรกิจและการละเมิดกฎหมายคุ้มครองข้อมูลส่วนบุคคล (PDPA) ขององค์กรค้าปลีกในไทย
ยุทธศาสตร์: กลุ่มผู้ก่อเหตุที่มีเป้าหมายทางการเงินหันมามุ่งเน้นการขู่กรรโชกข้อมูล (Data Extortion) มากขึ้น โดยสร้างแรงกดดันต่อแบรนด์ค้าปลีกผ่านความกังวลด้านชื่อเสียงและบทลงโทษตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล
ยุทธการ: การใช้เว็บเชลล์ JSP ขนาดกะทัดรัดร่วมกับโทเคนคลาวด์ที่ถูกต้อง ช่วยให้ผู้โจมตีสามารถขโมยข้อมูลปริมาณมหาศาลออกจากระบบได้โดยไม่กระตุ้นสัญญาณเตือนของระบบรักษาความปลอดภัยดั้งเดิม
ยุทธวิธี: ฝ่ายไอทีต้องตรวจสอบการอนุญาตสิทธิ์ของแอปพลิเคชันบุคคลที่สามในระบบคลาวด์ บังคับใช้การยืนยันตัวตนแบบหลายปัจจัยที่ป้องกันฟิชชิ่ง และติดตั้งกฎตรวจจับไฟล์เว็บเชลล์ JSP บนเซิร์ฟเวอร์แอปพลิเคชัน
ภาคการค้าปลีกและการตลาดทางตรง (Internet & Direct Marketing Retail), แพลตฟอร์มอีคอมเมิร์ซ, ธุรกิจบริการและโรงแรม, ระบบจัดการความสัมพันธ์ลูกค้า (CRM)
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง