Deepfake และ AI Scam คืออะไร? เมื่อแฮกเกอร์ให้ AI Agent ลงมือแทนตัวเอง SME ไทยต้องรู้ทันแค่ไหน

23 กรกฎาคม 2026 นักวิจัยความปลอดภัยจาก Hunt.io ตรวจพบสิ่งที่ไม่เคยเห็นมาก่อนในไทย: เซิร์ฟเวอร์ 3 เครื่องในฮ่องกงที่แฮกเกอร์ใช้โจมตี กระทรวงการคลังของไทย เปิดเป็น “Open Directory” ให้ใครก็เข้าไปดูได้ ข้างในมีเครื่องมือแฮกครบชุด เว็บเชลล์ มัลแวร์เจาะระบบ Linux/Windows ชื่อ “Hades” — และสิ่งที่ทำให้เคสนี้ต่างจากทุกครั้งคือ ส่วนหนึ่งของการโจมตีไม่ได้ทำโดยมนุษย์

แฮกเกอร์ใช้ AI Agent โอเพนซอร์สชื่อ Hermes สั่งให้ทำงานในโหมด “YOLO” ซึ่งแปลว่าปล่อยให้ AI ตัดสินใจและลงมือเองแบบไม่ต้องรออนุมัติจากมนุษย์ทุกขั้นตอน — สำรวจระบบ ยกระดับสิทธิ์ ค้นหาไฟล์และช่องโหว่ในเครือข่ายกระทรวงการคลังโดยอัตโนมัติ นักวิจัยยังพบว่ามีคำสั่งให้ AI Agent ไปสำรวจโฟลเดอร์ที่มีเอกสาร PDF, DOC, XLS และข้อมูลบุคลากรของสำนักงานปลัดกระทรวงการคลังด้วย

นี่ไม่ใช่ข่าวจากต่างประเทศอีกต่อไป AI ที่ลงมือโจมตีเองมาถึงไทยแล้ว และถ้า AI เก่งพอที่จะแฮกหน่วยงานรัฐแบบไม่ต้องพักได้ คำถามที่ SME ไทยต้องถามตัวเองคือ — AI แบบเดียวกันนี้เอาไปสร้างคลิปปลอม เสียงปลอม อีเมลปลอมหลอกโอนเงินจากธุรกิจของคุณได้ง่ายแค่ไหน

ตัวเลขที่ต้องรู้ก่อนอ่านต่อ

ตัวเลข	ความหมาย	แหล่งที่มา
YOLO mode	โหมดที่ปล่อยให้ AI Agent ลงมือโจมตีเองโดยไม่ต้องรอมนุษย์อนุมัติ ใช้จริงกับกระทรวงการคลังไทย ก.ค. 2026	Dark Reading / Hunt.io
7.48 พันล้านบาท	ความเสียหายจากอาชญากรรมออนไลน์ในไทย เฉพาะ 4 เดือนแรกของปี 2569	สคส. (PDPC)
อันดับ 9 ของโลก	อันดับประเทศไทยด้านมูลค่าความเสียหายจากการหลอกลวงออนไลน์ เฉลี่ย 37,000 บาท/คน	สกมช. (NCSA)
+180%	การฉ้อโกงที่อาศัย AI และ Deepfake เพิ่มขึ้นทั่วโลกในรอบปีที่ผ่านมา	ข้อมูลสากล อ้างโดย สคส.
3 วินาที	เสียงพูดที่ต้องใช้ เพื่อโคลนเสียงคนคนหนึ่งให้เหมือนจริงถึง 85%	Adaptive Security
25.6 ล้านดอลลาร์	เงินที่บริษัทในฮ่องกงโอนให้แฮกเกอร์ หลังถูกหลอกด้วยวิดีโอคอลปลอมของ CFO และเพื่อนร่วมงานทั้งห้อง	CNN / ตำรวจฮ่องกง

ตัวเลขบรรทัดสุดท้ายคือสิ่งที่ SME ทุกรายควรอ่านซ้ำ — เหยื่อไม่ได้โดนอีเมลหลอกธรรมดา แต่ คุยวิดีโอคอลกับ “คน” ที่หน้าตาและเสียงเหมือนหัวหน้าตัวเองทุกคนในห้องประชุม แล้วยังโอนเงินไป

Deepfake และ AI Scam คืออะไรกันแน่

Deepfake คือเทคโนโลยี AI ที่สร้างภาพ วิดีโอ หรือเสียงปลอมของคนจริงให้สมจริงจนแยกไม่ออกด้วยตาเปล่า ส่วน AI Scam ในความหมายกว้างคือการใช้ปัญญาประดิษฐ์เข้ามาช่วยหลอกลวง ตั้งแต่เขียนข้อความหลอกลวงที่เนียนขึ้น ไปจนถึงกรณีล่าสุดอย่างเคสกระทรวงการคลังที่ AI ลงมือแฮกเองได้บางส่วน โดยแทบไม่ต้องมีคนคอยสั่ง

สำหรับ SME ภัยจาก AI ที่ต้องระวังแบ่งเป็น 3 กลุ่มหลัก:

1. Voice Cloning — โคลนเสียงคนที่คุณไว้ใจ

แค่มีคลิปเสียง 3 วินาทีจากคลิปสัมภาษณ์ วิดีโอประชุม หรือคลิปที่โพสต์ในโซเชียล มิจฉาชีพก็โคลนเสียงเจ้าของธุรกิจ กรรมการ หรือหัวหน้าฝ่ายบัญชีได้แล้ว ใช้โทรสั่งพนักงานให้โอนเงินด่วน เหมือนเคสที่นักธุรกิจในสวิตเซอร์แลนด์ต้นปี 2026 ถูกหลอกโอนเงินหลายล้านฟรังก์สวิสไปบัญชีในเอเชีย เพราะเชื่อว่าคุยโทรศัพท์กับคู่ค้าจริง ทั้งที่เสียงนั้นเป็นเสียงโคลน

2. Deepfake วิดีโอ — ปลอมทั้งหน้าตาในวิดีโอคอล

นี่คือระดับที่อันตรายกว่าเดิมมาก เพราะคนส่วนใหญ่เชื่อสิ่งที่ “เห็น” มากกว่าสิ่งที่ “อ่าน” เคสฮ่องกงข้างต้นคือตัวอย่างสุดโต่ง — พนักงานฝ่ายการเงินเข้าประชุมวิดีโอคอลที่มีคนอื่นในจอ 5-6 คน ซึ่งเป็นภาพปลอมทั้งหมด สร้างจากคลิปประชุมเก่าที่หาได้ในระบบขององค์กร

3. AI Agent ที่ลงมือโจมตีเอง — ภัยรูปแบบใหม่ที่โตเร็วที่สุด

เคสกระทรวงการคลังไทยคือหลักฐานว่าภัยนี้ไม่ใช่เรื่องอนาคตอีกแล้ว นักวิจัยจาก Hunt.io ยังพบว่าเมื่อ 2 สัปดาห์ก่อนหน้านั้น มีกลุ่มที่คาดว่าเป็นแฮกเกอร์จีนใช้ Claude Code และ DeepSeek โจมตีระบบการเงินใน 4 ประเทศพร้อมกันในลักษณะเดียวกัน — AI Agent ทำให้แฮกเกอร์คนเดียวโจมตีได้เหมือนมีทีมงานทั้งทีม และทำได้ตลอด 24 ชั่วโมงโดยไม่ต้องพัก

ทำไม SME ไทยต้องสนใจ ไม่ใช่แค่หน่วยงานรัฐหรือบริษัทใหญ่

หลายคนอ่านข่าวกระทรวงการคลังแล้วคิดว่า “เป้าหมายระดับนั้นไม่เกี่ยวกับธุรกิจเล็กๆ แบบเรา” แต่ตัวเลขในไทยบอกตรงกันข้าม

ธุรกิจ SME คือเป้าที่ตรวจสอบตัวตนยากกว่าองค์กรใหญ่ เพราะไม่มีขั้นตอน verify คำสั่งโอนเงินซ้ำ
Voice cloning และ deepfake ไม่ต้องเจาะระบบ ไม่ต้องมีช่องโหว่ทางเทคนิค — อาศัยแค่ “ความไว้ใจ” ระหว่างเจ้าของธุรกิจกับพนักงาน ซึ่ง SME มีเยอะกว่าองค์กรใหญ่ด้วยซ้ำ
เจ้าของธุรกิจ SME ไทยจำนวนมากโพสต์คลิปสัมภาษณ์ ไลฟ์สด หรือคลิปสอนงานบนโซเชียลมีเดียเป็นประจำ — วัตถุดิบสำหรับโคลนเสียงและใบหน้ามีให้แฮกเกอร์ใช้ฟรีอยู่แล้ว
ผู้เชี่ยวชาญด้านความมั่นคงไซเบอร์ไทยประเมินว่าปี 2026 การโจมตีด้วย AI จะยิ่งซับซ้อนขึ้น โดยรูปแบบที่อันตรายที่สุดคือ Deepfake และการปลอมแปลงตัวตนเสมือน

สคส. (PDPC) ระบุในโอกาสครบรอบ 4 ปีขององค์กรว่า ความเสียหายจากอาชญากรรมออนไลน์ในไทยเพียง 4 เดือนแรกของปี 2569 สูงถึง 7.48 พันล้านบาท ท่ามกลาง “ภูมิทัศน์ความเสี่ยงทางดิจิทัลที่ซับซ้อนอย่างไม่เคยเป็นมาก่อน” ซึ่งรวมทั้งการใช้ AI ในทางผิดและเทคโนโลยี Deepfake โดยเฉพาะ

Deepfake CEO Fraud: BEC เวอร์ชัน 2.0

ธุรกิจไทยหลายรายเริ่มรู้จัก Business Email Compromise (BEC) — อีเมลปลอมสั่งโอนเงินอยู่แล้ว แต่ Deepfake CEO Fraud คือวิวัฒนาการขั้นถัดไปที่หลอกได้แนบเนียนกว่าเดิมมาก เพราะเพิ่ม “หลักฐานเสียงและภาพ” เข้าไปยืนยันความน่าเชื่อถือของอีเมลปลอม

รูปแบบที่พบบ่อยที่สุดทั่วโลกตอนนี้:

ขั้นตอน	สิ่งที่เกิดขึ้น
1. อีเมลปลอมมาก่อน	อ้างเป็นผู้บริหารส่งคำสั่ง “ธุรกรรมลับ” เร่งด่วน สร้างความสงสัยเล็กน้อยในตอนแรก
2. โทรศัพท์หรือวิดีโอคอลตามมา	เสียงหรือหน้าตาที่โคลนมาช่วยลบความสงสัยของพนักงานทันที
3. เร่งเวลาให้ตัดสินใจเร็ว	อ้างว่าเป็นความลับ ห้ามปรึกษาคนอื่น ต้องโอนก่อนเวลาปิดทำการ
4. โอนเงินไปหลายบัญชีในเวลาสั้นๆ	เคสฮ่องกงใช้เวลาสัปดาห์เดียว โอนเงิน 15 ครั้งไป 5 บัญชี ก่อนถูกพบ

สัญญาณอันตรายที่ควรจำ: คำสั่งโอนเงินที่ “เร่งด่วน” + “เป็นความลับ ห้ามเช็คกับใคร” + มาจากช่องทางที่ไม่ปกติ (โทรจู่ๆ, วิดีโอคอลนัดกะทันหัน) คือสูตรคลาสสิกของการหลอกลวงไม่ว่าจะใช้ AI หรือไม่ก็ตาม

ป้องกันอย่างไร: มาตรการที่ SME ทำได้จริงโดยไม่ต้องใช้งบสูง

1. ตั้ง “คำสั่งโอนเงินต้องมีขั้นตอนยืนยัน” ที่ AI ปลอมไม่ได้

ห้ามอนุมัติการโอนเงินก้อนใหญ่จากคำสั่งทางเสียงหรือวิดีโอคอลเพียงอย่างเดียว ให้มีขั้นตอนยืนยันที่สอง เช่น โทรกลับไปยังเบอร์ที่บันทึกไว้ล่วงหน้า (ไม่ใช่เบอร์ที่โทรเข้ามา) หรือกำหนดรหัสยืนยันภายในที่ใช้พูดในทุกธุรกรรมสำคัญ

2. ตั้งกฎ “Two-Person Rule” สำหรับธุรกรรมใหญ่

กำหนดว่าธุรกรรมเกินวงเงินที่ตั้งไว้ต้องมีผู้อนุมัติ 2 คนขึ้นไปเสมอ ไม่ว่าใครจะเป็นคนสั่งก็ตาม เพราะการหลอกให้คนคนเดียวเชื่อ ง่ายกว่าหลอกให้คน 2 คนเชื่อพร้อมกันมาก

3. อบรมพนักงานฝ่ายบัญชีและการเงินเป็นพิเศษ

พนักงานกลุ่มนี้คือเป้าหมายอันดับ 1 ของ Deepfake CEO Fraud ควรรู้ตัวอย่างเคสจริงและซ้อมสถานการณ์จำลอง ดู แนวทางอบรมพนักงานด้าน Cybersecurity

4. จำกัดข้อมูลเสียง-ภาพของผู้บริหารที่เผยแพร่สาธารณะ

ไม่ได้แปลว่าห้ามทำคอนเทนต์หรือออกสื่อ แต่ควรตระหนักว่าคลิปสัมภาษณ์ยาวๆ ที่มีเสียงชัดคือวัตถุดิบให้มิจฉาชีพ พิจารณาว่าคลิปไหนจำเป็นต้องเปิดสาธารณะจริงๆ

5. ปิดช่องทางที่ AI Agent แฮกเกอร์ใช้เจาะระบบ

เคสกระทรวงการคลังใช้ AI ทำ system enumeration, privilege escalation และหาช่องโหว่อัตโนมัติ — มาตรการพื้นฐานอย่าง เปิด MFA ทุกบัญชี, ปิดบัญชีพนักงานเก่า และหลักการ Zero Trust ยังคงเป็นเกราะป้องกันที่ได้ผล เพราะ AI Agent ก็ยังต้องอาศัยช่องโหว่พื้นฐานแบบเดิมในการเจาะเข้าระบบ

6. เตรียมแผนรับมือไว้ล่วงหน้า

ถ้าพบว่าโอนเงินให้มิจฉาชีพไปแล้ว ความเร็วในการแจ้งธนาคารและตำรวจภายในไม่กี่ชั่วโมงแรกคือปัจจัยชี้ขาดว่าจะอายัดเงินทันหรือไม่ ดู วิธีสร้าง Incident Response Plan ฉบับ SME

เช็กลิสต์: ธุรกิจคุณพร้อมรับมือ Deepfake Scam แค่ไหน

☐ มีขั้นตอนยืนยันตัวตนสองชั้นสำหรับคำสั่งโอนเงินก้อนใหญ่
☐ ธุรกรรมสำคัญต้องมีผู้อนุมัติมากกว่า 1 คนเสมอ
☐ พนักงานฝ่ายบัญชี/การเงินเคยรับฟังเคสตัวอย่าง Deepfake CEO Fraud มาแล้ว
☐ มีเบอร์โทรยืนยันที่บันทึกไว้ล่วงหน้า ไม่ใช้เบอร์ที่โทรเข้ามาแทน
☐ เปิด MFA ครบทุกบัญชีอีเมลและระบบการเงิน
☐ มีนโยบายชัดเจนว่าคำสั่งด่วน-ลับ-ห้ามเช็คกับใคร คือสัญญาณเตือน

คำถามที่พบบ่อย

Q: AI Agent ที่โจมตีกระทรวงการคลังไทย ขโมยข้อมูลไปได้จริงหรือไม่? A: จากรายงานของ Hunt.io ยังไม่พบหลักฐานว่ามีการดึงข้อมูล (exfiltrate) ออกจากระบบ แต่พบว่าเครื่องมือถูกวางไว้พร้อมขยายการเข้าถึงต่อ และ AI Agent ถูกสั่งให้สำรวจโฟลเดอร์ที่มีเอกสารสำคัญไว้แล้ว

Q: ธุรกิจเล็กจะโดน Deepfake วิดีโอคอลแบบเคสฮ่องกงได้จริงหรือ ดูเป็นเรื่องไกลตัว? A: เคสฮ่องกงเกิดกับบริษัทข้ามชาติขนาดใหญ่ก็จริง แต่เทคโนโลยีเดียวกันตอนนี้มีต้นทุนต่ำลงมากจนใครก็เข้าถึงได้ ความเสี่ยงของ SME ไม่ใช่การถูกเลือกเป้าหมายแบบละเอียด แต่คือการถูกใช้เทคนิคเดียวกันในรูปแบบที่ง่ายกว่า เช่น โทรศัพท์เสียงโคลนแทนวิดีโอคอลแบบเต็มรูปแบบ

Q: จะรู้ได้อย่างไรว่ากำลังคุยกับเสียงหรือวิดีโอปลอม? A: ไม่มีวิธีสังเกตด้วยตาเปล่าที่แม่นยำ 100% เพราะเทคโนโลยีพัฒนาเร็วมาก วิธีที่ได้ผลที่สุดคือ “ไม่เชื่อจากช่องทางเดียว” ต้องยืนยันซ้ำผ่านช่องทางอื่นที่รู้จักกันมาก่อนเสมอ โดยเฉพาะเรื่องเงิน

Q: ถ้าไม่มีงบซื้อระบบตรวจจับ Deepfake ทำอะไรได้บ้าง? A: มาตรการที่ได้ผลที่สุดไม่ใช่เทคโนโลยีราคาแพง แต่คือ “กระบวนการ” — Two-Person Rule, เบอร์โทรยืนยันที่ตั้งไว้ล่วงหน้า และการอบรมพนักงาน ซึ่งแทบไม่มีต้นทุน แต่สกัดกลโกงประเภทนี้ได้เป็นส่วนใหญ่

สรุป

AI Agent ลงมือแฮกเองได้แล้วจริงในไทย เคสกระทรวงการคลัง ก.ค. 2026 ใช้ Hermes AI Agent โหมด YOLO โจมตีแบบอัตโนมัติ
Deepfake ไม่ใช่แค่ภาพหรือเสียงปลอม แต่หลอกได้ทั้งวิดีโอคอลทั้งห้องประชุม อย่างเคสฮ่องกงที่สูญเงิน 25.6 ล้านดอลลาร์
ไทยสูญเงินจากอาชญากรรมออนไลน์ 7.48 พันล้านบาทใน 4 เดือนแรกของปี 2569 และติดอันดับ 9 ของโลกด้านความเสียหายจากการหลอกลวงออนไลน์
SME คือเป้าที่ตรวจสอบตัวตนหลวมกว่าองค์กรใหญ่ และเจ้าของธุรกิจที่ออกสื่อบ่อยยิ่งเสี่ยงเป็นวัตถุดิบให้มิจฉาชีพ
มาตรการที่ได้ผลไม่ต้องใช้งบสูง คือ Two-Person Rule, เบอร์โทรยืนยันที่ตั้งไว้ล่วงหน้า, MFA และการอบรมพนักงาน

ติดต่อ Skysoft ได้เลย — ทีมงานพร้อมตอบทุกคำถามโดยไม่มีค่าใช้จ่าย
พร้อมประเมินความเสี่ยงด้านความปลอดภัยขององค์กรของคุณหรือยัง?
ติดต่อทีมผู้เชี่ยวชาญ WatchGuard เพื่อรับคำแนะนำเฉพาะสำหรับธุรกิจของคุณได้วันนี้
หากท่านสนใจทดลองใช้สามารถ ลงทะเบียนเพื่อขอทดลองได้ฟรี 30 วัน

Credit https://www.watc hguard.com

Cyber News, Security Content

Deepfake และ AI Scam คืออะไร?