รายงาน State of Cybercrime 2026 ของ KELA เปิดเผยข้อมูลเครดิตชาล 2.86 พันล้านรายการและความนิยมของการโจมตี AI อัตโนมัติ

การกระทำผิดทางไซเบอร์ไม่ได้เพิ่มขึ้นเท่านั้น แต่ยังพัฒนาไปในระดับโครงสร้างอีกด้วย ตามรายงาน The State of Cybercrime 2026: Emerging Threats & Predictions โดย KELA ผู้โจมตีได้เปลี่ยนจากวิธีการบุกรุกแบบดั้งเดิมไปสู่การละเมิดสิทธิ์ การใช้ AI ในการบุกรุก และการโจมตีระบบที่อาศัยความไว้วางใจในระดับใหญ่

รายงานให้ภาพที่ชัดเจนเกี่ยวกับปี 2025 เป็นจุดเปลี่ยน ผู้กระทำผิดทางไซเบอร์ไม่ได้บุกรุกเครือข่ายอีกต่อไป แต่พวกเขาล็อกอินโดยใช้ข้อมูลเครดิตชาลที่ถูกขโมย เอเย่นต์ AI และระบบของบุคคลที่สามที่เชื่อถือได้เพื่อหลบหลีกการป้องกันโดยสิ้นเชิง

ปีที่ทำลายสถิติสำหรับการกระทำผิดทางไซเบอร์

ระดับการกระทำผิดทางไซเบอร์ในปี 2025 สูงถึงระดับที่ไม่เคยเห็นมาก่อน KELA ติดตามข้อมูลเครดิตชาลที่ถูกบุกรุก 2.86 พันล้านรายการในระบบนิเวศทั่วโลก ซึ่งรวมถึงมัลแวร์ infostealer ฐานข้อมูลการบุกรุก และตลาดใต้ดิน

ข้อมูลเครดิตชาลเหล่านี้ได้กลายเป็นจุดเข้าสำหรับผู้โจมตีแทนการโจมตีจุดอ่อนความปลอดภัย ผู้กระทำผิดทางไซเบอร์ยิ่งมากขึ้นโดยอาศัยการเข้าถึงที่ถูกต้อง ซึ่งทำให้โมเดลการรักษาความปลอดภัยที่อาศัยพื้นที่เสี่ยงเป็นโมเดลที่ล้าสมัย

ในขณะเดียวกัน การโจมตีด้วย ransomware เพิ่มขึ้นอย่างมาก รายงานระบุผู้เสียหายจาก ransomware 7,549 รายในปี 2025 ซึ่งแสดงถึงการเพิ่มขึ้น 45% เมื่อเทียบกับปีก่อนหน้า โดยมีผู้เสียหายมากกว่า 53% ในสหรัฐอเมริกา

การเติบโตนี้ได้รับแรงผลักดันจากเศรษฐกิจการกระทำผิดทางไซเบอร์ที่เติบโตขึ้น มีกลุ่ม ransomware ที่ใช้งานอยู่ 147 กลุ่ม ซึ่งรวมถึงผู้เข้าใหม่ประมาณ 80 กลุ่ม ซึ่งแสดงให้เห็นว่าความยากในการเข้าสู่ตลาดนี้นั้นต่ำมาก

การระบาดของ infostealer ที่ขับเคลื่อนทุกอย่าง

ที่แก่นกลางของการเพิ่มขึ้นนี้คือการเพิ่มขึ้นของมัลแวร์ infostealer ซึ่งถือเป็นกระดูกสันหลังของการกระทำผิดทางไซเบอร์สมัยใหม่

KELA พบเครื่องมือที่ติดเชื้อมัลแวร์ประมาณ 3.9 ล้านเครื่องทั่วโลกในปี 2025 ซึ่งสร้างข้อมูลเครดิตชาล 347.5 ล้านรายการโดยตรงจากการติดเชื้อมัลแวร์เท่านั้น

ระบบนิเวศที่กว้างขึ้นเพิ่มข้อมูลเครดิตชาลเหล่านี้อย่างมาก โดยมีข้อมูลเครดิตชาลหลายพันล้านรายการไหลเวียนในตลาดการกระทำผิดทางไซเบอร์ ข้อมูลเครดิตชาลเหล่านี้ถูกขายให้กับกลุ่ม ransomware ผู้ให้บริการการเข้าถึงเบื้องต้น และผู้กระทำผิดทางไซเบอร์ของรัฐ

ข้อมูลเหล่านี้แสดงถึงการเปลี่ยนแปลงที่สำคัญในเป้าหมายการโจมตี มากกว่า 75% ของข้อมูลเครดิตชาลที่ถูกบุกรุกมีความเกี่ยวข้องกับบริการที่มีมูลค่าสูง เช่น แพลตฟอร์มคลาวด์สำหรับธุรกิจ (19.6%) ระบบ CMS (18.7%) บริการอีเมล (15.3%) และระบบการยืนยันตัวตน (12.9%)

การมุ่งเน้นนี้เน้นย้ำถึงกลยุทธ์ที่ชัดเจน: ผู้โจมตีให้ความสำคัญกับแพลตฟอร์มที่ช่วยให้สามารถเคลื่อนไหวและบุกรุกองค์กรได้อย่างเต็มที่

macOS ไม่ปลอดภัยอีกต่อไป: การเพิ่มขึ้น 7,000%

หนึ่งในผลการวิจัยที่น่าประหลาดใจที่สุดคือการล่มสลายของสมมติฐานเกี่ยวกับความปลอดภัยของแพลตฟอร์ม

การติดเชื้อมัลแวร์บน macOS เพิ่มขึ้นจากน้อยกว่า 1,000 รายในปี 2024 เป็นมากกว่า 70,000 รายในปี 2025 ซึ่งแสดงถึงการเพิ่มขึ้น 7,000%

การเพิ่มขึ้นนี้ได้รับแรงผลักดันจากมัลแวร์แบบบริการ ซึ่งทำให้ผู้โจมตีที่มีทักษะต่ำสามารถโจมตีเครื่อง Apple (AAPL ) ได้อย่างง่ายดาย

ผลกระทบนี้ชัดเจน: ไม่มีแพลตฟอร์มใดที่ปลอดภัยโดยธรรมชาติอีกต่อไป ผู้โจมตีจะตามหาความคุ้มค่า และระบบนิเวศของ Apple ก็อยู่ในเป้าหมายของพวกเขา

AI กลายเป็นพื้นที่โจมตีใหม่

การเปลี่ยนแปลงที่สำคัญที่สุดในรายงานคือการผสมผสาน AI ลึกเข้าไปในวงจรชีวิตของการโจมตีทางไซเบอร์

KELA ระบุถึงการเปลี่ยนแปลงจากการจู่โจมที่ได้รับการช่วยเหลือจาก AI ไปสู่การดำเนินการที่อัตโนมัติและขับเคลื่อนด้วยตัวแทน โดยที่ 80% ถึง 90% ของงานสามารถดำเนินการได้ด้วยการมีส่วนร่วมของมนุษย์ที่น้อยที่สุด

แนวคิดสำคัญที่เกิดขึ้นจากความเปลี่ยนแปลงนี้คือ “การโจมตีแบบ vibe” แทนที่จะโจมตีระบบ AI ผู้โจมตีจะหลอกลวงระบบ AI โดยการทำให้การกระทำที่เป็นอันตรายดูเหมือนเป็นงานที่ถูกต้อง ซึ่งช่วยให้ตัวแทน AI สามารถดำเนินการอันตรายโดยไม่ต้องทราบและไม่ต้องกระตุ้นการป้องกัน

รายงานยังเน้นถึงกรณีจริงที่ระบบ AI ถูกโจมตีโดยใช้ การฉีดคำสั่ง และการควบคุมทางอ้อม ในกรณีหนึ่ง ตัวแทน AI อัตโนมัติได้ทำการสำรวจข่าวกรอง พัฒนาโค้ดการโจมตี และดำเนินการโจมตีหลายเป้าหมายด้วยการกำกับดูแลของมนุษย์ที่จำกัด

สิ่งนี้แสดงถึงการเปลี่ยนแปลงที่สำคัญ AI ไม่ใช่แค่เครื่องมือสำหรับผู้โจมตี แต่ยังเป็นอาวุธและเป้าหมายอีกด้วย

การโจมตีด้วย ransomware วิวัฒนาการเป็นการข่มขู่ในระดับอุตสาหกรรม

การโจมตีด้วย ransomware ไม่ใช่แค่กลยุทธ์เดียว แต่เป็นแบบจำลองธุรกิจที่สมบูรณ์

การโจมตีส่วนใหญ่ในปัจจุบันพึ่งพาการข่มขู่สองครั้ง โดยรวมการขโมยข้อมูลและการเข้ารหัส อย่างไรก็ตาม การโจมตีที่มีการข่มขู่เท่านั้นก็เพิ่มขึ้น โดยที่ผู้โจมตีละเว้นการเข้ารหัสและเน้นไปที่การขโมยและสร้างรายได้จากข้อมูลที่ละเอียดอ่อน

ระบบนิเวศนี้มีการแข่งขันสูง กลุ่มที่มีผลการดำเนินงานสูงสุด Qilin มีผู้เสียหายมากกว่า 1,100 ราย ตามด้วย Akira ที่มีผู้เสียหาย 761 ราย และ Clop ที่มีผู้เสียหาย 523 ราย

กลุ่มเหล่านี้พึ่งพาข้อมูลเครดิตชาลที่ถูกขโมยมากกว่าการโจมตีทางเทคนิค โดยมักจะซื้อการเข้าถึงจากผู้ให้บริการการเข้าถึงเบื้องต้นเพื่อเร่งการโจมตี

ผลกระทบทางเศรษฐกิจนั้นไม่น่าเชื่อ การบุกรุกครั้งเดียวที่ Jaguar Land Rover ส่งผลให้เกิดความเสียหายทางเศรษฐกิจ 2.5 พันล้านดอลลาร์ รวมถึงการหยุดการผลิตและความเสียหายต่อห่วงโซ่อุปทานที่ส่งผลกระทบต่อธุรกิจหลายพันแห่ง

การโจมตีแบบ hacktivism และภูมิรัฐศาสตร์ทำให้ภัยคุกคามทางไซเบอร์รุนแรงขึ้น

การกระทำผิดทางไซเบอร์เกี่ยวข้องกับความขัดแย้งระดับโลกมากขึ้น

กิจกรรมของกลุ่ม hacktivist เพิ่มขึ้น 400% เมื่อเทียบกับปีก่อนหน้า โดยมีการโจมตี DDoS มากกว่า 3,500 ครั้ง และมีกลุ่มใหม่เกิดขึ้นมากกว่า 250 กลุ่มในปี 2025

กลุ่มเหล่านี้ไม่ได้จำกัดอยู่แค่การทำลายเว็บไซต์ แต่ยังโจมตีโครงสร้างพื้นฐานที่สำคัญ เทคโนโลยีการดำเนินงาน และระบบอุตสาหกรรม ซึ่งส่งผลกระทบต่อโลกแห่งความเป็นจริง

ในขณะเดียวกัน ผู้กระทำผิดทางไซเบอร์ของรัฐใช้การดำเนินการที่เกี่ยวข้องกับไซเบอร์เป็นเครื่องมือหลักของยุทธศาสตร์ภูมิรัฐศาสตร์ การรณรงค์ที่เกี่ยวข้องกับความตึงเครียดระหว่างรัสเซีย-ยูเครน อิสราเอล-อิหร่าน สหรัฐ-จีน และเกาหลีเหนือแสดงให้เห็นว่าการสงครามไซเบอร์ครอบคลุมการ间諜 การรบกวน และการดำเนินการทางการเงิน

การโจมตีห่วงโซ่อุปทานและการล่มสลายของความไว้วางใจ

แนวโน้มที่กำหนดอีกประการหนึ่งคือการเพิ่มขึ้นของการโจมตีห่วงโซ่อุปทาน

แทนที่จะโจมตีองค์กรเดียว ผู้โจมตีจะโจมตีผู้ขาย SaaS และโครงสร้างพื้นฐานที่ใช้ร่วมกันเพื่อเข้าถึงเหยื่อหลายพันรายในห่วงโซ่อุปทาน

ในกรณีหนึ่ง การโจมตี SaaS ต่อ SaaS ช่วยให้ผู้โจมตีสามารถเคลื่อนไหวเข้าสู่สภาพแวดล้อม Salesforce (CRM ) ของหลายบริษัทโดยใช้โทเค็น OAuth ที่ถูกขโมย โดยไม่ต้องผ่านการควบคุมด้านความปลอดภัยแบบดั้งเดิม

สิ่งนี้สะท้อนถึงการเปลี่ยนแปลงที่กว้างขึ้น โมเดล “ความไว้วางใจโดยค่าเริ่มต้น” กลายเป็นภัยคุกคาม เนื่องจากผู้โจมตีใช้ความสัมพันธ์ระหว่างระบบมากกว่าระบบตัวเอง

การโจมตีแบบ zero-day และการสิ้นสุดของหน้าต่างการแก้ไข

รายงานยังเน้นถึงการเปลี่ยนแปลงของการโจมตีแบบ zero-day

ในปี 2025 มีการเพิ่มช่องโหว่ 238 ช่องโหว่ลงในแค็ตตาล็อกช่องโหว่ที่ถูกโจมตีโดย CISA ซึ่งเพิ่มขึ้นจาก 185 ช่องโหว่ในปีก่อนหน้า

ผู้โจมตีได้สร้างรายได้จากการโจมตีแบบ zero-day เร็วขึ้นกว่าเดิม โดยมักจะใช้เวลาเพียงไม่กี่วันหรือแม้กระทั่งไม่กี่ชั่วโมงหลังจากการเปิดเผย Underground มีการขายชุดการโจมตีที่พร้อมใช้งานมากกว่าโค้ด proof-of-concept ซึ่งลดความยากในการโจมตีในวงกว้าง

ความเป็นจริงใหม่ของความปลอดภัยทางไซเบอร์

ผลการวิจัยในรายงาน State of Cybercrime 2026: Emerging Threats & Predictions โดย KELA ทำให้ชัดเจนว่าความปลอดภัยทางไซเบอร์กำลังเข้าสู่ยุคใหม่

ตัวตนเป็นพื้นที่โจมตีหลัก AI เป็นทั้งเครื่องมือและจุดอ่อน ความไว้วางใจระหว่างระบบถูกใช้เป็นอาวุธ และความเร็วของการโจมตีกำลังเพิ่มขึ้นเกินขีดจำกัดของโมเดลการป้องกันแบบดั้งเดิม

องค์กรที่ยังคงพึ่งพาแนวทางความปลอดภัยแบบดั้งเดิมมีความเสี่ยงมากขึ้น การเปลี่ยนแปลงไปสู่ความปลอดภัยที่อาศัยตัวตนเป็นหลัก สถาปัตยกรรม zero-trust และการป้องกันที่ตระหนักถึง AI ไม่ใช่ทางเลือกอีกต่อไป

สำหรับการวิเคราะห์อย่างลึกซึ้งเกี่ยวกับผู้กระทำผิดทางไซเบอร์ วิธีการโจมตี และคำแนะนำเชิงกลยุทธ์ รายงานฉบับเต็ม The State of Cybercrime 2026: Emerging Threats & Predictions by KELA ให้มุมมองที่ครอบคลุมเกี่ยวกับวิธีการพัฒนาของภูมิทัศน์การกระทำผิดทางไซเบอร์และทิศทางในอนาคต