Whatsapp

กรมโทรคมนาคมอินเดียกำหนดให้แอปแชตต้องผูกบัญชีกับซิมที่ใช้งานอยู่ของเบอร์ที่ลงทะเบียนภายใน 31 ธันวาคม 2569 ผู้ใช้ WhatsApp และ Telegram ในอินเดียจึงอาจถูกจำกัดการใช้งานตั้งแต่ 1 มกราคม 2570 หากถอด เปลี่ยน หรือปิดซิมนั้น กฎนี้มาจาก Telecom Cyber Security Rules 2024 และใช้กับ eSIM ด้วย เป้าหมายคือสกัดมิจฉาชีพที่ใช้เบอร์อินเดียหลอกลวงข้ามประเทศหลังถอดซิมออกแล้ว รายละเอียดการบังคับใช้จริงขึ้นกับแต่ละแพลตฟอร์ม

บริษัท Redact พบข้อความซ่อนในโค้ดหน้าช่วยเหลือของ WhatsApp ที่สั่งแชตบอตซัพพอร์ต AI ไม่ให้แนะนำผู้ใช้ติดต่อหน่วยงานคุ้มครองข้อมูล อีกบล็อกสั่งไม่ให้อ้าง GDPR เมื่อผู้ใช้เอ่ยถึงทนายหรือการฟ้องร้อง แม้ผู้ใช้จะยกขึ้นมาเอง ข้อความเหล่านี้ขัดกับนโยบายความเป็นส่วนตัวของ WhatsApp ฝั่งยุโรปที่ระบุสิทธิร้องเรียนไว้ชัด Redact นับได้ 102 บล็อกใน 80 หน้า และ WhatsApp ลบทั้งหมดภายใน 18 ตุลาคม หลังสื่อติดต่อสอบถาม WhatsApp อ้างว่าหลุดขึ้นหน้าเว็บเพราะบั๊ก และยังไม่รู้ว่าแชตบอตเคยทำตามหรือไม่

Morphisec พบแคมเปญส่งไฟล์ ZIP ผ่าน WhatsApp ปลอมเป็นเอกสารการเงินและภาษี ซึ่งติดตั้งมัลแวร์ VulcanRAT207.A จนได้สิทธิ์ SYSTEM บน Windows มัลแวร์ใช้เทคนิค PoolParty Variant 7 inject โค้ดเข้า process ของ Task Scheduler แล้วโหลด RAT ผ่าน DLL sideloading กับโปรแกรม VulkanInfo ที่มีลายเซ็นถูกต้อง ไดรเวอร์ GoFly64.sys ที่มีลายเซ็นถูกใช้ปิดโปรแกรมความปลอดภัยของ Baidu และ RAT คงอยู่ผ่าน scheduled task ชื่อ USOPrivate Kit ผู้ควบคุมบันทึกคีย์ จับภาพหน้าจอ และสร้างบัญชีแอดมินได้

Microsoft พบแคมเปญเว็บดาวน์โหลดซอฟต์แวร์ปลอมที่เลียนแบบผู้ผลิตชื่อดังและแจกตัวติดตั้งฝังมัลแวร์ ประเมินด้วยความมั่นใจปานกลางว่าเชื่อมโยงกลุ่ม Silver Fox (Yinhu) กระทบผู้ใช้พูดภาษาจีนเป็นหลัก ขณะที่ Pelagos Intel วิเคราะห์อีกสายหนึ่งที่ส่งข้อความ WhatsApp ธีมการเงินไปยังผู้รับในมาเลเซีย มัลแวร์สร้าง scheduled task ปิด Windows Update และลบสำเนากู้คืน ทั้งนี้ยังไม่มีหลักฐานยืนยันว่าสองสายเป็นการบุกรุกเดียวกัน

นักวิจัย OX Security พบกลุ่มแพ็กเกจ npm 101 ตัวที่ดักนักพัฒนาเข้าแคมเปญเพิ่มผู้ติดตามกลุ่ม WhatsApp ชื่อ PhantomSub โดยใช้โปรเจกต์โอเพนซอร์ส Baileys เพิ่มเหยื่อเข้ากลุ่มโดยไม่ยินยอม แพ็กเกจถูกดาวน์โหลดรวม 490,000 ครั้ง แบ่งเป็นสามสายพันธุ์ที่จัดการรายชื่อช่องต่างกัน กลุ่มและช่องที่ระบุได้ส่วนใหญ่เป็นของผู้ขายบอตในอินโดนีเซีย นักพัฒนาควรตรวจสอบว่าถูกเพิ่มเข้ากลุ่มหรือไม่และเลี่ยงแพ็กเกจที่ต้องเชื่อมต่อบัญชี WhatsApp ส่วนตัว

สหภาพยุโรปยืนยันว่าแฮ็กเกอร์ที่รัฐหนุนหลังหันมาฟิชชิงเจ้าหน้าที่รัฐผ่านแอปแชตยอดนิยมแทนอีเมล เอกสารภายในที่ Politico ได้มาระบุว่าปี 2569 รัฐบาลในกลุ่มอียูเผชิญเหตุการณ์ร้ายแรงจากการฟิชชิงบน WhatsApp และ Signal แล้ว 8 ครั้ง การโจมตีไม่ใช้ช่องโหว่หรือมัลแวร์ อาศัยการหลอกลวงทางสังคมล้วน ๆ ทั้งปลอมเป็นทีมสนับสนุนของ Signal ขอรหัส PIN และหลอกให้สแกน QR code ที่เชื่อมอุปกรณ์ของผู้โจมตีเข้ากับบัญชีเหยื่อ ผลคือหลายประเทศเร่งย้ายไปใช้แอปแชตของรัฐเอง

บริษัท Meta ประกาศชุดฟีเจอร์ความปลอดภัยบัญชีของ WhatsApp โดยเพิ่มการรองรับ passkey หลายอันต่อหนึ่งบัญชี ช่วยให้ผู้ใช้ที่มีทั้งเครื่อง iOS และแอนดรอยด์ล็อกอินด้วยวิธีที่ต้านฟิชชิงได้ทุกเครื่อง บริษัทระบุว่ามีผู้ใช้เกินหนึ่งพันล้านคนล็อกอิน WhatsApp ด้วย passkey แล้ว พร้อมกันนี้ยังอัปเกรดการยืนยันสองขั้นจาก PIN หกหลักเป็นรหัสผ่านเต็มรูปแบบ และเพิ่มบริบทของสายเรียกเข้าจากคนนอกรายชื่อผู้ติดต่อบนแอนดรอยด์

Google Threat Intelligence Group เผยกลุ่มจารกรรมที่ต้องสงสัยว่ามาจากรัสเซียสามคลัสเตอร์ คือ UNC6293, UNC7005 และ UNC5976 กำลังใช้กลไกยืนยันตัวตนที่ถูกต้องตามระบบเป็นเครื่องมือยึดบัญชีเป้าหมาย ทั้งรหัสผ่านเฉพาะแอป การฟิชชิง OAuth ผ่านโครงการคลาวด์ และการหลอกให้เหยื่อเชื่อมบัญชี WhatsApp เข้ากับอุปกรณ์ของผู้โจมตี เป้าหมายคือนักวิชาการ นักการทูต และองค์กรวิจัยในยุโรปและสหรัฐฯ

นักวิเคราะห์จาก GenDigital เปิดเผยเทคนิคหลอกลวงชื่อ GhostPairing ที่ให้มิจฉาชีพเข้าถึงบัญชี WhatsApp ได้โดยไม่ต้องใช้รหัสผ่านหรือรหัส OTP โดยฉวยใช้ฟีเจอร์เชื่อมอุปกรณ์ (Device Linking) ที่ถูกต้องของ WhatsApp แล้วหลอกให้เหยื่ออนุมัติอุปกรณ์ใหม่ที่คนร้ายควบคุม เมื่อสำเร็จคนร้ายจะอ่านข้อความ สวมรอยเจ้าของบัญชี และหลอกลวงคนรู้จักได้ ป้องกันได้ด้วยการตรวจสอบ Linked Devices และเปิด two-step verification

มีรายละเอียดออกมาเกี่ยวกับ 3 ช่องโหว่ร้ายแรงในผู้ช่วย AI ส่วนตัว OpenClaw ที่หากถูกใช้ประโยชน์จะเปิดทางขโมย credential ยกระดับสิทธิ์ และรันโค้ดบนเครื่องโฮสต์ได้ นาย Chinmohan Nayak สาธิตว่าช่องโหว่เหล่านี้ต่อกันเป็นห่วงโซ่ให้รันโค้ดบนโฮสต์จากข้อความ WhatsApp ภายนอกได้โดยไม่ต้องมีจุดยืนก่อน หนึ่งในช่องโหว่คือ path traversal ที่ยอมให้ mount โฟลเดอร์แม่ /home หรือ /var ทะลุ denylist จนอ่าน SSH key, AWS credential และ Docker socket ได้ แก้ไขแล้วในเวอร์ชัน 2026.6.6