สรุปสั้น

ฟิชชิงที่อาศัยกระแส AI เป็นเหยื่อล่อกลายเป็นเรื่องปกติไปแล้ว แต่แคมเปญล่าสุดที่บริษัท Cofense เปิดเผยน่าสนใจตรงที่ฝีมือหยาบมาก แต่ยังหลุดผ่านระบบกรองอีเมลชั้นนำได้ ผู้โจมตีที่ยังไม่ทราบตัวตนส่งอีเมลไปทั่วโลกมาตั้งแต่เดือนกันยายน 2569 อ้างว่าเชิญผู้รับเข้าร่วม “private preview” เครื่องมือโซเชียลมีเดีย AI ตัวใหม่ของบริษัท Anthropic เมื่อเหยื่อคลิกลิงก์ลงทะเบียนจะถูกพาไปหน้า Zoom ปลอมที่ให้ล็อกอินด้วยบัญชี Google หรือ Microsoft เป้าหมาย คือ ขโมยบัญชีเหล่านั้น

อีเมลมีจุดผิดสังเกตเต็มไปหมด ทั้งชื่อผู้ส่งสะกดผิดเป็น “Austin from nthropic” หัวเรื่องผิดไวยากรณ์ และไม่มีแบรนด์ของ Anthropic เลย แต่ Cofense พบว่ายังผ่าน Proofpoint Secure Email Gateway (SEG) และ Microsoft Defender for Office 365 เข้าถึงกล่องจดหมายได้ เหตุผลหลัก คือ อีเมลถูกส่งจากที่อยู่จริงของบริการ GoTo Webinar ลิงก์ถูกย่อผ่าน Zapier และมี CAPTCHA 2 ชั้นคอยกันเครื่องสแกนอัตโนมัติ ทีมความปลอดภัยจึงควรตั้งสมมติฐานว่าฟิชชิงจะหลุดถึงมือพนักงานเสมอ และวางชั้นป้องกันที่ตัวตนผู้ใช้ เช่น MFA แบบต้านฟิชชิง

รายละเอียดข่าว

เว็บไซต์ Dark Reading รายงานเมื่อวันที่ 29 ตุลาคม 2569 ว่า Cofense เผยแพร่บล็อกวิเคราะห์แคมเปญฟิชชิงธีม Anthropic ที่เริ่มตั้งแต่เดือนกันยายน อีเมลเน้นว่าคำเชิญนี้ “ส่วนตัวและเฉพาะผู้ได้รับเชิญเท่านั้น” เพื่อกระตุ้นให้รีบคลิก ลิงก์ลงทะเบียนไม่ได้ชี้ไปโดเมนของ Anthropic หรือของบริการประชุมออนไลน์ใดเลย และพาเหยื่อจากคำเชิญ GoTo Webinar ไปหน้า Zoom ปลอม ซึ่งเป็นความไม่สอดคล้องที่ผู้ใช้ช่างสังเกตจะจับได้

ไทม์ไลน์ของแคมเปญเปลี่ยนไปเล็กน้อยเมื่อวันที่ 28 ตุลาคม 2569 ผู้โจมตีเริ่มทำหน้าเว็บ Anthropic ปลอมแทนหน้า Zoom นาย Jacob Malimban นักวิจัยของ Cofense ระบุว่ายืนยันไม่ได้ว่าแคมเปญนี้ใช้ AI สร้าง แต่หน้า Zoom ปลอมมีหลายแบบที่ไม่เหมือนกัน และหน้า Anthropic ปลอมก็มีรูปแบบคล้ายแต่เพี้ยน จึงประเมินว่าน่าจะใช้ generative AI ช่วยสร้าง

ขั้นตอนขโมยรหัสผ่านเองก็ไม่สมบูรณ์ หากเหยื่อเลือกล็อกอินด้วย Google หน้าปลอมจะไม่ถามรหัสผ่านเลย ทำให้ครึ่งหนึ่งของแคมเปญไม่ได้อะไรกลับไป Cofense ระบุว่าการแอบอ้างแบรนด์ที่ไม่สม่ำเสมอและขั้นตอนขโมยข้อมูลที่ขาดตกแบบนี้พบบ่อยในแคมเปญที่สร้างด้วย AI ด้านนาย Shane Barney CISO ของบริษัท Keeper Security ให้ความเห็นว่า SEG จะมีจุดบอดเสมอ องค์กรจึงต้องวางการป้องกันที่ตัวตนผู้ใช้ ข้อจำกัดของหลักฐาน คือ รายงานไม่ได้ระบุจำนวนเหยื่อหรือจำนวนบัญชีที่ถูกขโมยจริง

วิธีการโจมตี

ส่งจากที่อยู่อีเมลที่ระบบไว้ใจ — อีเมลทั้งหมดส่งจาก customercare@gotowebinar[.]com ซึ่งเป็นที่อยู่ผู้ส่งที่ผู้ใช้ GoTo Webinar ทุกรายใช้ร่วมกันในการส่งคำเชิญสัมมนา (defang แล้ว) ที่อยู่นี้ถูกต้องและพบบ่อยในอีเมลธุรกิจ ระบบกรองจึงไม่ค่อยสงสัย ผู้โจมตีเพียงสมัครใช้บริการแล้วสร้างคำเชิญปลอมผ่านระบบจริง

ซ่อนโดเมนจริงด้วยตัวย่อลิงก์ — ลิงก์ลงทะเบียนถูกย่อผ่านบริการของ Zapier ทำให้ระบบกรองอีเมลวิเคราะห์ไม่ได้ว่าปลายทางเป็นโดเมนน่าสงสัยหรือไม่

CAPTCHA 2 ชั้นกันเครื่องสแกน — ชั้นแรกเป็น CAPTCHA ของ Cloudflare ที่วางไว้ก่อนหน้า Zoom หรือ Anthropic ปลอม เพื่อหยุดเครื่องสแกนลิงก์อัตโนมัติไม่ให้เห็นหน้าฟิชชิง ชั้นที่สองวางไว้ระหว่างหน้า Zoom ปลอมกับหน้า SSO ปลอม ทำหน้าที่ตรวจว่าผู้เข้าชมใช้ VPN, Tor หรือพร็อกซีหรือไม่ เพื่อกันนักวิเคราะห์ความปลอดภัยออกไป นาย Malimban ระบุว่า CAPTCHA ลักษณะนี้เคยพบในชุดเครื่องมือฟิชชิงมาก่อน และดูเหมือนถูกพัฒนาต่อเนื่องเพื่อตรวจจับเครื่องมือของทั้งระบบอัตโนมัติและคน

หลอกล็อกอินผ่าน SSO — หน้า Zoom ปลอมเสนอให้เข้าร่วมด้วยการล็อกอิน Google หรือ Microsoft แบบ single sign-on (SSO การใช้บัญชีเดียวล็อกอินหลายบริการ) แล้วเก็บข้อมูลที่เหยื่อกรอก เมื่อได้บัญชี Microsoft หรือ Google ไป ผู้โจมตีอาจเข้าถึงอีเมล ไฟล์ และบริการคลาวด์อื่นที่ผูกกับบัญชีเดียวกัน

ผลกระทบ

กลุ่มที่เสี่ยงโดยตรง คือ พนักงานที่สนใจเครื่องมือ AI ใหม่และใช้บัญชี Google Workspace หรือ Microsoft 365 ขององค์กร เหยื่อที่หลงกรอกรหัสผ่านอาจถูกยึดบัญชีอีเมลและเอกสารบนคลาวด์ ซึ่งต่อยอดไปสู่การส่งฟิชชิงภายในองค์กรหรือการหลอกโอนเงินได้

ประเด็นที่ใหญ่กว่าตัวแคมเปญ คือ ฟิชชิงคุณภาพต่ำยังเจาะ SEG ระดับตลาดได้ หากใช้ช่องทางส่งที่ถูกต้องตามกฎหมายร่วมกับเทคนิคกันเครื่องสแกนพื้นฐาน องค์กรที่พึ่งตัวกรองอีเมลเป็นด่านเดียวจึงประเมินความเสี่ยงต่ำเกินจริง และเมื่อ AI ทำให้สร้างหน้าเว็บปลอมได้หลายแบบในเวลาสั้น แคมเปญลักษณะนี้มีแนวโน้มเพิ่มขึ้น

คำแนะนำ

  • เปิดใช้ MFA แบบต้านฟิชชิง (passkey หรือ FIDO2) สำหรับบัญชี Microsoft 365 และ Google Workspace เพราะรหัสผ่านที่ถูกขโมยจากหน้า SSO ปลอมจะใช้ล็อกอินต่อไม่ได้
  • ตรวจกล่องจดหมายย้อนหลังหาอีเมลจาก customercare@gotowebinar[.]com ที่พูดถึง Anthropic, “private preview” หรือ “invitation-only” แล้วลบออกและแจ้งผู้รับ
  • ตรวจล็อกการล็อกอิน Entra ID และ Google Workspace หาการล็อกอินจาก IP หรือประเทศแปลกใหม่ในช่วงกันยายน-ตุลาคม 2569 และรีเซ็ตรหัสผ่านกับเพิกถอนเซสชันของบัญชีที่น่าสงสัย
  • พิจารณาตั้งกฎกักหรือเตือนอีเมลจากบริการส่งคำเชิญสัมมนาที่มีลิงก์ย่อ แทนการปล่อยผ่านเพราะผู้ส่งดูถูกต้อง
  • ใช้ตัวจัดการรหัสผ่านที่ตรวจโดเมนก่อนกรอกอัตโนมัติ ซึ่งจะไม่กรอกรหัสผ่านลงหน้า Zoom หรือ Anthropic ปลอม
  • ทำช่องทางรายงานฟิชชิงให้พนักงานใช้ง่าย และเฝ้าระวังบัญชีอย่างต่อเนื่อง เช่น ใช้เครื่องมือ Logging Made Easy ของ CISA ตามที่ Cofense แนะนำ

แหล่งอ้างอิง