คำตอบการวิจัย
ประเด็นสำคัญ เมื่อวันที่ 20 สิงหาคม 2026 Google Threat Intelligence Group รายงานว่า UNC6293, UNC7005 และ UNC5976 มุ่งเป้าบุคคลสำคัญในยุโรปและสหรัฐฯ ผ่านการหลอกลวงให้ใช้ฟีเจอร์ยืนยันตัวตนจริง แทนการถอดรหัสผ่านหรือเจาะช่องโหว่ซอฟต์แวร์ UNC6293 ปลอมตัวเป็นเจ้าหน้าที่กระทรวงการต่างประเทศสหรัฐฯ เพื่อหลอกขอรหัสผ่านเฉพาะแอปและสิทธิ์ OAuth ขณะที่ UNC7005 ใช้การเชื่อมต่ออุปกรณ์ WhatsApp เว็บไซต์ล็อกอินปลอม และมัลแวร์ขโมยข้อมูล ส่วน UNC5976 เน้นฟิชชิงผ่าน O... แนวทางป้องกันสำคัญคือ ตรวจสอบ URL และคำขออนุมัติทุกครั้ง ยืนยันคำเชิญผ่านช่องทางอื่น ห้ามเปิดเผยรหัสยืนยันหรือรหัสเชื่อมต่ออุปกรณ์ ตรวจสอบอุปกรณ์ที่เชื่อมโยง และใช้ MFA ที่ป้องกันฟิชชิงได้ What did Google’s Threat Intelligence Group report on August 20, 2026, about three suspected Russian cyber-espionage clusters—UNC6293, UNC70 The reported campaigns abused familiar authentication and device-linking workflows to persuade targets to grant access. AI พรอมต์ Create a landscape editorial hero image for this Studio Global article: What did Google’s Threat Intelligence Group report on August 20, 2026, about three suspected Russian cyber-espionage clusters—UNC6293, UNC70. Article summary: Google’s Threat Intelligence Group (GTIG) reported that UNC6293, UNC7005 (also tracked by Microsoft as STORM-2945), and UNC5976 were conducting targeted, suspected Russian cyber-espionage campaigns against people in acad. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
openai.com คนยังถาม คำตอบสั้น ๆ สำหรับ "เมื่อหน้าล็อกอินจริงกลายเป็นเครื่องมือโจมตี: 3 กลุ่มไซเบอร์สอดแนมต้องสงสัยจากรัสเซีย" คืออะไร เมื่อวันที่ 20 สิงหาคม 2026 Google Threat Intelligence Group รายงานว่า UNC6293, UNC7005 และ UNC5976 มุ่งเป้าบุคคลสำคัญในยุโรปและสหรัฐฯ ผ่านการหลอกลวงให้ใช้ฟีเจอร์ยืนยันตัวตนจริง แทนการถอดรหัสผ่านหรือเจาะช่องโหว่ซอฟต์แวร์
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร? เมื่อวันที่ 20 สิงหาคม 2026 Google Threat Intelligence Group รายงานว่า UNC6293, UNC7005 และ UNC5976 มุ่งเป้าบุคคลสำคัญในยุโรปและสหรัฐฯ ผ่านการหลอกลวงให้ใช้ฟีเจอร์ยืนยันตัวตนจริง แทนการถอดรหัสผ่านหรือเจาะช่องโหว่ซอฟต์แวร์ UNC6293 ปลอมตัวเป็นเจ้าหน้าที่กระทรวงการต่างประเทศสหรัฐฯ เพื่อหลอกขอรหัสผ่านเฉพาะแอปและสิทธิ์ OAuth ขณะที่ UNC7005 ใช้การเชื่อมต่ออุปกรณ์ WhatsApp เว็บไซต์ล็อกอินปลอม และมัลแวร์ขโมยข้อมูล ส่วน UNC5976 เน้นฟิชชิงผ่าน O...
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ? แนวทางป้องกันสำคัญคือ ตรวจสอบ URL และคำขออนุมัติทุกครั้ง ยืนยันคำเชิญผ่านช่องทางอื่น ห้ามเปิดเผยรหัสยืนยันหรือรหัสเชื่อมต่ออุปกรณ์ ตรวจสอบอุปกรณ์ที่เชื่อมโยง และใช้ MFA ที่ป้องกันฟิชชิงได้
คำตอบการวิจัย
ประเด็นสำคัญ เมื่อวันที่ 20 สิงหาคม 2026 Google Threat Intelligence Group รายงานว่า UNC6293, UNC7005 และ UNC5976 มุ่งเป้าบุคคลสำคัญในยุโรปและสหรัฐฯ ผ่านการหลอกลวงให้ใช้ฟีเจอร์ยืนยันตัวตนจริง แทนการถอดรหัสผ่านหรือเจาะช่องโหว่ซอฟต์แวร์ UNC6293 ปลอมตัวเป็นเจ้าหน้าที่กระทรวงการต่างประเทศสหรัฐฯ เพื่อหลอกขอรหัสผ่านเฉพาะแอปและสิทธิ์ OAuth ขณะที่ UNC7005 ใช้การเชื่อมต่ออุปกรณ์ WhatsApp เว็บไซต์ล็อกอินปลอม และมัลแวร์ขโมยข้อมูล ส่วน UNC5976 เน้นฟิชชิงผ่าน O... แนวทางป้องกันสำคัญคือ ตรวจสอบ URL และคำขออนุมัติทุกครั้ง ยืนยันคำเชิญผ่านช่องทางอื่น ห้ามเปิดเผยรหัสยืนยันหรือรหัสเชื่อมต่ออุปกรณ์ ตรวจสอบอุปกรณ์ที่เชื่อมโยง และใช้ MFA ที่ป้องกันฟิชชิงได้ What did Google’s Threat Intelligence Group report on August 20, 2026, about three suspected Russian cyber-espionage clusters—UNC6293, UNC70 The reported campaigns abused familiar authentication and device-linking workflows to persuade targets to grant access. AI พรอมต์ Create a landscape editorial hero image for this Studio Global article: What did Google’s Threat Intelligence Group report on August 20, 2026, about three suspected Russian cyber-espionage clusters—UNC6293, UNC70. Article summary: Google’s Threat Intelligence Group (GTIG) reported that UNC6293, UNC7005 (also tracked by Microsoft as STORM-2945), and UNC5976 were conducting targeted, suspected Russian cyber-espionage campaigns against people in acad. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
openai.com คนยังถาม คำตอบสั้น ๆ สำหรับ "เมื่อหน้าล็อกอินจริงกลายเป็นเครื่องมือโจมตี: 3 กลุ่มไซเบอร์สอดแนมต้องสงสัยจากรัสเซีย" คืออะไร เมื่อวันที่ 20 สิงหาคม 2026 Google Threat Intelligence Group รายงานว่า UNC6293, UNC7005 และ UNC5976 มุ่งเป้าบุคคลสำคัญในยุโรปและสหรัฐฯ ผ่านการหลอกลวงให้ใช้ฟีเจอร์ยืนยันตัวตนจริง แทนการถอดรหัสผ่านหรือเจาะช่องโหว่ซอฟต์แวร์
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร? เมื่อวันที่ 20 สิงหาคม 2026 Google Threat Intelligence Group รายงานว่า UNC6293, UNC7005 และ UNC5976 มุ่งเป้าบุคคลสำคัญในยุโรปและสหรัฐฯ ผ่านการหลอกลวงให้ใช้ฟีเจอร์ยืนยันตัวตนจริง แทนการถอดรหัสผ่านหรือเจาะช่องโหว่ซอฟต์แวร์ UNC6293 ปลอมตัวเป็นเจ้าหน้าที่กระทรวงการต่างประเทศสหรัฐฯ เพื่อหลอกขอรหัสผ่านเฉพาะแอปและสิทธิ์ OAuth ขณะที่ UNC7005 ใช้การเชื่อมต่ออุปกรณ์ WhatsApp เว็บไซต์ล็อกอินปลอม และมัลแวร์ขโมยข้อมูล ส่วน UNC5976 เน้นฟิชชิงผ่าน O...
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ? แนวทางป้องกันสำคัญคือ ตรวจสอบ URL และคำขออนุมัติทุกครั้ง ยืนยันคำเชิญผ่านช่องทางอื่น ห้ามเปิดเผยรหัสยืนยันหรือรหัสเชื่อมต่ออุปกรณ์ ตรวจสอบอุปกรณ์ที่เชื่อมโยง และใช้ MFA ที่ป้องกันฟิชชิงได้
กลยุทธ์ร่วม: ทำให้คำขออันตรายดูเหมือนขั้นตอนปกติ วิธีนี้อาจทำให้การยืนยันตัวตนหลายปัจจัย หรือ MFA ซึ่งผู้ใช้มักมองว่าเป็นเกราะป้องกันสำคัญ ถูกเลี่ยงได้โดยไม่ต้องขโมยรหัสผ่านโดยตรง เหยื่ออาจไม่ได้พิมพ์รหัสผ่านให้ผู้โจมตี แต่กลับอนุมัติแอป OAuth สร้างรหัสผ่านสำหรับแอป หรือสแกนรหัสเพื่อเชื่อมต่ออุปกรณ์แทน การกระทำเหล่านี้อาจเปิดช่องทางที่ดูถูกต้องตามระบบให้ผู้โจมตีเข้าบัญชีได้
แต่ละกลุ่มใช้วิธีใด
UNC6293: ปลอมตัวเป็นเจ้าหน้าที่ ใช้รหัสผ่านเฉพาะแอปและ OAuth UNC6293 มีรายงานว่าปลอมตัวเป็นเจ้าหน้าที่กระทรวงการต่างประเทศสหรัฐฯ รวมถึงผู้ติดต่อที่เหยื่อไว้วางใจ เพื่อโน้มน้าวให้เป้าหมายสร้างและเปิดเผย รหัสผ่านเฉพาะแอป ซึ่งอาจทำให้ผู้โจมตีเข้าบัญชีได้โดยไม่ต้องผ่านการยืนยันตัวตนขั้นที่สองตามปกติ
GTIG ยังระบุถึงการทำฟิชชิงผ่านหน้าขอความยินยอม OAuth โดยผู้โจมตีพยายามขอโทเคนที่ได้รับอนุญาตเพื่อเข้าถึงบัญชี แทนการขโมยรหัสผ่านโดยตรง
GTIG ประเมินด้วยความเชื่อมั่นระดับปานกลางว่า UNC6293 เป็นกลุ่มย่อยที่ทำหน้าที่เจาะช่องทางเข้าถึงระยะแรกของ ICE RELIC ซึ่งเป็นชื่อที่ Google ใช้เรียกกลุ่มที่เคยเป็นที่รู้จักในชื่อ APT29
UNC7005 หรือ STORM-2945: หลอกเชื่อม WhatsApp และใช้แผนลวงหลายขั้น UNC7005 ใช้เทคนิคหลายรูปแบบที่เปลี่ยนแปลงไปตามสถานการณ์ ได้แก่
หลอกให้เชื่อมต่ออุปกรณ์ WhatsApp: โน้มน้าวให้เหยื่อเชื่อมอุปกรณ์ที่ผู้โจมตีควบคุมเข้ากับบัญชี WhatsApp ของตน สายเสียงปลอมและคำเชิญเข้าห้องแชตเข้ารหัส: ใช้สร้างความคุ้นเคยและความไว้วางใจก่อนส่งลิงก์หรือรหัสอันตราย ปลอมแปลงการสื่อสารขององค์กร: มีการใช้ข้อความที่อ้างถึง Finnish Operations Center ควบคู่กับหน้าเข้าสู่ระบบ Microsoft ปลอม ขโมยสิทธิ์ OAuth และส่งมัลแวร์: ใช้กระบวนการ Google OAuth เพื่อขอโทเคนหรือสิทธิ์เข้าบัญชี พร้อมติดตั้งมัลแวร์ เช่น VIDAR และ ATOMIC ซึ่งเป็นมัลแวร์ขโมยข้อมูล แม้ UNC7005 จะมีเป้าหมายและใช้ประโยชน์จากขั้นตอนยืนยันตัวตนที่ถูกต้องตามระบบคล้ายกับ UNC6293 แต่ GTIG ยังคงติดตามแยกกัน เนื่องจากเทคนิคปฏิบัติการและโครงสร้างพื้นฐานของทั้งสองกลุ่มแตกต่างกัน
UNC5976: ฟิชชิง OAuth เจาะเป้าหมายด้านกลาโหม UNC5976 มีรายงานว่ามุ่งเป้าบุคลากรและองค์กรด้านทหาร อุตสาหกรรมอวกาศ และกลาโหม โดยรวมถึงเป้าหมายที่เชื่อมโยงกับยูเครนและอาร์เมเนีย การโจมตีใช้ฟิชชิง OAuth เพื่อขอสิทธิ์เข้าถึงบัญชีหรือข้อมูลของเหยื่อ
Googleประเมินความเชื่อมโยงกับรัสเซียอย่างไร GTIG ประเมินด้วยความเชื่อมั่นระดับสูงว่า กิจกรรมโดยรวมมีความเชื่อมโยงกับรัสเซีย อย่างไรก็ตาม นี่เป็นการประเมินด้านการระบุแหล่งที่มา ไม่ได้หมายความว่ารายละเอียดการปฏิบัติการทุกส่วน หรือความสัมพันธ์ระหว่างทุกกลุ่มได้รับการพิสูจน์ด้วยระดับความแน่นอนเท่ากัน
รายงานที่มีอยู่ยังระบุถึงความเป็นไปได้ที่กิจกรรมบางส่วนเชื่อมโยงกับ ICE RELIC หรือ APT29 โดย GTIG ประเมินความเชื่อมโยงระหว่าง UNC6293 กับ ICE RELIC ด้วยความเชื่อมั่นระดับปานกลาง ขณะที่ยังติดตามทั้ง 3 กลุ่มแยกจากกัน เพราะรูปแบบการปฏิบัติการและโครงสร้างพื้นฐานไม่ได้เหมือนกันทั้งหมด
ทำไมมี MFA แล้วก็ยังไม่ปลอดภัยเสมอไป MFA ยังช่วยลดความเสี่ยงได้มาก แต่ไม่เพียงพอหากผู้โจมตีสามารถหลอกให้ผู้ใช้อนุมัติการกระทำที่ผิด เช่น กดยอมรับหน้าขอสิทธิ์ OAuth สร้างรหัสผ่านเฉพาะแอป หรือเชื่อมต่ออุปกรณ์ WhatsApp ของคนร้าย
บทเรียนสำคัญคือ ควรมองคำขอยืนยันตัวตนเป็น “ธุรกรรม” ที่ต้องตรวจสอบ ไม่ใช่ขั้นตอนที่ปลอดภัยโดยอัตโนมัติเพียงเพราะปรากฏอยู่ในบริการที่คุ้นเคย
วิธีป้องกันที่แนะนำ คำแนะนำของ GTIG เน้นให้ผู้ใช้ชะลอขั้นตอนที่ผู้โจมตีกำลังพยายามเร่งให้ดำเนินการ ดังนี้
ตรวจสอบ URL ในแถบที่อยู่ให้ครบถ้วน ก่อนเข้าสู่ระบบหรืออนุมัติสิทธิ์ OAuth ยืนยันคำเชิญและคำขอผ่านช่องทางอื่น: หากได้รับคำเชิญงานประชุม สายเสียง คำเชิญเข้าห้องแชตเข้ารหัส หรือข้อความที่อ้างว่ามาจากรัฐบาลหรือองค์กร ให้ติดต่อผู้ส่งผ่านช่องทางที่ทราบว่าเป็นของจริง ห้ามเปิดเผยรหัสผ่านเฉพาะแอป รหัสยืนยันแบบใช้ครั้งเดียว QR code หรือรหัสเชื่อมต่ออุปกรณ์ และอย่าอนุมัติการเข้าสู่ระบบหรือคำขอ OAuth ที่ไม่คาดคิด ตรวจสอบอุปกรณ์ที่เชื่อมโยงกับแอปส่งข้อความเป็นประจำ และลบอุปกรณ์ที่ไม่รู้จักออกจาก WhatsApp หรือบริการอื่น ๆ ใช้ MFA ที่ป้องกันฟิชชิงได้: องค์กรควรให้ความสำคัญกับ security key หรือ passkey และจำกัดแอป OAuth ที่มีความเสี่ยง รวมถึงการใช้รหัสผ่านเฉพาะแอปเมื่อทำได้ สำหรับผู้ที่ทำงานในภาคส่วนอ่อนไหว นิสัยที่สำคัญที่สุดอาจเรียบง่ายกว่าที่คิด: แบรนด์ที่คุ้นเคย หน้าเข้าสู่ระบบจริง หรือฟีเจอร์ยืนยันตัวตนของแท้ ไม่ได้แปลว่าคำขอนั้นปลอดภัยเสมอไป ต้องตรวจสอบทั้งคำขอและตัวตนของบุคคลหรือองค์กรที่เป็นผู้เริ่มต้นคำขอด้วย
bitdefender.com Russian-linked hackers turn Google and WhatsApp logins into phishing traps
กลยุทธ์ร่วม: ทำให้คำขออันตรายดูเหมือนขั้นตอนปกติ วิธีนี้อาจทำให้การยืนยันตัวตนหลายปัจจัย หรือ MFA ซึ่งผู้ใช้มักมองว่าเป็นเกราะป้องกันสำคัญ ถูกเลี่ยงได้โดยไม่ต้องขโมยรหัสผ่านโดยตรง เหยื่ออาจไม่ได้พิมพ์รหัสผ่านให้ผู้โจมตี แต่กลับอนุมัติแอป OAuth สร้างรหัสผ่านสำหรับแอป หรือสแกนรหัสเพื่อเชื่อมต่ออุปกรณ์แทน การกระทำเหล่านี้อาจเปิดช่องทางที่ดูถูกต้องตามระบบให้ผู้โจมตีเข้าบัญชีได้
แต่ละกลุ่มใช้วิธีใด
UNC6293: ปลอมตัวเป็นเจ้าหน้าที่ ใช้รหัสผ่านเฉพาะแอปและ OAuth UNC6293 มีรายงานว่าปลอมตัวเป็นเจ้าหน้าที่กระทรวงการต่างประเทศสหรัฐฯ รวมถึงผู้ติดต่อที่เหยื่อไว้วางใจ เพื่อโน้มน้าวให้เป้าหมายสร้างและเปิดเผย รหัสผ่านเฉพาะแอป ซึ่งอาจทำให้ผู้โจมตีเข้าบัญชีได้โดยไม่ต้องผ่านการยืนยันตัวตนขั้นที่สองตามปกติ
GTIG ยังระบุถึงการทำฟิชชิงผ่านหน้าขอความยินยอม OAuth โดยผู้โจมตีพยายามขอโทเคนที่ได้รับอนุญาตเพื่อเข้าถึงบัญชี แทนการขโมยรหัสผ่านโดยตรง
GTIG ประเมินด้วยความเชื่อมั่นระดับปานกลางว่า UNC6293 เป็นกลุ่มย่อยที่ทำหน้าที่เจาะช่องทางเข้าถึงระยะแรกของ ICE RELIC ซึ่งเป็นชื่อที่ Google ใช้เรียกกลุ่มที่เคยเป็นที่รู้จักในชื่อ APT29
UNC7005 หรือ STORM-2945: หลอกเชื่อม WhatsApp และใช้แผนลวงหลายขั้น UNC7005 ใช้เทคนิคหลายรูปแบบที่เปลี่ยนแปลงไปตามสถานการณ์ ได้แก่
หลอกให้เชื่อมต่ออุปกรณ์ WhatsApp: โน้มน้าวให้เหยื่อเชื่อมอุปกรณ์ที่ผู้โจมตีควบคุมเข้ากับบัญชี WhatsApp ของตน สายเสียงปลอมและคำเชิญเข้าห้องแชตเข้ารหัส: ใช้สร้างความคุ้นเคยและความไว้วางใจก่อนส่งลิงก์หรือรหัสอันตราย ปลอมแปลงการสื่อสารขององค์กร: มีการใช้ข้อความที่อ้างถึง Finnish Operations Center ควบคู่กับหน้าเข้าสู่ระบบ Microsoft ปลอม ขโมยสิทธิ์ OAuth และส่งมัลแวร์: ใช้กระบวนการ Google OAuth เพื่อขอโทเคนหรือสิทธิ์เข้าบัญชี พร้อมติดตั้งมัลแวร์ เช่น VIDAR และ ATOMIC ซึ่งเป็นมัลแวร์ขโมยข้อมูล แม้ UNC7005 จะมีเป้าหมายและใช้ประโยชน์จากขั้นตอนยืนยันตัวตนที่ถูกต้องตามระบบคล้ายกับ UNC6293 แต่ GTIG ยังคงติดตามแยกกัน เนื่องจากเทคนิคปฏิบัติการและโครงสร้างพื้นฐานของทั้งสองกลุ่มแตกต่างกัน
UNC5976: ฟิชชิง OAuth เจาะเป้าหมายด้านกลาโหม UNC5976 มีรายงานว่ามุ่งเป้าบุคลากรและองค์กรด้านทหาร อุตสาหกรรมอวกาศ และกลาโหม โดยรวมถึงเป้าหมายที่เชื่อมโยงกับยูเครนและอาร์เมเนีย การโจมตีใช้ฟิชชิง OAuth เพื่อขอสิทธิ์เข้าถึงบัญชีหรือข้อมูลของเหยื่อ
Googleประเมินความเชื่อมโยงกับรัสเซียอย่างไร GTIG ประเมินด้วยความเชื่อมั่นระดับสูงว่า กิจกรรมโดยรวมมีความเชื่อมโยงกับรัสเซีย อย่างไรก็ตาม นี่เป็นการประเมินด้านการระบุแหล่งที่มา ไม่ได้หมายความว่ารายละเอียดการปฏิบัติการทุกส่วน หรือความสัมพันธ์ระหว่างทุกกลุ่มได้รับการพิสูจน์ด้วยระดับความแน่นอนเท่ากัน
รายงานที่มีอยู่ยังระบุถึงความเป็นไปได้ที่กิจกรรมบางส่วนเชื่อมโยงกับ ICE RELIC หรือ APT29 โดย GTIG ประเมินความเชื่อมโยงระหว่าง UNC6293 กับ ICE RELIC ด้วยความเชื่อมั่นระดับปานกลาง ขณะที่ยังติดตามทั้ง 3 กลุ่มแยกจากกัน เพราะรูปแบบการปฏิบัติการและโครงสร้างพื้นฐานไม่ได้เหมือนกันทั้งหมด
ทำไมมี MFA แล้วก็ยังไม่ปลอดภัยเสมอไป MFA ยังช่วยลดความเสี่ยงได้มาก แต่ไม่เพียงพอหากผู้โจมตีสามารถหลอกให้ผู้ใช้อนุมัติการกระทำที่ผิด เช่น กดยอมรับหน้าขอสิทธิ์ OAuth สร้างรหัสผ่านเฉพาะแอป หรือเชื่อมต่ออุปกรณ์ WhatsApp ของคนร้าย
บทเรียนสำคัญคือ ควรมองคำขอยืนยันตัวตนเป็น “ธุรกรรม” ที่ต้องตรวจสอบ ไม่ใช่ขั้นตอนที่ปลอดภัยโดยอัตโนมัติเพียงเพราะปรากฏอยู่ในบริการที่คุ้นเคย
วิธีป้องกันที่แนะนำ คำแนะนำของ GTIG เน้นให้ผู้ใช้ชะลอขั้นตอนที่ผู้โจมตีกำลังพยายามเร่งให้ดำเนินการ ดังนี้
ตรวจสอบ URL ในแถบที่อยู่ให้ครบถ้วน ก่อนเข้าสู่ระบบหรืออนุมัติสิทธิ์ OAuth ยืนยันคำเชิญและคำขอผ่านช่องทางอื่น: หากได้รับคำเชิญงานประชุม สายเสียง คำเชิญเข้าห้องแชตเข้ารหัส หรือข้อความที่อ้างว่ามาจากรัฐบาลหรือองค์กร ให้ติดต่อผู้ส่งผ่านช่องทางที่ทราบว่าเป็นของจริง ห้ามเปิดเผยรหัสผ่านเฉพาะแอป รหัสยืนยันแบบใช้ครั้งเดียว QR code หรือรหัสเชื่อมต่ออุปกรณ์ และอย่าอนุมัติการเข้าสู่ระบบหรือคำขอ OAuth ที่ไม่คาดคิด ตรวจสอบอุปกรณ์ที่เชื่อมโยงกับแอปส่งข้อความเป็นประจำ และลบอุปกรณ์ที่ไม่รู้จักออกจาก WhatsApp หรือบริการอื่น ๆ ใช้ MFA ที่ป้องกันฟิชชิงได้: องค์กรควรให้ความสำคัญกับ security key หรือ passkey และจำกัดแอป OAuth ที่มีความเสี่ยง รวมถึงการใช้รหัสผ่านเฉพาะแอปเมื่อทำได้ สำหรับผู้ที่ทำงานในภาคส่วนอ่อนไหว นิสัยที่สำคัญที่สุดอาจเรียบง่ายกว่าที่คิด: แบรนด์ที่คุ้นเคย หน้าเข้าสู่ระบบจริง หรือฟีเจอร์ยืนยันตัวตนของแท้ ไม่ได้แปลว่าคำขอนั้นปลอดภัยเสมอไป ต้องตรวจสอบทั้งคำขอและตัวตนของบุคคลหรือองค์กรที่เป็นผู้เริ่มต้นคำขอด้วย
bitdefender.com Russian-linked hackers turn Google and WhatsApp logins into phishing traps 
cloud.google.comDistinct Clusters Target Individuals of Interest to Russia
theregister.comRussian snoops add OAuth abuse to targeted phishing ...
mallory.aiRussian-Linked Clusters Stole Auth Tokens via OAuth and Device ...
securityaffairs.comFake Conferences, OAuth and WhatsApp: Inside Russia's New ...