Phishing

Cofense พบแคมเปญฟิชชิงที่แอบอ้างเป็นคำเชิญทดลองเครื่องมือ AI ใหม่ของ Anthropic เพื่อขโมยบัญชี Google และ Microsoft มาตั้งแต่กันยายน 2569 อีเมลส่งจากที่อยู่จริงของ GoTo Webinar ย่อลิงก์ผ่าน Zapier และพาไปหน้า Zoom ปลอมที่มี CAPTCHA 2 ชั้นกันเครื่องสแกน แม้อีเมลจะมีจุดผิดชัดเจนแต่ยังหลุดผ่าน Proofpoint SEG และ Microsoft Defender for Office 365 Cofense ยืนยันไม่ได้ว่าใช้ AI สร้างแต่ชี้ว่าน่าจะใช่ ผู้ดูแลควรใช้ MFA แบบต้านฟิชชิงและเฝ้าระวังการล็อกอินผิดปกติ

ศาลรัฐบาลกลางสหรัฐฯ ตัดสินจำคุกนาย Ahmad Umar Agha หรือ Th3Pr0 สมาชิก Syrian Electronic Army 42 เดือน จากการสมคบกันแฮ็กสื่อตะวันตกและหน่วยงานรัฐราว 47 แห่ง ผลงานที่โด่งดังที่สุด คือ การยึดบัญชี Twitter ของ AP เมื่อ 23 เมษายน 2556 แล้วโพสต์ว่าประธานาธิบดีโอบามาบาดเจ็บจากระเบิด ทำให้ดัชนี Dow วูบชั่วคราว 136,000 ล้านดอลลาร์ กระทรวงยุติธรรมระบุว่าการสมคบนี้นำโดยคนใกล้ชิดอดีตประธานาธิบดีอัสซาด ซึ่งต่างจากเอกสารคดีช่วงแรก ผู้ร่วมกระทำ Firas Dardar ยังหลบหนี

บริษัท Arctic Wolf พบแคมเปญฟิชชิงอ้างเอกสารศาลที่เล็งองค์กรในโคลอมเบียและส่งมัลแวร์ XWorm ผ่านสคริปต์ VBScript และ JavaScript ที่ซ่อนโค้ดหลายชั้น สคริปต์ถอดรหัส PowerShell แล้วโหลด DLL .NET ชื่อ RSG_UnityApp เข้าหน่วยความจำเพื่อฉีด XWorm เข้า RegAsm.exe DLL ตัวนี้ตรงกับเคสที่เชื่อมกับอังกฤษเมื่อ 10 กันยายน 2569 ทุกไบต์ แต่ payload และ C2 ต่างกัน Arctic Wolf ย้ำว่าหลักฐานยืนยันแค่การใช้ loader ซ้ำ ไม่ใช่ผู้โจมตีกลุ่มเดียวกัน ผู้ดูแลควรบล็อกการรันสคริปต์จากไฟล์แนบอีเมลและบล็อก C2 ใน IoCs

บริษัท Sony Network Communications ผู้ให้บริการอินเทอร์เน็ต So-net และ Plala ในญี่ปุ่นแจ้งเมื่อ 27 ตุลาคม 2569 ว่าข้อมูลลูกค้า 2,585,481 รายการรั่วจากการเข้าถึงโดยไม่ได้รับอนุญาต ข้อมูลที่หลุดมีชื่อ เบอร์โทร อีเมล วันเกิด และรหัสผ่านของบริการอีเมล 54,401 บัญชี รวมถึงข้อมูลบัญชีธนาคาร 16 รายการ รหัสผ่านสมาชิกหลักและบัตรเครดิตไม่รั่ว และบริษัทยังไม่ระบุช่องโหว่หรือผู้โจมตี ลูกค้าที่ได้รับผลกระทบควรตั้งรหัสผ่านอีเมลใหม่และระวังข้อความหลอกลวงที่อ้างชื่อบริษัท

บริษัท Trellix พบแคมเปญฟิชชิงภาษาเกาหลีที่ปลอมเป็นใบกำกับภาษีของ FedEx เล็งพนักงานฝ่ายบัญชี เพื่อติดตั้ง Sirius Backdoor สายพันธุ์ใหม่ ไฟล์แนบเป็น PDF หน้าเปล่าที่สั่ง PowerShell ถอดรหัสโค้ดหลายชั้นแล้วรันในหน่วยความจำ แทบไม่ทิ้งไฟล์บนดิสก์ มัลแวร์ปิด ETW เพื่อทำให้ EDR มองไม่เห็น ฉีดตัวเองเข้าโปรเซสที่เชื่อถือได้ และฝังกลไกให้อยู่รอดแม้รีเซ็ต Windows ผู้ดูแลระบบควรบล็อก Adobe Reader ไม่ให้สร้าง child process และเปิด Script Block Logging

บริษัท Huntress เปิดเผยแคมเปญ token spraying ที่ขโมยโทเคนล็อกอิน Microsoft 365 ผ่านหน้า AitM แล้วใช้ซ้ำ ยึดได้ 97 บัญชีใน 79 องค์กร ช่วง ก.ค.-ก.ย. 2569 โทเคนออกหลังผ่าน MFA แล้ว ผู้ถือจึงเข้าบัญชีได้โดยไม่ต้องรู้รหัสผ่านหรือยืนยันซ้ำ หลังเข้าได้ ผู้โจมตีลงแอปยืนยันตัวตนของตน ลงทะเบียนอุปกรณ์ Entra ปลอม 48 เครื่อง และตั้ง inbox rule ซ่อนอีเมลเรื่องเงินเดือน ของเหล่านี้ไม่หายเมื่อรีเซ็ตรหัสผ่าน ควรเพิกถอนเซสชัน ลบอุปกรณ์และ MFA แปลกปลอม และตั้ง Conditional Access ครอบคลุมผู้ใช้และแอปทั้งหมด

Microsoft ประกาศผ่าน Message Center MC1519866 เมื่อ 21 ตุลาคม 2569 ว่าจะเพิ่มการตรวจจับฟิชชิงด้วย AI ใน Microsoft Teams ระบบวิเคราะห์บริบทของบทสนทนาเพื่อจับการหลอกลวงที่ไม่มีลิงก์หรือไฟล์อันตราย เน้นแชตแรกกับผู้ติดต่อภายนอก ซึ่งผู้โจมตีมักปลอมเป็นฝ่ายไอทีขอรหัสผ่านหรือสิทธิ์ควบคุมเครื่อง Targeted Release เริ่มต้นพฤศจิกายน และเปิดใช้ทั่วโลกช่วงต้นถึงกลางธันวาคม แอดมินไม่ต้องตั้งค่าเพิ่ม แต่ช่วงแรกระบบอาจตรวจแบบเงียบโดยยังไม่แสดงคำเตือน

ศูนย์ต่อต้านข่าวปลอมประเทศไทยยืนยันพบเพจเฟซบุ๊กปลอมที่อ้างว่าช่วยติดตามเงินคืน 3 เพจระหว่างวันที่ 22-24 ตุลาคม 2569 และกระทรวงดิจิทัลฯ แจ้งเตือนอีก 1 เพจเมื่อวันที่ 20 ตุลาคม เพจเหล่านี้ตั้งชื่อคล้ายหน่วยงานรัฐ อ้างภารกิจตำรวจ และนำภาพข่าวจริงมาโพสต์ซ้ำ เป้าหมายคือคนที่เคยถูกหลอกและกำลังหาทางเอาเงินคืน โดยขอเลขบัตรประชาชน ข้อมูลการเงิน หรือส่งลิงก์ให้กรอกข้อมูล ช่องทางที่ถูกต้องคือสายด่วน 1441 แจ้งความออนไลน์ และเว็บไซต์ ปปง. เท่านั้น

Capcom บริษัทเกมญี่ปุ่นเปิดเผยว่าระบบ CAPCOM ID ถูกเข้าถึงโดยไม่ได้รับอนุญาต และตรวจพบเมื่อ 19 ตุลาคม 2569 ผู้โจมตีขโมยอีเมล 11,774,247 รายการพร้อมข้อมูลบัญชี เช่น วันสร้าง วันล็อกอินล่าสุด และ IP ล็อกอินล่าสุด ลูกค้า 43 รายถูกขโมยวันเกิด เพศ ประเทศ และชื่อเล่นด้วย ผู้โจมตียังเปลี่ยนรหัสผ่าน 196 บัญชี ซึ่ง Capcom รีเซ็ตคืนแล้ว บริษัทยืนยันว่ารหัสผ่านผู้ใช้ไม่รั่ว และเตือนให้ระวังอีเมลฟิชชิงที่แอบอ้างบริษัท

PingCAP ผู้พัฒนาฐานข้อมูล TiDB เปิดเผยว่าผู้ไม่ได้รับอนุญาตใช้ข้อมูลรับรอง service account ที่ถูกขโมยเข้าระบบภายในระหว่าง 9 กันยายนถึง 7 ตุลาคม 2569 ข้อมูลที่ถูกคัดลอกมีชื่อผู้ใช้และอีเมล TiDB Cloud ข้อมูลติดต่อ สัญญา และบิลของลูกค้า ค่าคีย์ API ที่เข้ารหัส และซอร์สโค้ด บริษัทยืนยันว่าไม่พบหลักฐานว่าข้อมูลที่เก็บใน TiDB ได้รับผลกระทบ กลุ่ม FulcrumSec อ้างว่าขโมยข้อมูล 10.6 TB แต่ยังไม่มีใครยืนยัน PingCAP แนะนำให้เจ้าของ organization เปลี่ยนคีย์ API และระวังฟิชชิงแบบเจาะจง