# FBI และ CISA เตือน SafePay ransomware เหยื่อ 600 ราย รีเซ็ต NAS แบ็กอัปเป็นค่าโรงงาน

> SafePay ransomware โจมตีเหยื่ออย่างน้อย 600 รายตั้งแต่ ส.ค. 2024 เจาะผ่าน VPN และช่องโหว่ Cisco, SonicWall, Veeam แล้วรีเซ็ต NAS แบ็กอัป ตามคำเตือน AA26-293A

- ประเภท: ข่าว · หมวด: Cybersecurity
- เผยแพร่: 2026-10-22T19:07:00.000Z · อัปเดต: 2026-10-22T19:07:00.000Z
- โดย: กองบรรณาธิการ THAI DATA, THAI DATA IT BUSINESS ENTERPRISE
- ที่มา: https://thaidata.co.th/security/safepay-ransomware-aa26-293a-fbi-cisa-advisory/

## สรุปประเด็นสำคัญ

- FBI, CISA, Secret Service ของสหรัฐฯ, Landeskriminalamt Rheinland-Pfalz ของเยอรมนี และ National Crime Agency กับ North West Regional Organised Crime Unit ของสหราชอาณาจักร ออกคำเตือนร่วม **AA26-293A** เมื่อ **20 ตุลาคม 2026**
- **SafePay ransomware** เคลื่อนไหวมาตั้งแต่ **สิงหาคม 2024** โจมตีเหยื่ออย่างน้อย **600 ราย** ในหลายภาคโครงสร้างพื้นฐานสำคัญในอเมริกาเหนือ อเมริกาใต้ ยุโรป และออสเตรเลีย และเป็นหนึ่งในกลุ่มที่เคลื่อนไหวมากที่สุดในปี 2026
- ช่องทางเข้าคือรหัสผ่านที่รั่วหรือถูกเดา VPN และช่องโหว่ **5 รายการ** ใน Cisco ASA/FTD, Veeam Backup & Replication และ SonicWall SonicOS ซึ่งทุกตัวอยู่ในแค็ตตาล็อก KEV ของ CISA ตั้งแต่ปี 2023–2024
- กลุ่มนี้หยุดบริการ Volume Shadow Copy และ**รีเซ็ต NAS ที่เก็บแบ็กอัปเป็นค่าโรงงาน** เพื่อไม่ให้เหยื่อกู้ระบบได้ และเข้ารหัสไฟล์ด้วย ChaCha20 ร่วมกับ RSA

FBI, CISA และหน่วยงานจากเยอรมนีกับสหราชอาณาจักร ออกคำเตือนร่วม AA26-293A เมื่อวันที่ 20 ตุลาคม 2026 ว่า SafePay ransomware โจมตีเหยื่อไปแล้วอย่างน้อย 600 รายตั้งแต่สิงหาคม 2024 โดยเจาะผ่าน VPN และช่องโหว่ที่อยู่ในรายการถูกโจมตีจริงมาตั้งแต่ปี 2023–2024 และรีเซ็ต NAS ที่เก็บแบ็กอัปเป็นค่าโรงงานเพื่อไม่ให้เหยื่อกู้ระบบได้

หน่วยงานที่ร่วมลงนามมีหกแห่ง ได้แก่ FBI, CISA, หน่วย Secret Service ของสหรัฐฯ (USSS), Landeskriminalamt Rheinland-Pfalz ของเยอรมนี และ National Crime Agency กับ North West Regional Organised Crime Unit ของสหราชอาณาจักร ข้อมูลมาจากการสืบสวนของ FBI, USSS และตำรวจเยอรมนีจนถึงเดือนสิงหาคม 2026 [หน้า CSA ของ IC3](https://www.ic3.gov/CSA) ซึ่งเป็นศูนย์รับแจ้งอาชญากรรมไซเบอร์ของ FBI ก็ลงคำเตือนชื่อเดียวกันไว้ด้วย

## SafePay ransomware คือใคร และโจมตีใครบ้าง

คำเตือนระบุว่า SafePay ransomware โจมตีทั้งธุรกิจและโครงสร้างพื้นฐานสำคัญในอเมริกาเหนือ อเมริกาใต้ ยุโรป และออสเตรเลีย มีเหยื่ออย่างน้อย 600 รายจากหลายภาค และเป็นหนึ่งในกลุ่มแรนซัมแวร์ที่เคลื่อนไหวมากที่สุดในปี 2026 กลุ่มนี้ขโมยข้อมูลออกไปก่อน แล้วจึงเข้ารหัสไฟล์ด้วย ChaCha20 ร่วมกับ RSA ไฟล์ที่ถูกเข้ารหัสจะมีนามสกุล .SafePay และกู้คืนไม่ได้หากไม่มีกุญแจถอดรหัส

ค่าไถ่ที่ SafePay ransomware เรียกมักคิดเป็นสัดส่วนของรายได้บริษัทและให้จ่ายเป็นคริปโต โน้ตเรียกค่าไถ่ให้ติดต่อผ่านหน้าแชตบนเครือข่าย Tor ด้วยรหัสเหยื่อ มีคนของกลุ่มโทรศัพท์กดดันเหยื่อ และถ้าเหยื่อไม่จ่ายจะนำข้อมูลไปเผยแพร่บนเว็บไซต์ของกลุ่ม หลังเข้ารหัสเสร็จ ตัวแรนซัมแวร์อาจลบตัวเองออกจากเครื่อง

## ช่องโหว่ที่ SafePay ransomware ใช้เจาะเข้าองค์กร

FBI, USSS และนักวิจัยพบว่า SafePay ransomware ได้สิทธิ์เข้าระบบครั้งแรกจากรหัสผ่านที่รั่ว การเดารหัสผ่านแบบ brute force และการเข้าผ่าน VPN กลุ่มนี้ใช้ IP ของผู้ให้บริการ VPN ชื่อ Mullvad และใช้บัญชีที่ได้จากฟิชชิงเพื่อใช้ช่องโหว่ในอุปกรณ์ขอบเครือข่าย นอกจากนี้ยังใช้สคริปต์อัตโนมัติไล่เจาะระบบที่เปิดออกอินเทอร์เน็ตอีกสามช่องโหว่ คำเตือนไม่ได้ระบุชื่อผลิตภัณฑ์ แต่แค็ตตาล็อก KEV ของ CISA ระบุไว้ดังนี้ และทั้งห้ารายการถูกทำเครื่องหมายว่าเคยถูกใช้ในแคมเปญแรนซัมแวร์

| CVE | ผลิตภัณฑ์ (ตาม KEV) | ประเภทช่องโหว่ | วิธีที่ SafePay ใช้ | เข้า KEV |
| --- | --- | --- | --- | --- |
| CVE-2020-3259 | Cisco ASA และ FTD | เปิดเผยข้อมูล (CWE-200) | ใช้บัญชีจากฟิชชิงผ่าน Mullvad VPN | 15 ก.พ. 2024 |
| CVE-2023-20269 | Cisco ASA และ FTD | ข้ามการยืนยันตัวตน (CWE-288) | ใช้บัญชีจากฟิชชิงผ่าน Mullvad VPN | 13 ก.ย. 2023 |
| CVE-2023-27532 | Veeam Backup & Replication | ขาดการยืนยันตัวตน (CWE-306) | สคริปต์อัตโนมัติเจาะระบบที่เปิดออกอินเทอร์เน็ต | 22 ส.ค. 2023 |
| CVE-2024-40711 | Veeam Backup & Replication | Deserialization (CWE-502) | สคริปต์อัตโนมัติเจาะระบบที่เปิดออกอินเทอร์เน็ต | 17 ต.ค. 2024 |
| CVE-2024-40766 | SonicWall SonicOS | ควบคุมสิทธิ์ผิดพลาด (CWE-284) | สคริปต์อัตโนมัติเจาะระบบที่เปิดออกอินเทอร์เน็ต | 9 ก.ย. 2024 |

สองในห้ารายการอยู่ใน Veeam Backup & Replication ซึ่งเป็นซอฟต์แวร์สำรองข้อมูล และทุกรายการอยู่ใน KEV มาตั้งแต่ปี 2023–2024 จึงไม่ใช่ช่องโหว่ใหม่

![ส่วน Initial Access ในคำเตือน AA26-293A ระบุการใช้ Mullvad VPN บัญชีจากฟิชชิง และช่องโหว่ 5 รายการ](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/safepay-ransomware-aa26-293a-fbi-cisa-advisory/cisa-aa26-293a-safepay-initial-access.webp?v=0cecd12b) _(ภาพ: CISA (ภาพหน้าจอ))_

![ภาพสรุปช่องโหว่ 5 รายการที่ SafePay ransomware ใช้เจาะระบบ แยกตามผลิตภัณฑ์ Cisco ASA และ FTD, Veeam Backup & Replication และ SonicWall SonicOS](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/safepay-ransomware-aa26-293a-fbi-cisa-advisory/safepay-ransomware-initial-access-cves.webp?v=0af65c74) _(ภาพ: THAI DATA (ข้อมูล: CISA))_

## SafePay ransomware ทำอะไรหลังเข้าเครือข่าย: จากบัญชีผู้ดูแลถึงการล้างแบ็กอัป

เมื่อ SafePay ransomware เข้าเครือข่ายได้ กลุ่มนี้ยกสิทธิ์บัญชีเดิมหรือสร้างบัญชีใหม่ให้เป็นผู้ดูแล แล้วใช้เครื่องมือที่มีอยู่ในระบบ (living off the land) เป็นหลัก ลำดับที่คำเตือนบรรยายสรุปได้ดังนี้

1. **ฝังตัวและสำรวจ** ใช้ PsExec และ WinRM สั่งงานเครื่องอื่น ใช้ ShareFinder.ps1 และ SharpShares.exe หาโฟลเดอร์แชร์ที่มีข้อมูลมีค่า
2. **ปิดการป้องกัน** ปิดซอฟต์แวร์ความปลอดภัยก่อนเคลื่อนย้ายในเครือข่าย บางกรณีเปลี่ยนรหัสผ่านของผู้ใช้จนล็อกอินไม่ได้ และอำพรางโค้ดด้วยการแพ็กซอฟต์แวร์
3. **ยกระดับสิทธิ์** ใช้เทคนิคข้าม User Account Control (UAC) และการสวมรอย token
4. **เคลื่อนที่ในเครือข่าย** ใช้ PsExec, WinRM, ซอฟต์แวร์ดูแลระยะไกล (RMM) และ RDP พร้อมหารหัสผ่านผู้ดูแลเพิ่ม
5. **ขโมยข้อมูล** บีบอัดด้วย 7-Zip และ WinRAR แล้วส่งออกด้วย FileZilla, WinSCP, RClone, OneDrive หรือ b2.exe ของ Backblaze บางกรณีติดตั้ง AnyDesk หรือ TeamViewer เพื่อส่งแรนซัมแวร์เข้าเครื่อง
6. **ทำลายทางกู้คืน** หยุดบริการ Volume Shadow Copy และรีเซ็ต Network Attached Storage (NAS) ที่เก็บแบ็กอัปของเหยื่อให้กลับเป็นค่าโรงงาน
7. **เข้ารหัสและเรียกค่าไถ่** เข้ารหัสไฟล์ทั้งไฟล์หรือบางส่วนตามชนิดและขนาด แล้ววางโน้ตเรียกค่าไถ่บนเดสก์ท็อปหรือโฟลเดอร์ราก

![ส่วน Collection, Exfiltration, and Impact ในคำเตือน AA26-293A ระบุว่า SafePay หยุด Volume Shadow Copy Service และรีเซ็ต NAS ที่เก็บแบ็กอัปเป็นค่าโรงงาน](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/safepay-ransomware-aa26-293a-fbi-cisa-advisory/cisa-aa26-293a-safepay-backup-nas-reset.webp?v=9ca247e4) _(ภาพ: CISA (ภาพหน้าจอ))_

ข้อ 6 ทำให้คำเตือนนี้สำคัญกับทุกองค์กรที่ใช้ NAS เป็นที่เก็บแบ็กอัปหลัก หน่วยงานที่ออกคำเตือนจึงแนะนำให้เก็บแบ็กอัปแบบออฟไลน์ที่เข้ารหัส แก้ไขหรือลบไม่ได้ ครอบคลุมข้อมูลทั้งองค์กร และเก็บหลายชุดไว้ในที่ที่แยกทางกายภาพและแยกเครือข่าย

## ค่าบ่งชี้การโจมตีของ SafePay ransomware

คำเตือนมีรายการค่าบ่งชี้ (IoC) ที่พบระหว่างพฤศจิกายน 2024 ถึงสิงหาคม 2026 ได้แก่ IP 9 รายการ ชื่อไฟล์ที่พบในเหตุการณ์ ค่าแฮช SHA-1 4 ค่า ค่าแฮช SHA-256 6 ค่า และชื่อเครื่อง (hostname) 4 ชื่อ พร้อมไฟล์ STIX แบบ XML และ JSON ให้นำเข้าเครื่องมือตรวจจับ หน่วยงานเตือนว่า IP บางรายการอยู่บนคลาวด์ที่อาจถูกเปลี่ยนมือไปใช้งานปกติแล้ว และเครื่องมือหลายตัวในรายการเป็นซอฟต์แวร์ถูกกฎหมาย จึงควรตรวจสอบก่อนบล็อก

## ทำไมเรื่องนี้สำคัญ

ทางเข้าที่คำเตือนระบุล้วนเป็นสิ่งที่องค์กรปิดเองได้ คือรหัสผ่านที่รั่วหรือเดาได้ การเข้าผ่าน VPN และช่องโหว่ที่อยู่ใน KEV มาตั้งแต่ปี 2023–2024 การเจาะผ่านอุปกรณ์ขอบเครือข่ายยังเป็นแนวทางเดียวกับแรนซัมแวร์ Qilin และ INC ที่[ใช้ช่องโหว่ GlobalProtect ของ PAN-OS](/security/pan-os-cve-2026-0257-globalprotect-qilin-inc-ransomware/) ส่วนการรีเซ็ต NAS แบ็กอัปตอกย้ำบทเรียนจาก[เหตุ IDCF Cloud ในญี่ปุ่นที่ลูกค้าต้องพึ่งแบ็กอัปของตัวเอง](/cloud/idcf-cloud-ransomware-japan-495-organisations/) ว่าแบ็กอัปที่ผู้โจมตีเข้าถึงได้ไม่นับเป็นแผนกู้คืน

## สิ่งที่องค์กรไทยควรทำเพื่อรับมือ SafePay ransomware

เช็กลิสต์รับมือ SafePay ransomware ด้านล่างเรียงจากสิ่งที่ปิดช่องทางเข้าก่อน ตามข้อแนะนำในคำเตือน AA26-293A

- **ปิดช่องโหว่ 5 รายการในตารางทันที** ตรวจไฟร์วอลล์ Cisco ASA/FTD, SonicWall และเซิร์ฟเวอร์ Veeam Backup & Replication ว่าลงแพตช์แล้ว และไม่เปิดเซิร์ฟเวอร์แบ็กอัปออกอินเทอร์เน็ตโดยตรง คำเตือนให้จัดลำดับแพตช์ช่องโหว่ใน KEV ของระบบที่เปิดออกอินเทอร์เน็ตก่อน
- **บังคับ MFA กับ VPN อีเมลบนเว็บ และบัญชีที่เข้าระบบสำคัญ** ใช้รหัสผ่านยาว 15–64 ตัวอักษร ล็อกบัญชีเมื่อใส่รหัสผิดหลายครั้ง และไม่ใช้รหัสผ่านซ้ำ เพราะ brute force และรหัสผ่านที่รั่วคือทางเข้าหลักของกลุ่มนี้
- **แยกแบ็กอัปให้ผู้โจมตีแตะไม่ได้** เก็บสำเนาออฟไลน์ที่เข้ารหัสและแก้ไขหรือลบไม่ได้ (immutable) หลายชุดในที่ที่แยกจากเครือข่ายหลัก อย่าให้ NAS แบ็กอัปจัดการได้ด้วยบัญชีโดเมนเดียวกับเครื่องทั่วไป และทดสอบกู้คืนจริงเป็นประจำ ดูหลักการวางแผนได้ใน[คู่มือกฎ Backup 3-2-1](/datacenter/backup-3-2-1-rule-guide/)
- **ล่าหาร่องรอยด้วย IoC และพฤติกรรม** นำไฟล์ STIX ของ AA26-293A เข้า SIEM หรือ EDR และตรวจหาบัญชีผู้ดูแลใหม่บน Domain Controller การใช้ PsExec, WinRM, RClone หรือ AnyDesk ที่ผิดปกติ และการหยุดบริการ Volume Shadow Copy
- **ลดสิทธิ์และแบ่งเครือข่าย** ใช้หลักสิทธิ์น้อยที่สุดและสิทธิ์ผู้ดูแลแบบให้ชั่วคราว (just-in-time) ปิดพอร์ตที่ไม่ใช้ และจำกัดการรันคำสั่งและสคริปต์บนเครื่องที่ไม่จำเป็น หน่วยงานไม่สนับสนุนการจ่ายค่าไถ่ และขอให้แจ้งเหตุต่อเจ้าหน้าที่ทุกกรณี ติดตามข่าวภัยคุกคามอื่น ๆ ได้ที่[หมวด Security](/security/)

## คำถามที่พบบ่อย

### SafePay ransomware คืออะไร?

SafePay ransomware คือกลุ่มแรนซัมแวร์ที่เคลื่อนไหวมาตั้งแต่สิงหาคม 2024 ขโมยข้อมูลแล้วเข้ารหัสไฟล์โดยต่อท้ายนามสกุล .SafePay เรียกค่าไถ่เป็นคริปโต และขู่เผยแพร่ข้อมูลบนเว็บไซต์ของกลุ่ม คำเตือนร่วม AA26-293A ของ FBI และ CISA ระบุว่ามีเหยื่ออย่างน้อย 600 ราย

### SafePay ransomware เจาะเข้าองค์กรผ่านช่องโหว่อะไร?

คำเตือน AA26-293A ระบุว่า SafePay ใช้บัญชีที่ได้จากฟิชชิงผ่าน IP ของ Mullvad VPN เพื่อใช้ช่องโหว่ CVE-2020-3259 และ CVE-2023-20269 ซึ่งแค็ตตาล็อก KEV ระบุว่าอยู่ใน Cisco ASA และ FTD และใช้สคริปต์อัตโนมัติเจาะ CVE-2023-27532 และ CVE-2024-40711 ใน Veeam Backup & Replication กับ CVE-2024-40766 ใน SonicWall SonicOS

### SafePay ransomware ทำลายแบ็กอัปอย่างไร?

หน่วยงานที่ออกคำเตือนพบว่า SafePay หยุดบริการ Volume Shadow Copy ของ Windows และรีเซ็ตอุปกรณ์ NAS ที่เก็บข้อมูลแบ็กอัปของเหยื่อให้กลับเป็นค่าโรงงาน เพื่อขัดขวางการกู้ระบบ จึงแนะนำให้เก็บแบ็กอัปแบบออฟไลน์ เข้ารหัส แก้ไขหรือลบไม่ได้ และแยกไว้คนละที่

### องค์กรควรป้องกัน SafePay ransomware อย่างไร?

ข้อแนะนำหลักคือแพตช์ช่องโหว่ใน KEV โดยเฉพาะระบบที่เปิดออกอินเทอร์เน็ต บังคับ MFA กับ VPN อีเมลบนเว็บ และบัญชีที่เข้าระบบสำคัญ ใช้รหัสผ่านยาวอย่างน้อย 15 ตัวอักษร เก็บแบ็กอัปออฟไลน์ที่ทดสอบกู้คืนแล้ว แบ่งเครือข่าย ตรวจหาบัญชีใหม่บน Domain Controller และจำกัดสิทธิ์ผู้ดูแลตามความจำเป็น

### ถ้าถูก SafePay ransomware โจมตี ควรจ่ายค่าไถ่หรือไม่?

FBI, CISA และหน่วยงานร่วมไม่สนับสนุนให้จ่ายค่าไถ่ให้ SafePay ransomware หรือกลุ่มใด เพราะไม่รับประกันว่าจะได้ไฟล์คืน และอาจกระตุ้นให้ผู้โจมตีเล็งองค์กรอื่นต่อ ไม่ว่าจะจ่ายหรือไม่ หน่วยงานขอให้แจ้งเหตุต่อเจ้าหน้าที่โดยเร็ว


## แหล่งอ้างอิง

- [#StopRansomware: SafePay Ransomware (AA26-293A)](https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-293a) — CISA
- [Cybersecurity Advisories (CSA)](https://www.ic3.gov/CSA) — FBI Internet Crime Complaint Center (IC3)
- [Known Exploited Vulnerabilities Catalog](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA