ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามสถานการณ์ภัยคุกคามทางไซเบอร์ พบแพลตฟอร์ม Phishing-as-a-Service (PhaaS) ชื่อ AnonyMousKIT ที่ถูกพัฒนาขึ้นเพื่อช่วยเหลือกลุ่มอาชญากรไซเบอร์ในการปลดล็อกอุปกรณ์ iPhone ที่ถูกขโมย โดยใช้ AI Voice Agent ปลอมเป็นเจ้าหน้าที่สนับสนุนของ Apple เพื่อหลอกให้เจ้าของอุปกรณ์เปิดเผยรหัสปลดล็อกเครื่อง (Passcode) ข้อมูล Apple Account และรหัสยืนยันตัวตนแบบสองขั้นตอน (2FA Code) ส่งผลให้ผู้โจมตีสามารถปิดการทำงานของ Activation Lock เข้าถึงข้อมูลใน iCloud และนำอุปกรณ์ไปจำหน่ายต่อได้ จึงขอแนะนำให้ผู้ใช้งานและหน่วยงานที่มีการใช้งานอุปกรณ์ Apple เพิ่มความระมัดระวังต่อการหลอกลวงในลักษณะดังกล่าว [1]
1. รายละเอียดภัยคุกคาม
AnonyMousKIT เป็นแพลตฟอร์ม Phishing-as-a-Service (PhaaS) ที่ให้บริการเครื่องมือสำหรับกลุ่มอาชญากรไซเบอร์ โดยมีเป้าหมายหลักคือการเข้าถึงข้อมูลสำหรับปลดล็อก iPhone ที่ถูกขโมยและหลีกเลี่ยงระบบ Activation Lock ของ Apple แพลตฟอร์มดังกล่าวมีการดำเนินงานมาตั้งแต่ช่วงต้นปี 2024 และมีโครงสร้างขนาดใหญ่ ประกอบด้วยโดเมนที่เกี่ยวข้องประมาณ 506 โดเมน และร้านค้าหรือแบรนด์ตัวแทนจำหน่ายบริการประมาณ 168 แห่ง ซึ่งแสดงให้เห็นถึงรูปแบบการให้บริการอาชญากรรมไซเบอร์แบบเป็นระบบโดยใช้ข้อมูลจากอุปกรณ์ที่ถูกเปิดใช้งานโหมด Lost Mode ผ่านบริการ Find My ของ Apple เช่น ข้อมูลติดต่อของเจ้าของเครื่อง เพื่อนำมาใช้เป็นข้อมูลประกอบการหลอกลวงผ่านช่องทางต่าง ๆ ได้แก่ E-mail, SMS, WhatsApp และโทรศัพท์เสียงอัตโนมัติด้วย AI โดยผู้โจมตีจะปลอมเป็นเจ้าหน้าที่สนับสนุนของ Apple และแจ้งว่าอุปกรณ์ที่สูญหายถูกค้นพบแล้ว พร้อมแนบรายละเอียดที่ถูกต้อง เช่น รุ่นอุปกรณ์และหมายเลข IMEI เพื่อสร้างความน่าเชื่อถือ ก่อนนำผู้ใช้งานเข้าสู่เว็บไซต์ปลอมที่เลียนแบบหน้า Find My หรือ Apple Account เพื่อขโมยข้อมูลสำคัญ [2]
2. รูปแบบการโจมตี
2.1 ใช้ AI Voice Agent ปลอมเป็นเจ้าหน้าที่ Apple Support ผู้โจมตีใช้ระบบเสียง AI สร้างตัวตนปลอม เช่น “Alice from Apple Support” เพื่อโทรศัพท์หาเหยื่อ โดยอ้างว่าอุปกรณ์ของเหยื่อถูกพบหรือมีบุคคลพยายามปลดล็อกเครื่อง และต้องยืนยันความเป็นเจ้าของหลอกให้เหยื่อแจ้งข้อมูล เช่น รหัสปลดล็อก iPhone (Device Passcode), Apple Account, และรหัสยืนยันตัวตนสองขั้นตอน (2FA Code)
2.2 หลอกผ่านเว็บไซต์ปลอม (Phishing Website) เหยื่อจะถูกส่งไปยังเว็บไซต์ปลอมที่มีลักษณะคล้ายเว็บไซต์ของ Apple หรือ Find My เพื่อกรอกข้อมูลบัญชีผู้ใช้งาน ได้แก่ Apple ID / Apple Account, รหัสผ่าน, Device Passcode, และTwo-Factor Authentication Code
2.3 ปลด Activation Lock และนำเครื่องกลับมาใช้งาน เมื่อผู้โจมตีได้รับข้อมูลดังกล่าว จะสามารถปลด Activation Lock, ลบข้อมูลและรีเซ็ตเครื่อง, นำอุปกรณ์ไปจำหน่ายต่อ, และเข้าถึงข้อมูลสำรองบน iCloud
3. ระบบและข้อมูลที่ได้รับผลกระทบ
3.1 Apple iPhone ที่ถูกขโมยหรือสูญหาย
3.2 ข้อมูลที่สำรองบน iCloud (iCloud Backup)
4. แนวทางป้องกันและลดความเสี่ยง
4.1 ห้ามเปิดเผยรหัสปลดล็อก iPhone (Passcode) ให้บุคคลอื่นทราบ ไม่ว่าจะอ้างเป็น Apple Support หรือเจ้าหน้าที่จากหน่วยงานใด
4.2 Apple จะไม่ขอให้ผู้ใช้งานแจ้ง Device Passcode, Apple Account, Password 2FA Code
4.3 หากได้รับข้อความหรือสายโทรศัพท์แจ้งว่าอุปกรณ์สูญหายถูกค้นพบ ให้ตรวจสอบผ่านช่องทาง Apple Support อย่างเป็นทางการเท่านั้น
4.4 หลีกเลี่ยงการคลิกลิงก์จาก SMS อีเมล หรือข้อความที่อ้างว่าเกี่ยวข้องกับอุปกรณ์ที่สูญหาย
4.5 หากสงสัยว่าข้อมูล Apple Account ถูกเปิดเผย ควรเปลี่ยนรหัสผ่านทันที และตรวจสอบอุปกรณ์ที่เชื่อมต่อกับบัญชี
แหล่งอ้างอิง
[1] https://dg.th/gslb2hcrp6
[2] https://dg.th/dwjrs62gm8