คำตอบการวิจัย
ประเด็นสำคัญ ระหว่างวันที่ 1–10 สิงหาคม 2026 ภัยคุกคามนามแฝง 'TheHatman' ลงประกาศขายข้อมูลพนักงานภายในของบริษัท 6 แห่งบนเว็บ BreachForums รวมกว่า 1.4 ล้านรายชื่อ โดยข้อมูลดังกล่าวถูกอ้างว่าดึงมาจากระบบ Azure/Entra ID โดยตรง เหยื่อรายใหญ่ประกอบด้วย McDonald's, Tata Consultancy Services (TCS), Vodafone, HCL Technologies, Kyndryl, InterContinental Hotels Group, Gap, Hexaware Technologies และ Wyndham Hotels & Resorts TCS และ HCLTech ปฏิเสธว่าถูกเจาะระบบโดยตรง โดยอ้างว่าข้อมูลที่รั่วไหลมีอายุหลายปี — สร้างข้อกังขาว่าข้อมูลอาจถูกสะสมจากการรั่วไหลเก่าหรือการเข้าถึงผ่านบุคคลที่สาม กลยุทธ์นี้สอดคล้องกับแนวโน้มอาชญากรรมไซเบอร์ปี 2026 ที่อาชญากรหันมาเน้นขโมยข้อมูลเพื่อเรียกค่าไถ่ แทนที่จะใช้勒索软件 (ransomware) แบบเดิม What was the large-scale Azure exfiltration campaign conducted by a threat actor called "TheHatman" that resulted in millions of internal em Conceptual image of the TheHatman Azure exfiltration campaign, where compromised credentials were used to steal over 1.4 million employee records from corporate Azure/Entra ID tenants. AI พรอมต์ Create a landscape editorial hero image for this Studio Global article: What was the large-scale Azure exfiltration campaign conducted by a threat actor called "TheHatman" that resulted in millions of internal em. Article summary: Here is a comprehensive breakdown of the campaign based on Hudson Rock's analysis and corroborating sources.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, n
openai.com คนยังถาม คำตอบสั้น ๆ สำหรับ "ปฏิบัติการ ‘TheHatman’: เปิดโปงการขโมยข้อมูลพนักงาน 1.4 ล้านรายชื่อจากบริษัท Fortune 500 ผ่านช่องโหว่ Azure" คืออะไร ระหว่างวันที่ 1–10 สิงหาคม 2026 ภัยคุกคามนามแฝง 'TheHatman' ลงประกาศขายข้อมูลพนักงานภายในของบริษัท 6 แห่งบนเว็บ BreachForums รวมกว่า 1.4 ล้านรายชื่อ โดยข้อมูลดังกล่าวถูกอ้างว่าดึงมาจากระบบ Azure/Entra ID โดยตรง
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร? ระหว่างวันที่ 1–10 สิงหาคม 2026 ภัยคุกคามนามแฝง 'TheHatman' ลงประกาศขายข้อมูลพนักงานภายในของบริษัท 6 แห่งบนเว็บ BreachForums รวมกว่า 1.4 ล้านรายชื่อ โดยข้อมูลดังกล่าวถูกอ้างว่าดึงมาจากระบบ Azure/Entra ID โดยตรง เหยื่อรายใหญ่ประกอบด้วย McDonald's, Tata Consultancy Services (TCS), Vodafone, HCL Technologies, Kyndryl, InterContinental Hotels Group, Gap, Hexaware Technologies และ Wyndham Hotels & Resorts
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ? TCS และ HCLTech ปฏิเสธว่าถูกเจาะระบบโดยตรง โดยอ้างว่าข้อมูลที่รั่วไหลมีอายุหลายปี — สร้างข้อกังขาว่าข้อมูลอาจถูกสะสมจากการรั่วไหลเก่าหรือการเข้าถึงผ่านบุคคลที่สาม
คำตอบการวิจัย
ประเด็นสำคัญ ระหว่างวันที่ 1–10 สิงหาคม 2026 ภัยคุกคามนามแฝง 'TheHatman' ลงประกาศขายข้อมูลพนักงานภายในของบริษัท 6 แห่งบนเว็บ BreachForums รวมกว่า 1.4 ล้านรายชื่อ โดยข้อมูลดังกล่าวถูกอ้างว่าดึงมาจากระบบ Azure/Entra ID โดยตรง เหยื่อรายใหญ่ประกอบด้วย McDonald's, Tata Consultancy Services (TCS), Vodafone, HCL Technologies, Kyndryl, InterContinental Hotels Group, Gap, Hexaware Technologies และ Wyndham Hotels & Resorts TCS และ HCLTech ปฏิเสธว่าถูกเจาะระบบโดยตรง โดยอ้างว่าข้อมูลที่รั่วไหลมีอายุหลายปี — สร้างข้อกังขาว่าข้อมูลอาจถูกสะสมจากการรั่วไหลเก่าหรือการเข้าถึงผ่านบุคคลที่สาม กลยุทธ์นี้สอดคล้องกับแนวโน้มอาชญากรรมไซเบอร์ปี 2026 ที่อาชญากรหันมาเน้นขโมยข้อมูลเพื่อเรียกค่าไถ่ แทนที่จะใช้勒索软件 (ransomware) แบบเดิม What was the large-scale Azure exfiltration campaign conducted by a threat actor called "TheHatman" that resulted in millions of internal em Conceptual image of the TheHatman Azure exfiltration campaign, where compromised credentials were used to steal over 1.4 million employee records from corporate Azure/Entra ID tenants. AI พรอมต์ Create a landscape editorial hero image for this Studio Global article: What was the large-scale Azure exfiltration campaign conducted by a threat actor called "TheHatman" that resulted in millions of internal em. Article summary: Here is a comprehensive breakdown of the campaign based on Hudson Rock's analysis and corroborating sources.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, n
openai.com คนยังถาม คำตอบสั้น ๆ สำหรับ "ปฏิบัติการ ‘TheHatman’: เปิดโปงการขโมยข้อมูลพนักงาน 1.4 ล้านรายชื่อจากบริษัท Fortune 500 ผ่านช่องโหว่ Azure" คืออะไร ระหว่างวันที่ 1–10 สิงหาคม 2026 ภัยคุกคามนามแฝง 'TheHatman' ลงประกาศขายข้อมูลพนักงานภายในของบริษัท 6 แห่งบนเว็บ BreachForums รวมกว่า 1.4 ล้านรายชื่อ โดยข้อมูลดังกล่าวถูกอ้างว่าดึงมาจากระบบ Azure/Entra ID โดยตรง
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร? ระหว่างวันที่ 1–10 สิงหาคม 2026 ภัยคุกคามนามแฝง 'TheHatman' ลงประกาศขายข้อมูลพนักงานภายในของบริษัท 6 แห่งบนเว็บ BreachForums รวมกว่า 1.4 ล้านรายชื่อ โดยข้อมูลดังกล่าวถูกอ้างว่าดึงมาจากระบบ Azure/Entra ID โดยตรง เหยื่อรายใหญ่ประกอบด้วย McDonald's, Tata Consultancy Services (TCS), Vodafone, HCL Technologies, Kyndryl, InterContinental Hotels Group, Gap, Hexaware Technologies และ Wyndham Hotels & Resorts
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ? TCS และ HCLTech ปฏิเสธว่าถูกเจาะระบบโดยตรง โดยอ้างว่าข้อมูลที่รั่วไหลมีอายุหลายปี — สร้างข้อกังขาว่าข้อมูลอาจถูกสะสมจากการรั่วไหลเก่าหรือการเข้าถึงผ่านบุคคลที่สาม
ใครคือผู้เสียหาย
McDonald's Corporation — ประมาณ 1,700,000+ รายการ Tata Consultancy Services (TCS) — ประมาณ 800,000+ รายการ (TCS ระบุว่าข้อมูลน่าจะมีอายุมากกว่า 4 ปี และไม่สามารถยืนยันได้ว่ารั่วไหลจริง) Vodafone — ประมาณ 425,000+ รายการ HCL Technologies — 250,000+ รายการ (HCL ออกมาปฏิเสธและไม่พบหลักฐานการรั่วไหล) Kyndryl — ข้อมูลไดเรกทอรีพนักงานทั้งหมด InterContinental Hotels Group (IHG) — ข้อมูลไดเรกทอรีพนักงาน Gap Inc. — ข้อมูลไดเรกทอรีพนักงาน Hexaware Technologies — ข้อมูลไดเรกทอรีพนักงาน Wyndham Hotels & Resorts — ข้อมูลไดเรกทอรีพนักงาน
ข้อมูลที่ถูกขโมยมีอะไรบ้าง?
ชื่อ-นามสกุลพนักงาน
อีเมลของบริษัท
รหัสพนักงาน / รหัสผู้ใช้
ตำแหน่งงานและชื่อแผนก
ฟิลด์ "รายงานต่อ" ผู้จัดการ
เบอร์โทรศัพท์
โครงสร้างลำดับชั้นภายในองค์กร
ที่น่าสนใจคือ ประกาศขายข้อมูลเหล่านี้มี ภาพหน้าจอของพอร์ทัล Azure / Entra ID เพื่อยืนยันที่มาของข้อมูล ไม่มี ข้อมูลทางการเงินของลูกค้า รหัสผ่าน หรือเอกสารลับทางธุรกิจ
ผู้โจมตีเข้าไปได้อย่างไร? แม้ Hudson Rock ยังไม่ได้ตีพิมพ์บทวิเคราะห์ที่แน่ชัดถึงสาเหตุของปฏิบัติการนี้ แต่หลักฐานและรูปแบบการโจมตีของภัยคุกคามอื่นๆ ที่คล้ายคลึงกัน ชี้ชัดไปที่หลายทาง:
การขโมยข้อมูลรับรอง (Credential) จากมัลแวร์ขโมยข้อมูล (Infostealer) เป็นรูปแบบที่น่าจะเป็นไปได้มากที่สุด มัลแวร์ตระกูล Lumma, RedLine และ Vidar ทำหน้าที่ขโมยข้อมูลที่บันทึกไว้ในเบราว์เซอร์, คุกกี้เซสชัน (session cookies) และโทเคน MFA การสอบสวนในคดีของกลุ่ม "Zestix" ที่ Hudson Rock ทำไว้ก่อนหน้านี้ แสดงให้เห็นว่าการขโมยข้อมูลรับรองจาก infostealer logs เป็นรูปแบบหลักในการเข้าถึงระบบคลาวด์ และองค์กรจำนวนมากไม่ได้เปิดใช้งาน MFA บนพอร์ทัลคลาวด์ของตน
การขโมยคุกกี้เซสชัน (Session Cookie Theft) เป็นอีกหนึ่งช่องทางที่ช่วยให้ผู้โจมตีหลีกเลี่ยงการกรอกรหัสผ่านได้เลย มัลแวร์ขโมยข้อมูลจะขโมยคุกกี้เซสชันที่กำลังใช้งานสำหรับ Azure / Entra ID ทำให้ผู้โจมตีสามารถปลอมตัวเป็นผู้ใช้ที่ถูกต้อง และบางครั้งหลบเลี่ยงการยืนยันตัวตนแบบหลายปัจจัย (MFA) ได้สำเร็จ
ไม่มี MFA หรือ MFA ที่อ่อนแอ เป็นอีกปัจจัยสำคัญ รายงานจาก Hudson Rock ในเดือนมกราคม 2026 พบว่าองค์กรหลายสิบแห่งถูกขโมยข้อมูลจากระบบคลาวด์ เนื่องจากไม่ได้เปิดใช้งาน MFA บนพอร์ทัลสำหรับผู้ดูแลระบบ
การโจมตีผ่านการใช้งานบุคคลที่สาม ก็เป็นไปได้เช่นกัน เหตุการณ์ LiteLLM supply-chain breach ในเดือนมีนาคม 2026 เป็นตัวอย่างชัดเจนที่เกตเวย์ AI แบบโอเพนซอร์สที่ถูกบุกรุก ทำให้ข้อมูลรับรอง CI/CD ขององค์กรกว่า 2,488 แห่งถูกเปิดเผย
ความเสี่ยงทันที แม้ข้อมูลที่ถูกขโมยจะไม่มีรหัสผ่านหรือข้อมูลทางการเงิน แต่ข้อมูลพนักงานเหล่านี้ก็สามารถนำไปใช้ในการโจมตีที่มีผลกระทบสูงได้หลายวิธี:
Business Email Compromise (BEC): ด้วยแผนผังองค์กร สายบังคับบัญชา และอีเมลที่ถูกต้อง ผู้โจมตีสามารถแอบอ้างเป็นผู้บริหารระดับสูง (CEO/CFO) เพื่ออนุมัติการโอนเงินปลอมหรือการชำระเงินทุจริต Spear-Phishing: ข้อมูลตำแหน่งงาน แผนก และโครงสร้างผู้บังคับบัญชาที่ละเอียด ช่วยให้สร้างอีเมลหลอกลวงที่โน้มน้าวใจและเจาะจงเป้าหมายได้อย่างมีประสิทธิภาพ การยกระดับสิทธิ์และการเคลื่อนที่ในแนวราบ (Lateral Movement): หากข้อมูลรับรองที่ถูกขโมยเป็นของผู้ดูแลระบบ Azure AD ระดับ Global Administrator ผู้โจมตีอาจสามารถกำหนดค่า Tenant ใหม่ สร้างบัญชีหลังบ้าน เข้าถึงบริการ Microsoft 365 ต่าง ๆ หรือแม้กระทั่งข้อมูลใน SharePoint และ Teams Identity Theft และ Social Engineering: ข้อมูลส่วนบุคคลและบริบทขององค์กรที่นำไปใช้ในการปลอมแปลงตัวตนพนักงาน เมื่อโทรศัพท์หรือส่งอีเมลถึงฝ่ายไอที เพื่อขอรีเซ็ตรหัสผ่านหรือเปลี่ยนอุปกรณ์ยืนยันตัวตน
การโจมตีครั้งนี้สอดคล้องกับแนวโน้มปี 2026 อย่างไร ปฏิบัติการ TheHatman เป็นตัวอย่างของแนวโน้มอาชญากรรมไซเบอร์ที่เปลี่ยนไปอย่างมีนัยสำคัญในช่วงปี 2025–2026:
1. Ransomware ลดความสำคัญลง หันมาใช้การขโมยข้อมูลเพื่อเรียกค่าไถ่แทน อาชญากรไซเบอร์จำนวนมาก เลือกข้ามขั้นตอนการเข้ารหัสไฟล์ไปเลย พวกเขาจะขโมยข้อมูลก่อน แล้วขู่ว่าจะเผยแพร่หรือขายถ้าไม่ได้รับเงิน วิธีนี้เร็วกว่า เงียบกว่า และหลีกเลี่ยงความซับซ้อนในการใช้งาน ransomware ทั้งเครือข่าย
2. การโจมตีระบบคลาวด์โดยใช้ข้อมูลรับรองที่ถูกขโมยเป็นรูปแบบหลัก ช่องโหว่ด้านซอฟต์แวร์ไม่ใช่ช่องทางหลักอีกต่อไป แต่เป็นการ ยึดข้อมูลประจำตัว : มัลแวร์ขโมยข้อมูลและฟิชชิ่งจะเก็บเกี่ยวข้อมูลรับรองที่ถูกต้อง จากนั้นผู้โจมตีจะใช้ข้อมูลนั้นเข้าสู่ระบบคลาวด์โดยตรงในฐานะผู้ใช้ที่ถูกต้อง (Azure, AWS, ShareFile, Nextcloud)
3. นายหน้าขายการเข้าถึงระบบ (Initial Access Brokers - IABs) กำลังขยายตัว TheHatman ดูเหมือนจะทำตัวเป็นผู้ขายข้อมูลที่ถูกขโมย ซึ่งคล้ายกับโมเดล IAB ที่กลุ่มอาชญากรเฉพาะทางจะทำหน้าที่ขายการเข้าถึงระบบเท่านั้น โดยไม่ต้องลงมือปฏิบัติการด้วยตนเอง ซึ่งช่วยลดอุปสรรคสำหรับอาชญากรที่อยู่วงนอก
4. การโจมตีแบบ Supply-chain ถูกนำมาใช้ขยายผล เหตุการณ์ LiteLLM แสดงให้เห็นว่าการบุกรุกเครื่องมือ AI โอเพนซอร์สเพียงชิ้นเดียว สามารถเปิดเผยข้อมูลรับรองของบริษัทลูกค้าปลายทางอีกหลายพันรายได้
5. ข้อมูลไดเรกทอรีพนักงานกลายเป็นสินค้ามีค่า แทนที่จะขโมยข้อมูลบัตรเครดิตหรือประวัติการรักษา ผู้โจมตีเปลี่ยนไปสร้างรายได้จากข้อมูลเมตาขององค์กร (ชื่อ ตำแหน่ง สายบังคับบัญชา) เพราะมันช่วยให้ทำวิศวกรรมสังคมที่มีความน่าเชื่อถือสูงในวงกว้าง — เป็นการสร้างรายได้ที่เสี่ยงน้อยกว่า และให้ผลตอบแทนดีกว่าการขโมยข้อมูลแบบเดิม
ใครคือผู้เสียหาย
McDonald's Corporation — ประมาณ 1,700,000+ รายการ Tata Consultancy Services (TCS) — ประมาณ 800,000+ รายการ (TCS ระบุว่าข้อมูลน่าจะมีอายุมากกว่า 4 ปี และไม่สามารถยืนยันได้ว่ารั่วไหลจริง) Vodafone — ประมาณ 425,000+ รายการ HCL Technologies — 250,000+ รายการ (HCL ออกมาปฏิเสธและไม่พบหลักฐานการรั่วไหล) Kyndryl — ข้อมูลไดเรกทอรีพนักงานทั้งหมด InterContinental Hotels Group (IHG) — ข้อมูลไดเรกทอรีพนักงาน Gap Inc. — ข้อมูลไดเรกทอรีพนักงาน Hexaware Technologies — ข้อมูลไดเรกทอรีพนักงาน Wyndham Hotels & Resorts — ข้อมูลไดเรกทอรีพนักงาน
ข้อมูลที่ถูกขโมยมีอะไรบ้าง?
ชื่อ-นามสกุลพนักงาน
อีเมลของบริษัท
รหัสพนักงาน / รหัสผู้ใช้
ตำแหน่งงานและชื่อแผนก
ฟิลด์ "รายงานต่อ" ผู้จัดการ
เบอร์โทรศัพท์
โครงสร้างลำดับชั้นภายในองค์กร
ที่น่าสนใจคือ ประกาศขายข้อมูลเหล่านี้มี ภาพหน้าจอของพอร์ทัล Azure / Entra ID เพื่อยืนยันที่มาของข้อมูล ไม่มี ข้อมูลทางการเงินของลูกค้า รหัสผ่าน หรือเอกสารลับทางธุรกิจ
ผู้โจมตีเข้าไปได้อย่างไร? แม้ Hudson Rock ยังไม่ได้ตีพิมพ์บทวิเคราะห์ที่แน่ชัดถึงสาเหตุของปฏิบัติการนี้ แต่หลักฐานและรูปแบบการโจมตีของภัยคุกคามอื่นๆ ที่คล้ายคลึงกัน ชี้ชัดไปที่หลายทาง:
การขโมยข้อมูลรับรอง (Credential) จากมัลแวร์ขโมยข้อมูล (Infostealer) เป็นรูปแบบที่น่าจะเป็นไปได้มากที่สุด มัลแวร์ตระกูล Lumma, RedLine และ Vidar ทำหน้าที่ขโมยข้อมูลที่บันทึกไว้ในเบราว์เซอร์, คุกกี้เซสชัน (session cookies) และโทเคน MFA การสอบสวนในคดีของกลุ่ม "Zestix" ที่ Hudson Rock ทำไว้ก่อนหน้านี้ แสดงให้เห็นว่าการขโมยข้อมูลรับรองจาก infostealer logs เป็นรูปแบบหลักในการเข้าถึงระบบคลาวด์ และองค์กรจำนวนมากไม่ได้เปิดใช้งาน MFA บนพอร์ทัลคลาวด์ของตน
การขโมยคุกกี้เซสชัน (Session Cookie Theft) เป็นอีกหนึ่งช่องทางที่ช่วยให้ผู้โจมตีหลีกเลี่ยงการกรอกรหัสผ่านได้เลย มัลแวร์ขโมยข้อมูลจะขโมยคุกกี้เซสชันที่กำลังใช้งานสำหรับ Azure / Entra ID ทำให้ผู้โจมตีสามารถปลอมตัวเป็นผู้ใช้ที่ถูกต้อง และบางครั้งหลบเลี่ยงการยืนยันตัวตนแบบหลายปัจจัย (MFA) ได้สำเร็จ
ไม่มี MFA หรือ MFA ที่อ่อนแอ เป็นอีกปัจจัยสำคัญ รายงานจาก Hudson Rock ในเดือนมกราคม 2026 พบว่าองค์กรหลายสิบแห่งถูกขโมยข้อมูลจากระบบคลาวด์ เนื่องจากไม่ได้เปิดใช้งาน MFA บนพอร์ทัลสำหรับผู้ดูแลระบบ
การโจมตีผ่านการใช้งานบุคคลที่สาม ก็เป็นไปได้เช่นกัน เหตุการณ์ LiteLLM supply-chain breach ในเดือนมีนาคม 2026 เป็นตัวอย่างชัดเจนที่เกตเวย์ AI แบบโอเพนซอร์สที่ถูกบุกรุก ทำให้ข้อมูลรับรอง CI/CD ขององค์กรกว่า 2,488 แห่งถูกเปิดเผย
ความเสี่ยงทันที แม้ข้อมูลที่ถูกขโมยจะไม่มีรหัสผ่านหรือข้อมูลทางการเงิน แต่ข้อมูลพนักงานเหล่านี้ก็สามารถนำไปใช้ในการโจมตีที่มีผลกระทบสูงได้หลายวิธี:
Business Email Compromise (BEC): ด้วยแผนผังองค์กร สายบังคับบัญชา และอีเมลที่ถูกต้อง ผู้โจมตีสามารถแอบอ้างเป็นผู้บริหารระดับสูง (CEO/CFO) เพื่ออนุมัติการโอนเงินปลอมหรือการชำระเงินทุจริต Spear-Phishing: ข้อมูลตำแหน่งงาน แผนก และโครงสร้างผู้บังคับบัญชาที่ละเอียด ช่วยให้สร้างอีเมลหลอกลวงที่โน้มน้าวใจและเจาะจงเป้าหมายได้อย่างมีประสิทธิภาพ การยกระดับสิทธิ์และการเคลื่อนที่ในแนวราบ (Lateral Movement): หากข้อมูลรับรองที่ถูกขโมยเป็นของผู้ดูแลระบบ Azure AD ระดับ Global Administrator ผู้โจมตีอาจสามารถกำหนดค่า Tenant ใหม่ สร้างบัญชีหลังบ้าน เข้าถึงบริการ Microsoft 365 ต่าง ๆ หรือแม้กระทั่งข้อมูลใน SharePoint และ Teams Identity Theft และ Social Engineering: ข้อมูลส่วนบุคคลและบริบทขององค์กรที่นำไปใช้ในการปลอมแปลงตัวตนพนักงาน เมื่อโทรศัพท์หรือส่งอีเมลถึงฝ่ายไอที เพื่อขอรีเซ็ตรหัสผ่านหรือเปลี่ยนอุปกรณ์ยืนยันตัวตน
การโจมตีครั้งนี้สอดคล้องกับแนวโน้มปี 2026 อย่างไร ปฏิบัติการ TheHatman เป็นตัวอย่างของแนวโน้มอาชญากรรมไซเบอร์ที่เปลี่ยนไปอย่างมีนัยสำคัญในช่วงปี 2025–2026:
1. Ransomware ลดความสำคัญลง หันมาใช้การขโมยข้อมูลเพื่อเรียกค่าไถ่แทน อาชญากรไซเบอร์จำนวนมาก เลือกข้ามขั้นตอนการเข้ารหัสไฟล์ไปเลย พวกเขาจะขโมยข้อมูลก่อน แล้วขู่ว่าจะเผยแพร่หรือขายถ้าไม่ได้รับเงิน วิธีนี้เร็วกว่า เงียบกว่า และหลีกเลี่ยงความซับซ้อนในการใช้งาน ransomware ทั้งเครือข่าย
2. การโจมตีระบบคลาวด์โดยใช้ข้อมูลรับรองที่ถูกขโมยเป็นรูปแบบหลัก ช่องโหว่ด้านซอฟต์แวร์ไม่ใช่ช่องทางหลักอีกต่อไป แต่เป็นการ ยึดข้อมูลประจำตัว : มัลแวร์ขโมยข้อมูลและฟิชชิ่งจะเก็บเกี่ยวข้อมูลรับรองที่ถูกต้อง จากนั้นผู้โจมตีจะใช้ข้อมูลนั้นเข้าสู่ระบบคลาวด์โดยตรงในฐานะผู้ใช้ที่ถูกต้อง (Azure, AWS, ShareFile, Nextcloud)
3. นายหน้าขายการเข้าถึงระบบ (Initial Access Brokers - IABs) กำลังขยายตัว TheHatman ดูเหมือนจะทำตัวเป็นผู้ขายข้อมูลที่ถูกขโมย ซึ่งคล้ายกับโมเดล IAB ที่กลุ่มอาชญากรเฉพาะทางจะทำหน้าที่ขายการเข้าถึงระบบเท่านั้น โดยไม่ต้องลงมือปฏิบัติการด้วยตนเอง ซึ่งช่วยลดอุปสรรคสำหรับอาชญากรที่อยู่วงนอก
4. การโจมตีแบบ Supply-chain ถูกนำมาใช้ขยายผล เหตุการณ์ LiteLLM แสดงให้เห็นว่าการบุกรุกเครื่องมือ AI โอเพนซอร์สเพียงชิ้นเดียว สามารถเปิดเผยข้อมูลรับรองของบริษัทลูกค้าปลายทางอีกหลายพันรายได้
5. ข้อมูลไดเรกทอรีพนักงานกลายเป็นสินค้ามีค่า แทนที่จะขโมยข้อมูลบัตรเครดิตหรือประวัติการรักษา ผู้โจมตีเปลี่ยนไปสร้างรายได้จากข้อมูลเมตาขององค์กร (ชื่อ ตำแหน่ง สายบังคับบัญชา) เพราะมันช่วยให้ทำวิศวกรรมสังคมที่มีความน่าเชื่อถือสูงในวงกว้าง — เป็นการสร้างรายได้ที่เสี่ยงน้อยกว่า และให้ผลตอบแทนดีกว่าการขโมยข้อมูลแบบเดิม
