แพลตฟอร์ม Forg365 ใช้ AI สร้างข้อความหลอกล่อเพื่อโจมตีบัญชี Microsoft 365 อย่างซับซ้อน

Lead paragraph แฮกเกอร์เปิดตัวแพลตฟอร์ม phishing‑as‑a‑service (PhaaS) ใหม่ชื่อ Forg365 ที่มุ่งเจาะบัญชี Microsoft 365 ด้วยการผสานเทคนิค *adversary‑in‑the‑middle* (AiTM) และวิธี “device code” พร้อมใช้ระบบ AI สร้างข้อความล่อใจโดยอัตโนมัติ การโจมตีแบบนี้เพิ่มความซับซ้อนของฟิชชิงและทำให้ผู้ใช้งานองค์กรระดับใหญ่ต้องเผชิญความเสี่ยงที่สูงขึ้นอย่างต่อเนื่อง

Overview

Forg365 ปรากฏตัวเป็นบริการบน darknet ที่ขายให้กับผู้ไม่ประสงค์ดีโดยมีจุดมุ่งหมายเพื่อขโมยข้อมูลรับรองของ Microsoft 365 ซึ่งเป็นผลิตภัณฑ์คลาวด์หลักของหลายองค์กรทั่วโลก ตามรายงานของ BleepingComputer แพลตฟอร์มนี้ใช้วิธีการผสมผสานระหว่าง AiTM และกระบวนการ “device code” เพื่อให้ได้มาซึ่งโทเค็นเข้าถึงระบบอีเมล, OneDrive, Teams ฯลฯ

แม้ว่าการโจมตีแบบ AiTM จะมีมาแต่ก่อนแล้ว แต่ Forg365 ยกระดับความสามารถโดยนำ AI มาช่วยสร้าง “lure” หรือข้อความหลอกล่อที่เหมาะกับเป้าหมายแต่ละคนอย่างอัตโนมัติ ทำให้จดหมายฟิชชิงดูสมจริงและยากต่อการตรวจจับจากระบบกรองสแปมแบบเดิม

Technical Mechanism

กระบวนการโจมตีของ Forg365 แบ่งเป็นสองขั้นตอนหลัก:

**AiTM (Adversary‑in‑the‑Middle) – ผู้โจมตีตั้งค่าเซิร์ฟเวอร์ปลอมทำหน้าที่เป็นตัวกลางระหว่างผู้ใช้และ Microsoft 365 จริง ส่งต่อข้อมูลรับรองที่ผู้ใช้กรอกโดยไม่รู้ตัว
Device Code Flow – แทนการให้ผู้ใช้ป้อนรหัสผ่านโดยตรง ผู้โจมตีส่งลิงก์ “device code” ที่ทำให้ผู้ใช้ต้องยืนยันบนหน้าจอแยกต่างหาก ทำให้โทเค็นเข้าถึงได้โดยไม่มีพาสเวิร์ด

เมื่อนำ AI มาช่วยสร้างข้อความล่อ (เช่น อีเมลแจ้งเตือนการรีเซ็ตรหัสผ่านหรือคำขอการเข้าถึงไฟล์สำคัญ) แฮกเกอร์สามารถปรับแต่งเนื้อหาให้ตรงกับภาษาการสื่อสารขององค์กรได้อย่างแม่นยำ ทำให้ผู้รับมีโอกาสคลิกและดำเนินการตามขั้นตอนที่โจมตีกำหนด

AI‑Generated Lures

AI ที่ใช้ใน Forg365 คือโมเดลภาษาแบบเปิด (open‑source language model) ซึ่งได้รับการฝึกด้วยข้อมูลสาธารณะเกี่ยวกับรูปแบบอีเมลฟิชชิงทั่วไป ระบบสามารถสร้างหัวข้อ, เนื้อหา, และแม้กระทั่งลายเซ็นต์ที่ดูเหมือนมาจากผู้ส่งจริงได้ในเวลาไม่กี่วินาที

การใช้ AI ทำให้แฮกเกอร์ลดเวลาการเตรียมโจมตีจากหลายวันเป็นเพียงชั่วโมงหรือแม่นยำถึงนาที นอกจากนี้ยังช่วยเพิ่มความหลากหลายของข้อความล่อ ลดโอกาสที่ระบบป้องกันจะตรวจจับรูปแบบซ้ำ ๆ ที่เคยถูกบล็อกไว้

Impact on Organizations

การรั่วไหลของบัญชี Microsoft 365 มีผลกระทบรุนแรงต่อองค์กร เนื่องจากผู้โจมตีสามารถเข้าถึงอีเมลภายใน, เอกสารสำคัญ, และข้อมูลสื่อสารใน Teams ทำให้เกิดความเสี่ยงด้าน ข้อมูลส่วนบุคคล, ความเป็นส่วนตัวของลูกค้า, รวมถึงการรบกวนกระบวนการทำงานประจำวัน

ตามที่ผู้เชี่ยวชาญด้านความปลอดภัยระบุ การโจมตีแบบ Forg365 นั้นยากต่อการตรวจจับในขั้นต้น เพราะไม่มีพาสเวิร์ดที่ถูกขโมยโดยตรง แต่เป็นโทเค็นที่ออกโดย Microsoft เองหลังจากผู้ใช้ทำตามขั้นตอน “device code” ทำให้ระบบล็อกอาวุธแบบสองชั้น (2FA) อาจไม่สามารถป้องกันได้เต็มที่

Mitigation Strategies

องค์กรควรดำเนินการหลายระดับเพื่อลดความเสี่ยงต่อ Forg365 ได้แก่

ปรับนโยบาย Conditional Access ให้จำกัดการใช้ “device code flow” สำหรับบัญชีสำคัญหรือผู้ใช้ภายนอกองค์กร
ใช้โซลูชัน Zero Trust ที่ตรวจสอบพฤติกรรมของผู้ใช้หลังจากเข้าสู่ระบบ เช่น การเข้าถึงไฟล์ที่ไม่เคยทำมาก่อน
ฝึกอบรมพนักงานให้ระวังอีเมลที่ขอ “device code” หรือการยืนยันบนหน้าจอแยกต่างหาก โดยเน้นว่าข้อมูลสำคัญควรตรวจสอบจากช่องทางอย่างเป็นทางการของ Microsoft

การอัปเดตและบังคับใช้ **Multi‑Factor Authentication (MFA) อย่างเคร่งครัดยังคงเป็นแนวปฏิบัติพื้นฐานที่ช่วยลดโอกาสให้ผู้โจมตีเข้าถึงโทเค็นได้แม้ในกรณีที่มีการหลอกลวง

Summary

Forg365 แพลตฟอร์ม PhaaS ใหม่ใช้ AI สร้างข้อความฟิชชิงและผสานเทคนิค AiTM กับ device code flow เพื่อขโมยบัญชี Microsoft 365 อย่างซับซ้อน การโจมตีนี้เพิ่มความท้าทายต่อการป้องกันแบบเดิม ทำให้องค์กรต้องเร่งปรับกลยุทธ์ Zero Trust และฝึกอบรมผู้ใช้เพื่อรับมือกับภัยคุกคามที่อัจฉริยะขึ้น.