CrowdStrike รายงานเมื่อ 7 ตุลาคม 2026 ว่าแฮกเกอร์ที่ยังไม่ระบุตัวใช้ ARTEX เครื่องมือเจาะระบบแบบเอเจนต์ที่พัฒนาในจีน ร่วมกับโมเดล AI หลายตัว รวมถึง Claude Code เจาะสถาบันการเงินในเกาหลีใต้ช่วงปลายเดือนกันยายนถึงต้นเดือนตุลาคม CrowdStrike ประเมินว่าเครื่องมือ AI ช่วยให้ผู้โจมตีที่หวังเงินเจาะได้หลายแห่งในเวลาสั้น
ARTEX คืออะไร และเจอร่องรอยอะไร
CrowdStrike อธิบาย ARTEX ว่าเป็นเครื่องมือทดสอบเจาะระบบแบบเอเจนต์ที่เป็นโอเพนซอร์ส พัฒนาในจีน ทีมสืบสวนเจอเซิร์ฟเวอร์ของผู้โจมตีที่เปิดไดเรกทอรีทิ้งไว้ ข้างในมีประวัติเซสชัน Claude Code ไฟล์ตั้งค่า ARTEX ไฟล์หน่วยความจำของ Claude และไฟล์ CLAUDE.md ที่มีคำสั่งเจาะระบบเป็นภาษาจีน เซิร์ฟเวอร์ที่รัน ARTEX ใช้ DeepSeek v4.1-flash เป็นโมเดลหลัก ส่วนเซสชัน Claude Code เพิ่มเติมใช้ GLM-5.3 และ Grok 4.6 (GLM เป็นโมเดลของ Zhipu AI)
เจาะอะไรไปบ้าง
CrowdStrike ระบุว่าธนาคารแห่งหนึ่งถูกเจาะระบบสอบถามความคืบหน้าสินเชื่อที่นายหน้าการเงินใช้ อีกแห่งถูกเจาะระบบสนับสนุนงานบนมือถือของพนักงาน และจำนวนสถาบันที่โดนทั้งหมดยังยืนยันไม่ได้ BleepingComputer รายงานเพิ่มว่ารายชื่อที่ถูกระบุได้แก่ Shinhan Bank, KB Kookmin Bank และ Hana Bank มีรายงานข้อมูลลูกค้าและบัตรเครดิตหลุด บางแห่งระบบล่ม และรัฐบาลเกาหลีใต้ประชุมฉุกเฉินเรียกร้องมาตรการป้องกันระบบ IT สำคัญ บทความนั้นไม่ได้กล่าวถึงคำตอบจาก Anthropic
ใครอยู่เบื้องหลัง
CrowdStrike ประเมินด้วยความมั่นใจระดับปานกลางว่าผู้โจมตีน่าจะพูดภาษาจีนและทำเพื่อเงิน โดยดูจากเครื่องมือและคำสั่งภาษาจีน แต่ยังไม่ระบุตัวตน ในบันทึกพบว่าผู้โจมตีถาม Claude ว่าข้อมูลหลุดของเกาหลีมักขายที่ไหน และขอให้ช่วยหากลุ่ม Telegram ที่ซื้อขายข้อมูลเกาหลี BleepingComputer รายงานว่านักพัฒนา ARTEX หยุดอัปเดตและปิดซอร์สหลังยืนยันว่าเครื่องมือถูกใช้โจมตีจริง แต่โค้ดเวอร์ชันเดิมถูกนำไปทำฉบับอื่นแล้ว จึงยังหาใช้ได้
องค์กรไทยควรดูอะไร
รายงานของ CrowdStrike ไม่มีหัวข้อคำแนะนำ แต่แนบตัวชี้วัดการโจมตี (IOC) ไว้ ได้แก่ IP ของเซิร์ฟเวอร์ ARTEX 38.244.50[.]120 กับ IP พร็อกซีอีก 9 หมายเลข ทีมความปลอดภัยของธนาคาร สหกรณ์ และบริษัทสินเชื่อไทยนำไปตรวจย้อนในล็อกได้ จุดที่ข่าวนี้ชี้ให้ตรวจเพิ่มคือระบบที่เปิดให้ผู้ใช้ภายนอกหรือพนักงานเข้าผ่านมือถือ เช่น ระบบเช็กสถานะสินเชื่อสำหรับนายหน้า ซึ่งเป็นประเภทที่ถูกเจาะในเคสนี้ ข้อนี้เป็นข้อสังเกตของ TechTide ไม่ใช่คำแนะนำของ CrowdStrike