เปิดเบื้องหลังอุตสาหกรรม “สปายแวร์รับจ้าง” เทคโนโลยีสอดส่องที่รัฐบาลหลายประเทศจัดซื้อเพื่อเจาะเข้าถึงข้อมูลของบุคคลเป้าหมาย ขณะที่ Apple เร่งแจ้งเตือนผู้ใช้ทั่วโลกที่อาจตกเป็นเป้าหมายการโจมตี
เมื่อวันที่ 13 สิงหาคม 2569 Apple ส่งการแจ้งเตือนภัยคุกคามไปยังผู้ใช้ iPhone ใน 110 ประเทศ หลังตรวจพบการโจมตีด้วย “สปายแวร์รับจ้าง” ที่มุ่งเป้าไปยังบุคคลเป็นรายกรณี นับเป็นการแจ้งเตือนรอบล่าสุดของระบบที่บริษัทเริ่มใช้ตั้งแต่ปี 2564 สำหรับผู้ที่มีความเสี่ยงถูกโจมตีด้วยเครื่องมือสอดส่องขั้นสูง โดยจนถึงปัจจุบัน Apple ระบุว่าได้แจ้งเตือนผู้ใช้ในกว่า 150 ประเทศแล้ว
การแจ้งเตือนจะปรากฏบนหน้าจอล็อก พร้อมแนะนำให้ผู้ใช้เปิดโหมดล็อกดาวน์และติดต่อ Access Now Digital Security Helpline หากต้องการความช่วยเหลือด้านความปลอดภัยดิจิทัล Apple ระบุว่า การได้รับข้อความเตือนไม่ได้หมายความว่าสปายแวร์ติดตั้งสำเร็จแล้ว แต่หมายถึงบริษัทมีความเชื่อมั่นในระดับสูงว่าบุคคลนั้นถูกเลือกเป็นเป้าหมาย กลุ่มที่พบความเสี่ยงบ่อย ได้แก่ นักข่าว นักเคลื่อนไหว นักการเมือง และนักการทูต
เบื้องหลังการแจ้งเตือนเหล่านี้คืออุตสาหกรรมที่เรียกว่า “สปายแวร์รับจ้าง” หรือ เครื่องมือสอดส่องเชิงพาณิชย์ ซึ่งบริษัทเอกชนพัฒนาเทคโนโลยีสำหรับเจาะเข้าโทรศัพท์และอุปกรณ์ดิจิทัล ก่อนจำหน่ายให้รัฐบาลหรือหน่วยงานรัฐที่ต้องการขีดความสามารถด้านปฏิบัติการไซเบอร์โดยไม่ต้องสร้างระบบขึ้นเอง รายงานของ Carnegie Endowment for International Peace ระบุว่า ระหว่างปี 2554-2566 มีรัฐบาลอย่างน้อย 74 ประเทศทำสัญญาซื้อสปายแวร์หรือเทคโนโลยีตรวจพิสูจน์ทางนิติวิทยาศาสตร์ดิจิทัลจากภาคเอกชน
หนึ่งในชื่อที่ทำให้อุตสาหกรรมนี้เป็นที่รู้จักทั่วโลกคือ “เพกาซัส” (Pegasus) สปายแวร์ของ NSO Group บริษัทสัญชาติอิสราเอล ซึ่งสามารถเข้าถึงข้อมูลจำนวนมากในโทรศัพท์ของเป้าหมาย ตั้งแต่ข้อความ ตำแหน่ง ไปจนถึงกล้องและไมโครโฟน และในบางรูปแบบสามารถเจาะอุปกรณ์ได้โดยไม่ต้องให้เจ้าของเครื่องกดลิงก์หรือเปิดไฟล์ การโจมตีลักษณะนี้เรียกว่า “ซีโรคลิก” (Zero-click) ซึ่งทำให้พฤติกรรมระมัดระวังของผู้ใช้เพียงอย่างเดียวอาจไม่เพียงพอต่อการป้องกัน
หัวใจสำคัญของธุรกิจนี้อยู่ที่การค้นหา พัฒนา หรือซื้อช่องโหว่ด้านความปลอดภัยที่ผู้ผลิตระบบปฏิบัติการยังไม่แก้ไข แล้วนำช่องโหว่เหล่านั้นมาประกอบเป็นเครื่องมือโจมตีสำเร็จรูป รายงานของ Atlantic Council ระบุว่า บริษัทในตลาดบางแห่งซื้อช่องโหว่จากผู้เชี่ยวชาญภายนอก ขณะที่บางแห่งพัฒนาเอง และไม่ได้ขายเพียงซอฟต์แวร์ แต่ยังมีบริการสนับสนุนการใช้งาน ทำให้หน่วยงานผู้ซื้อสามารถนำเครื่องมือไปใช้ได้โดยไม่ต้องมีศักยภาพทางไซเบอร์ในระดับเดียวกับผู้พัฒนา
NSO Group เป็นตัวอย่างของโมเดลธุรกิจดังกล่าว บริษัทก่อตั้งในปี 2553 และระบุมาโดยตลอดว่าจำหน่ายผลิตภัณฑ์ให้รัฐบาลเพื่อใช้ต่อต้านการก่อการร้ายและอาชญากรรมร้ายแรง โดยการส่งออกต้องผ่านการอนุญาตจากรัฐบาลอิสราเอล รายงานของ Organized Crime and Corruption Reporting Project ระบุว่า ในช่วงที่ธุรกิจเติบโตสูงสุด NSO Group เคยมีรายได้ประมาณ 250 ล้านดอลลาร์ต่อปี และมีมูลค่าบริษัทระดับหลายพันล้านดอลลาร์
ความต้องการเครื่องมือประเภทนี้ขยายตัวอย่างรวดเร็วตามพัฒนาการของสมาร์ตโฟนและการสื่อสารแบบเข้ารหัส The New York Times รายงานว่า ตลาดเติบโตอย่างมีนัยสำคัญหลังเหตุการณ์อาหรับสปริงช่วงปี 2553-2556 เมื่อรัฐบาลหลายประเทศต้องการเทคโนโลยีสำหรับติดตามการสื่อสารผ่านอุปกรณ์พกพา จากเดิมที่ความสามารถดังกล่าวมักจำกัดอยู่ในหน่วยข่าวกรองขนาดใหญ่ บริษัทเอกชนจึงเข้ามาเปลี่ยนเทคโนโลยีสอดส่องให้กลายเป็นสินค้าที่รัฐสามารถจัดซื้อได้
ตลาดดังกล่าวไม่ได้มีเพียง NSO Group รายงานของ Atlantic Council ระบุว่าอุตสาหกรรมสปายแวร์เชิงพาณิชย์พัฒนาต่อเนื่องมานานกว่า 30 ปี และมีบริษัทจำนวนมากกระจุกตัวอยู่ในอิสราเอล รวมถึง NSO Group, Paragon Solutions และกลุ่ม Intellexa ซึ่งพัฒนาเครื่องมือชื่อเพรดาเตอร์ บริษัทเหล่านี้สามารถเปลี่ยนโครงสร้าง ชื่อ หรือผู้ถือครองได้อยู่เสมอ ทำให้การควบคุมอุตสาหกรรมทำได้ยาก และเมื่อผู้ผลิตรายหนึ่งถูกคว่ำบาตรหรือจำกัดการดำเนินงาน ผู้เล่นรายอื่นสามารถเข้ามาแทนที่ได้
ความสามารถของเครื่องมือเหล่านี้ไม่ได้อยู่เพียงในเอกสารโฆษณา แต่ถูกตรวจสอบจากอุปกรณ์จริงโดยองค์กรอย่าง Citizen Lab แห่งมหาวิทยาลัยโตรอนโต และ Amnesty International Security Lab หนึ่งในกรณีสำคัญคือการค้นพบช่องโหว่ “ฟอร์ซด์เอนทรี” (FORCEDENTRY) ในปี 2564 หลังตรวจสอบ iPhone ของนักกิจกรรมชาวซาอุดีอาระเบียที่ติดเพกาซัส พบว่าสามารถโจมตีผ่าน iMessage โดยไม่ต้องให้ผู้ใช้ดำเนินการใดๆ ก่อน Apple ออกการปรับปรุงระบบเพื่อปิดช่องโหว่ในเดือนกันยายนปีเดียวกัน
ก่อนหน้านั้น Citizen Lab ตรวจพบเพกาซัสในโทรศัพท์ของนักข่าวและผู้บริหาร Al Jazeera อย่างน้อย 36 เครื่อง รวมถึงนักข่าว Al Araby TV โดยใช้ช่องโหว่ซีโรคลิกที่เรียกว่า “คิสเมต” (KISMET) ขณะที่โครงการ Pegasus Project ของ Forbidden Stories และ Amnesty International ตรวจพบข้อมูลเกี่ยวกับการเลือกบุคคลใกล้ชิดของ จามาล คาช็อกกี นักข่าวชาวซาอุดีอาระเบีย เป็นเป้าหมาย และพบหลักฐานการติดเชื้อในอุปกรณ์ของบุคคลบางรายทั้งก่อนและหลังการเสียชีวิตของคาช็อกกี
รูปแบบเดียวกันยังปรากฏในหลายภูมิภาค ตั้งแต่นักปกป้องสิทธิมนุษยชนชาวปาเลสไตน์ นักข่าว ทนายความ และนักกิจกรรมในเม็กซิโก ไปจนถึงกรณี CatalanGate ซึ่ง Citizen Lab เปิดเผยในปี 2565 ว่าพบชาวคาตาลันอย่างน้อย 65 คนถูกโจมตีหรือติดเชื้อด้วยเพกาซัสและสปายแวร์จาก Candiru กลุ่มเป้าหมายมีทั้งนักการเมือง สมาชิกรัฐสภายุโรป และนักกิจกรรม ทำให้การใช้เครื่องมือสอดส่องต่อบุคคลที่เกี่ยวข้องกับกิจกรรมทางการเมืองถูกจับตามองอย่างหนักในยุโรป
สำหรับประเทศไทย Citizen Lab ร่วมกับองค์กรในประเทศตรวจพบการโจมตีด้วยเพกาซัสต่อบุคคลอย่างน้อย 30 คนในช่วงปี 2563-2564 ซึ่งตรงกับช่วงการชุมนุมเรียกร้องประชาธิปไตย กลุ่มที่ตรวจพบมีทั้งนักกิจกรรม นักวิชาการ นักร้องแร็ป และนักแสดง โดยบางรายถูกโจมตีหลายครั้งในช่วงใกล้วันที่มีการชุมนุมขนาดใหญ่ และมีการตรวจพิสูจน์ร่องรอยจากอุปกรณ์จริงเพื่อยืนยันการโจมตี
กรณีใหม่กว่านั้นยังพบในเซอร์เบียช่วงปี 2566-2568 โดย Amnesty International ตรวจพบการโจมตีนักข่าวของ Balkan Investigative Reporting Network ทั้งแบบซีโรคลิกและแบบที่ต้องให้เป้าหมายกดลิงก์ ขณะที่ Citizen Lab ตรวจพบว่าโทรศัพท์ของ สเตลิออส คูโลกกลู อดีตสมาชิกรัฐสภายุโรปและสมาชิกคณะกรรมการ PEGA ซึ่งทำหน้าที่ตรวจสอบการใช้สปายแวร์ ถูกโจมตีด้วยเพกาซัสอย่างน้อย 3 ครั้งระหว่างปฏิบัติหน้าที่ตรวจสอบประเด็นดังกล่าว
กรณีจากหลายประเทศทำให้เห็นโครงสร้างของตลาดสปายแวร์รับจ้างที่ต่างจากมัลแวร์ทั่วไปอย่างชัดเจน เป้าหมายมักถูกเลือกเป็นรายบุคคล การปฏิบัติการมีต้นทุนสูง เครื่องมืออาศัยช่องโหว่ที่มีมูลค่าสูงและอาจใช้ได้เพียงระยะหนึ่งก่อนผู้ผลิตระบบตรวจพบและแก้ไข ขณะเดียวกัน ผู้ซื้อไม่จำเป็นต้องมีบุคลากรหรือศักยภาพทางไซเบอร์สำหรับพัฒนาเครื่องมือโจมตีเอง เพราะสามารถซื้อทั้งระบบและบริการสนับสนุนจากบริษัทเอกชนได้
Apple และบริษัทเทคโนโลยีจึงเพิ่มมาตรการตรวจจับและแจ้งเตือนผู้ใช้ที่อาจตกเป็นเป้าหมายของการโจมตีลักษณะนี้ โดยในปี 2569 Apple ปรับให้คำเตือนปรากฏบนหน้าจอล็อกโดยตรง พร้อมแนะนำให้เปิดโหมดล็อกดาวน์เพื่อลดช่องทางที่อาจถูกใช้ในการโจมตี ขณะเดียวกัน ตลาดสปายแวร์รับจ้างยังคงมีการพัฒนาเครื่องมือ ค้นหาช่องโหว่ใหม่ และเปลี่ยนแปลงผู้ให้บริการอย่างต่อเนื่อง ทำให้ความเสี่ยงจากการสอดส่องไม่ได้จำกัดอยู่ที่สปายแวร์ชนิดใดชนิดหนึ่ง แต่ครอบคลุมถึงอุตสาหกรรมที่พัฒนาและจำหน่ายเทคโนโลยีสำหรับเจาะเข้าถึงข้อมูลในอุปกรณ์ของบุคคลเป้าหมายให้แก่หน่วยงานรัฐในหลายประเทศ
ข่าวที่เกี่ยวข้อง: Apple เตือนภัยสปายแวร์ Mercenary ผู้ใช้ iPhone 110 ประเทศเฝ้าระวัง
อ้างอิง:
Apple Support: About Apple threat notifications and protecting against mercenary spyware
9to5Mac: Apple sends fresh wave of mercenary spyware warnings worldwide
Atlantic Council: Mythical Beasts and where to find them: Mapping the global spyware market
OCCRP: Where NSO Group Came From And Why It’s Just the Tip of the Iceberg
Citizen Lab: FORCEDENTRY: NSO Group iMessage Zero-Click Exploit Captured in the Wild
Carnegie Endowment: Why Does the Global Spyware Industry Continue to Thrive?
