เมื่อหน้าล็อกอินจริงกลายเป็นเครื่องมือโจมตี: 3 กลุ่มไซเบอร์สอดแนมต้องสงสัยจากรัสเซีย

ผู้โจมตีปลอมตัวเป็นเจ้าหน้าที่หรือคนรู้จักที่น่าเชื่อถือ สร้างคำเชิญและบทสนทนาที่ดูสมจริง ก่อนพาเหยื่อเข้าสู่ขั้นตอนความปลอดภัยของบัญชี เช่น การอนุมัติ Google OAuth การสร้างรหัสผ่านเฉพาะแอป หรือการเชื่อมต่ออุปกรณ์ WhatsApp

วิธีนี้อาจทำให้การยืนยันตัวตนหลายปัจจัย หรือ MFA ซึ่งผู้ใช้มักมองว่าเป็นเกราะป้องกันสำคัญ ถูกเลี่ยงได้โดยไม่ต้องขโมยรหัสผ่านโดยตรง เหยื่ออาจไม่ได้พิมพ์รหัสผ่านให้ผู้โจมตี แต่กลับอนุมัติแอป OAuth สร้างรหัสผ่านสำหรับแอป หรือสแกนรหัสเพื่อเชื่อมต่ออุปกรณ์แทน การกระทำเหล่านี้อาจเปิดช่องทางที่ดูถูกต้องตามระบบให้ผู้โจมตีเข้าบัญชีได้

แต่ละกลุ่มใช้วิธีใด

UNC6293: ปลอมตัวเป็นเจ้าหน้าที่ ใช้รหัสผ่านเฉพาะแอปและ OAuth

UNC6293 มีรายงานว่าปลอมตัวเป็นเจ้าหน้าที่กระทรวงการต่างประเทศสหรัฐฯ รวมถึงผู้ติดต่อที่เหยื่อไว้วางใจ เพื่อโน้มน้าวให้เป้าหมายสร้างและเปิดเผย รหัสผ่านเฉพาะแอป ซึ่งอาจทำให้ผู้โจมตีเข้าบัญชีได้โดยไม่ต้องผ่านการยืนยันตัวตนขั้นที่สองตามปกติ

GTIG ยังระบุถึงการทำฟิชชิงผ่านหน้าขอความยินยอม OAuth โดยผู้โจมตีพยายามขอโทเคนที่ได้รับอนุญาตเพื่อเข้าถึงบัญชี แทนการขโมยรหัสผ่านโดยตรง

GTIG ประเมินด้วยความเชื่อมั่นระดับปานกลางว่า UNC6293 เป็นกลุ่มย่อยที่ทำหน้าที่เจาะช่องทางเข้าถึงระยะแรกของ ICE RELIC ซึ่งเป็นชื่อที่ Google ใช้เรียกกลุ่มที่เคยเป็นที่รู้จักในชื่อ APT29

UNC7005 หรือ STORM-2945: หลอกเชื่อม WhatsApp และใช้แผนลวงหลายขั้น

UNC7005 ใช้เทคนิคหลายรูปแบบที่เปลี่ยนแปลงไปตามสถานการณ์ ได้แก่

• หลอกให้เชื่อมต่ออุปกรณ์ WhatsApp: โน้มน้าวให้เหยื่อเชื่อมอุปกรณ์ที่ผู้โจมตีควบคุมเข้ากับบัญชี WhatsApp ของตน
• สายเสียงปลอมและคำเชิญเข้าห้องแชตเข้ารหัส: ใช้สร้างความคุ้นเคยและความไว้วางใจก่อนส่งลิงก์หรือรหัสอันตราย
• ปลอมแปลงการสื่อสารขององค์กร: มีการใช้ข้อความที่อ้างถึง Finnish Operations Center ควบคู่กับหน้าเข้าสู่ระบบ Microsoft ปลอม
• ขโมยสิทธิ์ OAuth และส่งมัลแวร์: ใช้กระบวนการ Google OAuth เพื่อขอโทเคนหรือสิทธิ์เข้าบัญชี พร้อมติดตั้งมัลแวร์ เช่น VIDAR และ ATOMIC ซึ่งเป็นมัลแวร์ขโมยข้อมูล

แม้ UNC7005 จะมีเป้าหมายและใช้ประโยชน์จากขั้นตอนยืนยันตัวตนที่ถูกต้องตามระบบคล้ายกับ UNC6293 แต่ GTIG ยังคงติดตามแยกกัน เนื่องจากเทคนิคปฏิบัติการและโครงสร้างพื้นฐานของทั้งสองกลุ่มแตกต่างกัน

UNC5976: ฟิชชิง OAuth เจาะเป้าหมายด้านกลาโหม

UNC5976 มีรายงานว่ามุ่งเป้าบุคลากรและองค์กรด้านทหาร อุตสาหกรรมอวกาศ และกลาโหม โดยรวมถึงเป้าหมายที่เชื่อมโยงกับยูเครนและอาร์เมเนีย การโจมตีใช้ฟิชชิง OAuth เพื่อขอสิทธิ์เข้าถึงบัญชีหรือข้อมูลของเหยื่อ

Googleประเมินความเชื่อมโยงกับรัสเซียอย่างไร

GTIG ประเมินด้วยความเชื่อมั่นระดับสูงว่า กิจกรรมโดยรวมมีความเชื่อมโยงกับรัสเซีย อย่างไรก็ตาม นี่เป็นการประเมินด้านการระบุแหล่งที่มา ไม่ได้หมายความว่ารายละเอียดการปฏิบัติการทุกส่วน หรือความสัมพันธ์ระหว่างทุกกลุ่มได้รับการพิสูจน์ด้วยระดับความแน่นอนเท่ากัน

รายงานที่มีอยู่ยังระบุถึงความเป็นไปได้ที่กิจกรรมบางส่วนเชื่อมโยงกับ ICE RELIC หรือ APT29 โดย GTIG ประเมินความเชื่อมโยงระหว่าง UNC6293 กับ ICE RELIC ด้วยความเชื่อมั่นระดับปานกลาง ขณะที่ยังติดตามทั้ง 3 กลุ่มแยกจากกัน เพราะรูปแบบการปฏิบัติการและโครงสร้างพื้นฐานไม่ได้เหมือนกันทั้งหมด

ทำไมมี MFA แล้วก็ยังไม่ปลอดภัยเสมอไป

MFA ยังช่วยลดความเสี่ยงได้มาก แต่ไม่เพียงพอหากผู้โจมตีสามารถหลอกให้ผู้ใช้อนุมัติการกระทำที่ผิด เช่น กดยอมรับหน้าขอสิทธิ์ OAuth สร้างรหัสผ่านเฉพาะแอป หรือเชื่อมต่ออุปกรณ์ WhatsApp ของคนร้าย

บทเรียนสำคัญคือ ควรมองคำขอยืนยันตัวตนเป็น “ธุรกรรม” ที่ต้องตรวจสอบ ไม่ใช่ขั้นตอนที่ปลอดภัยโดยอัตโนมัติเพียงเพราะปรากฏอยู่ในบริการที่คุ้นเคย

วิธีป้องกันที่แนะนำ

คำแนะนำของ GTIG เน้นให้ผู้ใช้ชะลอขั้นตอนที่ผู้โจมตีกำลังพยายามเร่งให้ดำเนินการ ดังนี้

• ตรวจสอบ URL ในแถบที่อยู่ให้ครบถ้วน ก่อนเข้าสู่ระบบหรืออนุมัติสิทธิ์ OAuth
• ยืนยันคำเชิญและคำขอผ่านช่องทางอื่น: หากได้รับคำเชิญงานประชุม สายเสียง คำเชิญเข้าห้องแชตเข้ารหัส หรือข้อความที่อ้างว่ามาจากรัฐบาลหรือองค์กร ให้ติดต่อผู้ส่งผ่านช่องทางที่ทราบว่าเป็นของจริง
• ห้ามเปิดเผยรหัสผ่านเฉพาะแอป รหัสยืนยันแบบใช้ครั้งเดียว QR code หรือรหัสเชื่อมต่ออุปกรณ์ และอย่าอนุมัติการเข้าสู่ระบบหรือคำขอ OAuth ที่ไม่คาดคิด
• ตรวจสอบอุปกรณ์ที่เชื่อมโยงกับแอปส่งข้อความเป็นประจำ และลบอุปกรณ์ที่ไม่รู้จักออกจาก WhatsApp หรือบริการอื่น ๆ
• ใช้ MFA ที่ป้องกันฟิชชิงได้: องค์กรควรให้ความสำคัญกับ security key หรือ passkey และจำกัดแอป OAuth ที่มีความเสี่ยง รวมถึงการใช้รหัสผ่านเฉพาะแอปเมื่อทำได้

สำหรับผู้ที่ทำงานในภาคส่วนอ่อนไหว นิสัยที่สำคัญที่สุดอาจเรียบง่ายกว่าที่คิด: แบรนด์ที่คุ้นเคย หน้าเข้าสู่ระบบจริง หรือฟีเจอร์ยืนยันตัวตนของแท้ ไม่ได้แปลว่าคำขอนั้นปลอดภัยเสมอไป ต้องตรวจสอบทั้งคำขอและตัวตนของบุคคลหรือองค์กรที่เป็นผู้เริ่มต้นคำขอด้วย