ในรอบสัปดาห์ระหว่างวันที่ 14-20 กันยายน 2569 ภาคการขนส่งและโลจิสติกส์เผชิญภัยคุกคามทางไซเบอร์ที่เข้มข้นใน 2 มิติหลัก ได้แก่ แคมเปญฟิชชิ่งแอบอ้างบริการขนส่งพัสดุและไปรษณีย์ระดับสากลเพื่อโจรกรรมข้อมูลบัตรเครดิตและระบบธนาคารออนไลน์ ซึ่งถูกยกระดับประสิทธิภาพด้วยชุดเครื่องมือ PhaaS รุ่นใหม่อย่าง JWR ของกลุ่ม Smishing Triad ที่มีระบบควบคุมแบบเรียลไทม์ และอีกมิติหนึ่งคือการโจมตีห่วงโซ่อุปทานผ่านเทคนิค Device Code Phishing โดยชุดเครื่องมือ GhostCode และ EvilTokens ที่มุ่งเจาะระบบคลาวด์ Microsoft 365 และ Entra ID ของธุรกิจคลังสินค้า ตัวแทนขนส่ง และอุตสาหกรรมยานยนต์ พร้อมทั้งฝังตัวถาวรผ่านการลงทะเบียนอุปกรณ์เถื่อน ส่งผลให้องค์กรในภาคโลจิสติกส์จำเป็นต้องยกระดับการตรวจจับเชิงรุกและการควบคุมสิทธิ์อัตลักษณ์อย่างเร่งด่วน
ผู้ไม่หวังดีเปิดแคมเปญฟิชชิ่งมุ่งเป้าผู้ใช้บริการขนส่งพัสดุ โดยแอบอ้างเป็นผู้ให้บริการไปรษณีย์และโลจิสติกส์ bpost ผ่านข้อความแจ้งเตือนพัสดุตกค้างเนื่องจากมียอดค้างชำระค่าภาษีศุลกากรจำนวนเล็กน้อย (€4.95) ล่อลวงให้เหยื่อกดลิงก์ย่อ URL เพื่อเข้าสู่หน้าเว็บไซต์ปลอมแปลงที่เลียนแบบตราสัญลักษณ์และข้อความแจ้งความปลอดภัย เพื่อดักขโมยข้อมูลส่วนบุคคล เลขบัตรเครดิต CVV และรหัสผ่านระบบธนาคารออนไลน์
ความเสี่ยงทางอ้อมต่อผู้บริโภคและธุรกิจนำเข้าส่งออกในไทย แม้แคมเปญนี้จะเน้นเป้าหมายผู้ใช้บริการ bpost ในยุโรปเป็นหลัก แต่รูปแบบการใช้จิตวิทยาหลอกล่อเรื่องภาษีศุลกากรพัสดุและค่าธรรมเนียมจัดส่งเป็นเทคนิคเดียวกับที่พบบ่อยในการแอบอ้างไปรษณีย์ไทยและผู้ให้บริการขนส่งเอกชนในไทย จึงอาจมีการนำชุดแม่แบบเว็บไซต์เดียวกันมาดัดแปลงโจมตีในภูมิภาคเอเชียตะวันออกเฉียงใต้
ยุทธศาสตร์: ภัยคุกคามภาคการขนส่งมักมุ่งเป้าห่วงโซ่การส่งมอบสินค้า (Last-mile Delivery) โดยฉวยโอกาสจากพฤติกรรมสั่งซื้อสินค้าข้ามพรมแดนที่เติบโตต่อเนื่อง
ยุทธการ: กลุ่มผู้ก่อเหตุใช้บริการย่อลิงก์ URL เพื่อหลบเลี่ยงระบบคัดกรองเมลและใช้โดเมนปลอมแปลงที่มีคำสำคัญเกี่ยวกับพัสดุเพื่อสร้างความน่าเชื่อถือ
ยุทธวิธี: ผู้ดูแลระบบและผู้ใช้งานควรตรวจสอบชื่อโดเมนต้นทางอย่างละเอียด สังเกตความผิดปกติของ URL และระงับการกรอกข้อมูลบัตรบนเว็บไซต์ที่ไม่ใช่โดเมนทางการ
ภาคการขนส่งและโลจิสติกส์ (Transportation & Logistics), บริการไปรษณีย์และจัดส่งพัสดุด่วน, ผู้ใช้บริการอีคอมเมิร์ซข้ามพรมแดน, ลูกค้าสถาบันการเงิน
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
กลุ่มอาชญากรรมไซเบอร์ Smishing Triad ภายใต้คลัสเตอร์ปฏิบัติการ Outsider ได้กระจายชุดเครื่องมือ Phishing-as-a-Service (PhaaS) ชื่อ JWR มุ่งเป้าผู้ใช้บริการขนส่งพัสดุและไปรษณีย์ทั่วโลก ผ่าน SMS ลวงแจ้งให้ยืนยันการจัดส่งหรือชำระค่าธรรมเนียม โดยชุดเครื่องมือใช้โปรโตคอล WebSocket แบบเข้ารหัส AES-256-CTR ส่งข้อมูลไปยังแผงควบคุม Cockpit ของผู้ควบคุมเพื่อตรวจสอบข้อมูลบัตร (BIN Lookup) ขโมยรหัส OTP และบังคับเปลี่ยนขั้นตอนบนหน้าจอเหยื่อแบบเรียลไทม์
ความเสี่ยงระดับสูงต่อผู้ใช้บริการโลจิสติกส์และผู้ถือบัตรเครดิตในไทย เนื่องจากกลุ่ม Smishing Triad มีประวัติการปฏิบัติการโจมตีครอบคลุมกว่า 121 ประเทศรวมถึงภูมิภาคเอเชียแปซิฟิก และมักใช้การปลอมแปลงแบรนด์ขนส่งระดับสากลและแบรนด์ท้องถิ่นในการส่งข้อความ SMS ลวง
ยุทธศาสตร์: รูปแบบ Phishing-as-a-Service ที่มีระบบ Cockpit ควบคุมแบบสดสะท้อนถึงวิวัฒนาการของขบวนการอาชญากรรมไซเบอร์ที่ทำลายประสิทธิผลของการยืนยันตัวตนแบบดั้งเดิม
ยุทธการ: การสื่อสารผ่าน WebSocket สองทางแบบเข้ารหัสช่วยให้ผู้ไม่หวังดีสามารถดักรับ OTP และตอบสนองต่อระบบป้องกันการทุจริตของธนาคารได้ทันที
ยุทธวิธี: องค์กรและสถาบันการเงินควรบังคับใช้กลไก FIDO2 หรือ WebAuthn ที่ทนทานต่อฟิชชิ่ง และตรวจจับพฤติกรรมการเชื่อมต่อ API หรือ WebSocket ที่ผิดปกติ
ภาคการขนส่งและโลจิสติกส์, บริการไปรษณีย์และพัสดุระหว่างประเทศ, สถาบันการเงินและผู้ให้บริการบัตรเครดิต, ประชาชนผู้ใช้บริการสมาร์ตโฟน
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
หน่วยวิจัย TRU ของ eSentire ตรวจพบชุดเครื่องมือ GhostCode ที่มุ่งเป้าผู้ให้บริการห่วงโซ่อุปทาน คลังสินค้า และโลจิสติกส์ โดยเริ่มจากการส่งแบบฟอร์มติดต่อธุรกิจแอบอ้างเป็นเจ้าหน้าที่จัดซื้อ แล้วส่งลิงก์ WeTransfer ไปยังไฟล์ HTML ปลอมเป็นข้อตกลงรักษาความลับ (NDA) ภายในไฟล์ใช้เทคนิคหลบเลี่ยง 3 ชั้น ได้แก่ การแทรกขยะ (Junk Padding), การแทรกคอมเมนต์ HTML ทุกตัวอักษร, และการถอดรหัส URL แบบ AES-256-GCM ผ่านเบราว์เซอร์ เพื่อส่งเหยื่อไปยังกระบวนการ Device Code Authentication ของ Microsoft และยึดครองโทเคนเข้าถึง
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรในไทย โดยเฉพาะผู้ให้บริการโลจิสติกส์ ตัวแทนนำเข้าส่งออก และซัพพลายเออร์ที่ติดต่อธุรกิจกับคู่ค้าต่างประเทศผ่านแบบฟอร์มเว็บไซต์และระบบ Microsoft 365 ซึ่งอาจตกเป็นเป้าหมายของการใช้ข้ออ้างเรื่องการจัดซื้อและสัญญา NDA ปลอม
ยุทธศาสตร์: ผู้โจมตีมุ่งเน้นการเจาะระบบพันธมิตรในห่วงโซ่อุปทานเพื่อใช้เป็นฐานในการเข้าถึงเครือข่ายของลูกค้ารายใหญ่ต่อไป
ยุทธการ: การใช้กลไก Device Authorization Grant ช่วยให้ผู้ไม่หวังดีข้ามผ่านระบบ MFA ได้โดยไม่ต้องโฮสต์หน้าล็อกอินปลอม
ยุทธวิธี: ผู้ดูแลระบบ M365 ควรปิดการใช้งาน Device Code Flow บนบัญชีผู้ใช้งานทั่วไปผ่าน Conditional Access Policies
ภาคการขนส่งและโลจิสติกส์ (Logistics & Supply Chain), ธุรกิจคลังสินค้าและกระจายสินค้า, ผู้ผลิตและซัพพลายเออร์, องค์กรที่ใช้งาน Microsoft 365 / Entra ID
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ทีมวิจัย CyberProof ตรวจพบปฏิบัติการฟิชชิ่งโดยใช้ชุดเครื่องมือ EvilTokens มุ่งเป้าห่วงโซ่อุปทานยานยนต์และบริการขนส่ง โดยส่งเอกสาร PDF ลวงในหัวข้อใบแจ้งหนี้ (Invoice) เพื่อนำเหยื่อไปยังหน้าพอร์ทัล Adobe Acrobat Sign ปลอม และชักนำให้เหยื่อกรอกรหัสยืนยันอุปกรณ์บนระบบจริงของ Microsoft หลังได้รับโทเคนสิทธิ์แล้ว ผู้โจมตีได้ลงทะเบียนอุปกรณ์เถื่อน (Rogue Device) เข้าสู่ระบบ Microsoft Entra ID ทันที ทำให้สามารถฝังตัวและเข้าถึงระบบได้อย่างถาวรแม้โทเคนเดิมจะหมดอายุ
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรภาคยานยนต์ การขนส่ง และโลจิสติกส์ในไทย ที่มีการเชื่อมต่อระบบออกใบแจ้งหนี้และบัญชีระหว่างประเทศ หากไม่มีการตั้งค่านโยบายจำกัดการลงทะเบียนอุปกรณ์ใน Entra ID อาจทำให้ผู้ไม่หวังดีแฝงตัวอยู่ในระบบได้เป็นเวลานาน
ยุทธศาสตร์: ผู้ไม่หวังดีเปลี่ยนเป้าหมายจากการขโมยเพียงโทเคนชั่วคราวไปสู่การสร้างจุดฝังตัวถาวรระดับอัตลักษณ์ (Identity Persistence) ผ่านการลงทะเบียนอุปกรณ์
ยุทธการ: การใช้เอกสารใบแจ้งหนี้ลวงร่วมกับหน้าเว็บลงนามเอกสารสร้างความน่าเชื่อถือสูง ทำให้ผ่านการคัดกรองเบื้องต้นของพนักงานฝ่ายจัดซื้อและบัญชี
ยุทธวิธี: กำหนดให้นโยบาย Conditional Access ตรวจสอบสถานะความสอดคล้องของอุปกรณ์ (Compliant Device) และแจ้งเตือนเมื่อมีการลงทะเบียนอุปกรณ์ใหม่ทันที
ภาคยานยนต์และการขนส่ง (Automotive & Transport), ภาคการเงินและบริการสินเชื่อยานพาหนะ, ระบบคลาวด์ Microsoft Entra ID / M365
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง