Aitm

บริษัท Huntress เปิดเผยแคมเปญ token spraying ที่ขโมยโทเคนล็อกอิน Microsoft 365 ผ่านหน้า AitM แล้วใช้ซ้ำ ยึดได้ 97 บัญชีใน 79 องค์กร ช่วง ก.ค.-ก.ย. 2569 โทเคนออกหลังผ่าน MFA แล้ว ผู้ถือจึงเข้าบัญชีได้โดยไม่ต้องรู้รหัสผ่านหรือยืนยันซ้ำ หลังเข้าได้ ผู้โจมตีลงแอปยืนยันตัวตนของตน ลงทะเบียนอุปกรณ์ Entra ปลอม 48 เครื่อง และตั้ง inbox rule ซ่อนอีเมลเรื่องเงินเดือน ของเหล่านี้ไม่หายเมื่อรีเซ็ตรหัสผ่าน ควรเพิกถอนเซสชัน ลบอุปกรณ์และ MFA แปลกปลอม และตั้ง Conditional Access ครอบคลุมผู้ใช้และแอปทั้งหมด

บริษัท Island เปิดโปงแพลตฟอร์มฟิชชิงที่มีคนคุมแบบเรียลไทม์ ปลอมเป็นผลิตภัณฑ์โฆษณาของแชตบอต AI เช่น Gemini, Claude, ChatGPT, Perplexity, Meta Muse และ Manus เมื่อเหยื่อกดปุ่ม Connect จะเจอหน้าต่างล็อกอินปลอมแบบ Browser-in-the-Browser ที่แสดงโดเมนจริงอย่าง accounts.google.com ผู้ควบคุมเห็นรหัสผ่านทุกครั้งที่พิมพ์และเลือกได้ว่าจะให้เหยื่อเจอ MFA แบบใดต่อ เป้าหมายคือพนักงานเอเจนซีและผู้ดูแลบัญชีโฆษณาเพื่อยึดบัญชีไปใช้หรือขายต่อ เว็บ museads.ai โผล่หลัง Meta เปิดตัว Muse เพียงราวหนึ่งสัปดาห์

บริษัท Proofpoint รายงานว่ากลุ่ม TA419 ที่มีแนวร่วมกับจีน ส่งฟิชชิงขโมยรหัสผ่านใส่ผู้เชี่ยวชาญนโยบาย AI ในสถาบันคลังสมองของสหรัฐฯ ผู้โจมตีปลอมเป็นนักเศรษฐศาสตร์ อดีตเจ้าหน้าที่ทำเนียบขาว และพนักงาน Anthropic เพื่อสร้างความไว้ใจก่อน เมื่อเหยื่อตอบกลับจึงส่งลิงก์ไปหน้าล็อกอิน OneDrive แบบ AitM ในหน้าต่างเบราว์เซอร์ปลอม เครื่องมือที่ดัดแปลงจาก Frameless BitB ส่งต่อการล็อกอินไป Microsoft จริง เหยื่อจึงไม่รู้ว่าคุกกี้เซสชันถูกขโมย Proofpoint แนะนำให้ใช้ passkey และยืนยันตัวตนผู้ติดต่อก่อนตอบ

รายงานสรุป 6 เทคนิคการโจมตีผ่านเบราว์เซอร์ที่ทีมความปลอดภัยควรจับตาในปี 2026 เนื่องจากการเจาะระบบส่วนใหญ่เริ่มต้นและจบลงภายใน session ของเบราว์เซอร์ ครอบคลุมตั้งแต่ฟิชชิงขโมย session ด้วยชุด AiTM, เทคนิค ClickFix หลอกให้คัดลอกและรันคำสั่ง, authorization phishing ที่เลี่ยง MFA ทุกรูปแบบ, ส่วนขยายเบราว์เซอร์อันตราย, การใช้รหัสผ่านที่รั่วและ ghost login ไปจนถึงการยึด session ด้วย token ที่ถูกขโมย โดยอ้างอิงสถิติจากรายงานของ Microsoft, Verizon และ Cloudflare

Microsoft ติดตามผู้โจมตีอย่างน้อยสองรายคือ Storm-3032 และ Storm-3121 ที่โทรหรือส่งข้อความหาผู้บริหารและผู้ดูแลระบบบนอุปกรณ์ส่วนตัว อ้างตัวเป็นฝ่ายไอทีเพื่อหลอกให้ตั้งค่าพาสคีย์หรือ MFA ใหม่ผ่านหน้าเข้าสู่ระบบปลอม จากนั้นใช้เทคนิค AitM และ device code phishing ขโมยโทเค็นเซสชัน แล้วสอบถามข้อมูลองค์กรผ่าน Microsoft Graph API ซึ่งดูกลมกลืนกับการใช้งานปกติ ก่อนทยอยดึงข้อมูลจาก SharePoint OneDrive และ Exchange ออกไปทีละน้อย

บริษัท Arctic Wolf เปิดเผยกลุ่มขโมยข้อมูลและข่มขู่เรียกค่าไถ่ชื่อ PREY-0058 ที่โทรปลอมตัวเป็นฝ่ายไอทีภายในเพื่อหลอกผู้บริหารเข้าหน้าล็อกอิน Microsoft 365 ปลอม แล้วดักโทเค็นเซสชันด้วยเทคนิค adversary-in-the-middle ผู้โจมตีเล่นซ้ำโทเค็นผ่านพร็อกซีที่อยู่ใน ASN เดียวกับเหยื่อเพื่อเลี่ยงการตรวจจับ จากนั้นกวาดข้อมูลจาก SharePoint OneDrive Exchange และ Box แล้วส่งข้อความเรียกค่าไถ่ จุดที่ต่างจากการโจมตีทั่วไปคือไม่มีมัลแวร์บนเครื่องและไม่มีการเคลื่อนที่ในเครือข่าย

บริษัท Island เปิดเผยชุดเครื่องมือฟิชชิงแบบ AitM ชื่อ NovaCookies ที่ขายแบบสมาชิกรายเดือนราคา 320 ดอลลาร์ และถูกใช้เล็งเป้าองค์กรหลายร้อยแห่งใน 6 ประเทศ จุดเด่นคือใช้ซองเอกสาร Docusign ของจริงส่งเหยื่อล่อ ทำให้ผ่านการตรวจสอบผู้ส่งและชื่อเสียงโดเมนไปได้ ก่อนเด้งผ่านหน้าล็อกอินของไมโครซอฟท์หรือกูเกิลแล้วจึงถึงเซิร์ฟเวอร์ของผู้โจมตี ซึ่งทำหน้าที่เป็นพร็อกซีดักเซสชันที่ผ่าน MFA แล้วแบบเรียลไทม์

บริษัท Socket พบส่วนขยาย VPN และพร็อกซีฟรี 737 ตัวบน Chrome Web Store ที่ผลักทราฟฟิกทั้งเซสชันของผู้ใช้ผ่านพร็อกซี SOCKS5 พอร์ต 1082 ของผู้ให้บริการรายเดียว ส่วนขยายชุดนี้เผยแพร่จากบัญชีนักพัฒนาอย่างน้อย 40 บัญชี มียอดติดตั้งรวม 75,486 ครั้ง และ 274 ตัวปลอมเป็นแบรนด์ VPN ที่มีชื่อเสียง 66 ราย เป้าหมายหลักคือผู้ใช้ที่พูดภาษารัสเซียซึ่งต้องการเข้าถึงบริการที่ถูกปิดกั้น ขณะนี้ถูกถอดออกแล้ว 221 ตัว แต่อีก 516 ตัวยังอยู่บนสโตร์

นักวิจัยจาก Datadog Security Labs พบชุดฟิชชิ่งแบบ adversary-in-the-middle (AiTM) ที่พุ่งเป้าผู้ใช้ AWS ขโมย credential และโค้ด MFA แบบเรียลไทม์ในขณะที่เหยื่อพิมพ์ ทำให้ผู้โจมตีเข้าสู่ AWS console ได้ก่อนเหยื่อจะรู้ตัวและ MFA แทบไร้ผล แคมเปญทำงานระหว่าง 19-23 มิ.ย. 2026 ใช้สามโดเมนปลอมหน้า AWS sign-in โจมตีแบบเจาะจงวิศวกรซอฟต์แวร์ในสหรัฐฯ ไม่ถึง 50 ราย ด้วยอีเมลปลอมเป็น AWS Support

นักวิจัยจากบริษัท NetSPI สาธิตการโจมตีแบบ adversary-in-the-middle ด้วยเครื่องมือ Evilginx ที่วางตัวเป็นตัวกลางระหว่างเหยื่อกับหน้า login จริงของ Microsoft ดักจับ username, password, MFA token และ session cookie ได้ทั้งหมดในครั้งเดียว ผู้โจมตีนำ session cookie ไป replay จากเครื่องใดก็ได้โดยไม่ต้องผ่าน MFA อีก ในการทดสอบจริง ผู้บริหารระดับสูงที่ตกเป็นเหยื่อยังส่งต่อลิงก์ฟิชชิงไปยังบริษัทคู่ค้าอีก 2 แห่ง