ในฐานะเดฟที่ชีวิตวันๆ แทบจะเซฟลิงก์แชตบอต AI ไว้บนบุ๊กมาร์กบาร์เป็นหน้าแรก ผมบอกได้คำเดียวว่าข่าวนี้ทำเอาคนไอทีต้องสะดุ้งสุดตัว! คำถามชวนขนลุกปนกุมขมับที่กำลังทำเอาทั้งคนทำงานและฝ่ายความปลอดภัยไซเบอร์ทั่วโลกผวาคือ ถ้าหน้าเว็บล็อกอินของ ChatGPT, Gemini หรือ Claude ที่เราคลิกเข้าไปจากหน้าค้นหา ดันไม่ใช่เว็บของจริง แต่เป็นกับดักโจรไซเบอร์ที่รอฮุบทั้งรหัสผ่านและรหัสสองชั้น (MFA) ไปแบบเรียลไทม์ เราจะเหลืออะไรให้ปลอดภัยอีก? สื่อไซเบอร์ซีเคิวริตี้ระดับท็อปอย่าง The Hacker News ได้เปิดโปงขบวนการล่าเหยื่อสุดแสบ เมื่อแฮกเกอร์สายมืดทุ่มทุนยิงโฆษณา (Malvertising) ปลอมแปลงเป็นพอร์ทัลล็อกอินของโมเดล AI ชื่อดัง เพื่อดักจับข้อมูลยืนยันตัวตนของผู้ใช้งานและแอบดูดโค้ด MFA ไปปล้นบัญชีองค์กรแบบเงียบกริบ
วงในลากไส้แผนลวง: 3 กลลวงแยบยลที่หลอกกินตับสายเทคจนหมดตัว
การโจมตีรอบนี้ไม่ได้มาแบบหลอกเด็กด้วยอีเมลภาษาต่างด้าวตกๆ หล่นๆ แต่เป็นการลงทุนทางเทคนิคระดับมือโปรที่จับจังหวะความรีบร้อนของคนทำงานได้อย่างแม่นยำ โดยมี 3 จุดตายที่ทำให้คนไอทีตกเป็นเหยื่อแบบไม่รู้ตัว:
- ทุ่มเงินซื้อแอดติดหน้าหนึ่งบนเสิร์ชเอนจิน (Malvertising Search Hijacking): แฮกเกอร์สร้างแคมเปญโฆษณาปลอมแล้วประมูลคีย์เวิร์ดยอดฮิตอย่าง “ChatGPT Login”, “Claude AI Desktop” หรือ “Google Gemini Work” เพื่อดันลิงก์ฟิชชิ่งขึ้นไปอยู่อันดับบนสุดของผลการค้นหา เมื่อคนทำงานรีบคลิกโดยไม่ทันสังเกตตัวสะกดของโดเมน ก็จะถูกพาเข้าสู่หน้าเว็บโคลนที่ออกแบบมาเหมือนเป๊ะทุกพิกเซล
- เทคนิคดักจับรหัสผ่านพร้อมทะลวง MFA แบบเรียลไทม์ (Adversary-in-the-Middle – AiTM): นี่คือไม้เด็ดของจริง เพราะมิจฉาชีพไม่ได้ตั้งหน้าเว็บปลอมธรรมดาๆ แต่ใช้พร็อกซีเซิร์ฟเวอร์แบบ AiTM สวมรอยเป็นตัวกลาง เมื่อเหยื่อกรอกยูสเซอร์เนม รหัสผ่าน และรหัส OTP/MFA ลงไป ระบบจะส่งรหัสนั้นต่อไปยังเซิร์ฟเวอร์จริงของค่าย AI ทันที พร้อมทั้งแอบขโมย Session Cookie ที่ยืนยันตัวตนผ่านแล้วกลับมาให้แฮกเกอร์ ทำให้คนร้ายสามารถเข้าถึงระบบได้โดยไม่ต้องกรอกรหัสซ้ำอีกต่อไป
- พุ่งเป้าล้างผลาญคลังข้อมูลบริษัท (Enterprise Account Takeover): เป้าหมายหลักไม่ใช่แค่การแฮกบัญชีเล่นฟรี แต่เป็นการตามล่าหาบัญชีระดับองค์กร (Team & Enterprise Accounts) ที่เชื่อมต่อเข้ากับฐานข้อมูลภายใน คลังเก็บโค้ด หรือเอกสารโปรเจกต์ลับ เพื่อนำข้อมูลธุรกิจไปเรียกค่าไถ่หรือขายต่อในดาร์กเว็บ
เหลียวมองออฟฟิศไทย: เมื่อความรีบส่งงานอาจพาไปจบที่คดีละเมิด PDPA
ตัดภาพกลับมาที่สมรภูมิทำงานในเมืองไทย ตั้งแต่ย่านสาทร อโศก ไปจนถึงกลุ่มฟรีแลนซ์สายปั่นงาน พนักงานออฟฟิศและโปรแกรมเมอร์ไทยจำนวนมากมักคุ้นชินกับการเสิร์ชหาเว็บเครื่องมือ AI ผ่าน Google แล้วกดคลิกลิงก์แรกที่โผล่ขึ้นมาทันทีโดยไม่ได้ตรวจดู URL ให้ละเอียด ลองจินตนาการดูว่า ถ้าเดฟหรือฝ่ายการเงินเผลอโดนดูดบัญชีที่ผูกระบบหลังบ้านของบริษัทไป ไม่ใช่แค่เงินในบัญชีส่วนตัวจะหาย แต่ข้อมูลลับของลูกค้าทั้งหมดอาจรั่วไหลสู่สาธารณะ ซึ่งนอกจากจะโดนไล่ออกแล้ว องค์กรยังเสี่ยงโดนโทษปรับมหาศาลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) จนฝ่ายกฎหมายและผู้บริหารต้องนั่งกุมขมับร้องไห้กันทั้งบาง
คาถาป้องกันตัวฉบับเดฟตัวจริง: เช็กโดเมนให้ชัวร์ก่อนกดส่งรหัส
เหตุการณ์นี้เป็นเครื่องตอกย้ำว่า แม้แต่ระบบความปลอดภัยยอดฮิตอย่างรหัส MFA ผ่าน SMS หรือแอป Authenticator ทั่วไป ก็ยังพ่ายแพ้ต่อเทคนิคดักจับเซสชันแบบ AiTM ได้ หากผู้ใช้ขาดความระมัดระวัง ทางรอดที่ดีที่สุดสำหรับคนทำงานและทีมไอทีไทยคือ จงบุ๊กมาร์ก (Bookmark) ลิงก์ทางการของเครื่องมือ AI ไว้บนเบราว์เซอร์เสมอ หลีกเลี่ยงการคลิกลิงก์ที่เป็นโฆษณา (Sponsored Links) และหากเป็นไปได้ องค์กรควรขยับไปใช้การยืนยันตัวตนด้วยกุญแจฮาร์ดแวร์แบบ FIDO2 / Passkeys ที่ป้องกันการทำฟิชชิ่งได้ 100% เพราะในยุคที่มิจฉาชีพขยันอัปเกรดเครื่องมือตามกระแสเทค ความรอบคอบในการเช็กแถบที่อยู่เว็บเพียง 2 วินาที ย่อมคุ้มค่ากว่าการต้องมานั่งกู้ระบบและเขียนคำให้การกับตำรวจแน่นอน
อ้างอิงจาก : https://thehackernews.com