Free ซึ่งเป็นผู้ให้บริการอินเทอร์เน็ต (ISP) หลักของประเทศฝรั่งเศส ได้ออกมายืนยันเมื่อสุดสัปดาห์ที่ผ่านมาว่าแฮ็กเกอร์สามารถเข้าถึงข้อมูลในระบบ และสามารถโจรกรรมข้อมูลส่วนบุคคลของผู้ใช้บริการออกไปได้

โดยทางบริษัทได้ระบุว่ามีจำนวนผู้ใช้บริการมากกว่า 22.9 ล้านราย ซึ่งรวมทั้งแบบโทรศัพท์แบบเคลื่อนที่ และแบบพื้นฐานจากข้อมูลช่วงสิ้นเดือนมิถุนายน โดยถือเป็นบริษัทผู้ให้บริการด้านโทรคมนาคมรายใหญ่เป็นอันดับสองของประเทศฝรั่งเศส และเป็นบริษัทในเครือของกลุ่มธุรกิจ Iliad ซึ่งถือเป็นบริษัทขนาดใหญ่อันดับ 6 ในทวีปยุโรป ของผู้ให้บริการด้านโทรศัพท์เคลื่อนที่ โดยอ้างอิงจากจำนวนผู้ใช้งาน

หลังจากที่เกิดเหตุการณ์ ทาง Free ได้ยื่นเอกสารเพื่อยื่นฟ้องคดีอาญากับทางอัยการของรัฐ (Public prosecutor) รวมทั้งแจ้งไปยังหน่วยงานด้านการคุ้มครองข้อมูลของฝรั่งเศส (CNIL) และสำนักงานแห่งชาติฝรั่งเศสเพื่อการรักษาความปลอดภัยของระบบสารสนเทศ (ANSSI) ในส่วนของความเสียหายที่เกิดขึ้น

โฆษกของ Free ได้กล่าวกับทาง BleepingComputer รวมทั้งยังระบุเพิ่มเติมว่า “ผู้ใช้บริการที่ได้รับผลกระทบบางส่วนได้รับการแจ้งเตือนผ่านทางอีเมลเรียบร้อยแล้ว โดยปัจจุบันอยู่ระหว่างการดำเนินการแจ้งเตือนผู้ใช้บริการส่วนที่เหลืออยู่” “ไม่พบความเสียหายในส่วนงานของการดำเนินการต่าง ๆ หรือการให้บริการ และทาง Free ได้ดำเนินการทุกอย่างที่จำเป็นตามมาตรการที่วางไว้แล้วโดยทันทีเพื่อยับยั้งการโจมตี อีกทั้งยังเพิ่มความปลอดภัยในส่วนของระบบป้องกันข้อมูลอีกด้วย”

Free ได้ระบุเพิ่มเติมว่า ถึงแม้การโจมตีครั้งจะนี้มุ่งเป้าไปที่เครื่องมือการจัดการที่สามารถเปิดเผยข้อมูลของผู้ใช้บริการ แต่อย่างไรก็ตาม กลุ่มผู้โจมตีไม่สามารถเข้าถึงข้อมูลอื่น ๆ ของผู้ใช้บริการ เช่น รหัสผ่าน, ข้อมูลบัตรของธนาคาร และข้อการสื่อสารต่าง ๆ (ซึ่งรวมไปถึง “อีเมล, SMS, ข้อความเสียง และอื่น ๆ”)

ข้อมูลที่ถูกโจรกรรมจากการโจมตีนั้น ได้ถูกนำมาประมูลบน BreachForums ให้ผู้ที่ประมูลในราคาสูงสุดได้ไป โดยผู้นำออกมาประมูลใช้บัญชีชื่อว่า “drussellx” ซึ่งอ้างว่าข้อมูลนี้ส่งผลกระทบต่อประชากรถึง 1 ใน 3 ของประเทศฝรั่งเศส

drussellx ระบุว่า “เหตุการณ์ข้อมูลรั่วไหลในครั้งนี้ส่งผลกระทบต่อผู้ใช้บริการกว่า 19.2 ล้านราย ที่มีข้อมูล IBAN กว่า 5.11 ล้านหมายเลขรวมอยู่ด้วย” ซึ่งส่งผลกระทบต่อผู้ใช้บริการ Free Mobile และ Freebox ทั้งหมด โดยมีเลข IBANs กว่า 5.11 ล้านหมายเลขจากผู้ใช้งาน Freebox”

อีกทั้งยังมีการแสดงข้อมูลที่โจรกรรมมาได้เบื้องต้น เพื่อเป็นตัวอย่างว่าข้อมูลที่นำมาจัดประมูลนั้นมีมูลค่าจริง

และเพื่อเป็นการยืนยันความถูกต้องของข้อมูล ทางผู้ที่นำข้อมูลมาประมูล ยังอนุญาตให้ผู้ประมูลสามารถตรวจสอบข้อมูลจากฐานข้อมูลได้ เพื่อเป็นการยืนยันว่าข้อมูลจากทั้งฐานข้อมูลนั้นควรค่าแก่การประมูล

ในส่วนของหมายเลข IBANs นั้น ทาง Free ได้ระบุเพิ่มเติมว่ากลุ่มผู้โจมตีสามารถโจรกรรมได้เพียงข้อมูลของกลุ่มผู้ใช้บริการโทรศัพท์ขั้นพื้นฐาน (fixed subscribers) ซึ่งข้อมูลที่ได้ไปนั้นไม่เพียงพอต่อการทำธุรกรรมผ่านทางธนาคารได้

อีกทั้งยังระบุว่า “ถ้าหากผู้ใช้งานได้รับการแจ้งเตือนการทำธุรกรรมที่ผิดปกติ ซึ่งไม่สามารถระบุได้ถึงที่มา ทางธนาคารจำเป็นจะต้องชำระค่าใช้จ่ายในธุรกรรมนั้น ๆ คืนผู้ใช้งาน (Reimburst) ซึ่งผู้ใช้งานสามารถรายงานธุรกรรมผ่านทางธนาคารที่ผิดปกติได้ถึง 13 เดือนนับตั้งแต่วันเกิดเหตุการณ์”

“ทาง Free ได้แนะนำเพิ่มเติมในส่วนของการดำเนินการเพื่อป้องกันการ Phishing ว่าไม่ควรสื่อสาร ส่งข้อข้อมูลรหัสผ่านสำหรับเข้าถึงระบบต่าง ๆ ของธนาคาร หรือข้อมูลบัตรธนาคารไม่ว่าจะผ่านช่องทางอีเมล, SMS หรือแม้กระทั่งระหว่างโทรศัพท์ก็ตาม”

โฆษก Free ยังไม่สามารถเปิดเผยข้อมูลส่วนอื่น ๆ เพิ่มเติมเกี่ยวกับเหตุการณ์ที่เกิดขึ้นได้ เช่น ช่วงเวลาที่ตรวจพบเหตุการณ์ความเสียหาย หรือมีผู้ใช้งานที่ได้รับผลกระทบจำนวนเท่าใด หลังจากที่ได้รับการติดต่อจากทาง BleepingComputer เมื่อช่วงวันที่ 28 ตุลาคมที่ผ่านมา

ที่มา : bleepingcomputer.

แพลตฟอร์มส่งข้อความ WhatsApp ได้เปิดตัว Identity Proof Linked Storage (IPLS) ซึ่งเป็นระบบจัดเก็บข้อมูลเข้ารหัสที่รักษาความเป็นส่วนตัวรูปแบบใหม่ ที่ได้รับการออกแบบมาสำหรับการจัดการรายชื่อผู้ติดต่อ

ระบบใหม่นี้ช่วยแก้ปัญหาสองประการที่ผู้ใช้ WhatsApp เผชิญมายาวนาน นั่นคือความเสี่ยงในการสูญเสียรายชื่อผู้ติดต่อหากทำโทรศัพท์หาย และไม่สามารถซิงค์ข้อมูลรายชื่อผู้ติดต่อระหว่างอุปกรณ์ต่าง ๆ ได้ ด้วย IPLS รายชื่อผู้ติดต่อของ WhatsApp จะเชื่อมโยงกับบัญชีแทนที่จะเป็นอุปกรณ์ ทำให้ผู้ใช้สามารถจัดการรายชื่อผู้ติดต่อได้อย่างง่ายดายระหว่างการเปลี่ยนอุปกรณ์

นอกจากนี้ IPLS ยังทำให้สามารถจัดการรายชื่อผู้ติดต่อที่แตกต่างกันสำหรับบัญชีต่าง ๆ หลายบัญชีบนอุปกรณ์เดียวกันได้ โดยแต่ละบัญชีได้รับการจัดการอย่างปลอดภัย และแยกออกจากบัญชีอื่น ๆ

ระบบเข้ารหัสที่ปลอดภัย

IPLS รักษาความปลอดภัยด้วยการผสมผสานการเข้ารหัส, ความโปร่งใสของคีย์ และการใช้โมดูลรักษาความปลอดภัยฮาร์ดแวร์ (HSM) และเมื่อเพิ่มผู้ติดต่อใหม่ ชื่อจะถูกเข้ารหัสโดยใช้คีย์เข้ารหัสแบบ symmetric ที่สร้างขึ้นบนอุปกรณ์ของผู้ใช้ และจัดเก็บไว้ใน Key Vault ป้องกันการเข้าถึงที่ใช้ HSM ของ WhatsApp

เมื่อผู้ใช้เข้าสู่ระบบในอุปกรณ์ใหม่ เซสชันที่ปลอดภัยโดยใช้ Key Vault ที่ใช้ HSM จะถูกสร้างขึ้นเพื่อดึงข้อมูลผู้ติดต่อใหม่โดยดำเนินการตรวจสอบสิทธิ์โดยใช้ keypair เข้ารหัสที่เชื่อมโยงกับบัญชีผู้ใช้ (สร้างขึ้นเมื่อลงทะเบียน)

IPLS รับประกันว่าข้อมูลผู้ติดต่อทั้งหมดได้รับการเข้ารหัสแบบ end-to-end ซึ่งหมายความว่าข้อมูลผู้ติดต่อได้รับการเข้ารหัสบนอุปกรณ์ของผู้ใช้ และยังคงได้รับการเข้ารหัสในขณะที่ข้อมูลเคลื่อนผ่านระบบของ WhatsApp ซึ่งป้องกันการดักจับระหว่างการส่ง หรือการเข้าถึงจากพนักงาน Meta ที่ไม่ปลอดภัย

WhatsApp ยังจับมือเป็นพันธมิตรกับ Cloudflare ในการตรวจสอบการดำเนินการเข้ารหัสโดย third-party ได้อย่างอิสระ โดยเฉพาะอย่างยิ่งเพื่อทำหน้าที่เป็นผู้รับประกันการอัปเดตใน Auditable Key Directory (AKD) โดย signing ในแต่ละแบบ และตรวจสอบว่าข้อมูลนั้นไม่ได้ถูกดัดแปลงใด ๆ

WhatsApp เผยแพร่หลักฐานความสอดคล้องที่ตรวจสอบได้สำหรับการอัปเดตไดเร็กทอรีหลัก ไปยังอินสแตนซ์ Amazon S3 ที่สามารถเข้าถึงได้จากสาธารณะ ช่วยให้ผู้ใช้งาน, นักวิจัย และผู้ตรวจสอบสามารถตรวจสอบความสมบูรณ์ของ AKD ได้อย่างอิสระ

ก่อนที่ IPLS และกลไกพื้นฐานจะถูกนำเสนอต่อสาธารณะ WhatsApp ได้ทำสัญญากับ NCC Group เพื่อทำการตรวจสอบความปลอดภัยในระบบใหม่

การค้นพบที่สำคัญที่สุดของการตรวจสอบดังกล่าวคือช่องโหว่ที่ทำให้สามารถปลอมแปลง HSM ของ Marvell และถอดรหัสข้อมูล secret key ของผู้ใช้ได้ ซึ่งอาจทำให้ข้อมูลเมตาของผู้ติดต่อส่วนตัวถูกเปิดเผย

WhatsApp แก้ไขปัญหานี้พร้อมกับช่องโหว่ 12 รายการที่ได้รับการประเมินว่ามีระดับความรุนแรงระดับต่ำจนถึงปานกลางในเดือนกันยายน 2024 ดังนั้นจึงไม่มีอยู่ในรุ่นสุดท้ายของ IPLS

ที่มา : bleepingcomputer.

Free ซึ่งเป็นผู้ให้บริการอินเทอร์เน็ต (ISP) หลักของประเทศฝรั่งเศส ได้ออกมายืนยันเมื่อสุดสัปดาห์ที่ผ่านมาว่าแฮ็กเกอร์สามารถเข้าถึงข้อมูลในระบบ และสามารถโจรกรรมข้อมูลส่วนบุคคลของผู้ใช้บริการออกไปได้

โดยทางบริษัทได้ระบุว่ามีจำนวนผู้ใช้บริการมากกว่า 22.9 ล้านราย ซึ่งรวมทั้งแบบโทรศัพท์แบบเคลื่อนที่ และแบบพื้นฐานจากข้อมูลช่วงสิ้นเดือนมิถุนายน โดยถือเป็นบริษัทผู้ให้บริการด้านโทรคมนาคมรายใหญ่เป็นอันดับสองของประเทศฝรั่งเศส และเป็นบริษัทในเครือของกลุ่มธุรกิจ Iliad ซึ่งถือเป็นบริษัทขนาดใหญ่อันดับ 6 ในทวีปยุโรป ของผู้ให้บริการด้านโทรศัพท์เคลื่อนที่ โดยอ้างอิงจากจำนวนผู้ใช้งาน

หลังจากที่เกิดเหตุการณ์ ทาง Free ได้ยื่นเอกสารเพื่อยื่นฟ้องคดีอาญากับทางอัยการของรัฐ (Public prosecutor) รวมทั้งแจ้งไปยังหน่วยงานด้านการคุ้มครองข้อมูลของฝรั่งเศส (CNIL) และสำนักงานแห่งชาติฝรั่งเศสเพื่อการรักษาความปลอดภัยของระบบสารสนเทศ (ANSSI) ในส่วนของความเสียหายที่เกิดขึ้น

โฆษกของ Free ได้กล่าวกับทาง BleepingComputer รวมทั้งยังระบุเพิ่มเติมว่า “ผู้ใช้บริการที่ได้รับผลกระทบบางส่วนได้รับการแจ้งเตือนผ่านทางอีเมลเรียบร้อยแล้ว โดยปัจจุบันอยู่ระหว่างการดำเนินการแจ้งเตือนผู้ใช้บริการส่วนที่เหลืออยู่” “ไม่พบความเสียหายในส่วนงานของการดำเนินการต่าง ๆ หรือการให้บริการ และทาง Free ได้ดำเนินการทุกอย่างที่จำเป็นตามมาตรการที่วางไว้แล้วโดยทันทีเพื่อยับยั้งการโจมตี อีกทั้งยังเพิ่มความปลอดภัยในส่วนของระบบป้องกันข้อมูลอีกด้วย”

Free ได้ระบุเพิ่มเติมว่า ถึงแม้การโจมตีครั้งจะนี้มุ่งเป้าไปที่เครื่องมือการจัดการที่สามารถเปิดเผยข้อมูลของผู้ใช้บริการ แต่อย่างไรก็ตาม กลุ่มผู้โจมตีไม่สามารถเข้าถึงข้อมูลอื่น ๆ ของผู้ใช้บริการ เช่น รหัสผ่าน, ข้อมูลบัตรของธนาคาร และข้อการสื่อสารต่าง ๆ (ซึ่งรวมไปถึง “อีเมล, SMS, ข้อความเสียง และอื่น ๆ”)

ข้อมูลที่ถูกโจรกรรมจากการโจมตีนั้น ได้ถูกนำมาประมูลบน BreachForums ให้ผู้ที่ประมูลในราคาสูงสุดได้ไป โดยผู้นำออกมาประมูลใช้บัญชีชื่อว่า “drussellx” ซึ่งอ้างว่าข้อมูลนี้ส่งผลกระทบต่อประชากรถึง 1 ใน 3 ของประเทศฝรั่งเศส

drussellx ระบุว่า “เหตุการณ์ข้อมูลรั่วไหลในครั้งนี้ส่งผลกระทบต่อผู้ใช้บริการกว่า 19.2 ล้านราย ที่มีข้อมูล IBAN กว่า 5.11 ล้านหมายเลขรวมอยู่ด้วย” ซึ่งส่งผลกระทบต่อผู้ใช้บริการ Free Mobile และ Freebox ทั้งหมด โดยมีเลข IBANs กว่า 5.11 ล้านหมายเลขจากผู้ใช้งาน Freebox”

อีกทั้งยังมีการแสดงข้อมูลที่โจรกรรมมาได้เบื้องต้น เพื่อเป็นตัวอย่างว่าข้อมูลที่นำมาจัดประมูลนั้นมีมูลค่าจริง

และเพื่อเป็นการยืนยันความถูกต้องของข้อมูล ทางผู้ที่นำข้อมูลมาประมูล ยังอนุญาตให้ผู้ประมูลสามารถตรวจสอบข้อมูลจากฐานข้อมูลได้ เพื่อเป็นการยืนยันว่าข้อมูลจากทั้งฐานข้อมูลนั้นควรค่าแก่การประมูล

ในส่วนของหมายเลข IBANs นั้น ทาง Free ได้ระบุเพิ่มเติมว่ากลุ่มผู้โจมตีสามารถโจรกรรมได้เพียงข้อมูลของกลุ่มผู้ใช้บริการโทรศัพท์ขั้นพื้นฐาน (fixed subscribers) ซึ่งข้อมูลที่ได้ไปนั้นไม่เพียงพอต่อการทำธุรกรรมผ่านทางธนาคารได้

อีกทั้งยังระบุว่า “ถ้าหากผู้ใช้งานได้รับการแจ้งเตือนการทำธุรกรรมที่ผิดปกติ ซึ่งไม่สามารถระบุได้ถึงที่มา ทางธนาคารจำเป็นจะต้องชำระค่าใช้จ่ายในธุรกรรมนั้น ๆ คืนผู้ใช้งาน (Reimburst) ซึ่งผู้ใช้งานสามารถรายงานธุรกรรมผ่านทางธนาคารที่ผิดปกติได้ถึง 13 เดือนนับตั้งแต่วันเกิดเหตุการณ์”

“ทาง Free ได้แนะนำเพิ่มเติมในส่วนของการดำเนินการเพื่อป้องกันการ Phishing ว่าไม่ควรสื่อสาร ส่งข้อข้อมูลรหัสผ่านสำหรับเข้าถึงระบบต่าง ๆ ของธนาคาร หรือข้อมูลบัตรธนาคารไม่ว่าจะผ่านช่องทางอีเมล, SMS หรือแม้กระทั่งระหว่างโทรศัพท์ก็ตาม”

โฆษก Free ยังไม่สามารถเปิดเผยข้อมูลส่วนอื่น ๆ เพิ่มเติมเกี่ยวกับเหตุการณ์ที่เกิดขึ้นได้ เช่น ช่วงเวลาที่ตรวจพบเหตุการณ์ความเสียหาย หรือมีผู้ใช้งานที่ได้รับผลกระทบจำนวนเท่าใด หลังจากที่ได้รับการติดต่อจากทาง BleepingComputer เมื่อช่วงวันที่ 28 ตุลาคมที่ผ่านมา

ที่มา : bleepingcomputer.

โซเชียลมีเดียกลายเป็นช่องทางหลักสำหรับผู้ไม่หวังดี เนื่องจากความง่ายในการปลอมเป็นบริษัทต่าง ๆ ที่มีอยู่จริง, โพสต์โฆษณาสินค้า และบริการที่ไม่มีอยู่จริง และแฝงตัวเข้าไปในตลาดออนไลน์

เป็นเวลาหลายทศวรรษที่การหลอกลวงที่ดำเนินการโดยกลุ่ม Les brouteurs ซึ่งเป็นกลุ่มบุคคลอิสระที่ส่วนใหญ่มาจากโกตดิวัวร์ และประเทศใกล้เคียงอย่างแคเมอรูน และเบนิน ได้ปรากฏขึ้นบน Fackbook การหลอกลวงนี้มุ่งเป้าไปที่ผู้อยู่อาศัยในเมือง และหมู่บ้านทั่วฝรั่งเศส โดยใช้การโฆษณาที่ดูไม่มีอันตรายเกี่ยวกับฟืน เมื่ออากาศเริ่มเย็นลง เพจเหล่านี้จะโปรโมทข้อเสนอที่ดูน่าสนใจ ซึ่งทำให้ผู้คนในภูมิภาคนั้น ๆ สูญเสียเงินหลายพันยูโรทุกปี เนื่องจากพวกเขาพยายามเตรียมเชื้อเพลิงสำหรับฤดูหนาวที่กำลังจะมาถึง

ในรายงานฉบับนี้ นักวิเคราะห์จาก Group-IB ได้แทรกซึมเข้าไปในกลุ่มหลอกลวง เพื่อแสดงให้เห็นว่าผู้ไม่หวังดีสามารถปลอมแปลงเอกสาร และแอบอ้างเป็นธุรกิจที่ถูกกฏหมายได้อย่างง่ายดาย เพื่อโน้มน้าวเหยื่อที่ไม่ได้ระวังตัว

การทำงานของแคมเปญการหลอกลวงเหล่านี้

Les brouteurs เป็นชื่อที่ตั้งให้กับผู้ไม่หวังดีกลุ่มนี้ ซึ่งหมายถึง "the grazers" และหมายถึงสัตว์กินหญ้าที่ได้อาหารโดยไม่ต้องใช้ความพยายามมาก เนื่องจากการหลอกลวงดังกล่าวมีลักษณะที่ง่ายดาย

ปัจจุบันการหลอกลวงเหล่านี้มีเพิ่มขึ้นมากมาย และสามารถพบได้บ่อย ๆ แต่ผู้ใช้งานโซเชียลมีเดียยังคงตกเป็นเหยื่อ เนื่องจากวิธีการโน้มน้าวของผู้ไม่หวังดี และความสามารถในการปลอมแปลงเอกสารที่ดูเหมือนจริงได้อย่างรวดเร็วด้วยการใช้ AI ยังคงพัฒนาอย่างต่อเนื่อง

Group-IB ได้แทรกซึมเข้าไปในกลุ่มหลอกลวงเพื่อเปิดเผยวิธีการของผู้ไม่หวังดี และทดสอบว่าบุคคลจะถูกชักชวนให้ซื้อไม้ที่ไม่มีอยู่จริงได้ง่ายเพียงใด เมื่อโพสต์โฆษณาผลิตภัณฑ์บน Facebook ผู้ไม่หวังดีจะติดตามความสนใจของผู้ใช้งานโซเชียลมีเดีย โดยผู้คนจะโต้ตอบกับโพสต์โฆษณา สอบถามเกี่ยวกับการมีสินค้าในพื้นที่ของตน ซึ่งจะแสดงให้เห็นถึงสถานที่ตั้งของเหยื่อ จากนั้นผู้ไม่หวังดีจะปลอมเป็นพนักงานขายที่พร้อมช่วยเหลือ เริ่มต้นสนทนา และในที่สุดจะขอให้ติดต่อทางข้อความส่วนตัว เมื่อตั้งค่าการสนทนาส่วนตัวแล้ว ผู้ไม่หวังดีจะอ้างถึงคุณภาพของผลิตภัณฑ์, จัดเตรียมข้อมูลผลิตภัณฑ์, รูปภาพ และราคา

นักวิเคราะห์จาก Computer Emergency Response Team (CERT) ของ Group-IB ได้เริ่มติดต่อกับบุคคลหนึ่งในกลุ่มนี้ และในเวลาไม่ถึงหนึ่งชั่วโมง พวกเขาก็ได้รับภาพสินค้า, ราคา, สำเนาใบรับรองปลอม, หลักฐานความถูกต้องตามกฏหมายของธุรกิจ และใบแจ้งหนี้ รวมถึงข้อมูล IBAN สำหรับการชำระเงินตามคำสั่งซื้อ

เมื่อมีข้อเสนอออนไลน์ ผู้ไม่หวังดีจะรอให้ผู้คนแสดงความคิดเห็น และแสดงความสนใจ ในภาพด้านบน จะเห็นผู้คนสอบถามเกี่ยวกับสินค้าคงคลังที่มีอยู่, แสดงความสนใจ และแม้กระทั่งสอบถามว่าสามารถจัดส่งฟืนให้ถึงเมืองที่ตนอาศัยอยู่ได้หรือไม่

ผู้ไม่หวังดีจะตอบกลับการสนทนากับเหยื่อที่มีแนวโน้มภายในโพสต์ Facebook หรือขอให้ติดต่อผ่านข้อความส่วนตัว สำหรับวัตถุประสงค์ของการวิเคราะห์นี้ นักวิเคราะห์ CERT ได้ติดต่อกับผู้ไม่หวังดีคนหนึ่ง เพื่อเปิดเผยว่าการหลอกลวงนี้ดำเนินการได้อย่างไร ต่อไปนี้จะเป็นการสนทนากับผู้ไม่หวังดีผ่าน Facebook

หลังจากการสนทนานี้ ผู้ไม่หวังดีจะส่งสำเนาเอกสารที่ดูเหมือนเป็นใบรับรองเพื่อสร้างความมั่นใจให้กับเหยื่อเกี่ยวกับคุณภาพของไม้

ผู้ไม่หวังดีจะขอให้เหยื่อระบุชื่อ, ที่อยู่อีเมล, หมายเลขโทรศัพท์ และที่อยู่อาศัย

เมื่อเหยื่อให้ข้อมูลส่วนตัว ผู้ไม่หวังดีจะสร้างใบแจ้งหนี้สำหรับคำสั่งซื้อของพวกเขา ที่น่าสนใจคือราคาที่ระบุไม่ได้ตรงกับจำนวนเงินทั้งหมดที่ควรจะเป็นตามที่เหยื่อสั่งซื้อไว้ซึ่งมีการชี้แจงไว้ในรูปภาพด้านบน

ตามที่ได้ระบุไว้ในบทสนทนาก่อนหน้านี้ ผู้ไม่หวังดีจะส่งสำเนาใบรับรอง Patro ปลอมให้กับนักวิเคราะห์ CERT ของ Group-IB ในที่สุด

สุดท้าย หากเหยื่อยอมรับใบแจ้งหนี้ ผู้ไม่หวังดีจะให้หมายเลขบัญชีธนาคารระหว่างประเทศ (IBAN) แก่เหยื่อเพื่อให้โอนเงินไปยังบัญชีนั้น

เมื่อเหยื่อชำระเงินเข้าบัญชีธนาคารแล้ว จะไม่สามารถติดต่อกับผู้ไม่หวังดีได้อีกต่อไป และเงินของเหยื่อจะสูญหายไปตลอดกาล การเรียกคืนเงินที่สูญเสียไปให้กับผู้ไม่หวังดีนั้นทำได้ยากมาก เพราะเหยื่อเป็นผู้เริ่มการชำระเงิน หรือการโอนเงินเอง

การเปิดเผยต้นทางของการหลอกลวง

เมื่อมองย้อนกลับไปดู จะพบความคิดเห็นจากผู้ใช้งานอื่น ๆ บน Facebook ที่ชี้ให้เห็นว่านี่เป็นการหลอกลวงจริง ๆ

ตามหมายเลข SIRET (Système d’identification du répertoire des établissements) ซึ่งใช้ในการระบุสถานประกอบการ หรือธุรกิจในฝรั่งเศส จะสามารถเห็นได้ว่าหมายเลขดังกล่าวจดทะเบียนกับบริษัทอีกแห่งชื่อ Sivalbp ซึ่งเป็นผู้ผลิตผนังไม้สำหรับใช้ภายใน และภายนอกของฝรั่งเศส ผู้ไม่หวังดีเพียงแค่ใช้หมายเลข SIRET ของธุรกิจที่ถูกต้องตามกฏหมายแล้วอ้างว่าเป็นบริษัทของตน

คำแนะนำ

ควรตรวจสอบหมายเลขการจดทะเบียนธุรกิจของสถานประกอบการกับบริการทะเบียนธุรกิจที่เชื่อถือได้ เพื่อยืนยันความถูกต้องของข้อมูล
โดยทั่วไปแล้ว ไม่ควรให้ความไว้ใจกับคนแปลกหน้าบนโซเชียลเน็ตเวิร์กที่พร้อมจะขายสินค้าให้ และขอให้ชำระเงินโดยตรง
ตรวจสอบในส่วนแสดงความคิดเห็นของโพสต์เพื่อดูว่าผู้ใช้งานอื่น ๆ มีความคิดเห็นว่าเหตุการณ์นี้เป็นการหลอกลวงหรือไม่

ที่มา : group-ib.

ตำรวจแห่งชาติของเนเธอร์แลนด์ได้ยึดโครงสร้างพื้นฐานเครือข่ายสำหรับปฏิบัติการของมัลแวร์เรดไลน์ และเมต้าอินโฟสตีลเลอร์ ในชื่อ"ปฏิบัติการแม็กนัส" โดยเตือนอาชญากรไซเบอร์ว่าขณะนี้ข้อมูลของพวกเขาอยู่ในมือของเจ้าหน้าที่แล้ว (more…)

CRIL พบแคมเปญการโจมตีทางไซเบอร์หลายขั้นตอน โดยเริ่มต้นจากไฟล์ ZIP ที่มีไฟล์ shortcut (.lnk) ที่เป็นอันตราย ถึงแม้ว่าจะยังไม่ทราบแหล่งที่มาของไฟล์ ZIP นี้ แต่คาดว่าถูกเผยแพร่ผ่านอีเมลฟิชชิง โดยจากชื่อของไฟล์ LNK คาดว่าแคมเปญนี้มีเป้าหมายเป็นอุตสาหกรรมด้านการดูแลสุขภาพ (Healthcare) (more…)

วันที่สี่ของงาน Pwn2Own Ireland 2024 ถือว่าเป็นวันสุดท้ายของการแข่งขันแฮ็ก โดยมีเงินรางวัลมากกว่า 1 ล้านดอลลาร์จากการค้นพบช่องโหว่ Zero-Day กว่า 70 รายการในอุปกรณ์ที่ได้รับการอัปเดตล่าสุด

การแข่งขันแฮ็กนี้เป็นความท้าทายให้เหล่านักวิจัยด้านความปลอดภัยเจาะระบบในซอฟต์แวร์ และฮาร์ดแวร์หลายประเภท เพื่อชิงตำแหน่ง "Master of Pwn" โดยมีเป้าหมายให้เจาะระบบใน 8 หมวดหมู่ ตั้งแต่โทรศัพท์มือถือ, แอปพลิเคชันส่งข้อความ, ระบบอัตโนมัติที่ใช้ในบ้าน, ลำโพงอัจฉริยะ, เครื่องพิมพ์, ระบบเฝ้าระวัง, อุปกรณ์จัดเก็บข้อมูลเครือข่าย (NAS) ไปจนถึงอุปกรณ์สำนักงานขนาดเล็ก (SOHO Smash-up)

Pwn2Own ครั้งนี้นับเป็นปีที่สี่ติดต่อกันที่เหล่า white-hat แฮ็กเกอร์สามารถคว้ารางวัลรวมเกินหนึ่งล้านดอลลาร์ โดยทำยอดรวมทั้งหมดได้ถึง 1,066,625 ดอลลาร์

ในวันสุดท้ายของการแข่งขัน นักวิจัยด้านความปลอดภัยสามารถโจมตีอุปกรณ์ Lexmark, True NAS และ QNAP ได้สำเร็จ

Team Smoking Barrels ใช้ช่องโหว่สองรายการใน TrueNAS X แม้ว่าหนึ่งในช่องโหว่จะเคยถูกใช้มาก่อนในการแข่งขัน แต่ยังคงได้รับเงินรางวัล 20,000 ดอลลาร์ และ 2 คะแนนสำหรับตำแหน่ง Master of Pwn
Team Cluck ใช้ช่องโหว่ทั้งหมด 6 รายการเพื่อย้ายจากอุปกรณ์ QNAP QHora-322 ไปยัง Lexmark CX331adwe แม้ว่าจะมีหนึ่งช่องโหว่ที่เคยถูกนำมาใช้แล้ว แต่ยังคงได้รับเงินรางวัล 23,000 ดอลลาร์ และคะแนน Master of Pwn สำหรับการแฮ็กที่สำเร็จครั้งนี้
Viettel Cyber Security ทำการโจมตี TrueNAS Mini X ด้วยการใช้ช่องโหว่ 2 รายการในการแฮ็ก แม้ว่าจะมีช่องโหว่หนึ่งรายการที่เคยปรากฏในการแข่งขันก่อนหน้านี้ แต่การสาธิตนี้ยังได้รับเงินรางวัล 20,000 ดอลลาร์ และ 2 คะแนน Master of Pwn
PHP Hooligans / Midnight Blue ใช้ช่องโหว่แบบ integer overflow ในการโจมตี Lexmark printer ซึ่งทำให้พวกเขาได้รับเงินรางวัล 10,000 ดอลลาร์ และ 2 คะแนน Master of Pwn

Viettel Cyber Security ได้รับรางวัล "Master of Pwn" หลังจากสะสมคะแนน Master of Pwn รวม 33 คะแนน พวกเขาได้รับเงินรางวัล 205,000 ดอลลาร์สำหรับช่องโหว่ใน QNAP NAS, Sonos speakers และ Lexmark printers

งาน Pwn2Own ครั้งถัดไปมีกำหนดจัดขึ้นในวันที่ 22 มกราคม 2025 ที่กรุงโตเกียว ประเทศญี่ปุ่น

โดยงานนี้มุ่งเน้นไปที่อุตสาหกรรมยานยนต์ และมีสี่หมวดหมู่สำหรับผู้เข้าร่วม ได้แก่ Tesla, ระบบความบันเทิงภายในรถ (IVI), เครื่องชาร์จรถยนต์ไฟฟ้า และระบบปฏิบัติการรถยนต์

Zero Day Initiative (ZDI) ได้เผยแพร่รายละเอียดเกี่ยวกับหมวดหมู่ และเงินรางวัลสำหรับการโจมตีที่ประสบความสำเร็จ กฎของการแข่งขันสามารถดูได้ที่นี่

ที่มา : bleepingcomputer

Cisco ได้เพิ่มฟีเจอร์ความปลอดภัยใหม่ที่ช่วยลดความรุนแรงของการโจมตีแบบ brute-force และ password spray บน Cisco ASA และ Firepower Threat Defense (FTD) ได้มาก ซึ่งช่วยป้องกันเครือข่ายจากการโจมตีบนระบบและลดการใช้งานทรัพยากรของอุปกรณ์ (more…)

นักวิจัยด้านความปลอดภัยของ Arctic Wolf ได้เผยแพร่การพบกลุ่ม Fog และ Akira ransomware กำลังมุ่งเป้าหมายการโจมตีเพื่อเข้าถึงเครือข่ายโดยใช้ SonicWall VPN account จากช่องโหว่ SSL VPN access control (CVE-2024-40766)

โดย SonicWall ได้แก้ไขช่องโหว่ SonicOS ดังกล่าว ในช่วงปลายเดือนสิงหาคม 2024 และประมาณหนึ่งสัปดาห์ต่อมา ก็ได้แจ้งเตือนว่าช่องโหว่ดังกล่าวกำลังถูกใช้ในการโจมตีแล้ว

Fog ransomware เปิดตัวในเดือนพฤษภาคม 2024 และเป็นกลุ่มที่กำลังเติบโตอย่างต่อเนื่อง และมีพันธมิตรเป็นกลุ่มอื่น ๆ ที่มักจะใช้ข้อมูล VPN credentials ที่ถูกขโมยมาใช้เพื่อเข้าถึงระบบ

Akira ransomware เป็นกลุ่มที่มีชื่อเสียงในวงการ ransomware ซึ่งได้ประสบปัญหาในการเข้าถึงเว็บไซต์ Tor เมื่อไม่นานนี้ แต่ปัจจุบันได้กลับมาออนไลน์อีกครั้งแล้ว

นักวิจัยรายงานว่ากลุ่ม Fog และ Akira ransomware ได้ดำเนินการโจมตีเป้าหมายอย่างน้อย 30 ครั้ง โดยทั้งหมดเริ่มต้นจากการเข้าถึงเครือข่ายจากระยะไกลผ่าน VPN account ของ SonicWall ในจำนวนนี้ 75% เชื่อมโยงกับกลุ่ม Akira ส่วนที่เหลือเชื่อมโยงกับกลุ่ม Akira ransomware ทั้งนี้สิ่งที่น่าสนใจคือ กลุ่ม ransomware ทั้ง 2 กลุ่มนี้มีการใช้ infrastructure ร่วมกันแสดงถึงความร่วมมืออย่างไม่เป็นทางการ ตามที่ Sophos ได้เคยเผยพร่ไปก่อนหน้านี้

แม้ว่านักวิจัยจะไม่แน่ใจ 100% ว่าช่องโหว่ดังกล่าวสามารถถูกใช้ได้ในทุกกรณี แต่ระบบที่ถูกโจมตีทั้งหมดก็มีความเสี่ยงต่อช่องโหว่ดังกล่าว เนื่องจากใช้เวอร์ชันเก่าที่มีช่องโหว่ และไม่ได้รับการแก้ไข

ในกรณีส่วนใหญ่ เวลาตั้งแต่เกิดการโจมตีจนถึงการเข้ารหัสข้อมูลนั้นใช้เวลาสั้นมาก ประมาณ 10 ชั่วโมง และเวลาที่เร็วที่สุดคือ 1.5-2 ชั่วโมง โดยในการโจมตี Hacker จะใช้วิธีการ Obfuscating เพื่อซ่อน IP addresses ที่แท้จริง

Arctic Wolf ระบุว่า นอกเหนือจากการโจมตีผ่านอุปกรณ์ที่มีช่องโหว่แล้ว พบว่าองค์กรที่ถูกโจมตีไม่ได้เปิดใช้งาน multi-factor authentication (MFA) บน SSL VPN account ที่ถูกโจมตี และไม่ได้ถูกใช้งานผ่าน default port 4433 อีกด้วย

ทั้งนี้ Artic Wolf อธิบายว่า ในกรณีที่ถูกโจมตี สามารถดูได้ผ่าน firewall log ซึ่งจะตรวจพบ event ID 238 (WAN zone remote user login allowed) หรือ event ID 1080 (SSL VPN zone remote user login allowed) หลังจากนั้นก็จะตามมาด้วยข้อความ SSL VPN INFO log หลายรายการ (event ID 1079) ที่ระบุว่าการเข้าสู่ระบบ และการกำหนด IP เสร็จสมบูรณ์แล้ว

ในขั้นตอนต่อมา Hacker จะทำการโจมตีแบบเข้ารหัสอย่างรวดเร็ว โดยมุ่งเป้าไปที่ virtual machine และ backup server เป็นหลัก รวมถึงทำการขโมยข้อมูลที่เกี่ยวข้องกับเอกสาร และซอฟต์แวร์ที่เป็นกรรมสิทธิ์ แต่จะยกเว้นไฟล์ที่มีอายุมากกว่า 6 เดือน หรือ 30 เดือน ในส่วนของ sensitive files

ที่มา : bleepingcomputer

พบเครื่องมือเวอร์ชันใหม่ของ Qilin ransomware ที่พัฒนาโดยใช้ภาษา Rust มีชื่อว่า 'Qilin.B' ถูกตรวจพบในการโจมตี โดยมีการเข้ารหัสที่ซับซ้อนขึ้น และสามารถหลบเลี่ยงการตรวจจับจากอุปกรณ์รักษาความปลอดภัย รวมไปถึงสามารถขัดขวางกระบวนการกู้คืนข้อมูลได้

Qilin.