มีรายงานพบแคมเปญ Phishing รูปแบบใหม่ชื่อ VENOM ซึ่งเป็นบริการแบบ Phishing-as-a-Service (PhaaS) ที่มุ่งเป้าขโมยบัญชี Microsoft ของผู้บริหารระดับสูง เช่น CEO, CFO และ VP ในหลายองค์กร
การโจมตีครั้งนี้ไม่ได้ส่งอีเมลแบบหว่านแหเหมือนที่ผ่านมา แต่เลือกโจมตีบุคคลเป้าหมายโดยเฉพาะ อีเมลถูกปลอมให้เหมือนการแชร์ไฟล์ผ่าน Microsoft SharePoint พร้อมใส่ชื่อ ตำแหน่ง หรือข้อมูลที่เกี่ยวข้องกับการทำงานจริง ทำให้ดูน่าเชื่อถือมาก
แทนที่จะใช้ลิงก์ Phishing แบบเดิม ผู้โจมตีเลือกใช้ QR Code เพื่อหลบเลี่ยงระบบตรวจจับของอีเมล เมื่อเหยื่อสแกน QR Code ระบบจะ
ตรวจสอบก่อนว่าเป็นเป้าหมายที่ต้องการหรือไม่ หากใช่ จึงพาไปยังหน้าเข้าสู่ระบบ Microsoft ปลอมที่ทำงานแบบเรียลไทม์ ทำให้ชื่อผู้ใช้
รหัสผ่าน และรหัส MFA ถูกส่งไปยังผู้โจมตีทันที
นอกจากนี้ ผู้โจมตียังใช้เทคนิค Device Code Phishing เพื่อหลอกให้ผู้ใช้กดยืนยันสิทธิ์การเข้าใช้งาน ทำให้อุปกรณ์ของผู้โจมตีเชื่อมต่อกับบัญชี Microsoft ได้โดยไม่ต้องใช้รหัสผ่าน
แม้ผู้ใช้จะรีบเปลี่ยนรหัสผ่านหลังรู้ตัว ผู้โจมตีก็อาจยังเข้าถึงบัญชีได้ หากขโมย Session Token ซึ่งเป็นข้อมูลที่ใช้ยืนยันตัวตนหลังการล็อกอินไว้แล้ว
องค์กรควรทำอะไรบ้าง?
ผู้เชี่ยวชาญเตือนว่า การเปิดใช้ MFA เพียงอย่างเดียวอาจไม่เพียงพอ เนื่องจากการโจมตีในปัจจุบันสามารถหลีกเลี่ยงหรือข้ามขั้นตอนการยืนยันตัวตนได้ในบางกรณี
เพื่อช่วยลดความเสี่ยง องค์กรควรพิจารณาเพิ่มมาตรการด้านความปลอดภัย เช่น
- ใช้ FIDO2 หรือ Passkey เพื่อเพิ่มความปลอดภัยในการยืนยันตัวตน
- ตั้งค่า Conditional Access เพื่อควบคุมการเข้าถึงตามเงื่อนไข เช่น อุปกรณ์ ตำแหน่ง หรือระดับความเสี่ยง
- อบรมพนักงานให้ระวังอีเมล Phishing และหลีกเลี่ยงการสแกน QR Code จากแหล่งที่ไม่น่าเชื่อถือ
- ตรวจสอบการล็อกอินและกิจกรรมที่ผิดปกติของบัญชีผู้ใช้งานอย่างสม่ำเสมอ
สำหรับธุรกิจที่ต้องการลดความเสี่ยงจากภัยลักษณะนี้ การมีระบบ Email Security และการตั้งค่าความปลอดภัยที่เหมาะสม จะช่วยป้องกันการโจมตีได้ตั้งแต่ก่อนเกิดความเสียหาย
hostatom พร้อมช่วยดูแลและตั้งค่าความปลอดภัยสำหรับ Microsoft 365 ให้เหมาะกับการใช้งานขององค์กร เพื่อให้ธุรกิจของคุณใช้งานได้อย่างมั่นใจ
ที่มา: BleepingComputer
