กลุ่มอาชญากรไซเบอร์ Redact ใช้ vishing ขโมยเงินจากกองทุนเฮดจ์ฟันด์สหรัฐ

Lead: กลุ่มอาชญากรไซเบอร์ที่เคยเรียกว่า BlackFile (ปัจจุบันใช้ชื่อ Redact) ได้เปิดตัวแคมเปญฟิชชิงและข่มขู่อ extortion ระดับสูงต่อกองทุนเฮดจ์ฟันด์สหรัฐหลายราย รวมถึงบริษัทกฎหมายชั้นนำ รายงานของทีม Threat Intelligence ของ Google ชี้ให้เห็นว่าผู้โจมตีใช้เทคนิค vishing** เพื่อยึดครองข้อมูล SaaS ที่สำคัญและขโมยเงินจำนวนหลายล้านดอลลาร์จากกระเป๋าเงินคริปโต — เหตุการณ์นี้อาจส่งผลต่อความเชื่อมั่นของภาคการเงินทั่วโลก

Overview

กลุ่ม Redact มีลักษณะการทำงานที่คล้ายกับแคมเปญ ShinyHunters ก่อนหน้านี้ โดยพวกเขาจะโทรหาเจ้าหน้าที่ระดับกลาง‑บนที่มีสิทธิ์เข้าถึงระบบ SaaS เช่น Microsoft 365 หรือ Okta แล้วอ้างว่าเป็นทีมไอทีของบริษัท ผู้โจมตีจะให้ผู้รับสายคลิกเข้าสู่หน้า login ปลอมที่ดูเหมือนจริงเพื่อขโมย credentials และ authentication token หลังจากได้ข้อมูลเหล่านี้แล้ว พวกเขาจะเข้าถึงระบบองค์กรทั้งหมดและใช้เครื่องมืออัตโนมัติในการดึงข้อมูลสำคัญออกมา

กระบวนการสุดท้ายคือการส่งข้อความข่มขู่ให้ผู้เสียหายว่าข้อมูลที่ถูกแฮกจะถูกเปิดเผยบน Dark Web หากไม่ชำระค่าไถ่ การดำเนินการแบบครบวงจรนี้ทำให้ Redact สามารถควบคุมข้อมูลหลายระดับและเพิ่มแรงต่อรองในการเรียกร้องเงินค่าตอบแทนได้อย่างมีประสิทธิภาพ

Modus Operandi

วิธีการที่ใช้โดย Redact มีสองขั้นตอนสำคัญ: การสร้างโดเมนปลอมและการสื่อสารแบบเสียง (vishing) ขั้นแรก ผู้โจมตีจดทะเบียน domain ที่คล้ายกับชื่อเว็บไซต์ของผู้ให้บริการ SaaS หรือองค์กรเป้าหมาย ซึ่งทำให้ผู้ใช้งานสับสนง่ายและอาจกรอกข้อมูลเข้าสู่ระบบโดยไม่ตั้งข้อสงสัย

ต่อมา พนักงานที่ได้รับสายจะถูกชักนำให้เข้าไปยังหน้า login ปลอมผ่านลิงก์ที่ส่งมาทางข้อความหรืออีเมล หลังจากผู้ใช้ใส่ชื่อผู้ใช้และรหัสผ่าน ระบบจะบันทึกข้อมูลเหล่านั้นพร้อมกับ token ที่ให้สิทธิ์การเข้าถึงระดับสูง จากนั้นแฮกเกอร์จะเข้าสู่บัญชี SaaS ของเป้าหมายเพื่อดึงไฟล์ การสื่อสารภายในองค์กร หรือข้อมูลลูกค้าที่มีค่าทางการเงิน

กระบวนการทั้งหมดทำงานโดยอัตโนมัติด้วยสคริปต์ที่ออกแบบให้ค้นหาและขโมยข้อมูลในหลายระบบพร้อมกัน ทำให้ระยะเวลาการเจาะระบบลดลงจากหลายวันเป็นเพียงไม่กี่ชั่วโมงเท่านั้น

Target Profile

ตามรายงานของ Google Threat Intelligence Group (TGIT) รายชื่อองค์กรที่ถูกสังเกตว่าถูก Redact มุ่งเป้า ได้แก่:

Blackstone
**KKR & Co.
**Apollo Global Management Inc.
**CME Group Inc.
บริษัทกฎหมาย Paul Hastings LLP
Greenberg Traurig LLP (แต่บริษัทได้ปฏิเสธว่าไม่เคยถูกโจมตี)

แม้ว่าบริษัทกฎหมายบางแห่งอาจไม่ได้รับการยืนยันว่ามีการละเมิดข้อมูลจริง แต่การที่กลุ่มอาชญากรระบุชื่อเหล่านี้ไว้ในรายการเป้าหมายแสดงให้เห็นถึงระดับความต้องการเข้าถึงข้อมูลทางการเงินและกฎหมายที่สูงมาก

Financial Impact

การติดตามกระเป๋าเงินคริปโตของ Redact พบว่ามี $10.7 million ถูกโอนเข้าไปยัง 18 wallets** ตั้งแต่ต้นเดือนมกราคมจนถึงกลางพฤษภาคม 2026 ตัวเลขนี้สะท้อนให้เห็นว่าการขโมยข้อมูล SaaS ไม่ได้เป็นเพียงการโจมตีเชิงเทคนิค แต่สามารถแปลงเป็นผลกำไรทางการเงินที่มหาศาลได้ในระยะสั้น

นอกจากนี้ รายงานยังชี้ให้เห็นว่าอัตราการจดทะเบียนโดเมนฟิชชิงเพิ่มขึ้นจาก หนึ่งโดเมนทุก 2.2 วัน ในเดือนเมษายน‑พฤษภาคม ไปเป็น หนึ่งโดเมนทุก 1.6 วัน ในช่วงมิถุนายน‑กรกฎาคม การเร่งความเร็วนี้บ่งชี้ว่ากลุ่มกำลังขยายแคมเปญอย่างต่อเนื่องเพื่อเพิ่มโอกาสในการเก็บเงินค่าตอบแทนจากองค์กรเพิ่มเติม

Response & Outlook

จนถึงขณะนี้ ทั้ง Blackstone, KKR และ CME Group ยังไม่ได้ให้การยืนยันอย่างเป็นทางการว่ามีการละเมิดข้อมูล แม้ว่าบริษัทกฎหมายบางแห่งจะปฏิเสธการถูกโจมตี แต่เหตุการณ์นี้ทำให้ภาคส่วนการเงินต้องทบทวนมาตรการความปลอดภัยด้าน SaaS อย่างเร่งด่วน โดยเฉพาะการฝึกอบรมพนักงานรับมือกับการโทรอ้างว่าเป็นฝ่ายไอที (vishing) และการตรวจสอบ URL ก่อนกรอกข้อมูลเข้าสู่ระบบ

ผู้เชี่ยวชาญด้านไซเบอร์สิเชิงว่าการใช้ token‑based authentication เป็นจุดอ่อนที่ต้องได้รับการปกป้องเพิ่มเติม เช่น การตั้งค่า MFA ที่แข็งแรงและการจำกัดสิทธิ์ของ token ให้มีอายุสั้นลง นอกจากนี้ บริษัทควรติดตามและบล็อกโดเมนฟิชชิงแบบเรียลไทม์เพื่อหลีกเลี่ยงการนำผู้ใช้เข้าสู่หน้า login ปลอม

Summary

กลุ่ม Redact ใช้เทคนิค vishing และหน้า login ปลอมเพื่อขโมยข้อมูล SaaS ของกองทุนเฮดจ์ฟันด์และบริษัทกฎหมายชั้นนำในสหรัฐ ส่งผลให้มีเงินค่าตอบแทนประมาณ $10.7 million** ไหลเข้ากระเป๋าเงินคริปโต 18 รายการ ความเสี่ยงนี้กระตุ้นให้อุตสาหกรรมการเงินต้องเร่งปรับมาตรฐานความปลอดภัยและฝึกอบรมพนักงานเพื่อรับมือกับการโจมตีแบบใหม่ต่อไป.