Vishing

Group-IB เปิดโปง CyberDakait แคมเปญมัลแวร์แอนดรอยด์ที่เล็งลูกค้าธนาคารอินเดียตั้งแต่ ก.ค. 2568 พบเครื่องถูกยึดอย่างน้อย 17,960 เครื่องและ SMS ถูกดัก 7,611,443 ข้อความ ผู้โจมตีโทรแอบอ้างเป็นธนาคารให้ยกเลิกแผนคุ้มครองบัตรเครดิต แล้วพาไปติดตั้ง APK จาก GitHub ที่ขโมยข้อมูลบัตร รหัส OTP และแอบขุด Monero มัลแวร์ 7 ตระกูลสวมรอยธนาคาร 11 แห่งกับโครงการรัฐ 2 โครงการ และเก็บข้อมูล PAN กับ Aadhaar ด้วย ผู้ใช้ควรติดตั้งแอปธนาคารจากช่องทางทางการเท่านั้นและตรวจแอปที่ขอสิทธิ์ SMS

Arctic Wolf วิเคราะห์เคสหลายร้อยรายที่ผู้โจมตีใช้ฟีเจอร์แชตภายนอกของ Microsoft Teams ปลอมเป็นฝ่ายไอทีด้วยชื่ออย่าง IT Support (Internal) จาก tenant Microsoft 365 ที่สร้างใหม่ ราว 30-40% ใช้โดเมน onmicrosoft.com ระยะหลังหันไปจดโดเมน .top การหลอกมักตามหลังการถล่มอีเมลด้วยจดหมายสมัครสมาชิกนับร้อย แล้วชวนเหยื่อเปิด Quick Assist หรือ RMM อื่นให้ผู้โจมตีคุมเครื่อง ผู้โจมตีเลี่ยงการวาง URL ในแชตเพื่อหลบ Safe Links จึงต้องอาศัยการตรวจจับฝั่ง endpoint ควรจำกัดการแชตภายนอกและวาง allowlist ของ RMM

แชตภายในของ Silent Ransom Group ที่หลุดออกมา 5,692 ข้อความ ช่วงสิงหาคม 2568 ถึงกันยายน 2569 อ้างว่าสำนักงานกฎหมาย 27 แห่งจ่ายค่าไถ่รวมราว 207 ล้านดอลลาร์ระหว่าง 3 เม.ย.-24 ก.ย. 2569 กลุ่มนี้ไม่ใช้มัลแวร์และไม่เข้ารหัสไฟล์ แต่โทรปลอมเป็นฝ่าย IT หลอกพนักงานให้อัปโหลดไฟล์หรือให้สิทธิ์เข้าถึง Crystal Intelligence ระบุว่าข้อมูลบล็อกเชนยืนยันขนาดของปฏิบัติการได้ แต่ยืนยันตัวเลขที่แน่นอนไม่ได้ การจ่ายก้อนเล็กจำนวนมากเข้ากระดานเทรดที่ยืนยันตัวตนผู้ใช้ ซึ่งเป็นจุดอ่อนที่สุดของเครือข่าย

Astrana Health บริษัทบริหารจัดการด้านสาธารณสุขในแคลิฟอร์เนีย เปิดเผยต่อ ก.ล.ต. สหรัฐฯ ว่าถูกขโมยข้อมูลลับและข้อมูลสำคัญออกจากเซิร์ฟเวอร์ หลังพนักงานตกเป็นเป้าการโจมตีแบบ social engineering ผู้โจมตีปลอมเป็นบุคลากรของบริษัทและปลอมหมายเลขโทรศัพท์หลักเพื่อติดต่อพนักงาน เมื่อตรวจพบบริษัทได้หมุนเปลี่ยน credential จำกัดเครื่องมือเข้าถึงระยะไกล และสร้างบางระบบใหม่จากสำรองที่สะอาด การสอบสวนยืนยันแล้วว่ามีการนำข้อมูลออกไป แต่ยังประเมินขอบเขตข้อมูลผู้ป่วยและพนักงานที่กระทบ ยังไม่มีกลุ่มใดอ้างความรับผิดชอบ

Microsoft ติดตามผู้โจมตีอย่างน้อยสองรายคือ Storm-3032 และ Storm-3121 ที่โทรหรือส่งข้อความหาผู้บริหารและผู้ดูแลระบบบนอุปกรณ์ส่วนตัว อ้างตัวเป็นฝ่ายไอทีเพื่อหลอกให้ตั้งค่าพาสคีย์หรือ MFA ใหม่ผ่านหน้าเข้าสู่ระบบปลอม จากนั้นใช้เทคนิค AitM และ device code phishing ขโมยโทเค็นเซสชัน แล้วสอบถามข้อมูลองค์กรผ่าน Microsoft Graph API ซึ่งดูกลมกลืนกับการใช้งานปกติ ก่อนทยอยดึงข้อมูลจาก SharePoint OneDrive และ Exchange ออกไปทีละน้อย

บริษัท Arctic Wolf เปิดเผยกลุ่มขโมยข้อมูลและข่มขู่เรียกค่าไถ่ชื่อ PREY-0058 ที่โทรปลอมตัวเป็นฝ่ายไอทีภายในเพื่อหลอกผู้บริหารเข้าหน้าล็อกอิน Microsoft 365 ปลอม แล้วดักโทเค็นเซสชันด้วยเทคนิค adversary-in-the-middle ผู้โจมตีเล่นซ้ำโทเค็นผ่านพร็อกซีที่อยู่ใน ASN เดียวกับเหยื่อเพื่อเลี่ยงการตรวจจับ จากนั้นกวาดข้อมูลจาก SharePoint OneDrive Exchange และ Box แล้วส่งข้อความเรียกค่าไถ่ จุดที่ต่างจากการโจมตีทั่วไปคือไม่มีมัลแวร์บนเครื่องและไม่มีการเคลื่อนที่ในเครือข่าย

กลุ่ม ShinyHunters โพสต์ภาพหน้าจอบัญชี Okta ของพนักงานบริษัท ReliaQuest พร้อมข้อความท้าทายว่า “ใครล่าใครกันแน่” และเพิ่มชื่อบริษัทเข้าเว็บไซต์ปล่อยข้อมูล แต่รายงานหลังเหตุการณ์ของ ReliaQuest ระบุว่าผู้โจมตีได้เพียงสิทธิ์อ่านอย่างเดียวบนพอร์ทัล SSO และความพยายามเคลื่อนที่ในเครือข่ายถูกสกัดทั้งหมด บรรณาธิการ Dark Reading ชี้ว่านี่คือรูปแบบการโจมตีสไตล์ Lapsus$ ที่เน้นการอวดอ้างมากกว่าความเสียหายจริง

คลื่นการโจมตีกองทุนเฮดจ์ฟันด์และบริษัทไพรเวทอิควิตี้รายใหญ่ในช่วงที่ผ่านมาถูกโยงเข้ากับ UNC6671 กลุ่มรีดทรัพย์ที่เกี่ยวข้องกับ BlackFile ตามการติดตามของ Google Threat Intelligence Group ซึ่งประเมินว่ากลุ่มบุกรุกแกนกลางเพียงกลุ่มเดียวอยู่เบื้องหลังแบรนด์สาธารณะหลายชื่อ ทั้ง Redact, Pink, Helix และ Falcon ผู้โจมตีโทรปลอมเป็นฝ่ายไอทีหลอกพนักงานให้กรอกข้อมูลบนหน้าเว็บปลอมเพื่อขโมยคุกกี้เซสชัน แล้วเข้าสู่แดชบอร์ด SSO เพื่อกวาดข้อมูลจากบริการคลาวด์ทั้งหมดที่ผูกอยู่

บริษัท Brinks Home ผู้ให้บริการระบบรักษาความปลอดภัยบ้านในสหรัฐฯ เปิดเผยว่าถูกแฮ็กเกอร์เจาะระบบบางส่วนและถูกขู่ว่าจะปล่อยข้อมูลที่อ้างว่าขโมยไป บริษัทตรวจพบเหตุเมื่อวันที่ 20 กรกฎาคม 2569 และยืนยันว่าระบบเฝ้าระวังสัญญาณเตือนภัยไม่ได้รับผลกระทบ ด้านกลุ่มรีดไถ ShinyHunters อ้างว่าเจาะเข้าไปตั้งแต่ 13 กรกฎาคม ด้วยการโทรหลอกพนักงานให้ยืนยันตัวตน Microsoft Entra แล้วดูดข้อมูลจาก Salesforce กว่า 4.9 ล้านรายการ BleepingComputer ยังตรวจสอบความถูกต้องของข้อกล่าวอ้างไม่ได้

บริษัท Sophos เปิดเผยแคมเปญ STAC4749 ที่ผู้โจมตีปลอมเป็นฝ่ายไอทีโทรผ่าน Microsoft Teams หลอกพนักงานให้เปิดเซสชันควบคุมระยะไกลด้วย Quick Assist หรือเครื่องมือ RemSupp แล้ววางแบ็กดอร์ผ่าน PowerShell การโจมตีพุ่งเป้าองค์กรในแคนาดาและสหรัฐฯ กว่า 95% รวมหลายสิบองค์กรระหว่างกุมภาพันธ์ถึงมิถุนายน 2569 อย่างน้อย 3 กรณีจบลงด้วยแรนซัมแวร์ Chaos โดยกรณีหนึ่งใช้เวลาจากสายแรกถึงเข้ารหัสไฟล์ไม่ถึง 17 ชั่วโมง