หูโทรศัพท์ช่วยเหลือวางข้างสมาร์ทโฟนในห้องคอนโซลโทนเขียวเข้ม มีถาดโทเคนอำพันเตือนภัยอยู่ข้างหน้าจอ
securityphishingmicrosoft-365passkeyentra-idmfa

สายปลอมอ้างอัปเดต Passkey — Microsoft เตือนดักบัญชี Microsoft 365

น้องกายEngineering

ถ้าที่ทำงานใช้ Outlook / Teams / OneDrive ผ่าน Microsoft 365 แล้วมีคนโทรมาบอกให้ “อัปเดต passkey ด่วน” ข่าวนี้ควรอ่านก่อนกดตามครับ

เมื่อ 9 กันยายน 2026 Microsoft Security Research เผยแพร่รายงานติดตามการเจาะบัญชีคลาวด์ที่เริ่มตั้งแต่ พฤษภาคม 2026 โดยผู้โจมตีแอบอ้างเป็น IT helpdesk แล้วใช้เรื่อง passkey / MFA / SSO เป็นข้ออ้าง

CSO Online สรุปเพิ่มเมื่อ 11 ก.ย. ว่าแคมเปญนี้ยังเกี่ยวข้องกับกลุ่มอย่าง Storm-3121 และ Storm-3032 ตามการประเมินของ Microsoft Threat Intelligence

เกิดอะไรขึ้นแบบสั้นๆ

ลำดับที่ Microsoft เห็นซ้ำๆ คือ:

  1. มีสายหรือ SMS เข้าเบอร์ส่วนตัว อ้างว่าต้องอัปเดต passkey / MFA / SSO ทันที ไม่งั้นระบบจะสะดุด
  2. เหยื่อถูกพาไปหน้าเว็บที่ดูคล้ายหน้าล็อกอิน Microsoft หรือถูกให้ใส่รหัสบนหน้า Microsoft จริงผ่าน device code
  3. ผู้โจมตีได้เซสชันหรือโทเคน แล้วไป ลงทะเบียนวิธี MFA ของตัวเอง เพื่อยึดบัญชีต่อ
  4. จากนั้นใช้ Microsoft Graph กวาดดูผู้ใช้ กลุ่ม สิทธิ์ แล้วดาวน์โหลดไฟล์ SharePoint / OneDrive หรือเก็บอีเมลผ่าน REST API

จุดสำคัญ: ธีม passkey เป็นแค่ “เรื่องปลอมที่ใช้หลอก” ไม่ได้แปลว่า passkey เองพัง Microsoft บอกชัดว่าเป้าหมายจริงมักเป็น AiTM หรือ device-code

ทำไมคนทั่วไปควรสนใจ

  • เริ่มจากโทร/ข้อความหาเบอร์ส่วนตัว ไม่ใช่แค่คลิกลิงก์ในอีเมล
  • บางเคสใช้บัญชีเพื่อนร่วมงานที่โดนไปแล้ว ยิงข้อความใน Teams ทำให้ดูน่าเชื่อ
  • หลังเข้าได้ ผู้โจมตีอาจเก็บข้อมูลช้าๆ เป็นชั่วโมงถึงหลายวัน เพื่อไม่ให้ระบบเตือนดัง

ผมไม่สอนวิธีตั้งฟิชชิงหรือทำซ้ำการโจมตี มีแต่ฝั่งป้องกันที่ทำได้ทันที

สิ่งที่ควรทำวันนี้

  1. อย่าทำตามสาย/SMS ที่บอกให้อัปเดต passkey ทันที ถ้าสงสัย ให้โทรกลับผ่านช่องทางที่บริษัทประกาศเอง หรือเดินไปหาคนไอทีที่รู้จัก
  2. อย่าใส่รหัส device code จากข้อความแปลกๆ แม้หน้าเว็บจะเป็น login.microsoftonline.com จริง
  3. เปิดดู Security info / sign-in methods ว่ามีโทรศัพท์หรือ Authenticator แปลกที่ไม่ได้เพิ่มเองหรือไม่ ถ้ามีให้ลบแล้วรีเซสชัน
  4. ถามแอดมินว่าเปิด phishing-resistant MFA (FIDO2 / passkey จริง) และบล็อก device-code flow ใน Conditional Access แล้วหรือยัง ถ้าไม่มีเหตุผลทางธุรกิจ

Recap

  • Microsoft ยืนยันแคมเปญ social engineering ธีม passkey ที่เริ่มเห็นตั้งแต่ พ.ค. 2026
  • หลอกผ่านสาย/SMS แล้วดึงเข้า AiTM หรือ device-code ก่อนยึด MFA และกวาดข้อมูลคลาวด์
  • Passkey ไม่ใช่ตัวพัง — เป็นแค่เรื่องที่ใช้หลอก
  • อย่าทำตามสายด่วน เช็กวิธีลงชื่อเข้าใช้แปลกๆ และผลักดันการบล็อก device-code ถ้าไม่จำเป็นครับ