626/69 (IT) ประจำวันศุกร์ที่ 13 พฤศจิกายน 2569
บริษัท Cybersecurity ชื่อ Island เปิดเผยรายงานการโจมตีทางไซเบอร์ที่พบผู้โจมตีใช้โดเมนปลอมจำนวน 186 โดเมน เลียนแบบชื่อเว็บไซต์และบริการ Artificial Intelligence (AI) รวม 27 แบรนด์ เพื่อหลอกลวงผู้ใช้งานที่พิมพ์ชื่อเว็บไซต์ผิดหรือเข้าถึงโดเมนที่มีลักษณะคล้ายกับเว็บไซต์จริง โดยแคมเปญดังกล่าวถูกตั้งชื่อว่า TypoPrompting ซึ่งมุ่งเป้าไปยังผู้ใช้งานบริการ AI ยอดนิยม เช่น ChatGPT, Claude, Google Gemini, Microsoft Copilot, Grok, DeepSeek, Perplexity, Midjourney และ Cursor เป็นต้น ทั้งนี้ ผู้โจมตีใช้เทคนิค Typosquatting เพื่อเปลี่ยนเส้นทางผู้ใช้งานไปยังเว็บไซต์อันตราย โดยพบรูปแบบการโจมตีหลัก 3 ลักษณะ ได้แก่ การหลอกให้รันคำสั่งผ่านเทคนิค ClickFix การหลอกติดตั้ง Malware ที่สามารถเปลี่ยนแปลงการตั้งค่า Browser และการเผยแพร่ Browser Extension ที่เปลี่ยนเส้นทางการค้นหาของผู้ใช้งานไปยัง Search Engine ที่ผู้โจมตีกำหนด ซึ่งอาจทำให้ข้อมูลการค้นหาและข้อมูลสำคัญขององค์กรถูกส่งต่อไปยังบุคคลภายนอกโดยไม่ได้รับอนุญาต
จากการวิเคราะห์ของ Island พบว่ารูปแบบการโจมตีผ่าน ClickFix เริ่มจากการเปลี่ยนเส้นทางผู้ใช้งานผ่านเว็บไซต์หลายแห่ง พร้อมตรวจสอบข้อมูล Browser และ Public IP Address ก่อนแสดงหน้า Cloudflare Verification ปลอม เพื่อหลอกให้ผู้ใช้งานคัดลอกและรันคำสั่ง PowerShell บน Windows หรือ Shell Command บน macOS รวมถึงอาจนำผู้ใช้งานไปยังหน้าดาวน์โหลดไฟล์ Archive ที่มีคำแนะนำให้แตกไฟล์และเปิดใช้งาน Executable File โดยพบว่าโครงสร้างพื้นฐานที่ใช้ตรวจสอบข้อมูลผู้เข้าชมครอบคลุมโดเมนเริ่มต้นกว่า 211 โดเมน ซึ่งรวมถึงเว็บไซต์ปลอมเลียนแบบธนาคาร บริษัทประกันภัย และบริการ Enterprise Software นอกจากนี้ ยังพบโดเมนปลอมจำนวน 8 โดเมนที่เลียนแบบบริการ AI เช่น Claude, DeepSeek, Copilot และ ElevenLabs เพื่อเปลี่ยนเส้นทางไปยังหน้า Security Check ปลอมและหลอกติดตั้งโปรแกรม Net Guard ซึ่งอ้างว่าเป็นเครื่องมือสำหรับตรวจสอบความปลอดภัยของ Wi-Fi และ DNS แต่พบความสามารถในการรัน JavaScript ที่ผู้โจมตีควบคุม เปลี่ยน Default Search Engine แก้ไข Browser Profile และติดตั้ง Chrome Extension เพิ่มเติมได้ โดยการตรวจสอบยังพบว่าไฟล์ MSIX ของโปรแกรมดังกล่าวมี Hash ตรงกับแอปพลิเคชัน Net Guard ที่มีอยู่จริงบน Microsoft Store
นอกจากนี้ Island ยังพบว่าโดเมนปลอม preplexity[.]ai ซึ่งเลียนแบบบริการ Perplexity ถูกใช้เปลี่ยนเส้นทางผู้ใช้งานไปยังส่วนขยาย Browser ชื่อ Quick Search ที่เผยแพร่อยู่บน Chrome Web Store โดยส่วนขยายดังกล่าวสามารถเปลี่ยน Default Search Provider ไปยัง find.flashysearches[.]com ผ่านการกำหนดค่าใน Extension Manifest โดยไม่จำเป็นต้องใช้ Executable JavaScript หรือร้องขอ Permission เพิ่มเติม ส่งผลให้คำค้นหาของผู้ใช้งานถูกส่งไปยังผู้ให้บริการภายนอก ซึ่งอาจรวมถึงข้อมูลภายในองค์กร เช่น Internal Hostname ชื่อลูกค้า และรายละเอียดโครงการ ทั้งนี้ นักวิจัยพบ Browser Extension ที่เกี่ยวข้องกับรูปแบบดังกล่าวจำนวน 16 รายการ รวมถึง GPT for Chrome ซึ่งแสดงจำนวนผู้ใช้งานประมาณ 80,000 ราย โดยส่วนขยายทั้งหมดมีจำนวนผู้ใช้งานที่ระบุไว้รวมประมาณ 972,000 ราย ณ วันที่ 3 พฤศจิกายน 2569 อย่างไรก็ตาม ตัวเลขดังกล่าวไม่ได้หมายความว่าผู้ใช้งานทั้งหมดถูกขโมยข้อมูลแล้ว เหตุการณ์นี้สะท้อนถึงความเสี่ยงจากการใช้โดเมนปลอมเลียนแบบบริการ AI เพื่อเผยแพร่ Malware และเปลี่ยนเส้นทางการค้นหา โดยผู้ใช้งานควรตรวจสอบ URL ก่อนเข้าถึงบริการ AI หลีกเลี่ยงการรันคำสั่งจากหน้า Verification ที่ไม่น่าเชื่อถือ และตรวจสอบความน่าเชื่อถือของ Browser Extension ก่อนติดตั้ง ขณะที่องค์กรควรกำหนดช่องทางการเข้าถึงบริการ AI ที่ได้รับอนุญาตเพื่อลดความเสี่ยงจากการโจมตีดังกล่าว
แหล่งข่าว : https://thehackernews.com/2026/11/186-fake-ai-domains-redirect-users-to.html