สรุปสั้น

กลุ่มจารกรรมไซเบอร์ที่ต้องสงสัยว่ามาจากรัสเซียสามคลัสเตอร์ ได้แก่ UNC6293, UNC7005 และ UNC5976 ถูกพบว่ากำลังใช้กลไกยืนยันตัวตนที่ถูกต้องตามระบบเป็นเครื่องมือหลักในการยึดบัญชีของบุคคลเป้าหมาย ซึ่งทำงานอยู่ในแวดวงวิชาการ อากาศยานและกลาโหม หน่วยงานรัฐ และสถาบันวิจัยเชิงนโยบายทั่วยุโรป รวมถึงนักวิชาการและสถาบันวิจัยในสหรัฐฯ จุดร่วมของทั้งสามคลัสเตอร์คือแทนที่จะไล่หาช่องโหว่ในซอฟต์แวร์ พวกเขาเลือกฉวยฟีเจอร์ที่ผู้ให้บริการออกแบบมาให้ใช้งานจริง ตั้งแต่รหัสผ่านเฉพาะแอป การอนุญาตสิทธิ์ผ่าน OAuth ไปจนถึงการเชื่อมอุปกรณ์เข้ากับบัญชีแชต ทำให้การแยกแยะว่าการเข้าถึงบัญชีครั้งไหนถูกต้องและครั้งไหนเป็นของผู้โจมตีทำได้ยากขึ้นมาก

รูปแบบที่โดดเด่นที่สุดในรายงานคือปฏิบัติการของ UNC7005 ที่ปลอมเป็นระบบของ WhatsApp โดยหลอกให้เป้าหมายเชื่อมบัญชีของตนเข้ากับอุปกรณ์ที่ผู้โจมตีควบคุม ด้วยข้ออ้างว่าต้องเชื่อมก่อนจึงจะเข้าร่วมการโทร แชต หรือรับเอกสารที่เข้ารหัสได้ เมื่อการเชื่อมสำเร็จ หน้าเว็บฟิชชิงจะเสนอทางเลือกต่อ ทั้งการเข้าร่วมสายเสียงซึ่งจะทริกเกอร์จาวาสคริปต์ให้อัดเสียงและวิดีโอส่งกลับไปยังเซิร์ฟเวอร์ควบคุม หรือการเข้าห้องแชตที่หลอกให้เหยื่อคัดลอกชื่อผู้ใช้และรหัสผ่านไปกรอกบนอีกเว็บหนึ่ง นอกจากนี้กลุ่มยังเสริมคลังเครื่องมือด้วยอินโฟสตีลเลอร์สำเร็จรูปอย่าง Vidar และ Atomic รวมถึงเริ่มปฏิบัติการฟิชชิง OAuth ด้วยโดเมนที่ปลอมเป็นหน่วยงานสนับสนุนอุตสาหกรรมกลาโหมของฟินแลนด์ในช่วงต้นเดือนสิงหาคม 2569

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 21 สิงหาคม 2569 ว่าทีมนักวิจัยของ Google Threat Intelligence Group หรือ GTIG ได้เผยแพร่รายงานฉบับใหม่ ซึ่งระบุว่ากลุ่มจารกรรมที่ต้องสงสัยว่ามาจากรัสเซียสามคลัสเตอร์กำลังทำแคมเปญฟิชชิงที่ต่อเนื่องและปรับตัวได้ โดยใช้กลวิธีทางวิศวกรรมสังคมที่ประณีตเพื่อเจาะบัญชีส่วนตัวของเป้าหมายบนหลายแพลตฟอร์มพร้อมกัน

คลัสเตอร์แรกคือ UNC6293 ซึ่งบริษัท Google และห้องปฏิบัติการ Citizen Lab เคยเปิดเผยครั้งแรกเมื่อเดือนมิถุนายน 2568 และถูกประเมินว่าเป็นกลุ่มย่อยของ Ice Relic ซึ่งเดิมรู้จักกันในชื่อ APT29 และยังถูกติดตามในชื่ออื่นอย่าง Cozy Bear และ Midnight Blizzard กลุ่มนี้เคยถูกระบุว่าอยู่เบื้องหลังแคมเปญที่ฉวยฟีเจอร์รหัสผ่านเฉพาะแอปของบัญชี Google เพื่อยึดการควบคุมบัญชีเหยื่อ และนับจากนั้นก็ยังทำแคมเปญฟิชชิงต่อเนื่อง โดยมีลักษณะเฉพาะคือขอบเขตเล็กมาก มักเล็งผู้ใช้ไม่ถึงห้ารายต่อครั้ง พร้อมสวมรอยเป็นเจ้าหน้าที่กระทรวงการต่างประเทศสหรัฐฯ ชื่อแอปและเหยื่อล่อที่ใช้จะวนอยู่กับธีมทางการทูตและการประชุมที่กำลังจะเกิดขึ้น ซึ่งบริษัท Volexity เคยชี้ให้เห็นบางส่วนมาแล้วเมื่อเดือนธันวาคม 2568 และล่าสุดในเดือนมิถุนายน 2569 Google พบว่ากลุ่มนี้หันมาทำฟิชชิง OAuth ด้วยการขอให้เป้าหมายส่งลิงก์เต็มหรือรหัสยืนยันให้ หลังจากที่เหยื่อล็อกอินกับผู้ให้บริการภายนอกอย่างถูกต้องแล้ว

google cloud citizen lab javascript whatsapp hijack accounts three suspected russian hackers abuse google oauth
google cloud citizen lab javascript whatsapp hijack accounts three suspected russian hackers abuse google oauth

คลัสเตอร์ที่สองคือ UNC5976 ซึ่งเชื่อว่าเคลื่อนไหวมาตั้งแต่อย่างน้อยเดือนมีนาคม 2569 และเน้นการฟิชชิง OAuth พร้อมทำการเก็บโทเคนแบบอัตโนมัติด้วยการอาศัยโครงสร้างพื้นฐานคลาวด์ วิธีการคือซื้อโดเมนที่ตั้งชื่อให้ดูเกี่ยวข้องกับบริการแบ่งปันไฟล์ แล้วสร้างโครงการคลาวด์ที่ผูกกับโดเมนนั้น หน้าเว็บปลายทางจะทำเป็นหน้าแบ่งปันไฟล์ปลอม เมื่อเป้าหมายอยู่บนหน้านั้นสักครู่ก็จะมีกล่องล็อกอินเด้งขึ้นมา GTIG ระบุว่ากลุ่มนี้สร้างโดเมนใหม่พร้อมโครงสร้างพื้นฐานที่เกี่ยวข้องไม่น้อยกว่า 12 โดเมนนับตั้งแต่เดือนมีนาคม 2569 ซึ่ง Google ได้ปิดไปหมดแล้ว และการปิดครั้งนั้นทำให้ผู้โจมตีย้ายออกจากโครงสร้างพื้นฐานของ Google ไปใช้ผู้ให้บริการรายอื่นแทน นอกจากนี้ UNC5976 ยังถูกพบว่าใช้ปลั๊กอินปลอมของ Excel ที่มีชื่อรหัสว่า HEADRUSH เพื่อส่งไฟล์ HTA ลงเครื่องเหยื่อ โดยแพร่ผ่านโดเมนปลอมที่สวมรอยเป็นสถาบันวิจัยแห่งหนึ่งของยูเครน และมีข้อบ่งชี้ว่าอาจถูกใช้เล่นงานบริษัทด้านอากาศยานและภาพถ่ายของยูเครน แม้ขอบเขตการติดเชื้อทั้งหมดจะยังไม่ทราบ

คลัสเตอร์ที่ GTIG ให้น้ำหนักมากที่สุดคือ UNC7005 หรือที่รู้จักในชื่อ Storm-2945 ซึ่งถูกระบุตัวครั้งแรกเมื่อเดือนกุมภาพันธ์ 2569 และเล็งบุคลากรสายวิชาการ การทูต และองค์กรไม่แสวงหากำไรในยูเครน ยุโรปตะวันตก และสหรัฐฯ เป็นหลัก ทั้ง UNC6293 และ UNC7005 ถูกประเมินว่าเกี่ยวข้องกับกลุ่มย่อยภายใน Ice Relic ที่รับหน้าที่ปฏิบัติการเข้าถึงระบบครั้งแรก และใช้พร็อกซีที่อยู่อาศัยเชิงพาณิชย์สำหรับกิจกรรมหลังเจาะสำเร็จ

วิธีการโจมตี

เทคนิคที่ UNC7005 ใช้ครอบคลุมหลายช่องทางพร้อมกัน เริ่มจากการฟิชชิงรหัสผ่านเฉพาะแอปแบบคัดเลือกเป้าหมายอย่างเจาะจง ต่อด้วยการฟิชชิงแบบ device code ที่เล่นงานทั้งบัญชี Microsoft และ WhatsApp โดยฝั่ง Microsoft ใช้อีเมลฟิชชิงที่แนบคำเชิญร่วมงานหรือการประชุมทางการทูต ในอีเมลจะมีลิงก์ไปยังเว็บไซต์ที่ผู้โจมตีควบคุม ซึ่งจะเก็บโปรไฟล์ของผู้เข้าชมก่อน แล้วจึงให้ยืนยันการเข้าร่วมพร้อมระบุอาหารจานหลักและไวน์ที่ต้องการ ทั้งนี้การใช้เหยื่อล่อธีมไวน์เป็นลายเซ็นที่ปรากฏซ้ำในการโจมตีของ Ice Relic มาตั้งแต่เดือนเมษายน 2566 และบางส่วนของกิจกรรมลักษณะนี้เคยถูกบริษัท Zscaler ตั้งชื่อรหัสว่า SPIKEDWINE

ส่วนที่ใหม่และน่าจับตาที่สุดคือปฏิบัติการช่วงเดือนพฤษภาคมถึงมิถุนายน 2569 ที่สวมรอยเป็น WhatsApp หน้าเว็บฟิชชิงจะหลอกให้เป้าหมายเชื่อมบัญชี WhatsApp ของตนเข้ากับอุปกรณ์ที่ผู้โจมตีควบคุม โดยอ้างว่าต้องทำเช่นนั้นก่อนจึงจะเข้าร่วมสายสนทนา แชต หรือรับเอกสารที่ปลอดภัยได้ ขั้นตอนคือหน้าเว็บจะขอหมายเลขโทรศัพท์จากเหยื่อ แล้วนำหมายเลขนั้นไปสร้างคำขอเชื่อมอุปกรณ์กับ WhatsApp จริงจากฝั่งอุปกรณ์ของผู้โจมตี จากนั้นจึงแสดงคิวอาร์โค้ดและรหัสเชื่อมอุปกรณ์ของจริงกลับมาให้เหยื่อพร้อมคำแนะนำวิธีเชื่อม กลไกนี้จึงไม่ต้องขโมยรหัสผ่านหรือรหัส OTP ใด ๆ เลย เพราะสิ่งที่เหยื่ออนุมัติคือคำขอที่ถูกต้องตามระบบทุกประการ ต่างเพียงว่าอุปกรณ์ปลายทางไม่ใช่ของตัวเอง ซึ่งเป็นตรรกะเดียวกับเทคนิค GhostPairing ที่เคยรายงานไว้ในโพสต์ 07/167

เมื่อบัญชีถูกเชื่อมกับอุปกรณ์ของผู้โจมตีเรียบร้อย หน้าเว็บฟิชชิงจะยังไม่หยุด แต่จะเสนอทางเลือกเพิ่มให้เหยื่อเลือกอีกชั้น หากเลือกเข้าร่วมสายเสียง จาวาสคริปต์จะเริ่มบันทึกเสียงและวิดีโอแล้วส่งไฟล์ที่อัดได้ไปยังปลายทางเซิร์ฟเวอร์ควบคุม หากเลือกเข้าห้องแชตที่เข้ารหัส จาวาสคริปต์จะแสดงชื่อผู้ใช้และรหัสผ่านให้เหยื่อคัดลอกไปล็อกอินบนอีกลิงก์หนึ่ง ส่วนตัวเลือกดาวน์โหลดไฟล์นั้นรายงานระบุว่ายังไม่ทราบว่าไฟล์ที่ส่งคืออะไร

ราวเดือนพฤษภาคม 2569 UNC7005 ยังเสริมคลังเครื่องมือด้วยอินโฟสตีลเลอร์สำเร็จรูปที่หาซื้อได้ทั่วไปอย่าง Vidar และ Atomic ซึ่งรู้จักกันในชื่อ AMOS เพื่อดูดข้อมูลจากเครื่อง Windows และ macOS ของนักวิชาการ นักการทูต และนักวิจัยในสหรัฐฯ ที่ทำงานเกี่ยวกับรัสเซียและกลุ่มประเทศอดีตสหภาพโซเวียต โดยส่งอีเมลที่มีลิงก์ไปยังหน้าเว็บซึ่งปลอมเป็นการประชุมสุดยอดว่าด้วยมติสนับสนุนยูเครน แล้วเร่งให้เหยื่อดาวน์โหลดแอปพลิเคชันคู่มือการประชุมเพื่ออ่านเนื้อหามติฉบับเต็ม

ต่อมาในต้นเดือนสิงหาคม 2569 กลุ่มเริ่มปฏิบัติการฟิชชิง OAuth กับบัญชี Google โดยอาศัยโครงสร้างพื้นฐานคลาวด์ GTIG ระบุว่าตั้งแต่วันที่ 31 กรกฎาคม 2569 UNC7005 จดโดเมนที่ปลอมเป็น Finnish Operations Center ซึ่งเป็นหน่วยงานที่สนับสนุนบริษัทฟินแลนด์ในตลาดกลาโหมและความมั่นคง โดยเฉพาะในบริบทที่เกี่ยวข้องกับ NATO จากนั้นระหว่างวันที่ 6 ถึง 13 สิงหาคม 2569 จึงส่งอีเมลฟิชชิงที่ลิงก์ไปยังโดเมนดังกล่าวให้เป้าหมายที่อยู่ในหรือเกี่ยวข้องกับอุตสาหกรรมกลาโหมของยุโรป ผู้ที่คลิกเข้าไปจะถูกส่งต่อไปยังหน้าล็อกอิน OAuth ของ Google ตัวจริง และเมื่อยืนยันตัวตนสำเร็จก็จะถูกส่งไปยังโครงการคลาวด์ที่ผู้โจมตีควบคุมและยังไม่ผ่านการยืนยัน เพื่อขโมยโทเคนยืนยันตัวตนไปใช้ยึดบัญชีต่อ

จุดเชื่อมกับแคมเปญ CaptiveCrunch และความเป็นไปได้ที่ผู้ให้บริการ MSP ถูกเจาะ

กิจกรรมของ UNC7005 ยังสอดรับกับแคมเปญที่ชื่อ CaptiveCrunch ซึ่งบริษัท ReliaQuest และบริษัท Microsoft เคยเปิดเผยไว้เมื่อปลายเดือนกรกฎาคม 2569 และเคยรายงานไว้ในโพสต์ 08/005 แคมเปญนั้นเล็งพอร์ทัลไวไฟสาธารณะตามโรงแรม ศูนย์ประชุม และสนามบินทั้งในสหรัฐฯ และประเทศอื่น เพื่อเปลี่ยนเส้นทางผู้ใช้ไปยังโครงสร้างพื้นฐานของผู้โจมตีอย่างเงียบ ๆ แล้วขโมยข้อมูลล็อกอิน โดยผู้โจมตีจะเข้าถึงสิทธิ์ผู้ดูแลของเกตเวย์ไวไฟก่อน แล้วแก้การตั้งค่าอุปกรณ์และใช้การวางยา DNS เปลี่ยนเส้นทางทราฟฟิกของโดเมนที่ถูกต้องให้วิ่งผ่านโครงสร้างพื้นฐานของตน ตามข้อมูลของ Microsoft การบิดเบือนทราฟฟิกนี้ดำเนินมาตั้งแต่ต้นเดือนพฤษภาคม 2569

Microsoft ระบุเพิ่มว่ากิจกรรมส่วนหนึ่งใช้โดเมนที่หน้าตาคล้ายบริการออนไลน์ของ Microsoft เพื่อทำฟิชชิงแบบคนกลางที่ฉวยกลไก device code ของ Microsoft Entra ID ต่อยอด และเมื่ออยู่ในตำแหน่งคนกลางแล้ว ผู้โจมตียังแจกมัลแวร์ที่อ้างว่าเป็นการอัปเดตเบราว์เซอร์หรือระบบปฏิบัติการ ตอบกลับไปยังคำขอตรวจสอบการเชื่อมต่ออัตโนมัติที่เบราว์เซอร์ของเหยื่อยิงออกมาเอง ปลายทางคือโทรจันควบคุมระยะไกลที่เขียนด้วยภาษา Go ชื่อ CornFlake RAT ซึ่งสำรวจระบบ เก็บไฟล์และการกดแป้นพิมพ์ ขโมยข้อมูลล็อกอินและโทเคนเซสชัน สอดแนมภาพและเสียง เฝ้าดูสื่อบันทึกแบบถอดได้ และเปิดเชลล์ระยะไกล หรืออีกทางคือเพย์โหลด PowerShell ชื่อ ChocoShell ซึ่งรู้จักในอีกชื่อว่า CHERRYPIE ที่ส่งผ่านเหยื่อล่อแบบ ClickFix และมุ่งขโมยคุกกี้เซสชันของเบราว์เซอร์โดยข้ามการป้องกัน app-bound encryption ของ Chrome พร้อมทั้งเก็บรหัสผ่านที่บันทึกไว้ โทเคน SSO ของ Microsoft 365 และข้อมูลล็อกอินไวไฟ โดยมีหลักฐานบ่งชี้ว่ามัลแวร์ตัวนี้น่าจะถูกสร้างขึ้นด้วยโมเดลภาษาขนาดใหญ่ ทั้งหมดนี้ถูกบริหารผ่านแผงควบคุมบนเว็บแบบรวมศูนย์ชื่อ FruitStone ที่ตั้งแบรนด์ตัวเองว่า CloudSync Console และอ้างชื่อบริษัทสมมติเพื่อให้ดูเหมือนซอฟต์แวร์จัดการคลาวด์ทั่วไป

ที่น่ากังวลไปกว่านั้นคือทีม Black Lotus Labs ของบริษัท Lumen ซึ่งติดตามแคมเปญเดียวกันอยู่ ได้ตั้งข้อสังเกตว่าผู้โจมตีอาจเจาะผู้ให้บริการจัดการระบบหรือ MSP หลายรายได้สำเร็จ แล้วอาศัยความไว้วางใจระหว่าง MSP กับลูกค้าเป็นทางเข้าแบบห่วงโซ่อุปทาน เมื่อเข้าถึงเครือข่ายของลูกค้าได้ ก็สามารถเล่นงานนักเดินทางด้วยการจี้คำขอ DNS บนเราเตอร์ไวไฟที่ถูกยึด แล้วเปลี่ยนเส้นทางเหยื่อไปยังพอร์ทัลยืนยันตัวตนปลอมเพื่อเก็บโทเคน OAuth หรือปล่อยอินโฟสตีลเลอร์แทน ข้อมูลเทเลเมทรีของ Lumen ระบุไอพีของเหยื่อราว 70 หมายเลข ในจำนวนนี้ 40 หมายเลขส่งคำขอ DNS ไปยังเซิร์ฟเวอร์ควบคุมที่ผูกกับ CaptiveCrunch ซึ่งบริษัทประเมินว่าตำแหน่งเหล่านั้นคือจุดที่ผู้โจมตีมีสิทธิ์เข้าถึงและได้ทำการสำรวจไว้ อีก 30 หมายเลขติดต่อกับโครงสร้างพื้นฐานคนกลางเพื่อเก็บโทเคน และมีเพียงหนึ่งหมายเลขที่พบว่าติดต่อกับเซิร์ฟเวอร์ควบคุมของ ChocoShell

ผลกระทบ

แก่นของรายงานฉบับนี้ไม่ได้อยู่ที่มัลแวร์ตัวใดตัวหนึ่ง แต่อยู่ที่การที่ผู้โจมตีเลิกพึ่งช่องโหว่แล้วหันมาใช้ฟีเจอร์ที่ทำงานถูกต้องทุกประการเป็นเครื่องมือ ทั้งรหัสผ่านเฉพาะแอป การให้สิทธิ์ผ่าน OAuth การล็อกอินด้วย device code และการเชื่อมอุปกรณ์เข้ากับบัญชีแชต ผลตามมาในทางปฏิบัติคือบันทึกการเข้าถึงบัญชีของผู้โจมตีจะมีหน้าตาเหมือนการเข้าถึงที่ถูกต้อง ไม่มีการล็อกอินผิดพลาดให้นับ ไม่มีตำแหน่งแปลกให้แจ้งเตือนเสมอไป โดยเฉพาะเมื่อกลุ่มเหล่านี้ใช้พร็อกซีที่อยู่อาศัยเชิงพาณิชย์สำหรับกิจกรรมหลังเจาะสำเร็จ ซึ่งทำให้ไอพีต้นทางดูเหมือนผู้ใช้ตามบ้านทั่วไป GTIG จึงสรุปเองว่าการฉวยฟีเจอร์ที่ถูกต้องอย่างสร้างสรรค์เช่นนี้ ทำให้การติดตามแยกแยะระหว่างการเข้าถึงบัญชีที่ถูกต้องกับที่เป็นอันตรายยากขึ้นอย่างมีนัยสำคัญ

ประเด็นที่สองคือเป้าหมายเป็นบัญชีส่วนตัวของบุคคล ไม่ใช่ระบบขององค์กร นักวิชาการ นักการทูต และนักวิจัยที่ตกเป็นเป้ามักใช้บัญชีอีเมลและแอปแชตส่วนตัวติดต่องานที่มีความอ่อนไหว โดยอยู่นอกร่มของระบบเฝ้าระวังขององค์กรที่ตัวเองสังกัด องค์กรจึงมองไม่เห็นการถูกเจาะ และเมื่อบัญชีหนึ่งถูกยึดสำเร็จ ผู้โจมตียังใช้บัญชีที่ถูกต้องนั้นเป็นฐานส่งฟิชชิงต่อไปยังเป้าหมายรายอื่นในเครือข่ายเดียวกันได้อีกทอด ซึ่ง GTIG ระบุไว้ตรง ๆ ว่าเป็นโอกาสที่ผู้โจมตีใช้จริง

ข้อจำกัดของหลักฐานที่ควรระบุคือรายงานไม่ได้ให้จำนวนเหยื่อที่ถูกเจาะสำเร็จของทั้งสามคลัสเตอร์ ไม่ได้เปิดเผยรายการตัวบ่งชี้การถูกบุกรุกในข่าวฉบับนี้ และการเชื่อมโยงทั้งสามคลัสเตอร์เข้ากับรัสเซียใช้คำว่า “ต้องสงสัย” ไม่ใช่การชี้ตัวหน่วยงานที่รับผิดชอบ ส่วนความเชื่อมโยงระหว่าง CaptiveCrunch กับการเจาะ MSP นั้น บริษัท Lumen ระบุเองว่าเป็น “ความเป็นไปได้” ที่เกิดจากการวิเคราะห์เทเลเมทรี ไม่ใช่ข้อยืนยันว่ามี MSP รายใดถูกเจาะจริง

คำแนะนำ

สำหรับบุคคลที่อยู่ในกลุ่มเสี่ยง ได้แก่ นักวิชาการ นักการทูต นักวิจัยด้านนโยบาย และผู้ที่ทำงานเกี่ยวกับรัสเซียหรือยูเครน ควรถือเป็นกฎว่าไม่มีบริการใดที่ถูกต้องจะขอให้ส่งลิงก์เต็มหลังล็อกอิน ส่งรหัสยืนยัน หรือสแกนคิวอาร์โค้ดเพื่อ “เข้าร่วมการโทรที่ปลอดภัย” คำขอลักษณะนี้ทุกกรณีควรถือว่าเป็นการฟิชชิงจนกว่าจะพิสูจน์ได้เป็นอย่างอื่นผ่านช่องทางอื่นที่ยืนยันตัวตนได้

ในเชิงการตั้งค่าบัญชี ควรเข้าไปตรวจรายการอุปกรณ์ที่เชื่อมอยู่กับ WhatsApp เป็นระยะแล้วถอดอุปกรณ์ที่ไม่รู้จักออกทันที ตรวจสอบรายการแอปและสิทธิ์ OAuth ที่เคยอนุญาตไว้กับบัญชี Google และ Microsoft แล้วเพิกถอนสิ่งที่ไม่ได้ใช้แล้วหรือจำไม่ได้ว่าอนุญาตเมื่อใด รวมถึงตรวจว่ามีรหัสผ่านเฉพาะแอปตัวใดค้างอยู่โดยไม่จำเป็นหรือไม่ และพิจารณาปิดฟีเจอร์นั้นเสียถ้าไม่ได้ใช้งาน สำหรับผู้ที่มีความเสี่ยงสูง การเปิดใช้โปรแกรมป้องกันขั้นสูงของผู้ให้บริการและเปลี่ยนไปใช้กุญแจความปลอดภัยแบบฮาร์ดแวร์เป็นทางเลือกที่ตัดปัญหาเรื่องรหัสยืนยันที่ถูกหลอกไปทั้งหมด

สำหรับองค์กร ควรตั้งการเฝ้าระวังเหตุการณ์ที่บ่งชี้การใช้กลไกยืนยันตัวตนผิดปกติโดยเฉพาะ ได้แก่ การอนุญาตสิทธิ์ OAuth ให้แอปที่ยังไม่ผ่านการยืนยัน การล็อกอินด้วย device code ที่มาจากบริบทซึ่งไม่ควรเกิดขึ้น และการสร้างรหัสผ่านเฉพาะแอปครั้งใหม่ ควบคู่กับการจำกัดว่าแอปภายนอกรายใดบ้างที่ได้รับอนุญาตให้ขอสิทธิ์กับบัญชีขององค์กร ส่วนความเสี่ยงจากไวไฟสาธารณะตามโรงแรมและสนามบินที่ปรากฏในแคมเปญ CaptiveCrunch ยังคงลดได้ด้วยหลักการเดิม คือบังคับใช้ VPN ขององค์กรทุกครั้งที่เชื่อมต่อเครือข่ายภายนอก และไม่ติดตั้งอัปเดตใด ๆ ที่ถูกเสนอขึ้นมาระหว่างอยู่บนเครือข่ายที่ไม่ไว้ใจ

แหล่งอ้างอิง