สรุปสั้น
บริษัท Microsoft ประกาศเมื่อวันที่ 22 กันยายน 2569 ว่าได้ทลายบริการฟิชชิงแบบ device code ที่ชื่อ EvilTokens ซึ่งบริษัทระบุว่าใช้ปัญญาประดิษฐ์ (AI) “ในทุกขั้นตอนของห่วงโซ่การโจมตี” ปฏิบัติการนี้ดำเนินการภายใต้คำสั่งศาลแขวงสหรัฐเขตตะวันออกของรัฐเวอร์จิเนีย ร่วมกับ Health-ISAC และพันธมิตรภาคเอกชนหลายราย ทั้ง Cloudflare, Coinbase, OpenAI, Railway, SpyCloud, The Shadowserver Foundation และ TRM Labs โดย Microsoft ติดตามกลุ่มผู้อยู่เบื้องหลังการพัฒนาและดูแลบริการนี้ในชื่อรหัส Storm-2992 ควบคู่กับการที่ตำรวจนครบาลลอนดอนจับกุมผู้ต้องสงสัยชาย 2 ราย อายุ 32 และ 38 ปี เมื่อวันที่ 11 กันยายน 2569 ในความเชื่อมโยงกับการดำเนินธุรกิจผิดกฎหมายครั้งนี้
EvilTokens เป็นแพลตฟอร์มอาชญากรรมไซเบอร์แบบ phishing-as-a-service (PhaaS) ที่อาศัยช่องทาง OAuth 2.0 device authorization เพื่อยึดเซสชันบัญชีอีเมลของเหยื่อ โดยที่ผู้โจมตีไม่ต้องกรอกรหัสผ่านใด ๆ จุดเด่นของบริการคือแชตบอตสไตล์ AI ที่วิเคราะห์กล่องจดหมายของเหยื่อ ระบุความสัมพันธ์ที่น่าเชื่อถือ สิทธิ์อนุมัติการจ่ายเงิน และความรับผิดชอบที่อ่อนไหว พร้อมแนะนำกลยุทธ์ฉ้อโกงและร่างข้อความที่ปลอมตัวเป็นบุคคลที่เหยื่อไว้ใจ Microsoft ระบุว่าบริการนี้เชื่อมโยงกับกล่องจดหมายที่ถูกยึดกว่า 12,000 บัญชีในองค์กรมากกว่า 10,000 แห่งทั่วโลก และในปฏิบัติการครั้งนี้ได้ยึด 50 เว็บไซต์ พร้อมปิดโดเมนสนับสนุนอีกกว่า 150 โดเมน
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 22 กันยายน 2569 ว่า EvilTokens ถูกบันทึกครั้งแรกโดยบริษัท Huntress ตั้งแต่เดือนมีนาคม 2569 ในฐานะแพลตฟอร์ม PhaaS ที่นำช่องทาง OAuth 2.0 device authorization flow มาใช้ในทางที่ผิด เพื่อมอบเซสชันที่ผ่านการยืนยันตัวตนกับบัญชีของเหยื่อให้ผู้โจมตี โดยฝั่งผู้โจมตีไม่จำเป็นต้องมีรหัสผ่านเลย โทเคนที่ขโมยมาถูกนำไปใช้ดูดข้อมูลอีเมลและฝังตัวอยู่ในระบบอย่างต่อเนื่อง มักผ่านการตั้งกฎกล่องจดหมาย (inbox rules) ที่คอยซ่อนการติดต่อสื่อสาร และในบางกรณียังใช้โทเคนลงทะเบียนอุปกรณ์ใหม่ให้เข้าถึงกล่องจดหมายของเหยื่อ เพื่อสร้างช่องทางสำรองในการคงสิทธิ์ระยะยาว
บริษัท Sekoia อธิบายว่า EvilTokens เป็นโซลูชันสำเร็จรูปที่ขายในโมเดล PhaaS บน Telegram มาตั้งแต่ช่วงกลางเดือนกุมภาพันธ์ 2569 พร้อมเทมเพลตฟิชชิงแบบ self-hosted จำนวนมาก และฟีเจอร์ AI ที่ช่วยทำงาน business email compromise (BEC) แบบอัตโนมัติ เช่น วิเคราะห์อีเมลที่เก็บเกี่ยวมา ค้นหาเธรดที่เกี่ยวกับการเงิน และร่างอีเมล BEC ให้ นาย Steven Masada รองที่ปรึกษากฎหมายทั่วไปและผู้จัดการทั่วไปของหน่วย Digital Crimes Unit ของ Microsoft ระบุว่า ความสามารถที่เคยต้องอาศัยประสบการณ์ทั้งด้านการโจมตี identity ระบบคลาวด์ วิศวกรรมสังคม และการฉ้อโกงทางการเงิน กลับถูกรวมไว้ในบริการสำเร็จรูปที่มีหน้าจอพร้อมใช้
ด้านการเงินของกลุ่ม บริษัท Coinbase ระบุว่าตรวจสอบพบรายได้ของแพลตฟอร์มราว 1.1 ล้านดอลลาร์สหรัฐ กระจายอยู่ใน 4 ที่อยู่กระเป๋า Tron ในช่วงเดือนตุลาคม 2568 ถึงมิถุนายน 2569 พร้อมพบยอดฝากเข้าบัญชี EvilTokens มากกว่า 1,000 รายการจากที่อยู่กระเป๋าที่แตกต่างกันกว่า 700 ที่อยู่ ขณะที่ SpyCloud หนึ่งในพันธมิตรภาคเอกชนได้แบ่งปันข้อมูลที่ถูกฟิชชิงซึ่งกู้คืนมาได้ ครอบคลุมบัญชีเหยื่อที่ไม่ซ้ำกัน 8,708 บัญชี จาก 6,585 โดเมนอีเมลองค์กรใน 79 ประเทศ โดยข้อมูลชุดแรกสุดย้อนไปถึงวันที่ 18 กุมภาพันธ์ 2569
วิธีการโจมตี
การโจมตีเริ่มจากอีเมลหลอกลวงที่ใช้ธีมหลอกล่อถึง 44 แบบ เช่น ใบแจ้งหนี้ คำขอเสนอราคา (RFP) หรือไฟล์ที่แชร์กันในองค์กร ภายในมีลิงก์อันตราย ไฟล์แนบ PDF และไฟล์ HTML สำหรับเริ่มห่วงโซ่การติดเชื้อ เมื่อเหยื่อคลิกลิงก์หรือไฟล์แนบ จะถูกพาไปยังหน้าเว็บที่รันสคริปต์อัตโนมัติอยู่เบื้องหลัง สคริปต์นี้จะติดต่อกับผู้ให้บริการ identity ของ Microsoft แบบเรียลไทม์เพื่อสร้าง device code ที่ยังใช้งานได้ แล้วแสดงโค้ดบนหน้าจอเหยื่อพร้อมปุ่ม “Copy Code” และปุ่ม “Continue with Microsoft” ที่จะพาเหยื่อไปยังหน้า microsoft.com/devicelogin ของจริง
เมื่อเหยื่อวางโค้ดลงบนเว็บไซต์ Microsoft ตัวจริงและยืนยันตัวตน (รวมถึงกรอกรหัส MFA หากยังไม่มีเซสชันที่ใช้งานอยู่) เซิร์ฟเวอร์ authorization จะออกโทเคน access และ refresh ให้ไคลเอนต์ของผู้โจมตีทันที ทำให้ผู้โจมตีได้สิทธิ์เข้าถึงอย่างต่อเนื่องภายใต้ตัวตนของเหยื่อ จากนั้นจึงสามารถลงทะเบียนอุปกรณ์ใหม่ ตั้งกฎกล่องจดหมายที่เป็นอันตราย หรือดูดข้อมูลอีเมลอ่อนไหวออกไปได้ จุดที่อันตรายคือ การเข้าถึงนี้ยังคงอยู่แม้เหยื่อจะรีเซ็ตรหัสผ่านแล้ว หากไม่ได้เพิกถอนเซสชันและโทเคนที่เกี่ยวข้องพร้อมกัน
นอกจากนี้ EvilTokens ยังใช้ท่อส่งมัลแวร์แบบหลายขั้นเพื่อเลี่ยง email gateway และระบบ endpoint security แบบเดิม ผ่าน CAPTCHA ปลอมและห่วงโซ่การเปลี่ยนเส้นทางที่อาศัยแพลตฟอร์ม “serverless” ชื่อดังอย่าง Vercel, Cloudflare Workers และ AWS Lambda เพื่อกลมกลืนกับทราฟฟิกคลาวด์ขององค์กรทั่วไปและเลี่ยงการถูกบล็อกโดเมน โดย Cloudflare ระบุว่าผู้ใช้ EvilTokens สามารถนำ API key ของ Cloudflare ตัวเองมาใส่ในแผงควบคุมเพื่อตั้งค่า Worker ที่คอยเก็บ credential และตั้งหน้าเว็บฟิชชิงได้
ผลกระทบ
Microsoft ระบุว่า EvilTokens เชื่อมโยงกับกล่องจดหมายที่ถูกยึดมากกว่า 12,000 บัญชีในองค์กรกว่า 10,000 แห่งทั่วโลก สะท้อนว่าบริการได้รับความนิยมในหมู่ผู้โจมตีอย่างรวดเร็วในเวลาอันสั้น พื้นที่ที่พบกิจกรรมเหยื่อหนาแน่นที่สุดคือสหรัฐ แคนาดา สหราชอาณาจักร ออสเตรเลีย อินเดีย และฝรั่งเศส ส่วนอุตสาหกรรมที่ตกเป็นเป้าได้แก่ ค้าส่ง ก่อสร้าง บริการทางการเงิน อสังหาริมทรัพย์ อุดมศึกษา และสาธารณสุข
สิ่งที่ทำให้กรณีนี้น่ากังวลเป็นพิเศษคือ หลักฐานบ่งชี้ว่าชุดเครื่องมือส่วนใหญ่ถูกพัฒนาด้วยความช่วยเหลือของ AI (หรือที่เรียกกันว่า vibe coding) ซึ่งแสดงให้เห็นว่าเทคโนโลยีนี้ช่วยลดกำแพงทักษะ และเปิดทางให้อาชญากรหน้าใหม่สร้างเครื่องมือขั้นสูงและก่อการฉ้อโกงในวงกว้างได้ นาย Trevor Hilligoss ประธานเจ้าหน้าที่ฝ่ายข่าวกรองของ SpyCloud ระบุว่า EvilTokens ใช้ AI ทำให้ส่วนที่ยากกลายเป็นเรื่องง่าย ทั้งการอ่านกล่องจดหมายที่ถูกยึดในกว่า 20 ภาษาเพื่อหาบทสนทนาที่ควรแฮ็กต่อ และการร่างอีเมลปลอมตัว ซึ่งเป็นส่วนของ BEC ที่เดิมต้องอาศัยคนทำ แต่ตอนนี้เปิดให้ใครก็ได้เข้าถึงในราคาเพียงเดือนละ 500 ดอลลาร์
คำแนะนำ
ผู้ดูแลระบบควรให้ความสำคัญกับการตรวจจับการยึดบัญชีให้เร็วและเพิกถอนโทเคนที่ถูกขโมยทันที เพราะการรีเซ็ตรหัสผ่านเพียงอย่างเดียวไม่เพียงพอ ต้องเพิกถอนเซสชันและ refresh token ที่ค้างอยู่ด้วย ควรจำกัดหรือปิดการใช้ device code authorization flow หากองค์กรไม่มีความจำเป็นต้องใช้ พร้อมตั้ง Conditional Access ให้เข้มงวดขึ้น เฝ้าระวังการสร้างกฎกล่องจดหมายที่ผิดปกติและการลงทะเบียนอุปกรณ์ใหม่ที่ไม่คุ้นเคย และให้ความรู้ผู้ใช้ว่าไม่ควรนำโค้ดที่ได้รับจากหน้าเว็บอื่นมากรอกที่หน้า microsoft.com/devicelogin โดยไม่ได้เป็นผู้เริ่มการล็อกอินเอง รวมถึงพิจารณาใช้ฟิชชิงต้านทาน (phishing-resistant) เช่น FIDO2/passkey สำหรับบัญชีสำคัญ