Credential-Theft

Cofense พบแคมเปญฟิชชิงที่แอบอ้างเป็นคำเชิญทดลองเครื่องมือ AI ใหม่ของ Anthropic เพื่อขโมยบัญชี Google และ Microsoft มาตั้งแต่กันยายน 2569 อีเมลส่งจากที่อยู่จริงของ GoTo Webinar ย่อลิงก์ผ่าน Zapier และพาไปหน้า Zoom ปลอมที่มี CAPTCHA 2 ชั้นกันเครื่องสแกน แม้อีเมลจะมีจุดผิดชัดเจนแต่ยังหลุดผ่าน Proofpoint SEG และ Microsoft Defender for Office 365 Cofense ยืนยันไม่ได้ว่าใช้ AI สร้างแต่ชี้ว่าน่าจะใช่ ผู้ดูแลควรใช้ MFA แบบต้านฟิชชิงและเฝ้าระวังการล็อกอินผิดปกติ

GitGuardian รายงานว่าระหว่าง 13-21 ตุลาคม ผู้อยู่เบื้องหลัง GhostAction push 72,000 commit เข้า 23,000 repo สาธารณะผ่านบัญชีนักพัฒนาที่ยึดไว้ โดยมี 8,000 repo เป็นเป้าใหม่ ผู้โจมตีส่ง payload 5 แบบตามชนิด runner รวมถึงตัวขอโทเคน OIDC เพื่อสวมบทบาท AWS และ stealer ในไฟล์ฟอนต์ปลอมที่ลอกจาก PolinRider GitHub ตรวจพบและสกัดเวิร์กโฟลว์อันตรายไว้ได้ แต่ผู้โจมตียังเข้าถึงบัญชีที่ยึดไว้ได้ 1,792 บัญชี เจ้าของ repo ควรลบไฟล์ตาม IoC ทุก branch เพิกถอนโทเคน และหมุนเวียน secret ทั้งหมด

Check Point พบ Aokigahara มัลแวร์ขโมยข้อมูลบน Windows ที่ไม่ได้เก็บแค่รหัสผ่านเบราว์เซอร์ คริปโต และ VPN แต่เล็งไฟล์ยืนยันตัวตนและ session ของเครื่องมือ AI อย่าง Claude, ChatGPT Desktop, Codex, Cursor, Windsurf, GitHub Copilot และ Gemini CLI มันยังเก็บข้อมูล Git, กุญแจ SSH และไฟล์คอนฟิก AWS, Azure และ Google Cloud แล้วเข้ารหัสส่งออก ผู้โจมตีนำบัญชี AI ไปขายต่อหรือใช้ประวัติแชตที่มีโค้ดลับข่มขู่เรียกเงินได้ ควรปฏิบัติต่อ session ของเครื่องมือ AI เหมือนความลับระดับองค์กร

PingCAP ผู้พัฒนาฐานข้อมูล TiDB เปิดเผยว่าผู้ไม่ได้รับอนุญาตใช้ข้อมูลรับรอง service account ที่ถูกขโมยเข้าระบบภายในระหว่าง 9 กันยายนถึง 7 ตุลาคม 2569 ข้อมูลที่ถูกคัดลอกมีชื่อผู้ใช้และอีเมล TiDB Cloud ข้อมูลติดต่อ สัญญา และบิลของลูกค้า ค่าคีย์ API ที่เข้ารหัส และซอร์สโค้ด บริษัทยืนยันว่าไม่พบหลักฐานว่าข้อมูลที่เก็บใน TiDB ได้รับผลกระทบ กลุ่ม FulcrumSec อ้างว่าขโมยข้อมูล 10.6 TB แต่ยังไม่มีใครยืนยัน PingCAP แนะนำให้เจ้าของ organization เปลี่ยนคีย์ API และระวังฟิชชิงแบบเจาะจง

Varonis Threat Labs พบว่าผู้ขายมัลแวร์ขโมยข้อมูล StealC กลับมาพร้อม Stadia ซึ่งเป็น RAT แบบโมดูลที่โฆษณาขายเมื่อ 16 ตุลาคม 2569 Stadia รวมการขโมยข้อมูล หน้าจอซ่อน HVNC การรันคำสั่ง ตัวโหลดเพย์โหลด และการจัดการไฟล์ไว้ในตัวเดียว นักวิจัยพบโค้ด StealC อยู่ในตัว agent และบันทึกการอัปเกรดเป็นโมดูล StealC 3.5.0 ค่าบริการอยู่ที่ 300-900 ดอลลาร์ต่อเดือน ลูกค้า StealC เดิมได้ใช้แพ็กเกจสูงสุดฟรีหนึ่งเดือน

Railway แพลตฟอร์มคลาวด์สำหรับดีพลอยแอปเปิดเผยว่าบุคคลที่สามอาจเข้าถึงตัวแปรสภาพแวดล้อมของลูกค้า รวมถึงค่าที่ถอดรหัสแล้วบางส่วน ซึ่งอาจมีคีย์ API รหัสผ่านฐานข้อมูล และข้อมูลรับรอง registry ส่วนตัว บริษัทเชื่อว่าเหตุนี้เป็นส่วนหนึ่งของการโจมตีแพลตฟอร์มหลายรายเพื่อยึดการเข้าถึงผู้ให้บริการ AI inference Railway หยุดการดีพลอย หมุนเวียนข้อมูลรับรอง storage bucket ทั้งหมด และแนะนำลูกค้าทุกรายให้เปลี่ยน secret ทันที บริษัทยังไม่เปิดเผยจำนวนบัญชีที่ได้รับผลกระทบหรือช่องทางเจาะ

GMO Internet ผู้ให้บริการ Onamae.com ยืนยันว่ามีผู้บุกรุกติดตั้งโปรแกรมอันตรายในสภาพแวดล้อมเซิร์ฟเวอร์ของลูกค้า Desktop Cloud เมื่อ 20 ตุลาคม 2569 บริษัททยอยปิดเซิร์ฟเวอร์ทุกแพ็กเกจและระบุว่า 26,739 เครื่องอาจได้รับผลกระทบ ข้อมูลในเครื่องอาจถูกเปิดดู บริการนี้นิยมใช้รันโปรแกรมเทรดฟอเร็กซ์อัตโนมัติ OANDA Japan จึงเตือนว่ารหัสเข้าใช้ MT4/MT5 อาจรั่ว ประกาศยังไม่ระบุชนิดมัลแวร์ ช่องทางเจาะ หรือ IoC และยังไม่มีกำหนดเปิดบริการ

นักวิจัยเปิดเผยเมื่อ 20 ตุลาคม 2569 ว่าผู้โจมตียึด Tor exit node 333 ตัว หรือราว 10% ของ exit relay ทั้งเครือข่าย แล้วเริ่มดักการเชื่อมต่อ SSH พร้อมกันเมื่อ 2 ตุลาคม ทราฟฟิกพอร์ต 22 ถูกส่งไปเซิร์ฟเวอร์ดักกลาง 12 เครื่อง ผู้ใช้ที่ไม่สนใจคำเตือน host key เปลี่ยนจะเสียรหัสผ่าน และถูกพยายามฝังแบ็กดอร์ Ebury 1.8.3 บนเซิร์ฟเวอร์ปลายทาง ทีม Tor ติดธง BadExit ภายใน 4 ตุลาคม และเซิร์ฟเวอร์ที่ติดเชื้อถูกปิดในวันที่ 5 ตุลาคม ยังไม่ทราบช่องทางเจาะและผู้อยู่เบื้องหลัง

บริษัท Nikkei สื่อยักษ์ใหญ่ของญี่ปุ่นเจ้าของหนังสือพิมพ์ The Nikkei และ Financial Times เปิดเผยว่าข้อมูล 1.83 ล้านรายการถูกขโมยจากบริการคลาวด์ที่ใช้พัฒนาระบบ ผู้โจมตีใช้ข้อมูลรับรองที่ถูกขโมยมาก่อนหน้าเข้าระบบเมื่อเช้า 7 ตุลาคม 2569 ราว 1.68 ล้านรายการไม่ระบุตัวบุคคล แต่ 150,000 รายการมีชื่อ ที่อยู่ อีเมล เบอร์โทรศัพท์ และวันเกิด อีก 120,000 รายการมีอีเมล ไม่มีข้อมูลบัตรเครดิตรั่ว เหตุนี้เกิดไม่ถึงปีหลังบริษัทถูกเจาะผ่านบัญชี Slack

ผู้โจมตีใช้บัญชี GitHub ของผู้ร่วมพัฒนาที่ถูกยึด สลับไฟล์ดาวน์โหลดของ OVHcloud CLI รุ่น v0.11.0 ถึง v0.15.0 เป็นไบนารีขโมยความลับบนดิสก์เมื่อ 19 ตุลาคม 2569 ไฟล์ปลอมค้างอยู่นานสูงสุด 94 นาทีบน macOS, Linux และ Windows x86_64 พร้อมแก้ checksums.txt ให้ค่าแฮชตรงกัน ผู้ติดตั้งผ่าน Homebrew, go install หรือ Docker ไม่ได้รับผลกระทบ OVHcloud ออก v0.16.0 แบบ immutable release และเปิดใช้ release immutability แล้ว OpenSourceMalware โยงบัญชีที่ถูกยึดกับแคมเปญ GlassWorm แต่ยอมรับว่าเป็นเพียงการอนุมาน