เครือข่ายฟิชชิงภาษาจีนใช้ชุดเครื่องมือ CoGUI, CoAceV และ CoFish_Ws กว่า 17,000 โดเมน ปลอมแบรนด์ธนาคารและบริการชำระเงินญี่ปุ่น — Microsoft ยื่นฟ้องและยึดโดเมน

สรุปสั้น

บริษัท Proofpoint เปิดเผยรายละเอียดปฏิบัติการฟิชชิงภาษาจีนขนาดใหญ่ที่ใช้โดเมนราว 17,000 โดเมน ปลอมเป็นธนาคาร บริการชำระเงิน ร้านค้า และแบรนด์ที่คนรู้จัก โดยมีญี่ปุ่นเป็นเป้าหมายหลัก ปฏิบัติการนี้ใช้ชุดเครื่องมือฟิชชิง 3 ตัวที่เกี่ยวข้องกัน คือ CoGUI, CoAceV และ CoFish_Ws ส่งอีเมลหลอกลวงและพาเหยื่อไปยังหน้าล็อกอินหรือหน้าชำระเงินปลอม Proofpoint ประเมินด้วยความมั่นใจสูงว่าทั้งสามมีรากเดียวกันและใช้โดยกลุ่มพันธมิตรที่ทับซ้อนกัน แคมเปญปลอมแบรนด์ไปแล้ว 66 แบรนด์ ส่วนใหญ่เป็นของญี่ปุ่น เช่น PayPay, MyJCB, Rakuten, SMBC, Aeon Card และ Yamato Transport

การเปิดเผยครั้งนี้มาพร้อมปฏิบัติการตัดตอนเครือข่าย บริษัท Microsoft และ Health-ISAC ยื่นฟ้องทางแพ่งต่อบุคคลที่เกี่ยวข้อง และยึดหรือเปลี่ยนเส้นทางโดเมนที่เชื่อมกับ YAM Store, CoGUI และ Iron Man โดยมีพันธมิตรทั้งภาครัฐและเอกชนร่วมด้วย ได้แก่ Proofpoint, Japan Cybercrime Control Center, Resecurity, Cloudflare, Oracle และ TRM Labs ข้อมูลของ Microsoft ที่ Proofpoint อ้างระบุว่า YAM Store, CoGUI และ Iron Man ช่วยให้มีการส่งข้อความอันตรายกว่า 1,000 ล้านฉบับถึงองค์กรกว่า 75,000 แห่งทั่วโลกตั้งแต่มกราคม 2569 อย่างไรก็ตาม การตัดตอนครั้งนี้ไม่ได้พิสูจน์ว่าทุกโดเมนหรือทุกแคมเปญหยุดแล้ว

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 16 ตุลาคม 2569 อ้างรายงานของ Proofpoint ซึ่งพบกิจกรรมของ CoGUI ครั้งแรกช่วงปลายปี 2567 แล้วติดตามชุดเครื่องมือที่เกี่ยวข้องอีก 2 ตัวในภายหลัง Proofpoint นับได้ว่า CoGUI ใช้ 13,586 โดเมนใน 1,081 แคมเปญ CoAceV ใช้ 2,812 โดเมนใน 242 แคมเปญ และ CoFish_Ws ใช้ 191 โดเมนใน 19 แคมเปญ เฉพาะช่วง 1 กรกฎาคม ถึง 17 กันยายน 2569 Proofpoint พบชื่อโฮสต์เต็ม (FQDN) ที่ไม่ซ้ำกันถึง 3,788 รายการ สะท้อนการหมุนเวียนโครงสร้างพื้นฐานอย่างรวดเร็ว

แบรนด์ที่ถูกปลอมนอกจากของญี่ปุ่นแล้วยังรวมถึง Matsui Securities, UC Card, Amazon, Apple และ DHL กิจกรรมส่วนใหญ่กระทบญี่ปุ่น แต่ Proofpoint ก็พบแคมเปญที่แตะสหรัฐอเมริกา ออสเตรเลีย และอิตาลี ภาคที่ได้รับผลกระทบบ่อยที่สุดในข้อมูลคือบริการทางการเงินและสาธารณสุข ตามด้วยภาครัฐ การศึกษา และการผลิต

Proofpoint คาดว่าการตัดตอนครั้งนี้จะสร้างปัญหาเชิงปฏิบัติการให้ผู้ให้บริการชุดเครื่องมือ และกระทบระบบนิเวศฟิชชิงภาษาจีนในวงกว้าง แต่ผลลัพธ์ระยะยาวขึ้นกับว่ากลุ่มเหล่านี้จะสร้างโครงสร้างพื้นฐานใหม่ ปรับชุดเครื่องมือ หรือย้ายไปใช้บริการอื่นหรือไม่

วิธีการโจมตี

อีเมลใช้ธีมที่ชวนให้กดทันที เช่น อัปเดตบัญชีธนาคาร รายละเอียดการชำระเงิน บัตรเครดิต คำสั่งซื้อ และการจัดส่งพัสดุ ลิงก์ในอีเมลจะพาผ่านขั้นตอนกรองหลายชั้น รวมถึงการตรวจ CAPTCHA ก่อนเปิดหน้าที่ลอกแบบหน้าล็อกอินหรือหน้าชำระเงินของบริษัทที่น่าเชื่อถือ แล้วขอให้เหยื่อกรอกข้อมูลบัญชีและข้อมูลบัตร

เพื่อหลบการวิเคราะห์ CoGUI และ CoAceV จะส่งผู้เข้าชมไปยังเว็บล่อที่ไม่เกี่ยวข้อง หากเงื่อนไขการเข้าชมไม่ตรงกับที่ผู้ให้บริการคาดไว้ เช่น ตำแหน่งที่ตั้งหรือลักษณะเบราว์เซอร์ ทำให้เครื่องมือสแกนอัตโนมัติมองไม่เห็นหน้าฟิชชิงจริง ประกอบกับการหมุนโดเมนหลายพันโดเมน การบล็อกด้วยรายการ URL ตายตัวจึงตามไม่ทัน

ผลกระทบ

ขนาดของเครือข่ายนี้สะท้อนว่าฟิชชิงได้กลายเป็นบริการสำเร็จรูป (phishing-as-a-service) ที่พันธมิตรจำนวนมากเช่าใช้ได้ ผู้ใช้บริการทางการเงินเสี่ยงเสียทั้งข้อมูลล็อกอิน ข้อมูลบัตร และข้อมูลส่วนบุคคล ขณะที่ธนาคารและผู้ให้บริการชำระเงินต้องรับภาระการฉ้อโกง การคืนเงิน และความเชื่อมั่นของลูกค้าที่ลดลง การที่ภาคสาธารณสุขอยู่ในอันดับต้นของข้อมูลยังเป็นเหตุผลที่ Health-ISAC เข้าร่วมการฟ้องร้อง

ปฏิบัติการตัดตอนเป็นสัญญาณบวกของความร่วมมือข้ามภาคส่วน แต่ประวัติของเครือข่ายลักษณะนี้แสดงว่ามักฟื้นตัวได้เร็วด้วยโดเมนและโครงสร้างใหม่ ฝ่ายป้องกันจึงไม่ควรลดความระมัดระวังลง

คำแนะนำ

• องค์กรการเงินควรเฝ้าระวังโดเมนที่จดใหม่ซึ่งเลียนชื่อแบรนด์ของตัวเอง และประสานผู้ให้บริการเพื่อปิดโดเมนอย่างรวดเร็ว
• บังคับใช้ MFA ที่ต้านฟิชชิง (passkey/FIDO2) สำหรับบริการออนไลน์ และเฝ้าระวังการล็อกอินหรือการเปลี่ยนข้อมูลบัญชีลูกค้าที่ผิดปกติ
• ตรวจลิงก์ที่ผู้ใช้รายงานว่าเป็นฟิชชิงอย่างรวดเร็ว และแบ่งปัน IoC ที่ยืนยันแล้วกับพันธมิตรและ ISAC ในภาคส่วน
• ใช้การกรองอีเมลและเว็บที่วิเคราะห์ปลายทางแบบไดนามิก ไม่พึ่งรายการ URL ตายตัว
• ผู้ใช้ทั่วไปไม่ควรล็อกอินผ่านลิงก์ในข้อความที่ไม่ได้คาดหมาย ให้เปิดแอปทางการของธนาคารหรือพิมพ์ที่อยู่เว็บไซต์เอง

Indicators of Compromise (IoCs)

หมายเหตุ: URL ผ่านการ defang แล้ว (hxxps, [.]) ให้แปลงกลับเฉพาะในแพลตฟอร์มที่ควบคุมได้

แหล่งอ้างอิง

• Chinese Phishing Network Uses 17,000 Domains to Target Japanese Banks and Steal Credentials — Cyber Security News
• Disruption Targets Major Chinese-Language Phishing Kits with Japanese Focus — Proofpoint