Phishing

บริษัท CTM360 เปิดเผยแคมเปญฟิชชิงที่เล็งภาคประกันภัย ซึ่งยกระดับจากการเก็บรหัสไว้ใช้ทีหลังเป็นการยึดบัญชีแบบเรียลไทม์ หน้าฟิชชิงทำตัวเป็นตัวกลางสด รีเลย์รหัส OTP ไปยังพอร์ทัลจริงก่อนหมดอายุจึงข้าม MFA ได้ ใช้โฆษณา Google เป็นช่องทางเริ่มต้น โฮสต์บนแพลตฟอร์มฟรีแบบใช้แล้วทิ้ง พบชุดฟิชชิงใหม่ InsureOTP Kit ที่จัดการเซสชันเหยื่อสดผ่าน Telegram Bot ซาอุดีอาระเบียเป็นเป้าหลัก

นักวิจัย ReliaQuest เผยแฮ็กเกอร์เปลี่ยนการตั้งค่า DNS บนอุปกรณ์ Wi-Fi ในโรงแรมและศูนย์ประชุม เพื่อเปลี่ยนเส้นทางผู้ใช้ไปยังหน้าล็อกอิน Microsoft 365 ปลอม แคมเปญนี้ดำเนินมาตั้งแต่มิถุนายน 2569 มุ่งเป้าพนักงานที่เดินทาง กระทบหลายภาคส่วนทั้งการเงิน กฎหมาย สุขภาพ และพลังงาน ในสหรัฐฯ อินเดีย และซาอุดีอาระเบีย ใช้กลไก device-code เพื่อข้าม MFA โดยไม่ต้องขโมยรหัสผ่าน ReliaQuest เชื่อว่าคล้ายแคมเปญ FrostArmada ที่โยงกลุ่มจารกรรมรัสเซีย APT28

นักวิจัย JUMPSEC เผยกลุ่มแฮ็กเกอร์เกาหลีเหนือ BlueNoroff เปิดใช้ชุดฟิชชิง (phishing kit) ปลอมเป็น Zoom และ Microsoft Teams เพื่อหลอกเหยื่อในสายคริปโต โดยยึดบัญชี Telegram ของคนที่เหยื่อรู้จักจริงเป็นจุดเริ่มต้น ส่งลิงก์ Calendly นำไปหน้าประชุมปลอม แอบสแกนกระเป๋าเงินคริปโตในเบราว์เซอร์ก่อนคัดเหยื่อมูลค่าสูงปล่อยเพย์โหลด ClickFix ที่รันได้ทั้ง Windows และ macOS ใช้วิดีโอ AI-generated สร้างใบหน้าคุ้นเคยเพิ่มความน่าเชื่อ พบชุดเครื่องมือ 5 เวอร์ชันตั้งแต่ 31 พ.ค.–14 ก.ค. 2569

ผู้ไม่หวังดีอ้างว่าครอบครองและกำลังขายฐานข้อมูลลูกค้าของ Decathlon ราว 160 ล้านรายการ โดยประกาศขายในฟอรัมอาชญากรรมไซเบอร์และรับชำระเป็นสกุลเงินดิจิทัล ข้อมูลที่อ้างว่ามีทั้งอีเมล แฮชรหัสผ่าน ชื่อ-นามสกุล วันเกิด เบอร์โทร ที่อยู่ และข้อมูลบัญชี อย่างไรก็ตามการรั่วไหลนี้ยังไม่ได้รับการตรวจสอบยืนยันโดยอิสระ และ Decathlon ยังไม่ออกมายืนยันว่าระบบถูกเจาะจริง ความเสี่ยงหลักหากข้อมูลเป็นของจริงคือการโจมตีแบบยัดข้อมูลรับรองและฟิชชิงที่แนบเนียน

นักวิจัยจากบริษัท DarkAtlas เปิดเผยว่ากลุ่มจารกรรมไซเบอร์ APT42 ที่เชื่อมโยงกับอิหร่านได้ขยายปฏิบัติการฟิชชิงด้วยการใช้ AI ช่วยค้นคว้าข้อมูลเป้าหมาย สร้างตัวตนปลอมที่น่าเชื่อถือ แปลข้อความ และพัฒนาโค้ด พร้อมอัปเกรดมัลแวร์ TAMECAT ให้ทนทานขึ้น เป้าหมายคือเจ้าหน้าที่ระดับสูงของรัฐและกลาโหม ผู้เชี่ยวชาญด้านนโยบาย และบางกรณีรวมถึงสมาชิกครอบครัวของบุคคลเป้าหมาย

FBI ออกประกาศเตือนเมื่อวันที่ 20 กรกฎาคม 2569 ว่ามิจฉาชีพกำลังปลอมตัวเป็นเจ้าหน้าที่ FBI โดยใช้วิดีโอที่สร้างด้วย AI (Deepfake) แสดงภาพเจ้าหน้าที่ระดับสูง ประกอบกับเว็บไซต์ปลอมที่เลียนแบบ IC3.gov เพื่อหลอกผู้ที่เคยตกเป็นเหยื่อฉ้อโกงไซเบอร์มาแล้วให้เปิดเผยข้อมูลหรือจ่ายเงินเพิ่ม FBI ย้ำว่า IC3 ไม่มีบัญชีโซเชียลมีเดีย ไม่ติดต่อเหยื่อโดยตรง และไม่เรียกเก็บเงินเพื่อกู้คืนทรัพย์สิน

FortiGuard Labs เปิดโปงแคมเปญฟิชชิงชื่อ TTF Trap ที่ใช้ไฟล์นามสกุล .ttf ปลอมเป็นฟอนต์ TrueType เพื่อซ่อนสคริปต์ Lua อันตราย ทำงานผ่านตัวแปลภาษา AutoIt หรือ LuaJIT ที่ถูกกฎหมาย แคมเปญเคลื่อนไหวตั้งแต่ปลายมีนาคม 2569 อีเมลปลอมเป็นบริษัทจริงหลอกเรื่องใบสั่งซื้อ ใบแจ้งหนี้ เอกสารขนส่ง สุดท้ายปล่อยมัลแวร์อย่าง Agent Tesla, Remcos, XWorm และ Snake Keylogger Fortinet ประเมินความรุนแรงระดับสูง

บริษัท Expel ระบุว่าเหตุเจาะระบบ DigiCert เมื่อเดือนเมษายน 2569 เป็นฝีมือคลัสเตอร์ CylindricalCanine ซึ่งเป็นกลุ่มย่อยของ GoldenEyeDog กลุ่มอาชญากรไซเบอร์จีน ผู้โจมตีส่งไฟล์ ZIP ปลอมเป็นภาพหน้าจอผ่านช่องแชตสนับสนุนลูกค้าจนยึดเครื่องเจ้าหน้าที่ได้ แล้วใช้ฟังก์ชันในพอร์ทัลภายในเข้าถึงรหัสเริ่มต้นของคำสั่งซื้อใบรับรอง EV Code Signing DigiCert เพิกถอนใบรับรอง 60 ใบ โดย 27 ใบเชื่อมโยงผู้โจมตีที่นำไปเซ็นมัลแวร์ Zhong Stealer

นักวิเคราะห์จาก GenDigital เปิดเผยเทคนิคหลอกลวงชื่อ GhostPairing ที่ให้มิจฉาชีพเข้าถึงบัญชี WhatsApp ได้โดยไม่ต้องใช้รหัสผ่านหรือรหัส OTP โดยฉวยใช้ฟีเจอร์เชื่อมอุปกรณ์ (Device Linking) ที่ถูกต้องของ WhatsApp แล้วหลอกให้เหยื่ออนุมัติอุปกรณ์ใหม่ที่คนร้ายควบคุม เมื่อสำเร็จคนร้ายจะอ่านข้อความ สวมรอยเจ้าของบัญชี และหลอกลวงคนรู้จักได้ ป้องกันได้ด้วยการตรวจสอบ Linked Devices และเปิด two-step verification

บริษัท ANY.RUN เปิดเผยแคมเปญ PhantomEnigma ที่ยึดเว็บไซต์รัฐบาลบราซิลกว่า 20 แห่ง (.gov.br) ทำเป็นช่องทางส่งมัลแวร์ เริ่มจากอีเมลปลอมเป็นเอกสารตำรวจที่ผ่าน SPF/DKIM/DMARC แล้วเปลี่ยนเส้นทางผ่านโฮสต์รัฐที่ถูกเจาะไปยังตัวติดตั้ง มัลแวร์เป็นแบ็กดอร์ index.js แบบโมดูลฝังในแอป Electron ที่ถูกแก้ไข สั่งรัน JavaScript และดึงเพย์โหลดเพิ่มได้ เสี่ยงต่อธนาคารและหน่วยงานรัฐ