ALERT! New #spyware attacks in #Thailand, targeting opposition leaders, ahead of a censure debate. Natthaphong @teng_pple of the People’s Party and Abhitit @Abhisit_DP of the Democrat Party received warnings from #Apple. #พรรคประชาชน #พรรคประชาธิปัตย์ #อภิปรายไม่ไว้วางใจ #เท้ง #อภิสิทธิ์
— Sunai (@sunaibkk) November 3, 2026
การใช้สปายแวร์ Pegasus ในประเทศไทยถือเป็นหนึ่งในปฏิบัติการสอดแนมทางดิจิทัลระดับรัฐที่มีขอบเขตครอบคลุมที่สุดเท่าที่มีการบันทึกไว้ โดยมุ่งเป้าไปที่ภาคประชาสังคมและกลุ่มผู้เห็นต่างทางการเมืองในเอเชียตะวันออกเฉียงใต้
Pegasus พัฒนาขึ้นโดยบริษัท NSO Group ของอิสราเอล ซึ่งจำหน่ายเทคโนโลยีนี้ให้กับรัฐบาลต่าง ๆ เท่านั้น สปายแวร์ดังกล่าวช่วยให้ผู้ควบคุมสามารถเข้าถึงโทรศัพท์ของเป้าหมายได้อย่างสมบูรณ์ ไม่ว่าจะเป็นข้อมูลตำแหน่งที่ตั้ง ข้อความ รูปภาพ กล้องถ่ายรูป หรือไมโครโฟน โดยมักจะถูกติดตั้งผ่านช่องโหว่ประเภท "zero-click" ซึ่งไม่จำเป็นต้องอาศัยการโต้ตอบใด ๆ จากผู้ใช้งาน
1. การเพิ่มขึ้นของการโจมตีในช่วงปี 2020–2021: การเจาะข้อมูลขบวนการเรียกร้องประชาธิปไตย
คลื่นการสอดแนมครั้งสำคัญที่สุดเกิดขึ้นในช่วงที่การชุมนุมเรียกร้องประชาธิปไตยโดยกลุ่มคนรุ่นใหม่ในประเทศไทยอยู่ในช่วงเข้มข้นที่สุด ระหว่างเดือนตุลาคม 2020 ถึงพฤศจิกายน 2021 โดยกลุ่มผู้ชุมนุมเรียกร้องให้มีการปฏิรูปรัฐธรรมนูญ การลาออกของอดีตนายกรัฐมนตรี พล.อ.ประยุทธ์ จันทร์โอชา รวมถึงการปฏิรูปสถาบันกษัตริย์ในประเด็นที่ไม่เคยมีการกล่าวถึงมาก่อน
จากการสืบสวนร่วมกันโดย The Citizen Lab, iLaw และ DigitalReach (ซึ่งได้รับการสนับสนุนจาก Amnesty International) และเผยแพร่ในเดือนกรกฎาคม 2022 พบหลักฐานทางนิติวิทยาศาสตร์ดิจิทัลยืนยันว่า มีบุคคลอย่างน้อย 30 ถึง 35 คนถูกติดตั้งสปายแวร์ Pegasus
กลุ่มเป้าหมายสำคัญที่ถูกระบุถึง ได้แก่:
ผู้นำกลุ่มคนรุ่นใหม่และนักกิจกรรม: บุคคลที่มีบทบาทโดดเด่นในการชุมนุม เช่น ปนัสยา "รุ้ง" สิทธิจิรวัฒนกุล, อานนท์ นำภา, จตุภัทร์ "ไผ่ ดาวดิน" บุญภัทรรักษา, เบญจา อะปัน และณัฐชนน ไพโรจน์ โดยเฉพาะกรณีของเบญจา อะปัน ที่อุปกรณ์ของเธอถูกเจาะข้อมูลในขณะที่เธอกำลังถูกควบคุมตัวโดยเจ้าหน้าที่ตำรวจ
ภาคประชาสังคมและนักวิชาการ: นักวิจัย ทนายความด้านสิทธิมนุษยชน และนักวิชาการที่เชี่ยวชาญด้านการปฏิรูปกฎหมาย (เช่น พวงทอง ภวัคราพันธุ์)
บุคคลฝ่ายตรงข้ามทางการเมืองและผู้สนับสนุนขบวนการ: ผู้ที่ให้การสนับสนุนทางการเงินแก่การชุมนุม ผู้อำนวยการองค์กรพัฒนาเอกชน (NGO) และนักการเมืองฝ่ายตรงข้ามรัฐบาล
วัตถุประสงค์หลักของการเจาะข้อมูล:
การติดตามความเคลื่อนไหว: ติดตามสถานที่จัดกิจกรรมการชุมนุม การจัดการด้านโลจิสติกส์แบบเรียลไทม์ และเนื้อหาการปราศรัย
การรวบรวมข้อมูลทางการเงิน: ระบุตัวผู้บริจาคที่ให้การสนับสนุนขบวนการเรียกร้องประชาธิปไตย
การสร้างคดีความทางกฎหมาย: รวบรวมหลักฐานเพื่อนำไปใช้ประกอบการตั้งข้อหาภายใต้กฎหมายที่เข้มงวดของไทย เช่น กฎหมายหมิ่นประมาทกษัตริย์ (มาตรา 112) และกฎหมายที่เกี่ยวข้องกับการยุยงปลุกปั่น 2. วิธีการทางเทคนิคที่ใช้
จากการสืบสวนพบว่าผู้โจมตีมุ่งเป้าไปที่โทรศัพท์ iPhone โดยใช้ชุดเครื่องมือเจาะระบบแบบ "ไม่ต้องคลิก" (zero-click exploit kits) ซึ่งรวมถึง KISMET และ FORCEDENTRY:
ช่องโหว่ FORCEDENTRY: ผู้โจมตีส่งไฟล์ PDF อันตรายที่ปลอมแปลงเป็นรูปภาพนามสกุล .gif ผ่านทางแอปพลิเคชัน iMessage ไฟล์เหล่านี้จะถูกประมวลผลโดยอัตโนมัติผ่านกระบวนการ IMTranscoderAgent ของ Apple โดยที่เหยื่อไม่จำเป็นต้องคลิกลิงก์ใดๆ ส่งผลให้เครื่องติดมัลแวร์ได้โดยที่เหยื่อไม่รู้ตัว (บนระบบปฏิบัติการ iOS 14)
ร่องรอยทางภูมิศาสตร์: ข้อมูลทางเทคนิค (Digital telemetry) บ่งชี้ว่าเซิร์ฟเวอร์ที่ใช้ในการโจมตีส่วนใหญ่ทำงานอยู่ในเขตเวลา GMT+7 (เขตเวลาของประเทศไทย) ซึ่งชี้ให้เห็นถึงความเกี่ยวข้องของหน่วยงานรัฐภายในประเทศ
3. การตอบสนองของรัฐบาลและความคืบหน้าทางกฎหมาย
เมื่อรายละเอียดเกี่ยวกับการสอดแนมดังกล่าวถูกเปิดเผยออกมาในเดือนกรกฎาคม 2022 เจ้าหน้าที่รัฐบาลได้ให้ข้อมูลที่ขัดแย้งกัน:
การปฏิเสธ: พลเอกประยุทธ์ จันทร์โอชา นายกรัฐมนตรีในขณะนั้น ปฏิเสธว่าไม่ทราบเรื่องซอฟต์แวร์สอดแนมดังกล่าว โดยอ้างว่าไม่มีความจำเป็นต้องสอดแนมเนื่องจากข้อมูลต่างๆ สามารถพบเห็นได้ทั่วไปบนสื่อสังคมออนไลน์
การยอมรับบางส่วน: ในระหว่างการอภิปรายในสภา รัฐมนตรีว่าการกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (DES) ยอมรับว่ารัฐบาลไทยมีซอฟต์แวร์สำหรับสอดแนมไว้ใช้งานเพื่อความมั่นคงของชาติและคดีที่เกี่ยวข้องกับยาเสพติด แต่ไม่ได้ระบุชัดเจนว่าเป็นซอฟต์แวร์ Pegasus หรือไม่
การต่อสู้ทางกฎหมาย:
การฟ้องร้องโดยนักกิจกรรม: นายจตุภัทร์ "ไผ่ ดาวดิน" บุญภัทรรักษา นักกิจกรรมคนสำคัญ ได้ยื่นฟ้องบริษัท NSO Group ต่อศาลไทย ซึ่งถือเป็นคดีสำคัญ โดยเรียกร้องให้มีการแสดงความรับผิดชอบและชดเชยความเสียหายจากการละเมิดสิทธิ
คำตัดสินของศาล: ในเดือนพฤศจิกายน 2024 ศาลแพ่งกรุงเทพฯ ได้ยกฟ้องคดีดังกล่าว โดยให้เหตุผลว่าไม่มีหลักฐานโดยตรงที่แสดงให้เห็นว่า NSO Group มีเขตอำนาจทางกฎหมายโดยตรงหรือมีการดำเนินการทางกายภาพเกิดขึ้นภายในประเทศไทย ซึ่งคำตัดสินนี้ถูกวิพากษ์วิจารณ์โดยองค์กรสิทธิมนุษยชนระหว่างประเทศ
4. สถานการณ์ปัจจุบันและการโจมตีที่ยังคงเกิดขึ้น
ภัยคุกคามจากการสอดแนมโดยรัฐยังคงเป็นประเด็นสำคัญในการเมืองไทย:
การแจ้งเตือนภัยคุกคามจาก Apple: Apple ได้ออกประกาศแจ้งเตือนภัยคุกคามไปยังกลุ่มบุคคลสำคัญในประเทศไทยหลายครั้ง ซึ่งรวมถึงแกนนำฝ่ายค้าน นักปกป้องสิทธิภาคประชาสังคม และนักข่าว เมื่อตรวจพบการปฏิบัติการของซอฟต์แวร์สอดแนมเชิงพาณิชย์ (mercenary spyware) การสอดแนมทางการเมืองที่ยังคงดำเนินอยู่: การที่บุคคลฝ่ายตรงข้ามทางการเมืองหลายราย อาทิ ณัฐพงษ์ เรืองปัญญาวุฒิ (พรรคประชาชน) และอภิสิทธิ์ เวชชาชีวะ (พรรคประชาธิปัตย์) ได้รับการแจ้งเตือนนั้น สะท้อนให้เห็นว่าสปายแวร์ยังคงเป็นเครื่องมือสำคัญในการรวบรวมข่าวกรองเพื่อติดตามความเคลื่อนไหวของฝ่ายตรงข้ามทางการเมือง โดยเฉพาะในช่วงเวลาสำคัญในรัฐสภา เช่น การอภิปรายไม่ไว้วางใจ
แอปเปิลตรวจจับสปายแวร์ได้อย่างไร
แอปเปิลตรวจจับสปายแวร์ที่ได้รับการสนับสนุนจากรัฐ—เช่น Pegasus ของ NSO Group—โดยใช้การผสมผสานระหว่างระบบข่าวกรองภัยคุกคามภายในขั้นสูง การวิเคราะห์ข้อมูลการใช้งาน การวิเคราะห์รูปแบบพฤติกรรมที่ผิดปกติ และการติดตามช่องโหว่ Zero-day
เนื่องจากสปายแวร์ที่ได้รับการสนับสนุนจากรัฐมีความซับซ้อนเป็นพิเศษ ใช้ช่องโหว่แบบ Zero-click และพยายามซ่อนตัวหรือทำลายตัวเองโดยเจตนา กลไกการตรวจจับของแอปเปิลจึงอาศัยการตรวจสอบระดับสูงอย่างต่อเนื่อง แทนที่จะใช้การสแกนไวรัสแบบมาตรฐาน
วิธีการทำงานของกระบวนการตรวจจับของแอปเปิล
ข่าวกรองภัยคุกคามและการตรวจสอบข้อมูลการใช้งาน:
แอปเปิลมีทีมวิศวกรรมและสถาปัตยกรรมด้านความปลอดภัยโดยเฉพาะที่คอยตรวจสอบตัวบ่งชี้ภัยคุกคามทั่วทั้งระบบนิเวศอย่างต่อเนื่อง เมื่อผู้โจมตีใช้ช่องโหว่ Zero-day (ช่องโหว่ที่แอปเปิลไม่รู้จักในขณะนั้น) รหัสการโจมตีมักจะทิ้งร่องรอยเล็กๆ ที่ผิดปกติไว้ในบันทึกระบบ พฤติกรรมของกระบวนการ หรือข้อมูลการใช้งานจากการทำงานผิดพลาด—แม้ว่าสปายแวร์จะพยายามลบตัวเองหลังจากนั้นก็ตาม
การวิเคราะห์เซิร์ฟเวอร์และโครงสร้างพื้นฐาน:
สปายแวร์รับจ้างต้องการเซิร์ฟเวอร์ควบคุมและสั่งการ (C&C) เพื่อสื่อสารกับโทรศัพท์ที่ติดไวรัส ดึงข้อมูลออกมา และรับคำสั่ง Apple ติดตามโครงสร้างพื้นฐานดิจิทัล โดเมน และเซิร์ฟเวอร์รีเลย์ที่ผู้จำหน่ายอาวุธไซเบอร์ใช้ หากรูปแบบการรับส่งข้อมูลหรือโปรไฟล์การเชื่อมต่อตรงกับโครงสร้างพื้นฐานรับจ้างที่รู้จักซึ่งเชื่อมโยงกับเป้าหมายเฉพาะ Apple จะแจ้งเตือน
การวิเคราะห์การโจมตีที่ถูกบล็อก:
เมื่อ Apple แก้ไขช่องโหว่หรือสังเกตเห็นการโจมตีที่พยายามล้มเหลวเนื่องจากการป้องกันระบบในตัว (เช่น BlastDoor หรือการบรรเทาความปลอดภัยของหน่วยความจำ) ข้อมูลการวัดระยะทางที่เกี่ยวข้องกับการโจมตีที่ล้มเหลวหรือถูกสกัดกั้นนั้น จะช่วยให้วิศวกรด้านความปลอดภัยมองเห็นภาพรวมอย่างลึกซึ้งว่าใครกำลังตกเป็นเป้าหมายและอย่างไร
การทำงานร่วมกับนักวิจัยภายนอก:
Apple ทำงานอย่างใกล้ชิดกับองค์กรวิจัยอิสระ (เช่น The Citizen Lab ที่มหาวิทยาลัยโตรอนโต และ Security Lab ของ Amnesty International) เมื่อนักวิจัยค้นพบร่องรอยของสปายแวร์บนอุปกรณ์ผ่านการสำรองข้อมูลที่เข้ารหัสหรือชุดเครื่องมือทางนิติวิทยาศาสตร์ (เช่น MVT) Apple จะเปรียบเทียบผลการค้นพบเหล่านั้นกับข้อมูลแพลตฟอร์มทั่วโลก
ความหมายที่แท้จริงของการแจ้งเตือน
เมื่อ Apple ตรวจพบรูปแบบเหล่านี้ที่มุ่งเป้าไปที่ Apple ID เฉพาะ ระบบจะออกการแจ้งเตือนภัยคุกคาม (ผ่านการแจ้งเตือนแบบพุช อีเมล และแบนเนอร์ภายในตั้งค่าบัญชี iCloud ของผู้ใช้)
กำหนดเป้าหมาย ไม่ใช่การสอดแนมแบบวงกว้าง: การแจ้งเตือนเหล่านี้ไม่ใช่การคาดเดาอัตโนมัติ Apple ระบุว่าบริษัทมีความ "มั่นใจในระดับสูง" เมื่อส่งการแจ้งเตือนเหล่านี้ โดยระบุว่า Apple ID หรืออุปกรณ์ของผู้ใช้ตกเป็นเป้าหมายโดยเฉพาะจากกลุ่มผู้โจมตีที่ได้รับการสนับสนุนจากรัฐ ซึ่งมีทรัพยากรและการสนับสนุนทางการเงินอย่างเต็มที่
ความพยายามโจมตีเทียบกับความสำเร็จ: การแจ้งเตือนหมายความว่ามีการโจมตีเกิดขึ้นกับบุคคลนั้นจริง อย่างไรก็ตาม ไม่ได้เป็นการยืนยันโดยอัตโนมัติว่าการโจมตีดังกล่าวประสบความสำเร็จหรือไม่ (โดยเฉพาะในกรณีที่อุปกรณ์มีการอัปเดตซอฟต์แวร์เป็นเวอร์ชันล่าสุด หรือมีการเปิดใช้งานโหมดความปลอดภัยอย่าง Lockdown Mode) การจะยืนยันว่าอุปกรณ์ถูกบุกรุกจริงหรือไม่นั้น โดยปกติแล้วจำเป็นต้องอาศัยการวิเคราะห์เชิงลึกโดยผู้เชี่ยวชาญเฉพาะทางเท่านั้น
