สรุปสั้น

มีการเปิดเผยแคมเปญฟิชชิงชุดใหม่จากชุดเครื่องมือที่เรียกว่า N0va ซึ่งกำลังเล็งเป้าองค์กรทั่วอเมริกาเหนือและยุโรป โดยพบกิจกรรมในหน่วยงานภาครัฐ บริษัทเทคโนโลยี ธุรกิจที่ปรึกษา สถานพยาบาล และภาคส่วนอื่น จุดที่ทำให้แคมเปญนี้อันตรายกว่าฟิชชิงทั่วไปคือมันไม่ได้พึ่งหน้าล็อกอินปลอมแบบเดิม แต่ปลอมตัวเป็นบริการธุรกิจที่พนักงานใช้งานทุกวัน แล้วพาเหยื่อเดินผ่านขั้นตอนยืนยันตัวตนของจริงจนดูน่าเชื่อถือ

เมื่อเหยื่อยืนยันตัวตนเสร็จ N0va จะดักเก็บโทเคนเข้าถึง (access token) และโทเคนรีเฟรช (refresh token) แล้วนำไปใช้กับกลไกแลกเปลี่ยนโทเคนและการลงทะเบียนอุปกรณ์ เพื่อสร้างการเข้าถึงแบบ SSO ไปยังทรัพยากรขององค์กร ผลคืออาชญากรได้บัญชีที่ถูกต้องตามระบบโดยไม่ต้องวางมัลแวร์ที่สังเกตเห็นได้ง่าย และเมื่อบัญชีเดียวถูกยึด ก็อาจเปิดทางไปถึงข้อมูลอ่อนไหว ระบบธุรกิจ และทรัพยากรบนคลาวด์อื่น ๆ ยิ่งการเข้าถึงนั้นไม่ถูกตรวจพบนานเท่าไร โอกาสที่ความเสียหายจะลุกลามก็ยิ่งมากขึ้น

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 16 กันยายน 2569 โดยอ้างข้อมูลจากบริษัท ANY.RUN ว่า แคมเปญ N0va ใช้เหยื่อล่อ (lure) ที่เลียนแบบแพลตฟอร์มธุรกิจซึ่งเป็นที่นิยม ได้แก่ Microsoft Teams, SharePoint, OneDrive, DocuSign, Google Drive, Dropbox, Zoom และ Adobe Sign การเลือกใช้แบรนด์ที่องค์กรไว้วางใจและบริการบนคลาวด์ทำให้แคมเปญนี้เข้าถึงเหยื่อได้กว้าง ครอบคลุมหลายอุตสาหกรรมพร้อมกัน

รายงานระบุว่าแทนที่จะใช้หน้าเว็บล็อกอินปลอมเพียงอย่างเดียว N0va สามารถนำเหยื่อเข้าสู่ขั้นตอนยืนยันตัวตนที่ถูกต้องจริง ทำให้ปฏิสัมพันธ์ดูน่าเชื่อถือมากขึ้น ห่วงโซ่การโจมตีสรุปได้เป็นลำดับดังนี้ เริ่มจากเหยื่อล่อที่ปลอมเป็นแบรนด์ที่ไว้ใจได้ ต่อด้วยฟิชชิงแบบ device code แล้วให้เหยื่อยืนยันตัวตนของจริง จากนั้นดักเก็บโทเคนเข้าถึงและโทเคนรีเฟรช แล้วใช้การแลกเปลี่ยนโทเคนหรือการลงทะเบียนอุปกรณ์ เพื่อไปสู่การเข้าถึงแบบ SSO ยังทรัพยากรขององค์กรในที่สุด

ANY.RUN ระบุว่ากิจกรรมของ N0va ถูกพบในองค์กรหลายแห่งที่อยู่ในภาคความเสี่ยงสูง ทั้งภาครัฐ เทคโนโลยี ที่ปรึกษา และสาธารณสุข การที่แคมเปญอาศัยแพลตฟอร์มธุรกิจและบริการคลาวด์ที่ใช้กันแพร่หลาย ทำให้ทีมความปลอดภัยต้องปฏิบัติต่อสัญญาณที่พบว่าเป็นส่วนหนึ่งของแคมเปญเดียวกัน แทนที่จะมองเป็นเหตุฟิชชิงแยกกันทีละเหตุ ทั้งนี้ข้อมูลส่วนใหญ่ในรายงานมาจากเทเลเมทรีและการวิเคราะห์ในแซนด์บ็อกซ์ของผู้ให้บริการรายเดียว จึงควรอ่านตัวเลขและรายละเอียดในฐานะมุมมองของผู้ให้บริการนั้น

N0va phishkit phishing campaign stealing SSO tokens from US and EU businesses

วิธีการโจมตี

หัวใจของ N0va คือการขโมย “ตัวตน” ไม่ใช่การฝังมัลแวร์ แคมเปญเริ่มด้วยเหยื่อล่อที่ปลอมเป็นบริการอย่าง Microsoft Teams, SharePoint, OneDrive, DocuSign, Google Drive, Dropbox, Zoom หรือ Adobe Sign เมื่อเหยื่อกดทำตาม จะถูกพาเข้าสู่ฟิชชิงแบบ device code ซึ่งอาศัยกลไกยืนยันตัวตนของผู้ให้บริการจริง ทำให้หน้าจอและขั้นตอนดูถูกต้องตามปกติ

หลังเหยื่อยืนยันตัวตนสำเร็จ N0va จะดักเก็บโทเคนเข้าถึงและโทเคนรีเฟรช แล้วใช้ประโยชน์จากกลไกการแลกเปลี่ยนโทเคน (token exchange) หรือการลงทะเบียนอุปกรณ์ (device registration) เพื่อสร้างสถานะการเข้าถึงแบบ SSO ให้ตนเอง เมื่อได้โทเคนและสถานะดังกล่าว ผู้โจมตีก็สามารถเข้าถึงอีเมล ไฟล์ แอปพลิเคชันบนคลาวด์ และทรัพยากรองค์กรอื่น ๆ ที่ผูกกับตัวตนที่ถูกยึดไว้ได้ จุดที่ทำให้การรับมือยากคือทั้งหมดนี้เกิดขึ้นด้วยบัญชีและโทเคนที่ระบบมองว่าถูกต้อง จึงไม่มีไฟล์มัลแวร์ชัด ๆ ให้แอนตี้ไวรัสจับ และการเพิกถอนสิทธิ์ต้องอาศัยการยกเลิกเซสชันและหมุนโทเคนใหม่ ไม่ใช่แค่รีเซ็ตรหัสผ่าน

ผลกระทบ

N0va แสดงให้เห็นว่าฟิชชิงยุคใหม่กลายเป็นเหตุด้านความปลอดภัยของตัวตน (identity security) ได้อย่างรวดเร็ว เมื่อผู้โจมตีอาศัยแพลตฟอร์มที่องค์กรไว้วางใจและขั้นตอนยืนยันตัวตนที่ถูกต้องจริง การยึดบัญชีเพียงบัญชีเดียวสามารถลุกลามเป็นเหตุระดับทั้งองค์กรได้ ขึ้นอยู่กับสิทธิ์ของผู้ใช้รายนั้น ความเสียหายที่ตามมามีตั้งแต่การฉ้อโกงทางการเงินและการปลอมแปลงใบแจ้งหนี้ การรั่วไหลของข้อมูลลูกค้า ข้อมูลพนักงาน และทรัพย์สินทางปัญญา ไปจนถึงการหยุดชะงักของการทำงานเมื่อทีมต้องเพิกถอนเซสชัน รีเซ็ตสิทธิ์ และสอบสวนระบบที่ได้รับผลกระทบ

เนื่องจากการเข้าถึงเกิดผ่านโทเคนและ SSO ที่ระบบมองว่าถูกต้อง การตรวจจับด้วยการเฝ้าดูมัลแวร์เพียงอย่างเดียวจึงไม่เพียงพอ องค์กรที่พึ่งบริการคลาวด์และ SSO เป็นหลักควรถือว่าโทเคนและอุปกรณ์ที่ลงทะเบียนเป็นทรัพย์สินที่ต้องเฝ้าระวังไม่ต่างจากรหัสผ่าน

คำแนะนำ

ทีมความปลอดภัยควรมองสัญญาณที่พบว่าอาจเป็นส่วนหนึ่งของแคมเปญเดียวกัน แทนที่จะสอบสวนทีละเหตุแยกกัน โดยเชื่อมโยง URL โดเมน ไอพี ไฟล์ และโครงสร้างพื้นฐานที่เกี่ยวข้องเข้าด้วยกันเพื่อประเมินขอบเขต ในเชิงป้องกันควรบังคับใช้การยืนยันตัวตนหลายปัจจัยที่ต้านฟิชชิงได้ (phishing-resistant MFA) เช่น มาตรฐาน FIDO2/passkey จำกัดและตรวจสอบการลงทะเบียนอุปกรณ์ใหม่ในระบบ SSO เฝ้าดูการออกและใช้โทเคนที่ผิดปกติ และตั้งนโยบายให้สามารถเพิกถอนเซสชันและหมุนโทเคนได้ทันทีเมื่อสงสัยว่าบัญชีถูกยึด นอกจากนี้ควรอบรมผู้ใช้ให้ระวังคำขอยืนยันตัวตนแบบ device code ที่ไม่ได้เริ่มต้นด้วยตนเอง และนำอินดิเคเตอร์ที่ยืนยันแล้วป้อนเข้าสู่ SIEM, EDR และไฟร์วอลล์ที่ใช้อยู่เพื่อขยายการตรวจจับ

แหล่งอ้างอิง