สรุปสั้น

บริษัท Microsoft ขยายการป้องกันของ Microsoft Teams ให้ตรวจลิงก์อันตรายที่ซ่อนอยู่ใน QR code และแจ้งเตือนผู้ใช้หลังข้อความถูกส่งไปแล้ว ความสามารถนี้เพิ่มเข้าไปในการป้องกัน URL ของ Microsoft Defender for Office 365 ที่มีอยู่เดิม ตามประกาศ Message Center หมายเลข MC1490905 ที่เผยแพร่เมื่อ 7 ตุลาคม 2569 การทยอยเปิดใช้ทั่วโลกเริ่มต้นเดือนตุลาคมและคาดว่าเสร็จราวต้นพฤศจิกายน 2569 ใช้กับองค์กรที่มี Teams ร่วมกับ Defender for Office 365 โดยผู้ดูแลและผู้ใช้ไม่ต้องตั้งค่าเพิ่ม

เมื่อข้อความใน Teams มี QR code ระบบ Defender จะถอด URL ที่เก็บอยู่ในรูปออกมา แล้วตรวจว่าชี้ไปยังเนื้อหาอันตรายหรือไม่ หากพบ Teams จะขึ้นคำเตือนบนข้อความทั้งในบทสนทนาภายในและภายนอก และถ้าองค์กรเปิด Zero-hour Auto Purge (ZAP) for Teams ไว้ ข้อความภายในที่เข้าเกณฑ์อาจถูกบล็อก ทีมรักษาความปลอดภัยยังได้ข้อมูลใหม่สำหรับล่าภัยใน Microsoft Defender XDR เพราะ URL ที่ถอดจาก QR code จะถูกบันทึกในตาราง MessageUrlInfo พร้อมค่า UrlLocation เป็น QRCode อย่างไรก็ดี Microsoft ระบุว่านี่คือการป้องกันหลังส่งข้อความ ไม่ได้รับประกันว่าจะบล็อก QR code อันตรายทุกอันก่อนผู้ใช้เห็น

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 10 ตุลาคม พ.ศ. 2569 ว่า Microsoft กำลังเพิ่มการตรวจ QR code เข้าไปในการป้องกันของ Defender for Office 365 บน Teams เพื่อให้คำเตือนชัดเจนขึ้นและให้ทีมความปลอดภัยมีข้อมูลสำหรับสืบสวนข้อความต้องสงสัยมากขึ้น ภาพตัวอย่างของ Microsoft แสดงผลลัพธ์ 2 แบบ แบบแรกคือคำเตือนว่าข้อความมีลิงก์ที่อาจเป็นอันตราย อีกแบบคือโพสต์ในแชนเนลที่ถูกทำเครื่องหมายว่าบล็อกเพราะมีเนื้อหาที่อาจเป็นอันตราย ภาพเหล่านี้จึงเป็นตัวอย่างผลลัพธ์ที่เป็นไปได้ ไม่ใช่คำสัญญาว่า QR code ต้องสงสัยทุกอันจะถูกลบออก

การบล็อกข้อความภายในที่เป็นอันตรายต้องอาศัย Defender for Office 365 Plan 1 หรือ Plan 2 และเปิด ZAP for Teams ไว้ ZAP เป็นความสามารถเดิมที่จัดการข้อความอันตรายหลังส่งไปแล้ว ผู้ดูแลตรวจการตั้งค่าและข้อยกเว้นได้ตามเอกสารการป้องกัน Teams ของ Microsoft ฟีเจอร์ใหม่นี้ต่างจากการป้องกัน QR code สำหรับผู้ส่งภายนอกที่เคยประกาศก่อนหน้า ซึ่งจะบังรูป QR code ไว้จนกว่าผู้ใช้เลือกเปิดดูเอง ส่วนความสามารถใหม่ของ Defender ประเมิน URL ที่ถอดออกมาหลังส่งข้อความ แล้วตอบสนองเมื่อพบเนื้อหาอันตราย การควบคุมทั้งสองจึงทำงานคนละขั้นของความเสี่ยงและใช้ร่วมกันได้

รูปแบบการโจมตี quishing และกลไกการตรวจ

ฟิชชิงผ่าน QR code หรือ quishing คือการฝังที่อยู่เว็บอันตรายไว้ในรูปภาพแทนลิงก์ข้อความปกติ ผู้โจมตีมักอ้างเหตุให้สแกน เช่น ยืนยันบัญชี เปิดดูเอกสาร หรือแก้ปัญหาทางเทคนิค แล้วพาเหยื่อไปหน้าล็อกอินปลอมเพื่อขโมยรหัสผ่าน จุดที่ทำให้ quishing ได้ผลคือระบบกรองที่ตรวจเฉพาะข้อความและลิงก์มักมองไม่เห็น URL ในรูป และผู้ใช้มักสแกนด้วยโทรศัพท์ส่วนตัวที่อยู่นอกการควบคุมขององค์กร Cyber Security News เคยรายงานแคมเปญ quishing บน Microsoft 365 ที่ปลอมเป็นข้อความจาก Microsoft หรือฝ่าย IT ให้ผู้ใช้สแกนด้วยมือถือ แล้วพาไปหน้าล็อกอินที่ลอกมา

การถอด URL ออกจากรูปทำให้ผู้ป้องกันประเมินปลายทางจริงได้ แทนที่จะพึ่งเนื้อความรอบ ๆ ซึ่งผู้โจมตีแต่งให้ดูน่าเชื่อได้ง่าย เมื่อ URL ถูกบันทึกลงตาราง MessageUrlInfo พร้อม UrlLocation เป็น QRCode นักวิเคราะห์ก็สามารถแยก URL ที่มาจาก QR code ออกจาก URL ที่เป็นข้อความปกติได้ในระหว่างสืบสวนเหตุ และเชื่อมกับเหตุการณ์อื่นใน Defender XDR เช่น การคลิกหรือการล็อกอินที่ตามมา

ผลกระทบ

สำหรับองค์กรที่ใช้ Teams กับ Defender for Office 365 การเปลี่ยนแปลงนี้ปิดจุดบอดที่ผู้โจมตีใช้มาตลอด คือการย้ายฟิชชิงจากอีเมลไปยังแอปแชตแล้วซ่อนลิงก์ไว้ในรูป ทีม SOC จะได้ข้อมูลล่าภัยใหม่โดยไม่ต้องลงทุนเพิ่ม แต่องค์กรที่ไม่มี Defender for Office 365 หรือไม่ได้เปิด ZAP for Teams จะได้ประโยชน์น้อยหรือไม่ได้เลย

ข้อจำกัดสำคัญคือเป็นการตรวจหลังส่งข้อความ ผู้ใช้อาจเห็นและสแกน QR code ก่อนระบบขึ้นคำเตือน และการตรวจอาศัยว่า URL ปลายทางถูกจัดว่าอันตรายแล้ว หน้าฟิชชิงที่เพิ่งตั้งหรือใช้เทคนิคกรองผู้เข้าชมอาจยังหลุดได้ การฝึกให้ผู้ใช้ตรวจคำขอที่ให้สแกน QR code ผ่านช่องทางที่เชื่อถือได้จึงยังจำเป็น

คำแนะนำ

  • ตรวจว่าองค์กรมี Defender for Office 365 Plan 1 หรือ Plan 2 และเปิด ZAP for Teams ไว้ พร้อมทบทวนการตั้งค่าการป้องกัน Teams และรายการข้อยกเว้นของ ZAP
  • แจ้งทีม SOC ให้รู้จักข้อมูลใหม่ใน Advanced Hunting และปรับขั้นตอนสืบสวนให้รวมการตรวจ QR code ตัวอย่างการค้นเบื้องต้น: MessageUrlInfo | where UrlLocation == "QRCode" แล้วเชื่อมกับข้อมูลข้อความหรือเหตุการณ์คลิกต่อ
  • เปิดการป้องกัน QR code สำหรับผู้ส่งภายนอกควบคู่กัน เพราะทำงานคนละขั้นกับการตรวจหลังส่ง
  • อบรมพนักงานว่าคำขอให้สแกน QR code เพื่อล็อกอิน ยืนยันบัญชี หรือแก้ปัญหาด่วน ควรตรวจกับผู้ส่งผ่านช่องทางอื่นก่อนเสมอ แม้มาจากบัญชีภายในองค์กร
  • ใช้ MFA ที่ต้านฟิชชิงได้ เช่น passkey หรือ FIDO2 เพื่อลดความเสียหายเมื่อผู้ใช้หลงกรอกรหัสผ่านในหน้าปลอม

แหล่งอ้างอิง