หน่วยแฮ็กที่ได้รับการสนับสนุนจากรัฐที่มีความเคลื่อนไหวมากที่สุดของเกาหลีเหนือไม่ได้พึ่งพาอีเมลฟิชชิงพื้นฐานและการบุกรุกแบบเดรัจฉานอีกต่อไป ตามข้อมูลจากหลายบริษัทด้านความปลอดภัยไซเบอร์และหน่วยงานรัฐบาล กลุ่มที่เชื่อมโยงกับเปียงยางได้เริ่มสร้างเครื่องมือโจมตีแบบกำหนดเองด้วยปัญญาประดิษฐ์เชิงกำเนิด และการเพิ่มขึ้นของ การโจมตีไซเบอร์ด้วย AI ของเกาหลีเหนือ ได้ทิ้งร่องรอยไว้แล้วในเหตุการณ์จริงทั่วเกาหลีใต้และภาคเทคโนโลยีระดับโลก
Summary
ประเด็นสำคัญ
- Kimsuky, APT45 และ Famous Chollima ถูกบันทึกว่ามีการใช้โมเดล AI เชิงกำเนิด รวมถึง ChatGPT และ Gemini ของ Google เพื่อสนับสนุนปฏิบัติการแฮ็ก
- Kaspersky พบว่า Kimsuky ใช้ AI เพื่อสร้างมัลแวร์ชื่อ HelloDoor ซึ่งสามารถระบุได้จากคอมเมนต์ในโค้ดที่เต็มไปด้วยอีโมจิและข้อผิดพลาดทางไวยากรณ์แบบที่เกิดจากเครื่อง
- Famous Chollima ถูกเชื่อมโยงกับ 47% ของเหตุการณ์แฮ็กที่ได้รับการสนับสนุนจากรัฐทั้งหมดที่มุ่งเป้าไปยังภาคเทคโนโลยีระหว่างเดือนเมษายน 2025 ถึงพฤษภาคม 2026 ตามข้อมูลของ CrowdStrike
- ศูนย์ความมั่นคงไซเบอร์แห่งชาติของเกาหลีใต้ได้เตือนในเดือนมิถุนายน 2026 เกี่ยวกับการเพิ่มขึ้นของ “agentic AI” ที่สามารถเปิดการโจมตีแบบอัตโนมัติได้
แฮ็กเกอร์เกาหลีเหนือหันมาใช้ Generative AI เพื่อการโจมตีไซเบอร์
Generative AI ได้กลายเป็นส่วนหนึ่งของชุดเครื่องมือมาตรฐานของกลไกการแฮ็กของเกาหลีเหนืออย่างเงียบๆ นักวิจัยด้านความปลอดภัยไซเบอร์ระบุว่า โดยเฉพาะ Kimsuky และ APT45 ถูกจับได้ว่าใช้โมเดลภาษาขนาดใหญ่ เช่น ChatGPT และ Gemini ของ Google ไม่ใช่ในฐานะของเล่นทดลอง แต่เป็นโครงสร้างพื้นฐานที่ใช้งานได้จริงสำหรับการสร้างมัลแวร์ ดำเนินแคมเปญวิศวกรรมสังคม และตรวจสอบจุดอ่อนของซอฟต์แวร์ด้วยความเร็วที่ไม่มีทีมมนุษย์ทีมใดเทียบได้
การเปลี่ยนแปลงนี้มีความสำคัญเพราะมันเปลี่ยนเศรษฐศาสตร์ของการแฮ็กที่ได้รับการสนับสนุนจากรัฐ งานที่เคยต้องใช้ทีมผู้พัฒนาที่มีทักษะและต้องทดสอบด้วยมือหลายวัน ตอนนี้สามารถทำให้เป็นอัตโนมัติ ย่อให้สั้นลง และขยายขนาดได้โดยใช้คนจำนวนน้อยลงมาก
การพัฒนามัลแวร์แบบกำหนดเองที่ขับเคลื่อนด้วย AI
Kaspersky รายงานในเดือนพฤษภาคม 2026 ว่า Kimsuky ใช้โมเดลภาษาขนาดใหญ่เพื่อช่วยพัฒนามัลแวร์สายพันธุ์หนึ่งชื่อ HelloDoor โค้ดดังกล่าวมีสัญญาณบ่งชี้การมีส่วนร่วมของ AI อยู่สองประการ: คอมเมนต์ที่เต็มไปด้วยอีโมจิ และรูปแบบไวยากรณ์ที่สอดคล้องกับข้อความที่สร้างโดยเครื่องมากกว่าสไตล์การเขียนของนักพัฒนาที่ใช้ภาษาแม่ ความผิดปกติเหล่านั้นให้ลายนิ้วมือที่แปลกแต่มีประโยชน์แก่ผู้วิจัยในการติดตามมัลแวร์ที่ได้รับความช่วยเหลือจาก AI ย้อนกลับไปยังต้นตอที่เป็นไปได้
แคมเปญวิศวกรรมสังคมและฟิชชิงที่ขับเคลื่อนด้วย AI
การใช้ AI ของ Kimsuky ไม่ได้จำกัดอยู่แค่การเขียนโค้ด ย้อนกลับไปตั้งแต่เดือนกันยายน 2025 กลุ่มนี้ถูกระบุว่าใช้ ChatGPT ปลอมแปลงเอกสารแสดงตนของทหารเกาหลีใต้ จากนั้นนำไปใช้ในปฏิบัติการฟิชชิงที่สวมรอยเป็นสถาบันด้านกลาโหม เป้าหมายมีความเรียบง่าย: หลอกให้เหยื่อยอมมอบข้อมูลรับรองหรือคลิกลิงก์อันตรายที่ปลอมตัวเป็นการสื่อสารอย่างเป็นทางการ
Famous Chollima นำวิศวกรรมสังคมไปในทิศทางที่แตกต่างออกไป ตามรายงานของ CrowdStrike กลุ่มนี้ใช้ดีปเฟกที่สร้างด้วย AI และโปรไฟล์วิชาชีพปลอมเพื่อ สมัครงานด้านเทคโนโลยีที่ถูกต้องตามกฎหมาย เพื่อให้ได้มาซึ่งการเข้าถึงจากภายใน ซึ่งต่อมาถูกใช้เพื่อวัตถุประสงค์ด้านจารกรรมหรือการขโมยเมื่อเข้าไปอยู่ในบริษัทเป้าหมายแล้ว
เทคนิคและปฏิบัติการ AI เฉพาะของกลุ่มเกาหลีเหนือ
แต่ละกลุ่มดูเหมือนจะสร้างความเชี่ยวชาญเฉพาะของตนเองภายในแนวโน้มที่กว้างขึ้นของการพัฒนา มัลแวร์ AI ของ Kimsuky และการบุกรุกที่ได้รับความช่วยเหลือจาก AI ความแตกต่างของวิธีการเผยให้เห็นว่าการประยุกต์ใช้ Generative AI ภายในกลไกไซเบอร์ของเกาหลีเหนือมีความหลากหลายเพียงใด
มัลแวร์ HelloDoor ของ Kimsuky ที่มีลายเซ็น AI
กรณี HelloDoor ยังคงเป็นตัวอย่างที่มีการบันทึกไว้อย่างชัดเจนที่สุดของการสร้างมัลแวร์ที่ได้รับความช่วยเหลือจาก AI ซึ่งถูกระบุว่าเป็นผลงานของ Kimsuky ผลการค้นพบของ Kaspersky บ่งชี้ว่ากลุ่มนี้พึ่งพาโมเดลภาษาสำหรับการสร้างโค้ดจริงๆ ไม่ใช่แค่การวางแผนหรือการจัดทำเอกสาร ซึ่งเป็นความแตกต่างที่แยกเหตุการณ์นี้ออกจากการใช้แชตบอต AI แบบผิวเผินในช่วงแรกๆ เพื่อการค้นคว้าหรือการแปล
การใช้ recursive prompting ของ APT45 เพื่อวิเคราะห์ช่องโหว่ซอฟต์แวร์
APT45 ใช้กลยุทธ์ที่แตกต่างอย่างชัดเจน Google Threat Intelligence บันทึกว่ากลุ่มนี้ส่งพรอมต์ซ้ำๆ หลายพันครั้งไปยังโมเดลภาษาขนาดใหญ่ในเทคนิคที่นักวิจัยเรียกว่า recursive prompting วิธีการนี้เป็นระบบ: วิเคราะห์ช่องโหว่ของซอฟต์แวร์ที่รู้จัก จากนั้นทดสอบอย่างเป็นระบบว่าโค้ดเอ็กซ์พลอยต์ที่มีอยู่สามารถใช้ได้จริงกับจุดอ่อนเหล่านั้นหรือไม่ การสอบถามซ้ำๆ ปริมาณสูงลักษณะนี้เป็นงานประเภทที่ AI เชี่ยวชาญในการทำให้เป็นอัตโนมัติอย่างยิ่ง
การใช้ AI อย่างกว้างขวางของ Famous Chollima สำหรับดีปเฟกและการปลอมแปลงตัวตน
แคมเปญแทรกซึมที่ขับเคลื่อนด้วยดีปเฟกของ Famous Chollima ให้สถิติเดี่ยวที่โดดเด่นที่สุดในคลื่นรายงานนี้ ข้อมูลของ CrowdStrike แสดงให้เห็นว่าปฏิบัติการของกลุ่มนี้คิดเป็น 47% ของเหตุการณ์แฮ็กที่ได้รับการสนับสนุนจากรัฐทั้งหมดที่มุ่งเป้าไปยังภาคเทคโนโลยีระหว่างเดือนเมษายน 2025 ถึงพฤษภาคม 2026 ทำให้กลุ่มนี้กลายเป็นผู้ลงมือที่มีความเคลื่อนไหวมากที่สุดอย่างทิ้งห่างในช่วงเวลาดังกล่าว ความกระจุกตัวนี้ตอกย้ำว่าทำไมตัวตนปลอมและการแทรกซึมผ่านการสมัครงานจึงกลายเป็นความกังวลอย่างต่อเนื่องสำหรับผู้จัดการฝ่ายสรรหาและทีมรักษาความปลอดภัยทั่วทั้งอุตสาหกรรมเทคโนโลยี
คำเตือนด้านความปลอดภัยไซเบอร์และผลกระทบเชิงยุทธศาสตร์ของการโจมตีที่เสริมด้วย AI
พัฒนาการที่มีผลสืบเนื่องมากที่สุดอาจไม่ใช่เหตุการณ์ใดเหตุการณ์หนึ่ง แต่เป็นคำเตือนเกี่ยวกับทิศทางที่แนวโน้มนี้กำลังมุ่งไป ในเดือนมิถุนายน 2026 ศูนย์ความมั่นคงไซเบอร์แห่งชาติของเกาหลีใต้ได้แจ้งเตือนสาธารณชนเกี่ยวกับการเกิดขึ้นของสิ่งที่เรียกว่า “agentic AI” ระบบที่สามารถดำเนินการโจมตีไซเบอร์ได้อย่างอัตโนมัติ โดยไม่ต้องมีการควบคุมจากมนุษย์อย่างต่อเนื่อง หน่วยงานเตือนว่าระบบดังกล่าวในทางทฤษฎีสามารถดำเนินการ การกระทำที่เป็นอันตรายได้หลายหมื่นครั้ง ต่อวินาที ซึ่งเป็นขนาดที่ไม่อาจทำได้ด้วยการปฏิบัติการด้วยมือ
นี่คือเหตุผลที่แนวคิดของ ภัยคุกคามจาก agentic AI ได้รับความสนใจเป็นพิเศษจากนักวิจัยด้านความปลอดภัยไซเบอร์ ซึ่งอธิบาย AI ในภาพรวมว่าเป็น “ตัวคูณกำลัง” สำหรับปฏิบัติการของเกาหลีเหนือ แทนที่จะแทนที่แฮ็กเกอร์มนุษย์โดยสิ้นเชิง AI ดูเหมือนจะช่วยให้ทีมที่มีอยู่สามารถดำเนินแคมเปญที่กว้างขึ้นด้วยความพยายามด้วยมือที่น้อยลงอย่างมาก เพิ่มทั้งความเร็วและขอบเขตของการแฮ็กที่ได้รับการสนับสนุนจากรัฐโดยไม่ต้องเพิ่มจำนวนบุคลากรในสัดส่วนเดียวกัน
การโจมตีโครงสร้างพื้นฐานของรัฐบาลเกาหลีใต้ล่าสุด
เกาหลีใต้ยังคงเป็นเป้าหมายหลัก ด้วยเหตุผลที่หยั่งรากลึกในความตึงเครียดทางภูมิรัฐศาสตร์ที่ยาวนานบนคาบสมุทร นักวิจัยด้านความปลอดภัยที่ติดตามกิจกรรมของกลุ่มระบุว่า Kimsuky ได้มุ่งเป้าไปยังโครงสร้างพื้นฐานการออกใบรับรองของรัฐบาลเกาหลีใต้เมื่อไม่นานมานี้ในช่วงกลางปี 2026 แสดงให้เห็นว่ากลยุทธ์ที่ได้รับความช่วยเหลือจาก AI กำลังถูกนำไปใช้กับ ระบบของรัฐที่อ่อนไหว แบบเกือบเรียลไทม์ แทนที่จะเป็นเหตุการณ์โดดเดี่ยวครั้งคราว
แรงจูงใจด้านการเงินและข่าวกรองเบื้องหลังปฏิบัติการไซเบอร์ของเกาหลีเหนือ
ปฏิบัติการไซเบอร์ของเกาหลีเหนือไม่เคยเกี่ยวกับการจารกรรมเพียงอย่างเดียว ในอดีตมันขับเคลื่อนด้วยผลกำไรไม่แพ้การข่าว โดยกลุ่ม Lazarus ถูกเชื่อมโยงกับการปล้นคริปโทเคอร์เรนซีครั้งใหญ่ที่สุดบางส่วนที่เคยมีบันทึกไว้ การเพิ่มความสามารถด้าน AI ให้กับกลุ่มที่เชี่ยวชาญด้านอาชญากรรมไซเบอร์ทางการเงินอยู่แล้ว ทำให้เกิดคำถามที่น่ากังวลสำหรับอุตสาหกรรม: หาก AI สามารถช่วยให้ผู้กระทำเหล่านี้เขียนมัลแวร์ที่ดีกว่า ปลอมแปลงเอกสารที่น่าเชื่อถือมากขึ้น และสร้างตัวตนที่สมจริงยิ่งขึ้น ก็มีแนวโน้มว่าจะยกระดับเพดานของจำนวนเงินที่พวกเขาสามารถขโมยได้และความเร็วที่พวกเขาสามารถเคลื่อนไหวได้เมื่อเข้าไปในเครือข่ายแล้ว
การผสมผสานระหว่างการเก็บข่าวกรองและการขโมยทางการเงิน ซึ่งตอนนี้ถูกขยายผลด้วยเครื่องมือ AI มีแนวโน้มที่จะยังคงดึงดูดการจับตามองจากทั้งหน่วยงานกำกับดูแลของเกาหลีใต้และบริษัทความปลอดภัยไซเบอร์ระหว่างประเทศที่ติดตามเทคนิคการบุกรุกรุ่นถัดไปที่ได้รับการสนับสนุนจากรัฐ
คำถามที่พบบ่อย
กลุ่มแฮ็กเกอร์เกาหลีเหนือใช้ AI อย่างไรในการโจมตีไซเบอร์ของพวกเขา?
กลุ่มอย่าง Kimsuky, APT45 และ Famous Chollima ใช้ Generative AI เพื่อพัฒนามัลแวร์ วิเคราะห์ช่องโหว่ของซอฟต์แวร์ ปลอมแปลงบัตรประชาชน สร้างดีปเฟก และทำให้บางส่วนของแคมเปญโจมตีเป็นอัตโนมัติ
“agentic AI” คืออะไร และทำไมจึงเป็นเรื่องที่น่ากังวล?
Agentic AI หมายถึงระบบที่สามารถดำเนินการโจมตีไซเบอร์ได้อย่างอัตโนมัติด้วยความเร็วสูงโดยไม่ต้องมีการควบคุมจากมนุษย์อย่างต่อเนื่อง ซึ่งศูนย์ความมั่นคงไซเบอร์แห่งชาติของเกาหลีใต้เตือนว่าในทางทฤษฎีอาจทำให้สามารถดำเนินการที่เป็นอันตรายได้หลายหมื่นครั้งต่อวินาที
กลุ่มแฮ็กเกอร์เกาหลีเหนือกลุ่มใดที่มีความเคลื่อนไหวมากที่สุดในการโจมตีภาคเทคโนโลยี?
Famous Chollima คิดเป็น 47% ของเหตุการณ์แฮ็กที่ได้รับการสนับสนุนจากรัฐซึ่งมุ่งเป้าไปยังภาคเทคโนโลยีระหว่างเดือนเมษายน 2025 ถึงพฤษภาคม 2026 ตามข้อมูลของ CrowdStrike
กิจกรรมล่าสุดใดบ้างที่ Kimsuky ดำเนินการโดยใช้เครื่องมือ AI?
Kimsuky พัฒนามัลแวร์ HelloDoor ซึ่งมีการบันทึกไว้ในเดือนพฤษภาคม 2026 ปลอมแปลงบัตรประจำตัวทหารเกาหลีใต้ โดยใช้ ChatGPT เพื่อการฟิชชิงตั้งแต่เดือนกันยายน 2025 และมุ่งเป้าไปยังโครงสร้างพื้นฐานการออกใบรับรองของรัฐบาลเกาหลีใต้เมื่อไม่นานมานี้ในช่วงกลางปี 2026
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”กลุ่มแฮ็กเกอร์เกาหลีเหนือใช้ AI อย่างไรในการโจมตีไซเบอร์ของพวกเขา?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”กลุ่มอย่าง Kimsuky, APT45 และ Famous Chollima ใช้ Generative AI เพื่อพัฒนามัลแวร์ วิเคราะห์ช่องโหว่ของซอฟต์แวร์ ปลอมแปลงบัตรประชาชน สร้างดีปเฟก และทำให้บางส่วนของแคมเปญโจมตีเป็นอัตโนมัติ”}},{“@type”:”Question”,”name”:””agentic AI” คืออะไร และทำไมจึงเป็นเรื่องที่น่ากังวล?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Agentic AI หมายถึงระบบที่สามารถดำเนินการโจมตีไซเบอร์ได้อย่างอัตโนมัติด้วยความเร็วสูงโดยไม่ต้องมีการควบคุมจากมนุษย์อย่างต่อเนื่อง ซึ่งศูนย์ความมั่นคงไซเบอร์แห่งชาติของเกาหลีใต้เตือนว่าในทางทฤษฎีอาจทำให้สามารถดำเนินการที่เป็นอันตรายได้หลายหมื่นครั้งต่อวินาที”}},{“@type”:”Question”,”name”:”กลุ่มแฮ็กเกอร์เกาหลีเหนือกลุ่มใดที่มีความเคลื่อนไหวมากที่สุดในการโจมตีภาคเทคโนโลยี?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Famous Chollima คิดเป็น 47% ของเหตุการณ์แฮ็กที่ได้รับการสนับสนุนจากรัฐซึ่งมุ่งเป้าไปยังภาคเทคโนโลยีระหว่างเดือนเมษายน 2025 ถึงพฤษภาคม 2026 ตามข้อมูลของ CrowdStrike”}},{“@type”:”Question”,”name”:”กิจกรรมล่าสุดใดบ้างที่ Kimsuky ดำเนินการโดยใช้เครื่องมือ AI?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Kimsuky พัฒนามัลแวร์ HelloDoor ซึ่งมีการบันทึกไว้ในเดือนพฤษภาคม 2026 ปลอมแปลงบัตรประจำตัวทหารเกาหลีใต้โดยใช้ ChatGPT เพื่อการฟิชชิงตั้งแต่เดือนกันยายน 2025 และมุ่งเป้าไปยังโครงสร้างพื้นฐานการออกใบรับรองของรัฐบาลเกาหลีใต้เมื่อไม่นานมานี้ในช่วงกลางปี 2026″}}]}
บทความนี้จัดทำขึ้นโดยได้รับความช่วยเหลือจากปัญญาประดิษฐ์และผ่านการตรวจทานโดยทีมบรรณาธิการแล้ว
