Phishing บนมือถือ เจาะจุดอ่อนผู้บริหารในยุคดิจิทัล

อาชญากรไซเบอร์ใช้มือถือ: ผู้บริหารตกเป็นเป้าหมายในแคมเปญฟิชชิ่งขั้นสูง

รายงานล่าสุดชี้ให้เห็นถึงความเสี่ยงที่เพิ่มขึ้นของการโจมตีฟิชชิ่งขั้นสูง โดยเฉพาะกับผู้บริหารองค์กร ผู้โจมตีใช้วิธีการหลีกเลี่ยงที่ซับซ้อนและเจาะจงเป้าหมายเพื่อแทรกซึมเข้าสู่อุปกรณ์มือถือ ซึ่งถือเป็นการพัฒนาที่น่ากังวลในภูมิทัศน์ภัยคุกคามไซเบอร์ที่ซับซ้อนมากขึ้น

ฟิชชิ่งแบบเจาะจงเป้าหมาย
Santiago Rodriguez หัวหน้าทีมฟิชชิ่งจาก Zimperium เผยว่า ในช่วงไม่กี่เดือนที่ผ่านมา การโจมตีฟิชชิ่งที่มุ่งเป้าไปที่ผู้บริหารองค์กรโดยตรงเริ่มมีความซับซ้อนมากขึ้น โดยเฉพาะการปลอมแปลงเป็นแพลตฟอร์มธุรกิจที่น่าเชื่อถือ เช่น DocuSign เพื่อหลอกให้เปิดเผยข้อมูลสำคัญ

“ ในช่วงไม่กี่เดือนที่ผ่านมา องค์กรต่างๆ ได้สังเกตเห็นรูปแบบของการพยายามฟิชชิ่งแบบเจาะจงที่มุ่งเป้าไปที่ผู้บริหาร โดยบางรายมุ่งเป้าไปที่อุปกรณ์มือถือโดยเฉพาะ ” โรดริเกซเขียนไว้ในรายงานของเขา “ การโจมตีเหล่านี้แสดงให้เห็นถึงความซับซ้อนของวิศวกรรมสังคม โดยผู้คุกคามแอบอ้างเป็นแพลตฟอร์มธุรกิจที่เชื่อถือได้และการสื่อสารภายใน และใช้ประโยชน์จากคุณสมบัติของอุปกรณ์มือถือเพื่อปรับปรุงประสิทธิภาพของการโจมตี ”

ที่มา: zLabs

ตัวอย่างแคมเปญหนึ่งเริ่มด้วยอีเมลปลอมที่เร่งรัดให้ตรวจสอบเอกสารสำคัญ พร้อมลิงก์ฟิชชิ่งที่พาผู้ใช้ผ่านโครงสร้างหลายขั้นตอนเพื่อเลี่ยงการตรวจจับ โดยเน้นเป้าหมายที่ผู้ใช้มือถือเป็นหลัก กระบวนการนี้รวมถึง:

1. การส่งมอบเบื้องต้น: ผู้โจมตีใช้โดเมนที่ถูกต้องตามกฎหมาย เช่น clickme[.]thryv[.]com เพื่อปกปิดที่มาของความพยายามฟิชชิ่ง
2. การเปลี่ยนเส้นทางผ่านเว็บไซต์ที่เชื่อถือได้: เว็บไซต์ของมหาวิทยาลัยที่ถูกบุกรุกเพิ่มความน่าเชื่อถือ โดยใช้ประโยชน์จากชื่อเสียงของโดเมนเพื่อหลีกเลี่ยงการตรวจจับ
3. เทคนิคการหลีกเลี่ยงขั้นสูง: การยืนยัน CAPTCHA และการระบุลายนิ้วมืออุปกรณ์ ทำให้มั่นใจว่าเป้าหมายเป็นผู้ใช้มือถือเท่านั้น ในขณะที่ผู้ใช้เดสก์ท็อปจะถูกเปลี่ยนเส้นทางไปยังโดเมนของ Google ที่ถูกต้อง
4. เพย์โหลดเฉพาะมือถือ: ผู้ใช้มือถือจะได้รับหน้าลงชื่อเข้าใช้ Google ที่โคลนมา ซึ่งออกแบบมาเพื่อขโมยข้อมูลประจำตัว

การใช้ PDF ในการโจมตี
ผู้โจมตียังใช้วิธีฝังลิงก์อันตรายในเอกสาร PDF ที่เลียนแบบเวิร์กโฟลว์ของ DocuSign เพื่อหลีกเลี่ยงระบบสแกน URL แบบดั้งเดิม และสร้างความน่าเชื่อถือจากเอกสาร PDF

คำเตือนถึงองค์กร
Rodriguez เน้นย้ำว่า อุปกรณ์มือถือส่วนใหญ่ยังคงเป็นจุดอ่อนสำคัญในระบบรักษาความปลอดภัย และผู้โจมตีเริ่มพัฒนาโครงสร้างพื้นฐานที่ซับซ้อนเพื่อใช้ประโยชน์จากช่องโหว่เหล่านี้

องค์กรควรให้ความสำคัญกับการเสริมความปลอดภัยของอุปกรณ์มือถือ รวมถึงเพิ่มการตรวจสอบการเข้าถึงและให้ความรู้แก่พนักงานเกี่ยวกับภัยฟิชชิ่งรูปแบบใหม่ที่เน้นอุปกรณ์พกพา

ข้อมูลจาก https://securityonline.info/cybercriminals-go-mobile-executives-targeted-in-advanced-phishing-campaigns/