แพลตฟอร์ม Phishing-as-a-Service (PhaaS) รายใหม่ในชื่อ Forg365 ถูกเปิดเผยโดยนักวิจัยจาก ZeroBEC เมื่อวันที่ 9 กรกฎาคม 2026 และกำลังสร้างความกังวลในวงการความปลอดภัยไซเบอร์อย่างมาก เพราะไม่ใช่แค่เครื่องมือ Phishing ธรรมดา แต่เป็น แพลตฟอร์มสำเร็จรูปสำหรับโจมตีบัญชี Microsoft 365 ที่รวมเอาเทคนิคการโจมตีระดับสูงหลายอย่างไว้ในที่เดียว พร้อมฝัง AI ไว้ในแดชบอร์ดโดยตรง เพื่อให้ผู้โจมตีแม้ไม่มีทักษะสูงก็สามารถสร้างแคมเปญโจมตีระดับองค์กรได้ง่ายขึ้นมาก
สิ่งที่ทำให้ Forg365 อันตรายกว่า Phishing ทั่วไปอย่างมีนัยสำคัญ คือการที่มันไม่ได้พยายามขโมยรหัสผ่านของเหยื่อ แต่ใช้ประโยชน์จากกระบวนการ Authentication ของ Microsoft เองเป็นอาวุธ ทำให้แม้ผู้ใช้จะเปิด Multi-Factor Authentication (MFA) ไว้ก็ยังตกเป็นเหยื่อได้
Forg365 คืออะไร
Forg365 เป็น Phishing-as-a-Service (PhaaS) ซึ่งหมายความว่าผู้โจมตีไม่จำเป็นต้องสร้างเครื่องมือโจมตีเอง แต่สามารถ "เช่าใช้" แพลตฟอร์มที่พร้อมใช้งานได้ทันที เปรียบเสมือน SaaS สำหรับอาชญากรไซเบอร์ที่มีแดชบอร์ดบริหารจัดการแคมเปญ ระบบ Tracking และแม้กระทั่ง AI ช่วยเขียนอีเมลหลอกลวง
นักวิจัยของ ZeroBEC ระบุว่า Forg365 มีความคล้ายคลึงกับ PhaaS Platform ชื่อดังอย่าง Kali365 และ Sneaky2FA แต่ยังไม่สามารถพิสูจน์ความเชื่อมโยงได้ชัดเจน จุดเริ่มต้นของการสืบสวนมาจากอีเมล Phishing ที่แอบอ้างเป็นเอกสารธุรกิจ ส่งผ่าน Amazon SES และมีการฝัง Image Tracking จาก SendGrid ซึ่งเป็นการผสมผสานโครงสร้างพื้นฐานที่ถูกกฎหมายเข้ากับการโจมตี เพื่อให้อีเมลผ่านระบบกรอง Spam ได้ง่ายขึ้น
วิธีการโจมตีของ Forg365
Forg365 รองรับ 2 วิธีการโจมตีหลัก ซึ่งทั้งสองแบบมุ่งขโมย Access Token แทนที่จะเป็นรหัสผ่าน
วิธีที่ 1 — Device Code Phishing
Microsoft OAuth 2.0 Device Code Flow เป็น Feature ที่ออกแบบมาสำหรับอุปกรณ์ที่ไม่มีเบราว์เซอร์ เช่น Smart TV หรือ IoT อุปกรณ์ต่างๆ โดยผู้ใช้จะได้รับ Code แล้วนำไปกรอกบน microsoft.com/devicelogin เพื่อเชื่อมต่ออุปกรณ์
Forg365 ใช้ Feature นี้หลอกเหยื่อ โดยแสดงหน้าที่ดูเหมือน Microsoft Authentication Page และขอให้ผู้ใช้กรอก Code บนหน้า Login จริงของ Microsoft เมื่อเหยื่อทำตาม Microsoft จะออก Access Token ที่ถูกต้องตามกฎหมาย ให้อุปกรณ์ของผู้โจมตีโดยอัตโนมัติ โดยเหยื่อไม่รู้ตัวว่ากำลังมอบสิทธิ์การเข้าถึงบัญชีของตัวเองให้คนอื่น
สำคัญมากคือ กระบวนการนี้ผ่าน MFA ได้สมบูรณ์ เพราะผู้ใช้ได้ทำการยืนยันตัวตนผ่านระบบของ Microsoft จริงๆ
วิธีที่ 2 — AiTM (Adversary-in-the-Middle) Phishing
วิธีนี้ Forg365 วางตัวเองเป็น Proxy อยู่ระหว่าง Browser ของเหยื่อกับ Microsoft Server ของจริง ทำให้สามารถดักจับ Session Cookie ได้แบบ Real-time ขณะที่เหยื่อกำลัง Login ผ่านหน้า Authentication จริงของ Microsoft ผลลัพธ์คือผู้โจมตีได้ Session ที่ Active และข้าม MFA ได้เช่นกัน
ความสามารถของแดชบอร์ด Forg365
นักวิจัยของ ZeroBEC สามารถเข้าถึงแดชบอร์ดของ Forg365 และพบว่ามีความสามารถครบครันเกินกว่าที่คาด
AI-Assisted Email Generation คือจุดเด่นที่สำคัญที่สุด ระบบ AI ถูกฝังไว้ในแดชบอร์ดโดยตรง ทำให้ผู้โจมตีสามารถสั่ง AI เขียนอีเมลหลอกลวงที่แนบเนียน ปรับแต่งเนื้อหา และปรับปรุงให้ดูน่าเชื่อถือขึ้นได้จากหน้าเดียวกับที่ใช้บริหารแคมเปญ ตามที่นักวิจัยระบุว่า "AI ไม่เพียงลดต้นทุนในการสร้างเนื้อหา Phishing เท่านั้น แต่ยังลดต้นทุนในการสร้างแพลตฟอร์ม PhaaS เองด้วย"
Account Intelligence Dashboard ช่วยให้ผู้โจมตีติดตามข้อมูลของบัญชีที่ถูก Compromise ได้แบบ Real-time และ Keyword Monitoring ทำการสแกน Mailbox ที่ถูกขโมยเพื่อค้นหาคำสำคัญที่กำหนดไว้ล่วงหน้า เช่น "Password", "Invoice", "Payment" ทำให้ผู้โจมตีระบุเป้าหมายมูลค่าสูงได้อย่างรวดเร็ว
ForgCookie Extension — กุญแจสู่ Persistent Access
หนึ่งในความสามารถที่น่ากังวลที่สุดของ Forg365 คือ ForgCookie Browser Extension ที่รองรับ Google Chrome, Microsoft Edge และ Brave ออกแบบมาเพื่อรักษา Access ไว้แม้ Token เดิมจะหมดอายุ
ForgCookie ทำงานโดยส่งคำขอข้อมูล Account ไปยัง Forg365 Backend, ล้าง Session Cookie เดิม และ Trigger Silent OAuth Flow เพื่อดักจับ Cookie ใหม่โดยอัตโนมัติ ผลลัพธ์คือผู้โจมตีสามารถเข้าถึงบัญชีของเหยื่อได้แบบต่อเนื่องโดยไม่จำเป็นต้องทำขั้นตอนโจมตีซ้ำ
โครงสร้างพื้นฐานและการหลบหลีกการตรวจจับ
Forg365 ใช้โครงสร้างพื้นฐานของบริการที่ถูกกฎหมายเพื่อหลบเลี่ยงการตรวจจับ ได้แก่ Amazon SES สำหรับส่งอีเมล, Cloudflare Pages สำหรับ Landing Page Phishing และ Gophish Infrastructure สำหรับบริหารแคมเปญ
ยิ่งกว่านั้น แพลตฟอร์มยังมีฟีเจอร์ AntiBot ที่ประกอบด้วย AES-Encrypted Redirectors, Bot Detection, Debugger Trap, Sandbox Check และ Polymorphic Code รวมถึงระบบตรวจจับ VPN ที่จะ Redirect ผู้ที่พยายาม Investigate ไปยังหน้าเนื้อหาธรรมดาแทนที่จะเปิดเผยหน้า Phishing จริง
ผลกระทบที่อาจเกิดขึ้น
- บัญชี Microsoft 365 ถูกยึดโดยสมบูรณ์ ผู้โจมตีสามารถอ่านอีเมล, เข้าถึง SharePoint, OneDrive, Teams และส่งอีเมลในนามของเหยื่อได้ทันที
- MFA ไม่ช่วยป้องกัน เพราะ Token ที่ได้มาจากกระบวนการ Authentication จริง ไม่ใช่การปลอมตัว
- Persistent Access ผ่าน ForgCookie ทำให้ผู้โจมตีเข้าถึงบัญชีได้ต่อเนื่องแม้เวลาผ่านไปนาน
- Business Email Compromise (BEC) เป็นความเสี่ยงถัดไปที่สำคัญ เมื่อผู้โจมตีสามารถส่งอีเมลในนามผู้บริหารหรือพนักงานได้
- การโจมตีขยายเป็น Supply Chain เมื่อบัญชีของพนักงานถูกยึด ผู้โจมตีอาจส่ง Phishing ไปยัง Partner และลูกค้าขององค์กรต่อได้
- AI ลด Barrier ของการโจมตี ทำให้ผู้โจมตีที่ไม่มีทักษะสูงสามารถสร้าง Campaign ระดับมืออาชีพได้
สิ่งที่องค์กรควรตรวจสอบทันที
- ตรวจสอบ Conditional Access Policy ว่ามีการจำกัดหรือบล็อก Device Code Flow หรือยัง
- ตรวจสอบ Azure AD / Microsoft Entra Sign-in Log หา Token ที่ถูก Issue ผ่าน Device Code Authentication จาก IP หรือตำแหน่งที่ผิดปกติ
- ตรวจสอบ OAuth Application Consent ใน Microsoft 365 Admin Center หา App ที่ได้รับสิทธิ์โดยไม่คาดคิด
- ตรวจสอบ Mailbox Rules ว่ามี Rule ที่ไม่ได้ตั้งค่าเอง เช่น การ Forward อีเมลไปยังที่อยู่ภายนอกหรือไม่
- ตรวจสอบ Active Sessions และ Device ที่ Authorized ใน Account ว่ามีรายการที่ไม่รู้จักหรือไม่
แนวทางลดความเสี่ยง
1. บล็อก Device Code Flow ผ่าน Conditional Access Policy
สำหรับองค์กรที่ไม่มีความจำเป็นต้องใช้ Device Code Flow (ซึ่งส่วนใหญ่ไม่มี) การบล็อก Flow นี้เป็นวิธีที่มีประสิทธิภาพที่สุดในการป้องกัน Forg365 ประเภทนี้
2. เปิดใช้ Continuous Access Evaluation (CAE)
CAE ช่วยให้ Microsoft สามารถ Revoke Token ได้ทันทีเมื่อตรวจพบความผิดปกติ แทนที่จะต้องรอให้ Token หมดอายุตามกำหนด
3. ตรวจสอบ Alert สำหรับ Anomalous Token Usage
ตั้งค่า Alert ใน Microsoft Sentinel หรือ SIEM ที่ใช้อยู่ สำหรับการใช้งาน Token จาก IP ที่ไม่คุ้นเคย, Impossible Travel หรือการเข้าถึงข้อมูลผิดปกติในช่วงเวลาสั้น
4. ให้ความรู้ผู้ใช้เกี่ยวกับ Device Code Attack
แจ้งให้ผู้ใช้ทุกคนทราบว่า Microsoft ไม่มีนโยบายขอให้กรอก Code ผ่านลิงก์ในอีเมล หากพบการร้องขอลักษณะนี้ให้หยุดทันทีและแจ้งทีม IT
5. Revoke Token และ Session ทันทีหากสงสัยถูก Compromise
อย่ารอให้ Token หมดอายุเอง ให้ดำเนินการ Revoke ทุก Active Session และ Token ทันทีที่ตรวจพบความผิดปกติ
6. เปิดใช้ Microsoft Defender for Office 365
Safe Links และ Safe Attachments ช่วยเพิ่มชั้นป้องกันสำหรับลิงก์ที่แนบมาในอีเมล แม้จะไม่ครอบคลุมทุกเทคนิคที่ Forg365 ใช้
วิเคราะห์ในมุมมองจาก TXEC
Forg365 สะท้อนให้เห็น Trend ที่น่าเป็นห่วงของวงการ PhaaS ที่กำลังวิวัฒนาการเร็วมาก โดยเฉพาะการที่ AI กลายเป็นส่วนหนึ่งของ Attack Chain มาตรฐาน ไม่ใช่แค่โบนัสเพิ่มเติมอีกต่อไป ซึ่งหมายความว่า Barrier ในการเข้าสู่โลกอาชญากรรมไซเบอร์ระดับองค์กรกำลังลดลงอย่างต่อเนื่อง
ความจริงที่ยากจะยอมรับแต่สำคัญมากคือ MFA เพียงอย่างเดียวไม่เพียงพออีกต่อไป Forg365 พิสูจน์ว่าการโจมตีระดับนี้สามารถข้าม MFA ได้โดยไม่ต้องรู้รหัสผ่านเลย องค์กรจำเป็นต้องก้าวข้ามแนวคิดว่า "เปิด MFA แล้วปลอดภัย" ไปสู่การมองภาพรวมของ Identity Security ที่ครอบคลุมทั้ง Token Lifecycle Management, Behavioral Monitoring และ Zero Trust Architecture
สำหรับองค์กรในไทย โดยเฉพาะที่ใช้ Microsoft 365 เป็น Productivity Platform หลัก ซึ่งปัจจุบันมีจำนวนมากในทุกอุตสาหกรรม การตรวจสอบ Conditional Access Policy และการตั้งค่า Azure AD ควรเป็นสิ่งที่ดำเนินการทันที ไม่ใช่รอให้เกิดเหตุการณ์ก่อน
รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า
[ แหล่งอ้างอิง: BleepingComputer, ZeroBEC, CyberSecurityNews, WindowsReport ]