สรุปสั้น

บริษัท Microsoft เตรียมเพิ่มความสามารถตรวจจับฟิชชิงด้วย AI ใน Microsoft Teams โดยวิเคราะห์บริบทของบทสนทนา แทนที่จะดูแค่ลิงก์หรือไฟล์แนบอันตราย เป้าหมาย คือ จับการหลอกลวงทางวิศวกรรมสังคมที่ไม่มีองค์ประกอบอันตรายให้ตรวจจับแบบเดิมได้ ระบบเน้นที่แชตแรกกับผู้ติดต่อภายนอก ซึ่งเป็นจุดที่ผู้โจมตีมักปลอมเป็นเจ้าหน้าที่ฝ่ายสนับสนุนที่น่าเชื่อถือ แล้วขอให้พนักงานส่งข้อมูลสำคัญ ยืนยันรหัส หรืออนุญาตให้ควบคุมเครื่องจากระยะไกล

Microsoft ประกาศรายละเอียดผ่าน Message Center หมายเลข MC1519866 เมื่อวันที่ 21 ตุลาคม 2569 กลุ่ม Targeted Release จะเริ่มได้รับตั้งแต่ต้นถึงกลางเดือนพฤศจิกายน และเปิดใช้ทั่วไปทั่วโลกช่วงต้นถึงกลางเดือนธันวาคม ครอบคลุมแชตเดี่ยวและแชตกลุ่มกับผู้ติดต่อภายนอกรายใหม่บน Android, iOS, Mac, เดสก์ท็อป และเว็บ ผู้ดูแลระบบไม่ต้องตั้งค่าใหม่ แต่ในช่วงแรกระบบอาจทำงานแบบเงียบเพื่อตรวจคุณภาพก่อน ผู้ใช้จึงไม่ควรคาดว่าข้อความต้องสงสัยทุกข้อความจะมีคำเตือนขึ้นทันที

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 25 ตุลาคม 2569 ว่า Microsoft ระบุว่าความสามารถใหม่จะวิเคราะห์บริบทของบทสนทนาเพื่อระบุฟิชชิง การปลอมตัว วิศวกรรมสังคม และเจตนาหลอกลวง ตาม Microsoft 365 Roadmap รายการ 575288 ฟีเจอร์นี้ใช้กับคลาวด์มาตรฐานทั่วโลก (worldwide standard cloud)

ตัวอย่างที่ Microsoft แสดงประกอบประกาศเป็นบัญชีภายนอกชื่อ “MOD Administrator” ที่คุยเรื่องปัญหาสิทธิ์การใช้งาน ก่อนถามว่า “Can you share your credential first?” แล้ว Teams แสดงแถบแจ้งว่าข้อความนี้อาจเป็นความพยายามฟิชชิง ตัวอย่างนี้แสดงว่าความหมายของบทสนทนาเป็นสัญญาณอันตรายได้แม้ไม่มี URL อันตรายเลย

สำหรับผู้ใช้ส่วนใหญ่ การป้องกันจะจำกัดอยู่ที่แชตแรกกับผู้ติดต่อภายนอก ยกเว้นผู้ใช้ Teams บนมือถือในประเทศจีนที่อาจได้รับการป้องกันในบทสนทนาภายในองค์กรเดียวกันด้วย ตามรูปแบบการฉ้อโกงที่พบในภูมิภาคนั้น ซึ่งเป็นข้อยกเว้นเฉพาะ ไม่ใช่การสแกนแชตภายในทั้งหมด Microsoft ระบุว่าความสามารถนี้ใช้เพื่อความปลอดภัยเท่านั้น ไม่ใช้เพื่อโฆษณา เฝ้าติดตามพนักงาน วิเคราะห์ประสิทธิภาพการทำงาน หรือสรุปบทสนทนา และระบบตรวจจับไม่เก็บเนื้อหาข้อความของลูกค้าไว้ฝึกโมเดลหรือใช้งานอื่น แต่คำชี้แจงนี้ไม่ได้เปลี่ยนนโยบายการเก็บรักษาข้อมูลของ Teams ที่มีอยู่เดิม

วิธีการโจมตี

ฟีเจอร์นี้ออกมาเพื่อรับมือรูปแบบการโจมตีที่ใช้ Teams เป็นช่องทางหลักมาตลอดปี 2569 ผู้โจมตีสร้างบัญชี Microsoft 365 ของตัวเองหรือใช้ tenant ที่ถูกเจาะ แล้วส่งข้อความหรือโทรผ่าน Teams หาพนักงานโดยตรงจากภายนอกองค์กร โดยใช้ชื่อบัญชีอย่าง “Help Desk” หรือ “IT Support” สร้างความน่าเชื่อถือก่อน มักทำควบคู่กับการถล่มอีเมลขยะเพื่อสร้างปัญหาให้ “ช่วยแก้” จากนั้นอ้างว่าบัญชีมีปัญหาเร่งด่วน แล้วขอรหัสผ่าน รหัสยืนยัน หรือขอให้เปิด Quick Assist หรือติดตั้งเครื่องมือควบคุมระยะไกล

จุดที่ทำให้การโจมตีแบบนี้หลุดการตรวจจับเดิม คือ ข้อความไม่มีลิงก์หรือไฟล์อันตรายให้สแกน Cloud Thunder เคยรายงานแคมเปญลักษณะนี้หลายครั้ง เช่น การปลอมเป็นฝ่ายไอทีผ่าน Teams หลอกติดตั้ง EtherRAT, กลุ่ม STAC4749 ที่ยึดเครื่องด้วย Quick Assist/RemSupp และการปลอมหน้าอัปเดต Teams ติดตั้ง RMM สองตัวใน Operation BlueDash ฟีเจอร์ใหม่ของ Microsoft จึงเปลี่ยนจุดตรวจจากเนื้อหาที่ส่ง ไปเป็นเจตนาของบทสนทนา

ผลกระทบ

สำหรับองค์กรที่เปิดให้ผู้ติดต่อภายนอกส่งข้อความหา Teams ได้ ฟีเจอร์นี้เพิ่มชั้นป้องกันที่ตรงจุดกับเทคนิคปลอมเป็นฝ่ายไอทีซึ่งกลุ่มแรนซัมแวร์และนายหน้าขายสิทธิ์เข้าถึงใช้เป็นทางเข้าหลัก และเปิดให้อัตโนมัติโดยไม่ต้องตั้งค่า

แต่ข้อจำกัดก็ชัดเจน การป้องกันครอบคลุมเฉพาะแชตแรกกับผู้ติดต่อภายนอก ไม่ครอบคลุมบัญชีภายในที่ถูกยึด หรือการโทรด้วยเสียงที่ไม่มีข้อความให้วิเคราะห์ ช่วงแรกระบบอาจตรวจแบบเงียบโดยไม่แสดงคำเตือน และผู้โจมตีอาจปรับบทสนทนาให้หลบโมเดล การไม่เห็นคำเตือนจึงไม่ใช่หลักฐานว่าปลอดภัย และองค์กรยังต้องพึ่งการควบคุมฝั่งผู้ดูแลระบบและการฝึกพนักงานต่อไป

คำแนะนำ

  • ทบทวนนโยบาย External Access ของ Teams จำกัดการสื่อสารกับ tenant ภายนอกเฉพาะโดเมนพันธมิตรที่อนุญาต (allowlist) ถ้าธุรกิจไม่จำเป็นต้องเปิดกว้าง
  • กำหนดและสื่อสารช่องทางติดต่อฝ่ายไอทีที่ถูกต้องให้พนักงานรู้ และย้ำว่าฝ่ายไอทีจะไม่ขอรหัสผ่านหรือรหัสยืนยันผ่านแชต
  • ฝึกพนักงานให้ยืนยันตัวตนผู้ส่งผ่านช่องทางที่เชื่อถือได้เมื่อเห็นคำเตือน บล็อกและรายงานฟิชชิงที่ยืนยันแล้ว และรายงานคำเตือนที่ผิดเป็น “not a concern”
  • จำกัดหรือปิด Quick Assist และเครื่องมือควบคุมระยะไกลที่องค์กรไม่ได้ใช้ และเฝ้าระวังการติดตั้ง RMM ที่ไม่ได้รับอนุญาต
  • เฝ้าระวังล็อกของ Teams หาแชตจากผู้ติดต่อภายนอกรายใหม่ที่ใช้ชื่อเกี่ยวกับไอทีหรือ help desk โดยเฉพาะเมื่อเกิดหลังเหตุอีเมลขยะจำนวนมาก
  • ติดตามประกาศ MC1519866 และ Roadmap 575288 เพื่อเช็กกำหนดการเปิดใช้ใน tenant ของตัวเอง

แหล่งอ้างอิง