เครือข่ายฟิชชิ่ง Yam Store: แผนโจมตีพันล้านข้อความ

กลุ่มความร่วมมือระหว่างหน่วยงานบังคับใช้กฎหมายและภาคอุตสาหกรรม นำโดย Microsoft เพิ่งทลายหนึ่งในห่วงโซ่อุปทานฟิชชิ่งที่ใหญ่ที่สุดเท่าที่เคยพบในช่วงหลายปีที่ผ่านมา เครือข่ายฟิชชิ่ง Yam Store ขายบัญชี Microsoft และ Google ที่ถูกแฮ็ก พื้นที่จัดเก็บข้อมูลบนคลาวด์ และชุดเครื่องมือโจมตีครบวงจรให้กับอาชญากรทั่วโลก มีรายงานว่าเครื่องมือเหล่านี้ส่งข้อความอันตรายไปแล้วกว่าพันล้านข้อความ สำหรับเจ้าของธุรกิจที่คิดว่าฟิชชิ่งเป็นปัญหาของบริษัทอื่น กรณีนี้เป็นเครื่องเตือนใจที่ดี โครงสร้างพื้นฐานเบื้องหลังการโจมตีเหล่านี้กลายเป็นสินค้าเชิงพาณิชย์ไปแล้ว พร้อมขายให้ใครก็ตามที่ยินดีจ่ายเงิน

เครือข่ายฟิชชิ่ง Yam Store ทำอะไรบ้าง

Microsoft และสำนักงานตำรวจแห่งชาติญี่ปุ่นเริ่มสืบสวนกิจกรรมฉ้อโกงระลอกใหญ่ พวกเขาสืบย้อนไปถึงตลาดมืดที่รู้จักกันในชื่อ Yam Store ซึ่งถูกติดตามภายใต้รหัส Storm-3119 ตลาดมืดแห่งนี้เป็นแหล่งป้อนให้กับชุดเครื่องมือฟิชชิ่งสามชุดที่ถูกจัดกลุ่มรวมเรียกว่า Storm-2990 ได้แก่ CoGUI, Haozi และ Iron Man System

Yam Store ไม่ได้ขายแค่ข้อมูลรับรองที่ถูกขโมย แต่ขายสภาพแวดล้อมการทำงานทั้งระบบ ทั้งบัญชี Microsoft และ Google ที่ถูกแฮ็กหรือได้มาโดยฉ้อโกง ไลเซนส์ และพื้นที่จัดเก็บข้อมูล พร้อมให้อาชญากรนำไปใช้กับแคมเปญได้ทันที ผู้ดำเนินการสร้างความน่าเชื่อถือให้บัญชีเหล่านี้ด้วยวิธีเฉพาะตัว พวกเขาซื้อโดเมนที่หมดอายุซึ่งเคยเป็นขององค์กรจริง สร้างเว็บไซต์เก่าขึ้นมาใหม่ให้ดูเหมือนยังเปิดใช้งานอยู่ แล้วใช้ตัวตนที่สร้างขึ้นใหม่นี้ไปลงทะเบียนบัญชีคลาวด์ใหม่ มีรายงานว่าองค์กรปลอมบางแห่ง รวมถึงเนื้อหาและเอกสารประกอบ ถูกสร้างขึ้นด้วยเครื่องมือ AI ซึ่งทำให้ยากขึ้นที่จะตรวจจับว่าเป็นการฉ้อโกงอย่างชัดเจน

เมื่อเข้าถึงสภาพแวดล้อม Microsoft ที่ถูกแฮ็กได้แล้ว ผู้ดำเนินการใช้ข้อมูลรับรองแอปพลิเคชันที่ขโมยมาเพื่อจัดการบัญชีและไลเซนส์ พวกเขายังใช้พื้นที่จัดเก็บข้อมูล SharePoint กับ OneDrive โดยมิชอบเพื่อโฮสต์หน้าฟิชชิ่งและเพย์โหลด เพราะทราฟฟิกที่ไปยังแพลตฟอร์มเหล่านี้ดูเป็นเรื่องปกติในสายตาระบบกรองส่วนใหญ่

ทำไมชุดเครื่องมือ Iron Man ของเครือข่ายฟิชชิ่ง Yam Store ถึงโดดเด่น

จากชุดเครื่องมือทั้งสามชุด Iron Man System กลายเป็นเครื่องมือหลักเมื่อถึงกลางปี 2026 แซงหน้า CoGUI ตามข้อมูลของ Microsoft เครื่องมือนี้มีเทมเพลตมากกว่า 2,335 แบบที่ปลอมเป็นธนาคาร ร้านค้าปลีก บริษัทจัดส่งพัสดุ และหน่วยงานรัฐบาล การวิเคราะห์โดยตรงของ Resecurity พบแพ็กเกจล่อลวงฟิชชิ่งที่แตกต่างกันถึง 2,360 รายการ ชุดเครื่องมือนี้ยังรองรับการจำกัดตามพื้นที่ทางภูมิศาสตร์ ด่าน CAPTCHA ปลอม และการกรองตาม IP ทำให้นักวิจัยด้านความปลอดภัยวิเคราะห์หน้าเหล่านี้ได้ยากขึ้น

บริษัทความปลอดภัย Resecurity ซึ่งร่วมในการสืบสวนครั้งนี้ พบ Git repository และ container registry ที่เปิดเผยต่อสาธารณะซึ่งเชื่อมโยงกับชุดเครื่องมือนี้ มีทั้งหมด 911 บิลด์ที่เผยแพร่ และแคตตาล็อกแพ็กเกจฟิชชิ่งครอบคลุมประมาณ 130 ประเทศหรือภูมิภาค พร้อมการอัปเดตล่าสุดในเดือนตุลาคม 2026 ขนาดดังกล่าวใกล้เคียงกับวงจรการออกผลิตภัณฑ์ซอฟต์แวร์มากกว่าแคมเปญอาชญากรรมครั้งเดียว นั่นอธิบายได้ว่าทำไมชุดเครื่องมือเหล่านี้จึงถูกขายต่อและปรับแต่งได้อย่างแพร่หลาย

ขนาดของปัญหาที่เครือข่ายฟิชชิ่ง Yam Store สร้างขึ้น

ตามข้อมูลของ Microsoft มีข้อความอันตรายที่มุ่งเป้าไปยังลูกค้า Microsoft 365 มากกว่า 750 ล้านข้อความถูกตรวจพบผ่านอีเมลและ SMS ในปีนี้เพียงปีเดียว ก่อนหน้านี้งานวิจัยของ Proofpoint ในช่วงปลายปี 2024 เคยชี้ให้เห็นแคมเปญที่เชื่อมโยงกับ CoGUI ซึ่งพุ่งเป้าไปที่ญี่ปุ่นอย่างต่อเนื่อง แคมเปญเหล่านี้ปลอมเป็นบริษัทท้องถิ่นและบริษัทนานาชาติที่มีชื่อเสียงเพื่อขโมยข้อมูลรับรองและข้อมูลการชำระเงิน ภายหลังนักสืบสวนพบโดเมนมากกว่า 17,000 รายการที่ถูกใช้ร่วมกันระหว่าง CoGUI และชุดเครื่องมือที่เกี่ยวข้องชื่อ CoAceV และ CoFish_Ws

เทคนิคที่ถูกใช้ซ้ำในชุดเครื่องมือเหล่านี้คือ device-code phishing ซึ่งหลอกให้เหยื่ออนุมัติรหัสเข้าสู่ระบบบนหน้าล็อกอิน Microsoft ของจริง โทเคนที่ได้มานั้นมาจากบริการยืนยันตัวตนจริง ด้วยเหตุนี้จึงสามารถหลบเลี่ยงการป้องกันด้วยรหัสผ่านและ MFA แบบทั่วไปได้บางกรณี นี่คือเหตุผลที่การโจมตีรูปแบบนี้สมควรได้รับความสนใจเป็นพิเศษในการอบรมสร้างความตระหนักด้านความปลอดภัย

ปฏิบัติการทลายเครือข่ายฟิชชิ่ง Yam Store ทำอย่างไร

ภายใต้คำสั่งศาลแขวงสหรัฐฯ เขตใต้ของรัฐฟลอริดา Microsoft และ Health Information Sharing and Analysis Center (Health-ISAC) ได้ยึดและเปลี่ยนเส้นทางโดเมนที่สนับสนุน Yam Store, CoGUI และ Iron Man นอกจากนี้ Microsoft ยังปิดการใช้งานบัญชีมากกว่า 20,000 บัญชีที่เชื่อมโยงกับ Yam Store และบล็อกโดเมน 100,000 รายการที่ถูกใช้เพื่อปลอมตัวและฉ้อโกง ปฏิบัติการนี้มีหน่วยงานหลายฝ่ายเข้าร่วมด้วย ได้แก่

• หน่วยงานญี่ปุ่นและองค์กรแลกเปลี่ยนข้อมูล JC3
• Cloudflare และ Oracle ที่ช่วยรื้อถอนโครงสร้างพื้นฐาน
• Proofpoint ที่ให้ข้อมูลข่าวกรองภัยคุกคามจากแคมเปญก่อนหน้า
• TRM Labs ที่ช่วยสืบย้อนเส้นทางการเงิน

มีรายงานว่ายังมีการรื้อถอนโครงสร้างพื้นฐานเพิ่มเติมอยู่ ขณะที่การสืบสวนยังดำเนินต่อไป

สิ่งนี้หมายความว่าอย่างไรสำหรับธุรกิจของคุณ

การทลายเครือข่ายขนาดนี้สร้างความเสียหายต่อโครงสร้างพื้นฐานที่ยังทำงานอยู่ได้มาก แต่ไม่ได้ทำให้เทคนิคเบื้องหลังหายไป เทมเพลต เครื่องมือ และองค์ความรู้ของอาชญากรจะกลับมาปรากฏอีกครั้งภายใต้ชื่อใหม่ ต่อไปนี้เป็นขั้นตอนปฏิบัติที่ควรทบทวนในไตรมาสนี้

หากทีมของคุณกำลังประเมินความเสี่ยงในระบบอีเมล พื้นที่จัดเก็บข้อมูลบนคลาวด์ และขั้นตอนงานฝ่ายการเงิน ทีม บริการด้านความปลอดภัยไซเบอร์ ของเราสามารถช่วยตรวจสอบช่องโหว่ในการตั้งค่าได้ โดยไม่ด่วนสรุปสถานการณ์เลวร้ายที่สุดตั้งแต่แรก สำหรับบริษัทที่ใช้ Odoo ควบคู่กับ Microsoft 365 หรือ Google Workspace คำถามเรื่องการควบคุมสิทธิ์การเข้าถึงมักขยายเข้าไปถึงระดับ ERP ด้วย นี่เป็นเหตุผลที่เรามองการตรวจสอบการยืนยันตัวตนเป็นงานข้ามระบบ ไม่ใช่แค่เช็กลิสต์แพลตฟอร์มเดียว ในงานบริการ ดูแลระบบ Odoo ของเรา

ข้อจำกัดที่ควรพูดถึง

การยึดโดเมนและระงับบัญชีช่วยชะลอปฏิบัติการได้ แต่แทบไม่เคยกำจัดกลุ่มอาชญากรเบื้องหลังได้หมดจริง ผู้ที่สร้างและขายชุดเครื่องมือเหล่านี้สามารถสร้างโครงสร้างพื้นฐานใหม่ภายใต้แบรนด์ใหม่ได้ เทคนิคการสร้างองค์กรปลอมด้วยความช่วยเหลือของ AI ที่ระบุในรายงานบ่งชี้ว่ารูปแบบใหม่ในอนาคตอาจแยกแยะจากธุรกิจจริงได้ยากขึ้นไปอีกเมื่อมองผ่านตาเปล่า ควรมองการทลายเครือข่ายครั้งนี้เป็นเหตุผลให้เร่งกระชับการป้องกันของตัวเองตั้งแต่ตอนนี้ ไม่ใช่สัญญาณว่าภัยคุกคามผ่านพ้นไปแล้ว

หากธุรกิจของคุณจัดการข้อมูลการเงินหรือข้อมูลลูกค้าผ่าน Odoo ด้วย การทบทวนบริการเชื่อมต่อระบบ API ในภาพรวมอาจช่วยเผยช่องว่างด้านสิทธิ์การเข้าถึงที่คล้ายกันระหว่างระบบที่เชื่อมต่อกัน หากต้องการความเห็นที่สองเกี่ยวกับการตั้งค่าอีเมลและระบบยืนยันตัวตนปัจจุบันของคุณ หน้าติดต่อเรา คือช่องทางที่เร็วที่สุดในการติดต่อทีมงานของเราโดยตรง