พบ IP ทำเนียบขาวถูกปล่อยเช่าผ่านบริการพร็อกซี คาดต้นเหตุคือแอปฟรีบนเครื่อง Windows

ใครก็ตามที่ยอมจ่ายเงินไม่กี่ดอลลาร์ให้บริการ "พร็อกซีบ้าน" ก็อาจได้ท่องเว็บด้วยที่อยู่อินเทอร์เน็ต (IP) ของทำเนียบขาว Layer3 Intel บริษัทที่ขายบริการตรวจจับพร็อกซี รายงานว่าในช่วง 30 วันที่ผ่านมา มีบริการลักษณะนี้ถึง 28 เจ้าที่ส่งข้อมูลของลูกค้าออกทางเครือข่ายของทำเนียบขาวได้ ส่วนอีกบริษัทหนึ่งเชื่อว่าต้นเหตุคือชุดโค้ดที่มากับแอปฟรีบนเครื่อง Windows

สิ่งที่พบไม่ใช่การเจาะระบบจากภายนอก ยังไม่มีรายงานว่ามีใครบุกเข้าเครือข่ายนี้ได้ แต่น่าจะมีอุปกรณ์อย่างน้อยหนึ่งเครื่องข้างในที่ลงแอปซึ่งแอบปล่อยเช่าอินเทอร์เน็ตของเครื่องนั้น บริษัทพร็อกซีจ่ายเงินให้ผู้ทำแอปที่ยอมฝังโค้ดนี้ แล้วนำการเชื่อมต่อของผู้ใช้ไปขายต่อ ลูกค้าที่เช่าจะดูเหมือนคนธรรมดาที่ใช้เน็ตจากในอาคารนั้นเอง

เรื่องนี้ไม่ได้เกิดเฉพาะกับทำเนียบขาว เน็ตบ้านของคุณก็ถูกปล่อยเช่าแบบเดียวกันได้ ถ้าในบ้านมี VPN ฟรี แอป "แบ่งเน็ตแลกเงิน" ส่วนขยายเบราว์เซอร์ หรือแอปที่ฝังโค้ดพร็อกซีไว้ เหมือนให้คนแปลกหน้ายืมรถที่ติดป้ายทะเบียนของคุณ ถ้าเขาไปทำอะไรไว้ ร่องรอยก็ย้อนมาที่ป้ายของคุณ ต่างกันตรงที่รถคันนี้ถูกยืมไปพร้อมกันหลายคนตลอดเวลา และคุณอาจไม่รู้ตัวเลยว่าเคยตกลงให้ยืม

สำนักงานสอบสวนกลางสหรัฐฯ (FBI) เตือนเมื่อต้นปีนี้ว่ามิจฉาชีพใช้ทางผ่านแบบนี้ยึดบัญชี ส่งสแปม และสร้างบัญชีปลอม ทำให้ดูเหมือนเจ้าของเน็ตเป็นคนทำ ผลที่เจ้าของเน็ตเจอได้ง่ายที่สุดคือเว็บไซต์ให้ยืนยันตัวตนบ่อยขึ้นหรือบล็อก IP ไปเลย

ข่าวดีคือคุณเช็กได้เองฟรี Layer3 มีหน้าเว็บที่บอกว่า IP ที่คุณใช้อยู่เคยถูกใช้เป็นทางออกของพร็อกซีหรือไม่ จากนั้นให้ไล่ลบแอปและส่วนขยายที่ไม่รู้ที่มา โดยเฉพาะ VPN ฟรีและแอปที่จ่ายเงินแลกเน็ต ด้านล่างมีขั้นตอนบน Windows, Chrome และ Android ข้อควรรู้เมื่ออ่านผลในไทย และสิ่งที่แหล่งข่าวยังเห็นไม่ตรงกัน

สรุปประเด็นสำคัญ

• พบอะไร: Layer3 Intel เห็นการส่งข้อมูลออกทาง AS2650 เครือข่ายที่จดทะเบียนในนามสำนักงานบริหารของประธานาธิบดีสหรัฐฯ (Executive Office of the President) 236 ครั้ง ผ่าน IP 6 หมายเลข ใน 26 จาก 30 วัน ระหว่าง 5 ต.ค. ถึง 3 พ.ย. 2026 และมีบริการพร็อกซี 28 เจ้าที่ออกทางนี้ได้
• ไม่ใช่การแฮก: ไม่มีแหล่งใดรายงานว่าเครือข่ายถูกเจาะ สิ่งที่เห็นคือ "ทางออก" ของพร็อกซีที่ใครก็เช่าได้ Layer3 เขียนว่า "นี่คือการเข้าถึงแบบสาธารณะ"
• ต้นเหตุ (ยังไม่ยืนยัน): Synthient บริษัทติดตามพร็อกซีอีกราย เชื่อว่ามาจาก SDK ของ Infatica บนเครื่อง Windows หลายเครื่อง ยังไม่มีการระบุชื่อแอป และทำเนียบขาวไม่ตอบคำถามสื่อ
• ใครต้องสนใจ: ทุกคนที่ลงแอปฟรีบนคอมหรือมือถือ FBI ระบุว่า VPN ฟรีบางเจ้าพาเครื่องผู้ใช้เข้าเครือข่ายพร็อกซีโดยซ่อนไว้ในเงื่อนไขการใช้งาน
• ทำอะไรได้: เช็ก IP ที่หน้า Is my network a residential proxy ของ Layer3 แล้วลบแอปและส่วนขยายที่ไม่รู้ที่มา
• ผู้รายงานมีส่วนได้เสีย: Layer3 ขายบริการตรวจจับพร็อกซี และเปิดตัวเครื่องมือสาธารณะในสัปดาห์เดียวกับที่โพสต์รายงานนี้

พร็อกซีบ้าน (residential proxy) คืออะไร

พร็อกซีคือเครื่องตัวกลางที่ส่งคำขอของคุณต่อไปยังเว็บปลายทาง เว็บจึงเห็น IP ของตัวกลางแทน IP ของคุณ พร็อกซีทั่วไปตั้งอยู่ในศูนย์ข้อมูล ซึ่งเว็บไซต์ใหญ่ ๆ แยกออกได้ง่ายและมักบล็อก พร็อกซีบ้านแก้จุดนี้โดยใช้เครื่องของคนธรรมดาที่ต่อเน็ตบ้านหรือเน็ตมือถือเป็นทางออก ข้อมูลของลูกค้าจึงดูเหมือนมาจากผู้ใช้จริงในประเทศหรือเมืองนั้น

เครื่องของคนธรรมดาเข้าไปอยู่ในเครือข่ายได้หลายทาง หน้าเครื่องมือของ Layer3 ระบุว่ามาจาก VPN ฟรี แอปแบ่งแบนด์วิดท์ ส่วนขยายเบราว์เซอร์ และ SDK ที่ฝังในแอปมือถือ ส่วน FBI เพิ่มมัลแวร์ที่ติดมากับเกม หนัง ซอฟต์แวร์ละเมิดลิขสิทธิ์ และกล่องทีวีราคาถูกที่โฆษณาว่าดูกีฬาหรือหนังได้ฟรี

ตัวอย่างใกล้ตัวคือกล่อง Android TV ที่ผู้ผลิตฝังโมดูลพร็อกซีมาจากโรงงาน ซึ่ง ReadEval เล่าไว้ในข่าว Google ปิดบอตเน็ตกล่อง Android TV 1.3 ล้านเครื่อง เรื่องที่ทำเนียบขาวเป็นอีกทางหนึ่ง คือโค้ดที่มากับแอปบนคอมพิวเตอร์

Layer3 เห็นอะไรในเครือข่ายทำเนียบขาว

Layer3 Intel เปิดตัว Residential Proxy Observatory หน้าเว็บสาธารณะที่ให้ค้นข้อมูลพร็อกซีที่บริษัทเก็บมา และพบเรื่องนี้ระหว่างทดลองเครื่องมือ Sergiy Usatyuk ผู้ก่อตั้ง Layer3 บอก The Register ว่าเครื่องมือนี้ "เป็นเพียงหน้าสาธารณะให้สำรวจข้อมูลที่เราเก็บมาตลอดปีที่ผ่านมา"

วิธีที่บริษัทเก็บข้อมูลคือสมัครใช้บริการพร็อกซีบ้านแบบสาธารณะ แล้วขอ IP แบบสุ่มจากทั่วโลกซ้ำ ๆ เพื่อดูว่าทางออกอยู่ที่ใดบ้าง Layer3 ยืนยันว่าไม่ได้เล็งเครือข่ายนี้โดยเฉพาะ และนำ IP ที่พบไปเทียบกับบริการตรวจจับพร็อกซีอีกสองราย คือ Spur และ Synthient ซึ่งก็ระบุว่าเป็นทางออกของพร็อกซีบ้านเช่นกัน

Layer3 ตีความว่าช่วงเวลาแบบนี้ชี้ไปที่อุปกรณ์ของคนที่ทำงานอยู่ในทำเนียบขาวมากกว่า Wi-Fi สำหรับแขก แต่บริษัทเองก็เขียนว่าข้อมูลแสดงแค่ทางออก ไม่ได้บอกว่าเป็นเครื่องใดหรือของใคร Usatyuk บอก The Register ว่าข้อมูลละเอียดไม่พอจะนับได้ว่ามีกี่เครื่อง

The Register รายงานเพิ่มว่ากิจกรรมล่าสุดเกิดในคืนวันพุธ (4 พ.ย.) ไม่กี่ชั่วโมงหลังบล็อกเผยแพร่ แล้วหยุดไป และกระทรวงการต่างประเทศสหรัฐฯ ติดต่อขอบันทึกข้อมูลจาก Layer3 ในเช้าวันพฤหัสบดี (5 พ.ย.) ซึ่ง Usatyuk บอกว่าส่งให้แล้ว ทำเนียบขาวไม่ตอบคำถามทั้งของ The Register และ KrebsOnSecurity

ในบล็อกเดียวกัน Layer3 ยกตัวอย่างที่ห่างไกลกว่านั้นด้วย เช่น IP ของ Cloudflare WARP ที่ชี้ไปยังสถานี McMurdo ในแอนตาร์กติกาถูกใช้เป็นทางออก 3 ครั้ง เพื่อแสดงว่าเครือข่ายพร็อกซีเหล่านี้กระจายไปแทบทุกมุมโลก

Infatica คือใคร และทำไมถูกพูดถึง

Synthient โพสต์บน X ว่าเชื่อว่าทางออกเหล่านี้มาจาก Infatica ที่ติดตั้งอยู่บนเครื่อง Windows หลายเครื่องในเครือข่าย ตามหน้าข้อมูลของ Synthient เอง Infatica เป็นผู้ให้บริการพร็อกซีขนาดกลาง ดำเนินงานตั้งแต่ปี 2019 เป็นบริษัทสิงคโปร์ที่มีนิติบุคคลในสหราชอาณาจักรและสหรัฐอาหรับเอมิเรตส์ หา IP ด้วย SDK ที่แจกให้ผู้ทำแอปบน Windows, Android, iOS, macOS และ Linux นำไปฝัง และมีผู้ขายต่ออีกหลายเจ้า

KrebsOnSecurity ระบุว่า Infatica มักถูกรวมไว้ในแอปมือถือและแอปเดสก์ท็อป "ฟรี" และรายงานว่า Vladimir Fomenko ผู้ก่อตั้ง Infatica เป็นชาวรัสเซีย ส่วนบริษัทโฮสติ้งของเขาชื่อ King Servers เคยเป็นที่ตั้งของ 6 ใน 8 IP ที่หน่วยงานความมั่นคงของรัสเซียใช้เจาะฐานข้อมูลเลือกตั้งในรัฐแอริโซนาและอิลลินอยส์เมื่อปี 2016 ทั้งนี้แหล่งข่าวที่ ReadEval อ่านไม่มีคำชี้แจงจาก Infatica และยังไม่มีการระบุว่าแอปใดเป็นตัวที่พา SDK เข้าเครื่อง

ทำไมเรื่องนี้เสี่ยงกับคนทั่วไป

• IP ของคุณถูกใช้ทำสิ่งที่คุณไม่ได้ทำ: FBI ระบุว่ามิจฉาชีพส่งกิจกรรมผ่าน IP ของผู้บริโภค "ทำให้ผู้บริโภคดูเหมือนเป็นผู้รับผิดชอบ" ทั้งการยึดบัญชี ฟิชชิง สแปม สร้างบัญชีปลอม และเดารหัสผ่าน
• ถูกบล็อกหรือถูกถามยืนยันตัวตน: เมื่อ IP ของคุณอยู่ในรายชื่อพร็อกซี เว็บไซต์และบริการต่าง ๆ อาจบล็อกหรือขอให้ยืนยันตัวตนบ่อยขึ้น หน้าเครื่องมือของ Layer3 ก็แนะนำให้เช็กใหม่เมื่อเริ่มถูกบริการต่าง ๆ ท้าทายการเชื่อมต่อหลังลงแอปใหม่ ส่วนจะถึงขั้นมีปัญหาทางกฎหมายหรือไม่ แหล่งข่าวไม่ได้ระบุ ReadEval ประเมินว่าอย่างน้อยคุณอาจต้องเสียเวลาอธิบายว่ากิจกรรมนั้นไม่ใช่ของคุณ
• คนนอกอาจเข้าถึงเครือข่ายในบ้าน: Layer3 อ้างงานวิจัยก่อนหน้าว่า SDK พร็อกซีที่ป้องกันไม่ดีอาจเปิดทางให้ผู้เช่าเข้าถึงเครือข่ายภายในได้ KrebsOnSecurity เล่าว่าเมื่อมกราคม 2026 Ben Brundage ผู้ก่อตั้ง Synthient แสดงให้เห็นว่ามีคนใช้ช่องโหว่ในบริการเหล่านี้ยึดอุปกรณ์ในเครือข่ายภายในของผู้ใช้ และบริการพร็อกซีหลายสิบเจ้าต้องแก้ระบบ
• ราคาถูกจนใครก็เช่าได้: Brundage บอก KrebsOnSecurity ว่าผู้ขายต่อบางรายขายแบนด์วิดท์ต่ำสุดราว 60 เซนต์ต่อ 1GB (ราว 20 บาท) และบางรายไม่ตรวจตัวตนลูกค้า (KYC)
• ไม่ได้มีแค่ทำเนียบขาว: KrebsOnSecurity อ้างการนำเสนอของ Spur เมื่อมกราคม 2026 ว่าพบพร็อกซีบ้านในเครือข่ายของหน่วยงานรัฐเกือบ 300 แห่ง บริษัทสาธารณูปโภค 318 แห่ง และสถาบันการเงิน 141 แห่ง

เช็กอย่างไรว่า IP บ้านเราถูกปล่อยเช่า

1. เปิดหน้า layer3intel.com/is-my-network-a-residential-proxy จากเครือข่ายที่อยากเช็ก (เช่น ต่อ Wi-Fi บ้าน)
2. หน้าเว็บจะตรวจ IP ที่คุณใช้อยู่ให้เอง โดยเทียบกับฐานข้อมูลที่ Layer3 ระบุว่ามี IP พร็อกซีที่ยังใช้งานอยู่กว่า 70 ล้านหมายเลข
3. ถ้าขึ้นว่า Clean แปลว่าไม่พบ IP นี้ในรายชื่อ ถ้าพบ หน้าเว็บจะบอกว่าผู้ให้บริการพร็อกซีรายใดใช้ IP นี้ และเห็นครั้งล่าสุดเมื่อไร

ตอนที่ ReadEval ทดลอง หน้าเว็บแสดงผลได้โดยไม่ต้องล็อกอินหรือสมัครสมาชิก ส่วนปุ่มสมัครที่แจกเครดิตฟรีเป็นบริการ API สำหรับธุรกิจ คนทั่วไปไม่ต้องกด ข้อควรรู้คือเว็บใดก็ตามที่คุณเปิดย่อมเห็น IP ของคุณอยู่แล้ว การเช็กนี้จึงไม่ได้ให้ข้อมูลเพิ่มกับ Layer3 มากกว่าการเปิดเว็บทั่วไป แต่หน้าเว็บนี้ก็เป็นหน้าขายบริการของบริษัทด้วย

ผลในไทยอ่านอย่างไร: เครื่องมือนี้ตรวจ IP ได้ทุกประเทศ แต่หน้าเว็บไม่ได้อธิบายเรื่อง IP ที่ใช้ร่วมกัน ReadEval ประเมินว่าเน็ตมือถือในไทยมักให้ผู้ใช้หลายคนออกอินเทอร์เน็ตด้วย IP สาธารณะเดียวกัน (CGNAT) ผลที่ได้บนเน็ตมือถือจึงอาจมาจากเครื่องของคนอื่น การเช็กผ่าน Wi-Fi บ้านจึงบอกเรื่องเครื่องในบ้านได้ตรงกว่า และผล Clean ไม่ได้รับประกันว่าไม่มีแอปพร็อกซีในเครื่อง เพราะฐานข้อมูลเห็นเฉพาะทางออกที่บริษัทเคยสุ่มเจอ

ไล่ลบแอปที่น่าสงสัยบน Windows

ไม่มีรายชื่อแอปที่ยืนยันแล้วว่าพา Infatica เข้าเครื่องในกรณีนี้ จึงให้ดูจากพฤติกรรมของแอปแทน สิ่งที่ควรสงสัยคือ VPN ฟรีที่จำไม่ได้ว่าลงไว้ แอปที่จ่ายเงินหรือแต้มแลกกับ "เน็ตที่ไม่ได้ใช้" และโปรแกรมที่ติดมากับเกมหรือซอฟต์แวร์ละเมิดลิขสิทธิ์

1. เปิด Start > Settings > Apps > Installed apps
2. ไล่ดูรายการทั้งหมด ถ้าเจอโปรแกรมที่ไม่รู้จักหรือเข้าข่ายข้างต้น กดปุ่มสามจุด (More) แล้วเลือก Uninstall
3. ถ้าถอนจาก Settings ไม่ได้ ให้ค้นหา Control Panel ในแถบงาน เปิด Programs > Programs and Features คลิกขวาที่โปรแกรมแล้วเลือก Uninstall หรือ Uninstall/Change

ถ้าไม่แน่ใจว่าโปรแกรมใดคืออะไร ให้ค้นชื่อโปรแกรมพร้อมผู้ผลิตก่อนลบ เพื่อไม่ลบไดรเวอร์หรือโปรแกรมของระบบ FBI ระบุด้วยว่ามัลแวร์บางตัวยังอยู่ต่อแม้ลบแอปที่พามันมาแล้ว ถ้าลบแล้วผลเช็กยังพบ IP ในรายชื่อ ให้สแกนด้วยโปรแกรมป้องกันไวรัส หรือพิจารณาติดตั้งระบบใหม่

ลบส่วนขยายใน Chrome

1. คลิกเมนูสามจุดมุมขวาบนของ Chrome แล้วเลือก Extensions > Manage extensions
2. หาส่วนขยายที่ไม่ได้ใช้หรือไม่รู้ที่มา โดยเฉพาะ VPN ฟรีและตัวที่จ่ายเงินแลกเน็ต แล้วกด Remove
3. กด Remove อีกครั้งเพื่อยืนยัน

ลบแอปบนมือถือ Android

1. เปิดแอป Google Play Store แตะรูปโปรไฟล์มุมขวาบน
2. แตะ Manage apps & device > Manage
3. เลือกแอปที่ต้องการลบ แล้วแตะ Uninstall

Google ระบุว่าบางขั้นตอนใช้ได้กับ Android 13 ขึ้นไป FBI แนะนำเพิ่มว่าควรติดตั้งแอปจากร้านแอปทางการเท่านั้น ระวัง VPN ฟรี และเลี่ยงกล่องทีวีที่โฆษณาว่าดูกีฬาหรือหนังได้ฟรี ถ้าสงสัยว่ามีคนใช้บัญชีของคุณ ให้เปลี่ยนรหัสผ่านและเปิดการแจ้งเตือนการล็อกอิน

แหล่งข่าวเห็นไม่ตรงกันตรงไหน

• Windows รุ่นใด: KrebsOnSecurity อ้าง Synthient ว่าเป็นเครื่อง Windows 11 หลายเครื่อง ส่วน The Register อ้างโพสต์เดียวกันว่าเป็น Windows 10 และ 11 ReadEval อ่านโพสต์ต้นฉบับบน X ไม่ได้ จึงเขียนเพียงว่าเป็นเครื่อง Windows
• เป็นเครื่องของเจ้าหน้าที่หรือไม่: KrebsOnSecurity เปิดข่าวว่า "เจ้าหน้าที่หลายคน" ดูเหมือนใช้อุปกรณ์ที่มีซอฟต์แวร์พร็อกซี แต่ข้อมูลของ Layer3 แสดงแค่ IP ทางออก ไม่ได้บอกว่าเป็นเครื่องของใคร Layer3 เองก็ใช้คำว่า "ชี้ว่า" ไม่ใช่ยืนยัน
• ต้นเหตุ: บล็อกของ Layer3 ไม่ได้เอ่ยชื่อ Infatica ข้อสรุปเรื่อง Infatica มาจาก Synthient ฝ่ายเดียว
• ความเสี่ยงต่อระบบภายใน: ที่ว่าผู้เช่าพร็อกซีอาจเข้าถึงระบบภายในทำเนียบขาวได้ เป็นการคาดการณ์ของ Layer3 จากงานวิจัยก่อนหน้า ยังไม่มีรายงานว่าเกิดขึ้นจริง