UNC6671: เปิดโปงขบวนการ “วิศซิ่ง” ปลอมเป็นทีมไอที หลอกพนักงานการเงิน华尔街 สูญเงินกว่า 10 ล้านดอลลาร์

ใครคือเหยื่อ?

รายงานของ Google และสำนักข่าวด้านความปลอดภัยไซเบอร์ระบุชื่อบริษัทการเงินและการลงทุนรายใหญ่ของสหรัฐฯ ที่ตกเป็นเป้าหมายของ UNC6671 อย่างชัดเจน ได้แก่:

Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's, และ TPG

นอกจากนี้ สำนักข่าว Reuters และ Bloomberg ยังรายงานเพิ่มเติมว่า Point72 Asset Management, Millennium Management, Two Sigma และ Citadel ก็ตกเป็นเป้าหมายด้วยเช่นกัน

กลวิธีโจมตี: ง่ายแต่แสบ!

การโจมตีของ UNC6671 ไม่ได้ใช้มัลแวร์ที่ซับซ้อน แต่ใช้เทคนิคทางสังคม (Social Engineering) และโครงสร้างพื้นฐาน 'คนกลางคอยดักข้อมูล' (Adversary-in-the-Middle หรือ AiTM) ในการฟิชชิ่งข้อมูล

1. โทรศัพท์ถึงมือถือส่วนตัว: แฮกเกอร์จะโทรศัพท์ไปยังมือถือส่วนตัวของพนักงาน โดยใช้เทคนิคปลอมแปลงหมายเลขโทรศัพท์ (Caller ID Spoofing) ให้ดูเหมือนเป็นสายจากแผนกไอทีของบริษัท จากนั้นจะแจ้งว่ามีการอัปเดตระบบรักษาความปลอดภัยด่วน เช่น การย้าย Passkey หรือการอัปเดต MFA การเลือกโทรไปมือถือส่วนตัวช่วยให้พวกเขาหลบเลี่ยงระบบตรวจสอบความปลอดภัยของบริษัท

2. ขโมยข้อมูลประจำตัวและ MFA แบบ Real-Time: พนักงานที่หลงเชื่อจะถูกชักนำไปยังหน้าเว็บไซต์ปลอมที่เหมือนของจริงทุกประการ (SSO Portal ปลอม) เมื่อพนักงานกรอกชื่อผู้ใช้ รหัสผ่าน และรหัสยืนยันตัวตน (Push, SMS หรือ TOTP) ระบบ AiTM จะดักจับข้อมูลทั้งหมดทันที จากนั้นแฮกเกอร์จะลงทะเบียนอุปกรณ์ MFA ใหม่ที่ตนเองควบคุมทันทีเพื่อให้เข้าถึงระบบได้อย่างถาวร

3. ขโมยข้อมูลอัตโนมัติ: เมื่อเจาะระบบสำเร็จ กลุ่มนี้จะใช้สคริปต์ Python และ PowerShell เพื่อขโมยข้อมูลจากบริการคลาวด์ที่เชื่อมต่ออยู่ เช่น Microsoft 365, SharePoint, OneDrive, Okta, Zendesk และ Salesforce โดยสคริปต์จะค้นหาคำสำคัญ เช่น "confidential" และ "SSN" เพื่อหาข้อมูลที่มีมูลค่าสูง

4. กรรโชกทรัพย์และเว็บไซต์รั่วไหลข้อมูล: ข้อมูลที่ถูกขโมยไป ซึ่งรวมถึงทรัพย์สินทางปัญญา (Intellectual Property), ซอร์สโค้ด และข้อมูลลูกค้าที่ละเอียดอ่อน จะถูกนำไปโพสต์บนเว็บไซต์รั่วไหลข้อมูล (Data Leak Sites) ภายใต้แต่ละแบรนด์ของกลุ่ม เว้นแต่เหยื่อจะยอมจ่ายค่าไถ่

ค่าไถ่และการจ่าย Bitcoin

• ข้อเรียกร้องค่าไถ่เริ่มต้นอยู่ที่ประมาณ 750,000 ถึง 3 ล้านดอลลาร์สหรัฐฯ ต่อราย
• ในกรณีหนึ่ง เหยื่อจ่ายค่าไถ่เป็น Bitcoin มูลค่าประมาณ 10.6 ล้านดอลลาร์สหรัฐฯ ให้กับกลุ่มในช่วงห้าเดือนแรกของปี 2026
• GTIG ของ Google ยืนยันโดยตรงว่ากลุ่มนี้รับเงินค่าไถ่ มากกว่า 10 ล้านดอลลาร์สหรัฐฯ นับตั้งแต่เดือนมกราคม 2026
• GTIG ตรวจพบ Bitcoin จำนวน 141.65 BTC ในกระเป๋าเงิน 18 ใบที่เชื่อมโยงกับปฏิบัติการ BlackFile รุ่นก่อนหน้า

เป้าหมายในอดีต

ก่อนที่จะหันมาโจมตีภาคการเงิน บริษัทไพรเวทอิควิตี้ และบริการเฉพาะทางในกลางปี 2026 กลุ่ม UNC6671 (ภายใต้ชื่อ BlackFile) เคยโจมตีหลายภาคส่วน เช่น การผลิต (Manufacturing), อสังหาริมทรัพย์ (Real Estate), การดูแลสุขภาพ (Healthcare), ประกันภัย (Insurance), เทคโนโลยี (Technology), การขนส่ง (Transportation) และการบริการ (Hospitality)

ความเชื่อมั่นในการระบุตัวตนและข้อควรระวัง

Google ระบุว่าแบรนด์กรรโชกทั้งสี่แบรนด์เป็นของกลุ่ม UNC6671 เพียงกลุ่มเดียว โดยอิงจากรูปแบบการจดทะเบียนโดเมนที่เหมือนกัน แม่แบบฟิชชิ่งที่ทับซ้อนกัน ชุดเครื่องมือ AiTM Phishing Kit ที่ใช้ร่วมกัน และกลุ่มเหยื่อที่ทับซ้อนกัน

อย่างไรก็ตาม Google ตั้งข้อสังเกตว่าสถานการณ์อื่นๆ เช่น การแตกตัวของสมาชิก (Splintered Affiliates) หรือกลุ่มอาชญากรหลายกลุ่มที่ใช้โครงสร้างพื้นฐาน Phishing-as-a-Service ร่วมกัน "ก็มีความเป็นไปได้เช่นกัน" แบรนด์เหล่านี้อาจไม่ใช่แก๊งอาชญากรที่แยกจากกันโดยสิ้นเชิง แต่น่าจะเป็นผู้ดำเนินการกลุ่มเดียวกันที่ใช้แบรนด์เว็บไซต์รั่วไหลหลายแบรนด์พร้อมกันหลังจากรีแบรนด์จาก BlackFile

คำแนะนำในการป้องกัน

ผู้เชี่ยวชาญด้านความปลอดภัยและ GTIG ของ Google แนะนำมาตรการป้องกันดังนี้ :

• ใช้ระบบ MFA ที่ทนทานต่อการฟิชชิ่ง: Passkey มาตรฐาน FIDO2/WebAuthn จะผูกติดกับโดเมนต้นทางที่ถูกต้อง ซึ่งพร็อกซี AiTM ไม่สามารถปลอมแปลงได้ไม่ว่าหน้าเว็บปลอมจะดูเหมือนจริงแค่ไหน
• ให้ความรู้พนักงานเกี่ยวกับวิศซิ่ง: พนักงานควรทราบว่าแผนกไอทีจะไม่มีวันโทรศัพท์ไปยังมือถือส่วนตัวเพื่อขอให้อัปเดตข้อมูลประจำตัวอย่างเร่งด่วน โดยเฉพาะในสถานการณ์ที่กดดัน
• ตั้งค่าช่องทางยืนยันตัวตนนอกระบบ (Out-of-Band Verification): คำขอใดๆ จากแผนกไอทีที่ไม่ได้รับการร้องขอ ควรได้รับการยืนยันผ่านช่องทางการสื่อสารภายในของบริษัทที่รู้จักก่อนดำเนินการ
• เฝ้าระวังพฤติกรรมเซสชันที่ผิดปกติ: ทีมรักษาความปลอดภัยควรติดตามการลงทะเบียนอุปกรณ์ MFA ใหม่ ตำแหน่งที่ตั้งที่ผิดปกติในการเข้าสู่ระบบ และการดาวน์โหลดข้อมูลจำนวนมากจาก SharePoint และ OneDrive