โทรศัพท์ถูกแฮกเพียงแค่ดังขึ้น - "WeWorm" ที่สร้างโดย AI เปิดศักราชใหม่ของการโจมตีทางไซเบอร์ต่อ WeChat

มีสายโทรศัพท์จากเพื่อนโทรเข้ามาที่สมาร์ทโฟนของคุณ

เพียงแค่มองหน้าจอ คุณก็ไม่รับสาย ไม่กดลิงก์ที่น่าสงสัย และไม่เปิดไฟล์ใดๆ

ถึงกระนั้น การโจมตีก็ได้เกิดขึ้นแล้ว――

การทดลองที่เขย่าความเชื่อเดิมๆ เกี่ยวกับความปลอดภัยทางไซเบอร์นี้ได้ถูกเปิดเผยในเดือนกันยายน 2026

เป้าหมายคือ WeChat ซึ่งเป็นโครงสร้างพื้นฐานขนาดใหญ่ในชีวิตประจำวันของจีน Calif บริษัทด้านความปลอดภัยในรัฐแคลิฟอร์เนีย สหรัฐอเมริกา ได้พัฒนาวอร์มเพื่อการพิสูจน์ที่ชื่อว่า "WeWorm" ซึ่งแสดงให้เห็นว่าสามารถควบคุมบัญชีได้ก่อนที่ผู้รับจะตอบรับสาย โดยใช้ช่องโหว่ในฟังก์ชันการโทรเสียงของ WeChat

สิ่งที่ได้รับความสนใจคือความสามารถในการแพร่กระจายตัวเองจากบัญชีที่ติดเชื้อไปยังเพื่อนคนต่อไป โดยข้ามระหว่าง Android และ iPhone

อย่างไรก็ตาม สิ่งที่ต้องเน้นย้ำคือ

นี่ไม่ใช่เหตุการณ์ที่ "มีผู้ติดเชื้อ 1.4 พันล้านคนในจีน"

เป็นการพิสูจน์ความเสี่ยงในสภาพแวดล้อมที่ปลอดภัยโดยนักวิจัยด้านความปลอดภัย และไม่มีหลักฐานว่ามีการใช้งานในทางที่ผิดในวงกว้างในสังคมจริง นักวิจัยได้รายงานช่องโหว่ให้กับ Tencent ก่อนการเปิดเผย และ Tencent ได้ดำเนินการแก้ไขแล้ว

อย่างไรก็ตาม มีเหตุผลที่การวิจัยนี้ได้รับความสนใจจากทั่วโลก

ปัญหาหลักไม่ใช่แค่ "WeChat มีบั๊กหนึ่งตัว"

แต่เป็นการที่ AI เริ่มลดเวลาที่จำเป็นในการสร้างการโจมตีทางไซเบอร์ขั้นสูงและลดต้นทุนด้านบุคลากรอย่างรวดเร็ว

ในจีน WeChat เป็นมากกว่า "แอป"

หากเข้าใจ WeChat เป็นเพียงแอปส่งข้อความเช่น LINE หรือ WhatsApp อาจทำให้มองข้ามความสำคัญของปัญหานี้

Weixin สำหรับจีนแผ่นดินใหญ่และ WeChat สำหรับต่างประเทศ ไม่เพียงแต่มีฟังก์ชันการส่งข้อความและการโทรเสียง/วิดีโอ แต่ยังรวมถึงการชำระเงิน บัญชีทางการของบริษัท มินิโปรแกรม การค้นหา เกม วิดีโอ และบริการอื่นๆ อีกมากมายในแพลตฟอร์มเดียว

ตามข้อมูลจาก Tencent ผู้ใช้ที่ใช้งาน Weixin และ WeChat รวมกันในไตรมาสแรกของปี 2026 มีจำนวนมากกว่า 1.4 พันล้านคน

ในจีน การซื้อของและชำระเงิน การจองร้านอาหาร การติดต่อกับบริษัท และการสนทนากับเพื่อนร่วมงานในชีวิตประจำวันสามารถทำได้ใน WeChat

ดังนั้น บัญชี WeChat จึงมีความหมายมากกว่าแค่บัญชี SNS

แม้ว่าจะไม่ได้ถูกยึดสมาร์ทโฟนทั้งหมด แต่การที่ข้อความถูกอ่านและเขียน การปลอมตัวเป็นเจ้าของ และการโทรหาเพื่อนก็เป็นความเสียหายที่รุนแรง

ดังนั้น ปัญหาที่เกิดขึ้นครั้งนี้ไม่ใช่แค่ปัญหาช่องโหว่ของแอปเดียว แต่ยังเป็นความเสี่ยงจากการรวมฟังก์ชันทางสังคมเข้ากับแพลตฟอร์มขนาดใหญ่

การโจมตีที่เกิดขึ้นได้แม้ไม่รับโทรศัพท์

WeWorm ใช้ช่องโหว่ในส่วนที่จัดการการโทรผ่านอินเทอร์เน็ตของ WeChat หรือที่เรียกว่า VoIP

สำหรับการโจมตีแบบฟิชชิ่งทั่วไป ผู้เสียหายจะต้องคลิกลิงก์หรือเปิดไฟล์ที่ไม่ถูกต้อง

แต่การโจมตีที่เรียกว่า "Zero-click" ไม่ต้องการการกระทำเหล่านั้น

ในการทดลองของทีมวิจัย การโจมตีเกิดขึ้นในขณะที่สมาร์ทโฟนของผู้รับกำลังประมวลผลการรับสายจาก WeChat

ไม่จำเป็นต้องรับสาย

ไม่จำเป็นต้องอ่านข้อความ

ไม่จำเป็นต้องติดตั้งอะไร

การรับสายเพียงอย่างเดียวก็เป็นทางเข้าของการโจมตี

Calif ได้ทำการโทรจากอุปกรณ์ Android ไปยัง iPhone และควบคุมบัญชีบน iPhone จากนั้นโทรไปยังอุปกรณ์ Android อื่นและบุกรุกบัญชีถัดไป

กลไกที่ "อุปกรณ์ที่ติดเชื้อกลายเป็นผู้โจมตีถัดไป" นี้คือเหตุผลที่ WeWorm ถูกเรียกว่าวอร์ม

การเป็นเพื่อนกลายเป็น "วิธีการโจมตี" แทนที่จะเป็น "การป้องกัน"

WeWorm มีเงื่อนไขสำคัญบางประการ

บัญชี WeChat ของผู้โจมตีต้องอยู่ในรายชื่อเพื่อนของเป้าหมาย

ดูเผินๆ อาจดูเหมือนข้อจำกัดที่ค่อนข้างใหญ่

เพราะไม่ใช่ว่าใครก็สามารถติดเชื้อได้เพียงแค่โทรแบบสุ่มจากคนแปลกหน้า

แต่ในกรณีของวอร์มที่แพร่กระจายตัวเอง เงื่อนไขนี้มีความหมายที่แตกต่างออกไป

ตัวอย่างเช่น บัญชีของคุณ A ถูกบุกรุกด้วยวิธีใดวิธีหนึ่ง

จากนั้นผู้โจมตีสามารถโทรหา B ซึ่งเป็นเพื่อนของ A จากบัญชีของ A

หาก B ถูกบุกรุก ก็จะแพร่กระจายไปยังเพื่อนของ B

โดยปกติแล้ว ข้อมูล "การติดต่อจากเพื่อน" จะเพิ่มความปลอดภัย

แต่ในขณะที่คนหนึ่งถูกบุกรุก ความสัมพันธ์ที่ไว้วางใจนั้นกลายเป็นทรัพย์สินของผู้โจมตี

"กราฟสังคม" ที่สร้างขึ้นโดย SNS และบริการส่งข้อความตลอดหลายปี สามารถกลายเป็นเส้นทางการแพร่กระจายของวอร์มได้

การควบคุมบัญชี WeChat และ "การยึดสมาร์ทโฟนทั้งหมด" เป็นสิ่งที่แตกต่างกัน

มีความแตกต่างสำคัญอีกประการหนึ่งในการทำความเข้าใจข่าวนี้

ความสามารถหลักที่ได้รับการยืนยันในการทดลองของ WeWorm คือ "การควบคุมบัญชี WeChat"

ตามที่นักวิจัยกล่าว หลังจากการบุกรุก สามารถอ่านและส่งข้อความ โทรออก และกระทำการในฐานะเจ้าของได้

แต่ WeWorm เพียงอย่างเดียวไม่ได้พิสูจน์ว่ามันสามารถควบคุมอุปกรณ์ iPhone หรือ Android ได้ทั้งหมด

แม้ว่าการรวมช่องโหว่ของระบบปฏิบัติการอื่นๆ อาจนำไปสู่การโจมตีในระดับอุปกรณ์ แต่จำเป็นต้องแยกแยะระหว่าง "การโจมตีเพื่อยึดบัญชี WeChat" และ "การโจมตีเพื่อยึดสมาร์ทโฟนทั้งหมด"

ในข่าวหรือ SNS การแสดงออกเช่น "การแฮ็กสมาร์ทโฟนทั้งหมดด้วยการโทรเพียงครั้งเดียว" แพร่กระจายได้ง่ายกว่า

แต่เพื่อทำความเข้าใจความเสี่ยงจริงๆ จำเป็นต้องแยกแยะว่าอะไรได้รับการพิสูจน์แล้วและอะไรเป็นการขยายในทางทฤษฎี

ความตกใจที่ยิ่งใหญ่ที่สุดไม่ใช่ "AI ที่โจมตี"

สิ่งที่สำคัญที่สุดในข่าวนี้ไม่ใช่การโจมตีแบบ Zero-click ที่ปรากฏครั้งแรก

ช่องโหว่แบบ Zero-click มีอยู่ก่อนหน้านี้และถูกใช้ในสปายแวร์ขั้นสูง

สิ่งที่ได้รับความสนใจเป็นพิเศษคือความเร็วในการพัฒนา

Calif กล่าวว่าการทำงานร่วมกับ AI ทำให้การค้นพบช่องโหว่และการสร้างการโจมตีการเรียกใช้โค้ดระยะไกลครั้งแรกใช้เวลาประมาณ 2 วัน และจากนั้นใช้เวลาอีกประมาณ 1 สัปดาห์ในการสร้างวอร์มที่แพร่กระจายตัวเอง

อย่างไรก็ตาม ตัวเลขนี้เป็นคำอธิบายจากทีมวิจัยเอง ไม่ใช่การวัดผลจากบุคคลที่สามที่เป็นอิสระ

ตามลำดับเวลา ทีมวิจัยรับรู้ปัญหาเมื่อวันที่ 23 กรกฎาคม รายงานให้ Tencent เมื่อวันที่ 24 กรกฎาคม โค้ดโจมตีสำหรับ Android เสร็จสิ้นเมื่อวันที่ 30 กรกฎาคม รุ่น iOS เสร็จสิ้นเมื่อวันที่ 2 สิงหาคม และการสาธิตที่ข้ามระหว่าง Android และ iOS เสร็จสิ้นเมื่อวันที่ 11 สิงหาคม

ดังนั้นจึงไม่ได้หมายความว่า "ทุกอย่างเสร็จสิ้นภายใน 48 ชั่วโมงหลังการค้นพบ"

ถึงกระนั้น การที่ AI เร่งความเร็วในการวิเคราะห์โค้ด การค้นหาช่องโหว่ และการสร้างโค้ดโจมตีเป็นการเปลี่ยนแปลงที่ไม่สามารถมองข้ามได้ในอุตสาหกรรมความปลอดภัย

AI ลด "อุปสรรคในการเข้าถึงการโจมตีขั้นสูง"

การโจมตีทางไซเบอร์ขั้นสูงมีอุปสรรคในการเข้าถึงที่ใหญ่โตมาโดยตลอด

ต้องการความรู้เฉพาะทางเกี่ยวกับระบบปฏิบัติการ ภาษาการเขียนโปรแกรม เครือข่าย การจัดการหน่วยความจำ การเข้ารหัส และการวิศวกรรมย้อนกลับ

แม้ว่าจะพบช่องโหว่แล้ว ก็ไม่ได้หมายความว่าจะสามารถโจมตีได้ทันที

มีช่องว่างใหญ่ระหว่างบั๊กที่ทำให้เกิดการแครชและช่องโหว่ที่สามารถเรียกใช้โค้ดใดๆ ได้อย่างเสถียร

อ่านโค้ดจำนวนมาก

ค้นหาพฤติกรรมที่ผิดปกติ

คาดเดาสาเหตุ

เขียนโค้ดทดสอบ

ล้มเหลว

วิเคราะห์ผลลัพธ์

เขียนโค้ดอีกครั้ง

การลองผิดลองถูกเหล่านี้เป็นส่วนใหญ่ของการวิจัยการโจมตีทางไซเบอร์

AI อาจเพิ่มความเร็วในการทำซ้ำนี้ได้อย่างมาก

ผู้เชี่ยวชาญมนุษย์ตัดสินใจเกี่ยวกับเป้าหมายและวิธีการตรวจสอบที่ปลอดภัย ในขณะที่ AI ทำการวิเคราะห์โค้ดและการลองผิดลองถูกจำนวนมาก

หากการรวมกันนี้เติบโตเต็มที่ งานที่เคยต้องการทีมผู้เชี่ยวชาญขนาดใหญ่ อาจสามารถดำเนินการได้โดยกลุ่มขนาดเล็ก

นี่ไม่ใช่ปัญหาของอาชญากรเท่านั้น

เพราะหน่วยงานของรัฐ บริษัท นักวิจัยด้านความปลอดภัย และกลุ่มอาชญากรรมไซเบอร์ทั้งหมดสามารถใช้เทคโนโลยี AI เดียวกันได้

หาก "ฝ่ายโจมตีใช้ AI" ฝ่ายป้องกันก็ต้องใช้ AI

หากมอง WeWorm เป็นเพียง "เหตุการณ์ที่พิสูจน์ความอันตรายของ AI" จะเข้าใจเพียงครึ่งเดียว

ในครั้งนี้ นักวิจัยที่ค้นพบช่องโหว่ไม่ได้ใช้ในการโจมตีจริง แต่รายงานให้ Tencent

ตามลำดับเวลาที่ Calif เปิดเผย มีการแจ้ง Tencent เมื่อวันที่ 24 กรกฎาคม เวอร์ชัน Android 8.0.77 และ iOS 8.0.76 ถูกเผยแพร่เมื่อวันที่ 21 สิงหาคม และทีมวิจัยยืนยันว่าการโจมตีถูกบล็อกที่ฝั่งเซิร์ฟเวอร์เมื่อวันที่ 28 สิงหาคม

Tencent อธิบายกับสื่ออื่นว่ามีการแก้ไขที่ฝั่งเซิร์ฟเวอร์ และผู้ใช้ไม่จำเป็นต้องดำเนินการพิเศษ นอกจากนี้ยังระบุว่าไม่มีหลักฐานว่าปัญหานี้ถูกใช้ในทางที่ผิดหรือผู้ใช้ได้รับความเสียหาย

สิ่งที่เห็นได้จากนี้คือ AI ไม่ใช่ "อาวุธเฉพาะของผู้โจมตี"

หาก AI สามารถค้นหาช่องโหว่ที่ไม่รู้จักได้อย่างรวดเร็ว ฝ่ายบริษัทก็อาจใช้ AI เพื่อค้นหาช่องโหว่เดียวกันก่อนที่จะเผยแพร่ผลิตภัณฑ์

ในยุคที่ผู้โจมตีใช้ AI สำรวจตลอด 24 ชั่วโมง การรีวิวโค้ดด้วยมนุษย์เพียงอย่างเดียวที่ใช้เวลาหลายสัปดาห์จะไม่ทัน

ไม่ใช่ AI ต่อสู้กับมนุษย์ แต่เป็น

"ผู้โจมตีที่ใช้ AI" กับ "ฝ่ายป้องกันที่ใช้ AI"

ที่อาจกลายเป็นการแข่งขันด้านความเร็ว

ใน SNS มีการตอบสนองทั้ง "น่ากลัวเกินไป" และ "มองอย่างมีสติ"