พบโดเมนเลียนแบบ AI 186 แห่ง บางส่วนใช้หน้ารับรองปลอมล่อให้รันคำสั่ง

พบโดเมน 186 แห่งที่เลียนแบบแบรนด์บริการ AI 27 แบรนด์ บางแห่งพาผู้เข้าชมไปยังหน้ารับรองความปลอดภัยปลอมหรือหน้าติดตั้งแอป เพื่อชักจูงให้รันคำสั่งหรือติดตั้งโปรแกรม

บริษัทความปลอดภัยไซเบอร์ Island เปิดเผยรายงานเมื่อวันที่ 12 โดยระบุว่าพบโดเมนเลียนแบบ 186 แห่ง ณ วันที่ 3 พ.ย. โดเมนที่เลียนแบบ ChatGPT มีมากที่สุด 25 แห่ง ตามด้วย Claude 18 แห่ง DeepSeek 16 แห่ง และ Runway 12 แห่ง ส่วน Perplexity, Lovable และ Character.ai มีแบรนด์ละ 11 แห่ง

ช่องทางหลักไม่ได้อาศัยการโจมตีช่องโหว่ของบริการ AI แต่เกิดจากผู้ใช้พิมพ์ที่อยู่เว็บไซต์ผิด เช่น พิมพ์ตกไปหนึ่งตัวหรือสลับลำดับตัวอักษร จนเปิดหน้าเว็บที่มีที่อยู่คล้ายกัน

ผู้เข้าชมอาจเห็นหน้าโฆษณาหรือถูกส่งต่อผ่านระบบตัวกลางไปยังหน้าอื่น ปลายทางอาจแตกต่างกันได้ แม้จะเข้าจากโดเมนเดียวกัน โดยขึ้นอยู่กับประเทศ ระบบปฏิบัติการ และเบราว์เซอร์

ที่ cloude[.]ai ซึ่งมีที่อยู่คล้าย Claude พบหน้ารับรอง Cloudflare ปลอมที่ขอให้ผู้ใช้ Windows เปิดหน้าต่างเรียกใช้คำสั่งแล้ววางคำสั่งลงไป

Island ระบุว่าคำสั่งที่วิเคราะห์ไว้ดาวน์โหลดสคริปต์ PowerShell แล้วสั่งให้ทำงานแบบซ่อน อย่างไรก็ตาม ผู้ที่เข้าชมที่อยู่เดียวกันไม่ได้เห็นหน้าจอนี้ทุกคน

รายงานระบุบันทึกการสแกน 550 รายการที่ตรงกับสคริปต์ซึ่งใช้ในหน้ารับรองดังกล่าว โดยครอบคลุมช่วงตั้งแต่เดือนเม.ย. 2025 ถึงเดือนพ.ย. 2026 บันทึกเหล่านี้ไม่ได้หมายความว่ามีการรันคำสั่งหรือติดมัลแวร์จริง 550 ครั้ง

โดเมนทางเข้าที่พบในบันทึกการสแกนมี 211 แห่ง รวมถึงที่อยู่ที่เลียนแบบธนาคาร บริษัทประกัน และซอฟต์แวร์สำหรับองค์กรด้วย ดังนั้นขอบเขตการนับจึงต่างจากโดเมนเลียนแบบแบรนด์ AI 186 แห่ง

อีกช่องทางหนึ่งใช้โดเมนสะกดเลียนแบบ 8 แห่งของ Claude, DeepSeek, Copilot, ElevenLabs และ Voice AI พาผู้เข้าชมผ่านหน้าจอ “Security Check” ปลอมไปยังหน้าติดตั้ง Net Guard โดยชักจูงให้ผ่านขั้นตอนตรวจสอบก่อนติดตั้งแอป

Island ระบุว่าแฮชของไฟล์ติดตั้งที่นำมาวิเคราะห์ตรงกับแอปที่ลงทะเบียนใน Microsoft Store ส่วนโค้ดของแอปมีความสามารถในการเปลี่ยนการตั้งค่าการค้นหาของเบราว์เซอร์และเรียกใช้สคริปต์ที่ส่งมาจากระยะไกล

โดเมน preplexity[.]ai ซึ่งเลียนแบบ Perplexity เชื่อมไปยังหน้าติดตั้งส่วนขยาย Chrome ชื่อ Quick Search Island วิเคราะห์ว่าส่วนขยายนี้เปลี่ยนเส้นทางค้นหาเริ่มต้นให้ผ่านเซิร์ฟเวอร์ของบุคคลที่สาม และส่งคำค้นหาจากแถบที่อยู่ไปยังเซิร์ฟเวอร์ดังกล่าว

มีส่วนขยาย 30 รายการที่เชื่อมโยงกับวิธีติดตั้งแบบเดียวกัน เนื้อหารายงานระบุว่ามี 13 รายการถูกลบและเหลือ 17 รายการ โดยยอดผู้ใช้ที่แสดงในร้านค้าของส่วนขยายที่ยังเหลือรวมกันอยู่ที่ 972,000 คน ณ วันที่ 3 พ.ย.

อย่างไรก็ตาม คำอธิบายภาพในรายงานฉบับเดียวกันระบุว่ามีส่วนขยาย 16 รายการที่แสดงจำนวนผู้ใช้ ตัวเลขที่แสดงในร้านค้าไม่เท่ากับจำนวนผู้ใช้จริงหรือจำนวนผู้เสียหาย

รายงานอีกฉบับของ Socket เมื่อวันที่ 29 ต.ค. นับส่วนขยายเบราว์เซอร์ 319 รายการที่เปลี่ยนเส้นทางการค้นหา และระบุว่ามีการติดตั้งราว 13.4 ล้านครั้ง ตัวเลขดังกล่าวไม่ได้ใช้ตรวจสอบโดเมนหรือขนาดความเสียหายที่ Island ศึกษา

งานศึกษาของ Infoblox ยังกล่าวถึงโฆษณาบนโดเมนที่จอดพักไว้ ซึ่งอาจส่งผู้เข้าชมผ่านระบบตัวกลางไปยังหน้าเว็บเสี่ยงภัย ก่อนหน้านี้ TokenPost เคยรายงานกรณีโดเมนเลียนแบบองค์กรชักชวนให้โอนเทเธอร์(USDT) ส่วนรายงานของ Island ฉบับนี้กล่าวถึงช่องทางที่ชักจูงให้รันคำสั่งและติดตั้งแอปหรือส่วนขยาย

แผนภาพหนึ่งในรายงาน Island ระบุเส้นทางหนึ่งว่าเป็น “การหลอกลวงเกี่ยวกับสินทรัพย์ดิจิทัล” แต่เนื้อหารายงานไม่ได้อธิบายสินทรัพย์หรือกระเป๋าเงินที่เกี่ยวข้อง หรือมูลค่าความเสียหาย จึงไม่มีข้อมูลเพียงพอที่จะสรุปว่าเป็นกรณีความเสียหายจากสินทรัพย์ดิจิทัลจริง