Banking & Financial Services Sector Weekly Report
ห้วงเวลา: 28 กันยายน - 4 ตุลาคม 2569
TLP:CLEARในรอบสัปดาห์ระหว่างวันที่ 28 กันยายน ถึง 4 ตุลาคม 2569 ภัยคุกคามทางไซเบอร์ที่มุ่งเป้าภาคการเงิน การธนาคาร และสินทรัพย์ดิจิทัลทวีความรุนแรงและมีความหลากหลายในเชิงกลวิธี ประการแรก กลุ่มกรรโชกทรัพย์ ImNotAVillain ปฏิบัติการขโมยข้อมูลแบบไม่เข้ารหัสไฟล์ พุ่งเป้าธนาคารดิจิทัลในสหราชอาณาจักรโดยฉวยใช้ช่องโหว่ทางกระบวนการผ่านการปลอมแปลงคำขอข้อมูลฉุกเฉินจากหน่วยงานบังคับใช้กฎหมาย (EDR Fraud) เพื่อดึงข้อมูลลูกค้าและ KYC ประการที่สอง ตรวจพบการเผยแพร่ส่วนขยายบน Chrome Web Store เกือบ 30 รายการที่แอบอ้างบุคคลสำคัญทางการเงินและกระเป๋าเงินดิจิทัล โดยใช้กลไกสองทิศทาง (Dual-flow) หลบเลี่ยงการตรวจสอบเพื่อดักขโมยข้อมูลการเงินและ Seed Phrase ประการที่สาม ปฏิบัติการ Underground ใช้มัลแวร์โหลดเดอร์ Aotera/Tedy ร่วมกับ Vidar Stealer แทรกสคริปต์เข้าสู่เซสชันเบราว์เซอร์ของเหยื่อที่ล็อกอินศูนย์ซื้อขายสินทรัพย์ดิจิทัลค้างไว้เพื่อสูบเงินออกไปกว่า 100,000 ดอลลาร์สหรัฐ และประการสุดท้าย ตรวจพบแคมเปญฟิชชิ่งขนาดใหญ่สร้างเว็บไซต์ปลอมเลียนแบบโครงการคริปโทเคอร์เรนซีและ DeFi 70 แห่ง ล่อลวงให้โหวตรางวัลเพื่อหลอกให้เหยื่อลงนามอนุมัติธุรกรรมดูดสินทรัพย์ออกจากกระเป๋าเงิน Web3
นักวิจัยจาก CyberXTron รายงานการเคลื่อนไหวของกลุ่มกรรโชกทรัพย์เกิดใหม่ "ImNotAVillain" ซึ่งเริ่มปฏิบัติการตั้งแต่ปลายเดือนกันยายน 2569 โดยใช้โมเดลการกรรโชกข้อมูลเพียงอย่างเดียว (Data-only extortion) โดยไม่มีการเข้ารหัสไฟล์ข้อมูลในระบบ ผู้โจมตีมุ่งเป้าผู้ใช้งานสินทรัพย์ดิจิทัลและสถาบันการเงินที่มีมูลค่าสูง อาศัยกลวิศวกรรมสังคมและการปลอมแปลงคำขอข้อมูลฉุกเฉินจากหน่วยงานบังคับใช้กฎหมาย (Fraudulent Emergency Data Requests: EDR) เพื่อหลอกลวงขอรับข้อมูลการยืนยันตัวตนลูกค้า (KYC), บันทึกการทำธุรกรรม, ภาพถ่ายเซลฟีระบุตัวตน และรายละเอียดบัญชีธนาคาร โดยพบการอ้างการเข้าถึงข้อมูลผู้ใช้งานระดับสูงของธนาคารดิจิทัลในสหราชอาณาจักรจำนวน 680 ราย และเรียกค่าไถ่เป็นสกุลเงินคริปโทเคอร์เรนซี Monero พร้อมเสนอคิดค่าบริการตัดชื่อเหยื่อออกจากรายการแบล็กลิสต์
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อสถาบันการเงินและผู้ให้บริการสินทรัพย์ดิจิทัลในไทย - แม้ยังไม่พบการพุ่งเป้าธนาคารในไทยโดยตรง แต่เทคนิคการปลอมแปลงคำขอข้อมูลจากเจ้าหน้าที่ตำรวจหรือหน่วยงานรัฐ (EDR Fraud) เป็นช่องโหว่เชิงกระบวนการที่อาจส่งผลกระทบต่อฝ่ายคุ้มครองข้อมูลและศูนย์ปฏิบัติการความปลอดภัยของสถาบันการเงินไทย หากไม่มีการตรวจสอบย้อนกลับอย่างรัดกุม
ยุทธศาสตร์: ผู้ไม่หวังดีเปลี่ยนผ่านจากการเจาะระบบเครือข่ายภายในองค์กรมาเป็นการโจมตีช่องโหว่ในกระบวนการทางกฎหมายและนโยบายความร่วมมือระหว่างหน่วยงาน
ยุทธการ: การใช้เทคนิคปลอมแปลงคำขอข้อมูลฉุกเฉินเพื่อดึงข้อมูล KYC ช่วยให้คนร้ายได้ข้อมูลที่มีความอ่อนไหวสูงโดยไม่ต้องเผชิญหน้ากับระบบป้องกันมัลแวร์หรือ EDR ในเครือข่าย
ยุทธวิธี: สถาบันการเงินต้องยกระดับกระบวนการตรวจสอบคำขอข้อมูลจากหน่วยงานภายนอก (Out-of-band verification) และกำหนดช่องทางการสื่อสารที่เข้ารหัสและมีลายมือชื่อดิจิทัลกำกับ
ธนาคารดิจิทัล (Digital Banking), สถาบันการเงินและบริการฟินเทค (FinTech), ผู้ให้บริการแลกเปลี่ยนสินทรัพย์ดิจิทัล และหน่วยงานกำกับดูแลข้อมูลส่วนบุคคล
ทีมนักวิจัยความปลอดภัยจาก LayerX (ภายใต้เครือข่าย Akamai) ตรวจพบแคมเปญการแพร่กระจายส่วนขยายบนเว็บเบราว์เซอร์ Chrome เกือบ 30 รายการ ซึ่งสร้างขึ้นเพื่อหลอกลวงนักลงทุนในตลาดการเงินและสินทรัพย์ดิจิทัล ผู้ไม่หวังดีแอบอ้างชื่อและภาพลักษณ์ของบุคคลที่มีชื่อเสียงในแวดวงการเงิน เช่น Warren Buffett, Andy Krieger, John Paulson และ Thomas Bulkowski เพื่อสร้างความน่าเชื่อถือให้กับเครื่องมือที่อ้างว่าเป็นโปรแกรมจัดการการเงินหรือติดตามการลงทุน ส่วนขยายเหล่านี้ออกแบบด้วยกลไกสองทิศทาง (Dual-flow) โดยจะแสดงอินเทอร์เฟซปกติสำหรับการใช้งานทั่วไปและการตรวจสอบความปลอดภัย แต่จะสั่งเปลี่ยนเส้นทาง (Redirect) ไปยังหน้าฟิชชิ่งอันตรายเมื่อตรงตามเงื่อนไขของเหยื่อ เพื่อล่อลวงขโมยรหัสผ่าน ข้อมูลบัญชีการเงิน และข้อความกู้คืนกระเป๋าเงินดิจิทัล (Seed Phrase)
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อผู้ลงทุนและบุคลากรภาคการเงินในไทย - นักลงทุนและพนักงานในสถาบันการเงินที่ติดตั้งส่วนขยายเว็บเพื่อช่วยวิเคราะห์ตลาดหรือจัดการธุรกรรมส่วนบุคคลบนเครื่องคอมพิวเตอร์ที่ใช้ทำงาน อาจถูกขโมยข้อมูลการเข้าสู่ระบบเบราว์เซอร์ ส่งผลให้เกิดความเสี่ยงต่อการรั่วไหลของเซสชันการเงินและข้อมูลลับขององค์กร
ยุทธศาสตร์: ผู้โจมตีฉวยใช้ช่องโหว่ด้านการตรวจสอบผู้เผยแพร่ (Publisher Verification) บนตลาดส่วนขยายเว็บเบราว์เซอร์เพื่อสร้างภาพลักษณ์น่าเชื่อถือและหลบเลี่ยงความระแวงของผู้ใช้งาน
ยุทธการ: สถาปัตยกรรมแบบสองทิศทาง (Dual-flow) ช่วยให้อันตรายแฝงสามารถหลบหลีกการวิเคราะห์อัตโนมัติของเบราว์เซอร์และแสดงพฤติกรรมมุ่งร้ายเฉพาะกับเป้าหมายที่แท้จริง
ยุทธวิธี: ผู้ดูแลระบบควรใช้นโยบาย Group Policy (GPO) หรือ MDM ในการควบคุมและจำกัดรายการส่วนขยายเว็บเบราว์เซอร์ที่อนุญาตให้ติดตั้ง (Extension Allowlisting) บนอุปกรณ์ขององค์กร
นักลงทุนรายย่อย, บุคลากรในสถาบันการเงิน, ผู้ใช้งานกระเป๋าเงินดิจิทัล (Crypto Wallet) และระบบคอมพิวเตอร์ที่ติดตั้งเว็บเบราว์เซอร์ Google Chrome
ทีมนักวิจัย Netskope Threat Labs เปิดเผยรายงานการวิเคราะห์ปฏิบัติการโจรกรรมสินทรัพย์ดิจิทัลที่ดำเนินการภายใต้ชุดเครื่องมือมัลแวร์บิลเดอร์ชื่อ "Underground" ซึ่งสร้างความเสียหายสูบเงินดิจิทัลคิดเป็นมูลค่ารวมกว่า 100,000 ดอลลาร์สหรัฐ การโจมตีเริ่มต้นจากการส่งไฟล์บีบอัดล่อลวงที่บรรจุโทรจันโหลดเดอร์ Aotera/Tedy ซึ่งจะทำการถอดรหัสเพย์โหลดแบบ AES และฉีดมัลแวร์ขโมยข้อมูลสายพันธุ์ Vidar เข้าสู่โพรเซส dllhost.exe ในหน่วยความจำ จากนั้นโพรเซสดังกล่าวจะสั่งเปิดเว็บเบราว์เซอร์ Chrome หรือ Edge ภายใต้โปรไฟล์ของผู้ใช้งานจริง เพื่อแทรกสคริปต์เข้าสู่เซสชันของศูนย์ซื้อขายคริปโทเคอร์เรนซีที่เหยื่อล็อกอินค้างไว้ พร้อมเปิดใช้งานฟังก์ชันตรวจจับและสลับที่อยู่กระเป๋าเงินในคลิปบอร์ด (Clipboard Hijacking) ทำให้สามารถโอนถ่ายสินทรัพย์ออกไปยังกระเป๋าของคนร้ายข้ามกว่า 23 บล็อกเชนได้อย่างราบรื่น
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อศูนย์ซื้อขายสินทรัพย์ดิจิทัลและผู้ลงทุนในไทย - พฤติกรรมการแทรกแซงเซสชันเว็บที่ล็อกอินอยู่แล้วและการขโมยคุกกี้สามารถข้ามผ่านการตรวจสอบสิทธิ์แบบ MFA แบบเดิมได้ หากผู้ใช้งานในไทยดาวน์โหลดไฟล์ที่แฝงมัลแวร์ดังกล่าว จะส่งผลให้บัญชีสินทรัพย์ดิจิทัลถูกโอนออกอัตโนมัติทันที
ยุทธศาสตร์: กลุ่มอาชญากรรมไซเบอร์มุ่งเน้นการสร้างรายได้โดยตรงผ่านการเจาะจงเป้าหมายบัญชีคริปโทเคอร์เรนซีที่มีสภาพคล่องสูง เพื่อฟอกเงินผ่านบล็อกเชนหลากหลายสายแบบไร้ร่องรอย
ยุทธการ: การใช้เทคนิค Fileless และ Section-based Injection ในหน่วยความจำ ช่วยให้เพย์โหลดหลักของมัลแวร์ไม่ถูกบันทึกลงบนดิสก์และส่งทราฟฟิก C2 ผ่านโพรเซสของเว็บเบราว์เซอร์ปกติ
ยุทธวิธี: ผู้ใช้งานและองค์กรควรใช้งานโซลูชัน Endpoint Protection (EDR) ที่มีความสามารถในการตรวจจับ Process Injection และพฤติกรรมการเรียกใช้งาน Browser Subprocess ที่ผิดปกติ
ศูนย์ซื้อขายสินทรัพย์ดิจิทัล (Cryptocurrency Exchanges), ผู้ให้บริการรับฝากสินทรัพย์ (Custody Services), นักลงทุนคริปโทเคอร์เรนซี และผู้ใช้งานระบบปฏิบัติการ Windows
นักวิจัยจาก Malwarebytes ตรวจพบเครือข่ายเว็บไซต์ฟิชชิ่งจำนวน 70 โดเมนที่ลอกเลียนแบบโครงการคริปโทเคอร์เรนซีและแพลตฟอร์ม Decentralized Finance (DeFi) ชั้นนำอย่างแนบเนียน เช่น xStocks (Kraken), Pendle, Zama, Kinetiq, Yield Basis และ Firelight คนร้ายสร้างหน้าเว็บที่จำลองโลโก้ เมนู และรูปแบบสีเหมือนต้นฉบับทุกประการ โดยวางกลอุบายเชิญชวนให้ผู้เข้าชมร่วมลงคะแนนโหวตกำหนดวันแจกจ่ายผลตอบแทน (Rewards Distribution) พร้อมเสนอเพิ่มโบนัส 1.25 เท่าสำหรับผู้ที่ร่วมโหวต เมื่อเหยื่อกดปุ่มยืนยัน หน้าเว็บจะเปิดหน้าต่างเชื่อมต่อกระเป๋าเงินดิจิทัล (Web3 Wallet Prompt) เพื่อหลอกให้เหยื่ออนุมัติการทำธุรกรรมหรืออนุญาตการเข้าถึงโทเคน (Token Allowance Approval) ซึ่งจะเปิดทางให้คนร้ายสามารถดูดสินทรัพย์ดิจิทัลทั้งหมดออกจากกระเป๋าเงินของเหยื่อได้ทันที
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อนักลงทุนและผู้ใช้งานสินทรัพย์ดิจิทัลในไทย - เนื่องจากแพลตฟอร์ม DeFi เช่น Pendle และโครงการเหรียญต่างๆ ได้รับความนิยมสูงในชุมชนนักลงทุนคริปโทเคอร์เรนซีของไทย การแพร่กระจายลิงก์โหวตปลอมผ่านสื่อสังคมออนไลน์หรือกลุ่ม Telegram/Discord อาจทำให้ผู้ใช้งานในไทยหลงเชื่อและสูญเสียสินทรัพย์ดิจิทัลจำนวนมาก
ยุทธศาสตร์: ผู้ไม่หวังดีหันมาใช้กลยุทธ์ฟิชชิ่งแบบโครงสร้างขนาดใหญ่ (Industrialized Phishing Infrastructure) โดยลอกเลียนแบบโครงการ DeFi หลายสิบแห่งพร้อมกันเพื่อกระจายโอกาสในการดักเหยื่อ
ยุทธการ: การใช้ข้อเสนอโบนัสขนาดเล็กที่สมเหตุสมผล (1.25x Boost) ช่วยลดความระแวงของเหยื่อ และเน้นการหลอกล่อให้ลงนาม Smart Contract ผ่าน Wallet Drainer มากกว่าการขอ Seed Phrase โดยตรง
ยุทธวิธี: ผู้ใช้งานควรตรวจสอบ URL ให้แน่ชัดก่อนเชื่อมต่อกระเป๋าเงินดิจิทัล และใช้ส่วนขยายเบราว์เซอร์ด้านความปลอดภัยของ Web3 เพื่อจำลองการทำธุรกรรม (Transaction Simulation) ก่อนกดยืนยันทุกครั้ง
ภาคการเงินแบบกระจายศูนย์ (DeFi), นักลงทุนในสินทรัพย์ดิจิทัล, ผู้ใช้งานกระเป๋าเงิน Web3 (เช่น MetaMask, WalletConnect) และแพลตฟอร์มคริปโทเคอร์เรนซี