แฮกเกอร์คนเดียวสั่ง AI เจาะกว่า 1,200 เว็บ—ต้นทุนเฉลี่ยเพียง 5 ดอลลาร์

เมื่อวันที่ 19 ตุลาคม 2026 รายงาน Reuters ระบุว่าผู้ควบคุมรายเดียวที่ใช้ภาษาจีนให้ AI agent พยายามเจาะเว็บไซต์กว่า 1,200 แห่ง และพบร่องรอยการเข้าถึงเว็บไซต์ที่เกี่ยวข้องกับบริษัทมากกว่า 100 แห่ง ซึ่งรวมถึง Deere, SharkNinja และ Cummins ปฏิบัติการมุ่งไปที่เว็บอีคอมเมิร์ซในสหรัฐฯ แคนาดา ญี่ปุ่น และออสเตรเลีย ผู้ควบคุมเลือกเป้าหมายและกำหนดผลลัพธ์ที่ต้องการ ส่วนระบบ Cairn ให้ agent สำรวจและทดลองหาทางเข้าถึงต่อเนื่อง

การตรวจสอบของ NorForge ซึ่งเผยแพร่วันที่ 19 ตุลาคม 2026 พบแผงควบคุม Cairn ที่น่าจะเกี่ยวข้องกับกิจกรรมอันตรายมากกว่า 20 แห่ง โดยกลุ่มที่มีกิจกรรมสูงสุดมีโครงการโจมตีกว่า 1,100 โครงการบนแผง 14 แห่ง และประเมินต้นทุนเฉลี่ยราว 5 ดอลลาร์ต่อโครงการเมื่อรวมงานที่ล้มเหลวหรือหยุดก่อน ตัวเลขเว็บไซต์ที่ถูกพยายามโจมตีจึงบอกขนาดการเลือกเป้าหมาย ส่วนจำนวนโครงการบอกงานที่บันทึกในระบบ ทั้งสองอย่างไม่ใช่จำนวนเว็บที่ยืนยันว่าเจาะสำเร็จ การแยกหน่วยนับนี้สำคัญต่อการประเมินว่าผู้โจมตีทำอะไรได้จริง

ขนาดปฏิบัติการใหญ่กว่าจำนวนเว็บที่เข้าถึงได้

ข้อมูลจากแผงควบคุมแสดงความพยายามที่ดำเนินอยู่หลายระยะ ตั้งแต่การรับงานใหม่ การรวบรวมข้อเท็จจริงเกี่ยวกับเป้าหมาย ไปจนถึงการรายงานว่าบรรลุเป้าหมายที่ตั้งไว้ สถานะที่ agent เขียนไว้เป็นร่องรอยการทำงานของมัน แต่ยังต้องแยกจากหลักฐานบนเว็บปลายทาง รายการเป้าหมายจำนวนมากจึงไม่อาจอ่านเป็นรายการเหยื่อที่ถูกเจาะได้ทั้งหมด แม้ระบบจะบันทึกผลลัพธ์อย่างละเอียด การตีความต้องดูว่า agent เพียงพบช่องทางที่อาจใช้ได้ หรือมีหลักฐานว่ามันนำช่องทางนั้นไปใช้จริง

รายชื่อบริษัทที่ปรากฏในข่าวก็ต้องอ่านด้วยหลักเดียวกัน เว็บไซต์ของบริษัทใหญ่ไม่ได้มีระบบเดียว บางแห่งมีหน้าร้าน บางแห่งมีเว็บสนับสนุนผลิตภัณฑ์ และบางแห่งให้ผู้รับจ้างภายนอกดูแลบริการเฉพาะส่วน การเข้าถึงเว็บหนึ่งแห่งจึงไม่บอกโดยอัตโนมัติว่าระบบหลักหรือข้อมูลลูกค้าทั้งหมดได้รับผลกระทบ ขอบเขตของเหตุการณ์ขึ้นอยู่กับหน้าที่ของเว็บที่ถูกแตะต้อง สิทธิ์ที่ผู้โจมตีได้ และสิ่งที่เกิดขึ้นหลังจากเข้าถึง ไม่ใช่ชื่อบริษัทเพียงอย่างเดียว

สิ่งที่ทำให้กรณีนี้มีน้ำหนักคือผู้ตรวจสอบเห็นข้อมูลระหว่างปฏิบัติการจากแผงที่เปิดอยู่บนอินเทอร์เน็ต แผงเหล่านั้นแสดงทั้งคำสั่งจากมนุษย์ สิ่งที่ agent พบ และขั้นตอนที่มันตั้งใจทำต่อ ร่องรอยลักษณะนี้ช่วยแยกกิจกรรมอัตโนมัติที่กำลังสำรวจระบบออกจากการอ้างผลสำเร็จย้อนหลัง อย่างไรก็ตาม แผงที่เปิดเผยเป็นเพียงส่วนที่ผู้ตรวจสอบพบได้ จึงใช้บอกวิธีทำงานของกลุ่มที่สังเกตเห็นได้ดีกว่าบอกขนาดของกิจกรรมทั้งหมดบนอินเทอร์เน็ต

ผู้ควบคุมที่ใช้ภาษาจีนเป็นกลุ่มที่มีกิจกรรมมากที่สุดในข้อมูลชุดนี้ ไม่ได้หมายความว่าทุกแผง Cairn เป็นของคนเดียวกัน ข้อมูลยังมีกลุ่มอื่นที่ใช้ภาษาและตั้งเป้าหมายต่างกัน การรวมผลของทุกกลุ่มเป็นแคมเปญเดียวจะทำให้เข้าใจทั้งแรงจูงใจและอัตราสำเร็จผิดไป สำหรับเรื่องของเว็บร้านค้า จุดสำคัญอยู่ที่กลุ่มซึ่งรับเป้าหมายเป็นชุด แล้วให้ agent ไล่หาทางเข้าถึงร้านค้าและระบบที่เกี่ยวข้องอย่างต่อเนื่อง

มนุษย์กำหนดโจทย์ ส่วน Cairn เชื่อมการสำรวจกับการทดลอง

Cairn จัดงานแต่ละชิ้นเป็นโครงการที่มีจุดเริ่มและเป้าหมายปลายทาง ผู้ควบคุมระบุว่าจะให้เริ่มจากเว็บใด และต้องการผลลัพธ์แบบไหน จากนั้น agent จึงสร้างลำดับงานของตนเอง ข้อเท็จจริงที่พบถูกบันทึกไว้ในพื้นที่ข้อมูลร่วม เพื่อให้ agent ตัวอื่นนำไปใช้ตัดสินใจต่อได้ ผู้ควบคุมยังเติมคำใบ้ระหว่างทางได้ แต่การเลือกว่าจะสำรวจส่วนใดหรือทดลองวิธีใดในขั้นถัดไปเกิดขึ้นภายในกระบวนการของระบบ

การทำงานแบบนี้ต่างจากการส่งคำขอซ้ำตามรายการตายตัว เมื่อวิธีแรกไม่พาไปถึงเป้าหมาย agent สามารถใช้สิ่งที่พบไปตั้งคำถามใหม่เกี่ยวกับระบบเดียวกัน หากหน้าร้านไม่เผยช่องทางที่ใช้ได้ มันอาจตรวจชื่อโดเมนย่อย บริการจัดการ หรือระบบที่เชื่อมกับร้านค้า ผลจากการสำรวจครั้งก่อนจึงกลายเป็นบริบทของการทดลองครั้งต่อไป ความต่อเนื่องนี้อธิบายได้ว่าทำไมความพยายามหนึ่งจึงกินเวลานาน แม้ไม่มีคนคอยเลือกคำขอทุกครั้ง

การเลือกเป้าหมายของกลุ่มหลักมีขั้นตอนคัดกรองก่อนส่งเข้า Cairn งานตัวอย่างระบุว่าเป็นเว็บซื้อขายที่ใช้งานจริงในตลาดที่ผู้โจมตีสนใจ และมีการใช้ Playwright ตรวจว่าเส้นทางสั่งซื้อทำงานได้ ข้อความในงานยังระบุชนิดของช่องโหว่ที่ต้องการให้ค้นหา ตั้งแต่การเข้าถึงจุดเชื่อมต่อที่ไม่ต้องล็อกอิน ไปจนถึงความผิดพลาดในการอัปโหลดไฟล์หรือการจัดการสิทธิ์ นั่นทำให้เห็นขอบเขตการตัดสินใจของมนุษย์ชัดขึ้น: มนุษย์กำหนดว่าร้านค้าแบบใดมีค่าและต้องการสิทธิ์แบบใด ส่วน agent รับภาระค้นหาเส้นทางไปถึงสิทธิ์นั้น

ชื่อของผู้ใช้ภาษาจีนในข้อมูลเป็นคำบรรยายภาษาที่ใช้สั่งงาน ไม่ใช่การระบุตัวบุคคลหรือประเทศต้นทางของผู้โจมตี เช่นเดียวกัน ชื่อ worker ที่พบในแผงบอกการตั้งค่าที่ระบบแสดง ไม่อาจยืนยันส่วนประกอบทุกตัวของบริการ AI ที่ถูกเรียกใช้ได้จากชื่อเพียงอย่างเดียว สิ่งที่สังเกตได้ชัดกว่าคือรูปแบบการมอบหมายงาน: ผู้ควบคุมส่งโจทย์สั้น แต่ agent ทำงานสำรวจ ตรวจสอบ และปรับเส้นทางได้ยาวนาน การลดแรงงานในขั้นกลางเช่นนี้ทำให้ผู้ควบคุมรายเดียวลองเป้าหมายจำนวนมากได้

ข้อมูลจากแผงยังแสดงข้อจำกัดของการทำงานอัตโนมัติ บางโครงการหยุดโดยไม่บรรลุเป้าหมาย บางงานได้เพียงข้อมูลที่อาจช่วยการลองครั้งใหม่ และบางงานระบุผลสำเร็จที่ต้องตรวจจากเว็บจริง แรงขับของระบบคือการเดินจากจุดเริ่มไปหาผลลัพธ์ที่กำหนด มิใช่ความสามารถรับประกันว่าจะพบช่องโหว่ทุกครั้ง ความเสี่ยงสำหรับเว็บเป้าหมายจึงเกิดจากการทดลองที่ทำซ้ำและปรับตัวได้ในต้นทุนต่ำ แม้แต่ละความพยายามมีโอกาสล้มเหลว

เส้นทางโจมตีอาจออกจากหน้าร้านไปยังระบบข้างเคียง

กรณีหนึ่งที่เผยแพร่แสดงให้เห็นว่า agent ไม่หยุดเมื่อหาโอกาสจากแอปพลิเคชันสาธารณะของบริษัทใหญ่ไม่พบ มันค้นข้อมูลเกี่ยวกับโครงสร้างพื้นฐานที่เกี่ยวข้อง แล้วไปพบแผงควบคุมซึ่งเข้าถึงได้จากภายนอก หลังจากทดลองกับวิธีที่แผงนั้นประมวลผลข้อมูลอยู่หลายชั่วโมง agent รายงานว่าสามารถทำให้เซิร์ฟเวอร์รันคำสั่งได้ ประเด็นสำคัญสำหรับผู้ดูแลเว็บคือการโจมตีอาจย้ายจากหน้าที่ลูกค้าเห็น ไปยังบริการอีกส่วนซึ่งเชื่อมกับธุรกิจเดียวกัน

อีกตัวอย่างที่ตรวจจากเว็บปลายทางเกี่ยวข้องกับผู้ขายชิ้นส่วนฮาร์ดแวร์ ผู้ตรวจสอบเปิด URL ที่ agent ระบุหลังจบงาน แล้วพบหน้า uploader ใช้งานอยู่จริง การตรวจเช่นนี้มีน้ำหนักมากกว่าสถานะ “สำเร็จ” ที่ agent บันทึกเอง เพราะพบผลลัพธ์บนระบบเป้าหมายโดยตรง แต่เป็นหลักฐานของกรณีที่ตรวจ ไม่ใช่การยืนยันย้อนหลังว่าโครงการทั้งหมดมีผลแบบเดียวกัน ความต่างระหว่างคำรายงานของ agent กับร่องรอยบนเว็บจริงเป็นเส้นแบ่งสำคัญในการประเมินความเสียหาย

งานของกลุ่มหลักกำหนดให้วาง uploader ซึ่งเป็นหน้าหรือไฟล์สำหรับรับและบันทึกไฟล์เพิ่มเติม ผู้ควบคุมระบุชัดว่าไม่ต้องการให้ uploader ตัวนั้นเป็น web shell ที่รันคำสั่งได้โดยตรง ความแตกต่างนี้ไม่ทำให้มันเป็นไฟล์ปกติ: หากผู้โจมตีกลับมาใช้ช่องทางอัปโหลดได้ ก็มีทางนำไฟล์ใหม่เข้าสู่ระบบในภายหลัง การพบ uploader จึงบ่งชี้การคงช่องทางเข้าถึง ขณะที่การพบคำขอสแกนเพียงอย่างเดียวบ่งชี้ว่ากำลังค้นหาช่องทางเท่านั้น

รายละเอียดทางเทคนิคของแต่ละกรณีไม่เหมือนกัน ตัวอย่างที่ผู้ตรวจสอบวิเคราะห์เกี่ยวข้องกับการเขียนข้อมูลเซสชันโดยไม่ได้รับอนุญาตและการจัดการวัตถุ PHP อย่างไม่ปลอดภัย แต่กรณีอื่นอาจเริ่มจากปัญหาการยืนยันตัวตน จุดอัปโหลด หรือการตั้งค่าของบริการที่เชื่อมกัน การมองหาเพียงช่องโหว่ชนิดเดียวจึงไม่ครอบคลุมรูปแบบการเคลื่อนที่ของ agent สิ่งที่เชื่อมกรณีต่าง ๆ เข้าด้วยกันคือการนำข้อค้นพบจากขั้นหนึ่งไปใช้เลือกขั้นถัดไป จนพบสิทธิ์หรือช่องทางที่ผู้ควบคุมต้องการ

แผงควบคุมที่ผู้โจมตีเปิดเผยยังสร้างความเสี่ยงเพิ่มแก่เว็บเป้าหมายเอง มันอาจมีรายละเอียดช่องโหว่ บัญชีผู้ใช้ กุญแจ API หรือข้อมูลลับอื่นที่ agent พบ แม้โครงการหนึ่งยังไม่บรรลุเป้าหมาย ข้อมูลที่ถูกเก็บไว้ก็อาจมีค่าต่อผู้ที่เข้าถึงแผงนั้นได้ ความเสียหายที่ต้องประเมินจึงมีทั้งการกระทำบนเว็บปลายทางและการเปิดเผยสิ่งที่ถูกเก็บในระบบของผู้โจมตี สองส่วนนี้ต้องอาศัยหลักฐานคนละชุดในการระบุขอบเขต

ค่าใช้จ่ายต่อโครงการกับต่อการเจาะสำเร็จเป็นคนละตัวเลข

ค่าเฉลี่ยในรายงานต้นทางรวมงานที่จบเร็ว งานที่ล้มเหลว และงานที่ไปถึงเป้าหมาย จึงเป็นตัวชี้ต้นทุนของการลองโจมตีเป็นชุด มิใช่ราคาที่ต้องจ่ายเพื่อเจาะเว็บหนึ่งแห่งให้สำเร็จ ผู้ตรวจสอบไม่มีข้อมูลการใช้โทเคนจริงครบทุกงาน และคำนวณจากร่องรอยที่เห็นประกอบกับราคาของโมเดลที่คาดว่าใช้ ต้นทุนของงานยาวอาจสูงกว่าค่าเฉลี่ยมาก อีกทั้งราคาอาจต่างกันตามช่วงเวลาและการนำข้อมูลเดิมกลับมาใช้ ตัวเลขนี้จึงควรอ่านเป็นประมาณการ ไม่ใช่ใบเรียกเก็บเงินจริง

The Next Web ระบุว่าผู้วิจัยประเมินค่าโทเคนของแคมเปญราว 5,000 ดอลลาร์ หรือประมาณ 50 ดอลลาร์ต่อการเจาะที่สำเร็จหนึ่งครั้ง พร้อมรายงานอัตราสำเร็จโดยรวมราว 10% และเวลาเฉลี่ยต่ำกว่า 23 ชั่วโมงสำหรับงานที่บรรลุเป้าหมายในกลุ่มหลัก; Snorre Fagerland อธิบายวิธีที่ agent ใช้แก้ปัญหาว่า “It’s not script kiddie stuff.” คำประเมินค่าใช้จ่ายแต่ละแบบใช้ตัวหารต่างกัน: แบบหนึ่งหารด้วยงานทั้งหมด ส่วนอีกแบบหารด้วยผลสำเร็จที่ประเมินได้ การนำมาวางคู่กันช่วยเห็นทั้งต้นทุนการลองจำนวนมากและต้นทุนต่อผลลัพธ์ แต่ไม่ทำให้ค่าใดเป็นราคามาตรฐานของการเจาะเว็บ

อัตราสำเร็จยังขึ้นอยู่กับคำว่า “สำเร็จ” ในงานแต่ละประเภท หากเป้าหมายคือพิสูจน์ว่ามีช่องโหว่ เกณฑ์ย่อมต่างจากงานที่ต้องวางไฟล์บนเซิร์ฟเวอร์หรือรักษาสิทธิ์เข้าถึงต่อไว้ กลุ่มที่ปรากฏในข้อมูลก็เลือกเป้าหมายและตั้งโจทย์ต่างกัน จึงนำผลมาคาดการณ์ตรง ๆ กับเว็บร้านค้าทุกแห่งไม่ได้ ภาพที่ชัดกว่าอยู่ที่ความสามารถให้ agent ทำงานยาว ข้ามหลายทางเลือก และเก็บสิ่งที่พบไว้ใช้ต่อ แม้เส้นทางส่วนใหญ่ไม่ไปถึงเป้าหมายสูงสุด

เวลาที่งานสำเร็จใช้ไปบอกอีกด้านของภัยคุกคาม: การโจมตีอาจไม่ปรากฏเป็นช่วงสั้นที่มีคำขอจำนวนมหาศาล ระบบอาจสำรวจบริการหนึ่ง หยุดเพื่อประมวลผลสิ่งที่พบ แล้วกลับมาลองอีกบริการภายหลัง เมื่อแยกดูบันทึกเป็นช่วงสั้น ๆ กิจกรรมแต่ละตอนอาจดูไม่เกี่ยวกัน แต่เมื่อเรียงตามโดเมน บัญชี เส้นทางไฟล์ และผลลัพธ์ จะเห็นการสะสมข้อมูลเพื่อนำไปสู่การเข้าถึง ความต่อเนื่องนี้มีความหมายต่อการตรวจจับมากกว่าความเร็วของคำขอเพียงอย่างเดียว

สัญญาณที่เว็บอีคอมเมิร์ซไทยควรเชื่อมเข้าด้วยกัน

สำหรับเว็บอีคอมเมิร์ซไทย กรณีนี้เป็นแบบจำลองภัยคุกคามจากพฤติกรรมที่สังเกตได้ ไม่ใช่หลักฐานว่าแคมเปญเดียวกันได้เลือกเว็บไทยแล้ว ระยะแรกคือการสำรวจหน้าเว็บ เส้นทางย่อย และบริการที่เชื่อมกับหน้าร้าน คำขออาจมุ่งไปยังจุดที่ผู้ใช้ทั่วไปไม่จำเป็นต้องเรียก เช่น หน้าจัดการหรือปลายทางรับข้อมูลจากภายนอก การดูเพียงยอดคำขอรวมจะบอกได้น้อยกว่าการดูว่าระบบส่วนใดถูกไล่ตรวจ และการตรวจนั้นเปลี่ยนทิศหลังได้รับคำตอบแบบใด

ระยะถัดมาคือการลองใช้สิ่งที่ค้นพบ คำขออาจเปลี่ยนรูปแบบข้อมูลที่ส่งเข้าเว็บ ทดลองเข้าถึงส่วนที่ควรจำกัดสิทธิ์ หรือเรียกจุดอัปโหลดด้วยค่าที่ไม่ใช่การใช้งานปกติ ความต่อเนื่องระหว่างการสำรวจและการลองสำคัญกว่าคำขอผิดปกติครั้งเดียว เพราะ agent ใช้ผลจากขั้นก่อนเลือกขั้นหลัง ทีมเว็บจึงได้ภาพชัดขึ้นเมื่อเชื่อมบันทึกของหน้าร้าน ระบบจัดการ และบริการที่อยู่ข้างเคียง แทนที่จะตัดสินแต่ละบริการโดยไม่มีบริบทของอีกบริการ

หากการทดลองนำไปสู่การเขียนไฟล์ สัญญาณจะเปลี่ยนระดับจากการลองเข้าถึงเป็นการเปลี่ยนแปลงบนระบบจริง ไฟล์ใหม่ในตำแหน่งที่ไม่ได้อยู่ในขั้นตอนเผยแพร่ปกติ หน้าอัปโหลดที่ไม่มีเหตุผลทางธุรกิจ หรือการเรียกใช้ URL เดิมหลังไฟล์ปรากฏ ล้วนช่วยบอกว่าผู้โจมตีอาจตั้งช่องทางกลับมาใช้ภายหลัง การเห็นคำขอสแกนโดยไม่พบไฟล์หรือสิทธิ์ใหม่เป็นสถานะอีกแบบหนึ่ง การแยกสองสถานะนี้ช่วยจัดลำดับการตรวจสอบตามหลักฐาน แทนการถือว่าทุกคำขอผิดปกติคือการเจาะสำเร็จ

การคงสิทธิ์อาจปรากฏผ่านบัญชีที่ถูกเปลี่ยนสิทธิ์ เซสชันที่ยังใช้งานได้ หรือจุดอัปโหลดที่ถูกเรียกซ้ำหลังช่วงทดลอง หากบันทึกการเข้าใช้แสดงเพียงต้นทางของคำขอ แต่ไม่ผูกกับการสร้างไฟล์หรือการเปลี่ยนสิทธิ์ เหตุการณ์ที่ต่อกันอาจถูกมองเป็นคนละเรื่อง ในทางกลับกัน การพบไฟล์ใหม่เพียงอย่างเดียวก็ยังต้องดูว่ามันถูกสร้างผ่านช่องทางเผยแพร่ที่อนุญาตหรือผ่านการเข้าถึงที่ไม่ควรเกิดขึ้น แบบจำลองจากกรณี Cairn จึงให้ความสำคัญกับลำดับและผลที่เกิดขึ้น ไม่ใช่เครื่องหมายผิดปกติเดี่ยว ๆ

บริการที่เชื่อมกับร้านค้าควรอยู่ในภาพเดียวกัน เพราะตัวอย่างการโจมตีแสดงการย้ายจากแอปพลิเคชันหลักไปยังแผงควบคุมที่เกี่ยวข้อง จุดเชื่อมต่อซึ่งไม่รับชำระเงินหรือไม่แสดงสินค้าอาจยังมีสิทธิ์เข้าถึงข้อมูลและระบบหลังบ้าน การเฝ้าดูเฉพาะหน้าที่ลูกค้าใช้งานจึงอาจพลาดช่วงที่ agent พบเส้นทางรอง สำหรับผู้ดูแลเว็บ ผลที่ต้องแยกให้ได้คือระบบถูกสำรวจ ระบบถูกลองใช้ช่องโหว่ หรือมีการเปลี่ยนแปลงที่เปิดทางให้กลับมาใช้สิทธิ์ต่อ

สถานะของบริษัทที่ถูกระบุชื่อยังต่างกัน

คำชี้แจงของบริษัทที่ปรากฏในข่าวสะท้อนขอบเขตเหตุการณ์คนละแบบ Deere ระบุว่าดำเนินการแก้ไขและยังไม่พบสัญญาณว่าข้อมูลอ่อนไหวถูกเข้าถึง SharkNinja ระบุว่าเหตุเกิดกับเว็บสนับสนุนผลิตภัณฑ์ที่แยกต่างหากและควบคุมภัยคุกคามได้ ส่วน Cummins กำลังตรวจสอบรายงานเกี่ยวกับเว็บที่ผู้ให้บริการภายนอกดูแล สถานะเหล่านี้ไม่ควรถูกรวมเป็นข้อสรุปเดียวเกี่ยวกับการขโมยข้อมูล Reuters ยังระบุว่าไม่สามารถประเมินได้ว่าการเข้าถึงที่พบทำให้ข้อมูลถูกนำออกไปมากเพียงใด

ผู้ตรวจสอบกำลังประสานการแจ้งผู้ได้รับผลกระทบและพยายามให้ผู้ให้บริการปิดแผงควบคุมที่เปิดสู่สาธารณะ ขั้นตอนนี้มีผลต่อทั้งการหยุดการทำงานที่ยังดำเนินอยู่ และการลดโอกาสที่ข้อมูลลับบนแผงจะถูกผู้อื่นนำไปใช้ต่อ สำหรับเว็บที่อาจปรากฏในบันทึกของแคมเปญ คำถามที่ต้องตอบจากระบบของตนยังคงเฉพาะเจาะจง: กิจกรรมหยุดที่การสำรวจ หรือมีไฟล์ บัญชี และช่องทางที่ผู้โจมตียังกลับมาใช้ได้