กลุ่มแฮกเกอร์ใช้ npm และเว็บไซต์ Mirror เพื่อฝังหน้า Phishing หลอกผู้ใช้งาน

เทคนิคการใช้ Supply Chain ในการทำ Phishing

มีรายงานการตรวจพบความเคลื่อนไหวของกลุ่มผู้ไม่หวังดีที่ใช้เทคนิคที่ซับซ้อนขึ้น โดยการใช้ประโยชน์จาก npm package registry ซึ่งเป็นคลังเก็บโค้ดสำหรับนักพัฒนาโปรแกรม และเว็บไซต์ Mirror ที่ทำการสำเนาข้อมูลจาก npm ไปไว้ในที่ต่างๆ เพื่อใช้เป็นพื้นที่ในการโฮสต์ไฟล์ HTML ที่เป็นอันตราย หน้าเว็บเหล่านี้ถูกออกแบบมาให้เลียนแบบหน้าการตรวจสอบ CAPTCHA ของ Cloudflare เพื่อสร้างความน่าเชื่อถือและหลอกล่อให้ผู้เข้าชมปฏิบัติตามคำสั่ง

เป้าหมายหลักของหน้าเว็บ Phishing เหล่านี้คือการสร้างความเข้าใจผิดให้ผู้ใช้งานเชื่อว่ากำลังผ่านระบบรักษาความปลอดภัยปกติ จากนั้นระบบจะทำการเปลี่ยนเส้นทาง (Redirect) ผู้ใช้งานไปยังเว็บไซต์ที่ผู้โจมตีควบคุมอยู่ ซึ่งอาจนำไปสู่การขโมยข้อมูลส่วนตัว การหลอกให้ดาวน์โหลดมัลแวร์ หรือการขโมยคุกกี้การใช้งาน (Session Hijacking) วิธีการนี้ถือเป็นความเสี่ยงต่อระบบ Supply Chain ของซอฟต์แวร์ เนื่องจากผู้ใช้มักจะไว้วางใจทรัพยากรที่มาจากแหล่งเก็บโค้ดมาตรฐาน

ข้อเสนอแนะเชิงปฏิบัติเพื่อความปลอดภัย

1. ตรวจสอบ URL อย่างละเอียด: ก่อนที่จะทำการกรอกข้อมูลหรือคลิกยืนยันในหน้า CAPTCHA ใดๆ ให้ตรวจสอบ URL ในแถบที่อยู่ของเบราว์เซอร์เสมอว่ามาจากโดเมนที่ถูกต้องหรือไม่
2. การใช้ Content Security Policy (CSP): สำหรับนักพัฒนาเว็บ ควรมีการกำหนดนโยบาย CSP ที่เข้มงวดเพื่อป้องกันการดาวน์โหลดสคริปต์หรือการทำ Redirect ไปยังโดเมนที่ไม่ได้รับอนุญาต
3. การฝึกอบรมสร้างความตระหนัก: ให้ความรู้แก่พนักงานและนักพัฒนาเกี่ยวกับภัยคุกคามรูปแบบใหม่ที่แฝงมากับเครื่องมือที่ใช้งานเป็นประจำ เช่น การตรวจสอบความถูกต้องของไลบรารีหรือแพ็กเกจก่อนนำมาใช้ในโปรเจกต์

---

แหล่งที่มา: ThaiCERT Cyber Threat News (สกมช) เผยแพร่ครั้งแรก: Thu, 27 Aug 2026 08:00:00 +0000 บทความต้นฉบับ: อ่านต้นฉบับ