Session-Hijacking

Check Point พบ Aokigahara มัลแวร์ขโมยข้อมูลบน Windows ที่ไม่ได้เก็บแค่รหัสผ่านเบราว์เซอร์ คริปโต และ VPN แต่เล็งไฟล์ยืนยันตัวตนและ session ของเครื่องมือ AI อย่าง Claude, ChatGPT Desktop, Codex, Cursor, Windsurf, GitHub Copilot และ Gemini CLI มันยังเก็บข้อมูล Git, กุญแจ SSH และไฟล์คอนฟิก AWS, Azure และ Google Cloud แล้วเข้ารหัสส่งออก ผู้โจมตีนำบัญชี AI ไปขายต่อหรือใช้ประวัติแชตที่มีโค้ดลับข่มขู่เรียกเงินได้ ควรปฏิบัติต่อ session ของเครื่องมือ AI เหมือนความลับระดับองค์กร

บริษัท Huntress เปิดเผยแคมเปญ token spraying ที่ขโมยโทเคนล็อกอิน Microsoft 365 ผ่านหน้า AitM แล้วใช้ซ้ำ ยึดได้ 97 บัญชีใน 79 องค์กร ช่วง ก.ค.-ก.ย. 2569 โทเคนออกหลังผ่าน MFA แล้ว ผู้ถือจึงเข้าบัญชีได้โดยไม่ต้องรู้รหัสผ่านหรือยืนยันซ้ำ หลังเข้าได้ ผู้โจมตีลงแอปยืนยันตัวตนของตน ลงทะเบียนอุปกรณ์ Entra ปลอม 48 เครื่อง และตั้ง inbox rule ซ่อนอีเมลเรื่องเงินเดือน ของเหล่านี้ไม่หายเมื่อรีเซ็ตรหัสผ่าน ควรเพิกถอนเซสชัน ลบอุปกรณ์และ MFA แปลกปลอม และตั้ง Conditional Access ครอบคลุมผู้ใช้และแอปทั้งหมด

Netskope Threat Labs รายงานว่ามัลแวร์ XWorm RAT เพิ่มปลั๊กอินเชิงสอดแนมจนมี 46 ตัว ทั้งติดตามตำแหน่ง ดักเสียงไมโครโฟน และกล้องเว็บแคม ปลั๊กอิน HBrowser ให้ผู้โจมตีควบคุมเบราว์เซอร์ของเหยื่อแบบโต้ตอบ ใช้แท็บที่ล็อกอินไว้แล้วโดยไม่ต้องขโมยรหัสผ่านหรือผ่าน MFA ซ้ำ ไตรมาส 3 ปี 2569 พบเหตุตรวจจับ 1,236 ครั้งในลูกค้ากว่า 100 องค์กร มากกว่าปีก่อน 4 เท่า ราว 35% เป็นภาคการเงิน กิจกรรมพุ่งหลัง builder แบบแคร็กและซอร์สโค้ดรุ่น 6.4 หลุดสู่สาธารณะเมื่อปี 2568

แคมเปญฟิชชิงชื่อ CSuite ผสมการขโมย session ของ Microsoft 365 เข้ากับการติดตั้งเครื่องมือจัดการระยะไกล (RMM) ทำให้เหตุฟิชชิงครั้งเดียวลุกลามเป็นการยึดทั้งบัญชีและเครื่องปลายทาง กลุ่มใช้เหยื่อล่อที่อ้างอิงบริการยอดนิยมอย่าง DocuSign, Zoom และ Microsoft 365 แล้วเดินเกมได้สองทางคือติดตั้ง ScreenConnect หรือ Action1 เพื่อเข้าถึงเครื่อง หรือหลอกเอา session ผ่าน device-code phishing โดยกิจกรรมกระจุกตัวในสหรัฐฯ และภาคเทคโนโลยี การผลิต ภาครัฐ และที่ปรึกษา

รายงานสรุป 6 เทคนิคการโจมตีผ่านเบราว์เซอร์ที่ทีมความปลอดภัยควรจับตาในปี 2026 เนื่องจากการเจาะระบบส่วนใหญ่เริ่มต้นและจบลงภายใน session ของเบราว์เซอร์ ครอบคลุมตั้งแต่ฟิชชิงขโมย session ด้วยชุด AiTM, เทคนิค ClickFix หลอกให้คัดลอกและรันคำสั่ง, authorization phishing ที่เลี่ยง MFA ทุกรูปแบบ, ส่วนขยายเบราว์เซอร์อันตราย, การใช้รหัสผ่านที่รั่วและ ghost login ไปจนถึงการยึด session ด้วย token ที่ถูกขโมย โดยอ้างอิงสถิติจากรายงานของ Microsoft, Verizon และ Cloudflare

Okta วิเคราะห์ข้อมูลจากอินโฟสตีลเลอร์ขนาด 7 GB ที่ถูกปล่อยบน Telegram เมื่อวันที่ 2 สิงหาคม 2569 ซึ่งมาจากเครื่องติดมัลแวร์ 5,871 เครื่องใน 162 ประเทศ และพบโทเค็นยืนยันตัวตนที่ยังไม่หมดอายุจำนวนมากของบริการอย่าง Google, Microsoft, Anthropic, Amazon, Cursor และ Character.ai ในจำนวน JWT ทั้งหมด 44,791 รายการมี 555 รายการที่เกี่ยวกับบริการ AI และมีโทเค็นที่ยังใช้ได้ในวันปล่อยข้อมูล 1,843 รายการ ซึ่งเล่นซ้ำเข้าบัญชีได้โดยข้ามทั้งรหัสผ่านและ MFA

นักวิจัยจาก Check Point Research แกะมัลแวร์ JSCeal ที่คอมไพล์เป็น V8 bytecode และซ้อนการพรางโค้ดหลายชั้นได้สำเร็จ มัลแวร์ขโมยคุกกี้ รหัสผ่าน และโทเคน OAuth จากเบราว์เซอร์ตระกูล Chromium หลายตัว แล้วนำคุกกี้ไปประกอบเซสชันขึ้นใหม่เพื่อสวมสิทธิ์บัญชี Google โดยข้ามการยืนยันตัวตน อีกทั้งยังติดตั้งพร็อกซีในเครื่องพร้อมออกใบรับรองเองเพื่อแก้ไขทราฟฟิกของ Binance Bybit และ Ledger แพร่กระจายผ่านโฆษณาปลอมที่อ้างชื่อแพลตฟอร์มเทรดคริปโต

บริษัท Anthropic ยืนยันว่ามัลแวร์ประเภท infostealer หลายตระกูลสามารถขโมยเซสชัน Claude ที่ผู้ใช้ล็อกอินค้างไว้ แล้วเปิดทางให้ผู้โจมตีใช้โควตาจนหมดโดยไม่ต้องแตะรหัสผ่าน บริษัทเริ่มบังคับผู้ใช้ที่ได้รับผลกระทบออกจากระบบและลบบัตรชำระเงินที่บันทึกไว้ พบตระกูลมัลแวร์ทั้ง Vidar, LummaC2, StealC, RedLine และ Acreed บน Windows กับ Atomic Stealer บน macOS การเพิกถอนเซสชันหรือบล็อกการชำระเงินไม่พอ หากมัลแวร์ยังอยู่บนเครื่องก็ดักการล็อกอินครั้งต่อไปได้อีก

บริษัท Island เปิดเผยชุดเครื่องมือฟิชชิงแบบ AitM ชื่อ NovaCookies ที่ขายแบบสมาชิกรายเดือนราคา 320 ดอลลาร์ และถูกใช้เล็งเป้าองค์กรหลายร้อยแห่งใน 6 ประเทศ จุดเด่นคือใช้ซองเอกสาร Docusign ของจริงส่งเหยื่อล่อ ทำให้ผ่านการตรวจสอบผู้ส่งและชื่อเสียงโดเมนไปได้ ก่อนเด้งผ่านหน้าล็อกอินของไมโครซอฟท์หรือกูเกิลแล้วจึงถึงเซิร์ฟเวอร์ของผู้โจมตี ซึ่งทำหน้าที่เป็นพร็อกซีดักเซสชันที่ผ่าน MFA แล้วแบบเรียลไทม์

Netcraft เปิดเผยว่าแพลตฟอร์มฟิชชิงสำเร็จรูป (PHaaS) ชื่อ Bluekit เปิดใช้งานเต็มรูปแบบแล้ว พบโดเมนราว 70 ชื่อในสัปดาห์เดียว จุดเด่นคือเทคนิค Browser-in-the-Middle ที่โหลดหน้าล็อกอินจริงในเบราว์เซอร์ที่แฮ็กเกอร์ควบคุม แล้วสตรีม DOM สดให้เหยื่อผ่าน WebSocket เมื่อเหยื่อกรอกข้อมูล เซสชันจะเปิดบนเครื่องแฮ็กเกอร์ตั้งแต่ต้น ลายนิ้วมือเบราว์เซอร์ไม่เปลี่ยน หลบ MFA และระบบตรวจจับได้แนบเนียน พร้อมรันการตรวจบอตกว่า 20 รายการก่อนปล่อยหน้าฟิชชิง