รัสเซียใช้การละเมิด OAuth ในแคมเปญฟิชชิงแบบเจาะจง

การตรวจจับของ Google เผยให้เห็นว่ากลุ่มสายสอดแนมไซเบอร์รัสเซีย 3 กลุ่มกำลังดำเนินแคมเปญฟิชชิงที่ผสมผสานการโจมตีแบบ OAuth abuse เพื่อเข้าถึงบัญชีผู้ใช้ในองค์กรด้านการศึกษา, aerospace, การป้องกันประเทศ และหน่วยงานรัฐบาลทั่วยุโรปและสหรัฐอเมริกา แม้จำนวนเป้าหมายต่อแคมเปญจะไม่เกิน 100 ราย และผู้เสียหายจริงน้อยกว่า 10 คน แต่เทคนิคที่ทำให้ดูเหมือนการยืนยันตัวตนอย่างเป็นทางการนั้นเพิ่มความเสี่ยงให้กับบุคลากรระดับสูงในภาคส่วนสำคัญหลายแห่ง

Overview

Google Threat Intelligence Group (GTIG) รายงานว่าการโจมตีเหล่านี้เริ่มตั้งแต่ปีที่ผ่านมาและยังคงดำเนินต่อเนื่องอยู่ โดยใช้วิธีการฟิชชิงที่อ้างว่าเป็นคำเชิญจากหน่วยงานระดับรัฐหรือองค์กรระหว่างประเทศ เพื่อหลอกให้ผู้รับส่ง URL หรือ “verification code” หลังจากล็อกอินกับผู้ให้บริการภายนอกอย่างถูกต้อง การให้ข้อมูลเหล่านี้ทำให้กลุ่มโจมตีสามารถเข้าถึงบัญชีของเป้าหมายได้โดยไม่ต้องกระทำการแฮกแบบดั้งเดิม

ตามที่นักวิเคราะห์ของ Google ชี้แจง “การใช้ OAuth phishing ทำให้ผู้เสียหายอาจไม่รับรู้ว่ากำลังถูกหลอกลวง เพราะขั้นตอนดูเหมือนเป็นการยืนยันตัวตนปกติ” ความจริงนี้ทำให้แคมเปญฟิชชิงที่มีขนาดเล็กแต่แม่นยำกลายเป็นภัยคุกคามต่อข้อมูลภายในขององค์กรสำคัญ

Campaign Tactics & OAuth Abuse

วิธีการหลักของแคมเปญคือการส่งอีเมลปลอมที่ดูเหมือนมาจาก US State Department หรือจากงานสัมมนาระดับนานาชาติ เช่น การเชิญเข้าร่วมการประชุม GLOBSEC ผู้รับจะถูกนำไปสู่หน้าเว็บควบคุมของผู้โจมตีซึ่งทำหน้าที่เป็น “verification portal” เพื่อขอรหัสยืนยันหรือ URL ที่ใช้ในการเชื่อมต่อ OAuth

เมื่อเป้าหมายกรอกข้อมูลดังกล่าว ระบบของผู้โจมตีจะได้รับ access token ซึ่งให้สิทธิ์เข้าถึงบัญชีอีเมล, Google หรือ Microsoft ของเหยื่อได้ในระยะยาว นอกจากนี้บางแคมเปญยังผนวกโค้ด JavaScript ที่ทำงานเมื่อผู้ใช้กด “join voice call” บน WhatsApp เพื่อบันทึกเสียงและวิดีโอแล้วส่งกลับไปยังเซิร์ฟเวอร์ของผู้โจมตี

การใช้เทคนิคเหล่านี้ช่วยให้แคมเปญดูเหมือนเป็นขั้นตอนการยืนยันตัวตนอันธรรมดา ทำให้ผู้รับอีเมลหลายคนไม่สงสัยถึงความผิดปกติและจึงเสี่ยงต่อการเปิดเผยข้อมูลสำคัญ

Group Profiles

• UNC6293 – ถูกระบุว่าเป็นส่วนหนึ่งของ **APT29 (Cozy Bear / Ice Relic) ที่เคยเกี่ยวข้องกับเหตุการณ์ SolarWinds 2020 กลุ่มนี้มักอ้างเป็นเจ้าหน้าที่รัฐสหรัฐเพื่อดึงรหัส OAuth จากเป้าหมาย โดยมีการดำเนินการตั้งแต่ปีที่ผ่านมาและเพิ่มรูปแบบฟิชชิงในเดือนมิถุนายน 2026 ด้วยการขอ “verification code” หลังจากล็อกอินสำเร็จ
• UNC7005 – มีความเชื่อมั่นระดับปานกลางว่าเป็นกลุ่มย่อยของ APT2 / Cozy Bear ซึ่งมุ่งเน้นที่บุคลากรด้านการศึกษา, การทูตและองค์กร NGO ในยูเครน, ยุโรปตะวันตก และสหรัฐอเมริกา แคมเปญของพวกเขามีความซับซ้อนต่ำกว่า UNC6293 แต่ใช้มัลแวร์เช่น infostealer และ keylogger ผ่านเครือข่าย Wi‑Fi สาธารณะ รวมถึงการฟิชชิงแบบ device‑code สำหรับบัญชี Microsoft และ WhatsApp
• UNC5976 – อีกหนึ่งกลุ่มที่ Google ระบุว่าเป็นผู้ต้องสงสัย โดยเริ่มทำกิจกรรม OAuth phishing ต่อบัญชี Google และ Microsoft ตั้งแต่เดือนสิงหาคม 2026 แม้ข้อมูลรายละเอียดเพิ่มเติมยังจำกัด แต่การปรากฏตัวของพวกเขาชี้ให้เห็นถึงการขยายวงกว้างของกลุ่มรัสเซียในการใช้ช่องทาง OAuth

โดยรวมแล้ว กลุ่มเหล่านี้แสดงลักษณะการทำงานที่แตกต่างกันในระดับความซับซ้อนและวิธีการจัดหาเครื่องมือ แต่ทั้งหมดมุ่งเน้นไปยังผู้มีอิทธิพลและข้อมูลสำคัญ

Technical Details of Phishing Operations

การโจมตีของ UNC6293 ใช้ขั้นตอน “OAuth phishing” ที่เรียกให้เป้าหมายแชร์ URL หรือรหัสยืนยันหลังจากทำการล็อกอินกับผู้ให้บริการภายนอกแล้ว การส่งรหัสนี้จะเปิดทางให้กลุ่มได้รับสิทธิ์เข้าถึงข้อมูลอีเมลและไฟล์แนบต่าง ๆ ของเหยื่ออย่างต่อเนื่อง

สำหรับ UNC7005 มีการผสานการใช้ “device‑code phishing” กับแอปพลิเคชัน Microsoft และ WhatsApp โดยผู้รับจะถูกกระตุ้นให้คลิกลิงก์ที่นำไปสู่หน้าเว็บปลอมซึ่งบันทึกข้อมูลระบบของเหยื่อและทำการดาวน์โหลดมัลแวร์ เช่น infostealer หรือ keylogger ผ่านเครือข่าย Wi‑Fi สาธารณะ

ในบางกรณี แคมเปญได้ใช้เทคนิค “voice call phishing” บน WhatsApp ที่เมื่อผู้ใช้ตอบรับเข้าร่วมสายเสียง โค้ด JavaScript ภายในหน้าเว็บจะทำการบันทึกภาพและเสียงของอุปกรณ์ แล้วส่งข้อมูลเหล่านั้นไปยังเซิร์ฟเวอร์ C2 ของกลุ่ม นอกจากนี้แคมเปญล่าสุดที่เกี่ยวกับ “Summit Companion App” ยังหลอกให้ผู้ใช้ดาวน์โหลดไฟล์ติดตั้งซึ่งเป็น infostealer สำหรับ macOS และ Windows

การผสานเทคนิคหลายรูปแบบนี้ทำให้การตรวจจับโดยระบบป้องกันแบบดั้งเดิมยากขึ้น เนื่องจากบางขั้นตอนเกิดขึ้นภายหลังการล็อกอินที่ถือว่า “ปลอดภัย”

Impact & Mitigation

แม้จำนวนผู้เสียหายในแต่ละแคมเปญจะไม่สูง แต่กลุ่มเป้าหมายส่วนใหญ่เป็นบุคลากรระดับสูงในหน่วยงานรัฐบาล, NGO, สถาบันวิจัยและอุตสาหกรรม aerospace ซึ่งข้อมูลที่ได้จากการเข้าถึงบัญชีเหล่านี้อาจนำไปใช้ในการวางแผนยุทธศาสตร์หรือดำเนินการสอดแนมเชิงลึกต่อโครงการสำคัญ

Google เน้นย้ำว่าการรับรู้ถึงรูปแบบฟิชชิงใหม่ ๆ เช่น OAuth abuse เป็นก้าวแรกของการป้องกัน ผู้จัดการความปลอดภัยควรตรวจสอบว่าองค์กรมีนโยบายตรวจสอบ “verification code” หรือ URL ที่ได้รับจากอีเมลก่อนดำเนินการใด ๆ และควรฝึกอบรมผู้ใช้ให้สงสัยต่อคำเชิญที่ดูเหมือนมาจากหน่วยงานรัฐหรือการประชุมระดับนานาชาติ

นอกจากนี้ การตั้งค่า MFA (Multi‑Factor Authentication) ที่ไม่พึ่งพาเพียงแค่ OAuth token, การตรวจสอบกิจกรรมล็อกอินจากอุปกรณ์ใหม่และการใช้ระบบป้องกัน phishing บนอีเมล จะช่วยลดความเสี่ยงต่อการตกเป็นเหยื่อของกลุ่มเหล่านี้ได้อย่างมีประสิทธิภาพ

Summary

Google รายงานว่ากลุ่มสายสอดแนมรัสเซียสามกลุ่มกำลังใช้ OAuth abuse ในแคมเปญฟิชชิงที่มุ่งเน้นบุคลากรระดับสูงในยุโรปและสหรัฐอเมริกา แม้จำนวนเป้าหมายจะจำกัด แต่เทคนิคใหม่ทำให้การตรวจจับยากขึ้น ผู้ใช้งานควรเพิ่มความระมัดระวังต่อคำเชิญออนไลน์และใช้มาตรการตรวจสอบหลายขั้นตอนเพื่อป้องกันการเข้าถึงข้อมูลสำคัญ.