Phishing

บริษัท Have I Been Squatted เปิดโปงสปายแวร์แอนดรอยด์ชื่อ Corp MDM ที่เจาะบริษัทในภาคโลจิสติกส์ ผ่านหน้า Google Play ปลอมที่สวมแบรนด์ CEVA และ TKW Logistics เพื่อแจกไฟล์ APK ที่ปลอมเป็นบริการระบบ มัลแวร์ดักข้อความ SMS ที่เข้ามาใหม่ เปิดการโอนสายอัตโนมัติ และคงบริการเบื้องหลังแบบซ่อน ส่งข้อมูลออกผ่าน HTTP แบบไม่เข้ารหัส คาดว่าเชื่อมโยงกับกลุ่มอาชญากรรมสาย Diesel Vortex ที่มีเบาะแสอาร์เมเนีย-รัสเซีย

นักวิจัยจาก Vigilance Security เปิดโปงแคมเปญ Dark Sourcery ที่ผู้โจมตีจงใจป้อนข้อมูลลวงและลิงก์ฟิชชิงลงเว็บจำนวนมากเพื่อให้ ChatGPT, Gemini และ Google AI Overview ดึงไปตอบผู้ใช้เสมือนเป็นข้อเท็จจริง พบหน้าเว็บอันตรายหลายหมื่นหน้าที่มีเบอร์ซัพพอร์ตปลอมและหน้าล็อกอินปลอม กระทบแบรนด์ดังกว่า 374 แห่ง เทคนิคนี้ต่างจาก SEO poisoning และ prompt injection เพราะข้อมูลลวงกลายเป็นส่วนหนึ่งของคำตอบ AI โดยตรง จนเลี่ยงระบบป้องกันได้

นักวิจัย Securonix เปิดโปงแคมเปญใหม่ชื่อ TASK#STOMP ที่ปล่อยแบ็กดอร์ PowerShell เพื่อขโมยเอกสารธุรกิจ รหัส Wi-Fi และข้อมูลคลิปบอร์ดจากเครื่องเหยื่อ การติดเชื้อเริ่มจากไฟล์ VBScript บนเดสก์ท็อปที่สร้าง scheduled task ปลอมเป็นบริการระบบ แล้วรันโมดูล PowerShell สองตัวที่คอยเฝ้าไฟล์ จับภาพหน้าจอ และรับคำสั่งจากเซิร์ฟเวอร์ C2 สองแห่งแบบสำรอง มัลแวร์อาศัยเครื่องมือ Windows ในตัวเพื่อกลมกลืนกับกิจกรรมปกติและหลบการตรวจจับ

แพลตฟอร์มการตลาด Brevo ถูกเจาะห่วงโซ่อุปทาน ทำให้โค้ดอันตรายถูกฝังลงเว็บไซต์กว่า 100,000 แห่ง ผู้โจมตีเจาะครั้งแรกวันที่ 10 กันยายนผ่านช่องโหว่การจัดการ SAML SSO เข้าถึง 138 บัญชี รวมถึงบัญชีของ Trezor แล้วกลับมาอีกครั้งวันที่ 14 กันยายนโดยใช้คีย์ API ของ Cloudflare ที่ยึดได้ ปล่อย worker inject สคริปต์อันตรายเข้าไฟล์ JavaScript ที่ลูกค้าฝังบนเว็บ สคริปต์แสดงหน้ายืนยันตัวตนปลอมของ Cloudflare หลอกให้เหยื่อรันคำสั่งบนเครื่องด้วยเทคนิค ClickFix

บริษัท CenterPoint Energy ผู้ให้บริการไฟฟ้าและก๊าซในสหรัฐ ยืนยันผ่านเอกสารที่ยื่นต่อ ก.ล.ต. ว่ามีผู้บุกรุกขโมยข้อมูลส่วนบุคคลของลูกค้าบางส่วนผ่านระบบที่เปิดสู่อินเทอร์เน็ต แฮ็กเกอร์นามแฝง 4d722e4d656f77 อ้างว่าดึงข้อมูลลูกค้าราว 7.49 ล้านรายการจาก API ที่ไม่มี WAF ไม่จำกัดอัตราคำขอ และไม่มีการยืนยันตัวตน ข้อมูลที่อ้างว่าหลุดมีทั้งชื่อ ที่อยู่ หมายเลขบัญชี และเลขประกันสังคมบางส่วน บริษัทระบุว่าบริการพลังงานไม่ได้รับผลกระทบและกำลังสอบสวนขอบเขตข้อมูลที่รั่ว

รายงานเปิดเผยแคมเปญฟิชชิงจากชุดเครื่องมือชื่อ N0va ที่เล็งองค์กรในอเมริกาเหนือและยุโรป ทั้งภาครัฐ เทคโนโลยี และสาธารณสุข จุดเด่นคือปลอมเป็นบริการธุรกิจที่คุ้นเคยอย่าง Microsoft Teams, SharePoint, DocuSign และ Zoom แล้วพาเหยื่อผ่านขั้นตอนยืนยันตัวตนจริงแทนหน้าล็อกอินปลอม เมื่อล็อกอินสำเร็จ N0va จะดักโทเคนเข้าถึงและโทเคนรีเฟรช แล้วใช้กลไกแลกเปลี่ยนโทเคนและลงทะเบียนอุปกรณ์เพื่อสร้างการเข้าถึงแบบ SSO ทำให้เข้าถึงอีเมล ไฟล์ และแอปคลาวด์ขององค์กรได้โดยไม่ต้องใช้มัลแวร์ที่สังเกตง่าย

หน่วยงานดิจิทัลของญี่ปุ่น (Digital Agency) เปิดเผยว่าผู้โจมตีใช้ช่องโหว่ในอุปกรณ์ VPN เจาะระบบ Government Solution Service (GSS) ทำให้ข้อมูลส่วนบุคคลของเจ้าหน้าที่รัฐและผู้รับเหมาราว 246,000 รายเสี่ยงรั่วไหล ระบบ GSS เชื่อมต่อ 23 กระทรวงและหน่วยงานของญี่ปุ่นผ่านโครงสร้างไอทีร่วมกัน เหตุถูกตรวจพบเมื่อ 25 มิถุนายน และยืนยันว่าเจาะผ่าน VPN เมื่อ 9 กรกฎาคม 2569 จุดสำคัญคือช่องโหว่นี้ไม่ใช่ zero-day และมีแพตช์ออกมาก่อนถูกโจมตี แต่หน่วยงานยังไม่เปิดเผยยี่ห้อผลิตภัณฑ์ VPN โดยข้อมูลที่เสี่ยงมีทั้งชื่อ อีเมล และเบอร์โทร แต่ไม่รวมหมายเลข My Number หรือเลขบัญชีธนาคาร

นักวิจัยของ Microsoft ติดตามแคมเปญฟิชชิงที่ผู้โจมตีซึ่งยังระบุตัวไม่ได้ส่งอีเมลมากกว่า 1 ล้านฉบับภายในราว 48 ชั่วโมงระหว่างวันที่ 3 ถึง 5 สิงหาคม 2569 อีเมลแต่ละฉบับถูกปรับให้ตรงกับผู้รับด้วยชื่อจริงของผู้บริหารในบริษัทเป้าหมาย และเจาะจงไปที่ฝ่ายบัญชีเจ้าหนี้โดยตรง เนื้อหาอ้างว่าบริษัทค้างค่าบริการรายปีเกือบ 50,000 ดอลลาร์ พร้อมใบแจ้งหนี้ที่มีรายการย่อยและยอดเงินที่ไม่ลงตัวแบบเลขกลม จุดที่แยบยลที่สุดคือการห่ออีเมลไว้ในเธรดสนทนาปลอมที่แต่งขึ้นทั้งหมด

Microsoft เตือนแคมเปญฟิชชิงปริมาณสูงที่ใช้อักขระแท็ก Unicode ซึ่งมองไม่เห็นเพื่อหลบตัวกรองอีเมล โดยแทรกอักขระเหล่านั้นกลางคำล่อทางการเงินอย่าง funding เพื่อไม่ให้ตัวกรองจับคำได้ ขณะที่ผู้รับยังอ่านข้อความได้ตามปกติ เทคนิคนี้เดิมถูกใช้ซ่อนคำสั่งจากคนแต่ให้โมเดล AI อ่านเห็น แคมเปญนี้ส่งอีเมลวันธรรมดาสูงถึง 1 ถึง 2.37 ล้านฉบับ และเชื่อมโยงกับปฏิบัติการที่ใช้แพลตฟอร์ม ActiveCampaign ส่งอีเมลฟิชชิงที่สร้างด้วย AI

Manchester Airports Group เปิดเผยว่าบุคคลที่สามที่ไม่ได้รับอนุญาตเข้าถึงข้อมูลลูกค้าราว 8.7 ล้านรายของสนามบินแมนเชสเตอร์ ลอนดอนสแตนสเต็ด และอีสต์มิดแลนด์ส ข้อมูลที่หลุดมาจากการจองที่จอดรถ เลานจ์ ช่องตรวจแบบเร่งด่วน และการลงทะเบียนใช้ไวไฟในสนามบิน ประกอบด้วยอีเมล เบอร์โทรศัพท์ ทะเบียนรถ และรหัสไปรษณีย์ แต่ไม่มีข้อมูลธนาคารหรือการชำระเงิน บริษัททราบเหตุเมื่อ 25 สิงหาคม 2569 หลังผู้โจมตีเจาะระบบช่วงสุดสัปดาห์ ยังไม่มีกลุ่มใดอ้างความรับผิดชอบ