นักวิจัยด้านความปลอดภัยจาก Island พบแคมเปญฟิชชิงรูปแบบใหม่ที่มุ่งเป้าไปยังผู้ดูแลบัญชีโฆษณา เช่น พนักงานเอเจนซี นักวางแผนสื่อ และผู้ดูแลบัญชีที่สามารถเข้าถึงบัญชีโฆษณาของลูกค้าหลายราย

ผู้โจมตีสร้างเว็บไซต์ปลอมที่เลียนแบบบริการ AI ชื่อดังอย่าง ChatGPT, Google Gemini, Claude และ Perplexity รวมถึงบริการ AI อื่น ๆ โดยอ้างว่าเป็นเครื่องมือช่วยวางแผน ตรวจสอบ และบริหารแคมเปญโฆษณา

เมื่อเหยื่อกดปุ่ม “Connect” เพื่อเชื่อมต่อบัญชี เว็บไซต์จะเปิดหน้าต่างเข้าสู่ระบบ Google ปลอมขึ้นมาภายในหน้าเว็บอีกที แม้หน้าต่างดังกล่าวจะแสดง URL เป็น accounts.google.com และมีหน้าตาคล้ายระบบจริง แต่แท้จริงแล้วเป็นหน้าเว็บที่ผู้โจมตีสร้างขึ้นเพื่อขโมยข้อมูลล็อกอินและรหัส MFA 

การโจมตีดังกล่าวเรียกว่า Browser-in-the-Browser (BitB) ซึ่งเป็นเทคนิคที่สร้างหน้าต่างเบราว์เซอร์ปลอมซ้อนอยู่ภายในเบราว์เซอร์จริง ทำให้เหยื่อเข้าใจว่ากำลังล็อกอินผ่านหน้าต่างของ Google หรือบริการที่เชื่อถือได้ เว็บไซต์ปลอมสามารถเลียนแบบทั้งหน้าตา URL และองค์ประกอบของหน้าล็อกอิน ทำให้สังเกตได้ยาก โดยข้อมูลที่เหยื่อกรอกจะถูกส่งไปยังผู้โจมตีโดยตรง บัญชีโฆษณาของเอเจนซีและผู้ดูแลสื่อมักมีสิทธิ์เข้าถึง หลายบัญชีของลูกค้า รวมถึงงบประมาณและข้อมูลการชำระเงิน 

หากถูกยึดบัญชี ผู้โจมตีอาจนำบัญชีไปใช้สร้างแคมเปญโฆษณาหลอกลวง ใช้งบโฆษณาของเหยื่อ หรือขายสิทธิ์เข้าถึงต่อให้กับอาชญากรไซเบอร์รายอื่น ภัยคุกคามครั้งนี้แสดงให้เห็นว่า การมี MFA เพียงอย่างเดียวไม่ได้หมายความว่าจะปลอดภัยจากฟิชชิงเสมอไป หากผู้ใช้กรอกข้อมูลผ่านเว็บไซต์ปลอม ผู้โจมตีอาจขโมยทั้งรหัสผ่านและรหัส MFA ได้

คำแนะนำการป้องกัน

เนื่องจากเทคนิค BitB สามารถปลอมแปลง Address Bar ภายใน Pop-up ได้ การสังเกตเพียงแค่ชื่อ Domain Name จึงไม่เพียงพออีกต่อไป NT cyfence ขอแนะนำแนวทางป้องกันดังนี้:

• ทดสอบลากหน้าต่าง Pop-up: หากเป็น Pop-up จริง จะสามารถลากหน้าต่างนั้น ออกไปนอกขอบหน้าจอเบราว์เซอร์หลัก ได้ แต่หากเป็นหน้าต่าง BitB ปลอม มันจะถูกล็อกไว้ให้อยู่ภายในขอบเขตของหน้าเว็บนั้นเท่านั้น
• ใช้ FIDO2 / Hardware Security Key: การใช้กุญแจความปลอดภัยแบบกายภาพ (เช่น YubiKey) จะผูกการยืนยันตัวตนกับ Origin URL ที่แท้จริงของเบราว์เซอร์ หากเป็นเว็บปลอม กุญแจจะไม่ทำงานแม้คุณจะกรอกรหัสผ่านไปแล้วก็ตาม
• เปิดใช้งาน Password Manager: โปรแกรมจัดการรหัสผ่านจะอ้างอิงจากโดเมนจริงบนเบราว์เซอร์หลัก หากอยู่บนเว็บปลอม โปรแกรมจะไม่เสนอการกรอกรหัสอัตโนมัติ (Auto-fill) ให้
• เข้าใช้งานจาก Bookmark หรือ พิมพ์ URL เอง: หลีกเลี่ยงการคลิก Link บริการ AI จากโฆษณาหรือผลการค้นหาที่ไม่ได้รับการยืนยัน
• อบรมพนักงานให้รู้จักฟิชชิงรูปแบบใหม่ โดยเฉพาะผู้ที่ดูแลบัญชีโฆษณาหรือบัญชีที่มีสิทธิ์เข้าถึงข้อมูลจำนวนมาก

ที่มา bleepingcomputer.com