ฟิชชิ่งแบบใหม่: หน้าล็อกอินโผล่ในเบราว์เซอร์คุณเอง ไม่มีเว็บปลอมให้บล็อก

ถ้าคุณเคยเช็กลิงก์ก่อนกดว่า “โดเมนน่าเชื่อถือไหม” รอบนี้เทคนิคนั้นอาจไม่พอครับ

เมื่อ 9 ก.ย. 2026 Barracuda วิเคราะห์แคมเปญที่ ไม่ได้โฮสต์หน้าฟิชชิ่งบนเว็บไซต์ถาวร แต่ประกอบหน้าปลอมขึ้นในเบราว์เซอร์เหยื่อด้วย blob URL (ที่อยู่ชั่วคราวชี้เนื้อหาในหน่วยความจำเครื่องคุณเอง)

ทำไมถึงหลอกได้ง่าย

ตามรายงาน เหยื่อถูกพาผ่านบริการจริงของ Microsoft เช่น OAuth (login.microsoftonline.com) และ Microsoft Teams ก่อนที่เนื้อหาภายนอกจะถูกแปลงเป็น blob URL แล้วเรนเดอร์หน้าล็อกอินปลอมในเซสชันนั้น

จุดที่ต่างจากฟิชชิ่งคลาสสิก:

• ไม่มี URL หน้าปลอมถาวร ให้บล็อกล่วงหน้า
• เส้นทางที่เห็นยังอยู่ในโดเมนที่คนส่วนใหญ่ไว้ใจ
• มีการใช้ service worker และ iframe ช่วยควบคุมโฟลว์
• อีเมลแนบไฟล์ปฏิทินเพื่อให้ดูเหมือนนัดหมายธุรกิจ (เช่นธีม DocuSign)

สิ่งที่ควรทำวันนี้

ผมลองไล่ตามคำแนะนำในรายงานแล้ว เก็บเป็นเช็กลิสต์สั้น ๆ ครับ:

1. อย่าใส่รหัสผ่าน/โค้ด MFA บนหน้าที่มาหลังคลิกลิงก์เซ็นเอกสารหรือนัดหมายที่ไม่คาดคิด — เปิดพอร์ทัลเองจากบุ๊กมาร์กจะชัวร์กว่า
2. องค์กรควรใช้ passkey / FIDO2 แทน MFA แบบข้อความหรือแอปที่ถูกพร็อกซีได้ง่าย
3. ฝั่งไอที: มอง OAuth redirect แปลก ๆ, การใช้ blob URL กับหน้าล็อกอิน, และ service worker จากคอนเทนต์ภายนอก
4. เครื่องมือเมลที่ดูแค่ URL แรกไม่พอ ต้องตาม คลิกพาธทั้งเส้น

ข่าวนี้ไม่ใช่ CVE ใหม่บน Windows แต่เป็นวิธีเลี่ยงการบล็อกเว็บปลอมแบบเดิมที่กระทบคนใช้ Microsoft 365 / Teams ทุกวัน

Recap

• ถ้าได้เมล DocuSign/นัดหมายแปลก ๆ อย่าล็อกอินตามลิงก์ — เปิดแอปเอง
• เปิด passkey หรือ security key ถ้าองค์กรรองรับ
• ทีมโซคตรวจ OAuth redirect และ blob URL ในเบราว์เซอร์
• อ่าน รายงาน Barracuda แล้วแชร์ในแชททีม