สรุปสั้น

เนื่องจากเบราว์เซอร์กลายเป็นที่ที่ผู้ใช้เข้าถึงและใช้งานแอปพลิเคชันทางธุรกิจ จึงไม่น่าแปลกใจที่การโจมตีย้ายมาเกิดที่นั่นด้วย รายงานระบุว่าการเจาะระบบส่วนใหญ่ในปัจจุบันเริ่มต้นภายใน session ของเบราว์เซอร์ และบ่อยครั้งทั้งห่วงโซ่การโจมตีตั้งแต่การเข้าถึงครั้งแรกไปจนถึงการขโมยข้อมูลออกก็เกิดขึ้นภายในเบราว์เซอร์โดยไม่ออกไปไหนเลย รายงานได้รวบรวมเทคนิคการโจมตีผ่านเบราว์เซอร์ที่อันตรายที่สุด 6 รูปแบบที่ทุกทีมความปลอดภัยควรมีอยู่ในเรดาร์ในปี 2026

ทั้ง 6 เทคนิคได้แก่ การฟิชชิงเพื่อขโมยรหัสผ่านและ session, การหลอกให้คัดลอกและวางคำสั่งอันตราย (ClickFix), authorization phishing ที่อาศัยช่องทาง OAuth, ส่วนขยายเบราว์เซอร์ที่เป็นอันตราย, การยัดรหัสผ่าน (credential stuffing) ควบคู่กับ ghost login และการยึด session (session hijacking) ทั้งหมดนี้เกิดขึ้นในเบราว์เซอร์ซึ่งเป็นจุดบอดของเครื่องมือความปลอดภัยที่ทำงานในชั้นอีเมล เครือข่าย หรือเครื่องปลายทาง รายงานนี้รวบรวมและเผยแพร่โดยบริษัท Push Security จึงมีกรอบเชิงพาณิชย์ประกอบ แต่อ้างอิงสถิติจากแหล่งภายนอกอย่าง Microsoft, Verizon และ Cloudflare ด้วย

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 30 กันยายน 2569 ว่า การที่แอปพลิเคชันทางธุรกิจย้ายไปทำงานบนเบราว์เซอร์ทำให้ผู้โจมตีสามารถดำเนินการได้ครบวงจรภายในเบราว์เซอร์ตัวเดียว โดยอ้างอิงข้อมูลจาก Push Security ที่ระบุว่าราว 1 ใน 2 ของการโจมตีแบบฟิชชิงถูกส่งผ่านช่องทางอื่นที่ไม่ใช่อีเมลเลย และ 89% ของโดเมนฟิชชิงมีอายุใช้งานน้อยกว่าสองวัน ทำให้แนวทางป้องกันที่พึ่งบัญชีดำ (blocklist) เป็นหลักแทบเอาไม่อยู่

รายงานยังอ้างอิงสถิติจากหลายแหล่งเพื่อชี้ขนาดของปัญหา ทั้ง Microsoft Digital Defense Report ที่ระบุว่า ClickFix เป็นช่องทางการเข้าถึงครั้งแรกที่พบบ่อยที่สุด คิดเป็น 47% ของการโจมตีที่สังเกตพบ และ Cloudflare Threat Report 2026 ที่พบว่า 63% ของการล็อกอินโดยมนุษย์ทั้งหมดเกี่ยวข้องกับข้อมูลรับรองที่ถูกเจาะไปแล้วจากที่อื่น รวมถึง Verizon DBIR ที่ชี้ว่าการติดมัลแวร์ขโมยข้อมูล (infostealer) จำนวนมากที่นำไปสู่การเจาะองค์กรเริ่มต้นบนอุปกรณ์ที่องค์กรไม่ได้บริหารจัดการ

วิธีการโจมตี

1. ฟิชชิงเพื่อขโมยรหัสผ่านและ session — ชุดฟิชชิงสมัยใหม่ไม่ได้ขโมยแค่รหัสผ่าน แต่ดักจับ session ที่ยังทำงานอยู่ ชุดโจมตีแบบ reverse-proxy adversary-in-the-middle (AiTM) อย่าง Tycoon2FA, Sneaky2FA และ Evilginx จะส่งต่อข้อมูลรับรองและ session token แบบเรียลไทม์ ทำให้เลี่ยง MFA ได้เกือบทุกรูปแบบ และถูกขายเป็นแพลตฟอร์ม Phishing-as-a-Service สำเร็จรูปพร้อมระบบกันบอทและสร้างเหยื่อล่ออัตโนมัติ

2. การคัดลอกและวางคำสั่งอันตราย (ClickFix) — ตั้งแต่ปลายปี 2024 ผู้โจมตีหลอกให้ผู้ใช้คัดลอกและรันคำสั่งอันตรายด้วยข้ออ้างว่ากำลัง “แก้ปัญหา” โดยมักปลอมเป็น CAPTCHA หรือหน้ายืนยันตัวตน ClickFix กลายเป็นเทคนิคอันดับหนึ่งในการตรวจจับของ Push เป็นครั้งแรกในไตรมาส 2 ปี 2026 ที่ 52% และมีการพัฒนาต่อเนื่อง เช่น InstallFix ที่ใช้หน้าติดตั้งปลอมของเครื่องมือนักพัฒนาอย่าง Claude Code และ NotebookLM โดยแทนที่คำสั่งติดตั้งด้วยคำสั่งอันตราย และแคมเปญ LLMShare ที่ใช้บทสนทนาที่แชร์บนแพลตฟอร์มแชตบอต AI เพื่อส่งมัลแวร์ผ่านหน้าที่โฮสต์บนโดเมนที่น่าเชื่อถือ

3. Authorization phishing — การโจมตีกลุ่มนี้พุ่งเป้าสิ่งที่เกิดขึ้น “หลัง” การล็อกอิน ด้วยการใช้กลไก OAuth ในทางมิชอบ ทั้ง consent grant, device code flow และการแลกเปลี่ยน token เพื่อให้ได้ access token โดยผู้โจมตีไม่แตะกระบวนการพิสูจน์ตัวตนเลย ทำให้ MFA ทุกรูปแบบรวมถึง passkey ที่ทนฟิชชิงกลายเป็นไร้ความหมาย โดย Push ติดตามชุดเครื่องมือ device code phishing มากกว่า 30 ชุด และพบ ConsentFix ซึ่งเป็นลูกผสมระหว่าง ClickFix กับ OAuth ที่พบครั้งแรกในแคมเปญของกลุ่ม APT29 ของรัสเซีย ก่อนถูกนำไปใช้ในวงอาชญากรรมทั่วไป

4. ส่วนขยายเบราว์เซอร์ที่เป็นอันตราย — ผู้โจมตีใช้ส่วนขยายอันตรายเพื่อขโมยข้อมูล บันทึกการกดแป้นพิมพ์ และดักจับข้อมูลรับรองและ token ที่วิ่งผ่านเบราว์เซอร์ โดยส่วนขยายอันตรายส่วนใหญ่ไม่ได้เริ่มต้นแบบนั้น แต่ผู้โจมตีซื้อส่วนขยายที่ถูกกฎหมายแล้วรอจนยอดติดตั้งถึงจุดสูงสุดก่อนปล่อยอัปเดตที่เป็นอันตราย การวิเคราะห์พบว่า 46.76% ของส่วนขยายมีชุดสิทธิ์ที่เพียงพอต่อการยึดบัญชีโดยไม่ต้องให้ผู้ใช้ทำอะไร และ Verizon DBIR 2026 พบว่าผู้ใช้ในองค์กรกว่า 15% ติดตั้งส่วนขยาย AI ที่ไม่ได้รับอนุญาต

5. Credential stuffing และ ghost login — การเจาะผ่านรหัสผ่านยังเป็นสาเหตุหลักของการละเมิดข้อมูล แม้หลายคนจะคิดว่า SSO แก้ปัญหานี้ได้แล้ว แต่ SSO ไม่ได้ใช้ทั่วทุกที่ ทำให้เกิด ghost login คือข้อมูลรับรองสำรองนอก SSO ที่ระบบ IdP มองไม่เห็นและยังใช้งานได้หากไม่ปิด จากหนึ่งล้านการล็อกอินล่าสุดที่ Push สังเกต พบว่า 1 ใน 4 เป็นการล็อกอินด้วยรหัสผ่าน (ไม่ใช่ SSO), 2 ใน 5 ไม่มี MFA ป้องกัน และ 1 ใน 5 ใช้รหัสผ่านที่อ่อนแอ ถูกเจาะ หรือใช้ซ้ำ

6. Session hijacking — การยึด session ช่วยให้ผู้โจมตีเลี่ยงการพิสูจน์ตัวตนทั้งหมดด้วยการนำ session token ที่ถูกขโมยไปเล่นซ้ำในเบราว์เซอร์ของตน ซึ่งเอาชนะแม้แต่ passkey ที่ทนฟิชชิง เพราะขั้นตอนพิสูจน์ตัวตนเสร็จสิ้นไปแล้ว แหล่ง token ที่ถูกขโมยที่พบมากที่สุดคือมัลแวร์ infostealer ซึ่ง ClickFix เป็นช่องทางส่งหลักในปัจจุบัน โดย Verizon DBIR 2025 พบว่า 46% ของการติด infostealer ที่นำไปสู่การเจาะองค์กรเกิดบนอุปกรณ์ที่องค์กรไม่ได้บริหารจัดการ และฟีเจอร์ sync ของเบราว์เซอร์ยังสร้างสะพานให้การเจาะบัญชีส่วนตัวลุกลามสู่องค์กรได้โดยตรง

ผลกระทบ

เทคนิคทั้ง 6 รูปแบบนี้มีจุดร่วมคือเกิดขึ้นภายในเบราว์เซอร์ จึงอาศัยช่องว่างของเครื่องมือความปลอดภัยแบบดั้งเดิมที่ทำงานในชั้นอีเมล เครือข่าย หรือเครื่องปลายทาง ทำให้การโจมตีหลายรูปแบบผ่านการป้องกันเหล่านั้นไปได้ ที่น่ากังวลเป็นพิเศษคือหลายเทคนิค ทั้ง authorization phishing และ session hijacking สามารถเลี่ยง MFA ได้ทุกรูปแบบรวมถึง passkey ที่ทนฟิชชิง เพราะไม่แตะขั้นตอนพิสูจน์ตัวตนหรือทำหลังจากพิสูจน์ตัวตนเสร็จแล้ว ขณะเดียวกันการที่ข้อมูลรับรองจำนวนมากถูกเจาะและใช้ซ้ำ ประกอบกับการเติบโตของส่วนขยาย AI ที่ไม่ได้รับอนุญาตและอุปกรณ์ที่องค์กรไม่ได้บริหารจัดการ ทำให้พื้นผิวการโจมตีในชั้นเบราว์เซอร์ขยายตัวอย่างรวดเร็ว

คำแนะนำ

องค์กรควรเพิ่มการมองเห็นและการควบคุมในชั้นเบราว์เซอร์ซึ่งเป็นจุดบอดของเครื่องมือแบบเดิม โดยเฝ้าระวังพฤติกรรมฟิชชิงแบบ AiTM, ClickFix และการยึด session แบบเรียลไทม์ ควรลดการพึ่งบัญชีดำซึ่งตามไม่ทันโดเมนฟิชชิงที่มีอายุสั้น และหันมาใช้การตรวจจับพฤติกรรมแทน สำหรับ authorization phishing ควรจำกัดและตรวจสอบการให้สิทธิ์ OAuth แก่แอปบุคคลที่สาม และควบคุม device code flow อย่างเข้มงวด ด้านส่วนขยายเบราว์เซอร์ควรใช้แนวทาง default-deny พร้อมบัญชีอนุญาตและเฝ้าระวังเหตุการณ์อัปเดต แทนการพึ่งคะแนนความเสี่ยงซึ่งเป็นตัวทำนายการโจมตีซัพพลายเชนที่ไม่น่าเชื่อถือ ควรปิด ghost login และบังคับใช้ SSO ให้ครอบคลุม ฝึกผู้ใช้ให้ระวังการถูกหลอกคัดลอกและรันคำสั่ง และให้ความสำคัญกับการป้องกัน infostealer โดยเฉพาะบนอุปกรณ์ส่วนตัวและอุปกรณ์ที่องค์กรไม่ได้บริหารจัดการ ซึ่งมักขาด EDR

แหล่งอ้างอิง