Bec

บริษัท Huntress เปิดเผยแคมเปญ token spraying ที่ขโมยโทเคนล็อกอิน Microsoft 365 ผ่านหน้า AitM แล้วใช้ซ้ำ ยึดได้ 97 บัญชีใน 79 องค์กร ช่วง ก.ค.-ก.ย. 2569 โทเคนออกหลังผ่าน MFA แล้ว ผู้ถือจึงเข้าบัญชีได้โดยไม่ต้องรู้รหัสผ่านหรือยืนยันซ้ำ หลังเข้าได้ ผู้โจมตีลงแอปยืนยันตัวตนของตน ลงทะเบียนอุปกรณ์ Entra ปลอม 48 เครื่อง และตั้ง inbox rule ซ่อนอีเมลเรื่องเงินเดือน ของเหล่านี้ไม่หายเมื่อรีเซ็ตรหัสผ่าน ควรเพิกถอนเซสชัน ลบอุปกรณ์และ MFA แปลกปลอม และตั้ง Conditional Access ครอบคลุมผู้ใช้และแอปทั้งหมด

INTERPOL ประกาศผลปฏิบัติการ Serengeti III ที่จับผู้ต้องสงสัย 1,462 คนจาก 21 ประเทศ ส่วนใหญ่ในแอฟริกา ปฏิบัติการระหว่าง 29 มิถุนายนถึง 31 สิงหาคม 2569 ทลายเครือข่ายอันตราย 10,909 แห่งและยึดคืนเงินผิดกฎหมายกว่า 105 ล้านดอลลาร์ เจ้าหน้าที่ระบุเหยื่อได้ 65,929 รายและโยงความเสียหายเกิน 385 ล้านดอลลาร์ ผลเด่นรวมถึงการจับชาวต่างชาติ 365 คนในยูกันดาที่หลอกลงทุนเหยื่อทั่วเอเชีย และการทลายฟาร์มขุดคริปโตผิดกฎหมายในแองโกลา

ผู้เชี่ยวชาญหลายรายเตือนผ่าน Dark Reading ว่าเมื่อองค์กรให้เอเจนต์ AI มีสิทธิ์ทำงานในระบบธุรกิจ ผู้โจมตีจะหันมาหลอกเอเจนต์แทนพนักงานในรูปแบบเดียวกับ BEC เครื่องมือหลักคือ prompt injection ทั้งแบบตรงและแบบแฝงในเว็บหรืออีเมล เพื่อสั่งให้เอเจนต์แก้ข้อมูลผู้ขาย เปลี่ยนบัญชีรับเงิน หรือดึงข้อมูลสำคัญ ผู้เชี่ยวชาญแนะนำให้ถือเอเจนต์เป็นตัวตนที่ต้องทำบัญชีคุม วางการควบคุมไว้นอกตัวเอเจนต์ และให้มนุษย์อนุมัติงานเสี่ยงสูง

บริษัท Microsoft ทลายบริการฟิชชิงแบบ device code ชื่อ EvilTokens ที่ใช้ AI ทุกขั้นตอนของการโจมตี ติดตามกลุ่มผู้พัฒนาในชื่อ Storm-2992 พร้อมตำรวจอังกฤษจับผู้ต้องสงสัย 2 ราย บริการนี้ขายแบบ PhaaS บน Telegram อาศัยช่องทาง OAuth device authorization ยึดบัญชีอีเมลโดยไม่ต้องรู้รหัสผ่าน มีแชตบอต AI ช่วยวิเคราะห์กล่องจดหมายและร่างอีเมล BEC โยงกล่องจดหมายถูกยึดกว่า 12,000 บัญชีใน 10,000 องค์กรทั่วโลก

นักวิจัยของ Microsoft ติดตามแคมเปญฟิชชิงที่ผู้โจมตีซึ่งยังระบุตัวไม่ได้ส่งอีเมลมากกว่า 1 ล้านฉบับภายในราว 48 ชั่วโมงระหว่างวันที่ 3 ถึง 5 สิงหาคม 2569 อีเมลแต่ละฉบับถูกปรับให้ตรงกับผู้รับด้วยชื่อจริงของผู้บริหารในบริษัทเป้าหมาย และเจาะจงไปที่ฝ่ายบัญชีเจ้าหนี้โดยตรง เนื้อหาอ้างว่าบริษัทค้างค่าบริการรายปีเกือบ 50,000 ดอลลาร์ พร้อมใบแจ้งหนี้ที่มีรายการย่อยและยอดเงินที่ไม่ลงตัวแบบเลขกลม จุดที่แยบยลที่สุดคือการห่ออีเมลไว้ในเธรดสนทนาปลอมที่แต่งขึ้นทั้งหมด

ปฏิบัติการของ INTERPOL ที่กินเวลาแปดเดือนและมี 22 ประเทศจากหกทวีปเข้าร่วม นำไปสู่การจับกุม 58 รายและระบุตัวผู้ต้องสงสัยอีก 263 ราย เป้าหมายคือเครือข่ายอาชญากรรมจัดตั้งจากแอฟริกาตะวันตกอย่าง Black Axe ที่อยู่เบื้องหลังการฉ้อโกงทางการเงินผ่านช่องทางไซเบอร์จำนวนมาก ทั้งสแกมหลอกรัก สแกมคริปโตและการลงทุน และการฉ้อโกงอีเมลธุรกิจ ทางการยึดเงินและอายัดบัญชีธนาคารได้จำนวนมากในหลายประเทศ

ตำรวจสเปนทลายเครือข่ายอาชญากรรมไซเบอร์และฟอกเงินที่ทำเงินได้ถึง 140 ล้านยูโร (160 ล้านดอลลาร์) จากการหลอกลงทุนและการโจมตีแบบ business email compromise (BEC) จับกุมผู้ต้องสงสัย 4 คนในสเปน โปรตุเกส และปานามา เครือข่ายนี้ใช้บัญชีธนาคารกว่า 800 บัญชี บัญชีธุรกิจ 120 บัญชี และมีคนกลางฟอกเงิน 67 ราย ตำรวจยึดคอมพิวเตอร์ 15 เครื่องและสมาร์ตโฟนกว่า 170 เครื่อง อายัดเงิน 3 ล้านยูโรคืนเหยื่อ ปฏิบัติการนี้ทำร่วมกับ Interpol และ Europol

นักวิจัยจาก Securelist เปิดเผยแคมเปญฟิชชิงที่ฉวยใช้ฟีเจอร์ Device Authorization Grant ของ Microsoft หลอกเหยื่อคัดลอกรหัสครั้งเดียวไปวางบนหน้าล็อกอิน Microsoft ของจริง ทำให้ผู้โจมตีได้โทเคนเข้าถึงอีเมล ไฟล์ และแชตโดยไม่ต้องใช้รหัสผ่าน เทคนิคนี้เลี่ยงคำแนะนำให้ตรวจ URL เพราะหน้าสุดท้ายเป็นของแท้ และ MFA แทบช่วยไม่ได้ แคมเปญทำงานช่วงเมษายนถึงกลางพฤษภาคม 2026

การสืบสวนของ ANY.RUN เผยว่าอาชญากรไซเบอร์ใช้โครงสร้างคลาวด์ที่เชื่อถือได้อย่าง AWS, Google Cloud, Azure, Cloudflare และ GitHub มากขึ้นเพื่อพรางทราฟฟิกอันตราย หลบการตรวจจับ และคง C2 ให้อยู่รอดนาน การค้นด้วย JA3S fingerprint ของ Cobalt Strike พบเหตุการณ์กว่า 1,000 รายการ ส่วนใหญ่วิ่งผ่านพอร์ต 443 ฝัง C2 บนแพลตฟอร์มชื่อดัง ทำให้การบล็อกตาม reputation ใช้ไม่ได้ผล พร้อมพบแคมเปญฟิชชิงและ BEC ที่โฮสต์เอกสารปลอมบน Amazon S3 และโดเมน .top อันตรายจำนวนมาก