สรุปสั้น

อาชญากรไซเบอร์กำลังยึดบัญชีบริการปัญญาประดิษฐ์ผ่านข้อมูลที่ได้จากมัลแวร์ขโมยข้อมูลหรืออินโฟสตีลเลอร์ เพื่อสร้างสิ่งที่เรียกได้ว่ากุญแจผีที่เปิดทางเข้าถึงเครื่องมือของผู้ให้บริการโมเดลอย่าง Google และ Anthropic โดยมิชอบ มัลแวร์ตระกูลนี้อย่าง Lumma Stealer หรือ Vidar ถูกออกแบบมาให้กวาดข้อมูลหลากหลายจากเครื่องที่ติดมัลแวร์ ทั้งข้อมูลยืนยันตัวตน โทเค็นเซสชัน และคีย์ API จากนั้นผู้ขายจะนำข้อมูลไปขายบนฟอรัมใต้ดินในรูปของล็อกสำหรับให้ผู้ซื้อนำไปโจมตีต่อ นาย Jeremy Kirk ผู้อำนวยการฝ่ายข่าวกรองภัยคุกคามของบริษัท Okta ระบุว่าโทเค็นเซสชันและคีย์ API เป็นสิ่งที่ผู้โจมตีต้องการเป็นพิเศษ เพราะมักเล่นซ้ำได้และข้ามการยืนยันตัวตนด้วยรหัสผ่านไปเลย

Okta วิเคราะห์ข้อมูลอินโฟสตีลเลอร์ขนาด 7 กิกะไบต์ที่ถูกปล่อยในช่องทาง Telegram เมื่อวันที่ 2 สิงหาคม พ.ศ. 2569 และพบว่าข้อมูลชุดนั้นมาจากเครื่องที่ติดมัลแวร์ 5,871 เครื่องใน 162 ประเทศ ในจำนวนนั้นมีโทเค็นยืนยันตัวตนที่ยังไม่หมดอายุอยู่หลายพันรายการ ซึ่งตรงกับบริการอย่าง Google, Microsoft, Anthropic, Amazon, Gamma, Notion, Character.ai, Cursor, Poe.com และ Pika AI จากจำนวน JSON web token หรือ JWT ที่ไม่ซ้ำกัน 44,791 รายการ มี 555 รายการที่น่าจะเกี่ยวข้องกับการยืนยันตัวตนของบริการ AI และเมื่อรวมกับโครงสร้าง JWE ที่เป็น JWT แบบเข้ารหัสอีก 2,937 รายการ ข้อมูลชุดนี้มีโทเค็นที่ยังใช้งานได้ในวันที่ถูกปล่อยรวม 1,843 รายการ

ประเด็นที่กระทบวงกว้างกว่านั้นคือ 17.7% ของ JWT ทั้งหมดมีข้อมูลระบุตัวบุคคลแบบข้อความธรรมดาปะปนอยู่ เช่น ชื่อ หมายเลขโทรศัพท์ หรืออีเมล ซึ่งไม่หมดอายุไปพร้อมโทเค็นและเชื่อมโยงผู้ใช้กับบริการหนึ่ง ๆ ได้โดยตรง จึงเป็นวัตถุดิบชั้นดีสำหรับการหลอกลวงและฟิชชิงต่อยอด นอกจากนี้การตรวจข้อมูลชุดเดียวกันด้วยเครื่องมือ TruffleHog ยังพบคีย์ API ที่ยังใช้ได้อีก 24 รายการของบริการที่เกี่ยวกับ AI สี่ราย ได้แก่ Google Gemini, OpenAI, Groq และ OpenRouter ซึ่งผู้ที่ถือคีย์เหล่านี้สามารถนำไปใช้จารกรรม เรียกค่าไถ่ หรือขโมยทรัพยากรประมวลผลพร้อมผลักภาระค่าโทเค็นไปให้เจ้าของคีย์

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 9 กันยายน พ.ศ. 2569 ว่าอาชญากรไซเบอร์กำลังยึดบัญชีผู้ใช้บริการปัญญาประดิษฐ์ผ่านล็อกของอินโฟสตีลเลอร์ เพื่อสร้างกุญแจที่ขโมยมาซึ่งให้สิทธิ์เข้าถึงเครื่องมือจากผู้ให้บริการโมเดลอย่าง Google และ Anthropic โดยมิชอบ

รายงานที่บริษัท Okta แบ่งปันกับ The Hacker News อธิบายกลไกไว้ตรงไปตรงมา นาย Jeremy Kirk ผู้อำนวยการฝ่ายข่าวกรองภัยคุกคามระบุว่าเมื่อเล่นซ้ำโทเค็นสำเร็จ ผู้โจมตีจะอยู่ในสถานะที่ล็อกอินเข้าบริการโมเดลภาษาแล้วโดยไม่ต้องล็อกอินจริง และการใช้กุญแจผีลักษณะนี้ทำให้การตรวจจับการละเมิดยากขึ้น แม้จะไม่ถึงกับเป็นไปไม่ได้

รายละเอียดของชุดข้อมูลที่วิเคราะห์คือไฟล์ขนาด 7 กิกะไบต์ที่ถูกปล่อยบนช่องทาง Telegram เมื่อวันที่ 2 สิงหาคม พ.ศ. 2569 ซึ่งมีข้อมูลจากเครื่องที่ติดมัลแวร์ 5,871 เครื่องใน 162 ประเทศ โทเค็นที่พบครอบคลุมบริการจำนวนมาก ทั้ง Google, Microsoft, Anthropic, Amazon, Gamma, Notion, Character.ai, Cursor, Poe.com และ Pika AI โดยในจำนวน JWT ที่ไม่ซ้ำกัน 44,791 รายการ มี 555 รายการที่น่าจะเกี่ยวข้องกับการยืนยันตัวตนของบริการ AI

นอกจาก JWT แบบธรรมดา Okta ยังพบโครงสร้าง JSON Web Encryption หรือ JWE ที่เกี่ยวข้องกับการยืนยันตัวตนอีก 2,937 รายการ ซึ่งเป็น JWT ที่ถูกเข้ารหัสไว้ ส่วนใหญ่ถูกกำหนดโดย OpenAI ที่ใช้ NextAuth.js แม้โทเค็นเหล่านี้จะถอดรหัสและอ่านเนื้อหาได้เฉพาะฝ่ายที่ถือกุญแจ แต่ผู้โจมตียังคงเล่นซ้ำโทเค็นเพื่อเข้าถึงบัญชีได้อยู่ดีตราบใดที่ยังไม่หมดอายุ ซึ่งเป็นจุดที่มักถูกเข้าใจผิดว่าการเข้ารหัสโทเค็นเท่ากับป้องกันการนำไปใช้ต่อ โดยรวมแล้วข้อมูลชุดนี้มีโทเค็นทั้ง JWT และ JWE ที่ยังไม่หมดอายุในวันที่ถูกปล่อยรวม 1,843 รายการ

อีกประเด็นที่ นาย Kirk ชี้ว่าน่ากังวลคือการที่ 17.7% ของ JWT จำนวน 44,791 รายการมีข้อมูลระบุตัวบุคคลแบบข้อความธรรมดาอยู่ข้างใน เช่น ชื่อ หมายเลขโทรศัพท์ หรืออีเมล เพราะข้อมูลเหล่านั้นไม่หมดอายุหรือหายไปพร้อมโทเค็น และเชื่อมโยงผู้ใช้รายหนึ่งเข้ากับบริการหนึ่งได้โดยตรง ซึ่งเป็นประโยชน์ต่อความพยายามหลอกลวงทางวิศวกรรมสังคมหรือการทำฟิชชิงในภายหลัง

ด้านคีย์ API การวิเคราะห์ข้อมูลชุดเดียวกันด้วย TruffleHog พบคีย์ที่ยังใช้ได้ 24 รายการของบริการ AI สี่ราย ได้แก่ Google Gemini, OpenAI, Groq และ OpenRouter ผู้โจมตีที่ถือคีย์เหล่านี้สามารถนำไปใช้ในการจารกรรม การขู่กรรโชก หรือการขโมยทรัพยากร พร้อมกับสร้างค่าใช้จ่ายด้านโทเค็นให้เจ้าของบัญชีเป็นผู้จ่าย พฤติกรรมการนำคีย์ API ที่ขโมยมาไปใช้เรียกโมเดลภาษาของเหยื่อหรือนำสิทธิ์ไปขายต่อนี้ถูกเรียกว่า LLMjacking ซึ่งมีลักษณะคล้ายกับแคมเปญที่แอบใช้ทรัพยากรเครื่องขุดคริปโตแล้วผลักบิลค่าประมวลผลก้อนโตไปให้เหยื่อ

ตลาดรองรับก็เติบโตตามไปด้วย โพสต์บน Telegram ที่ Okta หยิบยกมาแสดงผู้ขายรายหนึ่งเสนอขายสิทธิ์เข้าถึง Claude, Cursor, ChatGPT และ Gemini ในราคาลด พร้อมบริการช่วยเหลือตลอด 24 ชั่วโมงและการรับประกันคืนเงิน ขณะที่บริการอีกรายชื่อ Poison Claude อ้างว่าให้สิทธิ์เข้าถึงโมเดล Opus 4.8, Opus 4.7, Opus 4.6 และ Sonnet 4.6 ของ Anthropic สอดคล้องกับที่ Google เปิดเผยว่าพบตัวตนปลอมจำนวนมากขึ้นที่ต้องการซื้อบัญชีที่เกี่ยวกับ AI และผู้ขายที่โฆษณาบัญชีเหล่านี้มากขึ้นทั่วโลกอาชญากรรมไซเบอร์ โดยความต้องการมุ่งไปที่ข้อมูลยืนยันตัวตนของ Claude และ Gemini ควบคู่กับเครื่องมือพัฒนาแบบอัตโนมัติอย่าง Cursor Pro และ Devin

ในการรับมือเหตุการณ์อย่างน้อยหนึ่งครั้งที่ทีม Mandiant ของ Google เข้าไปจัดการ พบว่าผู้โจมตีเข้าถึงสภาพแวดล้อมคลาวด์ของเหยื่อครั้งแรกผ่าน GitHub Personal Access Token ที่ถูกเปิดเผยไว้ แล้วใช้สิทธิ์นั้นติดตั้งโครงสร้างพื้นฐาน AI ที่ไม่ได้รับอนุญาตและขยายทรัพยากรประมวลผลสมรรถนะสูง กลุ่มข่าวกรองภัยคุกคามของ Google หรือ GTIG อธิบายว่าต้นทุนของการเข้าถึงโมเดลระดับพรีเมียมและการประมวลผลสมรรถนะสูงคืออุปสรรคหลักของผู้โจมตีที่ต้องการนำ AI ไปใช้จริง ผลคือเกิดการพุ่งเป้า ขโมย และขายบัญชี AI มากขึ้น ควบคู่กับการบุกรุกสภาพแวดล้อมคลาวด์ขององค์กรเพื่อยึดทรัพยากรประมวลผล

วิธีการโจมตี

ห่วงโซ่เริ่มจากเครื่องของผู้ใช้ติดอินโฟสตีลเลอร์อย่าง Lumma Stealer หรือ Vidar ซึ่งกวาดข้อมูลจากเบราว์เซอร์และระบบไฟล์ ทั้งข้อมูลยืนยันตัวตนที่บันทึกไว้ โทเค็นเซสชันที่อยู่ใน cookie store และใน sessionStorage กับ localStorage รวมถึงคีย์ API ที่ผู้ใช้เก็บไว้ในไฟล์ตั้งค่าหรือในโปรเจกต์ จากนั้นผู้ที่ซื้อบริการมัลแวร์สำเร็จรูปจะนำข้อมูลไปวางขายบนฟอรัมใต้ดินในรูปล็อก และผู้ซื้อปลายทางคือผู้ที่นำโทเค็นไปเล่นซ้ำ

ขั้นการเล่นซ้ำต้องใช้เครื่องมือเฉพาะ ซึ่ง Okta ระบุว่าคือเบราว์เซอร์ประเภทต้านการตรวจจับที่มีฟีเจอร์สำหรับใช้ข้อมูลยืนยันตัวตนที่ขโมยมาและหลบมาตรการควบคุมความปลอดภัย ตัวอย่างที่ถูกยกมาคือ Camoufox ซึ่งเป็นเบราว์เซอร์ต้านการตรวจจับแบบโอเพนซอร์ส และเครื่องมืออัตโนมัติอย่าง SeleniumBase ที่โหลดข้อมูลจาก sessionStorage และ localStorage ของเบราว์เซอร์เหยื่อเข้ามาจากไฟล์ได้อย่างง่ายดาย เครื่องมือเหล่านี้ส่วนใหญ่ยังตั้งค่าพร็อกซีได้ ทำให้ผู้โจมตีเลี่ยงการตรวจจับแบบ impossible travel หรือทริกเกอร์เชิงพฤติกรรมที่ปกติจะจับการเข้าถึงผิดปกติได้

สิ่งที่ทำให้การโจมตีแบบนี้ได้ผลคือมันข้ามชั้นป้องกันที่องค์กรลงทุนไปมากที่สุด นั่นคือรหัสผ่านและการยืนยันตัวตนหลายปัจจัย เพราะโทเค็นที่ยังไม่หมดอายุคือหลักฐานว่าการยืนยันตัวตนผ่านไปแล้ว ระบบจึงไม่ถามซ้ำ นาย Kirk สรุปประเด็นนี้ไว้ว่าการยืนยันตัวตนที่แข็งแรงขึ้นและเทคโนโลยีที่ต้านฟิชชิงอย่างพาสคีย์ทำให้การยึดบัญชีด้วยชื่อผู้ใช้และรหัสผ่านยากขึ้นจริง แต่ไม่ได้หยุดโทเค็นเซสชันหรือคีย์ API ที่ถูกขโมยไป

อย่างไรก็ตามมีสองกลไกที่ลดทอนการโจมตีนี้ได้ อย่างแรกคือการทำ IP allowlisting ซึ่งบล็อกทราฟฟิกทั้งหมดยกเว้นช่วงที่อยู่ที่อนุมัติไว้ ทำให้การเล่นซ้ำจากเครื่องผู้โจมตีไม่สำเร็จ อย่างที่สองคือ Device Bound Session Credentials หรือ DBSC ที่ Google เพิ่มเข้ามาใน Chrome เพื่อผูกโทเค็นเซสชันเข้ากับอุปกรณ์ด้วยวิธีการเชิงรหัสวิทยา ผลคือโทเค็นที่ถูกขโมยไปจะใช้บนเครื่องอื่นไม่ได้

ผลกระทบ

ผลกระทบตรงที่สุดตกอยู่กับผู้ใช้ปลายทางที่เครื่องติดมัลแวร์ เพราะบัญชีบริการ AI ในปัจจุบันมักผูกกับประวัติการสนทนาที่มีข้อมูลงานภายในองค์กร ซอร์สโค้ด ร่างเอกสาร และบางครั้งรวมถึงข้อมูลส่วนบุคคลของผู้อื่น การที่ผู้โจมตีเข้าบัญชีได้โดยไม่ต้องผ่านการยืนยันตัวตนจึงหมายถึงการเข้าถึงทั้งคลังบทสนทนาที่สะสมมา ไม่ใช่แค่การใช้บริการฟรี และการที่ 17.7% ของโทเค็นมีข้อมูลระบุตัวบุคคลอยู่ข้างในยิ่งทำให้ข้อมูลเหล่านั้นถูกใช้ต่อในการหลอกลวงที่เจาะจงเป้าหมายได้

สำหรับองค์กร ความเสียหายมีทั้งด้านข้อมูลและด้านค่าใช้จ่าย คีย์ API ที่รั่วออกไปสามารถถูกใช้เรียกโมเดลจนเกิดบิลก้อนใหญ่ในเวลาไม่นาน ซึ่งเป็นแบบแผนเดียวกับการขโมยทรัพยากรไปขุดคริปโต ขณะเดียวกันบัญชีที่ถูกยึดอาจกลายเป็นทางเข้าสู่ระบบอื่นเมื่อบริการ AI นั้นเชื่อมกับคลังโค้ดหรือพื้นที่เก็บเอกสารขององค์กร กรณีที่ Mandiant พบว่าผู้โจมตีเข้าคลาวด์ผ่านโทเค็น GitHub ที่ถูกเปิดเผยแล้วสร้างโครงสร้างพื้นฐาน AI ของตนเองขึ้นมา แสดงให้เห็นว่าเป้าหมายไม่ได้หยุดที่การใช้บัญชีคนอื่นเรียกโมเดลเท่านั้น

ในเชิงการตรวจจับ ปัญหาใหญ่คือกิจกรรมเหล่านี้ปรากฏในบันทึกเหมือนการใช้งานของเจ้าของบัญชีเอง ไม่มีการล็อกอินล้มเหลว ไม่มีการขอ MFA และเมื่อผู้โจมตีใช้พร็อกซีที่ตรงกับพื้นที่ของเหยื่อ สัญญาณอย่าง impossible travel ก็เงียบไปด้วย องค์กรที่พึ่งการแจ้งเตือนแบบเดิมซึ่งอิงการล็อกอินเป็นหลักจึงแทบไม่มีโอกาสเห็นการละเมิดนี้ และต้องหันไปดูรูปแบบการใช้งานหลังล็อกอินแทน เช่น ปริมาณคำขอที่ผิดปกติ หรือการดึงประวัติบทสนทนาจำนวนมากในเวลาสั้น

คำแนะนำ

มาตรการที่ตรงกับกลไกของการโจมตีนี้มากที่สุดคือการทำให้โทเค็นที่ขโมยไปใช้ไม่ได้บนเครื่องอื่น ได้แก่ การเปิดใช้ Device Bound Session Credentials ใน Chrome สำหรับบริการที่รองรับ และการทำ IP allowlisting สำหรับระบบที่เข้าถึงจากช่วงที่อยู่ที่คาดเดาได้ ควบคู่กับการตั้งอายุโทเค็นให้สั้นและใช้ OAuth 2.0 ที่ออกโทเค็นอายุสั้นซึ่งหมดอายุเร็วหากถูกขโมยไป

ฝั่งคีย์ API ควรกำหนดขอบเขตสิทธิ์ของคีย์ให้แคบที่สุดเท่าที่งานต้องใช้ แยกคีย์ตามระบบและตามสภาพแวดล้อม ตั้งเพดานการใช้งานและการแจ้งเตือนค่าใช้จ่ายไว้ทุกคีย์ และหมุนเวียนคีย์ตามรอบที่กำหนด ควรสแกนคลังโค้ดและระบบ CI ด้วยเครื่องมืออย่าง TruffleHog เป็นประจำ เพราะข้อมูลชุดที่ Okta วิเคราะห์แสดงว่าคีย์ที่หลุดออกไปจำนวนหนึ่งยังใช้งานได้อยู่จริงในวันที่ถูกปล่อย

การเฝ้าระวังควรย้ายจุดโฟกัสจากเหตุการณ์ล็อกอินไปที่พฤติกรรมหลังล็อกอิน โดยเฝ้าดูการใช้โทเค็นเซสชันซ้ำจากที่อยู่หรือลายนิ้วมืออุปกรณ์ที่ต่างจากเดิม การเรียก API ในอัตราที่สม่ำเสมอผิดธรรมชาติ การดึงประวัติบทสนทนาทั้งเซสชัน และการเข้าถึงจากผู้ให้บริการพร็อกซีที่อยู่ในพื้นที่เดียวกับผู้ใช้แต่ไม่ใช่เครือข่ายที่องค์กรรู้จัก เมื่อสงสัยว่าเครื่องใดติดอินโฟสตีลเลอร์ การเปลี่ยนรหัสผ่านอย่างเดียวไม่พอ ต้องเพิกถอนเซสชันทั้งหมดของบัญชีนั้นและหมุนคีย์ API ทุกตัวที่เคยอยู่บนเครื่องด้วย

สุดท้าย องค์กรควรจัดทำบัญชีรายการว่าพนักงานใช้บริการ AI ใดบ้างและบัญชีเหล่านั้นผูกกับข้อมูลอะไร เพราะบริการที่พบในข้อมูลชุดนี้ครอบคลุมตั้งแต่ผู้ให้บริการโมเดลรายใหญ่ไปจนถึงเครื่องมือเขียนโค้ดและเครื่องมือทำเอกสาร การมีรายการที่ชัดเจนทำให้เมื่อเกิดเหตุเครื่องติดมัลแวร์ ทีมสามารถระบุได้ทันทีว่าต้องเพิกถอนเซสชันของบริการใดบ้าง แทนการไล่ตามทีละบริการหลังเกิดความเสียหายไปแล้ว

แหล่งอ้างอิง