ThaiCERT รายงานอ้างสื่อ IT เตือนภัยกลโกง CAPTCHA ปลอม หลอกคลิกเพื่อส่ง SMS ต่างประเทศ สูญเงินโดยไม่รู้ตัว

27 เมษายน 2569 ThaiCERT รายงานอ้างสื่อ hackread.com ระบุว่า นักวิจัยจากทีม Threat Intelligence ของ Infoblox ตรวจพบแคมเปญการฉ้อโกงระดับโลกที่แยบยลในชื่อ Click2SMS ซึ่งมิจฉาชีพได้นำระบบ CAPTCHA ที่เราคุ้นเคยในการยืนยันตัวตนมาดัดแปลงเป็นเครื่องมือในการทำ International Revenue Share Fraud (IRSF) กลโกงนี้มีเป้าหมายเพื่อสูบเงินจากบัญชีหรือบิลโทรศัพท์ของผู้เสียหายผ่านการส่งข้อความ SMS ไปยังหมายเลขปลายทางในต่างประเทศที่มีค่าธรรมเนียมสูง เช่น อาเซอร์ไบจาน คาซัคสถาน และเมียนมา โดยพบว่าขบวนการนี้เริ่มดำเนินการมาตั้งแต่ปี 2020 และยังคงมีการพัฒนาเทคนิคใหม่ ๆ เพื่อหลบเลี่ยงการตรวจจับมาจนถึงปัจจุบัน

รูปแบบการโจมตีจะเริ่มจากการล่อลวงให้ผู้ใช้เข้าสู่เว็บไซต์ผ่านโดเมนเลียนแบบที่มีชื่อคล้ายกับแบรนด์โทรคมนาคมชื่อดัง เมื่อเหยื่อหลงเชื่อเข้าสู่หน้าเว็บ จะพบกับหน้า CAPTCHA ปลอม ที่สอบถามข้อมูลทั่วไป เช่น ประเภทอุปกรณ์ที่ใช้หรือความเร็วอินเทอร์เน็ต ทันทีที่เหยื่อคลิกตอบคำถาม สคริปต์ JavaScript ที่ชื่อ makeTrackerDownload.php จะทำงานโดยการสั่งให้สมาร์ทโฟนเปิดแอปพลิเคชัน SMS ขึ้นมาพร้อมใส่ข้อความและรายชื่อเบอร์โทรศัพท์ต่างประเทศจำนวนมากไว้ล่วงหน้า กว่าจะผ่านขั้นตอนการยืนยันตัวตนครบ 4 ขั้นตอน เหยื่ออาจเผลอกดส่งข้อความไปแล้วกว่า 60 ข้อความ ถึง 50 ปลายทางใน 17 ประเทศ ซึ่งสร้างภาระค่าใช้จ่ายสูงถึง 30 ดอลลาร์สหรัฐ ต่อการเข้าชมเพียงครั้งเดียว

นอกจากนี้ มิจฉาชีพยังใช้เทคนิค Back Button Hijacking หรือการยึดปุ่มย้อนกลับ เพื่อกักเหยื่อให้อยู่ในหน้าเว็บไซต์นานที่สุด โดยหากผู้ใช้พยายามกดออกจากหน้าเว็บ สคริปต์จะทำการรีเฟรชหน้าเดิมซ้ำ ๆ เพื่อบังคับให้ทำขั้นตอนการส่งข้อความให้เสร็จสิ้น จากการสืบสวนพบว่าโครงสร้างพื้นฐานของกลุ่มนี้เชื่อมโยงกับเครือข่ายในยุโรปที่เคยใช้แพร่กระจายมัลแวร์มาก่อน ทั้งนี้ ขอเตือนผู้ใช้งานว่าระบบยืนยันตัวตน CAPTCHA ที่ได้มาตรฐานและถูกกฎหมายจะไม่มีการขอให้ผู้ใช้ส่ง SMS เพื่อพิสูจน์ตัวตนแต่อย่างใด