Whatsapp

สหภาพยุโรปยืนยันว่าแฮ็กเกอร์ที่รัฐหนุนหลังหันมาฟิชชิงเจ้าหน้าที่รัฐผ่านแอปแชตยอดนิยมแทนอีเมล เอกสารภายในที่ Politico ได้มาระบุว่าปี 2569 รัฐบาลในกลุ่มอียูเผชิญเหตุการณ์ร้ายแรงจากการฟิชชิงบน WhatsApp และ Signal แล้ว 8 ครั้ง การโจมตีไม่ใช้ช่องโหว่หรือมัลแวร์ อาศัยการหลอกลวงทางสังคมล้วน ๆ ทั้งปลอมเป็นทีมสนับสนุนของ Signal ขอรหัส PIN และหลอกให้สแกน QR code ที่เชื่อมอุปกรณ์ของผู้โจมตีเข้ากับบัญชีเหยื่อ ผลคือหลายประเทศเร่งย้ายไปใช้แอปแชตของรัฐเอง

บริษัท Meta ประกาศชุดฟีเจอร์ความปลอดภัยบัญชีของ WhatsApp โดยเพิ่มการรองรับ passkey หลายอันต่อหนึ่งบัญชี ช่วยให้ผู้ใช้ที่มีทั้งเครื่อง iOS และแอนดรอยด์ล็อกอินด้วยวิธีที่ต้านฟิชชิงได้ทุกเครื่อง บริษัทระบุว่ามีผู้ใช้เกินหนึ่งพันล้านคนล็อกอิน WhatsApp ด้วย passkey แล้ว พร้อมกันนี้ยังอัปเกรดการยืนยันสองขั้นจาก PIN หกหลักเป็นรหัสผ่านเต็มรูปแบบ และเพิ่มบริบทของสายเรียกเข้าจากคนนอกรายชื่อผู้ติดต่อบนแอนดรอยด์

Google Threat Intelligence Group เผยกลุ่มจารกรรมที่ต้องสงสัยว่ามาจากรัสเซียสามคลัสเตอร์ คือ UNC6293, UNC7005 และ UNC5976 กำลังใช้กลไกยืนยันตัวตนที่ถูกต้องตามระบบเป็นเครื่องมือยึดบัญชีเป้าหมาย ทั้งรหัสผ่านเฉพาะแอป การฟิชชิง OAuth ผ่านโครงการคลาวด์ และการหลอกให้เหยื่อเชื่อมบัญชี WhatsApp เข้ากับอุปกรณ์ของผู้โจมตี เป้าหมายคือนักวิชาการ นักการทูต และองค์กรวิจัยในยุโรปและสหรัฐฯ

นักวิเคราะห์จาก GenDigital เปิดเผยเทคนิคหลอกลวงชื่อ GhostPairing ที่ให้มิจฉาชีพเข้าถึงบัญชี WhatsApp ได้โดยไม่ต้องใช้รหัสผ่านหรือรหัส OTP โดยฉวยใช้ฟีเจอร์เชื่อมอุปกรณ์ (Device Linking) ที่ถูกต้องของ WhatsApp แล้วหลอกให้เหยื่ออนุมัติอุปกรณ์ใหม่ที่คนร้ายควบคุม เมื่อสำเร็จคนร้ายจะอ่านข้อความ สวมรอยเจ้าของบัญชี และหลอกลวงคนรู้จักได้ ป้องกันได้ด้วยการตรวจสอบ Linked Devices และเปิด two-step verification

มีรายละเอียดออกมาเกี่ยวกับ 3 ช่องโหว่ร้ายแรงในผู้ช่วย AI ส่วนตัว OpenClaw ที่หากถูกใช้ประโยชน์จะเปิดทางขโมย credential ยกระดับสิทธิ์ และรันโค้ดบนเครื่องโฮสต์ได้ นาย Chinmohan Nayak สาธิตว่าช่องโหว่เหล่านี้ต่อกันเป็นห่วงโซ่ให้รันโค้ดบนโฮสต์จากข้อความ WhatsApp ภายนอกได้โดยไม่ต้องมีจุดยืนก่อน หนึ่งในช่องโหว่คือ path traversal ที่ยอมให้ mount โฟลเดอร์แม่ /home หรือ /var ทะลุ denylist จนอ่าน SSH key, AWS credential และ Docker socket ได้ แก้ไขแล้วในเวอร์ชัน 2026.6.6

WhatsApp เริ่มเปิดให้ผู้ใช้ทั่วโลกจองชื่อผู้ใช้ (username) เพื่อใช้แทนเบอร์โทรศัพท์ในการติดต่อครั้งแรก ผู้ใช้ตั้งชื่อเองได้ 3-35 ตัวอักษร พร้อมฟีเจอร์ username key เพิ่มชั้นป้องกันอีกขั้น เมื่อเปิดใช้แล้วบัญชีอื่นจะไม่เห็นเบอร์โทรศัพท์จริงอีกต่อไป ฟีเจอร์นี้จะทยอยเปิดใช้ทีละประเทศในอีกไม่กี่เดือนข้างหน้า

แคมเปญมัลแวร์ใหม่กระจายผ่าน WhatsApp โดยส่งไฟล์ VBScript ปลอมเป็นเอกสารการเงินจากบัญชีที่ถูกยึด เมื่อเหยื่อเปิดไฟล์จะดาวน์โหลดและติดตั้ง ManageEngine Endpoint Central แบบเงียบ เชื่อมต่อกับเซิร์ฟเวอร์ของผู้โจมตีเพื่อควบคุมเครื่องจากระยะไกล พบเหยื่อกระจายใน 11 ประเทศรวมถึงสิงคโปร์และมาเลเซีย พบร่องรอยเชื่อมโยงกับโครงสร้างพื้นฐานของ ValleyRAT และ Gh0st RAT