LightSpy และ DeepSeek สะท้อนภัยไซเบอร์เชื่อมโยงจีนที่ขยายตัวทั้งในระดับโลกและความเร็วของ AI

ไม่กี่วันต่อมา วันที่ 5 สิงหาคม Arctic Wolf Networks เปิดเผยว่า LightSpy ซึ่งเดิมเป็นสปายแวร์ที่มุ่งโจมตีผู้ใช้ iPhone ในฮ่องกง ได้ขยายตัวเป็นแพลตฟอร์มเฝ้าระวังเชิงพาณิชย์ที่ใช้งานในกว่า 13 ประเทศ

เมื่อพิจารณาร่วมกัน ทั้งสองกรณีชี้ให้เห็นการเปลี่ยนแปลงสำคัญสามด้าน ได้แก่ ขอบเขตทางภูมิศาสตร์ที่กว้างขึ้น การทำให้เครื่องมือสอดแนมกลายเป็นบริการที่ซื้อขายได้ และการนำ AI มาใช้เร่งปฏิบัติการโจมตีให้ทำงานได้ด้วยความเร็วระดับเครื่องจักร

LightSpy จากเครื่องมือสอดแนม iPhone สู่แพลตฟอร์มเฝ้าระวังระดับโลก

ความสามารถที่ขยายตัว

งานวิจัยของ Arctic Wolf ระบุว่า LightSpy ซึ่งถูกบันทึกครั้งแรกในปี 2020 จากการใช้โจมตีผู้ใช้ iPhone ในฮ่องกง ปัจจุบันพัฒนาเป็นแพลตฟอร์มสอดแนมหลายระบบปฏิบัติการและใช้งานในกว่า 13 ประเทศ

แพลตฟอร์มดังกล่าวทำงานในลักษณะ บริการเฝ้าระวังที่มีค่าบริการ มีการกำหนดราคาเป็นระดับ ระบบเรียกเก็บเงิน และสภาพแวดล้อมสาธิต ลูกค้าถูกระบุว่าครอบคลุมบริษัท หน่วยงานรัฐ องค์กรทหาร และสถาบันการศึกษาในจีน

LightSpy สามารถเก็บข้อมูลได้หลากหลาย ตั้งแต่พิกัดตำแหน่งที่มีความละเอียดสูง เสียงสนทนา บันทึกแชต ภาพจากกล้องและวิดีโอ ไปจนถึงภาพหน้าจอ อีกทั้งยังสามารถลบข้อมูลในอุปกรณ์ของเหยื่อจากระยะไกลได้ทั้งหมด

โครงสร้างพื้นฐานของเครื่องมือก็ขยายตัวอย่างมีนัยสำคัญ ปัจจุบันมีเซิร์ฟเวอร์ 117 แห่ง และมีการติดตั้งซอฟต์แวร์อันตรายบนเราเตอร์เครือข่ายในยุโรปและแอฟริกา เพื่อดักรับและส่งต่อข้อมูล LightSpy รองรับอุปกรณ์ iOS, Android และ Windows โดยรุ่นล่าสุดมีคำสั่งมากกว่า 100 รายการและปลั๊กอิน 28 ตัว

ความหมายที่มากกว่าสปายแวร์ตัวหนึ่ง

LightSpy จึงไม่ได้เป็นเพียงเครื่องมือสอดแนมบน iPhone แบบจำกัดขอบเขตอีกต่อไป แต่กลายเป็นชุดเฝ้าระวังหลายแพลตฟอร์มที่มีความเชื่อมโยงกับผู้ดำเนินการซึ่งได้รับการสนับสนุนจากรัฐจีน

ประเด็นสำคัญคือการ ทำให้สปายแวร์ที่สอดคล้องกับผลประโยชน์ของรัฐกลายเป็นสินค้าและขยายขนาดได้ จากเดิมที่อาจใช้ในปฏิบัติการเฉพาะกิจ สู่รูปแบบผลิตภัณฑ์ที่มีระบบราคา ลูกค้า และบริการรองรับ

DeepSeek กับการโจมตีไซเบอร์ที่ทำงานแทนมนุษย์

จากคำสั่งเดียวสู่การโจมตีหลายขั้นตอน

วันที่ 30 กรกฎาคม Unit 42 เปิดเผยกรณีผู้ก่อเหตุที่ใช้ภาษาจีนและใช้นามแฝงว่า “knaithe” และ “KnYuan” โดยเชื่อมโมเดล DeepSeek เข้ากับ Hermes Agent ซึ่งเป็นเฟรมเวิร์กแบบโอเพนซอร์ส เพื่อดำเนินปฏิบัติการโจมตีอัตโนมัติ

ผู้ควบคุมส่งคำสั่งเริ่มต้นผ่าน Telegram เพียงครั้งเดียว หลังจากนั้น AI agent สามารถสำรวจระบบ ค้นหาระบบที่เปิดเผยต่ออินเทอร์เน็ต เลือกโค้ดโจมตีสาธารณะจาก GitHub และดำเนินการโจมตีโดยไม่ต้องรับคำสั่งจากมนุษย์เพิ่มเติม

ปฏิบัติการดังกล่าวมุ่งเป้าไปยังระบบมากกว่า 460 แห่งในเอเชีย และสามารถเจาะระบบสำเร็จ 14 แห่ง

Unit 42 ประเมินว่าผู้ก่อเหตุอยู่ในเมืองจูไห่ ประเทศจีน นอกจากนี้ ผู้ก่อเหตุยังพยายามใช้โมเดลของ Claude และ OpenAI เพื่อทำงานเดียวกัน แต่ทั้งสองโมเดลปฏิเสธเนื่องจากมาตรการควบคุมด้านความปลอดภัย ขณะที่ DeepSeek ไม่ได้ปฏิเสธคำขอดังกล่าว

จุดเปลี่ยนของการใช้ AI ในการโจมตี

นักวิจัยของ Unit 42 อธิบายกรณีนี้ว่าเป็นสถานการณ์ที่ “ผู้ก่อภัยคุกคามซึ่งเป็นมนุษย์และมีเจตนาร้าย จงใจนำโมเดล AI มาใช้เป็นอาวุธเพื่อดำเนินปฏิบัติการโจมตีแบบเอเจนต์ตั้งแต่ต้นจนจบ”

นี่คือ กรณีแรกที่มีการบันทึกและเปิดเผยต่อสาธารณะ ว่าผู้ก่อภัยคุกคามนำโมเดล AI มาใช้เป็นอาวุธเพื่อดำเนินแคมเปญโจมตีแบบ agentic ตั้งแต่ต้นจนจบในระดับขนาดใหญ่ กล่าวอีกนัยหนึ่ง AI ไม่ได้ทำหน้าที่เพียงช่วยเขียนโค้ดหรือสรุปข้อมูล แต่เข้ามาอยู่ในห่วงโซ่การโจมตี ตั้งแต่การค้นหาเป้าหมาย การประเมินช่องโหว่ ไปจนถึงการลงมือโจมตี

สิ่งที่สองเหตุการณ์นี้กำลังบอกเรา

1. จากปฏิบัติการที่มนุษย์ควบคุม สู่การโจมตีอัตโนมัติ

กรณี DeepSeek แสดงให้เห็นการเปลี่ยนผ่านจากปฏิบัติการที่ต้องมีผู้โจมตีคอยสั่งการทีละขั้น ไปสู่สายงานโจมตีที่ขับเคลื่อนด้วย AI ซึ่งสามารถสำรวจระบบ เลือกช่องโหว่ และพยายามเจาะเป้าหมายได้โดยมีมนุษย์กำกับเพียงเล็กน้อย

ความเปลี่ยนแปลงนี้ไม่ได้หมายความว่าทุกการโจมตีจะประสบความสำเร็จ แต่หมายความว่าผู้ก่อเหตุหนึ่งรายสามารถขยายจำนวนเป้าหมายและความถี่ของการทดลองโจมตีได้มากขึ้น โดยไม่จำเป็นต้องมีทีมปฏิบัติการขนาดใหญ่

2. จากสปายแวร์เฉพาะระบบ สู่ชุดเฝ้าระวังหลายแพลตฟอร์ม

LightSpy เติบโตจากเครื่องมือที่เคยเน้น iOS ไปสู่ชุดเฝ้าระวังที่ครอบคลุม Windows, Android และ iOS พร้อมโครงสร้างปลั๊กอินแบบโมดูลาร์ การขยายลักษณะนี้ทำให้เครื่องมือเดียวสามารถรองรับเป้าหมายและสภาพแวดล้อมที่หลากหลายขึ้น

3. ขอบเขตทางภูมิศาสตร์กว้างขึ้น

โครงสร้างพื้นฐานของ LightSpy ครอบคลุมอย่างน้อย 13 ประเทศในเอเชีย ยุโรป และแอฟริกา และยังมีรายงานการฝังมัลแวร์ในเราเตอร์เครือข่ายในยุโรปและแอฟริกา

ด้านปฏิบัติการที่ใช้ DeepSeek มุ่งโจมตีโครงสร้างพื้นฐานที่เปิดเผยต่ออินเทอร์เน็ตในเอเชีย แสดงให้เห็นว่า AI สามารถช่วยคัดกรองและเข้าถึงเป้าหมายจำนวนมากได้อย่างรวดเร็ว โดยไม่ต้องพึ่งพาผู้ปฏิบัติการจำนวนมาก

ผลต่อการป้องกันไซเบอร์

• สปายแวร์ของรัฐกำลังถูกทำให้เป็นสินค้า: การมีราคาแบบหลายระดับ ระบบเรียกเก็บเงิน และฐานลูกค้าที่ครอบคลุมหน่วยงานรัฐ องค์กรทหาร และภาคธุรกิจ บ่งชี้ว่าเครื่องมือเฝ้าระวังที่เชื่อมโยงกับจีนกำลังถูกพัฒนาเป็นผลิตภัณฑ์และนำไปจำหน่าย ทำให้จำนวนผู้ที่อาจเข้าถึงขีดความสามารถดังกล่าวเพิ่มขึ้น
• มาตรการความปลอดภัยของ AI กลายเป็นปัจจัยเชิงยุทธศาสตร์: การที่ผู้ก่อเหตุหันไปใช้ DeepSeek หลังจาก Claude และ OpenAI ปฏิเสธคำขอเดียวกัน ชี้ให้เห็นว่าโมเดลที่มีข้อจำกัดน้อยกว่าอาจสร้างความได้เปรียบให้ผู้โจมตี
• ฝ่ายป้องกันต้องรับมือด้วยความเร็วระดับเครื่องจักร: การโจมตีแบบ agentic สามารถค้นหาและทดลองใช้ช่องโหว่ได้เร็วกว่าที่มนุษย์จะตรวจจับและตอบสนองทัน จึงจำเป็นต้องยกระดับระบบตรวจจับและตอบสนองอัตโนมัติ
• เราเตอร์ไม่ควรถูกถือว่าเป็นแนวป้องกันที่เชื่อถือได้โดยอัตโนมัติ: การที่ LightSpy ถูกติดตั้งบนเราเตอร์เพื่อดักรับและส่งต่อข้อมูล หมายความว่าอุปกรณ์บริเวณขอบเครือข่ายเองก็ต้องได้รับการตรวจสอบและปกป้องอย่างจริงจัง

สองเหตุการณ์ที่เกิดขึ้นในช่วงเวลาใกล้กันจึงสะท้อนภาพเดียวกัน นั่นคือภัยคุกคามไซเบอร์ที่เชื่อมโยงกับจีนกำลังพัฒนาอย่างรวดเร็วทั้งด้านเครื่องมือ วิธีดำเนินงาน และขอบเขตการเข้าถึง ฝ่ายป้องกันจึงไม่อาจพึ่งพาการเฝ้าระวังแบบเดิมที่อาศัยการตอบสนองหลังเกิดเหตุเป็นหลักได้อีกต่อไป