Phishing

นักวิจัยจากบริษัท WhoisXML API พบโดเมนใหม่ 212 รายการที่จดทะเบียนระหว่างวันที่ 24–28 มิถุนายน 2026 อ้างอิงเหตุแผ่นดินไหวเวเนซุเอลา จำนวนมากใช้ถ้อยคำเรื่องการบริจาคและช่วยเหลือผู้ประสบภัย โดย 110 โดเมนเกี่ยวกับการรับบริจาค บางหน้าเว็บขอรับเงินเป็นคริปโตอย่าง Bitcoin โดยไม่มีหลักฐานว่าเงินจะถึงเหยื่อจริง กว่า 93% ของโดเมนปิดบังตัวตนผู้จดทะเบียน นักวิจัยเตือนให้ตรวจสอบองค์กรผ่านช่องทางทางการก่อนบริจาค

Netcraft เปิดเผยว่าแพลตฟอร์มฟิชชิงสำเร็จรูป (PHaaS) ชื่อ Bluekit เปิดใช้งานเต็มรูปแบบแล้ว พบโดเมนราว 70 ชื่อในสัปดาห์เดียว จุดเด่นคือเทคนิค Browser-in-the-Middle ที่โหลดหน้าล็อกอินจริงในเบราว์เซอร์ที่แฮ็กเกอร์ควบคุม แล้วสตรีม DOM สดให้เหยื่อผ่าน WebSocket เมื่อเหยื่อกรอกข้อมูล เซสชันจะเปิดบนเครื่องแฮ็กเกอร์ตั้งแต่ต้น ลายนิ้วมือเบราว์เซอร์ไม่เปลี่ยน หลบ MFA และระบบตรวจจับได้แนบเนียน พร้อมรันการตรวจบอตกว่า 20 รายการก่อนปล่อยหน้าฟิชชิง

FBI และ CISA อัปเดตคำเตือนเรื่องสายลับรัสเซียฟิชชิงบัญชี Signal โดยเพิ่มขั้นตอนใหม่ หลอกเหยื่อให้ส่งมอบ Signal Backup Recovery Key เมื่อได้คีย์ไป ผู้โจมตีสามารถกู้คืนแบ็กอัป อ่านประวัติข้อความ และยึดบัญชีได้ แม้สร้างบัญชีใหม่บนเบอร์เดิมคีย์เก่ายังใช้ได้ การโจมตีไม่ได้เจาะการเข้ารหัส แต่ใช้ social engineering เป้าหมายคือเจ้าหน้าที่รัฐ ทหาร นักข่าว

หน่วยความมั่นคงยูเครน (SSU) ร่วมกับ FBI เปิดโปงปฏิบัติการระยะยาวของหน่วยข่าวกรองรัสเซียที่เจาะบัญชีแอปแชตของเจ้าหน้าที่รัฐ ทหาร นักการเมือง และนักเคลื่อนไหวในยูเครน ยุโรป และสหรัฐฯ ด้วยการส่ง SMS ปลอมเป็นบอทฝ่ายสนับสนุนของแพลตฟอร์มหลอกขอข้อมูลล็อกอิน เป้าหมายคือล้วงข้อมูลทางทหาร การเมือง และเศรษฐกิจที่อ่อนไหว คลื่นโจมตีคล้ายกันถูกเชื่อมโยงกับกลุ่ม Star Blizzard, UNC5792 และ UNC4221

Infoblox รายงานว่าเว็บไซต์กว่า 200,000 แห่งใช้เทมเพลตหลอกลงทุนที่สร้างด้วยเฟรมเวิร์กโอเพนซอร์สจีน Uni-App ของ DCloud ครอบคลุมตั้งแต่กระดานเทรดคริปโตปลอม เว็บพนัน การปลอมแบรนด์ ฟิชชิ่ง WhatsApp ไปจนถึงเว็บ pig-butchering หลายภาษา พบโดเมนระดับสองกว่า 236,000 รายการเชื่อมโยงกับเครือข่ายเดียวกัน รวมถึงแพลตฟอร์ม RainbowEx ที่เคยหลอกชาวเมืองเล็กในอาร์เจนตินาทั้งเมือง ผู้ขายเทมเพลตหลอกลงทุนเปิดให้มิจฉาชีพนำไปใช้ต่อ

บริษัท Push Security เปิดโปงแคมเปญ Poisoned Tenant ที่แฮ็กเกอร์สร้างองค์กร OpenAI ปลอมแอบอ้างชื่อบริษัทจริง แล้วส่งคำเชิญเข้าร่วม ChatGPT workspace ไปยังพนักงานที่เลือกเป้าหมายไว้ คำเชิญส่งจากอีเมลจริงของ OpenAI ผ่านการตรวจสอบ authentication ทุกขั้น เป้าหมายคือหลอกให้พนักงานใช้ workspace ปลอมเสมือนแพลตฟอร์มองค์กรจริงเพื่อดักข้อมูลอ่อนไหวที่พิมพ์ลง prompt เหยื่อที่ตกเป็นเป้าล้วนอยู่ในวงการไซเบอร์และเทคโนโลยี

Cyber Security News รายงานชุดเครื่องมือฟิชชิง EvilTokens ที่เจาะการยืนยันตัวตนแบบ Microsoft Device Code และซ่อนหน้าฟิชชิงไว้ในเบราว์เซอร์ หน้าฟิชชิงถูกเข้ารหัส AES-GCM ในการตอบกลับ HTML ครั้งแรก แล้วถอดรหัสด้วย JavaScript ฝั่งเบราว์เซอร์ก่อนแสดงใน DOM ทำให้การวิเคราะห์ URL แบบ static มองไม่เห็นเนื้อหาจริง สร้างจุดบอดให้นักวิเคราะห์ SOC และทำให้การยืนยัน account takeover ล่าช้า

นักวิจัยจาก LevelBlue พบแคมเปญ LokiBot ระลอกใหม่ มัลแวร์ขโมย credential ที่เก่าแก่ที่สุดตัวหนึ่งซึ่งยังทำงานอยู่ ใช้ไฟล์แนบอีเมล JScript เป็นจุดเริ่มต้น ตามด้วย PowerShell, .NET injector และ process injection เข้าสู่ aspnet_compiler.exe เพื่อหลบการตรวจจับ LokiBot ขโมย credential จากกว่า 100 แอป ทั้งเบราว์เซอร์ กระเป๋าคริปโต อีเมลไคลเอนต์ และ FTP แล้วบีบอัดส่งไป C2 ผู้ใช้และองค์กรเสี่ยงถูกยึดบัญชีและขโมยข้อมูล

Cyfirma เปิดเผยแคมเปญฟิชชิงที่ปลอมเป็นการแจ้งเตือนจาก Microsoft Teams หลอกพนักงานให้ดาวน์โหลดเครื่องมือ RMM ที่ตั้งค่าให้เชื่อมต่อกลับเซิร์ฟเวอร์ของผู้โจมตี ตัวติดตั้งถูกเซ็นด้วยใบรับรองถูกต้องจึงหลบ AV ได้ และใช้เว็บไซต์ธุรกิจที่ถูกเจาะร่วมกับ Cloudflare Workers/Pages เป็นโครงสร้างพื้นฐาน เมื่อติดตั้งแล้วผู้โจมตีฝังตัวหลายชั้นและลงทะเบียน credential provider DLL เพื่อดักรหัสผ่านที่หน้าจอล็อกอิน

นักวิจัยจาก Datadog Security Labs พบชุดฟิชชิ่งแบบ adversary-in-the-middle (AiTM) ที่พุ่งเป้าผู้ใช้ AWS ขโมย credential และโค้ด MFA แบบเรียลไทม์ในขณะที่เหยื่อพิมพ์ ทำให้ผู้โจมตีเข้าสู่ AWS console ได้ก่อนเหยื่อจะรู้ตัวและ MFA แทบไร้ผล แคมเปญทำงานระหว่าง 19-23 มิ.ย. 2026 ใช้สามโดเมนปลอมหน้า AWS sign-in โจมตีแบบเจาะจงวิศวกรซอฟต์แวร์ในสหรัฐฯ ไม่ถึง 50 ราย ด้วยอีเมลปลอมเป็น AWS Support