พบส่วนขยายเบราว์เซอร์ 19 ตัวฝังโค้ดขโมยกระเป๋าเงินดิจิทัลและข้อมูลรับรอง

นักวิจัยพบส่วนขยายเบราว์เซอร์ 19 ตัวที่ฝังโค้ดขโมยกระเป๋าเงินดิจิทัล ข้อมูลรับรองบัญชี และประวัติการใช้งาน โดยผู้โจมตีใช้วิธีซื้อส่วนขยายที่มีผู้ใช้อยู่แล้วมาปล่อยอัปเดตที่มีโค้ดอันตรายภายหลัง

Karlo Zanki นักวิจัยของ Socket เปิดเผยกลุ่มส่วนขยายเบราว์เซอร์ที่เป็นอันตรายรวม 19 ตัว แบ่งเป็นบน Chrome 18 ตัวและบน Edge 1 ตัว โดยตัวที่มีผู้ใช้มากที่สุดเป็นส่วนขยายประเภทปลดล็อกการคลิกขวาและคัดลอกข้อความ ซึ่งมียอดติดตั้งราว 80,000 ราย

วิธีที่ทำให้ส่วนขยายเหล่านี้เข้าถึงผู้ใช้ได้คือจุดที่น่ากังวลที่สุด ผู้โจมตีใช้สองแนวทางควบคู่กัน แนวทางแรกคือติดต่อซื้อส่วนขยายที่มีผู้ใช้อยู่แล้วจากเจ้าของเดิมจำนวน 5 ตัว และแนวทางที่สองคือสร้างส่วนขยายขึ้นใหม่เอง 14 ตัว จากนั้นปล่อยเวอร์ชันที่สะอาดออกมาก่อนเพื่อสร้างฐานผู้ใช้และผ่านการตรวจของร้านค้า แล้วค่อยผลักอัปเดตที่มีโค้ดอันตรายตามมาภายหลัง ซึ่งการตั้งค่าอัปเดตอัตโนมัติของเบราว์เซอร์ทำให้โค้ดอันตรายถูกติดตั้งลงเครื่องผู้ใช้เองโดยไม่ต้องทำอะไรเพิ่ม

ความสามารถของโค้ดที่ฝังมาครอบคลุมหลายด้าน ทั้งการดูดกระเป๋าเงินดิจิทัลข้ามหลายเครือข่าย การเก็บวลีกู้คืนของกระเป๋าเงินแบบฮาร์ดแวร์ การขโมยข้อมูลรับรองของบัญชีกระดานแลกเปลี่ยน การดักข้อมูลจากฟอร์มทุกประเภทแบบครอบจักรวาล การขโมยบัญชีโซเชียลอย่าง Facebook และ LinkedIn การดึงประวัติการเข้าเว็บ และการแสดงหน้าหลอกให้อัปเดตเบราว์เซอร์ในรูปแบบที่เรียกว่า ClickFix

แคมเปญนี้เคลื่อนไหวมาตั้งแต่เดือนกุมภาพันธ์ 2024 และเคยมีการบันทึกกิจกรรมไว้เมื่อเดือนพฤษภาคม 2025 แต่การตรวจสอบรอบล่าสุดพบว่าขอบเขตกว้างกว่าที่เคยเข้าใจไว้มาก

สิ่งที่องค์กรไทยควรทำมีสองระดับ ระดับผู้ใช้คือถอนส่วนขยายที่ไม่ได้ใช้งานจริงออกให้หมด ตรวจสอบสิทธิ์ที่ส่วนขยายแต่ละตัวขอไว้ว่าเกินความจำเป็นหรือไม่ และระวังเป็นพิเศษกับส่วนขยายที่เปลี่ยนมือเจ้าของ ส่วนระดับองค์กรคือกำหนดนโยบายให้ติดตั้งได้เฉพาะส่วนขยายในบัญชีที่อนุมัติแล้ว ซึ่งทำได้ผ่านการตั้งค่าจัดการเบราว์เซอร์แบบรวมศูนย์ เพราะเครื่องพนักงานหนึ่งเครื่องที่มีส่วนขยายอันตรายเท่ากับมีคนอ่านทุกอย่างที่พนักงานคนนั้นพิมพ์ลงในเบราว์เซอร์ รวมถึงระบบภายในของบริษัทด้วย