Account-Takeover

นักวิจัยของ Parameter แสดงว่าลิงก์แชร์บทสนทนา ChatGPT ที่สร้างมาเฉพาะ สามารถรันโค้ดของผู้โจมตีในเซสชันที่ล็อกอินอยู่ของผู้เปิด แล้วอ่านรายการแชตและแชตส่วนตัวผ่าน API ของ ChatGPT เอง เหยื่อแค่เปิดลิงก์และกด Preview หรือในเวอร์ชันหลังแค่เปิดลิงก์ ห่วงโซ่ใช้ตัวรับข้อความของไลบรารี MathLive ที่ไม่ตรวจผู้ส่งและยอมรับ HTML ดิบ จนหน้า Preview ใน sandbox ส่ง HTML ไปยังหน้าหลักได้ OpenAI แก้ภายใน 8 วัน จัดเป็นระดับ P1 และยังไม่มีรายงานการโจมตีจริง ผู้ใช้ไม่ต้องทำอะไรเพิ่ม

ศาลรัฐบาลกลางสหรัฐฯ ตัดสินจำคุกนาย Ahmad Umar Agha หรือ Th3Pr0 สมาชิก Syrian Electronic Army 42 เดือน จากการสมคบกันแฮ็กสื่อตะวันตกและหน่วยงานรัฐราว 47 แห่ง ผลงานที่โด่งดังที่สุด คือ การยึดบัญชี Twitter ของ AP เมื่อ 23 เมษายน 2556 แล้วโพสต์ว่าประธานาธิบดีโอบามาบาดเจ็บจากระเบิด ทำให้ดัชนี Dow วูบชั่วคราว 136,000 ล้านดอลลาร์ กระทรวงยุติธรรมระบุว่าการสมคบนี้นำโดยคนใกล้ชิดอดีตประธานาธิบดีอัสซาด ซึ่งต่างจากเอกสารคดีช่วงแรก ผู้ร่วมกระทำ Firas Dardar ยังหลบหนี

GMO Internet Group ตั้งรางวัลรวมสูงสุด 1 ล้านดอลลาร์สำหรับเบาะแสที่นำไปสู่การจับกุมผู้เจาะบริการ Onamae.com Desktop Cloud หลังปฏิเสธข้อเรียกร้องค่าไถ่ราว 50 ล้านดอลลาร์ ผู้โจมตีขู่จะปั่นบัญชีลูกค้าในบริษัทหลักทรัพย์และ FX กว่า 70 แห่ง ปล่อยข้อมูล และโจมตีด้วยแรนซัมแวร์ ก่อนโพสต์ข้อมูลที่อ้างว่าเป็นของลูกค้า OANDA Japan ยืนยันว่ามีการล็อกอินและเทรดในบัญชีลูกค้าบางรายด้วยรหัสที่เชื่อว่ารั่วจากเซิร์ฟเวอร์ GMO ลูกค้าควรเปลี่ยนรหัสบัญชีเทรดจากอุปกรณ์อื่นและเปิด 2FA

นักวิจัย Ovi เปิดโปง uCreator ชุดสปายแวร์แอนดรอยด์ให้เช่าที่ซ่อนโค้ดในสำเนาแอป Telegram และ WeChat ที่ถูกดัดแปลงซึ่งแจกนอก Google Play โค้ดรันด้วยสิทธิ์ของแอปจริง จึงอ่านแชตและเก็บรหัส 2FA ของ Telegram ไปยึดบัญชีและซ่อนเซสชันของผู้โจมตีได้ ส่วน Telegram ตรงกับ Baohuo ที่ Doctor Web พบติดกว่า 58,000 เครื่องในปี 2568 รวมถึงในอินโดนีเซีย ยังยืนยันจำนวนเหยื่อไม่ได้และพบโค้ดรองรับราว 20 แอป รวมถึง LINE, Zalo, GCash และ MoMo ผู้ใช้ควรติดตั้งแอปจากสโตร์ทางการเท่านั้นและตรวจลายเซ็นแอป

บริษัท Huntress เปิดเผยแคมเปญ token spraying ที่ขโมยโทเคนล็อกอิน Microsoft 365 ผ่านหน้า AitM แล้วใช้ซ้ำ ยึดได้ 97 บัญชีใน 79 องค์กร ช่วง ก.ค.-ก.ย. 2569 โทเคนออกหลังผ่าน MFA แล้ว ผู้ถือจึงเข้าบัญชีได้โดยไม่ต้องรู้รหัสผ่านหรือยืนยันซ้ำ หลังเข้าได้ ผู้โจมตีลงแอปยืนยันตัวตนของตน ลงทะเบียนอุปกรณ์ Entra ปลอม 48 เครื่อง และตั้ง inbox rule ซ่อนอีเมลเรื่องเงินเดือน ของเหล่านี้ไม่หายเมื่อรีเซ็ตรหัสผ่าน ควรเพิกถอนเซสชัน ลบอุปกรณ์และ MFA แปลกปลอม และตั้ง Conditional Access ครอบคลุมผู้ใช้และแอปทั้งหมด

Capcom บริษัทเกมญี่ปุ่นเปิดเผยว่าระบบ CAPCOM ID ถูกเข้าถึงโดยไม่ได้รับอนุญาต และตรวจพบเมื่อ 19 ตุลาคม 2569 ผู้โจมตีขโมยอีเมล 11,774,247 รายการพร้อมข้อมูลบัญชี เช่น วันสร้าง วันล็อกอินล่าสุด และ IP ล็อกอินล่าสุด ลูกค้า 43 รายถูกขโมยวันเกิด เพศ ประเทศ และชื่อเล่นด้วย ผู้โจมตียังเปลี่ยนรหัสผ่าน 196 บัญชี ซึ่ง Capcom รีเซ็ตคืนแล้ว บริษัทยืนยันว่ารหัสผ่านผู้ใช้ไม่รั่ว และเตือนให้ระวังอีเมลฟิชชิงที่แอบอ้างบริษัท

ผู้โจมตีใช้บัญชี GitHub ของผู้ร่วมพัฒนาที่ถูกยึด สลับไฟล์ดาวน์โหลดของ OVHcloud CLI รุ่น v0.11.0 ถึง v0.15.0 เป็นไบนารีขโมยความลับบนดิสก์เมื่อ 19 ตุลาคม 2569 ไฟล์ปลอมค้างอยู่นานสูงสุด 94 นาทีบน macOS, Linux และ Windows x86_64 พร้อมแก้ checksums.txt ให้ค่าแฮชตรงกัน ผู้ติดตั้งผ่าน Homebrew, go install หรือ Docker ไม่ได้รับผลกระทบ OVHcloud ออก v0.16.0 แบบ immutable release และเปิดใช้ release immutability แล้ว OpenSourceMalware โยงบัญชีที่ถูกยึดกับแคมเปญ GlassWorm แต่ยอมรับว่าเป็นเพียงการอนุมาน

นักวิจัย beaksec เผยแพร่ PoC ช่องโหว่ CVE-2026-107181 ใน Telegram Desktop ก่อนเวอร์ชัน 7.2.9 คะแนน CVSS 4.0 อยู่ที่ 8.6 ช่องทาง IPC ที่รับลิงก์จากภายนอกไม่ escape ตัวคั่นระเบียน ผู้โจมตีจึงแทรกคำสั่งไปเรียกตัวช่วยเก่าที่อ่านไฟล์ในเครื่องแล้วส่งเข้าแชทได้ ไฟล์ session ที่ถูกขโมยใช้ยึดบัญชีได้หากไม่ได้ตั้ง local passcode ช่องโหว่แก้แล้วในเวอร์ชัน 7.2.9 และยังไม่พบการโจมตีจริง

บริษัท CrowdStrike พบแคมเปญโจมตีบริษัทการเงินเกาหลีใต้ช่วงปลาย ก.ย.–ต้น ต.ค. 2569 ที่ใช้ ARTEX เครื่องมือเจาะระบบแบบ agentic AI โอเพนซอร์สจากจีน จนขโมยข้อมูลออกไปได้ หลักฐานมาจากไดเรกทอรีเปิดบน IP ฮ่องกงที่มีประวัติ Claude Code และคอนฟิก ARTEX ผู้โจมตียังไม่ถูกระบุตัว แต่น่าจะพูดภาษาจีนและหวังผลทางการเงิน ผู้พัฒนา Autumn-27 ประกาศปิดซอร์สและหยุดพัฒนา ARTEX แล้ว ขณะเดียวกัน ZenoX เผย SCARLET LOOP แพลตฟอร์ม AI ยึดบัญชีที่ทดสอบ credential กว่า 12 ล้านชุด

บริษัท watchTowr พบว่าช่องโหว่ร้ายแรงใน WSO2 API Manager (CVE-2026-5430 คะแนน CVSS 9.8) กำลังถูกใช้โจมตีจริง ช่องโหว่เกิดจากการตรวจสอบลายเซ็นเข้ารหัสไม่ถูกต้อง ทำให้ข้ามการยืนยันตัวตน JWT ด้วยโทเคนที่ลงนามด้วยอัลกอริทึมที่ไม่รองรับได้ honeypot ของ watchTowr จับโทเคนปลอมที่ฝังสิทธิ์แอดมินได้เมื่อ 13 กันยายน กระทบ API Manager 4.1.0–4.6.0 และผลิตภัณฑ์ WSO2 อื่น แนะนำให้แพตช์โดยด่วน