นักวิจัยพบสัญญาณปฏิบัติการสอดแนมผู้ใช้ Starlink ครั้งใหญ่

รายงานใหม่กำลังทำให้วงการความปลอดภัยไซเบอร์จับตามองอย่างใกล้ชิด หลังนักวิจัยพบรูปแบบการซื้อโฆษณาที่ผิดปกติและอาจเชื่อมโยงกับการติดตามผู้ใช้งานอินเทอร์เน็ตผ่านดาวเทียม Starlink ในหลายประเทศทั่วโลก ประเด็นนี้ไม่ได้เกี่ยวข้องกับโฆษณาทั่วไปเพียงอย่างเดียว แต่ยังเชื่อมโยงกับบริษัทโฆษณาที่เคยถูกกล่าวถึงในคดีส่งสปายแวร์เข้าสู่อุปกรณ์โดยไม่ต้องให้ผู้ใช้คลิกหรืออนุญาตใด ๆ

ข้อมูลดังกล่าวมาจากการวิเคราะห์ของ TrendAI และรายงานของสำนักข่าว Reuters โดยพบว่าบริษัท Discover-Tech ซึ่งเคยถูกระบุว่าเกี่ยวข้องกับการส่ง Candiru สปายแวร์เชิงพาณิชย์ ได้กลายเป็นผู้เสนอราคาสูงสุดสำหรับพื้นที่โฆษณาบนทราฟฟิกของ Starlink ใน 105 ประเทศ นักวิจัยจึงตั้งข้อสังเกตว่า รูปแบบการซื้อโฆษณานี้อาจไม่ได้มีเป้าหมายเพื่อทำการตลาด แต่เป็นส่วนหนึ่งของระบบติดตามหรือเฝ้าระวังขนาดใหญ่

นักวิจัยพบสัญญาณปฏิบัติการสอดแนมผู้ใช้ Starlink ครั้งใหญ่

John Scott-Railton นักวิจัยอาวุโสจาก Citizen Lab แห่งมหาวิทยาลัยโตรอนโต ระบุว่า ข้อมูลจาก TrendAI ชี้ให้เห็นถึงความเป็นไปได้ของปฏิบัติการเฝ้าระวังผู้ใช้ Starlink ทั่วโลก จุดที่น่าสนใจคือบริษัทซึ่งใช้ชื่อภายในว่า SHADOW-EARTH-79 มีสัดส่วนชนะการประมูลโฆษณาบนทราฟฟิก Starlink ราว 12.9 เปอร์เซ็นต์ ขณะที่สัดส่วนเฉลี่ยบนทราฟฟิกทั่วไปอยู่ที่ประมาณ 2.6 เปอร์เซ็นต์ หรือสูงกว่าปกติเกือบห้าเท่า

ตัวเลขดังกล่าวทำให้เกิดคำถามว่า เหตุใดผู้ซื้อโฆษณารายหนึ่งจึงให้ความสนใจผู้ใช้ Starlink มากกว่าผู้ใช้อินเทอร์เน็ตทั่วไปอย่างชัดเจน การประมูลโฆษณาแบบเรียลไทม์ไม่ได้เปิดเผยเพียงพื้นที่สำหรับแสดงโฆษณาเท่านั้น แต่ยังอาจส่งต่อข้อมูลเกี่ยวกับอุปกรณ์ ระบบปฏิบัติการ ตำแหน่งโดยประมาณ เครือข่าย และพฤติกรรมการใช้งานให้กับผู้เข้าร่วมประมูลหลายราย ข้อมูลเหล่านี้อาจนำไปใช้สร้างโปรไฟล์หรือคาดการณ์ตำแหน่งของผู้ใช้งานได้

นักวิจัยพบสัญญาณปฏิบัติการสอดแนมผู้ใช้ Starlink ครั้งใหญ่จากข้อมูลโฆษณา

ความผิดปกติยิ่งเห็นได้ชัดในบางประเทศ โดย SHADOW-EARTH-79 มีสัดส่วนชนะโฆษณาบนทราฟฟิก Starlink สูงถึง 91.3 เปอร์เซ็นต์ในอาร์เจนตินา 89.1 เปอร์เซ็นต์ในฟิลิปปินส์ และ 82.6 เปอร์เซ็นต์ในญี่ปุ่น นอกจากนี้ยังเป็นผู้เสนอราคาสูงสุดในซีเรีย ลิเบีย เยเมน และซูดานใต้ รวมถึงเป็นผู้เสนอราคาลำดับสองในอัฟกานิสถาน ประเทศเหล่านี้บางแห่งอยู่ในภาวะสงคราม ถูกคว่ำบาตร หรือมีข้อจำกัดด้านการใช้งาน Starlink ทำให้ผู้ใช้ในพื้นที่เหล่านั้นอาจมีความอ่อนไหวและยากต่อการติดตามผ่านโครงสร้างอินเทอร์เน็ตแบบปกติ

TrendAI ระบุด้วยความเชื่อมั่นระดับปานกลางถึงสูงว่า รูปแบบการประมูลดังกล่าวสอดคล้องกับโครงสร้างพื้นฐานสำหรับการกำหนดเป้าหมายและติดตามบุคคล มากกว่าการดำเนินธุรกิจโฆษณาเชิงพาณิชย์ตามปกติ ข้อสรุปนี้ยังไม่ใช่หลักฐานยืนยันว่าผู้ใช้ Starlink ถูกติดสปายแวร์หรืออุปกรณ์ถูกเจาะโดยตรง แต่เป็นสัญญาณเตือนว่าข้อมูลจากระบบโฆษณาอาจถูกนำไปใช้ในลักษณะที่ผู้ใช้งานไม่คาดคิด

ความเชื่อมโยงกับ Candiru และ Discover-Tech

ก่อนหน้านี้ Citizen Lab เคยรายงานว่า Discover-Tech เป็นผู้ซื้อโฆษณาที่ดูเหมือนโฆษณาทั่วไป แต่แฝงสคริปต์ซึ่งสามารถนำ Candiru สปายแวร์เข้าสู่อุปกรณ์ของผู้ใช้ได้โดยไม่ต้องมีการคลิก หรือที่เรียกว่า zero-click attack การตรวจสอบพบอุปกรณ์อย่างน้อย 45 เครื่องที่ Al Jazeera ซึ่งถูกระบุว่าติด Candiru ในช่วงปี 2024 และ 2025

นักวิจัยใช้บันทึกการสื่อสารบนเครือข่ายเพื่อสร้างลำดับเหตุการณ์ขึ้นมาใหม่ โดยอุปกรณ์จะเชื่อมต่อกับโครงสร้างพื้นฐานของ Discover-Tech เมื่อโฆษณาถูกโหลด จากนั้นภายในเวลาไม่กี่วินาทีจะติดต่อกับเซิร์ฟเวอร์ตรวจสอบของ Candiru ลักษณะการทำงานเช่นนี้ทำให้โฆษณาไม่ได้เป็นเพียงเนื้อหาสำหรับการตลาด แต่กลายเป็นช่องทางที่อาจนำไปสู่การโจมตีอุปกรณ์ได้

Candiru ซึ่งปัจจุบันเปลี่ยนชื่อเป็น Integrity Labs เป็นผู้พัฒนาเครื่องมือสอดแนมที่สามารถเจาะโทรศัพท์และคอมพิวเตอร์อย่างเงียบ ๆ ในปี 2021 กระทรวงพาณิชย์ของสหรัฐฯ ได้เพิ่ม Candiru เข้าไปใน Entity List เนื่องจากความกังวลว่าเทคโนโลยีของบริษัทอาจถูกใช้เพื่อติดตามนักข่าว นักเคลื่อนไหว และเจ้าหน้าที่รัฐ

ทำไมการประมูลโฆษณาจึงกลายเป็นความเสี่ยงด้านความเป็นส่วนตัว

ระบบโฆษณาดิจิทัลในปัจจุบันทำงานด้วยการประมูลแบบเรียลไทม์ เมื่อผู้ใช้เปิดเว็บไซต์หรือแอปพลิเคชัน ระบบจะส่งข้อมูลเกี่ยวกับพื้นที่โฆษณาและอุปกรณ์ไปยังผู้ซื้อหลายราย ผู้ซื้อเหล่านั้นจะประเมินว่าผู้ใช้น่าสนใจหรือไม่ ก่อนเสนอราคาเพื่อแสดงโฆษณา กระบวนการทั้งหมดเกิดขึ้นภายในเวลาเพียงเสี้ยววินาที และผู้ใช้อาจไม่ทราบเลยว่าข้อมูลของตนถูกส่งต่อไปยังบริษัทจำนวนมาก

ข้อมูลที่เกี่ยวข้องอาจประกอบด้วยรหัสโฆษณาของอุปกรณ์ ที่อยู่ไอพี ประเภทโทรศัพท์ ภาษา เขตเวลา ตำแหน่งโดยประมาณ และรายละเอียดของแอปหรือเว็บไซต์ที่กำลังใช้งาน หากนำข้อมูลจากหลายครั้งมาประกอบกัน ผู้ซื้ออาจคาดเดาเส้นทางการเดินทาง สถานที่พักอาศัย หรือรูปแบบกิจวัตรของบุคคลได้ แม้จะไม่มีการเจาะระบบของ Starlink โดยตรงก็ตาม

กรณีนี้จึงสะท้อนปัญหาสำคัญของอุตสาหกรรมโฆษณา นั่นคือโครงสร้างพื้นฐานที่สร้างขึ้นเพื่อช่วยให้แบรนด์เข้าถึงกลุ่มเป้าหมาย อาจถูกนำไปใช้เพื่อการติดตาม การเก็บข้อมูลจำนวนมาก หรือการค้นหาผู้ใช้งานในพื้นที่ที่มีความอ่อนไหวทางการเมืองและความมั่นคง เมื่อกลุ่มเป้าหมายเป็นผู้ใช้ Starlink การวิเคราะห์ข้อมูลอาจช่วยระบุตำแหน่งของผู้ที่ใช้งานอินเทอร์เน็ตผ่านดาวเทียมในประเทศซึ่งจำกัดหรือห้ามบริการดังกล่าว

บริษัทเทคโนโลยีตอบสนองอย่างไร

หลังมีการเผยแพร่ผลการตรวจสอบ Google ยุติการเข้าถึงแพลตฟอร์มแลกเปลี่ยนโฆษณาของ Discover-Tech และแจ้งว่าได้ปิดกั้นบริษัทไม่ให้เสนอราคาหรือแสดงโฆษณาภายในระบบของ Google ขณะเดียวกัน IAB Europe ก็ถอด Discover-Tech ออกจาก Global Vendor List เมื่อวันที่ 8 ตุลาคม การดำเนินการเหล่านี้ถือเป็นขั้นตอนสำคัญ แต่ยังมีคำถามว่าบริษัทดังกล่าวอาจเข้าถึงข้อมูลหรือแพลตฟอร์มอื่นใดได้อีกบ้าง

รายงานอีกส่วนหนึ่งระบุว่า Discover-Tech เคยมีสถานะเป็นผู้ให้บริการโฆษณาที่ได้รับการรับรองหรืออนุมัติจาก Google และ IAB Europe ตั้งแต่ปี 2020 จนถึงช่วงก่อนถูกถอดออก การที่บริษัทสามารถดำเนินงานในระบบโฆษณาขนาดใหญ่ได้นานหลายปี แสดงให้เห็นว่าการตรวจสอบผู้ให้บริการโฆษณาและการติดตามพฤติกรรมที่ผิดปกติยังมีช่องว่างอยู่มาก

การวิเคราะห์ข้อมูลการประมูลประมาณ 4 พันล้านรายการระหว่างเดือนมีนาคมถึงมิถุนายน 2026 พบว่า Discover-Tech เสนอราคาประมาณ 3.77 พันล้านครั้ง และชนะการประมูลราว 442 ล้านครั้ง สคริปต์ของบริษัทปรากฏในแอป Android และ iOS จำนวน 75,373 แอป รวมถึงเว็บไซต์ 120,768 แห่ง บริษัทใช้เงินประมาณ 109,000 ดอลลาร์ แต่ไม่มีข้อมูลการเปลี่ยนเป็นลูกค้าหรือ conversion ที่สอดคล้องกับธุรกิจโฆษณาปกติ นักวิจัยจึงมองว่านี่เป็นหลักฐานเพิ่มเติมว่าการดำเนินงานอาจมีเป้าหมายอื่น

ผู้ใช้งานควรป้องกันตัวเองอย่างไร

• ลดการอนุญาตที่ไม่จำเป็น: ตรวจสอบสิทธิ์ของแอป โดยเฉพาะการเข้าถึงตำแหน่ง ไมโครโฟน รายชื่อผู้ติดต่อ และข้อมูลอุปกรณ์
• ใช้เบราว์เซอร์ที่เน้นความเป็นส่วนตัว: เปิดระบบบล็อกตัวติดตามและคุกกี้จากบุคคลที่สามเมื่อเหมาะสม
• อัปเดตซอฟต์แวร์เสมอ: ระบบปฏิบัติการและแอปเวอร์ชันใหม่มักมีแพตช์แก้ไขช่องโหว่ที่สำคัญ
• หลีกเลี่ยงการติดตั้งแอปจากแหล่งที่ไม่รู้จัก: ดาวน์โหลดแอปจากร้านค้าอย่างเป็นทางการ และตรวจสอบผู้พัฒนาก่อนติดตั้ง
• แยกอุปกรณ์สำหรับงานสำคัญ: หากทำงานด้านสื่อ สิทธิมนุษยชน หรือความมั่นคง ควรใช้เครื่องเฉพาะและลดการติดตั้งแอปที่ไม่จำเป็น
• ระวังโฆษณาและลิงก์ผิดปกติ: อย่าคลิกโฆษณาที่มีข้อความเร่งด่วน หรือพาไปยังเว็บไซต์ที่ไม่น่าเชื่อถือ แม้การโจมตีแบบ zero-click ไม่จำเป็นต้องคลิกก็ตาม

โดยสรุป นักวิจัยพบสัญญาณปฏิบัติการสอดแนมผู้ใช้ Starlink ครั้งใหญ่จากรูปแบบการซื้อโฆษณาที่ผิดปกติและการเชื่อมโยงกับโครงสร้างพื้นฐานที่เคยถูกใช้ส่งสปายแวร์ แม้ยังไม่มีการยืนยันว่า Starlink ถูกเจาะระบบหรือผู้ใช้ถูกติดเชื้อโดยตรง แต่ข้อมูลนี้เตือนให้เห็นว่าโฆษณาดิจิทัลอาจเป็นช่องทางเก็บข้อมูลที่ทรงพลัง ผู้ใช้ควรให้ความสำคัญกับการตั้งค่าความเป็นส่วนตัว อัปเดตอุปกรณ์ และติดตามข่าวด้านความปลอดภัยอย่างสม่ำเสมอ เพราะในโลกออนไลน์ การปกป้องข้อมูลตั้งแต่ต้นย่อมดีกว่ารอแก้ปัญหาเมื่อข้อมูลถูกนำไปใช้แล้ว

ที่มา – Researchers Uncover Signs of Massive Surveillance Operation on Starlink Users