นักวิจัยด้านความมั่นคงปลอดภัยของ Rapid7 ได้เปิดโปงเบื้องหลังการสร้างปฏิบัติการฟิชชิ่งยุคใหม่ หลังจากค้นพบเซิร์ฟเวอร์ที่ถูกเปิดทิ้งไว้ซึ่งมีไฟล์จำนวน 1,048 ไฟล์ที่เชื่อมโยงกับแคมเปญที่ยังดำเนินอยู่ซึ่งมุ่งเป้าไปที่เหยื่อในเม็กซิโก การค้นพบนี้เชื่อมโยงกระบวนการฟิชชิ่งที่ใช้ AI เข้ากับมัลแวร์ที่ส่งผ่าน WebDAV ซึ่งเป็นโปรโตคอลที่คนส่วนใหญ่ไม่เคยได้ยินชื่อ แต่ผู้โจมตีพึ่งพามากขึ้นเรื่อยๆ เพื่อลักลอบนำไฟล์อันตรายผ่านระบบป้องกัน

การค้นพบนี้มีความสำคัญไม่ใช่เพราะจำนวนเหยื่อ แต่เป็นเพราะสิ่งที่มันเปิดเผย: แบบพิมพ์เขียวที่ใช้งานได้จริงของการที่เครื่องมือ generative AI ถูกฝังอยู่ในห่วงโซ่อุปทานของฟิชชิ่งแล้ว ตั้งแต่การสร้างเหยื่อล่อไปจนถึงการส่งมอบเพย์โหลด

สิ่งที่ Rapid7 พบบนเซิร์ฟเวอร์ที่ถูกเปิดทิ้งไว้

จากงานวิจัยของ Rapid7 เซิร์ฟเวอร์ที่ถูกเปิดทิ้งไว้นั้นไม่ได้รับการล็อกดาวน์ตามที่โครงสร้างพื้นฐานของผู้โจมตีที่ปฏิบัติการอยู่ควรจะเป็น การกำหนดค่าที่ผิดพลาดนี้ทำให้นักวิจัยสามารถรวบรวมไฟล์ได้ 1,048 ไฟล์ ซึ่งเปรียบเสมือนภาพรวมของชุดเครื่องมือที่ผู้ปฏิบัติการกำลังใช้เพื่อดำเนินการฟิชชิ่งและแคมเปญมัลแวร์ที่มุ่งเป้าไปยังเป้าหมายในเม็กซิโก

เซิร์ฟเวอร์ command-and-control หรือ staging ที่ถูกเปิดทิ้งไว้ไม่ใช่เรื่องแปลกในวงการข่าวกรองภัยคุกคาม ผู้โจมตีทำผิดพลาดเช่นเดียวกับฝ่ายป้องกัน และเมื่อพวกเขาเปิดเซิร์ฟเวอร์ทิ้งไว้ นักวิจัยก็จะได้เห็นกลไกเบื้องหลังแคมเปญอย่างที่หาได้ยาก แทนที่จะเห็นเพียงผลพวงของมัน ในกรณีนี้ กลไกดังกล่าวรวมถึงหลักฐานของกระบวนการฟิชชิ่งที่ใช้ AI หมายความว่าผู้ปฏิบัติการใช้เครื่องมือ large language model ในบางขั้นตอนของการสร้างหรือปรับแต่งเหยื่อล่อ

ภายในกระบวนการฟิชชิ่งที่ใช้ AI ช่วย

การใช้ AI ในฟิชชิ่งไม่ใช่ทฤษฎีใหม่ มันได้กลายเป็นรูปแบบที่มีการบันทึกไว้ในหลายแคมเปญในปีนี้ สิ่งที่ทำให้การค้นพบของ Rapid7 น่าสนใจคือการเชื่อมโยงโดยตรงระหว่างกระบวนการสร้างเนื้อหาที่ใช้ LLM ช่วย กับห่วงโซ่การส่งมัลแวร์ที่ใช้งานได้จริงซึ่งสร้างบน WebDAV แทนที่จะเป็นเพียงตัวอย่างอีเมลฟิชชิ่งที่สร้างโดย AI แบบแยกส่วน

สิ่งนี้สะท้อนถึงการเปลี่ยนแปลงในวงกว้างที่มีการบันทึกไว้ทั่วทั้งอุตสาหกรรม แคมเปญเช่น VENOMOUS#HELPER ซึ่งเจาะระบบองค์กรในสหรัฐฯ มากกว่า 80 แห่งโดยใช้เครื่องมือตรวจสอบและจัดการระยะไกลที่ถูกต้องตามกฎหมาย แสดงให้เห็นว่าผู้โจมตีพึ่งพาเทคโนโลยีที่เชื่อถือได้และใช้ในชีวิตประจำวันมากขึ้นเพื่อหลีกเลี่ยงการตรวจจับ การสร้างเนื้อหาด้วย AI ช่วยก็เข้ากับตรรกะเดียวกัน: มันช่วยให้ผู้โจมตีสร้างเหยื่อล่อที่ดูน่าเชื่อถือ เขียนดี และปรับให้เข้ากับท้องถิ่นได้ในปริมาณมาก โดยไม่จำเป็นต้องคล่องภาษาแม่หรือใช้ความพยายามอย่างหนัก ซึ่งลดอุปสรรคด้านทักษะในการทำแคมเปญที่น่าเชื่อถือ

ทำไม WebDAV จึงเป็นกลไกการส่งมอบที่ถูกเลือก

WebDAV (Web Distributed Authoring and Versioning) เป็นโปรโตคอลที่อนุญาตให้ผู้ใช้จัดการและแก้ไขไฟล์บนเว็บเซิร์ฟเวอร์ระยะไกล คล้ายกับไดรฟ์เครือข่ายที่แชร์และเข้าถึงผ่าน HTTP เนื่องจากมันมีอยู่ใน Windows และถูกใช้อย่างแพร่หลายในสภาพแวดล้อมทางธุรกิจที่ถูกต้อง การรับส่งข้อมูลไปยังเซิร์ฟเวอร์ WebDAV จึงไม่ได้ทำให้เกิดสัญญาณเตือนเสมอไป เหมือนกับการดาวน์โหลดไฟล์ปฏิบัติการที่ไม่คุ้นเคย

ความคุ้นเคยนี้เองที่ทำให้มันน่าสนใจสำหรับผู้โจมตี ไฟล์อันตรายที่โฮสต์บนการแชร์ WebDAV สามารถถูกอ้างอิงในอีเมลหรือเอกสารฟิชชิ่งในลักษณะที่ดูเหมือนการเข้าถึงไฟล์ตามปกติ ช่วยให้เพย์โหลดเล็ดลอดผ่านผู้ใช้ และในบางกรณีก็ผ่านเครื่องมือรักษาความปลอดภัยที่ไม่ได้ถูกปรับแต่งให้ตรวจสอบการเชื่อมต่อ WebDAV อย่างใกล้ชิด

สิ่งนี้สอดคล้องกับรูปแบบที่เห็นในเหตุการณ์สำคัญตลอดทั้งปี ดังที่รายงาน Verizon 2026 Data Breach Investigations Report ระบุไว้ ช่องโหว่ซอฟต์แวร์ได้แซงหน้ารหัสผ่านเป็นจุดเริ่มต้นการบุกรุกอันดับต้นๆ แต่วิศวกรรมสังคมและการใช้โปรโตคอลที่เชื่อถือได้ในทางที่ผิดยังคงเป็นกลยุทธ์เสริมที่สำคัญที่ช่วยให้ผู้โจมตีผ่านด่านแรกของการป้องกันก่อนที่เทคนิคการโจมตีทางเทคนิคใดๆ จะเข้ามามีบทบาท

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากคุณอยู่ในเม็กซิโกหรือทำงานกับองค์กรที่ดำเนินงานที่นั่น แคมเปญนี้เป็นเครื่องเตือนใจโดยตรงให้ปฏิบัติต่อลิงก์แชร์ไฟล์หรือข้อความแจ้งให้เข้าสู่ระบบที่ไม่คาดคิดด้วยความสงสัย แม้ว่ามันจะดูประณีตและเป็นมืออาชีพก็ตาม เนื้อหาฟิชชิ่งที่ใช้ AI ช่วยถูกออกแบบมาเพื่อขจัดข้อผิดพลาดด้านไวยากรณ์และน้ำเสียงที่เคยเป็นสัญญาณเตือนที่น่าเชื่อถือ

สำหรับคนอื่นๆ บทเรียนที่กว้างขึ้นคือชุดเครื่องมือฟิชชิ่งกำลังพัฒนาเร็วกว่าสัญชาตญาณในการสังเกตเห็นของผู้ใช้ทั่วไป บทสรุปของ การโจมตีทางไซเบอร์ครั้งใหญ่ในปี 2026 แสดงให้เห็นธีมที่ต่อเนื่อง: ผู้โจมตีกำลังทำให้เครื่องมือของตนเป็นมืออาชีพ ซึ่งมักจะเร็วกว่าที่องค์กรที่ป้องกันจะปรับเปลี่ยนการฝึกอบรมและการตรวจจับได้

ข้อปฏิบัติที่นำไปใช้ได้

  • ระมัดระวังลิงก์แชร์ไฟล์หรือเอกสารที่ไม่คาดคิด แม้ว่าอีเมลหรือข้อความจะดูเขียนดีและถูกต้องตามกฎหมาย
  • ตรวจสอบคำขอที่ผิดปกติให้เปิดไฟล์ที่แชร์ผ่านช่องทางที่สอง เช่น การโทรศัพท์หรือแอปส่งข้อความแยกต่างหาก ก่อนคลิก
  • อัปเดตเครื่องมือรักษาความปลอดภัยปลายทางและการกรองอีเมลให้ทันสมัยอยู่เสมอ เนื่องจากการส่งผ่าน WebDAV สามารถเลี่ยงการป้องกันที่ถูกปรับแต่งเฉพาะสำหรับไฟล์แนบประเภททั่วไป
  • ธุรกิจควรตรวจสอบว่าโปรโตคอลใดบ้าง รวมถึง WebDAV ที่ได้รับอนุญาตให้ผ่านเครือข่าย และจำกัดการเข้าถึงในที่ที่ไม่จำเป็นต่อการปฏิบัติงาน
  • ติดตามข่าวสารเกี่ยวกับการพัฒนาเทคนิคฟิชชิ่งที่ใช้ AI ช่วย เนื่องจากความประณีตและการปรับให้เป็นส่วนตัวของเหยื่อล่อมีแนวโน้มที่จะดีขึ้นเรื่อยๆ

เซิร์ฟเวอร์ที่ถูกเปิดทิ้งไว้ซึ่ง Rapid7 ค้นพบมอบภาพที่ชัดเจนและหาได้ยากว่าเครื่องมือ AI ถูกนำมาใช้ในปฏิบัติการฟิชชิ่งในโลกแห่งความจริงอย่างไร แทนที่จะเป็นเพียงความเสี่ยงทางทฤษฎี การเข้าใจว่าแคมเปญฟิชชิ่งที่ใช้ AI เหล่านี้ถูกสร้างขึ้นอย่างไรเป็นก้าวแรกสู่การจดจำพวกมันได้ก่อนที่มันจะสำเร็จ