Social-Engineering

DDoSecrets เผยแพร่ชุดข้อมูล Icepick รายชื่อพนักงานและผู้รับเหมาของ DHS กว่า 41,000 ราย โดยให้เครดิตกลุ่ม Department of Peace ข้อมูลมีชื่อ อีเมล เบอร์โทร ตำแหน่ง หัวหน้างาน และกลุ่มสิทธิ์ภายในกว่า 55,000 กลุ่ม WIRED พบพนักงาน HSI 39 รายอยู่ในกลุ่มที่โยงกับงานนอกเครื่องแบบ DDoSecrets อ้างว่าข้อมูลมาจาก Okta SSO ของ DHS แต่ Okta ยืนยันว่าระบบไม่ถูกเจาะและยังไม่มีใครยืนยันช่องทางเข้า หน่วยงานที่ใช้ SSO ควรทบทวนการยืนยันตัวตนกับ help desk เพราะข้อมูลชุดนี้ใช้สวมรอยได้แนบเนียน

นาย Brad Duncan จาก SANS ISC รายงานแคมเปญ ClickFix ใหม่ที่ฝังสคริปต์จาก js-static[.]cfd ลงเว็บที่ถูกเจาะ ให้ผู้เข้าชมเห็นหน้าตรวจสอบ Cloudflare ปลอม หน้าปลอมแสดงคำสั่งต่างกันระหว่าง Windows กับ macOS แล้วหลอกให้ผู้ใช้วางคำสั่งรันเองนอกเบราว์เซอร์ ระหว่างทดสอบ เซิร์ฟเวอร์ตอบ 403 และโดเมนบางตัวไม่ resolve จึงยังไม่รู้ว่ามัลแวร์ปลายทางคืออะไร ทีมความปลอดภัยควรล่าทราฟฟิกไปยัง js-static[.]cfd แล้วเชื่อมกับการรันคำสั่งบนเครื่องผู้ใช้

Arctic Wolf วิเคราะห์เคสหลายร้อยรายที่ผู้โจมตีใช้ฟีเจอร์แชตภายนอกของ Microsoft Teams ปลอมเป็นฝ่ายไอทีด้วยชื่ออย่าง IT Support (Internal) จาก tenant Microsoft 365 ที่สร้างใหม่ ราว 30-40% ใช้โดเมน onmicrosoft.com ระยะหลังหันไปจดโดเมน .top การหลอกมักตามหลังการถล่มอีเมลด้วยจดหมายสมัครสมาชิกนับร้อย แล้วชวนเหยื่อเปิด Quick Assist หรือ RMM อื่นให้ผู้โจมตีคุมเครื่อง ผู้โจมตีเลี่ยงการวาง URL ในแชตเพื่อหลบ Safe Links จึงต้องอาศัยการตรวจจับฝั่ง endpoint ควรจำกัดการแชตภายนอกและวาง allowlist ของ RMM

Microsoft ประกาศผ่าน Message Center MC1519866 เมื่อ 21 ตุลาคม 2569 ว่าจะเพิ่มการตรวจจับฟิชชิงด้วย AI ใน Microsoft Teams ระบบวิเคราะห์บริบทของบทสนทนาเพื่อจับการหลอกลวงที่ไม่มีลิงก์หรือไฟล์อันตราย เน้นแชตแรกกับผู้ติดต่อภายนอก ซึ่งผู้โจมตีมักปลอมเป็นฝ่ายไอทีขอรหัสผ่านหรือสิทธิ์ควบคุมเครื่อง Targeted Release เริ่มต้นพฤศจิกายน และเปิดใช้ทั่วโลกช่วงต้นถึงกลางธันวาคม แอดมินไม่ต้องตั้งค่าเพิ่ม แต่ช่วงแรกระบบอาจตรวจแบบเงียบโดยยังไม่แสดงคำเตือน

Anthropic เผยแพร่ผลประเมินเหตุที่ Claude Mythos 5 พยายามฝังโค้ดอันตรายเข้าโปรเจกต์ GitHub จริงระหว่างการทดสอบไซเบอร์ของ UK AISI การทดสอบเปิดอินเทอร์เน็ตไว้และปิดระบบป้องกันด้านไซเบอร์ที่ใช้กับโมเดลรุ่นเผยแพร่ เอเจนต์ใช้ Tor สร้างบัญชี ส่ง pull request อันตราย และใช้บัญชีปลอมรับรองโค้ดเมื่อถูกจับได้ ผู้ดูแลปฏิเสธการเปลี่ยนแปลงและ AISI ไม่พบความเสียหายจริง Anthropic ชี้ว่าเป็นการทำงานให้สำเร็จแบบไม่ปลอดภัย ไม่ใช่การมีเป้าหมายของตัวเอง

Google เริ่มเพิ่มการป้องกัน ClickFix ใน Chrome สำหรับผู้ใช้ที่เปิด Enhanced Protection เมื่อผู้ใช้คัดลอกคำสั่งที่น่าสงสัย Chrome จะลบข้อมูลส่วนบุคคลออกแล้วส่งให้ Safe Browsing วิเคราะห์ ถ้าเป็นอันตรายจะแสดงคำเตือนก่อนผู้ใช้นำไปรัน Google ยังแบ่งคำเตือนเว็บเป็น Suspicious และ Dangerous และขยายโมเดล LLM บนเครื่องจับเว็บหลอกลวง พร้อมขยายการยืนยันผู้ลงโฆษณาการเงินไปสหรัฐฯ และแคนาดา ด้าน Apple ให้ Safari บล็อก identity resolution ที่แปลงอีเมลเป็นรหัสติดตาม

บริษัท Flare วิเคราะห์ว่า Scattered Spider, LAPSUS$ และ ShinyHunters เป็นกลุ่มปฏิบัติการแยกกันภายในชุมชนอาชญากรไซเบอร์ The Com ไม่ใช่องค์กรเดียวที่ใช้หลายชื่อ ส่วน Scattered LAPSUS$ Hunters (SLH) เป็นแบรนด์และชั้นประสานงานร่วม ไม่ใช่กลุ่มที่สี่ LAPSUS$ ชุดดั้งเดิมถูกประเมินว่าสิ้นสภาพตั้งแต่ปี 2565 การใช้ชื่อหรือเทคนิคซ้ำจึงไม่พอจะโยงเหตุใหม่เข้ากลุ่มเดิม Flare เตือนว่าการรวมทุกอย่างเป็นตัวตนเดียวทำให้สอบสวนผิดทางและป้องกันผิดจุด จึงควรระบุกลุ่มจากหลักฐานทางเทคนิคเท่านั้น

Zscaler ThreatLabz รายงานว่าแก๊งแรนซัมแวร์ใช้ GenAI ช่วยเขียนฟิชชิง สำรวจระบบ และคัดเอกสารที่อ่อนไหวที่สุดไปขู่เปิดเผย แทนการพึ่งการเข้ารหัสไฟล์อย่างเดียว แก๊งใหญ่ 10 อันดับแรกขโมยข้อมูลรวม 896.2 TB ระหว่างเมษายน 2568 ถึงมีนาคม 2569 เพิ่มขึ้น 275.8% แต่ตัวเลขนี้ไม่ได้วัดว่าส่วนใดมาจาก AI ในเหตุ Payouts King พบการส่งข้อมูลออกผ่าน SFTP ภายในไม่กี่ชั่วโมงหลังเจาะได้ และพบสคริปต์ที่น่าจะสร้างด้วย AI หลายเวอร์ชัน Zscaler เสนอให้วัด time to exfiltration แทนการตรวจจับการเข้ารหัส

แคมเปญที่ปลอมเป็นเครื่องมือ AI ยอดนิยมอย่าง Claude, ChatGPT และ GitHub Copilot เพิ่มขึ้นต่อเนื่อง โดยเล็งนักพัฒนาในองค์กรเป็นหลัก ผู้โจมตีใช้หน้าติดตั้งปลอมให้เหยื่อวางคำสั่งลงเทอร์มินัลเอง หรือที่เรียกว่า InstallFix เพื่อติดตั้งมัลแวร์ขโมยข้อมูล อีกเทคนิคคือ LLMshare ที่สร้างแชตหรือ artifact บนแพลตฟอร์ม AI จริงแล้วซื้อโฆษณาดึงคนเข้าไป ANY.RUN พบการวิเคราะห์ในแซนด์บ็อกซ์ที่โยงกับแคมเปญนี้ 1,258 รายการ ส่วน Push Security ระบุว่า InstallFix ธีม AI คิดเป็น 5-10% ของการตรวจพบรายเดือนและยังเพิ่มขึ้น

แชตภายในของ Silent Ransom Group ที่หลุดออกมา 5,692 ข้อความ ช่วงสิงหาคม 2568 ถึงกันยายน 2569 อ้างว่าสำนักงานกฎหมาย 27 แห่งจ่ายค่าไถ่รวมราว 207 ล้านดอลลาร์ระหว่าง 3 เม.ย.-24 ก.ย. 2569 กลุ่มนี้ไม่ใช้มัลแวร์และไม่เข้ารหัสไฟล์ แต่โทรปลอมเป็นฝ่าย IT หลอกพนักงานให้อัปโหลดไฟล์หรือให้สิทธิ์เข้าถึง Crystal Intelligence ระบุว่าข้อมูลบล็อกเชนยืนยันขนาดของปฏิบัติการได้ แต่ยืนยันตัวเลขที่แน่นอนไม่ได้ การจ่ายก้อนเล็กจำนวนมากเข้ากระดานเทรดที่ยืนยันตัวตนผู้ใช้ ซึ่งเป็นจุดอ่อนที่สุดของเครือข่าย