Retail & E-Commerce Sector Weekly Report
ห้วงเวลา: 19-25 ตุลาคม 2569
TLP:CLEARในรอบสัปดาห์ระหว่างวันที่ 19-25 ตุลาคม 2569 สถานการณ์ภัยคุกคามทางไซเบอร์ในภาคการค้าปลีกและพาณิชย์อิเล็กทรอนิกส์ (Retail & E-Commerce Sector) เผชิญกับคลื่นการโจมตีที่มุ่งเป้าโครงสร้างพื้นฐานระบบร้านค้าออนไลน์และเกตเวย์การชำระเงินอย่างเข้มข้น ประการแรก Sansec ตรวจพบแคมเปญการเจาะระบบแพลตฟอร์ม Magento 2 และ Adobe Commerce โดยแทรกซึมแก้ไขบล็อกจัดการเนื้อหา (CMS Blocks) ในฐานข้อมูลของร้านค้าออนไลน์กว่า 953 ร้าน เพื่อเรียกสคริปต์อันตรายผ่านโดเมน deepveindrilling.com และเครือข่าย Keitaro TDS สำหรับดักขโมยข้อมูลบัตรชำระเงิน (Magecart Skimmer) พร้อมติดตั้งแบ็กดอร์ GSocket ประการที่สอง ESTsecurity ตรวจพบเครื่องมืออาชญากรรมไซเบอร์ saeka บนคลังแพ็กเกจทางการ PyPI ซึ่งออกแบบมาเพื่อทำธุรกรรม Carding อัตโนมัติและทดสอบความถูกต้องของบัตรเครดิตที่ถูกโจรกรรมผ่านระบบเช็กเอาต์ของ Shopify โดยใช้เครือข่ายพร็อกซีหมุนเวียน ประการที่สาม NorForge เปิดโปงการเข้าถึงคอนโซลทดสอบระบบอัตโนมัติ Cairn AI ที่เปิดเผยสู่สาธารณะและถูกกลุ่มผู้ไม่ประสงค์ดีนำมาใช้สั่งการเอเจนต์ AI สแกนเจาะระบบร้านค้าออนไลน์และดึงข้อมูลธุรกรรมอัตโนมัติ และประการสุดท้าย Hunt.io ตรวจพบโอเพนไดเรกทอรีของกลุ่มผู้โจมตีที่เตรียมชุดเครื่องมือเจาะช่องโหว่ PHP2Shell (CVE-2026-109618, CVE-2026-109619) มุ่งเป้าเว็บเซิร์ฟเวอร์และระบบร้านค้าบนสแตก PHP กว่า 3,300 แห่งทั่วโลกเพื่อติดตั้งเว็บเชลล์และเชื่อมต่อบอตเน็ต Mirai สะท้อนให้เห็นว่าผู้ประกอบการค้าปลีกต้องเฝ้าระวังทั้งความปลอดภัยของ CMS แพลตฟอร์มชำระเงิน และระบบหลังบ้านอย่างใกล้ชิด
ทีมนักวิจัยความมั่นคงปลอดภัย Sansec ตรวจพบแคมเปญการโจมตีร้านค้าออนไลน์ที่ใช้แพลตฟอร์ม Magento 2 และ Adobe Commerce ครั้งใหญ่ โดยผู้โจมตีเข้าแทรกแซงและแก้ไขตารางฐานข้อมูล cms_block ของร้านค้าออนไลน์จำนวน 953 ร้าน เพื่อฝังสคริปต์ JavaScript อันตรายที่ดึงโค้ดโหลดเดอร์จากโดเมนภายนอก deepveindrilling[.]com สคริปต์ดังกล่าวจะเชื่อมต่อกับเครือข่ายคัดกรองทราฟฟิก Keitaro TDS ซึ่งมีการผลัดเปลี่ยนโดเมนควบคุมอย่างต่อเนื่องเพื่อส่งมอบสคริปต์ดักขโมยข้อมูลบัตรเครดิต (Magecart Skimmer) ในหน้าชำระเงิน และฝังแบ็กดอร์ GSocket เพื่อควบคุมระบบเซิร์ฟเวอร์ระยะยาว
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อผู้ประกอบการค้าปลีกและอีคอมเมิร์ซในไทย - แม้ร้านค้าที่ถูกระบุส่วนใหญ่จะตั้งอยู่ในสหรัฐอเมริกาและยุโรป แต่แพลตฟอร์ม Magento และ Adobe Commerce เป็นโครงสร้างพื้นฐานยอดนิยมของธุรกิจค้าปลีก ห้างสรรพสินค้า และแบรนด์สินค้าชั้นนำในประเทศไทย หากระบบหลังบ้านของร้านค้าไทยถูกบุกรุกและแก้ไข CMS Block ข้อมูลบัตรเครดิตของลูกค้าชาวไทยอาจรั่วไหลสู่กลุ่มอาชญากรไซเบอร์ได้
ยุทธศาสตร์: กลุ่มอาชญากรไซเบอร์ปรับเปลี่ยนยุทธวิธีจากการเจาะช่องโหว่ปลั๊กอิน มาเป็นการแทรกแซงฐานข้อมูล CMS Block โดยตรงเพื่อหลบเลี่ยงการตรวจสอบไฟล์โค้ดบนเซิร์ฟเวอร์
ยุทธการ: การผสานโดเมนโหลดเดอร์ deepveindrilling[.]com เข้ากับระบบ Keitaro TDS ช่วยให้ผู้โจมตีคัดกรองผู้ใช้งานจริง แยกแยะบอทตรวจจับความปลอดภัย และปรับเปลี่ยนเพย์โหลดได้อย่างคล่องตัว
ยุทธวิธี: ผู้ดูแลระบบร้านค้าต้องตรวจสอบความสมบูรณ์ของตาราง cms_block และ cms_page, บังคับใช้นโยบาย Content Security Policy (CSP) อย่างเคร่งครัด และบล็อกการเชื่อมต่อไปยังโดเมนและไอพีอันตรายตามรายการตัวบ่งชี้
ร้านค้าปลีกออนไลน์บนระบบ Magento และ Adobe Commerce, ธุรกิจอีคอมเมิร์ซข้ามชาติ, และผู้ใช้งานที่ทำธุรกรรมชำระเงินผ่านบัตรเครดิต
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ศูนย์ตอบสนองภัยคุกคาม ESTsecurity ประเทศเกาหลีใต้ ตรวจพบแพ็กเกจอันตราย saeka เวอร์ชัน 15.0 บนคลังแพ็กเกจ Python ทางการ (PyPI) ซึ่งถูกสร้างขึ้นเป็นเครื่องมืออาชญากรรมไซเบอร์เพื่อทำธุรกรรม Carding อัตโนมัติ โค้ดภายในไฟล์ chk.py ได้รับการออกแบบมาเพื่อส่งคำขอทดสอบความถูกต้องของหมายเลขบัตรเครดิตที่ถูกขโมยมา ไปยังระบบชำระเงินของร้านค้าออนไลน์บนแพลตฟอร์ม Shopify โดยมีระบบหมุนเวียนพร็อกซีภายนอกเพื่อหลบเลี่ยงการจำกัดอัตราคำขอ (Rate Limiting) และการปิดกั้นไอพีของระบบรักษาความปลอดภัย
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อร้านค้าออนไลน์และธนาคารผู้ออกบัตรในไทย - ร้านค้าอีคอมเมิร์ซไทยที่ใช้งานแพลตฟอร์ม Shopify หรือเชื่อมต่อเกตเวย์ชำระเงินระหว่างประเทศ มีความเสี่ยงที่จะตกเป็นเป้าหมายของการทดสอบบัตรเครดิตปลอม ซึ่งนำไปสู่ความเสียหายจากค่าธรรมเนียมปฏิเสธการชำระเงิน (Chargeback Fees) และความเสี่ยงในการถูกระงับบัญชีผู้ค้า
ยุทธศาสตร์: กลุ่มผู้ไม่ประสงค์ดีใช้ประโยชน์จากคลังแพ็กเกจโอเพนซอร์สเพื่อกระจายเครื่องมือเจาะระบบการเงิน ทำให้ขีดความสามารถในการโจมตีแบบ Carding ขยายตัวอย่างรวดเร็วในชุมชนใต้ดิน
ยุทธการ: การนำระบบ Proxy Rotation และสคริปต์ไพทอนมาจำลองการสั่งซื้อบน Shopify API ช่วยให้ผู้โจมตีสามารถคัดกรองบัตรเครดิตที่ใช้งานได้จริงโดยไม่ทำให้ร้านค้าเป้าหมายเกิดข้อสงสัยในทันที
ยุทธวิธี: ร้านค้าออนไลน์บน Shopify ควรเปิดใช้งานการตรวจสอบตัวตนแบบ 3-D Secure และ CAPTCHA ในขั้นตอนชำระเงิน รวมทั้งเฝ้าระวังพฤติกรรมการทดสอบทำธุรกรรมมูลค่าน้อยซ้ำๆ จากพร็อกซีเครือข่าย
ร้านค้าออนไลน์บนแพลตฟอร์ม Shopify, ผู้ให้บริการเกตเวย์การชำระเงิน, สถาบันการเงินผู้ออกบัตรเครดิต, และธุรกิจค้าปลีกดิจิทัล
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
NorForge เผยแพร่ผลการสืบสวนกรณีแพลตฟอร์มทดสอบความปลอดภัยด้วยปัญญาประดิษฐ์ Cairn AI ที่ถูกเปิดเผยสู่สาธารณะโดยไม่มีการตรวจสอบสิทธิ์ ส่งผลให้กลุ่มผู้ไม่ประสงค์ดีเข้าควบคุมและใช้สั่งการเอเจนต์ AI ทำการสแกนหาช่องโหว่และเจาะระบบร้านค้าออนไลน์และแพลตฟอร์มอีคอมเมิร์ซโดยอัตโนมัติ เอเจนต์ AI ดังกล่าวมีความสามารถในการวิเคราะห์พื้นผิวการโจมตี พัฒนาโค้ดเจาะระบบเฉพาะหน้า ติดตั้งเว็บเชลล์ และขโมยฐานข้อมูลลูกค้าออกจากระบบโดยไม่ต้องมีการควบคุมแบบเรียลไทม์จากมนุษย์
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อผู้ประกอบการค้าปลีกและแพลตฟอร์มอีคอมเมิร์ซในไทย - เว็บไซต์และแอปพลิเคชันค้าปลีกของไทยที่มีการเปิดเผยอินเทอร์เฟซเว็บและ API สู่เครือข่ายอินเทอร์เน็ต เผชิญความเสี่ยงจากการถูกเครื่องมือ Agentic AI ทำการสแกนเจาะระบบอัตโนมัติ ซึ่งสามารถตรวจจับจุดอ่อนของระบบและขโมยข้อมูลได้รวดเร็วกว่าเครื่องมือสแกนแบบดั้งเดิมอย่างมีนัยสำคัญ
ยุทธศาสตร์: การนำเอเจนต์ AI มาใช้ปฏิบัติการโจมตีอัตโนมัติทำให้ผู้ไม่หวังดีสามารถขยายขอบเขตการคุกคามร้านค้าออนไลน์ได้เป็นวงกว้าง โดยลดความต้องการด้านทักษะและเวลาในการลงมือ
ยุทธการ: เอเจนต์ AI ประสานงานร่วมกันผ่าน Shared Artifacts เพื่อส่งต่อเป้าหมายที่ค้นพบ ทำการทดสอบเจาะระบบเฉพาะจุด และส่งมัลแวร์เข้าติดตั้งตามผลการประเมินการตอบสนองของเซิร์ฟเวอร์
ยุทธวิธี: ฝ่ายความปลอดภัยของร้านค้าออนไลน์ต้องติดตั้งและปรับจูน Web Application Firewall (WAF) เพื่อตรวจจับพฤติกรรมการสแกนอัตโนมัติ และปิดกั้นการเชื่อมต่อจากไอพีเซิร์ฟเวอร์สเตจจิง AIA0002
แพลตฟอร์มพาณิชย์อิเล็กทรอนิกส์, เว็บไซต์ค้าปลีกออนไลน์, ซูเปอร์มาร์เก็ตดิจิทัล, และระบบบริหารจัดการคำสั่งซื้อ
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ทีมนักวิจัยความมั่นคงปลอดภัย Hunt.io ตรวจพบโอเพนไดเรกทอรีของกลุ่มผู้โจมตีที่จัดเก็บชุดเครื่องมือเจาะระบบช่องโหว่ระดับวิกฤต PHP2Shell (CVE-2026-109618 และ CVE-2026-109619 บนแกนประมวลผลภาษา PHP) พร้อมรายชื่อเซิร์ฟเวอร์เป้าหมายกว่า 3,300 แห่งทั่วโลก โดยพุ่งเป้าไปที่เว็บเซิร์ฟเวอร์และระบบร้านค้าออนไลน์ที่พัฒนาด้วย PHP ผู้โจมตีใช้สคริปต์สแกนตรวจจับเวอร์ชัน PHP และส่งคำขอเพื่อทำ Remote Code Execution ก่อนติดตั้งเว็บเชลล์และเชื่อมต่อเครื่องเข้ากับเครือข่ายบอตเน็ตตระกูล Mirai เพื่อควบคุมเซิร์ฟเวอร์ร้านค้า
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อผู้ประกอบการร้านค้าออนไลน์และผู้ให้บริการเว็บโฮสติ้งในไทย - ระบบร้านค้าออนไลน์และอีคอมเมิร์ซในประเทศไทยจำนวนมาก ทั้งร้านค้าอิสระและระบบที่ทำงานบน CMS ยอดนิยม (เช่น WooCommerce, OpenCart, Magento) ทำงานอยู่บนสแตกภาษา PHP หากผู้ดูแลระบบยังไม่ได้ติดตั้งแพตช์แก้ไขช่องโหว่ เซิร์ฟเวอร์ร้านค้าอาจถูกบุกรุกยึดครองเพื่อดักข้อมูลลูกค้าหรือนำไปใช้เป็นฐานโจมตีระบบอื่น
ยุทธศาสตร์: ช่องโหว่ระดับแกนประมวลผลของภาษาโปรแกรมเว็บ (PHP Core) ส่งผลกระทบต่อระบบนิเวศอีคอมเมิร์ซเป็นวงกว้าง ทำให้เซิร์ฟเวอร์ร้านค้าออนไลน์จำนวนมากตกอยู่ในความเสี่ยงพร้อมกัน
ยุทธการ: ผู้ไม่หวังดีใช้โอเพนไดเรกทอรีในการกระจายเครื่องมือเจาะระบบและสคริปต์สแกนอัตโนมัติ ทำให้สามารถปฏิบัติการคัดกรองเหยื่อและยึดครองเซิร์ฟเวอร์ได้อย่างรวดเร็วในระดับมหภาค
ยุทธวิธี: ผู้ดูแลระบบเซิร์ฟเวอร์เว็บต้องเร่งอัปเกรด PHP สู่เวอร์ชันที่ได้รับการแก้ไข ตรวจสอบไดเรกทอรีเว็บเพื่อค้นหาไฟล์แปลกปลอม เช่น shell.php และปิดกั้นไอพีสแกนเนอร์รวมถึงโดเมนบอตเน็ตตามรายการ IOC
ผู้ให้บริการเว็บโฮสติ้ง, ร้านค้าอีคอมเมิร์ซบนสแตก PHP, ผู้พัฒนาระบบหลังบ้านร้านค้าออนไลน์, และผู้ให้บริการโครงสร้างพื้นฐานคลาวด์
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง