Microsoft ตัด EvilTokens: PhaaS ขโมย inbox กว่า 12,000 บัญชี

ใช้ Microsoft 365 / Outlook งานอยู่ไหมครับ — เมื่อ 22 ก.ย. 2026 BleepingComputer รายงานว่า Microsoft Digital Crimes Unit (DCU) ประสาน Health-ISAC, ตำรวจ และ SpyCloud ขัดขวางแพลตฟอร์ม EvilTokens

สรุปสั้น ๆ (ไม่อธิบายวิธีโจมตี):

• เป็นบริการ phishing-as-a-service (PhaaS) ที่ Microsoft เรียกตัวแสดงเป็น Storm-2992
• โฟกัส device-code phishing — หลอกให้คุณกรอกรหัสบนหน้า login ของ Microsoft จริง จนได้โทเค็นแม้มี MFA แบบรหัสชั่วคราว
• กระทบ inbox กว่า 12,000 บัญชี ในองค์กรกว่า 10,000 แห่ง (รายงาน Microsoft) และถูกใช้ต่อเป็น BEC (หลอกโอนเงินผ่านอีเมลธุรกิจ)
• SpyCloud ระบุข้อมูลที่กู้คืนได้ครอบคลุมโดเมนองค์กรในหลายสิบประเทศ — ส่วนใหญ่เป็นอีเมลบริษัท ไม่ใช่คนทั่วไป
• มีผู้ต้องสงสัย 2 คนถูกจับในสหราชอาณาจักร (ปล่อยประกันระหว่างสอบสวน) — Microsoft ย้ำว่ายังไม่ใช่การถอนรากถอนโคนทั้งหมด และมีโคลนเช่น APToken

สิ่งที่คนใช้งานทุกวันทำได้ทันที: อย่ากดลิงก์แล้วกรอกรหัส device ที่ไม่ได้เริ่มจากเครื่องคุณเอง และถ้าองค์กรไม่จำเป็น ควรปิด device-code flow

Recap

• อ่านสรุปจากBleepingComputer
• อย่ากรอกรหัส device-code จากอีเมล/แชทที่ไม่คาดคิด
• ถามแอดมินว่าปิด device-code auth ได้หรือยัง และพิจารณา passkey / FIDO2
• เปิดแจ้งเตือน login แปลก + ตรวจกล่องส่งถ้าสงสัยโดน BEC