พบแคมเปญฟิชชิ่งธนาคารใช้หน้า Suspended ปลอมตบตาเจ้าหน้าที่

ผู้ไม่หวังดีกำลังใช้กลยุทธ์สร้างการแจ้งเตือน 'suspended account' ปลอมเพื่อซ่อนเนื้อหาฟิชชิ่งจากผู้ที่กลับมาเข้าชมเว็บไซต์ธนาคารปลอมซ้ำ ตามรายงานล่าสุดจากบริษัทความปลอดภัยทางไซเบอร์ Kela

แคมเปญนี้เริ่มปฏิบัติการมาตั้งแต่เดือนพฤษภาคม โดยพบการใช้โดเมนปลอมมากกว่า 300 โดเมน ซึ่งรวมถึง 248 โดเมนที่แอบอ้างเป็นสถาบันการเงินในสหรัฐฯ 189 แห่ง ทั้งนี้โดเมนยุคแรกถูกจดทะเบียนในช่วงปลายปี 2025 แต่ส่วนใหญ่เริ่มปรากฏขึ้นอย่างหนาตาในช่วงเดือนกรกฎาคมถึงกันยายน 2026

ข้อมูล ณ วันที่ 25 ตุลาคม ระบุว่ามีองค์กรที่ตกเป็นเป้าหมาย 183 แห่งที่ยังมีเว็บไซต์เลียนแบบเปิดใช้งานอยู่ โดยส่วนใหญ่เน้นไปที่ธนาคารระดับภูมิภาคขนาดกลาง และเมื่อสัปดาห์ที่ผ่านมายังตรวจพบการจดโดเมนใหม่เพิ่มขึ้นอีก 49 โดเมน

"สิ่งที่เชื่อมโยงพวกมันเข้าด้วยกันคือกลไกจดจำ IP address ของผู้เข้าชมทุกคน โดยการเข้าชมครั้งแรกจะแสดงหน้าล็อกอินของธนาคารตามปกติ แต่หากมีการเข้าชมซ้ำ ระบบจะแสดงหน้าเว็บที่ดูเหมือนบัญชีโฮสติ้งถูกปิดไปแล้ว เราเรียกคลัสเตอร์นี้ว่าโครงสร้างพื้นฐาน Suspended" Kela ระบุ

โดเมนส่วนใหญ่มีรูปแบบการตั้งชื่อที่คล้ายกัน โดยมักใช้คำสำคัญอย่าง 'secure', 'disable', 'protect', 'cancel', 'authorize', 'terminate', 'credentials' หรือ 'commercial' เชื่อมด้วยเครื่องหมายยติภังค์ (-) ตามด้วยชื่อธนาคารเป้าหมาย

นอกจากนี้ Kela ยังพบกลุ่มที่กำลังเติบโตซึ่งใช้ชื่อเกี่ยวกับ help-desk, live-support, treasury-portal และ 'primary device' โดยประมาณครึ่งหนึ่งของโดเมนที่เปิดใหม่ในสัปดาห์วันที่ 25 ตุลาคม ใช้เทมเพลตเหล่านี้ รวมถึงหน้าเลียนแบบฝ่ายสนับสนุนของ JPMorgan, Citi, BMO และ Santander

แม้จะยังไม่ทราบแน่ชัดว่าเหยื่อถูกล่อลวงมายังหน้าเว็บได้อย่างไร แต่พบว่าแคมเปญนี้เน้นเป้าหมายไปที่กลุ่มธุรกิจ (business banking) และการบริหารเงิน (treasury) มากกว่าบัญชีบุคคลทั่วไป โดยหน้าเว็บจะหลอกขอ user ID และ password พร้อมแสดง reCAPTCHA เพื่อความสมจริง

ตัวหน้าเว็บมีการตั้งชื่อแท็บว่า "Attention required" เพื่อเลียนแบบหน้า challenge ของ Cloudflare และมีการฝังสคริปต์เพื่อบล็อก developer tools ของเบราว์เซอร์ไม่ให้ตรวจสอบโค้ดได้ง่ายๆ

หัวใจสำคัญของเทคนิคนี้คือหน้า 'This account has been suspended' ซึ่งคัดลอกมาจากการแจ้งเตือนจริงของโฮสติ้ง เพื่อหลอกเจ้าหน้าที่ที่มีหน้าที่สั่งปิดเว็บไซต์ (takedown provider) เนื่องจากปกติเหยื่อจะเข้าลิงก์เพียงครั้งเดียว แต่เจ้าหน้าที่ตรวจสอบมักจะเข้าซ้ำเพื่อยืนยันการปิดไซต์ ซึ่งจะทำให้เห็นหน้าปลอมและเข้าใจผิดว่าโดเมนนั้นถูกระงับไปแล้ว

โดเมนเหล่านี้ส่วนใหญ่ใช้งานผ่าน Cloudflare แต่มีบางช่วงที่เผย IP ของเซิร์ฟเวอร์จริงออกมา ทำให้ Kela สามารถสืบทราบได้ว่าแคมเปญนี้ยังขยายวงกว้างไปถึงเหยื่อในสหราชอาณาจักร ออสเตรเลีย และนิวซีแลนด์ด้วย

Kela สรุปปัจจัย 4 ประการที่ทำให้โครงสร้างพื้นฐานนี้หยุดยั้งได้ยาก ได้แก่ สูตรการตั้งชื่อที่ทำซ้ำได้ง่าย, การใช้ Cloudflare อำพรางที่ตั้ง, ชุดเครื่องมือแสดงหน้าจอ 'suspended' ปลอมเพื่อหลบเลี่ยงการตรวจสอบ และการใช้เซิร์ฟเวอร์ร่วมกันซึ่งมีความคงทนสูงกว่าตัวโดเมนเดี่ยวๆ