ภัยเงียบ Wi-Fi โรงแรม ระวังกลุ่มแฮกเกอร์รัสเซียขโมยรหัสผ่านและฝังมัลแวร์
การเชื่อมต่ออินเทอร์เน็ตในโรงแรมหรือศูนย์ประชุมที่ดูเหมือนจะสะดวกสบาย อาจกลายเป็นช่องโหว่ร้ายแรงที่เปิดทางให้มิจฉาชีพเข้าถึงข้อมูลส่วนตัวของคุณ ล่าสุด Microsoft ได้ออกคำเตือนถึงการโจมตีจากกลุ่มแฮกเกอร์ที่คาดว่าเป็นชาวรัสเซีย ซึ่งใช้วิธีการดัดแปลงระบบ Wi-Fi เพื่อดักจับรหัสผ่านและแพร่กระจายซอฟต์แวร์อันตราย หรือ มัลแวร์ (Malware) ไปยังผู้ใช้งาน
กลโกงการดักข้อมูลผ่าน Wi-Fi Gateway
เหตุการณ์นี้ถูกตรวจพบโดย ReliaQuest ซึ่งพบว่า Wi-Fi Gateway (อุปกรณ์ที่เป็นประตูเชื่อมต่อเครือข่าย) ในโรงแรมและศูนย์ประชุมหลายแห่งทั้งในสหรัฐฯ และต่างประเทศ ถูกแทรกแซงเพื่อเปลี่ยนเส้นทางการเข้าถึงเว็บไซต์ของผู้ใช้ โดยระบบจะส่งผู้ใช้งานไปยังเว็บไซต์ปลอมที่เลียนแบบหน้าล็อกอินของ Microsoft 365 เพื่อหลอกให้กรอกชื่อผู้ใช้และรหัสผ่าน
นอกจากการขโมยข้อมูลล็อกอินแล้ว แฮกเกอร์ยังใช้ช่องทางนี้ในการส่งมัลแวร์มายังเครื่องคอมพิวเตอร์ โดยปลอมแปลงเป็นหน้าต่างแจ้งเตือนให้ อัปเดตเบราว์เซอร์ หรือ อัปเดตระบบปฏิบัติการ (OS) เพื่อให้เหยื่อหลงเชื่อและติดตั้งโปรแกรมอันตรายลงในเครื่องโดยไม่รู้ตัว
รู้จักกับ ClickFix และมัลแวร์ Cornflake
เทคนิคที่แฮกเกอร์ใช้เรียกว่า ClickFix ซึ่งเป็นหน้าเว็บไซต์ปลอมที่ออกแบบมาให้ดูน่าเชื่อถือ เช่น หน้าตรวจสอบตัวตน (CAPTCHA) หรือหน้าแจ้งเตือนการซ่อมแซมไดรเวอร์ของ Windows โดยจะหลอกให้ผู้ใช้ทำตามคำแนะนำบางอย่าง ซึ่งแท้จริงแล้วคือการสั่งให้เครื่องดาวน์โหลดและรันมัลแวร์
หนึ่งในมัลแวร์ที่ถูกตรวจพบมีชื่อว่า Cornflake ซึ่งมีความสามารถในการปลอมตัวเป็นหลายรูปแบบ ไม่ว่าจะเป็นการสแกนไวรัสของ Windows Security, โปรแกรมดูเอกสาร หรือการอัปเดตระบบ โดยจะแสดงแถบความคืบหน้า (Progress Bar) ปลอมเพื่อเบี่ยงเบนความสนใจ ในขณะที่ตัวโปรแกรมกำลังคัดลอกตัวเองลงในระบบเพื่อฝังตัวอย่างถาวร
ความน่ากลัวของมัลแวร์ประเภท Remote Access Trojan (RAT) หรือโทรจันที่ควบคุมเครื่องจากระยะไกล คือการที่แฮกเกอร์สามารถขโมยไฟล์สำคัญ ดักจับรหัสผ่าน และเฝ้าติดตามการใช้งานคอมพิวเตอร์ของเหยื่อได้แบบเรียลไทม์ ซึ่งการโจมตีนี้ไม่ได้จำกัดแค่บน Windows เท่านั้น แต่ยังลามไปถึงอุปกรณ์ Android ผ่านการหลอกให้ติดตั้งไฟล์ APK อีกด้วย
ใครคือผู้อยู่เบื้องหลังการโจมตี?
ในขณะที่ ReliaQuest สงสัยว่าอาจเป็นฝีมือของกลุ่ม APT 28 (Fancy Bear) แต่ทาง Microsoft ระบุว่าพฤติกรรมนี้เชื่อมโยงกับกลุ่มย่อยของ APT 29 หรือที่รู้จักในชื่อ Cozy Bear ซึ่งทั้งสองกลุ่มนี้ล้วนมีความเกี่ยวข้องกับหน่วยงานข่าวกรองของรัสเซีย
| หัวข้อ | รายละเอียด |
|---|---|
| เป้าหมายหลัก | ผู้ใช้ Wi-Fi ในโรงแรมและศูนย์ประชุม |
| วิธีการโจมตี | ดัดแปลง Wi-Fi Gateway เพื่อ Redirect ไปยังเว็บปลอม |
| เครื่องมือที่ใช้ | ClickFix (หน้าเว็บหลอกลวง), มัลแวร์ Cornflake |
| สิ่งที่ถูกขโมย | รหัสผ่าน Microsoft 365, ไฟล์ข้อมูลส่วนตัว |
| กลุ่มผู้ต้องสงสัย | APT 29 (Cozy Bear) จากรัสเซีย |
ข้อเท็จจริงสำคัญ
- แฮกเกอร์เข้าควบคุม Wi-Fi Gateway ผ่านช่องทางจัดการระยะไกลที่ใช้รหัสผ่านคาดเดาง่าย
- มัลแวร์สามารถฝังตัวในระบบ Windows และ Android (ผ่านไฟล์ APK)
- การโจมตีใช้หน้าเว็บปลอม (Doppelganger Domains) เพื่อหลอกขโมยข้อมูลล็อกอิน
- การใช้ VPN ในโหมด Full-tunnel สามารถช่วยป้องกันการถูกเปลี่ยนเส้นทางไปยังเว็บอันตรายได้
วิธีป้องกันตัวเองเมื่อต้องใช้ Wi-Fi สาธารณะ
เพื่อความปลอดภัย Microsoft และผู้เชี่ยวชาญแนะนำให้ปฏิบัติดังนี้:
- ลดการเชื่อใจเครือข่ายสาธารณะ: หากเป็นไปได้ ให้ใช้ข้อมูลมือถือ (Cellular Data) ของตนเองแทน Wi-Fi ของโรงแรม
- ระวังการอัปเดตที่ไม่คาดคิด: ห้ามดาวน์โหลดซอฟต์แวร์, ใบรับรอง (Certificates), หรือเครื่องมือแก้ไขเครือข่ายที่เด้งขึ้นมาผ่านหน้า Captive Portal (หน้าล็อกอิน Wi-Fi)
- ใช้งาน VPN: การเปิดใช้งาน VPN (Virtual Private Network) ในโหมด Full-tunnel จะช่วยเข้ารหัสข้อมูลและป้องกันไม่ให้ Gateway ที่ถูกแฮกส่งคุณไปยังเว็บไซต์ปลอม
คำถามที่พบบ่อย
การโจมตีนี้เกิดขึ้นได้อย่างไร?
แฮกเกอร์เข้าถึงหน้าจัดการระบบ (Remote Management Interface) ของอุปกรณ์ Wi-Fi ในโรงแรม ซึ่งมักจะมีการตั้งรหัสผ่านที่อ่อนแอ ทำให้สามารถแก้ไขการตั้งค่าเพื่อส่งผู้ใช้งานไปยังเว็บไซต์อันตรายได้
จะรู้ได้อย่างไรว่าเรากำลังถูกหลอกด้วย ClickFix?
หากคุณเชื่อมต่อ Wi-Fi แล้วมีหน้าเว็บเด้งขึ้นมาให้กดปุ่มบางอย่างเพื่อ "ซ่อมแซมระบบ" "อัปเดตเบราว์เซอร์" หรือ "ยืนยันตัวตน" โดยมีขั้นตอนที่ดูซับซ้อนผิดปกติ ให้สงสัยไว้ก่อนว่าเป็นหน้าเว็บปลอม
มัลแวร์ Cornflake ทำอะไรกับเครื่องเราได้บ้าง?
มันสามารถปลอมตัวเป็นโปรแกรมระบบเพื่อหลบเลี่ยงการตรวจจับ จากนั้นจะทำการขโมยรหัสผ่าน ขโมยไฟล์ และเปิดช่องทางให้แฮกเกอร์เข้ามาควบคุมเครื่องคอมพิวเตอร์ของคุณจากระยะไกล
การใช้ VPN ช่วยป้องกันได้จริงหรือไม่?
ช่วยได้ในระดับสูง โดยเฉพาะโหมด Full-tunnel ซึ่งจะบังคับให้ทราฟฟิกทั้งหมดวิ่งผ่านอุโมงค์ที่ปลอดภัย ทำให้แฮกเกอร์ไม่สามารถดักจับหรือเปลี่ยนเส้นทาง (Redirect) การเข้าชมเว็บไซต์ของคุณไปยังโดเมนปลอมได้
