สรุปสั้น

การปิดเว็บฟิชชิง (takedown) คือ กระบวนการที่ธนาคารหรือผู้ให้บริการด้านความปลอดภัยรายงานเว็บปลอมไปยังผู้ให้บริการโฮสติ้งหรือผู้จดโดเมน แล้วตรวจซ้ำเพื่อยืนยันว่าเว็บล่มแล้ว บริษัท KELA รายงานแคมเปญฟิชชิงที่ออกแบบมาเพื่อหลอกขั้นตอนตรวจซ้ำนี้โดยเฉพาะ แคมเปญเริ่มตั้งแต่พฤษภาคม 2569 ใช้โดเมนปลอมกว่า 300 โดเมน ในจำนวนนี้ 248 โดเมนเลียนแบบสถาบันการเงินสหรัฐฯ 189 แห่ง ส่วนใหญ่เป็นธนาคารภูมิภาคขนาดกลาง และเน้นขโมยล็อกอินบัญชีธุรกิจและระบบบริหารเงิน (treasury) มากกว่าบัญชีส่วนบุคคล กลไกหลัก คือ ชุดฟิชชิงจำ IP ของผู้เข้าชมทุกคน ครั้งแรกจะเห็นหน้าล็อกอินพร้อมโลโก้ธนาคาร แต่ถ้ากลับมาจาก IP เดิมจะเห็นหน้า “บัญชีนี้ถูกระงับ” ที่เลียนแบบหน้าของผู้ให้บริการโฮสติ้ง KELA จึงเรียกกลุ่มนี้ว่าโครงสร้าง “Suspended”

เหยื่อมักกดลิงก์ครั้งเดียว แต่ทีมความปลอดภัยและผู้ให้บริการปิดเว็บมักตรวจซ้ำ การตรวจครั้งที่สองจึงเห็นหน้าที่ดูเหมือนปิดเว็บสำเร็จ แล้วปิดเคสไปทั้งที่เว็บยังหลอกคนใหม่อยู่ ณ วันที่ 25 ตุลาคม เป้าหมาย 183 แห่งยังมีเว็บปลอมที่ทำงาน และในสัปดาห์เดียวมีโดเมนใหม่ 49 โดเมน รวมถึงหน้าแชตช่วยเหลือปลอมของ JPMorgan, Citi, BMO และ Santander ทีมที่ทำหน้าที่ปิดเว็บฟิชชิงควรตรวจซ้ำจาก IP ใหม่ทุกครั้ง

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 5 พฤศจิกายน 2569 ว่าโดเมนชุดแรกจดตั้งแต่ปลายปี 2568 แต่ส่วนใหญ่ปรากฏระหว่างกรกฎาคมถึงกันยายน 2569 โดเมนส่วนมากใช้รูปแบบชื่อเดียวกัน คือ คำอย่าง secure, disable, protect, cancel, authorize, terminate, credentials หรือ commercial ตามด้วยขีดและชื่อธนาคารเป้าหมาย กลุ่มที่เล็กแต่โตเร็วใช้ชื่อแนว help-desk, live-support, treasury-portal และ primary device ราวครึ่งหนึ่งของ 49 โดเมนที่ขึ้นใหม่ในสัปดาห์ถึง 25 ตุลาคมใช้รูปแบบนี้

โดเมนทั้งหมดอยู่หลัง Cloudflare แต่บางโดเมนเคยชี้ไปยังเซิร์ฟเวอร์จริงช่วงสั้น ๆ ทำให้ KELA ตามไปถึงโฮสติ้งจริงได้ และพบว่าแคมเปญเล็งเหยื่อในสหราชอาณาจักร ออสเตรเลีย และนิวซีแลนด์ด้วย ข้อจำกัดของข้อมูล คือ KELA ยังไม่พบว่าเหยื่อถูกล่อมาที่หน้าฟิชชิงด้วยวิธีใด และไม่ได้ระบุจำนวนบัญชีที่ถูกขโมยหรือความเสียหายทางการเงิน

วิธีการโจมตี

จำ IP แล้วแสดงคนละหน้า — ชุดฟิชชิงบันทึก IP ของผู้เข้าชมทุกคน ครั้งแรกแสดงหน้าที่มีแบรนด์ธนาคาร ขอ user ID และรหัสผ่าน และอาจมี reCAPTCHA เมื่อ IP เดิมกลับมา ระบบแสดงหน้า “This account has been suspended” ที่ลอกหน้าของผู้ให้บริการโฮสติ้งหลังปิดบัญชี วิธีนี้เล็งคนที่มีอำนาจปิดเว็บโดยตรง เพราะคนที่ตรวจซ้ำเพื่อยืนยันจะเห็นภาพเหมือนปิดเว็บสำเร็จแล้ว การจะเห็นเนื้อหาจริงต้องใช้ IP ใหม่ทุกครั้งที่ตรวจ

ปลอมตัวเป็นหน้าตรวจของ Cloudflare และกันการตรวจสอบ — แท็บของหน้าฟิชชิงใช้ชื่อ “Attention required” ซึ่งลอกชื่อหน้าตรวจสอบของ Cloudflare และมีสคริปต์บล็อกเครื่องมือนักพัฒนาของเบราว์เซอร์ เพื่อกันไม่ให้นักวิเคราะห์เปิดดูโค้ด บางโดเมนแสดงหน้าแจ้งเตือนปลอมแบบอื่น หรือส่งผู้เข้าชมไปที่ Google แทน ทำให้บริการสแกนสาธารณะเก็บภาพแคมเปญได้ไม่ครบ

ซ่อนเซิร์ฟเวอร์จริงและใช้ร่วมกันหลายโดเมน — Cloudflare ปิดบังที่ตั้งจริงของเว็บ ส่วนเซิร์ฟเวอร์เบื้องหลังใช้ร่วมกันหลายโดเมน การปิดโดเมนเดียวจึงไม่กระทบเครื่องที่ให้บริการ KELA สรุปว่ามี 4 อย่างที่ทำให้หยุดแคมเปญนี้ยาก คือ สูตรตั้งชื่อที่ทำซ้ำได้กับทุกธนาคาร, Cloudflare ที่ซ่อนโฮสติ้ง, หน้า “ถูกระงับ” ปลอมสำหรับคนที่ตรวจซ้ำ และเซิร์ฟเวอร์ร่วมที่อยู่ได้นานกว่าโดเมนใด ๆ

ผลกระทบ

กลุ่มที่โดนโดยตรง คือ ลูกค้าธุรกิจของธนาคารภูมิภาคขนาดกลางในสหรัฐฯ และอีก 3 ประเทศ บัญชีธุรกิจและระบบบริหารเงินมักมีวงเงินโอนสูงกว่าบัญชีส่วนบุคคลมาก ล็อกอินที่ถูกขโมยไปจึงอาจนำไปสู่การโอนเงินก้อนใหญ่ได้ในครั้งเดียว ธนาคารขนาดกลางมักมีทีมเฝ้าระวังแบรนด์เล็กกว่า จึงเป็นเป้าที่เหมาะกับแคมเปญแบบนี้

ผลกระทบที่สอง คือ กระบวนการปิดเว็บฟิชชิงทั้งอุตสาหกรรม ถ้าผู้ให้บริการตรวจซ้ำจาก IP เดิมและปิดเคสตามสิ่งที่เห็น เว็บปลอมจะยังทำงานต่อไปโดยไม่มีใครติดตาม ตัวเลข 183 เป้าหมายที่ยังมีเว็บปลอมทำงานบอกว่ากลไกนี้ได้ผลจริง

คำแนะนำ

  • ทีมปิดเว็บฟิชชิงและผู้ให้บริการ brand protection: ตรวจยืนยันทุกครั้งจาก IP ใหม่หรือเครือข่ายต่างกัน เช่น ผ่าน proxy แบบหมุน IP และไม่ปิดเคสจากหน้า “suspended” อย่างเดียว
  • ทีมปิดเว็บฟิชชิง: รายงานไปที่ Cloudflare พร้อมหลักฐานภาพหน้าล็อกอินจากการเข้าครั้งแรก และติดตามเซิร์ฟเวอร์ต้นทางที่ใช้ร่วมกันแทนการไล่ปิดทีละโดเมน
  • ธนาคาร: เฝ้าระวังการจดโดเมนใหม่ที่มีชื่อธนาคารต่อท้ายคำอย่าง secure, authorize, treasury-portal หรือ help-desk และแจ้งลูกค้าธุรกิจถึงรูปแบบโดเมนเหล่านี้
  • ลูกค้าธุรกิจของธนาคาร: เข้าระบบธนาคารจากบุ๊กมาร์กหรือแอปทางการเท่านั้น ไม่กดลิงก์จากอีเมลหรือข้อความ และใช้ MFA แบบ hardware key หรือการอนุมัติธุรกรรมสองคนสำหรับการโอนเงิน
  • ระยะยาว: ธนาคารควรตรวจจับการล็อกอินบัญชีธุรกิจจากอุปกรณ์หรือตำแหน่งใหม่ และหน่วงธุรกรรมโอนเงินมูลค่าสูงครั้งแรกไปยังผู้รับรายใหม่

แหล่งอ้างอิง