วิธีสังเกตเว็บไซต์ฟิชชิ่ง

ฟิชชิ่งคือกลลวง มีคนสร้างข้อความหรือเว็บไซต์ที่ดูเหมือนบริษัท ธนาคาร หรือเพื่อนร่วมงานจริง แล้วโน้มน้าวให้คุณมอบของมีค่า ซึ่งมักเป็นรหัสผ่าน เลขบัตร หรือรหัสใช้ครั้งเดียว หน้าเว็บมักลอกหน้าล็อกอินจริงได้เกือบเหมือน สิ่งเดียวที่ต่างอย่างเชื่อถือได้คือหน้านั้นอยู่ที่ไหน

คู่มือนี้อธิบายสัญญาณเตือนที่พบบ่อย แสดงขั้นตอนตรวจลิงก์ก่อนลงมือทำ และบอกว่าต้องทำอะไรหากกรอกอะไรไปแล้ว ทุกอย่างเป็นเรื่องที่ทำได้จริง และใช้เวลาไม่กี่วินาทีเมื่อเป็นนิสัย

ฟิชชิ่งมาถึงคุณได้อย่างไร

ฟิชชิ่งส่วนใหญ่เริ่มจากข้อความที่ออกแบบให้คุณรีบลงมือ

• อีเมล อ้างว่าบัญชีถูกล็อก การชำระเงินล้มเหลว หรือมีพัสดุรออยู่
• ข้อความ SMS และแอปแชท ที่มีลิงก์สั้น ๆ และคำขอเร่งด่วน
• โฆษณาในผลค้นหาและโพสต์โซเชียลมีเดีย ที่พาไปเว็บเลียนแบบแบรนด์จริง
• QR code บนโปสเตอร์ เครื่องจอดรถ หรือในข้อความ ที่เปิดหน้าปลอม
• โทรศัพท์ ที่ขอให้คุณเข้าเว็บหรืออ่านรหัสให้

ข้อความมักใช้การกดดัน ("ดำเนินการภายใน 24 ชั่วโมง") ใช้ความน่าเชื่อถือ ("ธนาคารของคุณ" "สรรพากร") หรือข้อเสนอที่ดีเกินจริง ("คุณได้รับรางวัล") เป้าหมายคือให้คุณกดก่อนคิด

สัญญาณเตือนบนหน้าเว็บและในที่อยู่

ดูโดเมน ส่วนที่สำคัญ

ที่อยู่เว็บมีโครงสร้าง ใน https://login.example.com/account โดเมนที่จดทะเบียนคือ example.com ส่วนข้างหน้า login เป็นเพียง subdomain ผู้โจมตีควบคุม subdomain ใด ๆ ของโดเมนตัวเองได้ เว็บปลอมจึงหน้าตาแบบนี้ได้

ที่อยู่จริง	ที่อยู่ปลอม	จุดที่ทำให้พิรุธ
bank.example.com	bank.example.com.secure-check.net	โดเมนจริงที่ท้ายสุดคือ secure-check.net
example.com	examp1e.com	ใช้เลข 1 แทนตัวอักษร l
example.com	example-login.com	ต่อคำเพิ่มเข้ากับชื่อแบรนด์
example.com	example.co	นามสกุลต่างออกไป
example.com/login	example.com@evil.net/login	ทุกอย่างก่อน @ ถูกละเลย ปลายทางจริงคือ evil.net

อ่านโดเมนจากขวาไปซ้ายเสมอ จนถึงเครื่องหมาย / ตัวแรก

สัญญาณอื่น

• คำขอที่ไม่เข้ากับสถานการณ์ บริการพัสดุที่ขอข้อมูลบัตรเพื่อ "ปล่อย" ของฟรีเป็นรูปแบบที่พบบ่อย
• ดีไซน์หรือภาษาแย่ เว็บปลอมจำนวนมากทำหยาบ แต่ตัวที่ดีไม่หยาบ หน้าสะอาดจึงไม่ได้พิสูจน์อะไร
• การให้ล็อกอินที่ไม่คาดคิด การถูกขอให้ล็อกอินอีกครั้งหลังกดลิงก์ในข้อความเป็นสัญญาณอันตราย
• ป๊อปอัปที่ขอข้อมูลอ่อนไหว หรือหน้าที่ไม่ยอมให้คุณออก
• ไฟล์ที่ดาวน์โหลดโดยคุณไม่ได้ขอ โดยเฉพาะไฟล์บีบอัดหรือโปรแกรม

ทำไมแม่กุญแจจึงไม่ตัดสินเรื่องนี้

แม่กุญแจแสดงการเชื่อมต่อที่เข้ารหัสและใบรับรองสำหรับชื่อของเว็บนั้นเอง ใบรับรองมีให้ทุกคนที่ควบคุมโดเมน รวมถึงแบบฟรีจากบริการอย่าง Let's Encrypt เว็บฟิชชิ่งจึงมีแม่กุญแจที่ถูกต้องสมบูรณ์สำหรับชื่อปลอมของตัวเองได้ HTTPS ตอบคำถามว่า "การเชื่อมต่อนี้เป็นส่วนตัวและเป็นโดเมนที่แสดงจริงหรือไม่" ไม่ได้ตอบว่า "นี่คือบริษัทที่ฉันคิดหรือเปล่า" ความต่างนี้อธิบายเพิ่มใน HTTPS กับ VPN และในภาพรวม HTTPS ของ Cloudflare

ขั้นตอนตรวจสอบที่ปลอดภัย

ทำตามนี้ทุกครั้งที่มีข้อความขอให้ล็อกอิน จ่ายเงิน หรือยืนยันอะไรบางอย่าง

1. หยุดก่อน การกดดันคือเครื่องมือที่ใช้กับคุณ รออย่างน้อยหนึ่งนาที
2. อย่าใช้ลิงก์หรือเบอร์โทรในข้อความ เปิดบริการผ่านบุ๊กมาร์กของคุณ แอปทางการ หรือพิมพ์ที่อยู่เอง
3. ดูว่ามีการแจ้งเตือนเดียวกันภายในบัญชีหรือไม่ การแจ้งเตือนจริงจะแสดงที่นั่นด้วย
4. ถ้าต้องตรวจลิงก์ บนคอมพิวเตอร์ให้วางเมาส์เหนือลิงก์ บนโทรศัพท์ให้กดค้าง แล้วอ่านที่อยู่เต็ม เทียบโดเมนที่จดทะเบียนกับของจริง
5. ตรวจผู้ส่ง ไม่ใช่แค่ชื่อที่แสดง ชื่ออาจเขียนว่า "ธนาคารของคุณ" แต่ที่อยู่จริงเป็นอย่างอื่น
6. โทรหาองค์กรด้วยเบอร์จากบัตร ใบแจ้งยอด หรือเว็บทางการ ไม่ใช่เบอร์ในข้อความ
7. ถ้าไม่แน่ใจ ให้รายงาน ส่งต่อไปยังที่อยู่รับเรื่องละเมิดของผู้ให้บริการ หรือทำตามวิธีรายงานที่ CISA อธิบายไว้

ตัวอย่าง

อรอุมาได้รับ SMS: "พัสดุของคุณส่งไม่สำเร็จ ยืนยันที่อยู่และชำระ 1.20 เพื่อนัดส่งใหม่: https://post-delivery-confirm.example-help.top"

• สัปดาห์นี้เธอไม่ได้สั่งอะไร สถานการณ์จึงอาจไม่เข้ากัน
• โดเมนที่อ่านจากขวาคือ example-help.top ไม่ใช่โดเมนของไปรษณีย์ ข้อความยาวข้างหน้าเป็นเพียง subdomain
• ข้อความสร้างแรงกดดันและขอข้อมูลบัตรเพื่อค่าธรรมเนียมเพียงนิดเดียว

อรอุมาไม่สนใจลิงก์ เธอเปิดแอปขนส่งทางการซึ่งไม่แสดงพัสดุค้าง เธอลบข้อความและรายงาน ถ้าเธอกดลิงก์และพิมพ์เลขบัตร หน้านั้นก็ส่งเลขให้ผู้โจมตีทันที

ถ้ากรอกข้อมูลไปแล้วต้องทำอะไร

1. เปลี่ยนรหัสผ่าน บนเว็บจริงทันทีจากอุปกรณ์ที่คุณไว้ใจ ทำเช่นเดียวกันกับที่อื่นที่ใช้รหัสเดียวกัน
2. เปิดการยืนยันตัวตนสองขั้นตอน หากยังปิดอยู่ และออกจากระบบอุปกรณ์อื่นทั้งหมด ดูการยืนยันตัวตนสองขั้นตอนคืออะไร
3. ติดต่อธนาคารหรือผู้ออกบัตรทันที หากกรอกข้อมูลการชำระเงิน เขาอายัดบัตรและตรวจรายการล่าสุดให้ได้
4. ตรวจกิจกรรมล่าสุดของบัญชี กฎการส่งต่ออีเมล อุปกรณ์ใหม่ และข้อมูลกู้คืนบัญชี
5. สแกนอุปกรณ์ ด้วยเครื่องมือความปลอดภัยที่เชื่อถือได้ หากคุณดาวน์โหลดไฟล์
6. รายงานหน้าเว็บ ให้บริการจริง การเก็บที่อยู่ของหน้าปลอมไว้โดยไม่เปิดซ้ำช่วยให้เขาปิดหน้านั้นได้

ลดความเสี่ยงล่วงหน้า

• ใช้โปรแกรมจัดการรหัสผ่าน มันกรอกการล็อกอินเฉพาะบนโดเมนที่ถูกต้อง หน้าเลียนแบบจึงไม่ได้อะไร เป็นสัญญาณเตือนที่เงียบแต่ได้ผล
• เปิดการยืนยันตัวตนสองขั้นตอนทุกที่ที่มี ควรเป็นกุญแจรักษาความปลอดภัยหรือ passkey ซึ่งผูกกับที่อยู่จริง
• อัปเดตเบราว์เซอร์และระบบปฏิบัติการ เพราะคำเตือนในตัวดีขึ้นเรื่อย ๆ
• ใช้บุ๊กมาร์กสำหรับธนาคารและบริการอ่อนไหวอื่น
• ระวังบนเครือข่ายที่ใช้ร่วมกัน แต่จำไว้ว่า VPN ไม่ได้ตัดสินเว็บที่คุณเข้า

ข้อจำกัดและสิ่งที่ควรระวัง

• ไม่มีสัญญาณใดสมบูรณ์ หน้าฟิชชิ่งที่ทำดีมีแม่กุญแจที่ถูกต้อง ดีไซน์สะอาด และที่อยู่ที่น่าเชื่อ ให้ยึดที่ว่าคุณมาถึงหน้านั้นด้วยทางใด
• ผู้ส่งที่คุ้นเคยอาจถูกปลอมหรือยึดบัญชี ข้อความจากบัญชีเพื่อนอาจมาจากผู้โจมตี
• รหัสมีค่า อย่าอ่านรหัสใช้ครั้งเดียวให้ใครก็ตามที่ติดต่อมา บริษัทจริงไม่ขอรหัสนั้น
• VPN ไม่ใช่เครื่องมือสำหรับเรื่องนี้ มันเข้ารหัสการเชื่อมต่อ แต่บอกไม่ได้ว่าเว็บปลายทางเป็นของจริงหรือไม่ ดู สิ่งที่ VPN ปกป้องคุณไม่ได้ สำหรับการอ่านเพิ่มเติม คู่มือ EFF Surveillance Self-Defense ครอบคลุมเรื่องฟิชชิ่งและนิสัยที่ปลอดภัยกว่าอย่างลึก

สรุป

ฟิชชิ่งได้ผลด้วยแรงกดดันและการเลียนแบบ การป้องกันจึงคือการชะลอและตรวจโดเมนจริง เข้าบริการผ่านบุ๊กมาร์กหรือแอปของคุณเอง สงสัยคำขอล็อกอินที่ไม่คาดคิด อย่าพึ่งแม่กุญแจอย่างเดียว และใช้โปรแกรมจัดการรหัสผ่านกับการยืนยันตัวตนสองขั้นตอนเพื่อลดความเสียหายหากพลาด หากอยากปกป้องการเชื่อมต่อบน Wi-Fi ที่ใช้ร่วมกันด้วย อ่านเรื่องการใช้ VPN บน Wi-Fi สาธารณะ