แรนซัมแวร์ 3AM เจาะเครือข่ายโรงเรียนในอังกฤษ นักวิจัยสงสัยคนร้ายใช้ AI สั่งงานอัตโนมัติ
Bitdefender พบคนร้ายแรนซัมแวร์ 3AM เข้ารหัสเครื่องในกลุ่มโรงเรียนอังกฤษราว 37 เครื่อง โดยรูปแบบคำสั่งคล้ายระบบ AI ที่ทำงานวนเองอัตโนมัติ (ยังไม่ยืนยันว่าใช้ AI ตัวใด)
เหตุเกิดช่วงวันที่ 10–19 ก.ย. 2569 กับเครือข่ายที่ดูแลโรงเรียนหลายแห่งในสหราชอาณาจักร คนร้ายเข้าถึงเครื่องได้เกือบ 50 เครื่องผ่านเครื่องหนึ่งที่ไม่ได้อยู่ในการดูแลของฝ่ายไอที และสุดท้ายเข้ารหัสไฟล์สำเร็จราว 37 เครื่อง บริษัทความปลอดภัย Bitdefender ซึ่งเข้าไปสอบสวนยังหาไม่พบว่าคนร้ายเข้ามาครั้งแรกด้วยวิธีใด
สิ่งที่ทำให้เรื่องนี้น่าสนใจคือจังหวะการทำงานของคนร้าย นักวิจัยเห็นคำสั่งชุดเดิมถูกส่งซ้ำแล้วซ้ำอีก โดยแก้ไขเล็กน้อยทุกครั้ง และส่งเป็นจังหวะสม่ำเสมอทุกราว 40–100 วินาที ซึ่งคล้ายกับ "AI agent" ที่ลองผิดลองถูกเองเป็นวงจร อย่างไรก็ตาม Bitdefender บอกตรงๆ ว่าไม่ได้เห็นเครื่องของคนร้าย จึงไม่รู้ว่าใช้โมเดล AI ตัวไหน หรือเป็นคนนั่งก๊อปคำสั่งจาก AI มาวางเอง ข้อสรุปเรื่อง AI จึงยังเป็นข้อสันนิษฐาน
ระหว่างอยู่ในระบบ คนร้ายดึงรหัสผ่านที่เก็บไว้ในเซิร์ฟเวอร์สำรองข้อมูล Veeam 3 เครื่อง คัดลอกรหัสผ่านที่บันทึกไว้ในเบราว์เซอร์ Chrome สร้างบัญชีผู้ดูแลระบบลับไว้ 2 บัญชีโดยตั้งชื่อให้ดูเหมือนบัญชีปกติ แล้วเชื่อมโดเมนของโรงเรียนที่เคยแยกกันให้ถึงกัน ก่อนจะพยายามปิดโปรแกรมป้องกันไวรัส ลบข้อมูลสำรอง และปล่อยตัวเข้ารหัสไฟล์
กลุ่ม 3AM ปรากฏตั้งแต่ปี 2566 และมีนักวิจัยเชื่อมโยงกับเครือข่ายแรนซัมแวร์ใหญ่อย่าง Conti และ Royal ข่าวนี้ออกมาวันเดียวกับที่ศูนย์ความมั่นคงไซเบอร์ของอังกฤษ (NCSC) เตือนว่าการโจมตีด้วยแรนซัมแวร์ที่ใช้ AI ช่วยอาจถึงระบบสาธารณูปโภคภายในราวปี 2571 สำหรับองค์กรไทย บทเรียนคือคนร้ายเร็วขึ้นได้ด้วยเครื่องมืออัตโนมัติ แต่ยังพึ่งจุดอ่อนเดิมๆ เช่น เครื่องที่ไม่มีใครดูแลและรหัสผ่านที่เก็บไว้หละหลวม
ควรทำอะไร
- ฝ่ายไอทีควรสำรวจหาเครื่องที่ต่อเครือข่ายอยู่แต่ไม่มีใครดูแลหรือไม่มีโปรแกรมป้องกัน
- แยกข้อมูลสำรอง (backup) ไว้นอกเครือข่ายหลัก และห้ามเก็บรหัสผ่านผู้ดูแลระบบไว้ในเบราว์เซอร์
- ตรวจหาบัญชีผู้ดูแลระบบที่ไม่รู้จัก และเปิดการยืนยันตัวตน 2 ชั้น (2FA) กับบัญชีสำคัญ
- ตั้งระบบแจ้งเตือนเมื่อมีคนพยายามปิดโปรแกรมป้องกันไวรัสหรือลบข้อมูลสำรอง