สรุปสั้น
บริษัท Microsoft ร่วมกับ Health-ISAC ศูนย์ควบคุมอาชญากรรมไซเบอร์ของญี่ปุ่น (Japan Cybercrime Control Center หรือ JC3) และกลุ่มบริษัทเอกชน ได้แก่ บริษัท Resecurity, Cloudflare, Oracle, Proofpoint และ TRM Labs ประกาศเมื่อวันที่ 14 ตุลาคม 2569 ว่าได้ทลายชุดฟิชชิงสำเร็จรูป (phishing kit) ภาษาจีน 3 ตัว คือ CoGUI (หรือ NX/FA), Haozi (หรือ Phoenix) และ Iron Man System ผ่านปฏิบัติการที่ได้รับอนุญาตจากศาล ทีม Microsoft Threat Intelligence และ Digital Crimes Unit ระบุว่าตั้งแต่เดือนมกราคม 2569 ผู้อยู่เบื้องหลังชุดเหล่านี้ช่วยส่งอีเมลและ SMS ฟิชชิงไปแล้วกว่า 1 พันล้านข้อความ ถึงองค์กรกว่า 75,000 แห่งทั่วโลก ส่วน Health-ISAC ระบุว่าข้อความเหล่านี้เล็งผู้บริโภค สถานพยาบาล สถาบันการเงิน และธุรกิจอื่นในกว่า 150 ประเทศ ทำเงินให้ผู้ให้บริการหลายสิบล้านดอลลาร์
หัวใจของระบบนิเวศนี้ คือ ตลาดมืดและนายหน้าขายสิทธิ์เข้าถึงระบบ (initial access broker) ชื่อ YAM Store ซึ่ง Microsoft ติดตามในชื่อ Storm-3119 ตลาดนี้ยึดเทแนนต์ Microsoft หรือ Google ที่หมดอายุหรือได้มาโดยฉ้อฉล แล้วขาย SharePoint และ OneDrive ของเทแนนต์เหล่านั้นเป็นพื้นที่โฮสต์หน้าฟิชชิงให้อาชญากรรายอื่น ส่วนผู้พัฒนาชุดฟิชชิงทั้ง 3 ตัว Microsoft ติดตามในชื่อ Storm-2990 และพบว่าทั้ง 3 ตัวมีความสามารถและโครงสร้างพื้นฐานทับซ้อนกัน ปฏิบัติการครั้งนี้เกิดขึ้นไม่ถึงเดือนหลังจาก Microsoft ทลายบริการฟิชชิง EvilTokens (โพสต์ 2026/09/159 )
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 14 ตุลาคม 2569 ว่าปฏิบัติการนี้เป็นผลจากการสืบสวนที่ Microsoft เริ่มตั้งแต่ปลายปี 2568 หลังได้รับแจ้งเรื่องแคมเปญข้อความหลอกลวงที่เล็งคนในญี่ปุ่น การสืบสวนพาไปสู่เครือข่ายที่เชื่อมโยงกันระหว่างผู้ให้บริการชุดฟิชชิง ผู้พัฒนา และตลาดมืด YAM Store ที่ขายเครื่องมือและโครงสร้างพื้นฐานสำหรับฟิชชิงขนาดใหญ่ ผู้ซื้อนำชุดฟิชชิงพร้อมสิทธิ์เข้าถึงสภาพแวดล้อมคลาวด์ของ Microsoft หรือ Google ไปโจมตีองค์กรในภาคสาธารณสุข บริการทางการเงิน การค้าส่ง และไอที โดยเฉพาะในญี่ปุ่น สหรัฐฯ ออสเตรเลีย และอินเดีย
Microsoft ระบุว่าชุดฟิชชิงเหล่านี้โฆษณาผ่าน YAM Store โดยเริ่มจาก CoGUI และ Haozi ก่อน แล้วตามด้วย Iron Man System ตั้งแต่เดือนมิถุนายน 2569 การชำระเงินรับเป็นคริปโต เช่น USDT และ Ethereum เพื่อปกปิดเส้นทางการเงินอีกชั้น ตามข้อมูลของบริษัท TRM Labs ช่วงกลางปี 2569 CoGUI เริ่มถูก Iron Man System เข้ามาแทนที่มากขึ้นเรื่อย ๆ
บริษัท Proofpoint ซึ่งเคยรายงาน CoGUI ไว้ตั้งแต่เดือนพฤษภาคม 2568 ระบุว่าชุดนี้ถูกใช้โจมตีจริงมาตั้งแต่อย่างน้อยเดือนตุลาคม 2567 โดยปลอมเป็นแบรนด์ผู้บริโภคและการเงินที่คนญี่ปุ่นรู้จัก เช่น Amazon, PayPay, MyJCB, Apple, Orico และ Rakuten และยังแตกสายพันธุ์ใกล้เคียงอีก 2 ตัวชื่อ CoAceV และ CoFish_Ws ทั้ง 3 ชุดใช้โดเมนไม่ซ้ำกันรวมราว 17,000 โดเมน
นาย Steven Masada รองที่ปรึกษากฎหมายและผู้จัดการทั่วไปของ Digital Crimes Unit ของ Microsoft ระบุว่า “สิ่งที่เริ่มจากการหลอกลวงคนและองค์กรในญี่ปุ่น พาผู้สืบสวนไปเจอเศรษฐกิจบริการใต้ดินที่ป้อนอาชญากรทั่วโลก YAM Store, CoGUI และ Iron Man เป็นเพียงส่วนหนึ่งของเครือข่ายที่ใหญ่กว่านั้น แต่การทลายพวกมันทำให้อาชญากรหาบัญชี เครื่องมือ และโครงสร้างพื้นฐานได้ยากขึ้น ข้อความหลอกลวงมักเป็นส่วนเดียวที่เหยื่อเห็น แต่ธุรกิจเบื้องหลังคือสิ่งที่ทำให้มันเกิดขึ้นได้”
วิธีการโจมตี
ตลาด YAM Store (Storm-3119) ยึดเทแนนต์คลาวด์มาขาย — Microsoft สรุปวิธีการทำงานของ Storm-3119 ไว้ดังนี้
- ใช้ระบบอัตโนมัติหาชื่อสภาพแวดล้อมหรือองค์กรที่หมดอายุ ทำโปรไฟล์องค์กรที่ใช้คลาวด์ และค้นหาเทแนนต์ Microsoft 365 โดยทำการสำรวจแบบไม่ระบุตัวตนผ่านเครือข่าย Tor
- ยึดสภาพแวดล้อมที่ใช้งานได้ แล้วจัดการผ่านแผงควบคุมแบบ app-only ที่เขียนด้วย PHP, Java/Spring และ Cloudflare Workers
- ฝังตัวในเทแนนต์ที่ยึดได้ มอบสิทธิ์ Microsoft Graph แบบกว้างและสิทธิ์เต็มบน SharePoint API ให้ตัวเอง แล้วใช้ SharePoint และ OneDrive ของเทแนนต์นั้นเป็นที่โฮสต์ขนาดใหญ่ จนพื้นที่เก็บข้อมูลที่ยึดมากลายเป็นสินค้าพร้อมขาย
- ดูแลโครงสร้างพื้นฐานเฉพาะเพื่อสนับสนุนปฏิบัติการฟิชชิงแทนลูกค้า และขายต่อบัญชี ไลเซนส์ และพื้นที่เก็บข้อมูลที่ยึดมาผ่านหน้าร้านอัตโนมัติ
ชุดฟิชชิงของ Storm-2990 — Iron Man System มีเทมเพลตฟิชชิงมากกว่า 2,335 แบบ ปลอมเป็นแบรนด์และองค์กรที่น่าเชื่อถือใน 139 ประเทศ ครอบคลุมภาครัฐ การเงิน และโลจิสติกส์ และจำกัดให้เฉพาะผู้ใช้จากประเทศที่กำหนดเท่านั้นที่เห็นหน้าฟิชชิง บริษัท Resecurity ซึ่งซื้อไลเซนส์มาติดตั้งในแล็บแยก นับได้ 2,360 แพ็กเกจเหยื่อล่อ ปลอมเป็นแบรนด์ไปรษณีย์ ภาษี ธนาคาร โทรคมนาคม และโปรแกรมสะสมแต้มใน 130 ประเทศและภูมิภาค (ตัวเลขต่างจากของ Microsoft เล็กน้อย เพราะนับคนละวิธี) Resecurity ยังพบเซิร์ฟเวอร์ Git และ container registry ที่ผู้พัฒนาโฮสต์เอง ซึ่งเก็บบิลด์ของแผงแอดมินไว้ 911 บิลด์ ตั้งแต่ตุลาคม 2568 ถึงมิถุนายน 2569
เทคนิคหลบการตรวจจับ — ชุดฟิชชิงใช้หน้า CAPTCHA ปลอมกรองเซสชันเบราว์เซอร์อัตโนมัติ ใช้ block list และ allow list ตาม IP และแจ้งเตือนผู้ควบคุมผ่าน Telegram เมื่อเหยื่อทำตามเหยื่อล่อ ข้อมูลที่เหยื่อกรอกบนหน้าฟิชชิงถูกส่งผ่าน WebSocket ให้ผู้ควบคุมเห็นแบบเรียลไทม์และเลือกได้ว่าจะให้เหยื่อเห็นหน้าอะไรต่อ ข้อมูลการเงินที่ขโมยได้ถูกส่งต่อให้ผู้กระทำผิดรายอื่นนำไปซื้อสินค้าราคาสูงหรือทำธุรกรรมฉ้อโกงบนแพลตฟอร์มการเงินที่ถูกกฎหมาย
จุดอ่อนที่เป็นประโยชน์ต่อฝ่ายป้องกัน — Resecurity พบว่า Iron Man System ต้องติดต่อเซิร์ฟเวอร์ไลเซนส์ของผู้ขายเป็นประจำจึงจะทำงานได้ ซึ่ง Resecurity มองว่า “เป็นการพึ่งพาที่เข้าทางฝ่ายป้องกัน เพราะการปิดหรือ sinkhole โฮสต์ที่ใช้ยืนยันสิทธิ์จะทำให้ทุกระบบที่ติดตั้งอยู่ใช้งานไม่ได้ ไม่ใช่แค่ระบบที่กำลังสอบสวน”
ผลกระทบ
ปฏิบัติการนี้เล็งที่ชั้นบริการเบื้องหลังมากกว่าผู้ส่งข้อความรายย่อย เมื่อ YAM Store ขายทั้งชุดฟิชชิงและพื้นที่โฮสต์บนเทแนนต์ Microsoft 365 ที่ดูถูกกฎหมาย หน้าฟิชชิงจึงอยู่บนโดเมน SharePoint/OneDrive ที่ระบบกรองอีเมลและผู้ใช้มักเชื่อถือ ทำให้ตรวจจับด้วยชื่อเสียงของโดเมนได้ยาก และองค์กรที่ปล่อยเทแนนต์หรือชื่อองค์กรเก่าทิ้งไว้ก็อาจกลายเป็นวัตถุดิบให้ตลาดนี้โดยไม่รู้ตัว
อย่างไรก็ตาม ข้อมูลที่เปิดเผยยังมีข้อจำกัด ประกาศไม่ได้ระบุว่ายึดโดเมนหรือโครงสร้างพื้นฐานไปจำนวนเท่าใด ไม่ได้บอกว่ามีการจับกุมผู้พัฒนาหรือไม่ ตัวเลข 1 พันล้านข้อความและรายได้หลายสิบล้านดอลลาร์มาจาก Microsoft และ Health-ISAC ซึ่งเป็นผู้ร่วมปฏิบัติการเอง และนาย Masada ยอมรับเองว่าเป็นเพียงส่วนหนึ่งของเครือข่ายที่ใหญ่กว่า ผู้ให้บริการชุดฟิชชิงประเภทนี้จึงอาจกลับมาในชื่อใหม่ได้ในเวลาไม่นาน เหมือนที่ Iron Man System เคยเข้ามาแทน CoGUI
คำแนะนำ
- ตรวจสอบและปิดเทแนนต์ Microsoft 365/Google Workspace ที่ไม่ใช้แล้ว รวมถึงโดเมนที่ผูกกับเทแนนต์ อย่าปล่อยให้หมดอายุโดยไม่ได้ลบหรือโอนความเป็นเจ้าของอย่างถูกต้อง
- ตรวจ app registration และ service principal ในเทแนนต์ หาแอปแบบ app-only ที่ได้สิทธิ์ Microsoft Graph กว้างผิดปกติ หรือสิทธิ์เต็มบน SharePoint (เช่น
Sites.FullControl.All) ที่ไม่มีเจ้าของชัดเจน - เฝ้าระวังการใช้ SharePoint/OneDrive เป็นที่โฮสต์ไฟล์จำนวนมากผิดปกติ และการเข้าถึงที่มาจาก Tor
- อย่าเชื่อลิงก์เพียงเพราะชี้ไปที่โดเมน
sharepoint.comหรือonedrive.live.comให้ระบบกรองอีเมลตรวจเนื้อหาปลายทางด้วย ไม่ใช่ดูแค่ชื่อเสียงของโดเมน - อบรมผู้ใช้ให้ระวัง SMS และอีเมลที่อ้างเป็นไปรษณีย์ ภาษี ธนาคาร โทรคมนาคม และโปรแกรมสะสมแต้ม และเปิดใช้ MFA แบบต้านฟิชชิงสำหรับบัญชีสำคัญ
- ทีม threat intel ที่ติดตาม PhaaS ควรติดตามรายงานของ Microsoft, Proofpoint และ Resecurity เพื่อนำสัญญาณของ Storm-3119 และ Storm-2990 มาใช้ล่าภัยต่อ
แหล่งอ้างอิง
- Microsoft Disrupts 3 Phishing Kits Linked to Over 1 Billion Scam Messages — The Hacker News
- The hidden network inside the phishing infrastructure ecosystem powering global cybercrime — Microsoft Security Blog
- Disrupting the service economy behind transnational cybercrime operations — Microsoft On the Issues
- Disrupting the service economy behind transnational cybercrime operations — Health-ISAC
- Disruption targets major Chinese-language phishing kits with Japanese focus — Proofpoint
- Iron Man & YAMStore: Powering a global phishing-as-a-service ecosystem — Resecurity
- TRM supports takedown of Chinese-language cybercrime ecosystem — TRM Labs
- JC3 ประกาศ 14 ต.ค. 2569 — Japan Cybercrime Control Center