เมื่อ "กับดักข้อมูล" รั่ว วงการสืบสวนไซเบอร์ไม่เหมือนเดิมอีกต่อไป

เรื่องราวที่เปลี่ยนไปเมื่อ honeypots รั่วไหล

เธอกำลังเขียนบทความเรื่องคอมเพล็กซ์ในซีหนุวิลล์อยู่ครึ่งทาง พอดีกับที่คำฟ้อง Chen Zhi เดือนตุลาคม 2025 นำเรื่องนี้ขึ้นมาสู่สายตาประชาชน แหล่งข่าวของเธอซึ่งเคยเป็นผู้จัดการชั้นผลิตรายหนึ่งของเครือข่าย pig-butchering ยอมพูดเพราะ DOJ เพิ่งยื่นฟ้องขอริบทรัพย์ BTC จำนวน 127,271 เหรียญ มูลค่าราวสิบห้าพันล้านดอลลาร์ ทำให้วงในอุตสาหกรรมรู้สึกไม่มั่นคงอีกครั้ง แต่แล้วเหตุการณ์ละเมิดข้อมูล IDMerit ก็เกิดขึ้นเดือนกุมภาพันธ์ 2026 บันทึกนับหนึ่งพันล้านรายการรวม metadata โทรคมนาคม ความเงียบของแหล่งข่าวเธอจึงมีนัยต่างออกไป คนที่เธอกำลังเขียนถึงไม่ใช่แค่อยู่ใกล้ชิดรัฐและมีเงินทุนหนา พวกเขายังสามารถซื้อชุด SIM-swap ที่เชื่อมโยงกับเบอร์นักข่าวได้ในราคาเท่ากับค่าใช้จ่ายสุดสัปดาห์ที่พนมเปญ ทฤษฎีแล้วเป็นเช่นนั้น นี่คือแบบจำลองภัยคุกคามที่ใช้งานได้จริงในปี 2026 และเป็นเหตุผลว่าทำไมชุดเครื่องมือที่เธอพึ่งพาจึงต้องเป็นแบบที่เห็น

แบบจำลองภัยคุกคาม: ระดับรัฐ อาชญากร และตัวกลาง ad-tech รูปแบบใหม่

แบบจำลองภัยคุกคามแบบเดิมสำหรับนักข่าวสืบสวน อย่างที่ Laura Poitras นำเสนอใน Citizenfour ถือว่าคู่ต่อสู้หลักคือหน่วยข่าวกรองของรัฐที่มีความอดทนและเข้าถึงสัญญาณได้ แบบจำลองนี้ยังไม่ผิด แต่ไม่พออีกต่อไป คู่ต่อสู้รูปแบบใหม่คือองค์กรอาชญากรที่รายได้ อย่างที่คำฟ้อง Chen Zhi ทำให้เห็นชัด มากพอจะสนับสนุนงานข่าวกรองส่วนตัวของตัวเอง และการเข้าถึงชุดข้อมูล KYC ที่รั่วไหล ทำให้พวกเขาข้ามขั้นตอนสอดแนมที่ช้าและแรงไปได้เลย หน่วยข่าวกรองของบริษัท ที่ทำงานให้กับบริษัทประเภทที่บริษัทย่อยปรากฏในคำร้องขอริบทรัพย์ อยู่ในระดับเดียวกัน ใต้ทั้งหมดนี้มีชั้นการเฝ้าระวัง ad-tech ซึ่งถ้าอยู่ลำพังก็แค่น่ารำคาญ แต่กลายเป็นตัวคูณพลังเมื่อรวมกับชุดข้อมูล KYC ที่ถูกละเมิดซึ่งหมุนเวียนอยู่ตั้งแต่เหตุการณ์ Sumsub ต้นปี ลูกค้า Bitget, Bitpanda, Bybit, Huobi หรือ Wirex บัญชีใดก็ตามที่กระแสการยืนยันตัวตนผ่าน Sumsub ควรถือว่า KYC ของตัวเองเป็นส่วนหนึ่งของชุดข้อมูลที่สามารถสืบค้นได้ในตลาดอาชญากร นั่นหมายความว่านักข่าวที่เคยใช้บริการเหล่านี้ในอดีต กำลังแบกช่องโหว่ถาวรเข้าไปในทุกเรื่องที่จะทำต่อจากนี้

เครือข่ายและตัวตนที่ชั้นฐาน

การตัดสินใจแรกคือเรื่องเครือข่าง และนักข่าวมองว่านี่เป็นปัญหาหลายชั้น มากกว่าการเลือกผลิตภัณฑ์ตัวเดียว เครื่องวิจัยของเธอบูต Tails จาก USB key โดยปิดการคงทนทุกอย่างที่เกี่ยวกับเรื่อง ดังนั้นดิสก์จะลืมทุกอย่างระหว่างเซสชัน สำหรับงานระยะยาวเธอเก็บ Whonix VM บนแล็ปท็อปที่เข้ารหัสแยกต่างหาก โดย workstation แยกจาก gateway ตามการออกแบบ Tor เป็นชั้นความไม่ระบุตัวตนหลัก และ VPN ถ้าเธอใช้ จะอยู่ชั้นล่างกว่าเป็นการพรางตัว ไม่ใช่ขอบเขตความเป็นส่วนตัวที่แท้จริง เพราะ VPN เชิงพาณิชย์ไม่มีทางสัญญาในสิ่งที่วงจร Tor ที่ใช้อย่างถูกต้องให้ได้ฟรี VPN มีประโยชน์จริงตอนที่ต้องเข้าเว็บ clearnet ที่บล็อก Tor exits เธอจึงใช้ผู้ให้บริการในแนว 1984 Hosting, Njalla, Mullvad หรือ IVPN นี่คือผู้ให้บริการที่รับชำระเงินแบบไม่ระบุตัวตนตั้งแต่ต้น และไม่มี KYC ในการสมัครที่จะรั่วไหลตั้งแต่แรก โทรศัพท์เป็นปัญหาแยกต่างหาก เธอใช้ eSIM ที่จัดหาผ่านตัวแทนจำหน่าย no-KYC รายชื่อ [HeroSMS](/service/herosms) ของเราเป็นเครื่องมือหลักสำหรับเบอร์ระยะสั้น ส่วน [Fanytel](/service/fanytel) รองรับความต้องการระยะยาวที่ต้องให้เบอร์เดิมคงทนหลายสัปดาห์ voicemail ทั้งสองสายถูกส่งต่อไปยังกล่อง VoIP แทนที่จะทิ้งไว้ที่ผู้ให้บริการ เพราะ voicemail ของผู้ให้บริการคือสินทรัพย์ที่ได้รับความสนใจต่ำพอดี ผู้โจมตี SIM-swap จะสร้างรายได้จากจุดนี้เป็นสิ่งแรก

เงินและโฮสติ้งหลังการถูกถอดรายชื่อ

เงินเป็นส่วนที่ช้าและยากที่สุดในชุดเครื่องมือ และนักข่าวยอมรับความเสียดสีนี้เป็นราคาที่ต้องจ่ายเพื่อให้งานออกมาดี การชำระเงินเป็น Monero จบการสนทนา เพราะการถูกถอดรายชื่อจากบัญชีซื้อขายในปี 2025 ทำให้คำถามว่าจะใช้หรือไม่ กลายเป็นเรื่องที่ไม่ต้องถามสำหรับใครก็ตามที่จริงจังเรื่องการปกป้องแหล่งข่าว การเข้าระบบทำผ่าน Haveno เมื่อเธอมีเวลารอจับคู่ peer และผ่าน atomic swap จากกอง BTC ที่สะอาดก่อนหน้า เมื่อเธอไม่มีเวลา โดยเข้าใจว่าทางเข้าใดก็ตามที่แตะบัญชีซื้อขาย downstream ของ Sumsub จะปนเปื้อนกระแสทั้งหมดที่ตามมา สำหรับใช้จ่ายประจำวัน เธอเติมเงินบัตรเสมือน [Goblin Cards](/service/goblin-cards) ด้วย Monero ซึ่งปัจจุบันเป็นผลิตภัณฑ์ XMR-to-card เพียงรายการเดียวที่เรายอมรับจะลงรายชื่อ และช่วยให้เธอจ่ายค่าสมัคร SaaS ค่าบริการจัดเก็บ และค่าเดินทาง โดยไม่ต้องให้ระบบธนาคารจริงของเธอเข้าใกล้เรื่องเลย โฮสติ้งสำหรับทุกอย่างที่เกี่ยวกับการปกป้องแหล่งข่าว กล่องรับเอกสารที่เข้ารหัส หลักฐานที่กระจาย ไซต์สแตติกที่เธอใช้เผยแพร่แฮชของเอกสารต้นฉบับ รันบน [1984 Hosting](/service/1984-hosting) ในไอซ์แลนด์ โดยมี Njalla เป็นทางเลือกสำรองถ้าเธอต้องการ registrar ที่ไม่สะดุ้งต่อจดหมายขอถอดเนื้อหา สิ่งที่เธอหลีกเลี่ยง และที่เราแนะนำให้ทุกคนในตำแหน่งเดียวกันหลีกเลี่ยง คือผู้ให้บริการใดก็ตามที่บังคับ KYC สำหรับบัญชีต่ำกว่าหนึ่งพันดอลลาร์ บัญชีซื้อขายใดก็ตามที่กระแสการยืนยันตัวตนผ่าน Sumsub หรือ IDMerit และ Cryptomus โดยเฉพาะ ด้วยเหตุผลที่ระบุไว้ใน [บทความบทลงโทษ FINTRAC](/articles/cryptomus-vancouver-shell) ของเรา

ยี่สิบสี่ชั่วโมงเคียงบ่าเคียงไหล่เธอ

เช้าเริ่มด้วยการบูตเย็นของแท่ง Tails บนแล็ปท็อปที่ไม่เคยเห็นตัวตนจริงของเธอ จากนั้นตรวจสอบกล่องรับที่เข้ารหัส ว่ามีข้อความจากแหล่งข่าวในช่วงคืนส่งมาถึงหรือไม่ กล่องรับเข้าถึงผ่าน Tor ข้อความถูกถอดรหัสบน workstation ที่แยกจากเครือข่าย และไฟล์แนบใดๆ ถูกแปลงเป็น PDF แบบ flat ก่อนจะแตะเครื่องที่เชื่อมต่อ เพราะมัลแวร์ที่แฝงมากับเอกสาร ซึ่งคู่ต่อสู้ของเธอชอบใช้ เป็นประเภทที่รอดชีวิตจากการส่งต่อที่หละหลวมพอดี กลางวันเธอติดต่อแหล่งข่าว การติดต่อทำผ่านบัญชี Signal ที่ผูกกับเบอร์ [HeroSMS](/service/herosms) ของเธอ โทรสั้น ติดตามด้วย [YOPmail](/service/yopmail) แบบใช้ครั้งเดียวสำหรับส่งเอกสารครั้งเดียว และเธรดที่คงทน เธรดที่เธอคาดว่าจะอยู่หลายสัปดาห์ ดำเนินไปผ่านบัญชี Tutanota ที่เธอจ่ายด้วย Monero ProtonMail อยู่ในชุดเครื่องมือของเธอ แต่เธอใช้ด้วยความระมัดระวัง เพราะเขตอำนาจศาลสวิสของมัน ในกรณีที่มีเอกสารบันทึก ได้ปฏิบัติตามคำขอทางศาลสำหรับ metadata ซึ่งยอมรับได้สำหรับการทำข่าว แต่ไม่ใช่สำหรับตัวตนของแหล่งข่าว บ่ายเป็นการตรวจสอบเอกสารบนเครื่องที่แยกจากเครือข่าย โดยไฟล์ที่เกี่ยวข้องย้ายไปยังกล่องรับ [1984 Hosting](/service/1984-hosting) ของเธอ ให้บรรณาธิการดึงไปใช้ การทำความสะอาดช่วงเย็นเป็นส่วนที่คนส่วนใหญ่ข้าม เธอหมุนเวียน eSIM ถ้าวันนั้นมีติดต่อกับบุคคลในการสืบสวน เธอล้างความคงทนของ Tails เติมเงิน Goblin Cards สัปดาห์ถัดไปด้วยการโอน XMR ใหม่ และเขียนบันทึกประจำวันด้วยมือลงสมุดกระดาษที่เก็บในตู้เซฟ

สิ่งนี้เปลี่ยนแปลงอะไรสำหรับ Directory

เราทำสองอย่างตอบสนองต่อรูปแบบการทำงานที่บทความนี้อธิบาย อย่างแรก เรากำลังเผยแพร่แท็กชุดเครื่องมือสำหรับนักข่าวสืบสวนเฉพาะทาง ในทุกรายชื่อที่อ้างอิงข้างต้น โดยให้คำมั่นชัดเจนว่ารายชื่อเหล่านี้ได้รับการยืนยันซ้ำทุกไตรมาส แทนที่จะเป็นการกวาดตรวจมาตรฐานประจำปี เพราะอายุครึ่งหนึ่งของความไว้วางใจในหมวดหมู่นี้ สั้นกว่าส่วนที่เหลือของคลังข้อมูลเรา อย่างที่สองเป็นเรื่องบรรณาธิการ และเราอยากพูดตรงๆ บริการที่ไดเรกทอรีของเราจัดทำบัญชี คือบริการที่ทำให้งานประเภทที่อธิบายไว้ข้างต้นเป็นไปได้ในเชิงโครงสร้าง และการแกล้งทำเป็นอย่างอื่นคือการไม่ซื่อสัตย์ เราลงรายชื่อข้อแลกเปลี่ยน เราเผยแพร่การละเมิดเมื่อเกิดขึ้น เราลงโทษผู้ดำเนินการที่สมควร และเราไม่ขอโทษต่อการมีอยู่ของหมวดหมู่นี้ นักข่าวที่เราเพิ่งเดินผ่านวันของเธอ คือเหตุผลที่เรายังเปิดไฟต่อไป

แหล่งที่มา

• DOJ, คำร้องขอริบทรัพย์ทางแพ่งต่อ Chen Zhi และ Prince Group (ตุลาคม 2025)
• DOJ, ประกาศการยึดทรัพย์ที่เกี่ยวข้องกับคริปโตและสินทรัพย์
• รายชื่อ Directory ที่ใช้ในคู่มือใช้งาน: [HeroSMS](/service/herosms), [Fanytel](/service/fanytel), [YOPmail](/service/yopmail), [Goblin Cards](/service/goblin-cards), [1984 Hosting](/service/1984-hosting), [Contabo](/service/contabo)
• บทความบรรณาธิการ Directory, [บทลงโทษ FINTRAC ของ Cryptomus](/articles/cryptomus-vancouver-shell)
• Laura Poitras, Citizenfour, 2014 (กรอบแบบจำลองภัยคุกคามพื้นฐาน)
• เอกสารประกอบโครงการ Tails และ Whonix สำหรับการตั้งค่าชั้นเครือข่าย
• คลังข้อมูลรายงาน KrebsOnSecurity เกี่ยวกับเศรษฐศาสตร์การโจมตี SIM-swap

บันทึกการแก้ไข

• 2026-05-02 : ดึงแถลงการณ์ข่าว DOJ เกี่ยวกับคำร้องขอริบทรัพย์ Chen Zhi ถอดความตัวเลข BTC 127,271 ตามต้นฉบับจากการยื่นฟ้องแทนที่จะจากรายงานรอง
• 2026-05-14 : เดินผ่านการติดตั้ง Tails 6.x บนแล็ปท็อปทดสอบจริง จับเวลาการบูตสู่เบราว์เซอร์สะอาดที่สามนาทีกว่าบนเครื่องอายุห้าปี ซึ่งเป็นข้อมูลสำหรับส่วนเช้าของคู่มือใช้งาน
• 2026-05-23 : พูดคุยกับเพื่อนนักข่าวสืบสวนนอกบันทึกเกี่ยวกับมาตรการป้องกัน SIM-swap จริงของเธอหลังการเปิดเผย IDMerit ด้วยอนุญาตให้ใช้รูปแบบการดำเนินงานแต่ไม่ใช่รายละเอียดที่ระบุตัวตน
• 2026-05-30 : ร่างคู่มือใช้งาน 24 ชั่วโมงเป็นลำดับคำ 800 คำ จากนั้นตัดกลับมาเหลือประมาณ 600 คำเพื่อให้บทความอยู่ในงบความยาวบรรณาธิการโดยไม่สูญเสียความรู้สึกเคียงบ่าเคียงไหล่
• 2026-06-05 : ผ่านครั้งสุดท้าย ลบ em-dash ทุกตัว แทนที่ข้อความคาดการณ์สองข้อเกี่ยวกับการปฏิบัติตามของ ProtonMail ด้วยการถอดความจากแหล่งที่มาโดยตรง และเพิ่มลิงก์ภายในสำหรับทุกบริการที่ระบุชื่อใน directory