ThaiCERT เตือนระวังมัลแวร์ขโมยบัญชี Claude ข้ามระบบการยืนยันตัวตนแบบสองขั้นตอน (2FA)

ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์ประเทศไทย (ThaiCERT) ได้ออกประกาศแจ้งเตือนข่าวสาร
ความปลอดภัยทางไซเบอร์ โดยอ้างอิงรายงานจากบริษัท Anthropic (ผู้พัฒนาบริการ AI "Claude") เกี่ยวกับการพบมัลแวร์ประเภทขโมยข้อมูล (Infostealer) บนเครื่องคอมพิวเตอร์ของผู้ใช้งาน ซึ่งมัลแวร์ดังกล่าวได้ทำการขโมยข้อมูล Session การล็อกอิน
เพื่อนำไปใช้เข้าถึงบัญชี Claude และใช้งานโควตาโดยไม่ได้รับอนุญาต

รายละเอียดและรูปแบบของการโจมตี

สาเหตุไม่ได้มาจากระบบของ Claude: รายงานระบุชัดเจนว่า เหตุการณ์นี้ไม่ได้เกิดจากช่องโหว่ด้านความปลอดภัยของ Anthropic หรือแอปพลิเคชัน Claude แต่เกิดจากการที่เครื่องคอมพิวเตอร์ของผู้ใช้งานติดมัลแวร์ มัลแวร์จะทำการรวบรวมข้อมูลในเครื่อง เช่น รหัสผ่านจากเว็บเบราว์เซอร์, Login Cookies และข้อมูลรับรองของแอปพลิเคชันอื่นๆ แล้วส่งไปยังผู้โจมตี

อันตรายจากการถูกขโมย Session: มัลแวร์กลุ่มนี้มีความสามารถในการคัดลอก "Session" ที่ผู้ใช้ล็อกอินค้างไว้และผ่านการยืนยันตัวตนเรียบร้อยแล้ว ทำให้ผู้โจมตีสามารถสวมรอยเข้าถึงบัญชีได้ทันที โดยไม่ต้องกรอกรหัสผ่านใหม่ และสามารถข้ามผ่านระบบ
การยืนยันตัวตนแบบสองขั้นตอน (2FA) ได้

ตระกูลมัลแวร์ที่ตรวจพบ:

ระบบ Windows: ตระกูล Vidar, LummaC2, StealC, RedLine และ Acreed

ระบบ Mac: ตระกูล Atomic Stealer (หรือ AMOS)

ช่องทางการติดมัลแวร์: ส่วนใหญ่มักแฝงตัวมากับการดาวน์โหลดไฟล์จากแหล่งที่ไม่น่าเชื่อถือ หรือการติดตั้งแอปพลิเคชันอันตราย

การดำเนินการของ Anthropic และความเสี่ยงที่ยังคงอยู่

ขณะนี้ Anthropic ได้เข้าควบคุมสถานการณ์สำหรับผู้ที่ได้รับผลกระทบแล้ว โดยได้ทำการเพิกถอน (Revoke) Session ที่ถูกขโมยออกจากระบบ, ลบวิธีการชำระเงินที่บันทึกไว้ และทำการคืนเงินค่าบริการที่เกิดจากการสวมรอยใช้งาน

อย่างไรก็ตาม มีข้อควรระวังอย่างยิ่งว่า: การที่ระบบเพิกถอน Session ให้ หรือผู้ใช้ทำการ Log out เอง ไม่ได้เป็นการกำจัดมัลแวร์ออกจากเครื่อง หากมัลแวร์ยังคงฝังตัวอยู่ เมื่อผู้ใช้ล็อกอินใหม่ Session ใหม่ก็อาจจะถูกขโมยซ้ำได้อีก

คำแนะนำและการป้องกันตนเอง

เพื่อความปลอดภัยของข้อมูลส่วนบุคคลและทรัพย์สิน ขอให้บุคลากรและนักศึกษาปฏิบัติตามคำแนะนำดังนี้:

1. สแกนและกำจัดมัลแวร์: ตรวจสอบเครื่องคอมพิวเตอร์ด้วยโปรแกรมป้องกันไวรัสที่น่าเชื่อถือ และกำจัดมัลแวร์ออกจากเครื่องโดยสมบูรณ์

2. เปลี่ยนรหัสผ่านจาก "อุปกรณ์ที่ปลอดภัย": หากสงสัยว่าเครื่องของท่านติดมัลแวร์ ให้ใช้อุปกรณ์อื่นที่มั่นใจว่าปลอดภัย
ในการเปลี่ยนรหัสผ่านบัญชี Claude และบัญชีอื่นๆ

3. เพิกถอน Session ที่น่าสงสัย: ตรวจสอบการตั้งค่าบัญชีและเพิกถอนการเข้าสู่ระบบ (Log out) จากอุปกรณ์ที่ไม่รู้จัก

4. ตรวจสอบบัญชีอื่นๆ: ตรวจสอบบัญชีออนไลน์ที่ใช้ข้อมูลรับรองหรือรหัสผ่านเดียวกัน เพื่อลดความเสี่ยงจากการถูกเข้าถึงซ้ำ

5. หลีกเลี่ยงการดาวน์โหลดไฟล์เสี่ยง: งดเว้นการดาวน์โหลดและติดตั้งโปรแกรมจากแหล่งที่ไม่เป็นทางการ

แหล่งข้อมูลอ้างอิง:
ThaiCERT: Anthropic เตือนมัลแวร์ Infostealer ขโมย Session ของ Claude เสี่ยงถูกเข้าถึงบัญชีโดยไม่ได้รับอนุญาต,
BleepingComputer: Anthropic warns infostealer malware is hijacking Claude sessions to drain usage