สรุปสั้น
นักวิจัยด้านความมั่นคงปลอดภัยไซเบอร์เปิดเผยรายละเอียดของชุดเครื่องมือฟิชชิงแบบ adversary-in-the-middle (AitM) ตัวใหม่ชื่อ NovaCookies ซึ่งทำหน้าที่เป็นพร็อกซีคั่นกลางการล็อกอิน Microsoft 365 แล้วดักจับเซสชันที่ผ่านการยืนยันตัวตนเรียบร้อยแล้วไปพร้อมกัน บริษัท Island ผู้เผยแพร่รายงานอธิบายว่าเป็นบริการแบบสมาชิกราคา 320 ดอลลาร์ต่อเดือน ที่เปิดให้ผู้ใช้บริการขโมยเซสชัน Microsoft 365 ได้แบบเรียลไทม์ และถูกใช้เล็งเป้าองค์กรหลายร้อยแห่งในหลายอุตสาหกรรม ครอบคลุมสหรัฐอเมริกา สหราชอาณาจักร แคนาดา เยอรมนี อิสราเอล และสหรัฐอาหรับเอมิเรตส์
จุดที่ทำให้แคมเปญนี้ต่างจากฟิชชิงทั่วไปคือ ผู้โจมตีไม่ได้ปลอมอีเมลแจ้งเตือนของ Docusign แต่ใช้ซองเอกสารของ Docusign ของจริงส่งเหยื่อล่อออกไป อีเมลที่เหยื่อได้รับจึงเป็นการแจ้งเตือนจากบริการจริงทุกประการ ผ่านการตรวจสอบผู้ส่งและชื่อเสียงโดเมนไปได้ทั้งหมด สิ่งที่เป็นอันตรายคือตัวเอกสารที่ถูกแชร์ผ่านบริการนั้นต่างหาก และลิงก์อันตรายถูกวางไว้ในชั้นที่ผลิตภัณฑ์ความมั่นคงปลอดภัยอีเมลส่วนใหญ่ตรวจไม่ถึง
การคลิกบางส่วนยังถูกส่งผ่านปลายทางล็อกอินของไมโครซอฟท์หรือกูเกิลที่ถูกต้องตามกฎหมายเป็นจุดเด้งกลาง ก่อนจะไปถึงชุดเครื่องมือของผู้โจมตี ทำให้ทุกก้าวของเส้นทางดูน่าเชื่อถือเมื่อพิจารณาแยกกัน ตามการประเมินของบริษัท Proofpoint NovaCookies เป็นสายพันธุ์หนึ่งของชุดฟิชชิง Sneaky 2FA แต่เปลี่ยนโมเดลธุรกิจเป็นแบบบริหารจัดการเต็มรูปแบบ คือผู้ปฏิบัติการเป็นคนโฮสต์โครงสร้างพื้นฐานให้ทั้งหมด แทนที่จะให้ผู้ใช้บริการแต่ละรายไปตั้งเซิร์ฟเวอร์เอง รายงานไม่ได้ระบุจำนวนองค์กรที่ถูกเจาะสำเร็จจริง ระบุเพียงจำนวนที่ถูกเล็งเป้าเท่านั้น
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 26 สิงหาคม 2569 ว่า นักวิจัยด้านความมั่นคงปลอดภัยไซเบอร์ได้เปิดเผยรายละเอียดของชุดเครื่องมือฟิชชิงแบบ AitM ตัวใหม่ชื่อ NovaCookies โดยอ้างอิงรายงานของบริษัท Island ที่ส่งให้สื่อล่วงหน้าก่อนการเผยแพร่
บริษัท Island อธิบายว่า NovaCookies เป็นแพลตฟอร์มฟิชชิงแบบสมัครสมาชิก คิดค่าบริการ 320 ดอลลาร์ต่อเดือน ซึ่งเอื้อให้เกิดการขโมยเซสชัน Microsoft 365 แบบเรียลไทม์ และจนถึงปัจจุบันถูกใช้เล็งเป้าองค์กรหลายร้อยแห่งในหลายภาคอุตสาหกรรมในหกประเทศ ได้แก่ สหรัฐอเมริกา สหราชอาณาจักร แคนาดา เยอรมนี อิสราเอล และสหรัฐอาหรับเอมิเรตส์
รายงานระบุว่า “แคมเปญที่สังเกตพบใช้ซองเอกสาร Docusign ของจริงในการส่งเหยื่อล่อที่เป็นการแชร์เอกสารปลอม โดยการคลิกบางส่วนถูกส่งผ่านปลายทางล็อกอินของไมโครซอฟท์หรือกูเกิลที่ถูกต้องตามกฎหมายเป็นจุดเด้งกลาง ก่อนจะไปถึงชุดเครื่องมือ ข้อความ บริการเอกสาร และจุดเด้ง จึงดูน่าเชื่อถือได้ทั้งหมดจนกว่าเบราว์เซอร์จะไปถึงโครงสร้างพื้นฐานที่ผู้โจมตีควบคุม”
เช่นเดียวกับชุดฟิชชิง AitM ตัวอื่น NovaCookies ถูกออกแบบมาให้ส่งต่อการยืนยันตัวตนของ Microsoft 365 ผ่านโครงสร้างพื้นฐานที่ผู้โจมตีควบคุม ทำให้มันทำหน้าที่เป็นพร็อกซีและเก็บเกี่ยวเซสชันที่ได้ หลังจากเหยื่อกรอกรหัสผ่านและรหัสยืนยันตัวตนหลายปัจจัย (MFA) ไปแล้ว
หลักฐานบ่งชี้ว่า NovaCookies ถูกโฆษณาผ่านเทเลแกรม และเทเลแกรมยังถูกใช้เป็นโครงสร้างพื้นฐานในการจัดการโปรไฟล์ลูกค้า ตั้งค่าบริการเด้งลิงก์ และติดต่อฝ่ายสนับสนุนอีกด้วย ส่วนบริษัท Proofpoint ประเมินว่า NovaCookies เป็นสายพันธุ์หนึ่งของชุดฟิชชิง Sneaky 2FA โดยระบุผ่านโพสต์บน X เมื่อเดือนที่ผ่านมาว่า “ขณะที่ Sneaky2FA ตัวดั้งเดิมดูจะเน้นไปที่บัญชีของไมโครซอฟท์เป็นหลัก แต่สายพันธุ์ NovaCookies มีเส้นทางเฉพาะสำหรับผู้ให้บริการอัตลักษณ์รายอื่นด้วย ทั้ง Okta และโดเมน Entra ที่ทำ federation ไปยัง GoDaddy”
ประเด็นที่บริษัท Proofpoint เน้นเป็นพิเศษคือความต่างเชิงโครงสร้างของโมเดลธุรกิจ “ต่างจาก Sneaky2FA ตรงที่ NovaCookies ใช้โมเดล phishing-as-a-service (PhaaS) แบบบริหารจัดการเต็มรูปแบบ ซึ่งผู้ร่วมปฏิบัติการจ่ายเงินเพื่อใช้แพลตฟอร์ม และโครงสร้างพื้นฐานถูกโฮสต์แบบรวมศูนย์โดยผู้ปฏิบัติการ PhaaS แทนที่จะเป็นผู้ร่วมปฏิบัติการแต่ละราย”
โดเมนเหยื่อล่อของ NovaCookies จำนวนมากถูกพบว่าโฮสต์อยู่บนโดเมนระดับบนสุด “.vu” เช่น fordmotbvmorcompany[.]vu และ URL ฟิชชิงมักมีป้ายกำกับที่สลับตัวพิมพ์ใหญ่เล็กไปมา เช่น PwPt-sHaRe, Ms36-AcCeSs และ ClOd-ViEw เพื่อพยายามปลอมตัวเป็นบริการของไมโครซอฟท์ที่ถูกต้องตามกฎหมาย
วิธีการโจมตี
ห่วงโซ่การโจมตีชุดหนึ่งใช้อีเมลแจ้งเตือนของ Docusign เป็นตัวล่อเพื่อพาเหยื่อไปยังหน้าฟิชชิง โดยเลี่ยงการตรวจสอบการยืนยันตัวตนผู้ส่งและการตรวจชื่อเสียงโดเมน ด้วยการอาศัยข้อเท็จจริงที่ว่าอีเมลฉบับนั้นเป็นการแจ้งเตือนจาก Docusign ของจริง สิ่งที่เป็นอันตรายคือเอกสารที่ถูกแชร์ผ่านบริการนั้น
บริษัท Island อธิบายว่า “อีเมลถูกจัดรูปแบบให้เหมือนประกาศการแชร์เอกสารของ Docusign โดยอ้างว่าฝ่ายบัญชีได้แชร์ไฟล์ PDF แจ้งการโอนเงินและเชิญให้ผู้รับเปิดดู ปลายทางที่เป็นอันตรายอยู่ภายในตัวเอกสาร ซึ่งอยู่ต่ำกว่าชั้นที่ผลิตภัณฑ์ความมั่นคงปลอดภัยอีเมลส่วนใหญ่ตรวจสอบ”
จากนั้นการโจมตีจะใช้เทคนิคการเด้งต่อผ่านหน้าแจ้งข้อผิดพลาดของ OAuth ซึ่งไมโครซอฟท์เคยอธิบายไว้เมื่อเดือนมีนาคมที่ผ่านมา เพื่อพาเหยื่อไปยังโครงสร้างพื้นฐานที่ผู้โจมตีควบคุม โครงสร้างพื้นฐานฟิชชิงที่ NovaCookies ดำเนินการอยู่เป็นรีเลย์ AitM แบบสด ที่ออกแบบมาเพื่อดักข้อมูลรับรองและข้อมูลเซสชัน แล้วส่งต่อไปยังไมโครซอฟท์แบบเรียลไทม์ กลไกนี้ทำให้ MFA ที่อาศัยรหัสผ่านครั้งเดียวไม่ช่วยอะไร เพราะสิ่งที่ผู้โจมตีต้องการไม่ใช่รหัสผ่าน แต่เป็นคุกกี้เซสชันที่ออกให้หลังจากยืนยันตัวตนสำเร็จแล้ว
ข้อเสนอเชิงพาณิชย์นี้ยังโฆษณาความสามารถต่อต้านการวิเคราะห์หลายอย่างเพื่อหลบตัวสแกนความมั่นคงปลอดภัย ก่อนจะแสดงฟอร์มล็อกอินปลอมที่เลียนแบบ Microsoft 365 ซึ่งรวมถึงประตูตรวจของ Cloudflare และกลไกตรวจจับร่องรอยการทำงานที่เกี่ยวข้องกับเครื่องมือดีบัก
บริษัท Island สรุปแก่นของปัญหาไว้ว่า “NovaCookies ถูกสร้างมาให้แต่ละก้าวดูถูกต้องตามกฎหมายในตัวเอง ทั้งบริการส่งเอกสารที่น่าเชื่อถือ การเด้งผ่านผู้ให้บริการอัตลักษณ์ แล้วจึงเป็นหน้าล็อกอินที่คุ้นเคย ชิ้นส่วนเหล่านี้มักไปตกอยู่ในเครื่องมือคนละตัวกัน เบราว์เซอร์คือจุดที่มันกลายเป็นเหตุการณ์เดียวกัน”
ตลาด PhaaS ที่ขยายตัว
การเปิดเผยครั้งนี้เกิดขึ้นในช่วงที่ชุดเครื่องมือ PhaaS ยังคงเป็นบริการสมัครสมาชิกที่ทำเงินได้ดีในตลาดใต้ดิน เพราะเปิดทางให้อาชญากรไซเบอร์ที่แทบไม่มีความเชี่ยวชาญทางเทคนิคทำแคมเปญฟิชชิงในระดับใหญ่ได้ บริการใหม่ที่โผล่ขึ้นมาในช่วงหลายเดือนที่ผ่านมามีดังนี้
| บริการ | ลักษณะเด่น |
|---|---|
| AnonyMousKIT | เคลื่อนไหวตั้งแต่ต้นปี 2567 ใช้กลยุทธ์ vishing ที่ขับเคลื่อนด้วย AI สวมรอยเป็นฝ่ายสนับสนุนของ Apple หลอกเจ้าของอุปกรณ์ที่ถูกขโมยให้กรอกรหัสผ่านเครื่อง Apple ID และรหัส 2FA หกหลัก เพื่อปลด Activation Lock แล้วนำเครื่องไปขายต่อ โดยดึงข้อมูลติดต่อของเจ้าของจากฟีเจอร์ Lost Mode |
| p1bot.io | แพลตฟอร์ม vishing-as-a-service ใช้ความสามารถแปลงข้อความเป็นเสียงของ ElevenLabs สร้างเสียงตอบรับอัตโนมัติ (IVR) ภาษาอังกฤษ ฝรั่งเศส หรือสเปน เปิดให้เหยื่อฟังกลางสาย แล้วดักการกดแป้นตัวเลขทั้ง PIN, OTP หรือหมายเลขบัญชีแบบเรียลไทม์ |
| Bluekit | โฆษณาเทมเพลตเว็บไซต์กว่า 40 แบบ ซื้อและจดโดเมนอัตโนมัติ รองรับ 2FA การปลอมแปลง การจำลองตำแหน่งที่ตั้ง การแจ้งเตือนผ่านเทเลแกรมและเบราว์เซอร์ การบดบังจากบอต พร้อมส่วนเสริมอย่างผู้ช่วย AI การโคลนเสียง และตัวส่งอีเมล |
| ATHR | ใช้เอเจนต์ vishing แบบ AI แผงเก็บเกี่ยวข้อมูลรับรอง และตัวส่งอีเมลฟิชชิงในตัว เพื่อทำและขยายการโจมตีแบบ telephone-oriented attack delivery (TOAD) |
| ZeroTokens | รองรับการสวมรอยแบรนด์สถาบันการเงิน 53 ราย เก็บข้อมูลรับรอง ข้อมูลอัตลักษณ์ รายละเอียดการชำระเงิน และรหัสยืนยัน ใช้โดเมนผู้ส่ง 10 โดเมนและบัญชี SendGrid 9 บัญชีเพื่อเลี่ยงการตรวจ SPF, DKIM และ DMARC |
| iAuthFlow V2 | ใช้รีเลย์แบบ browser-in-the-middle (BitM) เปลี่ยนการเข้าถึงชั่วคราวจากเซสชันกูเกิลที่ถูกฟิชมาให้กลายเป็นการเข้าถึงถาวร ด้วยการลงทะเบียน passkey ที่ผู้โจมตีควบคุม ขายแพ็กเกจพื้นฐานที่ 10,000 ดอลลาร์ พร้อมโมดูลเสริมแยกขาย และมีเวอร์ชันสำหรับไมโครซอฟท์ iCloud และ LinkedIn |
| LinXcoded (Mirage2FA) | ใช้บัญชีผู้ส่งที่ถูกเจาะ เทคนิคหลบการวิเคราะห์ และรีเลย์ Microsoft 365 แบบเรียลไทม์ ข้อความฟิชชิงส่งจากผู้เช่า Microsoft 365 ที่ถูกเจาะและผ่านการยืนยันตัวตนแล้ว โดยแนบเพย์โหลดเป็นไฟล์ HTML แทนการวางลิงก์ในเนื้ออีเมล |
| Matrix | มีสายพันธุ์เดียวกับ Sneaky 2FA เปิดให้ฟิชข้อมูลรับรอง Microsoft 365 ผ่านตัวเก็บเกี่ยวแบบ AitM ข้อความฟิชชิงใช้การแจ้งเตือนของ OneDrive ชวนให้ผู้รับเปิดเอกสารที่ถูกแชร์ |
| ARToken | ขโมยโทเคน Microsoft 365 ผ่าน OAuth device code flow และเปิดทางยึดบัญชีเต็มรูปแบบ ด้วยอีเมลฟิชชิงธีมใบแจ้งหนี้ที่ส่งจากกล่องจดหมาย Google Workspace หรือ Microsoft 365 ที่ถูกเจาะ ลิงก์ไปยังการแชร์ไฟล์ SharePoint แบบไม่ระบุตัวตนบนผู้เช่าบุคคลที่สามที่ถูกเจาะ |
| Blacksite | จับคู่ชุดพร็อกซีย้อนกลับแบบ AitM กับบริการบดบังชื่อ Cloaked.gg เพื่อซ่อนหน้าฟิชชิงจากการวิเคราะห์ URL อัตโนมัติ และเสิร์ฟหน้าหลอกที่ไม่มีพิษภัยให้ตัวสแกน |
| Balonx Sistema | ปฏิบัติการ PhaaS สัญชาติเม็กซิโก เล็งเป้าสถาบันการเงินในประเทศกว่า 20 แห่ง มีการโต้ตอบกับเหยื่อผ่าน WebSocket แบบสด โทรจันเข้าถึงระยะไกลบนแอนดรอยด์ที่พัฒนาจาก Spyroid และส่วนประกอบ vishing ขับเคลื่อนด้วย AI ชื่อ CallFlow เก็บข้อมูลรับรองและข้อมูลการเงินของผู้ใช้ไปแล้วกว่า 1,100 ราย ตั้งแต่อย่างน้อยเดือนตุลาคม 2568 |
| EvilTokens | ให้ชุดฟิชชิง device code ของไมโครซอฟท์แบบสำเร็จรูป พร้อมบริการวิเคราะห์ที่ขับเคลื่อนด้วย AI ซึ่งช่วยให้ลูกค้าคัดหาข้อมูลที่มีมูลค่าสำหรับแคมเปญฉ้อโกงและหลอกลวง |
| Forg365 | ผสมการฟิชชิง device code เทคนิค AitM การหลบบอต การสร้างเหยื่อล่อด้วย AI และปฏิบัติการกับกล่องจดหมายหลังเจาะสำเร็จ โดยเล็งเป้าบัญชี Microsoft 365 |
ในบรรดารายชื่อข้างต้น เว็บไซต์นี้เคยรายงาน Bluekit ไว้แล้วในโพสต์ 200 และ EvilTokens ในโพสต์ 170
นอกจากนี้ยังมีผู้ก่อภัยคุกคามที่ถูกติดตามในชื่อ DOUBLOON DREDGER ซึ่งถูกพบว่านำบัญชี Notion มาใช้ในทางที่ผิด ด้วยการเชิญเป้าหมายให้เข้าไปดูไฟล์ PDF ที่มีลิงก์อันตรายฝังอยู่ ซึ่งเมื่อคลิกจะพาไปยังหน้าเก็บเกี่ยว device code ของ EvilTokens
บริษัท Sublime อธิบายว่า “พวกเขานำ Notion มาใช้ในทางที่ผิดเพื่อให้ได้ผู้ส่งอีเมลที่ถูกต้องตามกฎหมาย โครงสร้างพื้นฐานที่มีชื่อเสียงดี และที่สำหรับโฮสต์ไฟล์ PDF อันตราย พวกเขาใช้ตัวสร้าง PDF ที่ใส่ลิงก์ทับซ้อนกันสองถึงสามลิงก์ เพื่อพยายามหลบเครื่องมือและกลไกตรวจจับฝั่งป้องกัน ขณะเดียวกันก็อาจยืดอายุการใช้งานของไฟล์ PDF อันตรายแต่ละไฟล์ด้วยโครงสร้างพื้นฐานสำรอง” โดยหน้าปลายทางที่ส่งเพย์โหลดใช้เทคนิคการทำให้ JavaScript อ่านไม่ออกและการเข้ารหัสคล้ายกับแคมเปญเก็บเกี่ยว device code ของ Tycoon 2FA ที่พบเมื่อไม่นานมานี้
ทั้งนี้มีการสันนิษฐานด้วยระดับความเชื่อมั่นต่ำว่า DOUBLOON DREDGER ได้สิทธิ์เข้าถึงทั้ง EvilTokens และ Tycoon 2FA แล้วนำ JavaScript ขั้นแรกที่เขียนเองมาวางไว้หน้าชุด PhaaS เหล่านั้น และเชื่อว่ามีแรงจูงใจทางการเงิน
ผลกระทบ
แก่นของปัญหาที่ NovaCookies สะท้อนออกมาไม่ใช่เรื่องความซับซ้อนทางเทคนิค แต่เป็นเรื่องที่การป้องกันสมัยใหม่ถูกกระจายไปอยู่ในเครื่องมือคนละตัวกัน การตรวจสอบผู้ส่งทำอยู่ที่เกตเวย์อีเมล การตรวจชื่อเสียงโดเมนทำอยู่ที่พร็อกซี การยืนยันตัวตนทำอยู่ที่ผู้ให้บริการอัตลักษณ์ เมื่อผู้โจมตีออกแบบให้ทุกก้าวดูถูกต้องเมื่อพิจารณาแยกกัน การรวมภาพจึงไม่เกิดขึ้นที่เครื่องมือใดเลย แต่ไปเกิดที่หน้าจอของผู้ใช้แทน
การใช้ซองเอกสาร Docusign ของจริงเป็นตัวอย่างที่ชัดที่สุด เพราะการบล็อกตามชื่อผู้ส่งหรือชื่อเสียงโดเมนใช้ไม่ได้เลยเมื่ออีเมลนั้นออกจากบริการจริง องค์กรที่พึ่งพาการกรองอีเมลอย่างเดียวจึงไม่มีชั้นป้องกันเหลืออยู่ในกรณีนี้ และสิ่งที่ยังทำงานได้คือการตรวจในเบราว์เซอร์ การควบคุมฝั่งอัตลักษณ์ และการทำให้ตัวเซสชันที่ถูกขโมยไปใช้ต่อไม่ได้
สำหรับองค์กรที่ใช้ Microsoft 365 ผลลัพธ์ที่ตามมาหลังเซสชันถูกขโมยคือการเข้าถึงกล่องจดหมาย ไฟล์บน SharePoint และ OneDrive รวมถึงการตั้งกฎส่งต่ออีเมลเพื่อทำ business email compromise ต่อ ซึ่งเป็นรูปแบบความเสียหายที่ตามมาหลังการฟิชชิงแบบ AitM เกือบทุกกรณี การขยายตัวของบริการที่รองรับ Okta และโดเมน Entra ที่ทำ federation ยังหมายความว่าองค์กรที่ย้ายไปใช้ผู้ให้บริการอัตลักษณ์รายอื่นก็ไม่ได้อยู่นอกขอบเขตเป้าหมาย
ประเด็นที่กว้างกว่านั้นคือคำอธิบายของนาย Assaf Morag นักวิจัยของบริษัท Flare ที่ชี้ว่า “EvilTokens แสดงถึงการเปลี่ยนเชิงโครงสร้างในตลาด PhaaS แพลตฟอร์มก่อนหน้านี้ทำให้ส่วนหน้าของการโจมตีกลายเป็นสินค้าโภคภัณฑ์ ทั้งเหยื่อล่อ หน้าปลายทาง และการดักข้อมูลรับรอง EvilTokens ทำให้สิ่งที่เกิดขึ้นหลังจากนั้นกลายเป็นสินค้าด้วย” และเสริมว่าการทำให้การวิเคราะห์กล่องจดหมาย การทำแผนผู้เกี่ยวข้อง และการสร้างข้อความฉ้อโกงด้วย AI เป็นระบบอัตโนมัติ ได้ขจัดกำแพงทักษะที่เคยกั้นระหว่างการได้โทเคนมากับการฉ้อโกงทางการเงินที่สำเร็จ
ข้อจำกัดของหลักฐานที่ต้องระบุไว้คือ ตัวเลข “หลายร้อยองค์กร” เป็นจำนวนที่ถูกเล็งเป้า ไม่ใช่จำนวนที่ถูกเจาะสำเร็จ รายงานไม่ได้ระบุจำนวนบัญชีที่ถูกยึดจริงหรือมูลค่าความเสียหาย การเชื่อมโยง NovaCookies เข้ากับ Sneaky 2FA เป็นการประเมินของบริษัท Proofpoint ที่เผยแพร่ผ่านโพสต์บนโซเชียลมีเดีย ไม่ใช่รายงานทางเทคนิคฉบับเต็ม และการเชื่อมโยง DOUBLOON DREDGER กับชุดเครื่องมือทั้งสองตัวถูกระบุด้วยความเชื่อมั่นระดับต่ำโดยผู้วิจัยเอง นอกจากนี้รายชื่อบริการ PhaaS ทั้งหมดมาจากรายงานของผู้ขายผลิตภัณฑ์ความมั่นคงปลอดภัยหลายราย ซึ่งแต่ละรายใช้เกณฑ์และเทเลเมทรีของตัวเอง
คำแนะนำ
- ตั้งค่า conditional access ให้ผูกเซสชันเข้ากับอุปกรณ์ที่ลงทะเบียนและสอดคล้องกับนโยบายองค์กร เพราะคุกกี้เซสชันที่ถูกขโมยไปจะใช้จากอุปกรณ์ของผู้โจมตีไม่ได้
- ย้ายจาก MFA ที่อาศัยรหัสผ่านครั้งเดียวไปเป็นวิธีที่ต้านฟิชชิงได้ เช่น passkey หรือ FIDO2 ซึ่งผูกกับโดเมนต้นทางจึงไม่ทำงานบนหน้าปลอม
- ตั้งกฎแจ้งเตือนเมื่อพบการล็อกอินสำเร็จจากที่อยู่ไอพีหรือ user agent ที่ไม่สอดคล้องกับพฤติกรรมปกติของผู้ใช้ภายในเวลาไม่นานหลังการล็อกอินจากที่อื่น
- เพิ่มการเฝ้าระวังการสร้างกฎส่งต่ออีเมลใหม่ การลงทะเบียนวิธี MFA เพิ่ม และการยินยอมให้สิทธิ์แอป OAuth ซึ่งเป็นสามสิ่งแรกที่ผู้โจมตีทำหลังยึดบัญชีได้
- บล็อกหรือเฝ้าระวังโดเมนระดับบนสุดที่ไม่มีการใช้งานทางธุรกิจ เช่น
.vuและตั้งกฎตรวจจับ URL ที่มีการสลับตัวพิมพ์ใหญ่เล็กผิดปกติในชื่อพาธ - ปรับกระบวนการตรวจอีเมลให้ตรวจถึงเนื้อหาภายในเอกสารที่แชร์ผ่านบริการลงลายมือชื่ออิเล็กทรอนิกส์ ไม่ใช่หยุดที่การตรวจตัวอีเมลและผู้ส่ง
- สื่อสารกับพนักงานว่าอีเมลแจ้งเตือนจากบริการที่คุ้นเคยไม่ใช่หลักประกันความปลอดภัย และให้ตรวจสอบว่าตนคาดหวังเอกสารฉบับนั้นจริงหรือไม่ก่อนเปิด
- เมื่อสงสัยว่ามีการถูกฟิช ให้เพิกถอนเซสชันของผู้ใช้รายนั้นทันที ไม่ใช่แค่บังคับเปลี่ยนรหัสผ่าน เพราะเซสชันที่ถูกขโมยไปยังใช้ได้ต่อแม้เปลี่ยนรหัสผ่านแล้ว
แหล่งอ้างอิง
- NovaCookies Campaigns Abuse Genuine Docusign Notifications to Steal Microsoft 365 Sessions — The Hacker News
- NovaCookies at Scale: Inside the $320 Phishing Service Targeting Hundreds of Organizations — Island
- EvilTokens PhaaS Platform — Flare
- DOUBLOON DREDGER: Token Harvesting, Notion Abuse, EvilTokens and a Side of Tycoon 2FA — Sublime Security