Phishing

INTERPOL ประกาศผลปฏิบัติการ Serengeti III ที่จับผู้ต้องสงสัย 1,462 คนจาก 21 ประเทศ ส่วนใหญ่ในแอฟริกา ปฏิบัติการระหว่าง 29 มิถุนายนถึง 31 สิงหาคม 2569 ทลายเครือข่ายอันตราย 10,909 แห่งและยึดคืนเงินผิดกฎหมายกว่า 105 ล้านดอลลาร์ เจ้าหน้าที่ระบุเหยื่อได้ 65,929 รายและโยงความเสียหายเกิน 385 ล้านดอลลาร์ ผลเด่นรวมถึงการจับชาวต่างชาติ 365 คนในยูกันดาที่หลอกลงทุนเหยื่อทั่วเอเชีย และการทลายฟาร์มขุดคริปโตผิดกฎหมายในแองโกลา

ตำรวจจังหวัดนิญบิ่ญของเวียดนามเตือนว่ามิจฉาชีพแต่งเครื่องแบบปลอมเป็นพนักงานไฟฟ้าและประปา มาถึงหน้าบ้านแล้วหลอกให้สแกน QR code ติดตั้งแอปที่ขอสิทธิ์ควบคุมเครื่อง เพื่อเข้าแอปธนาคารและยึดบัญชี Zalo กับ Facebook ห้าวันต่อมา กรมความมั่นคงไซเบอร์ของกระทรวงความมั่นคงสาธารณะเตือนเว็บไซต์ปลอมที่ใช้ตัวอักษรหน้าตาเหมือน เช่น อักษรกรีกแอลฟาแทน a ลอกแบบเว็บธนาคาร Vietcombank ทั้งสองกลโกงมุ่งขโมยรหัสผ่าน OTP และเงินในบัญชี รูปแบบแรกตรงกับที่ ACSC ของไทยเพิ่งเตือนในสัปดาห์เดียวกัน

ผู้อยู่เบื้องหลังแคมเปญ GhostAction ขยายจากการฝังเวิร์กโฟลว์อันตรายใน GitHub Actions มาฟิชชิงผู้ดูแลโอเพนซอร์สผ่านโดเมน my-github[.]com หน้าล็อกอินปลอมทำงานเป็น reverse proxy ขโมยรหัสผ่านและรหัส 2FA แล้วอนุมัติ OAuth device flow ให้เองโดยเหยื่อไม่ต้องกดยืนยัน ผู้โจมตียังวาง stealer ในไฟล์ฟอนต์ปลอมที่ VS Code รันอัตโนมัติเมื่อเปิดโฟลเดอร์ พบแล้วใน 94 repo ของ 66 เจ้าของ ขั้นนี้มาถึงหกวันหลัง GitHub เริ่มบล็อกเวิร์กโฟลว์เดิม

Darktrace เปิดเผย CikaBika Bot มัลแวร์ RAT เขียนด้วย Rust ที่รับคำสั่งทั้งหมดผ่าน Discord โดยสร้างช่องแชตแยกสำหรับเครื่องเหยื่อแต่ละเครื่อง การติดเชื้อเริ่มจากไฟล์ดิสก์อิมเมจที่มี PDF ภาษาฝรั่งเศสเป็นเหยื่อล่อและไฟล์ shortcut ที่ปลอมเป็นเอกสาร Word ตัวโหลดภาษา Nim แกะ DLL ออกมาแล้วพยายามวางเป็น dbghelp.dll ในโฟลเดอร์ Microsoft Edge ด้วยการข้าม UAC ผ่าน computerdefaults.exe มัลแวร์รันคำสั่ง ขโมยไฟล์ จับภาพหน้าจอ เปิดกล้อง และใช้ ngrok ส่งไฟล์ใหญ่ออกไป

Burger King Japan เปิดเผยว่าข้อมูลส่วนบุคคลของสมาชิกแอปทางการราว 11.18 ล้านรายรั่วไหล หลังบุคคลที่สามเข้าถึงระบบจัดการข้อมูลสมาชิกระหว่าง 2-7 ต.ค. 2569 ข้อมูลที่หลุดมีรหัสสมาชิก อีเมล ชื่อ เบอร์โทร วันเกิด เพศ และจังหวัดที่อยู่ บริษัทยืนยันว่าไม่ได้เก็บเลขบัตรเครดิตและไม่พบว่ารหัสผ่านหลุด ยังไม่ระบุผู้โจมตีหรือช่องทางที่ใช้ และได้รายงานต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลของญี่ปุ่นแล้ว

Proofpoint เปิดเผยเครือข่ายฟิชชิงภาษาจีนที่ใช้ชุดเครื่องมือ 3 ตัว คือ CoGUI, CoAceV และ CoFish_Ws รวมราว 17,000 โดเมน ปลอมเป็น 66 แบรนด์ ส่วนใหญ่เป็นธนาคาร บริการชำระเงิน และร้านค้าญี่ปุ่น เพื่อขโมยข้อมูลล็อกอินและบัตร Microsoft และ Health-ISAC ยื่นฟ้องทางแพ่งและยึดโดเมนที่เกี่ยวกับ YAM Store, CoGUI และ Iron Man ซึ่งข้อมูลของ Microsoft ระบุว่าส่งข้อความอันตรายกว่า 1,000 ล้านฉบับถึงองค์กรกว่า 75,000 แห่งตั้งแต่ ม.ค. 2569 ชุดเครื่องมือยังส่งผู้เข้าชมที่ไม่ตรงเงื่อนไขไปเว็บล่อเพื่อหลบการวิเคราะห์

บริษัท Microsoft ร่วมกับ Health-ISAC, JC3 และเอกชน ทลายชุดฟิชชิงภาษาจีน CoGUI, Haozi และ Iron Man System ตามคำสั่งศาล ชุดเหล่านี้ช่วยส่งอีเมลและ SMS ฟิชชิงกว่า 1 พันล้านข้อความถึงองค์กรกว่า 75,000 แห่งตั้งแต่ ม.ค. 2569 ทั้งหมดขายผ่านตลาดมืด YAM Store ที่ยึดเทแนนต์ Microsoft 365 ที่หมดอายุมาใช้ SharePoint และ OneDrive เป็นที่โฮสต์ฟิชชิง Iron Man System มีเทมเพลตกว่า 2,335 แบบใน 139 ประเทศและต้องติดต่อเซิร์ฟเวอร์ไลเซนส์ตลอด ข้อมูลที่เหยื่อกรอกถูกส่งผ่าน WebSocket ให้ผู้ควบคุมดูแบบเรียลไทม์

Huntress พบเว็บปลอม watchguard-vpn[.]net เลียนแบบหน้าดาวน์โหลด WatchGuard Mobile VPN with SSL ที่ขึ้นในผลค้นหา Bing เว็บขอที่อยู่เซิร์ฟเวอร์ VPN ชื่อผู้ใช้ และรหัสผ่าน แล้วส่งไปเซิร์ฟเวอร์ผู้โจมตี โดยแจ้งว่ากรอกผิดรอบแรกเพื่อให้เหยื่อกรอกซ้ำ จากนั้นจึงดาวน์โหลดตัวติดตั้งของแท้จาก CDN ของ WatchGuard ให้ เหยื่อจึงได้ซอฟต์แวร์ของจริงขณะที่ผู้โจมตีได้ข้อมูลพอจะลองเข้า VPN ลายเซ็นที่ถูกต้องบนตัวติดตั้งจึงไม่ได้พิสูจน์ว่าเส้นทางดาวน์โหลดปลอดภัย

นักวิจัยจาก Have I Been Squatted พบ 2 กรณีขอบในการตรวจชื่อโดเมนสากล (IDN) ของ Chromium ที่ทำให้โดเมนหน้าตาเหมือนแบรนด์ดังแสดงเป็นตัวอักษรปกติแทน Punycode และไม่มีคำเตือนโดเมนคล้าย ตัวอย่างคือ аррӏө.com ที่เลียนแบบ apple.com และ oƙta.com ที่เลียนแบบ okta.com ซึ่งเปิดได้บน Chrome 154 พร้อมใบรับรองที่ถูกต้อง ในการทดสอบอีเมล Gmail แสดงโดเมนทั้ง 20 ชื่อเป็นตัวอักษรปกติทั้งหมด ผลทดสอบนี้ไม่ได้รวม Safe Browsing หรือการตรวจชื่อเสียงโดเมน จึงไม่ใช่การหลบระบบกันฟิชชิงทุกชั้น

บริษัท Microsoft เพิ่มการตรวจ QR code ในข้อความ Teams ผ่าน Defender for Office 365 ตามประกาศ MC1490905 ระบบจะถอด URL ที่ซ่อนใน QR code หลังข้อความถูกส่งแล้ว และตรวจว่าชี้ไปเนื้อหาอันตรายหรือไม่ หากพบ Teams จะขึ้นคำเตือนบนข้อความ หรือบล็อกข้อความภายในเมื่อเปิด ZAP for Teams ไว้ URL ที่ถอดได้จะปรากฏในตาราง MessageUrlInfo ของ Defender XDR โดยมีค่า UrlLocation เป็น QRCode การทยอยเปิดใช้เริ่มต้นตุลาคมและคาดว่าเสร็จต้นพฤศจิกายน 2569 โดยไม่ต้องตั้งค่าเพิ่ม