Authentication

กรมโทรคมนาคมอินเดียกำหนดให้แอปแชตต้องผูกบัญชีกับซิมที่ใช้งานอยู่ของเบอร์ที่ลงทะเบียนภายใน 31 ธันวาคม 2569 ผู้ใช้ WhatsApp และ Telegram ในอินเดียจึงอาจถูกจำกัดการใช้งานตั้งแต่ 1 มกราคม 2570 หากถอด เปลี่ยน หรือปิดซิมนั้น กฎนี้มาจาก Telecom Cyber Security Rules 2024 และใช้กับ eSIM ด้วย เป้าหมายคือสกัดมิจฉาชีพที่ใช้เบอร์อินเดียหลอกลวงข้ามประเทศหลังถอดซิมออกแล้ว รายละเอียดการบังคับใช้จริงขึ้นกับแต่ละแพลตฟอร์ม

Axios รายงานว่าธนาคารใหญ่ของสหรัฐฯ ตรวจพบ AI agent ของบุคคลที่สามทำงานอยู่ในบัญชีลูกค้า บางตัวติดต่อคอลเซ็นเตอร์หรือพยายามทำรายการเอง การเข้าถึงส่วนใหญ่เริ่มจากลูกค้าให้ชื่อผู้ใช้และรหัสผ่านธนาคารแก่ผู้ช่วย AI ซึ่งขัดกฎของธนาคารที่ให้ลูกค้าล็อกอินเอง Morgan Stanley เริ่มบล็อก agent ขณะที่ JPMorgan, Bank of America และ Citi จำกัดการเข้าถึง รายงานยังไม่ยืนยันการขโมยเงินหรือยอดความเสียหาย

นักวิจัยวัย 16 ปีที่ใช้ชื่อ Faav พบช่องโหว่การยืนยันตัวตนในบริการวิเคราะห์ข้อมูลภายในชื่อ Titan ของ Microsoft ที่อาจเปิดข้อมูลราว 17.3 ล้านล้านแถว Titan ตรวจแต่ claim ใน JWT โดยไม่ยืนยันลายเซ็น ทำให้ปลอมโทเคน algorithm none และอ้างสิทธิ์แอดมินได้ Faav ย้ำว่าผลกระทบเป็นเชิงสมมติ ไม่เคยแตะข้อมูล PII ลูกค้า Microsoft ปิดช่องโหว่และให้เงินรางวัล 5,000 ดอลลาร์

นักวิจัยจาก Aikido Security เผยว่าอีเมลส่วนตัวที่ GitLab ให้ไว้สำหรับเปิด issue ทางอีเมลนั้นแท้จริงคือ credential. ใครก็ตามที่ได้อีเมลนี้ไปสามารถส่งแพตช์ให้ GitLab commit ในชื่อเจ้าของ ไปยัง branch ใดก็ได้รวมถึง main และสั่งรันงาน CI/CD ในชื่อเจ้าของได้. โทเคนในอีเมลไม่หมดอายุ ใช้ได้กับทุกโปรเจกต์ที่บัญชีเข้าถึงได้ และข้ามทั้ง IP allowlist และ 2FA. วิธีแก้คือรีเซ็ตโทเคน incoming email ในหน้าโปรไฟล์.

นาย Dirk-jan Mollema นักวิจัยด้าน Entra ID สาธิตว่ามัลแวร์ที่รันอยู่ในเซสชันผู้ใช้ที่ล็อกอินอยู่แล้ว สามารถเรียกใช้กุญแจ Windows Hello for Business ของเหยื่อเพื่อยืนยันตัวตนกับ Microsoft Entra ID ได้เงียบ ๆ โดยไม่ต้องดึงคีย์ส่วนตัวออกมา ไม่ต้องรู้ PIN และไม่กระตุ้นการสแกนไบโอเมตริก อีกทั้งไม่ต้องใช้สิทธิ์ผู้ดูแลระบบ ผู้โจมตีนำโทเคนที่ได้ไปลงทะเบียนอุปกรณ์ใหม่และขอ Primary Refresh Token เพื่อคงการเข้าถึงคลาวด์ระยะยาว ขณะนี้ยังไม่มี CVE หรือประกาศจาก Microsoft

ทีม Unit 42 ของ Palo Alto Networks เปิดเผยเทคนิคโจมตี 3 รูปแบบต่อ Google Password Manager บน Chrome ที่ทำให้มัลแวร์สิทธิ์ผู้ใช้ทั่วไปเข้าสู่บัญชีที่ป้องกันด้วย passkey ได้โดยไม่ต้องสแกนนิ้วหรือใส่ PIN เทคนิคที่รุนแรงที่สุดคือการดึงกุญแจหลัก Security Domain Secret ขนาด 32 ไบต์ออกจากหน่วยความจำของ Chrome ทั้งสามเส้นทางไม่ได้เจาะตัวการเข้ารหัส แต่เจาะโค้ดรอบ ๆ passkey รายงานไม่มีหมายเลข CVE และยังไม่ยืนยันว่าปิดช่องครบแล้ว ทุกเส้นทางต้องมีมัลแวร์รันอยู่บนเครื่องเหยื่อก่อน

บริษัท Google เปิดตัววิธีกู้บัญชีแบบใหม่ ให้ผู้ใช้อัดวิดีโอเซลฟีไว้ล่วงหน้าเพื่อยืนยันตัวตนเมื่อถูกล็อกออกจากบัญชี ระบบจะเทียบวิดีโอที่อัดใหม่กับที่บันทึกไว้ ฟีเจอร์นี้เป็นแบบสมัครใจ ลบได้ตลอดเวลา และเข้ารหัสขณะจัดเก็บ แต่ไม่รองรับบัญชี Workspace บัญชีเด็ก และบัญชี Advanced Protection พร้อมกันนี้ Google ยังเปิดระบบยืนยันตัวตนด้วยท่าทางมือแทน reCAPTCHA แบบเดิม

n8n แพลตฟอร์มออโตเมชันเวิร์กโฟลว์ มีช่องโหว่ CVE-2026-59208 บนอินสแตนซ์ Enterprise ที่ตั้งค่าเชื่อถือ token issuer มากกว่าหนึ่งราย โดยจับคู่ JWT ที่เข้ามากับบัญชีในระบบจากค่า sub เพียงอย่างเดียว ละเลยค่า iss ทำให้โทเคนจาก issuer หนึ่งที่พก sub ของผู้ใช้อีก issuer หนึ่งล็อกอินเป็นคนนั้นได้โดยไม่ต้องใช้รหัสผ่าน n8n ออกแพตช์ 24 มิ.ย. กระทบเวอร์ชันต่ำกว่า 2.27.4 และ 2.28.0