เมื่อวันที่ 7 พฤศจิกายน 2026 ทีม AI Safety Initiative ของ Cloud Security Alliance (CSA) เผยแพร่รายงานวิจัยชื่อ "The Remote Off Switch" ว่าด้วยความเสี่ยงที่คนทำอุปกรณ์เชื่อมต่อมักมองข้าม: เมื่ออุปกรณ์อย่าง อินเวอร์เตอร์โซลาร์ แบตเตอรี่บ้าน ที่ชาร์จรถไฟฟ้า และรถยนต์ รับคำสั่งจากคลาวด์ของผู้ผลิต คลาวด์นั้นก็กลายเป็น "สวิตช์" ที่ปิดหรือสั่งงานอุปกรณ์ได้ทั้งฝูงในครั้งเดียว
เกิดอะไรขึ้น
รายงานแบ่งเส้นทางการโจมตีเป็น 3 แบบ และยกกรณีที่เปิดเผยต่อสาธารณะประกอบ
- ยึดบัญชีลูกค้า/พาร์ตเนอร์: งานวิจัย SUN:DOWN ของ Forescout (มีนาคม 2025) พบ 46 ช่องโหว่ ในระบบของ Sungrow, Growatt และ SMA รวมถึงช่องโหว่พอร์ทัลตัวแทนจำหน่ายของ Kia (2024)
- ยึดบัญชีแอดมินของผู้ผลิต: ช่องโหว่แผงแอดมิน Subaru STARLINK (มกราคม 2025) ที่สั่งสตาร์ต ดับเครื่อง ล็อก ปลดล็อก และดูประวัติตำแหน่งรถได้
- ปลอมตัวเป็นอุปกรณ์: ไมโครอินเวอร์เตอร์ APsystems EZ1-M ที่ pv magazine รายงานว่ามีอุปกรณ์เสี่ยง ราว 100,000 เครื่อง
ตัวเลขและกรณีที่ควรรู้
- เหตุการณ์ KA-SAT ปี 2022 ทำให้กังหันลม Enercon ในเยอรมนี 5,800 ตัว ขาดการมอนิเตอร์และควบคุมระยะไกล
- ปี 2024 Enel X Way ปิดบริการ กระทบที่ชาร์จราว 125,000 ตัว (ประมาณการของ Canary Media) — ไม่ต้องโดนแฮก แค่ธุรกิจเปลี่ยนทิศ อุปกรณ์ก็หมดความสามารถได้
- พฤศจิกายน 2024 อินเวอร์เตอร์แบรนด์ Deye บางส่วนในสหรัฐฯ ขึ้นข้อความว่าใช้ในประเทศนั้นไม่ได้ ซึ่งรายงานไม่ได้ชี้ว่าใครเป็นต้นเหตุ
- ลิทัวเนีย (พฤศจิกายน 2024) จำกัดการเข้าถึงระยะไกลโดยหน่วยงานต่างชาติบางกลุ่มกับระบบโซลาร์ ลม และแบตเตอรี่ที่ใหญ่กว่า 100 kW และ EU เสนอแก้ Cybersecurity Act เมื่อมกราคม 2026 ให้มีกรอบ "ผู้จัดหาความเสี่ยงสูง"
รายงานเองเตือนว่าบางข้อมูลยังไม่ใช่ข้อเท็จจริงที่ยืนยันแล้ว เช่น ข่าว Reuters เรื่องอุปกรณ์สื่อสารที่ไม่ได้ระบุในเอกสาร ซึ่งอ้างแหล่งข่าวนิรนาม 2 ราย ส่วนช่องโหว่ Subaru และ Kia ถูกแก้แล้วและไม่มีรายงานว่าถูกใช้โจมตีจริง
ข้อเสนอของ CSA คือ ใช้ credential แยกต่ออุปกรณ์ ลงลายเซ็นทุกคำสั่ง (signed commands) จำกัดอัตราและขอบเขตของคำสั่งแบบกลุ่ม (blast-radius limit) ทดสอบให้อุปกรณ์ทำงานต่อได้เองและเข้าสถานะปลอดภัยเมื่อหลุดคลาวด์ เปิด MFA บนพอร์ทัลผู้ผลิต และล้างบัญชีช่างติดตั้งที่ไม่ได้ใช้แล้ว
สำหรับคนออกแบบ IoT product
ในมุมธุรกิจ ข่าวนี้บอกว่า คลาวด์ของคุณไม่ใช่แค่ต้นทุนรายเดือน แต่เป็นความรับผิดชอบต่อทุกเครื่องที่ขายออกไป ถ้าอุปกรณ์ของคุณควบคุมของที่มีผลทางกายภาพ (ไฟฟ้า ประตู ปั๊มน้ำ เครื่องจักร) ลูกค้าองค์กรและผู้กำกับดูแลจะเริ่มถามว่า "ถ้าคลาวด์ล่มหรือโดนยึด เกิดอะไรขึ้น" และ "บริษัทเลิกทำแล้วอุปกรณ์ยังใช้ได้ไหม" การออกแบบให้มีโหมดทำงานในเครื่อง (local control) และกลไกจำกัดคำสั่งแบบกลุ่มจึงเป็นทั้งจุดขายและเกราะกันความเสี่ยงทางกฎหมาย สำหรับตลาดไทยที่โซลาร์รูฟท็อปและที่ชาร์จ EV โตเร็ว ทีมที่ทำอุปกรณ์หรือระบบมอนิเตอร์พลังงานควรใส่เรื่องนี้ในเอกสารสเปกและสัญญาบริการตั้งแต่วันแรก
เพิ่มคำถามนี้ใน design review: "คำสั่งเดียวจากคลาวด์ส่งถึงอุปกรณ์ได้มากสุดกี่เครื่อง และต้องมีคนอนุมัติกี่คน" ถ้าตอบว่า "ทั้งหมด และไม่ต้องมีใคร" ให้แก้ก่อนขาย
คลาวด์ที่สั่งงานอุปกรณ์ได้คือจุดเสี่ยงระดับทั้งฝูง — ออกแบบให้อุปกรณ์ทำงานต่อได้เมื่อหลุดคลาวด์ ลงลายเซ็นคำสั่ง และจำกัดขอบเขตคำสั่งแบบกลุ่ม ก่อนลูกค้าหรือกฎหมายบังคับ
อ่านซีรีส์ ออกแบบ IoT Product ตั้งแต่ศูนย์จนขายได้