អ្នកវាយប្រហារប្រើប្រាស់ CAPTCHA និង ClickFix ដើម្បីជំរុញយុទ្ធនាការលួចព័ត៌មានសម្ងាត់

ឧក្រិដ្ឋជនតាមអ៊ីនធឺណិតលែងពឹងផ្អែកលើល្បិចអ៊ីមែលសាមញ្ញៗតែម្នាក់ឯងទៀតហើយ។ នៅទូទាំងត្រីមាសទីមួយនៃឆ្នាំ ២០២៦ អ្នកវាយប្រហារបានធ្វើឱ្យវិធីសាស្រ្តរបស់ពួកគេកាន់តែច្បាស់ដោយប្រើទំព័រ CAPTCHA និងបច្ចេកទេស ClickFix ដើម្បីបង្កើនប្រតិបត្តិការលួចអត្តសញ្ញាណប័ណ្ណក្នុងទំហំគួរឱ្យព្រួយបារម្ភ។

ក្នុងអំឡុងត្រីមាសទី ១ ឆ្នាំ ២០២៦ ក្រុមហ៊ុន Microsoft Threat Intelligence បានតាមដានការគំរាមកំហែងបន្លំតាមអ៊ីមែលប្រហែល ៨,៣ ពាន់លានករណីរវាងខែមករា និងខែមីនា ដោយបន្លំអត្តសញ្ញាណប័ណ្ណនៅតែជាគោលដៅលេចធ្លោពេញមួយរយៈពេលនេះ។

និន្នាការដែលគួរឱ្យចាប់អារម្មណ៍បំផុតគឺការកើនឡើងយ៉ាងខ្លាំងនៃការបន្លំតាម CAPTCHA ដែលបានកើនឡើងទ្វេដងនៅក្នុងខែមីនាតែមួយ ដោយវាយប្រហារចំនួន ១១,៩ លានករណី ដែលជាបរិមាណខ្ពស់បំផុតដែលឃើញក្នុងរយៈពេលជាងមួយឆ្នាំ។

នៅពេលដែលអ្នកការពារបានរីកចម្រើនកាន់តែប្រសើរឡើងក្នុងការចាប់អ៊ីមែលបន្លំសាមញ្ញៗ អ្នកវាយប្រហារបានផ្លាស់ប្តូរទៅរកល្បិចវិស្វកម្មសង្គមជាស្រទាប់ៗដែលលាយបញ្ចូលគ្នានូវការត្រួតពិនិត្យសុវត្ថិភាពក្លែងក្លាយជាមួយនឹងទំព័រដែលមើលទៅស្របច្បាប់ដើម្បីបញ្ឆោតអ្នកប្រើប្រាស់ និងម៉ាស៊ីនស្កេនដោយស្វ័យប្រវត្តិ។

អ្វីដែលធ្វើឱ្យរលកនេះគួរឱ្យព្រួយបារម្ភជាពិសេសគឺថាតើយុទ្ធសាស្ត្រកំពុងវិវត្តយ៉ាងឆាប់រហ័សប៉ុណ្ណា។ ភ្នាក់ងារគំរាមកំហែងបានបង្វិលទម្រង់ចែកចាយយ៉ាងសកម្មពីឯកសារ HTML ទៅឯកសារភ្ជាប់ SVG ឯកសារ PDF និងឯកសារ Word ក្នុងរយៈពេលត្រឹមតែប៉ុន្មានសប្តាហ៍ប៉ុណ្ណោះ ដោយពិសោធន៍ដើម្បីស្វែងរកអ្វីដែលរអិលចេញពីតម្រងអ៊ីមែលប្រកបដោយប្រសិទ្ធភាពបំផុត។

នៅចុងត្រីមាស ឯកសារភ្ជាប់ PDF បានលេចចេញជាឧបករណ៍ផ្ទុកទូទៅបំផុតសម្រាប់ខ្លឹមសារបន្លំតាម CAPTCHA ដែលកើនឡើង 356% គួរឱ្យភ្ញាក់ផ្អើលនៅក្នុងខែមីនា បន្ទាប់ពីការធ្លាក់ចុះជាលំដាប់អស់រយៈពេលជាច្រើនខែ។ ការបង្វិលប្រភេទឯកសារយ៉ាងឆាប់រហ័សនេះបង្ហាញថាអ្នកវាយប្រហារកំពុងដំណើរការការពិសោធន៍ស្ទើរតែភ្លាមៗប្រឆាំងនឹងប្រព័ន្ធសុវត្ថិភាពអ៊ីមែល។

អ្នកវិភាគរបស់ Microsoft បានកំណត់អត្តសញ្ញាណ និងតាមដានយុទ្ធនាការទាំងនេះមួយចំនួនយ៉ាងលម្អិត ដោយកត់សម្គាល់ពីរបៀបដែលភ្នាក់ងារគំរាមកំហែងបានផ្សំបញ្ហាប្រឈម CAPTCHA ក្លែងក្លាយជាមួយនឹងការរៀបចំបែប ClickFix ដើម្បីរំលងការគ្រប់គ្រងសុវត្ថិភាពធម្មតា។

នៅក្នុងការវាយប្រហារ ClickFix ប្រអប់បញ្ចូល CAPTCHA ក្លែងក្លាយបញ្ឆោតអ្នកប្រើប្រាស់ឱ្យចម្លង និងដំណើរការពាក្យបញ្ជាព្យាបាទនៅលើឧបករណ៍ផ្ទាល់ខ្លួនរបស់ពួកគេ ក្រោមការចាប់អារម្មណ៍មិនពិតថាពួកគេកំពុងបំពេញជំហានផ្ទៀងផ្ទាត់របស់មនុស្ស។

នេះលុបបំបាត់តម្រូវការសម្រាប់ការទាញយកមេរោគបែបប្រពៃណីទាំងស្រុង ដោយសារជនរងគ្រោះប្រតិបត្តិកូដរបស់អ្នកវាយប្រហារដោយមិនដឹងខ្លួន។

វេទិកា​បោកប្រាស់​តាម​រយៈ​ការ​បន្លំ​តាម​រយៈ​ការ​ប្រើ​ប្រាស់​សេវា (PhaaS) របស់ Tycoon2FA ដែល​ត្រូវ​បាន​តាមដាន​ដោយ Microsoft ដោយ​មាន​ឈ្មោះ​ថា Storm-1747 នៅ​តែ​ជា​តួអង្គ​សំខាន់​ក្នុង​វិស័យ​នេះ​ក្នុង​អំឡុង​ត្រីមាស​ទី 1 ឆ្នាំ 2026 ទោះបីជា​ការ​ក្លែង​បន្លំ​របស់​ខ្លួន​លើ​ទេសភាព​បោកប្រាស់​ដែល​មាន​ការ​កំណត់​ដោយ CAPTCHA បាន​ចុះខ្សោយ​ក្នុង​ត្រីមាស​នេះ​ក៏ដោយ។

ខណៈ​ពេល​ដែល Tycoon2FA បាន​បង្ហោះ​គេហទំព័រ​បោកប្រាស់​ជាង​បី​ភាគ​បួន​ដែល​មាន​ការ​កំណត់​ដោយ CAPTCHA នៅ​ចុង​ឆ្នាំ 2025 ចំណែក​នោះ​បាន​ធ្លាក់​ចុះ​មក​ត្រឹម​តែ 41% នៅ​ត្រឹម​ខែ​មីនា ឆ្នាំ 2026 ដែល​បង្ហាញ​ថា​អ្នក​ទទួល​បាន​បើក​ឯកសារ SVG ដែល​ភ្ជាប់​មក​ជាមួយ កម្មវិធីរុករកតាមអ៊ីនធឺណិតរបស់ពួកគេនឹងផ្ទុកដោយស្ងៀមស្ងាត់ ហើយទាញយកខ្លឹមសារពីដែនដែលគ្រប់គ្រងដោយអ្នកវាយប្រហារ ដោយបង្ហាញអេក្រង់ "ការត្រួតពិនិត្យសុវត្ថិភាព" CAPTCHA ក្លែងក្លាយ។

នៅពេលដែលអ្នកប្រើប្រាស់បានបញ្ចប់ការត្រួតពិនិត្យក្លែងក្លាយ ពួកគេត្រូវបានបញ្ជូនបន្តទៅកាន់ទំព័រចូលក្លែងក្លាយដែលត្រូវបានរចនាឡើងដើម្បីលួចយកព័ត៌មានសម្ងាត់គណនីរបស់ពួកគេ។

យុទ្ធនាការដាច់ដោយឡែកមួយនៅថ្ងៃទី 17 ខែមីនា ឆ្នាំ 2026 បានគូសបញ្ជាក់បន្ថែមទៀតអំពីទំហំនៃប្រតិបត្តិការទាំងនេះ។ សារ HTML ព្យាបាទជាង 1.5 លានត្រូវបានផ្ញើទៅកាន់អង្គការជាង 179,000 នៅក្នុងប្រទេសចំនួន 43 ដោយអ៊ីមែលនីមួយៗមានឯកសារភ្ជាប់ HTML ដែលបើកដំណើរការក្នុងស្រុក និងបញ្ជូនជនរងគ្រោះតាមរយៈទំព័ររៀបចំមុនពេលចុះចតនៅលើគេហទំព័របន្លំបន្លំដែលមាន CAPTCHA។

Microsoft ណែនាំឱ្យអង្គការនានាធ្វើសកម្មភាពលើទិដ្ឋភាពជាច្រើនដើម្បីកាត់បន្ថយការប្រឈមនឹងការគំរាមកំហែងទាំងនេះ។ អ្នកប្រើប្រាស់គួរតែត្រូវបានបណ្តុះបណ្តាលតាមរយៈការក្លែងធ្វើបន្លំ និងកម្មវិធីយល់ដឹងជាប្រចាំ ដើម្បីឱ្យពួកគេអាចស្គាល់បញ្ហាប្រឈម CAPTCHA ក្លែងក្លាយ និងឯកសារភ្ជាប់អ៊ីមែលគួរឱ្យសង្ស័យ មុនពេលធ្វើសកម្មភាពលើពួកគេ។

អង្គការនានាគួរតែបើក Safe Links និង Safe Attachments នៅក្នុង Microsoft Defender សម្រាប់ Office 365 ធ្វើឱ្យ Zero-hour auto purge (ZAP) សកម្មដើម្បីធ្វើការដាក់ឱ្យនៅដាច់ដោយឡែកពីសារព្យាបាទ និងបើកការការពារបណ្តាញនៅក្នុង Microsoft Defender សម្រាប់ Endpoint។

វិធីសាស្ត្រផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវដោយគ្មានពាក្យសម្ងាត់ដូចជាសោ FIDO ឬ Microsoft Authenticator គួរតែត្រូវបានដាក់ពង្រាយនៅកន្លែងដែលអាចធ្វើទៅបាន ខណៈពេលដែលគោលការណ៍ចូលប្រើតាមលក្ខខណ្ឌគួរតែអនុវត្តការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវពហុកត្តាដែលធន់នឹងការបន្លំសម្រាប់គណនីដែលមានសិទ្ធិ។