เตือนภัยสายไอที! โจรร้ายล้ำไปอีกขั้น ใช้มุก "Passkey" หลอกแฮกบัญชี Microsoft Cloud สูบข้อมูลเกลี้ยง

ผมมีข่าวใหญ่ฝั่งความปลอดภัยไซเบอร์จาก Microsoft ที่ต้องรีบมาเตือนกันครับ เพราะรอบนี้กลุ่มแฮกเกอร์ไม่ได้ใช้มุกเดิมๆ แล้ว แต่เริ่มนำเทคโนโลยีใหม่อย่าง Passkey และ Gen AI มาแนบเนียนหลอกเอาข้อมูลองค์กรกันแล้วครับ!

ทาง Microsoft ออกมาเปิดเผยรายละเอียดถึง 2 แคมเปญใหญ่ที่เหล่าผู้ไม่หวังดีกำลังอาศัยระบบรับส่งอีเมลภายนอก (Third-party Email Infrastructure) ส่งข้อความหลอกลวงทางการเงิน พร้อมใช้จิตวิทยาแนบเนียน (Social Engineering) หลอกว่าเกี่ยวกับ Passkey เพื่อบุกรุกเข้าสู่ระบบ Cloud ขององค์กรต่างๆ

แคมเปญที่ 1: Gen AI + สวมรอย CEO หลอกโอนเงินค่าบริการปลอม

ในช่วงวันที่ 3-5 สิงหาคมที่ผ่านมา แฮกเกอร์ได้กระหน่ำส่งอีเมลหลอกลวงมากกว่า 1 ล้านฉบับ โดยตั้งใจสวมรอยเป็น CEO ของบริษัทเหยื่อ เพื่อหลอกแผนกบัญชี (Accounts Payable) ให้โอนเงินผ่านระบบ ACH โดยอ้างว่าเป็นค่าบริการรายปีของ ServiceNow

ความน่ากลัวอยู่ตรงที่ แฮกเกอร์ใช้ Generative AI ช่วยเขียนและสร้างเทมเพลตอีเมลให้เนียนกริ๊บ ปรับแต่งเนื้อหาให้เหมาะกับเหยื่อแต่ละราย โดยมุ่งเป้าไปที่องค์กรในสหรัฐฯ ทั้งฝั่ง IT, สินค้าอุปโภคบริโภค, อสังหาริมทรัพย์ ไปจนถึงโรงงานอุตสาหกรรม

รอบนี้โจรไม่ได้ส่งแค่ใบแจ้งหนี้ปลอมใบเดียวครับ แต่พวกเขาสร้างเรื่องราวแบบครบวงจร ทั้งการสวมรอยเป็นผู้บริหาร อ้างแบรนด์คู่ค้า ทำใบแจ้งหนี้ปลอม แถมยังปลอมประวัติการคุยอีเมลโต้ตอบ (Email Thread) ย้อนหลังมาให้ดูเพื่อความสมจริง แล้วให้ CEO หรือ CFO เซ็น "อนุมัติ" ปลอมๆ เพื่อลดความสงสัยของพนักงานบัญชีลง

แคมเปญที่ 2: อ้างอัปเดต "Passkey" มุกใหม่ยึดบัญชี Cloud

อีกหนึ่งแคมเปญที่พบมาตั้งแต่เดือนพฤษภาคม แฮกเกอร์จะเน้นการเจาะเข้าบัญชี Cloud โดยใช้วิธีโทรศัพท์หรือส่ง SMS หาพนักงานโดยตรง อ้างตัวว่าเป็น IT Help Desk ของบริษัท พร้อมขู่ว่า "ต้องรีบอัปเดตระบบ Passkey, MFA หรือ SSO เดี๋ยวนี้ มิฉะนั้นจะเข้าใช้งานระบบไม่ได้"

เมื่อพนักงานตกใจและกดลิงก์ปลอมที่ส่งมาทาง SMS ระบบจะพาไปยังหน้าต่างเข้าสู่ระบบ Microsoft ปลอม เพื่อหลอกเอาข้อมูลประจำตัว หรือหลอกให้กดยืนยันผ่าน Device Code Authentication จากนั้นแฮกเกอร์จะยึดบัญชีไปทันที

ที่น่ากลัวคือ พอแฮกเกอร์เข้าบัญชีแรกได้แล้ว พวกเขาจะเข้าไปเพิ่มวิธีการยืนยันตัวตน (MFA) เป็นเบอร์โทรศัพท์หรือแอปพลิเคชันของตัวเองทันที ทำให้พวกเขาสามารถเข้าสู่ระบบได้ตลอดเวลาโดยไม่ต้องพึ่งเหยื่ออีกต่อไป! หลังจากนั้นก็เริ่มปฏิบัติการสูบข้อมูล ไม่ว่าจะเป็นการดาวน์โหลดไฟล์จาก SharePoint, OneDrive หรือดึงข้อมูลอีเมลผ่าน Microsoft Graph API ในปริมาณมหาศาล

ข้อคิดและแนวทางป้องกัน

Microsoft ระบุว่าการโจมตีลักษณะนี้ตรวจจับได้ยากมาก เพราะคำสั่งใช้งาน API แต่ละครั้งดูเหมือนการทำงานปกติทั่วไป ไม่ได้มีความผิดปกติที่ชัดเจนหากมองแยกชิ้น ดังนั้น ฝั่ง IT Security ของทุกองค์กรจำเป็นต้องเฝ้าระวังพฤติกรรมโดยรวม (Behavioral Progression) มากกว่าการดูแค่บันทึกรายธุรกรรมครับ

ฝากเตือนเพื่อนๆ และพนักงานในองค์กรไว้เลยนะครับว่า หากมีใครอ้างเป็น IT มาให้เรากดอัปเดต Passkey หรือ MFA ผ่านลิงก์ใน SMS ให้สงสัยไว้ก่อนเสมอ และควรตรวจสอบผ่านช่องทาง official ของบริษัททุกครั้งครับ!

#ดรกฤษฎาแก้ววัดปริง #ไทยสมาร์ทซิตี้ #SmartCity #DRKRIT #สมาร์ทซิตี้คลิก