สรุปสั้น

บริษัท CTM360 ผู้ให้บริการข่าวกรองภัยคุกคามไซเบอร์ เปิดเผยการสืบสวนแคมเปญฟิชชิงที่มุ่งเป้าธุรกิจประกันภัย ซึ่งสะท้อนการเปลี่ยนแปลงครั้งสำคัญของรูปแบบการโจมตี จากเดิมที่ผู้โจมตีเก็บรหัสผ่านไว้ใช้ในภายหลัง มาเป็นการซิงค์กิจกรรมกับเหยื่อแบบเรียลไทม์ โดยยืนยันตัวตนกับพอร์ทัลประกันภัยตัวจริงในขณะที่เหยื่อกำลังกรอกข้อมูลล็อกอินโดยไม่รู้ตัว ทำให้การโจมตีทั้งหมดจบได้ภายในเซสชันการท่องเว็บครั้งเดียว หน้าฟิชชิงทำหน้าที่เป็นตัวกลางสด (live intermediary) ระหว่างเหยื่อกับบริการจริง เมื่อผู้ให้บริการส่งรหัสผ่านครั้งเดียว (OTP) มา หน้าฟิชชิงจะรีบขอให้เหยื่อกรอกรหัสนั้นในทันทีโดยอ้างว่าเป็นการยืนยันตัวตนตามปกติ แล้วส่งต่อรหัสไปยังพอร์ทัลจริงก่อนหมดอายุ จึงข้ามการยืนยันตัวตนหลายปัจจัย (MFA) ได้สำเร็จ CTM360 ระบุว่าแคมเปญนี้ใช้โฆษณา Google เป็นช่องทางเริ่มต้น มีซาอุดีอาระเบียเป็นเป้าหมายหลัก และพบกิจกรรมเพิ่มเติมในยุโรป สหรัฐฯ และอินเดีย พร้อมค้นพบชุดฟิชชิงใหม่ที่ตั้งชื่อว่า InsureOTP Kit

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานอ้างงานวิจัยของบริษัท CTM360 เมื่อวันที่ 25 กรกฎาคม พ.ศ. 2569 ว่า เป็นเวลาหลายปีที่แคมเปญฟิชชิงมุ่งเป้าสถาบันการเงินดำเนินตามรูปแบบเดิม คือหลอกให้เหยื่อกรอกชื่อผู้ใช้และรหัสผ่าน เก็บข้อมูลไว้ แล้วค่อยเข้าเจาะบัญชีในภายหลังเมื่อมีโอกาส แต่การสืบสวนแคมเปญฟิชชิงที่เล็งภาคประกันภัยล่าสุดเผยให้เห็นแนวทางที่ฉับไวขึ้น กล่าวคือแทนที่จะเก็บรหัสไว้ใช้ทีหลัง ผู้โจมตีกลับซิงค์การทำงานกับเหยื่อแบบเรียลไทม์ ยืนยันตัวตนกับพอร์ทัลประกันภัยตัวจริงพร้อมๆ กับที่เหยื่อกำลังล็อกอิน

ธุรกิจประกันภัยกลายเป็นเป้าหมายที่น่าดึงดูดมากขึ้น เนื่องจากผู้ให้บริการขยายบริการออนไลน์อย่างรวดเร็ว ลูกค้าสามารถซื้อกรมธรรม์ ต่ออายุ ยื่นเคลม จัดการบัญชี อัปเดตข้อมูลส่วนตัว และชำระเงินผ่านพอร์ทัลดิจิทัลได้ทั้งหมด ต่างจากการโจมตีธนาคารแบบดั้งเดิมที่เน้นธุรกรรมการเงิน บัญชีประกันภัยที่ถูกเจาะมักมีข้อมูลส่วนบุคคลจำนวนมาก เอกสารยืนยันตัวตน บันทึกกรมธรรม์ วิธีการชำระเงิน และข้อมูลอ่อนไหวอื่นๆ ที่สามารถนำไปต่อยอดฉ้อโกงได้ไกลเกินกว่าการเจาะครั้งแรก

ระหว่างการสืบสวน CTM360 พบปฏิบัติการฟิชชิงที่ประสานงานกัน โจมตีผู้ให้บริการประกันภัยหลายรายในหลายภูมิภาค แทนที่จะปลอมเป็นองค์กรเดียว แคมเปญนี้กลับใช้โครงสร้างพื้นฐานปฏิบัติการชุดเดียวกันซ้ำกับแบรนด์ประกันภัยจำนวนมาก ปรับเปลี่ยนภาษา แบรนด์ และเนื้อหาให้เข้ากับตลาดท้องถิ่น โดยซาอุดีอาระเบียเป็นเป้าหมายหลัก และพบกิจกรรมเพิ่มเติมในยุโรป สหรัฐฯ และอินเดีย

วิธีการโจมตี

จุดที่น่าสังเกตคือการใช้โฆษณา Google แบบสปอนเซอร์เป็นกลไกส่งมอบหลัก แทนที่จะพึ่งอีเมลหรือ SMS ฟิชชิง ผู้โจมตีซื้อโฆษณาที่ปรากฏขึ้นเมื่อผู้ใช้ค้นหาใบเสนอราคาประกัน การต่ออายุ หรือการเปรียบเทียบราคา โดยโฆษณาชูข้อเสนออย่าง “เปรียบเทียบประกันรถยนต์” หรือ “ประกันภัยบุคคลที่สามราคาถูกที่สุด” เพื่อล่อให้คลิกสิ่งที่ดูเหมือนบริการเสนอราคาที่ถูกต้อง เมื่อคลิกแล้ว เหยื่อจะถูกพาไปยังเว็บฟิชชิงที่ออกแบบให้เหมือนผู้ให้บริการประกันภัยตัวจริง ทั้งแบรนด์ หน้าตา ขั้นตอนการเสนอราคา และพอร์ทัลลูกค้า ในระดับความสมจริงที่ตั้งใจลดความระแวงตลอดการใช้งาน

โครงสร้างพื้นฐานที่รองรับแคมเปญก็เป็นแบบใช้แล้วทิ้งเช่นกัน แทนที่จะใช้โฮสติงอันตรายเฉพาะทาง ผู้โจมตีมักใช้เครื่องมือสร้างเว็บและแพลตฟอร์มโฮสต์ฟรีที่ถูกต้องตามกฎหมาย เช่น GitHub Pages, Netlify, Hostinger, Wix, Lovable และบริการคลาวด์อื่นๆ พร้อมใช้โดเมนแบบสุ่มที่แทบไม่เกี่ยวข้องกับแบรนด์ประกัน ทำให้หมุนเวียนแคมเปญได้รวดเร็วและลดประสิทธิภาพของการเฝ้าระวังแบรนด์แบบเดิม

หัวใจของการยกระดับคือการที่พอร์ทัลฟิชชิงไม่ได้เป็นเพียงหน้าเก็บข้อมูลนิ่งๆ อีกต่อไป แต่มีปฏิสัมพันธ์กับเหยื่อตลอดกระบวนการยืนยันตัวตน เมื่อเหยื่อกรอกข้อมูล ผู้โจมตีจะนำข้อมูลที่ได้ไปโต้ตอบกับพอร์ทัลประกันภัยตัวจริงพร้อมกันแบบเรียลไทม์ เปลี่ยนหน้าฟิชชิงให้เป็นตัวกลางสดระหว่างเหยื่อกับบริการจริง เมื่อผู้ให้บริการตัวจริงส่งรหัส OTP หรือคำท้าทายยืนยันตัวตนอื่นมา หน้าฟิชชิงจะรีบขอให้เหยื่อกรอกรหัสเดียวกันในทันทีโดยอ้างว่าเป็นการยืนยันตัวตนตามปกติ แล้วรีเลย์ OTP นั้นไปยังพอร์ทัลจริงก่อนหมดอายุ ทำให้ผู้โจมตียืนยันตัวตนสำเร็จและสร้างเซสชันที่ล็อกอินแล้วได้ในขณะที่เหยื่อยังไม่รู้ตัว วิธีนี้เปลี่ยนสิ่งที่เคยเป็นการเก็บข้อมูลให้กลายเป็นปฏิบัติการยึดบัญชีที่ลงมือทันที ลดโอกาสที่เหยื่อหรือฝ่ายป้องกันจะตรวจจับและขัดขวางก่อนถูกเจาะได้อย่างมาก

รายละเอียดชุดเครื่องมือ

จากการวิเคราะห์โครงสร้างพื้นฐาน CTM360 พบชุดฟิชชิงที่ไม่เคยมีการบันทึกมาก่อนและตั้งชื่อว่า InsureOTP Kit ซึ่งสร้างขึ้นมาเพื่อปฏิบัติการฟิชชิงธีมประกันภัยโดยเฉพาะ ให้ความสามารถจัดการเซสชันสด เก็บข้อมูลแบบเรียลไทม์ ระบบหลังบ้าน และหลายวิธีในการขโมยข้อมูลออก ต่างจากชุดฟิชชิงรุ่นเก่าที่เพียงส่งอีเมลรหัสที่จับได้ กรอบการทำงานนี้เปิดให้ผู้ปฏิบัติการจัดการเซสชันเหยื่อแต่ละรายได้อย่างแข็งขัน โดยความสามารถที่พบ ได้แก่ การเฝ้าดูเหยื่อแบบเรียลไทม์ แดชบอร์ดผู้ดูแลหลังบ้าน ขั้นตอนอนุมัติด้วยมือ การติดตามเซสชัน การผสาน Telegram Bot การสื่อสารกับ API หลังบ้านโดยตรง และการจัดการ OTP สด

บางเวอร์ชันใช้ Telegram Bot API เพื่อรับข้อมูลที่เหยื่อส่งมาแบบมีโครงสร้างในทันที ขณะที่บางเวอร์ชันส่งข้อมูลตรงไปยังเซิร์ฟเวอร์หลังบ้านที่ผู้โจมตีควบคุม นักวิจัยยังพบว่าระบบหลังบ้านสามารถร้องขอให้เหยื่อกรอก OTP เพิ่มได้ทุกครั้งที่การยืนยันตัวตนล้มเหลว เปิดทางให้ผู้ปฏิบัติการพยายามเข้าถึงบัญชีต่อไปเรื่อยๆ ก่อนรหัสหมดอายุ นอกจากนี้ CTM360 ยังพบทรัพยากรหลังบ้านที่เข้าถึงได้แบบสาธารณะ ซึ่งเมื่อวิเคราะห์ไฟล์บีบอัดที่หลุดออกมาพบส่วนประกอบผู้ดูแล ซอร์สโค้ดหลังบ้าน ฐานข้อมูล SQLite และบันทึกปฏิบัติการ ที่ให้ภาพว่ากรอบฟิชชิงนี้ทำงานอย่างไร

ผลกระทบต่อไทย

แม้แคมเปญนี้จะเน้นซาอุดีอาระเบีย ยุโรป สหรัฐฯ และอินเดียเป็นหลัก แต่เทคนิคที่ใช้เป็นรูปแบบที่นำไปปรับใช้กับตลาดใดก็ได้ เพราะโครงสร้างพื้นฐานชุดเดียวถูกใช้ซ้ำกับหลายแบรนด์และปรับภาษาให้เข้ากับท้องถิ่น ธุรกิจประกันภัยและบริการทางการเงินออนไลน์ในไทยที่ให้ลูกค้าซื้อกรมธรรม์ ต่ออายุ และชำระเงินผ่านเว็บ จึงมีความเสี่ยงถูกเลียนแบบด้วยวิธีเดียวกัน โดยเฉพาะการใช้โฆษณา Google ล่อผู้ที่ค้นหาประกันรถยนต์หรือเปรียบเทียบราคา ที่อันตรายกว่าคือเทคนิครีเลย์ OTP แบบเรียลไทม์ทำให้การยืนยันตัวตนหลายปัจจัยที่หลายองค์กรไทยพึ่งพาไม่สามารถหยุดการโจมตีได้อีกต่อไป ผู้บริโภคไทยที่คุ้นเคยกับการกรอก OTP เพื่อยืนยันตัวตนจึงตกเป็นเป้าได้ง่าย และเมื่อบัญชีประกันถูกยึด ข้อมูลส่วนบุคคลและเอกสารยืนยันตัวตนที่อยู่ในบัญชีอาจถูกนำไปต่อยอดฉ้อโกงในวงกว้าง

คำแนะนำ

องค์กรควรเฝ้าระวังโฆษณาแบบเสียเงินที่แอบอ้างแบรนด์ของตน โดเมนเลียนแบบที่เพิ่งจดทะเบียนใหม่ โครงสร้างพื้นฐานฟิชชิงที่โฮสต์บนคลาวด์แบบใช้แล้วทิ้ง และรูปแบบการยืนยันตัวตนที่บ่งชี้การรีเลย์ OTP แบบเรียลไทม์ การป้องกันไม่ควรพึ่งเพียงการตรวจจับโดเมนฟิชชิงหลังปรากฏออนไลน์ เพราะในปฏิบัติการเหล่านี้การเก็บรหัส การดักจับ OTP และการยึดบัญชีเกิดขึ้นในเวิร์กโฟลว์ต่อเนื่องครั้งเดียว กว่าเหยื่อจะรู้ตัว ผู้โจมตีอาจยืนยันตัวตนสำเร็จและเข้าถึงบัญชีจริงไปแล้ว องค์กรควรพิจารณาใช้การยืนยันตัวตนแบบต้านฟิชชิง (phishing-resistant MFA) เช่น passkey หรือ FIDO2 ที่ผูกกับโดเมน ซึ่งไม่สามารถรีเลย์ผ่านหน้าตัวกลางได้ ส่วนผู้ใช้ทั่วไปควรเข้าเว็บประกันภัยผ่านการพิมพ์ URL เองหรือบุ๊กมาร์ก แทนการคลิกโฆษณาในผลค้นหา และระวังหน้าที่ขอ OTP ทันทีหลังกรอกรหัสผ่านผิดปกติ

แหล่งอ้างอิง