Barracuda: อีเมลฟิชชิงฉบับเดียวตอนนี้มุ่งเป้าทั้งผู้รับและ AI ในกล่องจดหมายของพวกเขา

เมื่อวันที่ 7 ตุลาคม 2026 Barracuda Research ได้เผยแพร่บทวิเคราะห์เกี่ยวกับแคมเปญฟิชชิงที่ออกแบบมาเพื่อโจมตีผู้รับสารสองรายด้วยข้อความเดียวกัน ได้แก่ บุคคลที่ได้รับอีเมล และผู้ช่วย AI ที่สรุปกล่องจดหมายของผู้นั้น ครึ่งที่มุ่งเป้าไปยังมนุษย์นั้นไม่มีอะไรน่าสังเกต—ไฟล์แนบที่ป้องกันด้วยรหัสผ่านซึ่งเขียนรหัสผ่านไว้ในเนื้อความ ซึ่ง Barracuda กล่าวว่าการผสมผสานนี้ "สร้างจุดบอดให้กับการควบคุมความปลอดภัยอีเมลแบบดั้งเดิม" ครึ่งหลังเป็นเรื่องใหม่ ซ่อนอยู่ภายในอีเมลเดียวกัน — ในคอมเมนต์ HTML ข้อความที่มองไม่เห็นด้วย CSS บล็อกที่เข้ารหัส Base64 และอักขระความกว้างศูนย์ — เป็นคำสั่งที่มุ่งเป้าไปยังโมเดลใดก็ตามที่แยกวิเคราะห์อีเมล โดยมีเจตนาทำให้ผู้ช่วย "นำเสนออีเมลฟิชชิงว่าเป็นของจริงหรือเร่งด่วน" หรือทำให้ผู้ช่วยลงมือทำด้วยตัวเอง

Barracuda กล่าวว่าตัวอย่างที่ตรวจสอบนั้นถูกปลอมแปลงให้ดูเหมือนจดหมายโต้ตอบภายในตามปกติ และมีคะแนนสแปมที่เชื่อถือได้ และมีต้นกำเนิดมาจากโดเมนของภาครัฐ คลังข้อมูลไม่บันทึกเหยื่อที่ยืนยันได้และไม่มีความเสียหายที่ถูกรายงาน: นี่คือผลการวิจัยเกี่ยวกับรูปแบบการโจมตี ไม่ใช่การเปิดเผยองค์กรที่ถูกบุกรุก Barracuda ไม่ได้เปิดเผยขนาดของแคมเปญ และทั้ง Infosecurity Magazine และ The Hacker News — ซึ่งทั้งคู่ได้รายงานเกี่ยวกับงานวิจัยนี้ — ต่างก็ไม่สามารถให้ตัวเลขเพิ่มเติมได้

สิ่งที่ Barracuda เผยแพร่จริง ๆ

บทความนี้เป็นโพสต์บล็อกวิจัยภัยคุกคามของผู้จำหน่ายรายหนึ่ง มีชื่อว่า “Threat Spotlight: Email attacks target both humans and AI in the same message” และระบุชื่อผู้เขียนว่า Guruprasad Kenja ซึ่งได้รับการบรรยายว่าเป็นนักวิเคราะห์ภัยคุกคามของ Barracuda โดยระบุวันที่ 7 ตุลาคม 2026 ในพาธ URL และมีตราประทับ “Updated: Oct. 6, 2026” อยู่บนหน้าตัวบทความเอง ข่าวของ Infosecurity Magazine ซึ่งเขียนโดย Alessandro Mascellino ลงวันที่ 7 ตุลาคม และบทสรุปข่าว ThreatsDay ที่ The Hacker News ซึ่งเผยแพร่เมื่อวันที่ 8 ตุลาคม ได้ลิงก์ไปยังโพสต์ Barracuda ชิ้นเดียวกัน ความคลาดเคลื่อนหนึ่งวันระหว่างวันที่ใน URL กับตราประทับบนหน้าเว็บเป็นของ Barracuda เอง และไม่มีแหล่งใดในสามแหล่งนี้อธิบายความคลาดเคลื่อนดังกล่าว

กรอบความคิดของ Barracuda คือผู้ช่วยได้กลายเป็นพื้นผิวการโจมตีที่สอง ในคำพูดของบริษัท องค์กรต่างๆ "ต้องรักษาความปลอดภัยไม่เพียงแต่ผู้ใช้และกล่องจดหมายเท่านั้น แต่ยังรวมถึงระบบ AI ที่ใช้และดำเนินการกับข้อมูลอีเมลด้วย" งานวิจัยนี้อธิบายถึงข้อความเดียวที่มีเพย์โหลดสองอย่าง แทนที่จะเป็นช่องโหว่ใหม่: เหยื่อล่อแบบวิศวกรรมสังคมแบบเดิมคือสิ่งที่ตัวกรองถูกสร้างขึ้นมาเพื่อจับ และการฉีดพรอมต์ถูกวางไว้ในตำแหน่งที่ตัวกรองในอดีตไม่เคยตรวจสอบ

ตัวอย่าง: สร้างมาเพื่อผ่านการตรวจสอบชื่อเสียง

Barracuda ระบุคุณสมบัติสามประการของข้อความนี้ ซึ่งตามคำอธิบายของบริษัทแล้ว ช่วยให้ข้อความนี้เล็ดลอดผ่านการกรองตามชื่อเสียงไปได้:

• ที่อยู่ผู้ส่งและผู้รับเป็นกล่องจดหมายเดียวกัน ข้อความจึงดูเหมือนเป็นบันทึกถึงตัวเองมากกว่าอีเมลจากภายนอก

• มันมีคะแนนความเชื่อมั่นว่าเป็นสแปมที่เชื่อถือได้

• มีต้นกำเนิดมาจากโดเมนภาครัฐ

Barracuda ไม่ระบุชื่อโดเมนของหน่วยงานภาครัฐ ไม่ได้บอกว่าโดเมนนั้นเป็นต้นทางที่แท้จริงของข้อความหรือเป็นต้นทางที่ถูกปลอมแปลง และไม่ระบุวันที่ที่ข้อความนี้ถูกพบเห็น ช่องว่างเหล่านี้สำคัญสำหรับใครก็ตามที่พยายามประเมินว่าแคมเปญนี้ใกล้จะได้ผลมากแค่ไหน และมันเป็นช่องว่างในแหล่งข่าวปฐมภูมิ ไม่ใช่สิ่งที่สำนักข่าวอื่นเติมเข้ามา

ครึ่งที่ซ่อนอยู่: สี่วิธีที่คำสั่งถูกลักลอบนำเข้ามา

Barracuda ระบุชื่อเทคนิคสี่อย่างว่าเป็นเทคนิคที่พบเห็นได้บ่อย ทั้งสี่อาศัยความไม่สมมาตรแบบเดียวกัน: ไคลเอนต์อีเมลเรนเดอร์ข้อความด้วยวิธีหนึ่ง ขณะที่โมเดลซึ่งอ่านซอร์สดิบมองเห็นทุกสิ่งทุกอย่างที่ไคลเอนต์ซ่อนไว้

แต่ละรายการในรายการนั้นเป็นคำอธิบายของพาหะ ไม่ใช่ของเอฟเฟกต์ และ Barracuda ระบุชัดเจนว่าการฉีดเหล่านั้นถูกออกแบบมาให้ทำงานกับผู้ช่วย ไม่ใช่กับตัวบุคคล แท็กประเภทของบันทึกคือ IPI — การฉีดพรอมป์ต์ทางอ้อม — ซึ่งเป็นคำมาตรฐานสำหรับคำสั่งที่เข้ามาภายในเนื้อหาที่โมเดลถูกขอให้ประมวลผล แทนที่จะถูกพิมพ์โดยผู้ใช้ของมัน

สิ่งที่การฉีดเหล่านั้นมีจุดประสงค์จะทำ

คำอธิบายของ Barracuda เกี่ยวกับเป้าหมายของเพย์โหลดดำเนินไปในสองแนวทาง แนวทางที่นุ่มนวลกว่าพยายามบิดเบือนบทสรุป: หากมนุษย์ไม่สนใจไฟล์แนบ ข้อความที่ซ่อนอยู่มีจุดประสงค์เพื่อทำให้ผู้ช่วยอธิบายว่าข้อความนั้นชอบด้วยกฎหมายหรือเร่งด่วน ผลักดันให้ผู้รับเปิดและคลิก Barracuda กล่าวว่าคำสั่งเหล่านี้ไม่มีคำสั่งใดปรากฏให้ผู้ใช้เห็น แนวทางที่แข็งกร้าวกว่าพยายามเปลี่ยนผู้ช่วยให้กลายเป็นผู้ลงมือกระทำ — โดยสั่งให้มัน "เพิกเฉยต่อคำสั่งก่อนหน้า" และหันไปส่งคำขอเร่งด่วนให้โอนเงิน รั่วไหลข้อมูล หรือทำให้การดำเนินการเร่งด่วนปลอมปรากฏขึ้น

ตัวอย่างในโลกจริงที่แนบมาซึ่ง Barracuda อ้างถึง แสดงให้เห็นกลไกเดียวกันที่ถูกนำไปใช้กับเวิร์กโฟลว์อื่น ๆ ที่มี AI เป็นสื่อกลาง:

• อีเมลใบแจ้งหนี้ที่มีบล็อกข้อความซ่อนอยู่ ซึ่งสั่งให้โมเดลที่ทำหน้าที่สรุปเพิ่มรายการดำเนินการลำดับความสำคัญปลอมที่เปลี่ยนแปลงรายละเอียดการชำระเงินของผู้ขาย โดยชี้นำให้พนักงานโอนเงินไปให้ผู้โจมตี

• เรซูเม่ที่ข้อความซึ่งซ่อนไว้สั่งให้เครื่องมือคัดกรอง AI ให้คะแนนผู้สมัคร 10 เต็ม 10 และแนะนำให้สัมภาษณ์ทันทีโดยไม่คำนึงถึงคุณสมบัติ

• คำขอที่ถูกนำเสนอว่าเป็น "โหมดบำรุงรักษาหรือโหมดผู้ดูแลระบบ" ที่ได้รับอนุญาต ซึ่งขอให้บอทสนับสนุนเปิดเผยการตั้งค่าของตัวเอง

• เอกสารที่ถูกวางยาพิษบนหน้าเว็บที่ผู้ช่วยเขียนโค้ดอ่านอยู่ โดยสั่งให้มันแทรกบรรทัดสำหรับขโมยข้อมูลรับรองทุกครั้งที่มันสร้างโค้ดยืนยันตัวตน

สิ่งเหล่านี้ถูกอธิบายว่าเป็นตัวอย่างของเทคนิคนี้ ไม่ใช่การละเมิดที่ยืนยันแล้ว ไม่มีข้อความใดในโพสต์ของ Barracuda ที่บอกว่าโมเดลสำหรับสรุปข้อความ เครื่องมือคัดกรอง บอตสนับสนุน หรือผู้ช่วยเขียนโค้ดได้ปฏิบัติตามจริงในการปรับใช้จริง และคลังเก็บข้อมูลบันทึก real_harm ว่าเป็นเท็จ

สิ่งใดได้รับการยืนยันแล้ว และสิ่งใดยังไม่

ความแตกต่างนี้สำคัญตรงนี้มากกว่าในบันทึกเหตุการณ์ส่วนใหญ่ เพราะบันทึกนี้อธิบายถึงการออกแบบมากกว่าผลลัพธ์

• ยืนยันแล้ว: Barracuda Research ตรวจสอบแคมเปญฟิชชิงที่ผสมผสานไฟล์แนบที่ป้องกันด้วยรหัสผ่านเข้ากับพรอมป์ต์อินเจกชันที่ซ่อนอยู่ภายในข้อความเดียวกัน และเผยแพร่บทวิเคราะห์เมื่อวันที่ 7 ตุลาคม 2026 เทคนิคการซ่อนเร้นทั้งสี่และตัวอย่างการใช้งานทั้งสี่ระบุไว้ในโพสต์นั้น สื่อสองแห่งที่เป็นอิสระต่อกัน — Infosecurity Magazine และ The Hacker News — รายงานข้อค้นพบเดียวกันโดยไม่ขัดแย้งกับข้อค้นพบเหล่านั้น ซึ่งเป็นเหตุให้ความเชื่อมั่นของบันทึกได้รับการจัดเกรดเป็น A

• ยังไม่เป็นที่ยืนยัน: ว่ามีผู้ช่วยคนใดถูกยึดจริงหรือไม่, มีการส่งข้อความจำนวนเท่าใด, ใครเป็นผู้รับข้อความเหล่านั้น, และมีเงินถูกโอนหรือข้อมูลรั่วไหลหรือไม่ Barracuda ปฏิเสธที่จะเปิดเผยขนาดของแคมเปญ ไม่มีหน่วยงานกำกับดูแล องค์กรเหยื่อ หรือผู้ให้บริการด้านความปลอดภัยรายใดยืนยันการบุกรุกที่เฉพาะเจาะจง และไม่มีฝ่ายใดที่ถูกระบุชื่อเชื่อมโยงกับตัวอย่างนี้

• ไม่เป็นที่โต้แย้ง: ไม่มีสิ่งใดในเนื้อหาที่รายงานขัดแย้งกับคำชี้แจงของ Barracuda ประเด็นที่ยังเปิดอยู่คือการละเว้น ไม่ใช่ความขัดแย้ง — และจดหมายเหตุไม่ได้บันทึกข้อค้นพบดังกล่าวว่าเป็นที่โต้แย้ง

บันทึกนี้ถูกจัดประเภทเป็นผลการวิจัยที่มีความรุนแรงระดับปานกลาง โดยมีการยืนยันว่ามีส่วนเกี่ยวข้องของ AI — ผู้ช่วย AI คือเป้าหมายที่แคมเปญถูกออกแบบโดยมีมันเป็นศูนย์กลาง และเป็นเหตุผลที่ทำให้ข้อความนี้ไม่ธรรมดา มันไม่ได้ถูกจัดประเภทเป็นเหตุการณ์สำคัญ และไม่มีช่วงวันที่: การวิเคราะห์นี้อธิบายจุดเวลาเดียว คือวันที่ 7 ตุลาคม 2026 ไม่ใช่ช่วงเวลาของแคมเปญ

มาตรการบรรเทาผลกระทบที่ Barracuda แนะนำ

จุดยืนของ Barracuda คือ "ไม่มีมาตรการควบคุมใดเพียงหนึ่งเดียวที่จะหยุดทุกรูปแบบได้" ดังนั้นคำแนะนำของบริษัทจึงเป็นชุดมาตรการที่ต้องใช้ร่วมกัน มากกว่าจะเป็นวิธีแก้ไขเพียงจุดเดียว บริษัทแนะนำให้กำจัดองค์ประกอบที่ซ่อนอยู่ ความคิดเห็น และตัวอักษรที่มองไม่เห็นออกจากเนื้อหา ก่อนที่เนื้อหานั้นจะไปถึงระบบ AI; การตรวจจับถ้อยคำที่พยายามแทนที่คำสั่งว่าเป็นลายเซ็นของการโจมตีแบบ prompt injection; การทำ sandbox ให้ผู้ช่วยเพื่อจำกัดขอบเขตการเข้าถึง; การตรวจสอบความถูกต้องของผลลัพธ์ก่อนที่การตอบสนองของผู้ช่วยจะกระตุ้นให้เกิดการดำเนินการ; และการกำหนดให้ต้องมีการอนุมัติจากมนุษย์สำหรับการชำระเงิน การเปลี่ยนแปลงผู้ขาย และการตัดสินใจที่ละเอียดอ่อนอื่นๆ บริษัทยังแนะนำให้เฝ้าระวังความพยายามในการโจมตีแบบ injection ที่เกิดขึ้นซ้ำๆ และระบุหลักการพื้นฐานไว้ว่า ควรปฏิบัติต่อเนื้อหาภายนอก "เป็นข้อมูลเท่านั้นเสมอ และแยกออกจากคำสั่ง"

โพสต์นี้ยังชี้ไปที่ผลิตภัณฑ์ของ Barracuda เอง — Email Gateway Defense, Behavioral AI และ Automated Threat Response — ในฐานะมาตรการควบคุมที่บริษัทขายสำหรับด้านการกรองและการแก้ไข นั่นคือผู้ขายที่แนะนำแค็ตตาล็อกของตัวเอง และควรอ่านโดยคำนึงถึงข้อนี้: ข้อเสนอแนะทางเทคนิคนั้นเป็นอิสระจากผลิตภัณฑ์ แต่โพสต์ไม่ได้ทดสอบทั้งข้อเสนอแนะหรือผลิตภัณฑ์เหล่านั้นกับแคมเปญที่โพสต์อธิบายไว้

ทำไมบันทึกนี้จึงคุ้มค่าที่จะเก็บไว้

คุณค่าเฉพาะของรายการนี้อยู่ที่การบันทึกจุดที่มาตรการป้องกันสองอย่างซึ่งเดิมแยกจากกันหยุดครอบคลุมข้อความเดียวกัน ไฟล์แนบที่ป้องกันด้วยรหัสผ่านเอาชนะการสแกนเนื้อหาได้ เพราะตัวสแกนเปิดไฟล์ไม่ได้ ส่วนการแทรกพรอมต์แบบซ่อนเร้นเอาชนะการให้คะแนนชื่อเสียงได้ เพราะการให้คะแนนชื่อเสียงดูที่ผู้ส่ง ไม่ได้ดูว่าโมเดลภาษาจะทำอะไรกับเนื้อความ เมื่อนำทั้งสองอย่างมารวมไว้ในอีเมลฉบับเดียว รูปแบบความล้มเหลวก็จะทบซ้อนกัน ตัวกรองที่ปล่อยข้อความผ่านด้วยอาศัยคะแนนที่น่าเชื่อถือก็ได้ปล่อยผ่านเพย์โหลดที่มุ่งเป้าไปยังสิ่งใดก็ตามที่จะอ่านกล่องจดหมายขาเข้าถัดไปด้วย ตัวอย่างของ Barracuda คือการแสดงให้เห็นว่าการประกอบกันนี้ไม่ใช่เรื่องสมมติ

บันทึกนี้ — การค้นพบฟิชชิงแบบสองเป้าหมายของ Barracuda — เป็นหนึ่งรายการใน OrcaRouter AI Incident Archive ซึ่งติดตามเหตุการณ์ AI ผลการวิจัย และการประเมิน ด้วยฟิลด์เดียวกับที่ใช้ข้างต้น: ระดับความรุนแรง ความเชื่อมั่น สถานะที่มีข้อโต้แย้ง และความเสียหายที่เกิดขึ้นจริง