Retail & E-Commerce Sector Weekly Report
ห้วงเวลา: 5-11 ตุลาคม 2569
TLP:CLEARในรอบสัปดาห์ระหว่างวันที่ 5-11 ตุลาคม 2569 สถานการณ์ภัยคุกคามความมั่นคงปลอดภัยไซเบอร์สำหรับภาคการค้าปลีก อีคอมเมิร์ซ และบริการที่เกี่ยวข้อง (Retail, E-Commerce & Hospitality Services) อยู่ในระดับความเสี่ยงสูง (High Risk) จากพฤติกรรมของอาชญากรไซเบอร์ที่มุ่งเป้าผู้บริโภค แบรนด์ค้าปลีก และระบบบริการลูกค้าอย่างเข้มข้น ประการแรก Cofense ตรวจพบแคมเปญฟิชชิ่งแอบอ้างข้อร้องเรียนของแขกหรือรีวิวเชิงลบมุ่งเป้าฝ่ายบริการลูกค้าของโรงแรมและบริการจองที่พัก หลอกส่งมัลแวร์ EtherRAT และ TONResolver ที่เชื่อมต่อ C2 ผ่านสัญญาอัจฉริยะบนบล็อกเชน Ethereum และ TON ประการที่สอง McAfee Labs ค้นพบแคมเปญแอปพลิเคชันอันตรายขนาดใหญ่ Android/RewaFake มากกว่า 1,900 รายการบน Google Play สวมรอยเป็นแบรนด์สินค้า ความบันเทิง และเกมยอดนิยม เพื่อหลอกหักเงินค่าบริการสมาชิกรายเดือนสูงถึง 49.99 ดอลลาร์สหรัฐ ประการที่สาม Censys ARC ตีแผ่โครงสร้างพื้นฐานการสวมรอยแบรนด์ค้าปลีกและบริการจัดส่งพัสดุ โดยพบการขอใบรับรอง TLS ทันทีหลังจดโดเมนเลียนแบบและการใช้โดเมนปลอมแฝงสคริปต์โทรจัน NetSupport RAT หลอกลวงผู้ใช้ และประการที่สี่ Push Security เปิดโปงแคมเปญโฆษณาค้นหา Adception บน Google Search ที่ฉวยใช้ผลการค้นหาของ Bing และเว็บไซต์ร้านค้าปลีกยาออนไลน์ที่ถูกเจาะระบบ เป็นทางผ่านส่งเหยื่อไปยังหน้าดาวน์โหลดโปรแกรมปลอมที่ใช้กลวิธี InstallFix ขโมยข้อมูลบนระบบปฏิบัติการ macOS
Cofense Intelligence ตรวจพบแคมเปญอีเมลฟิชชิ่งมุ่งเป้าอุตสาหกรรมบริการและการท่องเที่ยว (Hospitality & Accommodation ซึ่งเป็นส่วนหนึ่งของภาคบริการลูกค้าและการค้าปลีก) โดยผู้โจมตีส่งอีเมลแอบอ้างเป็นข้อร้องเรียนหรือรีวิวเชิงลบจากลูกค้า เช่น ปัญหาห้องพักไม่สะอาดหรือการมีปากเสียงกับพนักงาน ส่งตรงถึงแผนกต้อนรับและฝ่ายบริการลูกค้า หลอกล่อให้เปิดไฟล์แนบรูปภาพซึ่งเป็นไฟล์ทางลัด LNK ปลอมนามสกุลเป็น .JPG ควบคู่กับไฟล์วิดีโอ .MP4 หลอก เมื่อเหยื่อเปิดไฟล์ ระบบจะดาวน์โหลด NodeJS runtime และติดตั้งโทรจันควบคุมระยะไกล EtherRAT หรือ TONResolver โดยมัลแวร์จะส่งคำขอ JSON-RPC ไปยังสัญญาอัจฉริยะ (Smart Contract) บนบล็อกเชน Ethereum หรือ TON เพื่อดึงที่อยู่ C2 แบบไดนามิก ทำให้สามารถสลับเปลี่ยนโดเมนควบคุมได้ตลอดเวลาโดยไม่ต้องแก้ไขโค้ดมัลแวร์
ความเสี่ยงระดับสูงต่อกลุ่มธุรกิจโรงแรม แพลตฟอร์มการจองห้องพัก และผู้ประกอบการท่องเที่ยวในไทย - ประเทศไทยเป็นศูนย์กลางการท่องเที่ยวชั้นนำที่มีนักท่องเที่ยวต่างชาติเข้าพักจำนวนมาก พนักงานต้อนรับและฝ่ายบริการลูกค้าต้องเปิดไฟล์เอกสารหรือรูปภาพจากลูกค้าชาวต่างชาติเป็นประจำ หากพนักงานหลงเชื่อเปิดไฟล์ LNK อันตราย ระบบจะถูกฝังโทรจันควบคุมระยะไกล ซึ่งอาจนำไปสู่การขโมยข้อมูลบัตรเครดิตของลูกค้า การเข้าถึงระบบสำรองห้องพัก และการขยายผลเจาะระบบบัญชีการเงินของโรงแรม
ยุทธศาสตร์: ผู้ไม่หวังดีเปลี่ยนเป้าหมายจากการสวมรอยแพลตฟอร์มส่วนกลางมาเป็นการส่งข้อร้องเรียนปลอมเฉพาะบุคคลด้วยการนำ AI เข้ามาช่วยสร้างเนื้อหา เพื่อเจาะกลุ่มบุคลากรบริการด่านหน้าที่ต้องตอบสนองคำขอของลูกค้าอย่างรวดเร็ว
ยุทธการ: การประยุกต์ใช้บล็อกเชนสาธารณะอย่าง Ethereum และ TON เป็นโครงสร้างพื้นฐาน C2 ช่วยให้อาชญากรไซเบอร์หลบเลี่ยงการถูกสั่งปิดโดเมน (Takedown) และทำให้ไฟร์วอลล์ดั้งเดิมมองเห็นการติดต่อสื่อสารเป็นเพียงทราฟฟิกเว็บมาตรฐาน
ยุทธวิธี: ฝ่ายไอทีต้องตรวจสอบการเรียกทำงานของ NodeJS ที่ไม่ได้ติดตั้งโดยผู้ดูแลระบบ เฝ้าระวังไฟล์ LNK ที่มีนามสกุลซ้อน และบล็อกการเชื่อมต่อกับที่อยู่ C2 ที่ดึงมาจากสัญญาอัจฉริยะ
ภาคบริการและการท่องเที่ยว (Hospitality), แพลตฟอร์มการจองที่พักและตั๋วเดินทางออนไลน์, ฝ่ายบริการลูกค้าและแผนกต้อนรับส่วนหน้า
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ทีมวิจัยความปลอดภัยบนอุปกรณ์พกพาของ McAfee Labs ตรวจพบแคมเปญแอปพลิเคชันอันตรายขนาดใหญ่บน Google Play Store ภายใต้ชื่อมัลแวร์ "Android/RewaFake" มากกว่า 1,900 แอปพลิเคชัน มียอดดาวน์โหลดสะสมกว่า 500,000 ครั้งใน 190 ประเทศ ผู้พัฒนาสร้างแอปพลิเคชันใหม่เฉลี่ยวันละ 20-25 แอป โดยสวมรอยเป็นแบรนด์สินค้า บริการออนไลน์ และเกมที่ผู้บริโภคค้นหาบ่อย เช่น CapCut, Roblox, Netflix Game Controller, Xbox Game Pass และ PayPal ตัวแอปทำงานเป็นเพียงเปลือกหุ้ม (Shell app) ที่ติดต่อเซิร์ฟเวอร์ C2 ผ่าน URL คอนฟิก hxxps[://]rewadevelopments[.]online/data/[.]json เพื่อรับลิงก์นำทางไปยังหน้าเว็บภายนอกที่หลอกให้ผู้ใช้สมัครบริการสมาชิกรายเดือนราคาแพง (Subscription Fraud) สูงถึง 49.99 ดอลลาร์สหรัฐต่อเดือน พร้อมยัดเยียดแสดงโฆษณาในเบราว์เซอร์แฝง
ความเสี่ยงระดับสูงต่อผู้บริโภคและแบรนด์สินค้าในไทย - ผู้ใช้งานสมาร์ตโฟนในไทยนิยมติดตั้งแอปพลิเคชันตัดต่อวิดีโอและเกมผ่าน Play Store หากติดตั้งแอปปลอมเหล่านี้จะถูกหลอกหักเงินค่าบริการผ่านระบบชำระเงินดิจิทัลโดยไม่รู้ตัว ขณะเดียวกัน แบรนด์ค้าปลีกและผู้ให้บริการแพลตฟอร์มในไทยมีความเสี่ยงที่จะถูกนำชื่อทางการค้าไปสวมรอย สร้างความเสียหายต่อความเชื่อมั่นของผู้บริโภคในการซื้อสินค้าและบริการผ่านช่องทางโมบายล์
ยุทธศาสตร์: ขบวนการฉ้อโกงพัฒนาโมเดลสร้างแอปปลอมแบบอุตสาหกรรมในปริมาณมหาศาล เพื่อทดแทนแอปพลิเคชันที่ถูกถอดถอนและสร้างรายได้จากการหลอกหักเงินค่าสมาชิกอย่างเป็นระบบ
ยุทธการ: การแยกส่วนคำสั่งควบคุมไว้บนเซิร์ฟเวอร์ภายนอกช่วยให้ผู้โจมตีสามารถสลับเปลี่ยนหน้าเว็บหลอกลวงและพันธมิตรโฆษณาได้ทันที โดยไม่ต้องส่งอัปเดตไฟล์ APK ขึ้นสโตร์
ยุทธวิธี: ผู้ใช้งานและฝ่ายกำกับดูแลต้องตรวจสอบชื่อผู้เผยแพร่แอปอย่างละเอียด บล็อกการเชื่อมต่อโดเมน rewadevelopments[.]online และเฝ้าระวังค่าแฮชของแอปพลิเคชันที่ระบุในรายการ IOC
ผู้บริโภคทั่วไป, ลูกค้าผู้ใช้งานโมบายล์คอมเมิร์ซ, ภาคการค้าปลีกแบรนด์ดิจิทัลและเกมออนไลน์
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ทีมวิจัย Censys ARC เผยแพร่รายงานวิเคราะห์โครงสร้างพื้นฐานการสวมรอยแบรนด์ (Brand Impersonation & Fraud Infrastructure) บนอินเทอร์เน็ต โดยระบุว่ากลุ่มผู้โจมตีมุ่งเน้นการจัดเตรียมทรัพยากรเครือข่ายล่วงหน้าก่อนปล่อยเนื้อหาหลอกลวง ผู้โจมตีจดทะเบียนโดเมนเลียนแบบ (Typosquatting) และขอใบรับรอง TLS ทันทีผ่านระบบอัตโนมัติ ซึ่งปรากฏในบันทึก Certificate Transparency ทันที การศึกษาระบุตัวอย่างแคมเปญจริงที่มุ่งสวมรอยบริการขนส่งพัสดุ เช่น โดเมน usps.xupqnqz[.]one ส่งข้อความ SMS Phishing หลอกเก็บค่าจัดส่งสินค้าจากผู้ซื้อของออนไลน์ รวมถึงการสวมรอยแพลตฟอร์มการเงิน binance-idexchange[.]com ที่ส่งสคริปต์ PowerShell ขนาดใหญ่ 16.8 MB ปลอมเป็นไฟล์ .mp4 เพื่อแพร่กระจายโทรจัน NetSupport RAT และการสร้างโดเมนตรวจสอบความปลอดภัยปลอมแพร่กระจายมัลแวร์ผ่านเทคนิค ClickFix
ความเสี่ยงระดับสูงต่อผู้ประกอบการค้าปลีก แพลตฟอร์มอีคอมเมิร์ซ และผู้บริโภคในไทย - ร้านค้าออนไลน์และผู้ให้บริการจัดส่งสินค้าในประเทศไทยมักตกเป็นเป้าหมายของการนำชื่อแบรนด์ไปจดทะเบียนโดเมนเลียนแบบเพื่อส่ง SMS หรืออีเมลหลอกลวงผู้ซื้อสินค้า หากองค์กรขาดการตรวจจับการจดทะเบียนโดเมนที่ผิดปกติเชิงรุก ผู้บริโภคอาจหลงเชื่อกรอกข้อมูลบัตรเครดิตหรือข้อมูลประจำตัว นำไปสู่ความสูญเสียทางการเงินและกระทบต่อชื่อเสียงของแบรนด์
ยุทธศาสตร์: การสวมรอยแบรนด์ได้พัฒนาจากปัญหาการละเมิดเนื้อหาไปสู่ปัญหาด้านโครงสร้างพื้นฐานเครือข่าย ซึ่งผู้โจมตีใช้เป็นบันไดขั้นแรกในการขโมยข้อมูลทางการเงินและปล่อยมัลแวร์
ยุทธการ: ผู้ไม่หวังดีฉวยใช้ใบรับรอง TLS เพื่อสร้างเครื่องหมายกุญแจล็อกบนเบราว์เซอร์ให้ดูน่าเชื่อถือ และนำชื่อแบรนด์ดังมาตั้งชื่อเซิร์ฟเวอร์เพื่ออำพรางทราฟฟิก C2 ในพร็อกซีล็อกขององค์กร
ยุทธวิธี: หน่วยงานด้านความมั่นคงปลอดภัยต้องเฝ้าระวังบันทึก Certificate Transparency สำหรับชื่อแบรนด์ขององค์กร และบล็อกการเข้าถึงโดเมนเลียนแบบที่มีการแจกจ่ายเพย์โหลดอันตราย
ภาคการค้าปลีกและอีคอมเมิร์ซ (Retail & E-Commerce), โลจิสติกส์การขนส่งพัสดุ, บริการชำระเงินดิจิทัล
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
Push Security ค้นพบแคมเปญโฆษณาค้นหาอันตราย (Malvertising) ขนานนามว่า "Adception" ซึ่งเริ่มจากการซื้อโฆษณาบน Google Search โดยแอบอ้างโปรแกรมยอดนิยม แต่ตั้งค่าปลายทางเป็นลิงก์บันทึกคลิกของ Bing (bing.com/ck/a) เพื่อผ่านการตรวจสอบโฆษณา จากนั้นระบบ Bing จะเปลี่ยนเส้นทางเหยื่อไปยังหน้าเกี่ยวกับเราของร้านค้าปลีกยา homeopatiaalemana[.]com ที่ถูกผู้โจมตีแฮกฝังโค้ด 302 Redirect เพื่อตรวจสอบ Referrer และคัดกรองเฉพาะผู้ใช้จริง ก่อนส่งต่อไปยังหน้าดาวน์โหลดโปรแกรม Claude ปลอมบนโดเมน claude-desk-code[.]com โดยหน้าเว็บหลอกลวงใช้เทคนิค InstallFix แสดงคำสั่งติดตั้งปกติ แต่เมื่อกดปุ่มคัดลอก สคริปต์จะแอบนำคำสั่งเชลล์ที่เข้ารหัส Base64 ไปวางบนคลิปบอร์ด เพื่อสั่งให้ macOS ดาวน์โหลดมัลแวร์ขโมยข้อมูลจากเซิร์ฟเวอร์ lake-90[.]com
ความเสี่ยงสองด้านต่อธุรกิจค้าปลีกออนไลน์และผู้ใช้งานในไทย - ในมุมผู้ประกอบการ หากเว็บไซต์อีคอมเมิร์ซหรือร้านค้าออนไลน์ที่พัฒนาด้วย WordPress มีช่องโหว่ จะถูกผู้ไม่หวังดีเจาะระบบและใช้เป็นทางผ่านในการกระจายมัลแวร์โดยไม่รู้ตัว ส่งผลให้โดเมนร้านค้าถูกขึ้นบัญชีดำด้านความปลอดภัย และในมุมของผู้บริโภคหรือพนักงาน หากค้นหาโปรแกรมผ่าน Search Engine และกดรับโฆษณาปลอม เครื่องคอมพิวเตอร์จะถูกขโมย Session คุกกี้ บัญชีร้านค้าออนไลน์ และข้อมูลส่วนบุคคล
ยุทธศาสตร์: ผู้โจมตีพัฒนาเทคนิคหลบเลี่ยงการตรวจสอบของแพลตฟอร์มโฆษณา โดยนำผลการค้นหาของเครื่องมือค้นหาคู่แข่งและเว็บไซต์ร้านค้าที่ถูกเจาะระบบมาร้อยเรียงเป็นห่วงโซ่เปลี่ยนเส้นทาง
ยุทธการ: การใช้กลไกคัดกรองเหยื่อสองชั้น (Two-layer Cloaking) ทั้งระดับเซิร์ฟเวอร์ของร้านค้าและระดับ JavaScript ของเว็บเพจปลายทาง ช่วยป้องกันไม่ให้ระบบสแกนความปลอดภัยอัตโนมัติตรวจพบเพย์โหลด
ยุทธวิธี: องค์กรต้องบล็อกโดเมน claude-desk-code[.]com เฝ้าระวังคำสั่ง curl ที่ถูกเรียกใช้ผ่านคลิปบอร์ด และอัปเดตระบบรักษาความปลอดภัยของเว็บไซต์ร้านค้าออนไลน์อย่างสม่ำเสมอ
ร้านค้าปลีกออนไลน์และระบบจัดการเว็บไซต์ (E-Commerce Webmasters), ผู้บริโภคและพนักงานที่ใช้งานเครื่องคอมพิวเตอร์ macOS
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง