เว็บเซิร์ฟเวอร์ที่ กำหนดค่าผิดพลาด ได้เปิดม่านเผยให้เห็นหนึ่งในปฏิบัติการ ฟิชชิงคริปโตที่ขับเคลื่อนด้วย AI ที่มีการวางแผนอย่างรอบคอบที่สุดที่นักวิจัยด้านความปลอดภัยได้บันทึกไว้ในปีนี้ บริษัทความปลอดภัยไซเบอร์ Rapid7 ระบุว่าพวกเขาพบโครงสร้างพื้นฐานที่เปิดเผยนี้เกือบจะโดยบังเอิญ และสิ่งที่พบภายในคือเครื่องจักรฉ้อโกงที่สร้างเสร็จสมบูรณ์: หมายเลขโทรศัพท์เกือบ 900,000 หมายเลข, เครื่องมือเช็กบัญชีอัตโนมัติ, ซอฟต์แวร์กระเป๋าเงินปลอม และโค้ดที่เขียนขึ้นด้วยความช่วยเหลือจาก ผู้ช่วยเขียนโค้ดด้วย AI กระแสหลัก Rapid7 ตั้งชื่อแคมเปญนี้ว่า Operation ASTERIX และมันให้ภาพที่หายากและละเอียดว่าบรรดาเครื่องมือสร้างสรรค์ด้วย AI ถูกนำมาผนวกเข้ากับแคมเปญฟิชชิงคริปโตที่เมื่อก่อนต้องใช้แรงงานคนมากกว่านี้อย่างไร
Summary
ประเด็นสำคัญ
- Rapid7 เปิดโปง Operation ASTERIX ซึ่งเป็นแคมเปญฟิชชิงคริปโตที่ขับเคลื่อนด้วย AI หลังจากพบเซิร์ฟเวอร์ที่กำหนดค่าผิดและเปิดเผยต่อสาธารณะ
- ชุดข้อมูลที่ถูกเปิดเผยมีหมายเลขโทรศัพท์ประมาณ 885,000 หมายเลข รวมถึงหมายเลขมือถือเยอรมัน 316,002 หมายเลข และสร้างรายการบัญชี Crypto.com ที่จับคู่ได้ 43,066 บัญชี
- ผู้โจมตีสร้างแอปกระเป๋าเงินปลอมเลียนแบบ Trezor Suite, Ledger Live และ Exodus ควบคู่ไปกับเพจฟิชชิงที่ปลอมเป็น Crypto.com และ Binance
- ผู้ช่วยเขียนโค้ด GitHub Copilot และ Claude Code ถูกใช้ในการเขียน แพ็กเกจ และปรับแต่งเครื่องมืออันตรายเหล่านี้ และผู้ปฏิบัติการพยายามสลับโมเดล AI หลังจากเจอข้อจำกัดด้านความปลอดภัย
- หลังจากบันทึกปฏิบัติการแล้ว Rapid7 ได้แจ้งผู้ให้บริการและหน่วยงานที่เกี่ยวข้อง รวมถึงทีมความปลอดภัยของ Apple
Rapid7 เปิดโปง Operation ASTERIX และขนาดที่แท้จริงของมัน
Operation ASTERIX ผสานรวม อีเมลฟิชชิง, สายโทรศัพท์ และซอฟต์แวร์กระเป๋าเงินปลอมเข้าไว้ในสายการฉ้อโกงแบบบูรณาการเดียว และตัวเลขเบื้องหลังนั้นก็น่าตกใจ ไดเรกทอรีที่ถูกเปิดเผยของ Rapid7 มี หมายเลขโทรศัพท์ประมาณ 885,000 หมายเลข กระจายอยู่ในหลายชุดข้อมูล โดยแต่ละชุดดูเหมือนจะถูกรวบรวมมาเพื่อป้อนให้กับเอนจินการเลือกเป้าหมายของปฏิบัติการนี้
การค้นพบและขอบเขตของ Operation ASTERIX
ชุดข้อมูลเดี่ยวที่ใหญ่ที่สุดในคลังนั้นคือชุดข้อมูลจากเยอรมนีที่มี หมายเลขมือถือ 316,002 หมายเลข แทนที่จะส่งข้อความแบบสุ่ม ผู้ปฏิบัติการได้นำรายชื่อนั้นไปรันผ่าน เครื่องมือตรวจสอบอัตโนมัติ ที่ออกแบบมาเพื่อยืนยันว่าหมายเลขใดเป็นของบัญชีในเว็บเทรดคริปโตที่ยังใช้งานอยู่ ขั้นตอนนี้มีความสำคัญ: มันเปลี่ยนกลุ่มตัวเลขนิรนามให้กลายเป็นรายชื่อเป้าหมายที่คัดสรรแล้ว
การใช้ชุดข้อมูลหมายเลขโทรศัพท์และการตรวจสอบบัญชี
จากหมายเลขเยอรมันเพียงอย่างเดียว ผู้โจมตีสามารถระบุ บัญชี Crypto.com ได้ 43,066 บัญชี ตามรายงานของ Crypto Briefing เกี่ยวกับเซิร์ฟเวอร์เดียวกัน การตรวจสอบกับระบบของ Crypto.com ให้ผลสำเร็จ 13.6% หมายความว่าประมาณหนึ่งในเจ็ดหมายเลขที่ทดสอบตรงกับบัญชีจริงที่ยังใช้งานอยู่ หากนำอัตราส่วนเดียวกันนี้ไปใช้กับฐานข้อมูล 885,000 หมายเลขทั้งหมด ในทางทฤษฎีอาจชี้ไปยังผู้ใช้เว็บเทรดที่ยังใช้งานอยู่มากกว่า 120,000 รายที่คุ้มค่าต่อการโจมตี — รายละเอียดนี้ตอกย้ำว่าฟิชชิงแคมเปญหนึ่งสามารถขยายการเข้าถึงได้มากเพียงใดเมื่อจับคู่ข้อมูลหมายเลขโทรศัพท์ที่ขโมยหรือสแครปมาเข้ากับเครื่องมือตรวจสอบที่เชื่อถือได้
ตรงจุดนี้เองที่ปฏิบัติการเริ่มดูไม่เหมือนกลโกงแบบยิงกระสุนกระจาย แต่เริ่มดูเหมือนระบบเล็งเป้า เมื่อหมายเลขถูกยืนยันว่าใช้งานได้ Rapid7 ระบุว่าแคมเปญจะเพิ่มข้อมูลเสริมเข้าไป — ชื่อ รายละเอียดการติดต่อ ที่อยู่ และข้อมูลที่เกี่ยวข้องกับบัญชีในบางกรณี — เพื่อให้การติดต่อในภายหลังดูเป็นส่วนตัวมากกว่าทั่วไป
วิธีการฟิชชิง: การปลอมแปลงแบรนด์และแอปกระเป๋าเงินปลอม
เป้าหมายที่ได้รับการยืนยันแล้วจะถูกดึงเข้าสู่แคมเปญกดดันหลายช่องทางที่ออกแบบมาให้ดูเหมือนฝ่ายบริการลูกค้าที่ถูกต้องตามกฎหมาย อีเมลและสายโทรศัพท์ที่ประสานกันจะอ้างอิงรายละเอียดบัญชีที่ตรงกัน ซึ่ง Rapid7 ระบุว่าทำให้การปลอมตัวน่าเชื่อถือกว่าการฟิชชิงแบบส่งครั้งเดียวจำนวนมากทั่วไปมาก
การปลอมแปลงแบรนด์คริปโตรายใหญ่
โครงสร้างพื้นฐานฟิชชิงปลอมตัวเป็น Crypto.com และ Binance โดยตรง ซึ่งเป็นสองเว็บเทรดที่ใหญ่ที่สุดในอุตสาหกรรม ทำให้การติดต่อดูมีความน่าเชื่อถือและผลักดันให้เป้าหมายเข้าสู่ขั้นต่อไปของกับดัก
การปล่อยแอปกระเป๋าเงินปลอม
ขั้นต่อไปนั้นมุ่งเน้นไปที่ กระเป๋าเงินคริปโตปลอม ที่สร้างขึ้นให้เลียนแบบซอฟต์แวร์ที่เชื่อถือได้ Rapid7 กู้คืนเวอร์ชันปลอมที่มีลักษณะคล้าย Trezor Suite, Ledger Live และ Exodus ซึ่งถูกแพ็กเกจสำหรับทั้ง macOS และ Windows เมื่อถูกติดตั้ง แอปเหล่านี้จะกระตุ้นให้ผู้ใช้พิมพ์วลีกู้คืน 12 ถึง 24 คำของตน — กุญแจหลักของกระเป๋าเงินคริปโตใด ๆ — ซึ่งจากนั้นจะถูกส่งออกไปยังผู้โจมตีผ่าน Telegram โดยตรง Rapid7 ยังพบว่าปฏิบัติการนี้โฮสต์ตัวติดตั้ง Claude Code ปลอมที่พยายามติดตั้งหนึ่งในแอปกระเป๋าเงินอันตรายเหล่านี้อย่างเงียบ ๆ ควบคู่ไปกับเครื่องมือเขียนโค้ด AI ที่ถูกต้อง ผสมผสานผลิตภัณฑ์สำหรับนักพัฒนาที่เชื่อถือได้เข้ากับเพย์โหลดที่ซ่อนอยู่
เครื่องมือ AI ขับเคลื่อนแคมเปญฟิชชิงคริปโตอย่างไร
สิ่งที่ทำให้ Operation ASTERIX แตกต่างจากคู่มือฟิชชิงรุ่นเก่าคือบทบาทที่มองเห็นได้ชัดของ AI เชิงสร้างสรรค์ในการสร้างมันขึ้นมา หลักฐานที่กู้คืนจากเซิร์ฟเวอร์ที่ถูกเปิดเผยแสดงให้เห็นว่าผู้ปฏิบัติการพึ่งพา GitHub Copilot และ Claude Code สำหรับงานเขียนโค้ด สคริปต์ การแพ็กเกจแอปพลิเคชัน และงานโครงสร้างพื้นฐาน — งานด้านเทคนิคที่เมื่อก่อนต้องใช้ผู้พัฒนาที่ทุ่มเทโดยเฉพาะ
การใช้ GitHub Copilot, Claude Code และการสลับเครื่องมือ AI
การสืบสวนของ Rapid7 พบว่ามิจฉาชีพใช้ผู้ช่วยเหล่านี้ไม่เพียงเพื่อเขียนโค้ดที่ใช้งานได้จริงเท่านั้น แต่ยังเพื่อปรับแต่งโค้ดอย่างต่อเนื่อง รวมถึงความพยายามในการหลีกเลี่ยงรั้วป้องกันด้านความปลอดภัยที่ถูกฝังอยู่ในเครื่องมือเหล่านี้เองด้วย
ความพยายามในการเลี่ยงข้อจำกัดของโมเดล AI
ในจุดหนึ่ง Claude รายงานว่าปฏิเสธคำขอที่เกี่ยวข้องกับการทำให้โค้ดอ่านยาก แทนที่จะหยุดอยู่แค่นั้น ผู้ปฏิบัติการได้สลับไปใช้โมเดลอื่นชื่อ Kimi และพยายามผลักดันให้ผ่านข้อจำกัดของมันเช่นกัน Rapid7 ระบุว่าไม่สามารถยืนยันได้ว่าความพยายามเลี่ยงข้อจำกัดครั้งนั้นสำเร็จหรือไม่ — ทราบเพียงว่าหลักฐานแสดงให้เห็นรูปแบบการสลับเครื่องมืออย่างจงใจทุกครั้งที่ระบบ AI หนึ่งตัวต่อต้าน
เหตุใดเรื่องนี้จึงสำคัญ: รูปแบบนี้แสดงให้เห็นว่ารั้วป้องกันของ AI แม้จะมีประโยชน์ แต่ก็ไม่ใช่อุปสรรคที่สมบูรณ์เมื่อผู้ปฏิบัติการที่มุ่งมั่นสามารถย้ายไปใช้โมเดลอื่นได้ง่าย ๆ เมื่อเครื่องมือเขียนโค้ดด้วย AI เพิ่มจำนวนขึ้น จำนวน “ประตู” ที่มีให้สำหรับผู้ที่พยายามเล็ดลอดผ่านการควบคุมความปลอดภัยก็เพิ่มขึ้นตามไปด้วย
การแจ้งเตือน การตอบสนอง และสิ่งที่จะตามมา
แม้จะมีขนาดของข้อมูลที่เกี่ยวข้อง กิจกรรมในแต่ละวันของปฏิบัติการนี้กลับดูเล็กอย่างน่าประหลาด บันทึกกิจกรรมที่กู้คืนจากเซิร์ฟเวอร์แสดงให้เห็นการค้นหาข้อมูลลีดเพียง 20 ครั้งและอีเมลฟิชชิง 6 ฉบับในช่วงเวลาประมาณสองสัปดาห์ บ่งชี้ว่าผู้ปฏิบัติการให้ความสำคัญกับความแม่นยำมากกว่าปริมาณ — เลือกเป้าหมายจำนวนน้อยที่คัดสรรมาอย่างดีแทนการส่งสแปมจำนวนมาก
การแจ้งเตือนผู้ให้บริการและหน่วยงาน
Rapid7 ค้นพบแคมเปญนี้ในขณะที่โครงสร้างพื้นฐานส่วนใหญ่ยังคงใช้งานอยู่หรืออยู่ระหว่างการพัฒนา และได้ประสานงานกับทีมความปลอดภัยของ Apple ก่อนเผยแพร่ผลการค้นพบเมื่อวันที่ 17 สิงหาคม 2026 บริษัทฯ ยังได้แจ้งผู้ให้บริการรายอื่นที่เกี่ยวข้องเกี่ยวกับข้อมูลที่ถูกเปิดเผยและแอปพลิเคชันปลอมด้วย
ความเสี่ยงและการเปิดเผยสำหรับผู้ใช้คริปโต
สำหรับเว็บเทรดอย่าง Crypto.com เหตุการณ์นี้ทำให้เกิดคำถามสำคัญ: เอ็นด์พอยต์ตรวจสอบบัญชีอัตโนมัติรั่ว “สัญญาณ” อะไรออกไปสู่การสแกนจากภายนอกบ้าง? อัตราการยืนยัน 13.6% จาก การค้นหาด้วยหมายเลขโทรศัพท์ เพียงอย่างเดียวก็เพียงพอให้ผู้โจมตีสร้างรายชื่อเป้าหมายที่ใช้งานได้โดยไม่ต้องแตะต้องรหัสผ่านเลย นั่นเป็นเหตุผลที่หนักแน่นสำหรับการเข้มงวดวิธีที่ API ตรวจสอบตอบสนองต่อการสอบถามแบบจำนวนมาก เพราะจุดรั่วไม่ได้อยู่ในซอฟต์แวร์กระเป๋าเงิน — แต่อยู่ในจุดตรวจที่บอกผู้โจมตีว่าใคร “คุ้มค่า” ต่อการโจมตีตั้งแต่แรก
บทเรียนที่กว้างกว่าสำหรับอุตสาหกรรมไม่ได้เกี่ยวกับปฏิบัติการนี้เพียงอย่างเดียว แต่เกี่ยวกับสิ่งที่มันบ่งชี้ ผู้ช่วยเขียนโค้ดด้วย AI ทำให้การสร้างแอปกระเป๋าเงินปลอมและโครงสร้างพื้นฐานฟิชชิงที่น่าเชื่อถือทำได้เร็วและถูกลง และ Operation ASTERIX แสดงให้เห็นว่ารั้วป้องกันภายในเครื่องมือเหล่านั้นสามารถถูกเลี่ยงได้ง่าย ๆ เพียงสลับไปใช้โมเดลที่ผ่อนปรนกว่า การผสมผสานระหว่างการพัฒนาด้วย AI ราคาถูกกับชุดข้อมูลหมายเลขโทรศัพท์ขนาดใหญ่ที่ผ่านการตรวจสอบแล้ว มีแนวโน้มจะปรากฏในแคมเปญฟิชชิงคริปโตในอนาคตอย่างต่อเนื่อง ไม่ว่าปฏิบัติการเครือข่ายนี้จะกลับมาอีกภายใต้ชื่อใหม่หรือไม่ก็ตาม
คำถามที่พบบ่อย
Operation ASTERIX คืออะไร?
Operation ASTERIX คือแคมเปญฟิชชิงคริปโตที่ขับเคลื่อนด้วย AI ซึ่งถูกเปิดโปงโดย Rapid7 โดยใช้ข้อมูลหมายเลขโทรศัพท์ การตรวจสอบบัญชี และแอปกระเป๋าเงินปลอมเพื่อขโมยวลีกู้คืนกระเป๋าเงินคริปโต
ผู้โจมตีระบุเป้าหมายของตนได้อย่างไร?
ผู้โจมตีใช้ชุดข้อมูลหมายเลขโทรศัพท์ขนาดใหญ่และเครื่องมือตรวจสอบอัตโนมัติเพื่อระบุหมายเลขโทรศัพท์ที่เชื่อมโยงกับบัญชีเว็บเทรดคริปโตที่ยังใช้งานอยู่ รวมถึงบัญชี Crypto.com กว่า 43,000 บัญชีที่ระบุได้จากชุดข้อมูลเยอรมันจำนวน 316,002 หมายเลข
เครื่องมือ AI มีบทบาทอย่างไรในแคมเปญฟิชชิงนี้?
ผู้ช่วยเขียนโค้ดด้วย AI เช่น GitHub Copilot และ Claude Code ถูกใช้ในงานเขียนโค้ด การเขียนสคริปต์ การแพ็กเกจแอปพลิเคชัน และงานโครงสร้างพื้นฐานสำหรับปฏิบัติการฟิชชิง และผู้ปฏิบัติการได้สลับไปมาระหว่างโมเดลต่าง ๆ หลังจากเจอข้อจำกัดด้านความปลอดภัย
มีการดำเนินการอะไรบ้างหลังการค้นพบ Operation ASTERIX?
Rapid7 ได้แจ้งผู้ให้บริการและหน่วยงานที่เกี่ยวข้อง รวมถึงทีมความปลอดภัยของ Apple และเผยแพร่ผลการค้นพบเมื่อวันที่ 17 สิงหาคม 2026 เพื่อช่วยบรรเทาแคมเปญดังกล่าว
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”Operation ASTERIX คืออะไร?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Operation ASTERIX คือแคมเปญฟิชชิงคริปโตที่ขับเคลื่อนด้วย AI ซึ่งถูกเปิดโปงโดย Rapid7 โดยใช้ข้อมูลหมายเลขโทรศัพท์ การตรวจสอบบัญชี และแอปกระเป๋าเงินปลอมเพื่อขโมยวลีกู้คืนกระเป๋าเงินคริปโต”}},{“@type”:”Question”,”name”:”ผู้โจมตีระบุเป้าหมายของตนได้อย่างไร?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”ผู้โจมตีใช้ชุดข้อมูลหมายเลขโทรศัพท์ขนาดใหญ่และเครื่องมือตรวจสอบอัตโนมัติเพื่อระบุหมายเลขโทรศัพท์ที่เชื่อมโยงกับบัญชีเว็บเทรดคริปโตที่ยังใช้งานอยู่ รวมถึงบัญชี Crypto.com กว่า 43,000 บัญชีที่ระบุได้จากชุดข้อมูลเยอรมันจำนวน 316,002 หมายเลข”}},{“@type”:”Question”,”name”:”เครื่องมือ AI มีบทบาทอย่างไรในแคมเปญฟิชชิงนี้?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”ผู้ช่วยเขียนโค้ดด้วย AI เช่น GitHub Copilot และ Claude Code ถูกใช้ในงานเขียนโค้ด การเขียนสคริปต์ การแพ็กเกจแอปพลิเคชัน และงานโครงสร้างพื้นฐานสำหรับปฏิบัติการฟิชชิง และผู้ปฏิบัติการได้สลับไปมาระหว่างโมเดลต่าง ๆ หลังจากเจอข้อจำกัดด้านความปลอดภัย”}},{“@type”:”Question”,”name”:”มีการดำเนินการอะไรบ้างหลังการค้นพบ Operation ASTERIX?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Rapid7 ได้แจ้งผู้ให้บริการและหน่วยงานที่เกี่ยวข้อง รวมถึงทีมความปลอดภัยของ Apple และเผยแพร่ผลการค้นพบเมื่อวันที่ 17 สิงหาคม 2026 เพื่อช่วยบรรเทาแคมเปญดังกล่าว”}}]}
บทความนี้จัดทำขึ้นด้วยความช่วยเหลือของปัญญาประดิษฐ์และผ่านการตรวจทานโดยทีมบรรณาธิการแล้ว
