Retail and E-commerce (RET) Sector Monitoring Weekly Report
ห้วงเวลา: 26 ตุลาคม - 1 พฤศจิกายน 2569
TLP:CLEARในรอบสัปดาห์ระหว่างวันที่ 26 ตุลาคม ถึง 1 พฤศจิกายน 2569 สภาวะภัยคุกคามทางไซเบอร์ต่อกลุ่มอุตสาหกรรมค้าปลีกและพาณิชย์อิเล็กทรอนิกส์ (Retail & E-commerce) ถูกประเมินให้อยู่ในระดับความเสี่ยงสูง (HIGH RISK) โดยมีประเด็นสำคัญที่ตรวจพบการโจมตีเชิงรุกต่อโครงสร้างพื้นฐานระบบร้านค้าออนไลน์และห่วงโซ่อุปทานการชำระเงินดิจิทัลอย่างต่อเนื่อง ประการแรก หน่วยงาน CISA ได้ประกาศเพิ่มช่องโหว่ระดับวิกฤต CVE-2026-48356 หรือ PolyShell ในแพลตฟอร์ม Adobe Commerce และ Magento Open Source เข้าสู่บัญชีช่องโหว่ที่ถูกใช้โจมตีในระบบจริง (KEV) ซึ่งเปิดทางให้ผู้โจมตีอัปโหลดไฟล์เว็บเชลล์ผ่าน REST API โดยไม่ต้องยืนยันตัวตน ประการที่สอง ทีมนักวิจัย Zero Hunt รายงานการแพร่ระบาดของแคมเปญ DeepVeinDrilling ที่ใช้ประโยชน์จากช่องโหว่ PolyShell ดังกล่าวในการสแกนและเจาะระบบร้านค้า Magento แบบอัตโนมัติหลายร้อยแห่งต่อชั่วโมง เพื่อแทรกมัลแวร์สคริปต์ลงใน CMS Block ขโมยข้อมูลบัตรเครดิตพร้อมฝังประตูลับ GSocket เพื่อควบคุมระบบถาวร ประการที่สาม Sansec ตรวจพบการโจมตีห่วงโซ่อุปทานต่อผู้ให้บริการอีคอมเมิร์ซ Convertr ในบราซิล โดยกลุ่มอาชญากรไซเบอร์ Magecart อาศัยช่องโหว่ของระบบ Plausible Analytics ในการแอบฝังสคริปต์ดักจับข้อมูลบัตรเครดิตและเลขประจำตัวผู้เสียภาษีบนหน้าชำระเงินของแบรนด์แฟชั่น และประการสุดท้าย Trellix ตรวจพบแคมเปญฟิชชิงแนบเอกสารปลอมแปลงใบแจ้งหนี้ภาษีศุลกากรของ FedEx หลอกลวงบุคลากรฝ่ายจัดซื้อและโลจิสติกส์ของธุรกิจค้าปลีกเพื่อส่งมัลแวร์ไร้ไฟล์ Sirius Backdoor เข้าสู่หน่วยความจำ องค์กรในภาคค้าปลีกจึงจำเป็นต้องเร่งติดตั้งแพตช์ระบบหน้าร้าน ตรวจสอบความสมบูรณ์ของสคริปต์วิเคราะห์ข้อมูลภายนอก และยกระดับการเฝ้าระวังไฟล์แนบอีเมลอย่างเข้มงวด
ทีมนักวิจัยด้านความปลอดภัยไซเบอร์จาก Sansec ตรวจพบเหตุการณ์การโจมตีห่วงโซ่อุปทานต่อ Convertr ซึ่งเป็นแพลตฟอร์มผู้ให้บริการระบบร้านค้าออนไลน์และระบบชำระเงินแก่แบรนด์แฟชั่นหลายสิบแห่งในประเทศบราซิล โดยกลุ่มอาชญากรไซเบอร์ Magecart สัญชาติบราซิลได้อาศัยช่องโหว่ของระบบวิเคราะห์สถิติ Plausible Analytics เวอร์ชันเก่าที่ Convertr ติดตั้งบนเซิร์ฟเวอร์ของตนเอง ทำการแก้ไขไฟล์สคริปต์ script.pageview-props.tagged-events.js บนโดเมน analytics.convertr.app.br เพื่อแอบฝังโค้ดอันตราย Web Skimmer สคริปต์ดังกล่าวจะทำงานเฉพาะในหน้าสั่งซื้อสินค้า checkout.convertr โดยทำการดักอ่านหมายเลขบัตรเครดิต วันหมดอายุ รหัส CVV ชื่อผู้ถือบัตร และเลขประจำตัวผู้เสียภาษี (CPF) จากแบบฟอร์มการชำระเงินและคำขอ API แล้วส่งข้อมูลกลับไปยังเซิร์ฟเวอร์ 1x0[.]is ผ่านคำขอ POST ที่เข้ารหัส Base64
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อผู้ให้บริการอีคอมเมิร์ซและแพลตฟอร์มร้านค้าออนไลน์ในไทย - แม้เหยื่อหลักของแคมเปญนี้จะเป็นร้านค้าแฟชั่นในบราซิล แต่กลวิธีโจมตีห่วงโซ่อุปทานผ่านสคริปต์ของบุคคลที่สาม (Third-party JavaScript) ถือเป็นภัยคุกคามร่วมที่ร้านค้าออนไลน์ในไทยเผชิญ โดยเฉพาะเว็บไซต์ที่มีการนำเข้าสคริปต์การตลาดหรือเครื่องมือวิเคราะห์ภายนอกมาแสดงผลบนหน้าชำระเงิน หากเซิร์ฟเวอร์ต้นทางถูกเจาะระบบ ข้อมูลบัตรเครดิตของผู้บริโภคไทยจะตกเป็นเป้าหมายของการโจรกรรมในลักษณะเดียวกัน
ยุทธศาสตร์: การพึ่งพาบริการเสริมและการรวมสคริปต์ภายนอกบนหน้าชำระเงินกลายเป็นจุดเปราะบางสำคัญของห่วงโซ่อุปทานอีคอมเมิร์ซที่กลุ่มอาชญากรไซเบอร์ใช้โจมตีเพื่อเข้าถึงข้อมูลทางการเงินของผู้บริโภคในวงกว้าง
ยุทธการ: ผู้ไม่ประสงค์ดีฉวยโอกาสจากซอฟต์แวร์วิเคราะห์สถิติแบบโอเพนซอร์สที่ขาดการอัปเดตแพตช์ เพื่อแก้ไขไฟล์สคริปต์ส่วนกลางเพียงจุดเดียวแต่สามารถส่งผลกระทบต่อหน้าชำระเงินของร้านค้าพันธมิตรได้ทั้งหมดโดยอัตโนมัติ
ยุทธวิธี: ดำเนินการตรวจสอบและบังคับใช้มาตรการ Subresource Integrity (SRI) บนแท็กสคริปต์ภายนอกทั้งหมด, กำหนดนโยบาย Content Security Policy (CSP) จำกัดปลายทางการส่งข้อมูล, และปิดกั้นการสื่อสารทางเครือข่ายไปยังโดเมน 1x0[.]is รวมถึง snf[.]is
แพลตฟอร์มผู้ให้บริการอีคอมเมิร์ซ, ธุรกิจค้าปลีกออนไลน์และแบรนด์แฟชั่น, ผู้ให้บริการระบบวิเคราะห์ข้อมูลผู้เข้าชมเว็บไซต์, และผู้บริโภคที่ทำธุรกรรมชำระเงินผ่านบัตรเครดิต
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
หน่วยงานความมั่นคงปลอดภัยไซเบอร์และโครงสร้างพื้นฐานแห่งสหรัฐฯ (CISA) ได้ประกาศเพิ่มช่องโหว่ CVE-2026-48356 หรือ PolyShell ในแพลตฟอร์ม Adobe Commerce และ Magento Open Source เข้าสู่บัญชี Known Exploited Vulnerabilities (KEV) โดยกำหนดให้หน่วยงานรัฐบาลกลางดำเนินการแก้ไขภายในวันที่ 10 พฤศจิกายน 2569 ช่องโหว่นี้เป็นข้อผิดพลาดประเภทการอนุญาตให้อัปโหลดไฟล์อันตรายโดยไม่มีการจำกัดประเภท (CWE-434) มีระดับความรุนแรงวิกฤต (CVSS 9.3/9.6) ซึ่งเปิดโอกาสให้ผู้โจมตีจากระยะไกลอัปโหลดไฟล์เว็บเชลล์ที่อำพรางเป็นรูปภาพเข้าไปในไดเรกทอรีสื่อผ่าน REST API โดยไม่ต้องผ่านการยืนยันตัวตน เพื่อยึดครองสิทธิ์การบริหารระบบและเข้าควบคุมฐานข้อมูลร้านค้าออนไลน์ทั้งหมด
ความเสี่ยงตรงระดับสูงมากต่อผู้ประกอบการค้าปลีกและองค์กรในไทยที่ใช้ระบบ Magento - เนื่องจาก Magento และ Adobe Commerce เป็นหนึ่งในแพลตฟอร์มหลักที่ธุรกิจค้าปลีก ห้างสรรพสินค้า และร้านค้าออนไลน์ขนาดใหญ่ในไทยนิยมใช้งาน การที่ช่องโหว่นี้ถูกนำมาใช้โจมตีในระบบจริงหมายความว่า ร้านค้าในไทยที่ยังไม่ได้ติดตั้งแพตช์ตามประกาศ APSB26-73 มีความเสี่ยงอย่างยิ่งที่จะถูกเจาะระบบเพื่อฝังเว็บเชลล์และขโมยข้อมูลการทำธุรกรรมของลูกค้า
ยุทธศาสตร์: การที่ช่องโหว่ซึ่งมีแพตช์แก้ไขแล้วถูกนำมาแสวงหาประโยชน์ในวงกว้างจนถูกจัดเข้าสู่บัญชี KEV ตอกย้ำว่าแพลตฟอร์มอีคอมเมิร์ซแกนกลางยังคงเป็นเป้าหมายที่มีมูลค่าสูงของกลุ่มอาชญากรไซเบอร์ทั่วโลก
ยุทธการ: ผู้โจมตีฉวยโอกาสจากการตั้งค่าเว็บเซิร์ฟเวอร์ที่อนุญาตให้รันสคริปต์ในไดเรกทอรีจัดเก็บไฟล์สื่อ เพื่อรันเว็บเชลล์ PHP ที่ถูกอัปโหลดขึ้นไปในคราบของไฟล์รูปภาพผ่าน REST API
ยุทธวิธี: ผู้ดูแลระบบต้องเร่งปรับปรุงแพตช์ความปลอดภัยตามประกาศ Adobe APSB26-73 โดยด่วน, ปิดกั้นสิทธิ์การเอ็กซิคิวต์สคริปต์ในไดเรกทอรี /pub/media/, และตรวจสอบประวัติการอัปโหลดไฟล์แปลกปลอมในระบบย้อนหลัง
ผู้ประกอบการค้าปลีกออนไลน์, องค์กรธุรกิจที่ใช้งานระบบ Adobe Commerce และ Magento Open Source, บริษัทพัฒนาเว็บแอปพลิเคชัน, และผู้ดูแลระบบเซิร์ฟเวอร์อีคอมเมิร์ซ
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ทีมนักวิจัย Zero Hunt รายงานการตรวจพบปฏิบัติการโจมตีอัตโนมัติขนาดใหญ่ภายใต้ชื่อ "DeepVeinDrilling" ซึ่งมุ่งเป้าโจมตีร้านค้าออนไลน์ที่ใช้งานแพลตฟอร์ม Magento โดยคนร้ายได้ใช้ประโยชน์จากช่องโหว่ CVE-2026-48356 (PolyShell) ร่วมกับช่องโหว่ CVE-2025-54236 (SessionReaper) ในการสแกนและเจาะระบบร้านค้าได้ถึง 471 แห่งภายในเวลาเพียงหนึ่งชั่วโมง เพื่ออัปโหลดเว็บเชลล์เข้าสู่ไดเรกทอรี pub/media/customer จากนั้นจะดำเนินการแทรกสคริปต์อันตรายลงในบล็อกเค้าโครงหน้าเว็บ (CMS Blocks) และหน้าแสดงผลสินค้า เพื่อสั่งโหลด e-skimmer จากโดเมนภายนอก เช่น deepveindrilling[.]com พร้อมทั้งติดตั้งประตูลับ GSocket (Global Socket) และสร้างบัญชีผู้ดูแลระบบแปลกปลอมเพื่อคงการควบคุมร้านค้าไว้อย่างถาวร
ความเสี่ยงตรงต่อความปลอดภัยของข้อมูลบัตรเครดิตลูกค้าในแพลตฟอร์ม Magento ในไทย - ผู้ประกอบการค้าปลีกในไทยที่ตกเป็นเหยื่ออาจถูกขโมยข้อมูลบัตรเครดิตของลูกค้าอย่างต่อเนื่องโดยไม่รู้ตัว เนื่องจากการแทรกโค้ดในฐานข้อมูล CMS Block จะไม่แสดงความเปลี่ยนแปลงในโครงสร้างไฟล์บนดิสก์ อีกทั้งการติดตั้งประตูลับ GSocket ยังทำให้ผู้โจมตีสามารถกลับเข้ามาควบคุมระบบได้ใหม่แม้จะอัปเดตแพตช์แล้วก็ตาม
ยุทธศาสตร์: กลุ่มภัยคุกคามทางการเงินได้ยกระดับการโจมตีจากการเจาะช่องโหว่ทั่วไปมาเป็นการใช้ระบบอัตโนมัติความเร็วสูงเพื่อยึดครองร้านค้าจำนวนมากพร้อมกัน และสร้างกลไกฝังตัวที่ซับซ้อนในระดับฐานข้อมูลและเน็ตเวิร์กพร็อกซี
ยุทธการ: ผู้ปฏิบัติการใช้เว็บเชลล์ในการเข้าไปแก้ไขเนื้อหาในตารางฐานข้อมูล cms_block และ cms_page ทำให้การตรวจสอบความเปลี่ยนแปลงของไฟล์ในระบบไฟล์ (File Integrity Monitoring) ทั่วไปตรวจจับไม่พบ
ยุทธวิธี: ดำเนินการตรวจสอบตาราง cms_block และ cms_page ในฐานข้อมูลเพื่อค้นหาร่องรอยการเรียกใช้โดเมน deepveindrilling[.]com, ตรวจสอบและกำจัดโพรเซสประตูลับ GSocket, และเพิกถอนบัญชีผู้ดูแลระบบที่ต้องสงสัยทันที
ผู้ประกอบการค้าปลีกออนไลน์, ธุรกิจอีคอมเมิร์ซที่ประมวลผลธุรกรรมการชำระเงิน, ผู้ดูแลระบบฐานข้อมูลและเว็บมาสเตอร์ระบบ Magento Open Source
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ทีมนักวิจัย Trellix รายงานการตรวจพบแคมเปญสเปียร์ฟิชชิงแนบไฟล์อันตรายที่แอบอ้างเป็นใบเสร็จรับเงินภาษีศุลกากรและการขนส่งของ FedEx (Fedex_tax_receipt.zip) พุ่งเป้าหลอกลวงพนักงานฝ่ายจัดซื้อ บัญชี และผู้ดูแลคลังสินค้าของธุรกิจค้าปลีกและผู้ประกอบการนำเข้าสินค้า เมื่อเหยื่อเปิดไฟล์ PDF ที่ฝังคำสั่งอันตราย ระบบจะเริ่มกระบวนการติดเชื้อแบบไร้ไฟล์หลายขั้นตอน ผ่านตัวโหลด Stage 1 .NET Loader และตัวฉีด Stage 2 .NET Injector เพื่อนำเพย์โหลด Sirius Backdoor (zeus.dat) เข้าสู่หน่วยความจำของเครื่อง มัลแวร์ดังกล่าวมีความสามารถในการดักจับการกดแป้นพิมพ์ (Keylogging) ขโมยข้อมูลบัตรเครดิตและรหัสผ่านจากเบราว์เซอร์ และเปิดช่องทางให้ผู้โจมตีควบคุมเครื่องจากระยะไกลผ่านไอพี 185.114.206[.]45
ความเสี่ยงสูงต่อบุคลากรฝ่ายจัดซื้อและบัญชีของธุรกิจค้าปลีกในไทย - เนื่องจากองค์กรค้าปลีกและผู้นำเข้าสินค้าในประเทศไทยมีการติดต่อประสานงานและรับส่งเอกสารภาษีการขนส่งจากบริษัทโลจิสติกส์ระหว่างประเทศอย่าง FedEx เป็นประจำ พนักงานอาจหลงเชื่อเปิดไฟล์แนบดังกล่าว ซึ่งจะนำไปสู่การถูกขโมยข้อมูลระบุตัวตนและข้อมูลการทำธุรกรรมทางการเงินขององค์กร
ยุทธศาสตร์: ผู้ไม่ประสงค์ดีใช้ประโยชน์จากบริบทการดำเนินธุรกิจจริงของภาคการค้าปลีกที่มีการเคลื่อนย้ายสินค้าและชำระภาษีศุลกากรข้ามพรมแดน เพื่อสร้างเหยื่อล่อที่มีความน่าเชื่อถือสูง
ยุทธการ: การใช้เทคนิคการทำงานในหน่วยความจำ (Fileless Execution) ร่วมกับตัวโหลดหลายระดับ (.NET Loader & Injector) ช่วยให้มัลแวร์สามารถหลบเลี่ยงการตรวจจับของโปรแกรมแอนติไวรัสทั่วไปบนเครื่องปลายทาง
ยุทธวิธี: ดำเนินการบล็อกการเชื่อมต่อไปยังไอพีเซิร์ฟเวอร์ควบคุม 185.114.206[.]45 และโดเมน dubaitechnicalservice[.]ae, ตั้งค่าเกตเวย์อีเมลบล็อกไฟล์บีบอัดที่มีสคริปต์แฝง, และสแกนค้นหาค่าแฮชของไฟล์ล่อลวงในระบบ
แผนกจัดซื้อและบัญชีธุรกิจค้าปลีก, ผู้ประกอบการนำเข้าและส่งออกสินค้า, บริษัทขนส่งและคลังสินค้า, และระบบเครือข่ายสำนักงาน
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง