Microsoft แฉ 8 กลุ่มแฮกเกอร์ ‘แก๊งไซเบอร์เกาหลีเหนือ’ ใช้ AI ปลอมเป็นบริษัทผี 3 แห่งในสัปดาห์เดียว

ฝ่ายสรรหาบุคลากรที่ทักมาชวนสัมภาษณ์งานตำแหน่งวิศวกรซอฟต์แวร์ในบริษัท AI บล็อกเชนไฟแรง อาจไม่มีตัวตนจริงเลยแม้แต่คนเดียว เพราะรายงานล่าสุดของ Microsoft Threat Intelligence พบว่าแฮกเกอร์ที่เชื่อมโยงกับรัฐบาลเกาหลีเหนือกำลังใช้ AI ปั้นทั้งบริษัท โดเมน โปรไฟล์โซเชียล และบทสนทนาที่ฟังดูเป็นมืออาชีพ ได้รวดเร็วจนกลุ่มหนึ่งใช้บริษัทบังหน้า (Front Company) ถึง 3 แห่งออกล่าเหยื่อภายในสัปดาห์เดียว

เคสนี้เป็นเพียงหนึ่งในหลายเคสที่ Microsoft รวบรวมไว้ ยังมีกลุ่มที่สร้างไฟล์ PDF ล่อเหยื่อทีละหลายสิบไฟล์ภายในไม่กี่นาที กลุ่มที่สร้างกระบวนการฝังโทรจันลงในคลังโค้ดส่วนตัวบน GitHub ได้ในเวลาอันสั้น ไปจนถึงกลุ่มที่เริ่มนำ AI แบบเอเจนต์ (Agentic AI) ซึ่งทำงานต่อเนื่องหลายขั้นตอนได้เอง มาใช้เจาะระบบ ข้อสรุปของ Microsoft คือการนำ AI มาใช้ในหมู่แฮกเกอร์เกาหลีเหนืออยู่ใน 'ระดับสูง' และมี 3 กลุ่มที่ฝัง AI ไว้ในทุกขั้นตอนการทำงานแล้ว

ถึงอย่างนั้น เป้าหมายของกลุ่มเหล่านี้ก็ไม่ได้เปลี่ยนไปเพราะ AI เนื่องจากเกาหลีเหนืออยู่ภายใต้มาตรการคว่ำบาตรระหว่างประเทศ ปฏิบัติการไซเบอร์จึงเป็นช่องทางหลักในการหาเงินเข้ารัฐบาล ล้วงข้อมูลข่าวกรองเชิงยุทธศาสตร์ และในบางกรณีก็มุ่งสร้างความเสียหายด้วยเหตุผลทางการเมือง เป้าหมายประจำจึงยังเป็นบริษัทคริปโตและการเงิน บริษัทไอที ห่วงโซ่อุปทานซอฟต์แวร์ หน่วยงานรัฐ และสถาบันการศึกษา สิ่งที่ AI เปลี่ยนคือ 'ความเร็วและขนาดของงานเดิม' ซึ่ง Microsoft อธิบายไว้ว่า

Threat actors use AI as a force multiplier across their operations, particularly to accelerate and scale established workflows. 

(ผู้ไม่หวังดีใช้ AI เป็นตัวคูณกำลังในทุกปฏิบัติการ โดยเฉพาะเพื่อเร่งความเร็วและขยายขนาดของกระบวนการทำงานที่มีอยู่เดิม)

'Sleet' คือใคร และแต่ละกลุ่มใช้ AI ลึกแค่ไหน

ก่อนจะไปดูเคสจริง ต้องเข้าใจชื่อเรียกก่อน Microsoft ตั้งชื่อกลุ่มแฮกเกอร์ด้วยระบบชื่อสภาพอากาศ โดยกลุ่มที่โยงกับรัฐบาลเกาหลีเหนือจะใช้นามสกุลว่า Sleet แล้วแยกแต่ละกลุ่มด้วยชื่ออัญมณีหรือสีนำหน้า หลายกลุ่มเป็นชื่อที่วงการความปลอดภัยรู้จักกันมานานภายใต้ชื่ออื่น เช่น Diamond Sleet ตรงกับกลุ่มที่บริษัทความปลอดภัยรายอื่นเรียกว่า Lazarus ขณะที่ Emerald Sleet คือ Kimsuky, Onyx Sleet คือ Andariel และ Sapphire Sleet คือ BlueNoroff

รายงานฉบับนี้แบ่งระดับการนำ AI มาใช้ของกลุ่มที่มีผลกระทบสูงออกเป็น 4 ขั้น ดังนี้

• ใช้เป็นงานประจำแล้ว (Operationalized): Jade Sleet, Coral Sleet และ Jasper Sleet ฝัง AI ไว้ในทุกกระบวนการ โดยเฉพาะการโจมตีที่อาศัยตัวตนปลอมหลอกเหยื่อ ซึ่ง AI ช่วยปรับเหยื่อล่อและตัวตนให้เข้ากับเป้าหมายแต่ละราย
• กำลังเร่งเครื่อง (Accelerating): Diamond Sleet, Onyx Sleet, Pearl Sleet และ Sapphire Sleet นำ AI ไปใช้อย่างรวดเร็วในหลายส่วนงาน
• กำลังขยายการใช้ (Expanding): Emerald Sleet ใช้ AI ในบางงาน แต่ยังไม่ฝังลึกทั้งกระบวนการ และยังไม่เห็นผลกระทบในระดับเดียวกับกลุ่มอื่น
• เริ่มทดลอง (Emerging): ยังไม่พบกลุ่มไหนอยู่ในขั้นนี้ แปลว่าทุกกลุ่มที่ Microsoft ติดตามได้ก้าวผ่านขั้นทดลองไปแล้ว

ส่อง 6 เคสจริง AI เร่งเครื่องแฮกเกอร์เกาหลีเหนือได้เร็วแค่ไหน

ระดับการใช้งานข้างต้นจะเห็นภาพชัดขึ้นเมื่อดูจากเคสที่ Microsoft ตรวจพบจริง ซึ่งไล่ตั้งแต่การหลอกคนไปจนถึงการเขียนมัลแวร์

1. Jade Sleet: บริษัทบังหน้า 3 แห่งภายใน 5 วัน

ระหว่างวันที่ 8-12 มิถุนายน 2026 Jade Sleet ปลอมตัวเป็นฝ่ายสรรหาบุคลากรของบริษัทข่าวกรองบล็อกเชนที่ขับเคลื่อนด้วย AI ซึ่งเป็นบริษัทปลอม แล้วทักหาคนทำงานในบริษัทความปลอดภัยไซเบอร์ บริษัท AI บริษัทบล็อกเชน และบริษัทจัดหางาน ด้วยข้อเสนอตำแหน่งวิศวกรซอฟต์แวร์ ใครตอบกลับก็จะถูกนัดสัมภาษณ์ต่อ โดยทุกอย่างมีโดเมน โปรไฟล์โซเชียล และความรู้เฉพาะอุตสาหกรรมรองรับครบ

ที่น่าตกใจกว่านั้นคือ ภายในช่วงเวลาสั้น ๆ เดียวกัน กลุ่มนี้ยังใช้บริษัทบังหน้าอีก 2 แห่งทำแคมเปญแบบเดียวกัน พร้อมโครงสร้างพื้นฐานและความรู้เฉพาะทางที่ใกล้เคียงกัน Microsoft จึงประเมินว่าความเร็วและความกว้างระดับนี้มาจากการใช้ AI สร้างองค์ความรู้เฉพาะอุตสาหกรรม คัดเลือกเป้าหมาย และขยายการติดต่อเหยื่อได้พร้อมกันหลายทาง

2. Jasper Sleet: ปั้นตัวตนปลอมสมัครงานทางไกล

ขณะที่ Jade Sleet ปลอมเป็นฝ่ายรับคน Jasper Sleet กลับเลือกปลอมเป็นผู้สมัคร กลุ่มนี้ใช้ตัวตนปลอมสมัครงานทางไกลในบริษัทต่างประเทศเพื่อรับเงินเดือนจริง และในรอบปีที่ผ่านมา Microsoft พบว่ากลุ่มนี้น่าจะใช้ AI ทั้งแบบสร้างเนื้อหาและแบบเอเจนต์ช่วยเตรียมเรซูเม่ ทำให้ปั้นตัวตนปลอมได้เร็วขึ้น ได้จำนวนมากขึ้น และตรงกับตำแหน่งงานมากขึ้น อีกทั้งยังลงทุนสร้างเครื่องมือที่ใช้ซ้ำได้ เพื่อยื่นใบสมัครจำนวนมากและรับมือกับขั้นตอนคัดเลือกของบริษัทได้อย่างน่าเชื่อถือ นอกจากนี้ AI ยังช่วยให้กลุ่มดูแลตัวตนพนักงานปลอมหลายคนพร้อมกัน โดยที่การสื่อสารและผลงานยังคงสม่ำเสมอ

เมื่อมองภาพรวมของกลุ่มที่ใช้มุกจัดหางานและสัมภาษณ์งาน ได้แก่ Sapphire Sleet, Jade Sleet, Coral Sleet และ Jasper Sleet จะเห็นว่า AI ถูกใช้ในงานเหล่านี้

• เตรียมตัวตน: เขียนเรซูเม่ ประวัติย่อ และเตรียมคำตอบสัมภาษณ์ให้สมจริง
• ผ่านด่านคัดเลือก: ช่วยทำแบบทดสอบเขียนโค้ดและงานที่ได้รับมอบหมาย
• พูดให้เหมือนเจ้าของภาษา: แปลภาษาและปรับน้ำเสียงให้การสื่อสารฟังเป็นธรรมชาติ
• ปรับภาพและเสียง: ตกแต่งหรือดัดแปลงรูปโปรไฟล์ วิดีโอ เสียง และฉากหลัง
• รักษาบทบาท: ทำให้ตัวตนปลอมทั้งฝ่ายสรรหา นักพัฒนา และนักลงทุน คงเส้นคงวาข้ามหลายแพลตฟอร์ม

อีกด้านหนึ่ง Microsoft ยังพบร่องรอยว่า Emerald Sleet อาจสร้างเสียงและวิดีโอด้วย AI แม้จะยังประเมินผลกระทบได้ไม่เต็มที่ แต่ Microsoft มองว่าสื่อสังเคราะห์ (Synthetic Media) แบบนี้มีแนวโน้มสูงมากที่หลายกลุ่มจะให้ความสำคัญ เพราะทำให้การหลอกลวงแนบเนียนขึ้นอย่างมาก

3. Onyx Sleet: เหยื่อล่อกว่า 100 ไฟล์ สร้างทีละหลายสิบไฟล์ในไม่กี่นาที

ถ้า Jasper Sleet เน้นความสมจริง Onyx Sleet ก็เน้นปริมาณ Microsoft ตรวจพบไฟล์ PDF ล่อเหยื่อของกลุ่มนี้กว่า 100 ไฟล์ที่สร้างขึ้นในเดือนสิงหาคมและกันยายน 2026 โดยแต่ละไฟล์ใส่รายละเอียดเฉพาะของเป้าหมาย ทว่าเมื่อดูข้อมูลกำกับไฟล์ (Metadata) กลับพบว่าไฟล์หลายสิบไฟล์ถูกสร้างต่อเนื่องกันภายในไม่กี่นาที จึงมีแนวโน้มสูงมากว่าเป็นผลงานของ AI

ไฟล์เหล่านี้ถูกใช้ในแคมเปญฟิชชิง (Phishing) ปริมาณมากที่มุ่งเป้าผู้ใช้ในเกาหลีใต้ และเพราะสร้างใหม่หรือแก้ไขได้เร็วขนาดนี้ การตรวจจับและสกัดกั้นจึงยากขึ้นตามไปด้วย

4. Coral Sleet และ Sapphire Sleet: ให้ AI ช่วยเขียนมัลแวร์

เคสก่อนหน้าคือการใช้ AI หลอกคน แต่ฝั่งการพัฒนาเครื่องมือก็เร่งเครื่องไม่แพ้กัน Microsoft พบหลักฐานว่า Jade Sleet, Coral Sleet, Pearl Sleet และ Sapphire Sleet น่าจะใช้แพลตฟอร์มเขียนโค้ดด้วย AI อย่าง Cursor ช่วยสร้าง แปลง แก้บั๊ก และปรับโครงสร้างโค้ด รวมถึงเขียนสคริปต์ ซ่อนการทำงานของมัลแวร์ และย้ายฟังก์ชันข้ามภาษาโปรแกรม ผลที่ตามมาคือเมื่อถูกบล็อก กลุ่มเหล่านี้ก็ปรับเครื่องมือใหม่และเปลี่ยนแนวทางได้เร็วขึ้น

ตัวอย่างที่ชัดที่สุดคือ Coral Sleet ซึ่งตั้งแต่เดือนเมษายน 2026 ได้สร้างกระบวนการฝังโทรจันลงในคลังโค้ดส่วนตัว (Private Repository) บน GitHub แล้วผูกเข้ากับชุดมัลแวร์เดิมของกลุ่ม Microsoft ประเมินว่าความสามารถใหม่นี้ ทั้งในแง่ขอบเขตและความเร็วในการลงมือ มีแนวโน้มสูงมากว่าสร้างขึ้นด้วยแพลตฟอร์มพัฒนาซอฟต์แวร์ที่มี AI ช่วย

ส่วน Sapphire Sleet ซึ่งเคยโจมตีผ่านห่วงโซ่อุปทานซอฟต์แวร์ (Software Supply Chain Attack) มาแล้วหลายครั้ง ก็น่าจะใช้ AI ในการเจาะซอฟต์แวร์ภาษา Rust เมื่อเดือนสิงหาคม 2026 ตั้งแต่ขั้นเล็งเป้านักพัฒนา Rust ไปจนถึงการพัฒนาและปล่อยมัลแวร์ โดยมัลแวร์ในแคมเปญนี้ล้ำกว่าแคมเปญอื่นของกลุ่มอย่างเห็นได้ชัด เพราะคอมไพล์โค้ด .NET แบบไดนามิกหลังเจาะระบบสำเร็จ ซึ่งน่าจะทำเพื่อหลบการตรวจจับ

5. Diamond Sleet (Lazarus): ใช้บริษัทโทรคมนาคมปลอมเปิดทางสู่เป้าหมายใหม่

ด้าน Diamond Sleet หรือ Lazarus ที่คนในวงการคุ้นชื่อ ตั้งแต่เดือนสิงหาคม 2026 กลุ่มนี้กลับมาเล็งเป้าภาคน้ำมันและก๊าซเป็นครั้งแรกนับจากปี 2023 ขยายไปยังองค์กรด้านการสื่อสารและนโยบายอินเทอร์เน็ต และยังคงเจาะองค์กรด้านกลาโหมต่อเนื่อง ที่สำคัญคือกลุ่มนี้ตั้งบริษัทเทคโนโลยีการสื่อสารปลอมพร้อมเว็บไซต์และตัวตนปลอมครบชุด เพื่อติดต่อบริษัทโทรคมนาคมในฐานะคู่ค้าทางธุรกิจ

ความเปลี่ยนแปลงเหล่านี้เกิดขึ้นพร้อมกับที่ Diamond Sleet ใช้ AI สำรวจข้อมูลเป้าหมายและพัฒนาเครื่องมือมากขึ้น Microsoft จึงมองว่า AI อาจกำลังทำให้กระบวนการทำงานเดิมของกลุ่มมีประสิทธิภาพมากขึ้น

6. Onyx Sleet และ Pearl Sleet: เริ่มใช้ AI เอเจนต์เจาะระบบ

เคสล่าสุดสะท้อนว่าเกาหลีเหนือพร้อมรับเทคโนโลยีใหม่ทันทีที่มันออกมา เพราะตั้งแต่ปลายเดือนตุลาคม 2026 Microsoft พบ Onyx Sleet และ Pearl Sleet ใช้ ARTEX ซึ่งเป็นเฟรมเวิร์กโอเพนซอร์สสำหรับทดสอบเจาะระบบ (Penetration Testing) ที่ขับเคลื่อนด้วย AI แบบเอเจนต์ในปฏิบัติการจริง

นอกจากนี้ AI ยังถูกใช้ทำงานซ้ำ ๆ แบบอัตโนมัติ สรุปข้อมูลที่ขโมยมาจากองค์กรเหยื่อ และช่วยให้ตัดสินใจขั้นต่อไปหลังเจาะระบบได้เร็วขึ้น โดยที่มนุษย์ยังเป็นคนกำหนดเจตนาและเป้าหมาย

ผู้สมัครคนนี้ตัวจริงหรือเปล่า? วิธีคัดกรองที่ Microsoft แนะนำ

แม้จะเร่งเครื่องได้ขนาดนี้ Microsoft ยังยืนยันว่าทุกปฏิบัติการยังมีมนุษย์เป็นผู้กำกับ

AI-enabled operations remain human-directed and have not become fully autonomous. (ปฏิบัติการที่ใช้ AI ยังมีมนุษย์เป็นผู้สั่งการ และยังไม่ได้ทำงานด้วยตัวเองได้อย่างสมบูรณ์)

นั่นหมายความว่าจุดที่แฮกเกอร์ใช้เจาะยังเป็นจุดเดิม คือคนและกระบวนการรับคนเข้าทำงาน Microsoft จึงแนะนำให้องค์กรเข้มงวดกับการคัดกรองผู้สมัครมากขึ้น ดังนี้

• ตรวจพนักงานจากบริษัทจัดหางานให้ละเอียดเป็นพิเศษ: เพราะเป็นช่องทางที่แรงงานเกาหลีเหนือแฝงตัวเข้าองค์กรได้ง่ายที่สุด
• เทียบบัญชีโซเชียลและบัญชีสายอาชีพ: ดูว่าไม่ได้คล้ายกับบัญชีของคนอื่นมากผิดปกติ และเบอร์โทรที่ให้ไว้ไม่ซ้ำกับบัญชีอื่น
• ตรวจความสอดคล้องของเรซูเม่และประวัติ: ทั้งชื่อ ที่อยู่ และช่วงเวลา รวมถึงติดต่อบุคคลอ้างอิงทางโทรศัพท์หรือวิดีโอคอล ไม่ใช่แค่อีเมล
• ค้นว่าตัวตนเดียวกันทำงานอยู่หลายบริษัทหรือไม่: เพราะหนึ่งตัวตนปลอมอาจถูกใช้รับงานหลายที่พร้อมกัน
• ต้องเห็นหน้าผู้สมัครผ่านกล้องหลายครั้ง: ถ้าผู้สมัครอ้างว่ากล้องหรือไมโครโฟนมีปัญหาจนร่วมสัมภาษณ์ไม่ได้ ให้ถือเป็นสัญญาณอันตราย
• ยืนยันร่องรอยดิจิทัล: ผู้สมัครควรมีเบอร์โทรศัพท์จริงที่ไม่ใช่เบอร์โทรผ่านอินเทอร์เน็ตแบบ Voice over Internet Protocol (VoIP) มีที่อยู่อาศัยจริง และมีบัญชีโซเชียล

ในด้านการรับมือฟิชชิง Microsoft แนะนำให้อบรมพนักงานให้รู้ทันเหยื่อล่อและซ้อมรับมือด้วยการจำลองการโจมตี ควบคู่กับการเปิดใช้ระบบตรวจลิงก์และไฟล์แนบที่น่าสงสัย ขณะเดียวกัน Microsoft ก็ใช้โอกาสนี้แนะนำ Security Dashboard for AI ที่รวมความเสี่ยงด้านความปลอดภัย ตัวตน และข้อมูลจากเครื่องมือของ Microsoft ไว้ในหน้าเดียว และ Agent 365 สำหรับดูแลและควบคุม AI Agent ภายในองค์กร

ทั้งหมดนี้ย้อนกลับไปที่ภาพเปิดเรื่อง ข้อความชวนสัมภาษณ์งานที่ดูดีเกินจริง หรือผู้สมัครที่เก่งรอบด้านแต่ไม่เคยเปิดกล้อง อาจไม่ใช่โอกาสทองเสมอไป เพราะเมื่อ AI ทำให้การปั้นบริษัทและตัวตนปลอมใช้เวลาเพียงไม่กี่วัน การตรวจสอบว่าอีกฝ่ายมีตัวตนจริงจึงกลายเป็นด่านป้องกันที่สำคัญที่สุดด่านหนึ่งขององค์กร

ปัจจุบันรายงานฉบับเต็มเผยแพร่บนบล็อก Microsoft Security แล้ว พร้อมรายการการตรวจจับใน Microsoft Defender สำหรับลูกค้าองค์กรที่ต้องการตรวจสอบระบบของตัวเอง

ที่มา: Microsoft Security Blog, Microsoft Learn