การค้นพบ 'AdFection': เมื่อระบบประมูลโฆษณาดิจิทัลกลายเป็นอาวุธไซเบอร์
เมื่อวันที่ 15 ตุลาคม 2026 สถาบันวิจัย Citizen Lab แห่งมหาวิทยาลัยโทรอนโต ได้เผยแพร่รายงานการสืบสวนทางนิติวิดิจิทัลที่สร้างความตื่นตระหนกให้กับวงการความปลอดภัยไซเบอร์ทั่วโลก ด้วยการเปิดโปงปฏิบัติการสปายแวร์เชิงพาณิชย์ในชื่อ 'AdFection' ซึ่งนับเป็นกรณีแรกที่ได้รับการยืนยันอย่างเป็นทางการว่า มีการส่งมอบสปายแวร์ระดับ Zero-Click (การเจาะระบบสำเร็จโดยที่ผู้ใช้ไม่ต้องคลิกลิงก์หรือเปิดไฟล์ใดๆ) ผ่านเครือข่ายประมูลโฆษณาดิจิทัลแบบเรียลไทม์ (Real-Time Bidding หรือ RTB)
รายงานระบุว่า บริษัทผู้ค้าเครื่องมือสอดแนมสัญชาติอิสราเอล Discover-Tech ได้นำสปายแวร์ Candiru (ซึ่งดำเนินงานภายใต้ชื่อ Integrity Labs) มาติดตั้งและใช้งานผ่านโครงข่ายโฆษณาดิจิทัลกระแสหลัก โดยมีเป้าหมายที่ยืนยันแล้ว ได้แก่ อุปกรณ์สื่อสารของนักข่าวสำนักข่าว Al Jazeera รวมไปถึงการพบพฤติกรรมการส่งสัญญาณประมูลโฆษณา (Bidding Impressions) มุ่งเป้าไปยังเครือข่ายขององค์กรระดับนานาชาติ เช่น องค์การสนธิสัญญาแอตแลนติกเหนือ (NATO), องค์การสหประชาชาติ (UN), ศาลอาญาระหว่างประเทศ (ICC), ทบวงการพลังงานปรมาณูระหว่างประเทศ (IAEA) และหน่วยงานความมั่นคงในกว่า 161 ประเทศทั่วโลก
กลไกการทำงานทางเทคนิค: การคัดกรองข้อมูลระดับ 4 พันล้านเรคคอร์ดและการหลบหลีกระบบตรวจจับ
ในเชิงเทคนิค Discover-Tech ใช้วิธีการวิเคราะห์ข้อมูลการประมูลโฆษณามากกว่า 4,000 ล้านเรคคอร์ด เพื่อติดตามและระบุเป้าหมายอย่างแม่นยำ โดยเชื่อมโยงข้อมูลอัตลักษณ์และตำแหน่งของเหยื่อเข้ากับที่อยู่ไอพี (IP Address) เฉพาะเจาะจง เมื่อระบบประมูล RTB เกิดขึ้น เซิร์ฟเวอร์โฆษณาที่เป็นอันตราย (NOAS) ของผู้โจมตีจะส่งโค้ด JavaScript ที่ฝังชุดคำสั่งโจมตี (Exploit Payload) เข้าไปยังเบราว์เซอร์ของอุปกรณ์เป้าหมายทันทีที่โฆษณาเริ่มโหลด
สิ่งที่ทำให้เทคนิคนี้ตรวจจับได้ยากเป็นพิเศษ คือการออกแบบระบบหลบเลี่ยงการตรวจสอบแบบซ้อนชั้น หากเซิร์ฟเวอร์ความปลอดภัยของแพลตฟอร์มโฆษณา บอตอัตโนมัติ หรือผู้ใช้งานทั่วไปที่ไม่ได้อยู่ในรายชื่อเป้าหมายเชื่อมต่อเข้ามา เซิร์ฟเวอร์ของ Discover-Tech จะส่งข้อมูลว่างเปล่าขนาด 0 ไบต์ (0-byte responses) กลับไป ทำให้ระบบสแกนมัลแวร์ของเครือข่ายโฆษณาไม่พบความผิดปกติ แต่หากคำขอมาจาก IP ของเป้าหมายที่ล็อกไว้ โค้ดจะทำงานเพื่อเจาะช่องโหว่ของเบราว์เซอร์และฝังตัวลงบนอุปกรณ์โดยสมบูรณ์
การตอบสนองของอุตสาหกรรม AdTech และข้อจำกัดในการสกัดกั้น
หลังจาก Citizen Lab ประสานงานเปิดเผยข้อมูลสู่สาธารณะ ผู้ให้บริการแพลตฟอร์มโฆษณาดิจิทัลชั้นนำระดับโลกได้แก่ Google, สมาคม IAB Europe และ Beeswax ได้ดำเนินการตัดสิทธิ์ ยกเลิกสัญญา และขึ้นบัญชีดำ (Blacklist) เครือข่ายของ Discover-Tech ออกจากระบบนิเวศการประมูลโฆษณาอย่างเร่งด่วน เพื่อสกัดกั้นท่อส่งมัลแวร์ดังกล่าวไม่ให้สามารถเข้าถึงระบบประมูลได้อีก
อย่างไรก็ตาม รายงานของ Citizen Lab ชี้ให้เห็นว่า แม้จะมีการตัดสิทธิ์ผู้ค้ารายนี้ แต่รายชื่อลูกค้ารายอื่นทั้งหมดของ Discover-Tech รวมถึงรายการช่องโหว่ซีโร่เดย์ (Zero-Day Vulnerabilities) ของเบราว์เซอร์ที่ถูกนำมาใช้ในชุดโค้ดครั้งนี้ ยังคงไม่ได้รับการเปิดเผยอย่างครบถ้วน ทำให้ความเสี่ยงที่ผู้ค้าสปายแวร์รายอื่นจะเลียนแบบโมเดลธุรกิจผ่าน RTB ยังคงมีอยู่สูงมาก
มุมมองและข้อถกเถียงในหมู่นักวิจัยความมั่นคงปลอดภัยและวิศวกร AdTech
ในหมู่นักวิจัยด้านความปลอดภัยสารสนเทศและวิศวกรโครงข่ายโฆษณาออนไลน์ การเปิดโปงครั้งนี้ก่อให้เกิดการอภิปรายอย่างกว้างขวาง โดยผู้เชี่ยวชาญชี้ว่าระบบเครือข่ายความปลอดภัยขององค์กรส่วนใหญ่ มักมองข้ามทราฟฟิกโฆษณาออนไลน์และอนุญาตให้เข้าถึงเครือข่ายภายในได้โดยไม่มีการตรวจสอบเชิงลึก ทำให้เครือข่าย RTB กลายเป็น 'ท่อส่งตรง' ที่เจาะทะลุระบบป้องกันตามแนวขอบ (Perimeter Firewalls) เข้าสู่อุปกรณ์ปลายทางได้อย่างง่ายดาย
ขณะเดียวกัน วิศวกรในวงการโฆษณาดิจิทัลบางส่วนได้ตั้งข้อสังเกตเชิงเทคนิคว่า การจัดประเภทเหตุการณ์นี้ว่าเป็น 'Zero-Click' แบบสมบูรณ์อาจมีมิติที่ซับซ้อน เนื่องจากแก่นแท้ของกลไกคือการโจมตีหน่วยความจำผ่านเบราว์เซอร์แบบ Drive-by Download โดยอาศัยเพียงการเปิดหน้าเว็บที่มีโฆษณาโหลดขึ้นมา ถึงกระนั้น ทุกฝ่ายต่างเห็นพ้องต้องกันว่า การพึ่งพาเพียงการขึ้นบัญชีดำรายชื่อบริษัท (Entity Blacklisting) เป็นมาตรการที่ตามหลังผู้โจมตีเสมอ เพราะผู้ค้ามัลแวร์สามารถจดทะเบียนนิติบุคคลใหม่และกลับเข้าสู่ตลาดประมูลโฆษณาได้อย่างรวดเร็ว
นัยสำคัญต่อภาคธุรกิจและโครงสร้างพื้นฐานไซเบอร์ในประเทศไทย
สำหรับองค์กรธุรกิจ สถาบันการเงิน และหน่วยงานภาครัฐในประเทศไทย กรณีของ AdFection ส่งสัญญาณเตือนที่สำคัญยิ่ง การที่กลุ่มเป้าหมายครอบคลุมถึง 161 ประเทศ ชี้ให้เห็นว่าเครื่องมือประเภทนี้ไม่ได้จำกัดอยู่เพียงสมรภูมิความขัดแย้งทางภูมิรัฐศาสตร์แถบตะวันออกกลางเท่านั้น แต่สามารถถูกนำมาใช้สอดแนมข้อมูลลับทางการค้า ธุรกรรมขององค์กร หรือบุคคลระดับผู้บริหารได้ทุกเมื่อ โดยเฉพาะผ่านอุปกรณ์เคลื่อนที่และแล็ปท็อปที่เชื่อมต่ออินเทอร์เน็ตทั่วไป
ผู้นำด้านเทคโนโลยีสารสนเทศ (CIO และ CISO) ในไทย จำเป็นต้องทบทวนนโยบายความมั่นคงปลอดภัยไซเบอร์ใหม่ โดยไม่สามารถพึ่งพาเพียงแค่การฝึกอบรมพนักงานไม่ให้คลิกลิงก์ฟิชชิ่ง (Phishing Awareness) ได้อีกต่อไป แต่ต้องเริ่มพิจารณามาตรการเชิงเทคนิค เช่น การใช้โซลูชันตัดแยกเบราว์เซอร์ (Browser Isolation), การบังคับใช้นโยบายบล็อกโฆษณาบนเครือข่ายระดับ DNS ภายในองค์กร, และการจำกัดสิทธิ์ของเบราว์เซอร์ในการรันโค้ดสคริปต์ที่ไม่จำเป็นบนอุปกรณ์ของบุคลากรกลุ่มเสี่ยงสูง
นี่คือหลักฐานเชิงประจักษ์ครั้งแรกของการเปลี่ยนโครงสร้างระบบประมูลโฆษณาออนไลน์ (RTB) ซึ่งไฟร์วอลล์และระบบเครือข่ายขององค์กรส่วนใหญ่ปล่อยผ่าน ให้กลายเป็นท่อส่งสปายแวร์ Zero-Click เจาะจงเป้าหมายโดยที่เหยื่อไม่ต้องกดลิงก์ใดๆ เลย ทำให้มาตรการความปลอดภัยเดิมของภาคธุรกิจต้องได้รับการทบทวนใหม่ทั้งหมด